Mehr als 1,3 Millionen Treffer mit österreichischen Firmen-Mail-Adressen sind in Datenlecks externer Dienste aufgetaucht. Zu diesem Ergebnis kommt eine gemeinsame Studie von EY Österreich und Risikomonitor, die damit erstmals das Ausmaß der heimischen Schatten-IT beziffert. Gemeint ist damit jene Software, die Mitarbeitende im Arbeitsalltag nutzen, ohne dass sie zentral erfasst, geprüft oder freigegeben wurde. Das Problem daran ist weniger die einzelne Anwendung als der Umstand, dass Unternehmensdaten so in Systemen landen, von deren Existenz die eigene IT-Abteilung nichts weiß.
Adobe und Dropbox führen die Liste an
Ausgewertet wurden diese Treffer in 944 Datenquellen, wobei allein 1,1 Millionen der Findings auf 37 besonders stark frequentierte Anbieter entfallen. Damit lässt sich nachvollziehen, bei welchen Plattformen sich Beschäftigte mit ihrer Firmenadresse registriert haben und welche dieser Anbieter später Opfer eines öffentlich dokumentierten Datenlecks wurden.
An der Spitze stehen mit Adobe und Dropbox zwei Namen aus dem Standardrepertoire des Büroalltags, dahinter reihen sich mehrere Marketing- und Datendienstleister. Ein Qualitätsurteil über diese Anbieter ist damit nicht verbunden. Die Zahlen zeigen vielmehr, in welchem Ausmaß Werkzeuge im Arbeitsalltag zum Einsatz kommen, die nie durch einen Beschaffungs- oder IT-Prozess gelaufen sind. Für fast neun von zehn dieser Dienste ließ sich kein Beleg dafür finden, dass sie jemals beschafft, freigegeben oder in die zentrale Verwaltung aufgenommen wurden.
"Viele Unternehmen investieren viel in ihre IT-Sicherheit, haben aber dennoch keinen vollständigen Überblick über die tatsächlich genutzten Anwendungen. Genau diese Lücke macht Schatten-IT so relevant. Das Risiko entsteht nicht nur durch die Technologie selbst, sondern vor allem durch fehlende Transparenz", erklärt Robert Pölzelbauer, Senior Manager bei EY Österreich.
Auffällig ist auch die geografische Verteilung der Treffer. Gut 70 Prozent entfallen auf Anbieter mit Sitz in den USA, erst mit deutlichem Abstand folgen Unternehmen aus Belgien, Brasilien, Frankreich und Deutschland. Je mehr Unternehmensdaten über nicht freigegebene Dienste laufen, desto schwerer fällt der Überblick darüber, wohin diese Daten fließen, wer darauf zugreifen kann und welche regulatorischen Vorgaben dabei zu beachten wären.
Schatten-IT entsteht aus Pragmatismus
Vorsätzliches Fehlverhalten steht laut Studie nur in den seltensten Fällen dahinter. Wer zu einem nicht freigegebenen Tool greift, sucht in der Regel nach dem kürzesten Weg zu einem Arbeitsergebnis, das mit den offiziell zur Verfügung stehenden Mitteln umständlicher oder gar nicht zu erreichen wäre.
Für die Organisation bleiben damit elementare Fragen offen. Auf welchen Servern die Daten liegen, welche externen Anbieter Zugriff darauf haben und ob die eigenen Compliance-Vorgaben eingehalten werden, lässt sich im Nachhinein oft nicht mehr beantworten.
"Die Ergebnisse zeigen, dass es eine deutliche Differenz zwischen offizieller IT und tatsächlicher Nutzung gibt. Mitarbeitende verwenden oft zusätzliche Tools, um effizienter zu arbeiten. Unternehmen sollten diese Realität nicht ignorieren, sondern sichtbar machen und aktiv steuern", so Manuel Löw-Beer, Geschäftsführer von Risikomonitor.
Vergessene Domains vergrößern die Angriffsfläche
Schatten-IT endet nicht bei der Software. Auch die eigene digitale Infrastruktur wächst über Jahre hinweg oft schneller, als sie gepflegt wird. Die Studie zählt bei österreichischen Unternehmen insgesamt 16,7 Millionen Subdomains, knapp 3.000 Firmen betreiben jeweils mehr als 100 davon. Parallel dazu stießen die Analyst:innen auf über 806.000 Domains ohne aktive Nutzung.
Zurück bleiben solche Adressen meist dann, wenn ein Projekt ausläuft, ein System migriert wird oder sich die Organisation umbaut. Technisch laufen sie weiter, zuständig fühlt sich intern aber niemand mehr. Wer sie nicht regelmäßig durchforstet, hinterlässt Angreifer:innen eine offene Flanke, die sich für Phishing-Kampagnen, Markenmissbrauch oder andere betrügerische Aktivitäten nutzen lässt.
"Schatten-IT beschränkt sich nicht auf einzelne Anwendungen. Sie umfasst auch gewachsene digitale Strukturen, die im Laufe der Zeit aus dem Blickfeld geraten. Gerade diese Kombination aus unübersichtlichen Anwendungen und vergessener Infrastruktur erhöht die Komplexität für Unternehmen deutlich", fasst Pölzelbauer zusammen.
Transparenz wirkt besser als Verbote
Die Empfehlungen von EY Österreich und Risikomonitor setzen deshalb nicht bei Verboten an, sondern bei der Sichtbarkeit. Unternehmen sollen die reale Nutzung von Anwendungen in regelmäßigen Abständen erheben und in bestehende Sicherheitsstrukturen überführen. Dazu zählen Freigabewege, die für Beschäftigte nachvollziehbar sind, ein aktuelles Verzeichnis aller im Einsatz befindlichen Anwendungen und deren Anbindung an Single-Sign-on- und Identitätsmanagement.
Ebenso empfohlen wird eine regelmäßige Inventur der eigenen Infrastruktur. Nicht mehr benötigte Domains und Subdomains sollten systematisch erfasst und stillgelegt werden, was die Angriffsfläche eines Unternehmens spürbar verkleinert.
"Schatten-IT lässt sich nicht einfach verbieten. Erfolgreiche Unternehmen schaffen sichere und einfache Alternativen, integrieren häufig genutzte Anwendungen in bestehende Prozesse und sorgen dafür, dass Mitarbeitende nicht auf inoffizielle Lösungen ausweichen müssen", meint Pölzelbauer abschließend.
www.ey.com
www.risikomonitor.com
Kommentar veröffentlichen