IT-Governance

Shadow IT: Kontrolle ohne Innovation zu ersticken

Zwischen 30 und 40 Prozent der IT-Ausgaben fließen an der IT-Abteilung vorbei. So schaffen Sie Transparenz und Governance, ohne die Agilität der Fachabteilungen zu bremsen.

CIO-Wissen Redaktion· 2026-03-28 ·4 Min.

Schatten-IT ist kein Randphänomen mehr — sie ist der Normalzustand. Laut Gartner fließen 30 bis 40 Prozent der IT-Ausgaben in großen Unternehmen außerhalb des offiziellen IT-Budgets.[1] Im Mittelstand dürfte die Quote ähnlich hoch liegen, denn gerade hier greifen Fachabteilungen schnell zu Cloud-Diensten, wenn die interne IT nicht Schritt hält. Die Konsequenz: unkontrollierte Datenflüsse, Compliance-Risiken und redundante Lizenzkosten.

Das Problem ist nicht die Nutzung von SaaS-Tools an sich. Es ist die fehlende Sichtbarkeit. Wenn der Vertrieb eigenständig ein CRM einführt, das Marketing drei verschiedene Analytics-Plattformen betreibt und die Personalabteilung Bewerberdaten in einer nicht freigegebenen Cloud speichert, entsteht ein Risikoprofil, das kein CISO akzeptieren kann.

Der Schlüssel liegt nicht im Verbieten, sondern in einem Governance-Framework, das Innovation ermöglicht und gleichzeitig Kontrolle gewährleistet. Denn Studien der Everest Group zeigen: Unternehmen, die Shadow IT komplett unterdrücken, verlieren an Innovationsgeschwindigkeit — während jene mit strukturierter Governance beides erreichen.[2]

30–40 %

der IT-Ausgaben in Unternehmen fließen laut Gartner außerhalb des offiziellen IT-Budgets — oft ohne Wissen des CIO.[1] Im deutschen Mittelstand mit seinen dezentralen Strukturen kann dieser Anteil sogar darüber liegen.

SaaS Discovery: Sichtbarkeit als erster Schritt

Bevor Sie Shadow IT steuern können, müssen Sie sie kennen. Moderne SaaS-Management-Plattformen wie Productiv, Zylo oder Snow Software analysieren Netzwerk-Logs, SSO-Daten, Browser-Erweiterungen und Finanztransaktionen, um ein vollständiges Bild der genutzten Anwendungen zu zeichnen.[3]

Die Ergebnisse sind regelmäßig ernüchternd: Productiv berichtet, dass Unternehmen im Durchschnitt 40 Prozent mehr SaaS-Anwendungen im Einsatz haben, als die IT-Abteilung kennt.[3] Typische Findings umfassen:

  • Redundante Tools: Drei verschiedene Projektmanagement-Lösungen in unterschiedlichen Abteilungen
  • Compliance-Verstöße: Personenbezogene Daten in Anwendungen ohne Auftragsverarbeitungsvertrag
  • Kostentreiber: Vergessene Abonnements, die nach Projektende weiterlaufen
  • Sicherheitslücken: Anwendungen ohne SSO-Integration oder Multi-Faktor-Authentifizierung

Das Risikoprofil der Schatten-IT

Die Gefahren sind konkret und messbar. Der Everest Group Report 2024 identifiziert drei Hauptrisikokategorien:[2]

Datenschutz und Compliance: Nicht autorisierte SaaS-Tools verarbeiten häufig personenbezogene Daten ohne die nach DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Bei einem Verstoß haftet das Unternehmen — nicht der Mitarbeiter, der das Tool eingeführt hat.

Informationssicherheit: Anwendungen außerhalb des IT-Managements werden nicht in Vulnerability-Scans, Patch-Management oder Incident-Response-Pläne einbezogen. Nach ISO 27001 müssen alle informationsverarbeitenden Assets inventarisiert und kontrolliert werden.[4]

Finanzielle Risiken: Unkontrollierte SaaS-Beschaffung führt zu Mehrfachlizenzierungen und verpassten Konsolidierungschancen. Gartner schätzt das Einsparpotenzial durch systematisches SaaS-Management auf 25 bis 30 Prozent der Gesamtausgaben.[1]

"The goal isn't to eliminate Shadow IT — it's to create a governance model that makes the sanctioned path faster and easier than the shadow path."

— Gartner Research, IT Governance Framework 2025[1]

Das Governance-Framework: Drei Säulen

Ein wirkungsvolles Shadow-IT-Governance-Framework basiert auf drei Säulen:

1. Discover — Kontinuierliche Transparenz

Implementieren Sie automatisierte SaaS-Discovery als Daueraufgabe, nicht als einmaligen Scan. Integrieren Sie die Ergebnisse in Ihr Configuration Management (CMDB) und etablieren Sie ein monatliches Reporting an die IT-Leitung.

2. Assess — Risikobewertung und Klassifizierung

Bewerten Sie jede entdeckte Anwendung nach einem standardisierten Schema: Datenschutz-Impact, Sicherheitsniveau, Redundanz zu bestehenden Tools und strategische Relevanz. Nutzen Sie eine Ampel-Systematik (freigegeben, bedingt freigegeben, abzulösen).

3. Govern — Enablement statt Verbot

Schaffen Sie einen Self-Service-Katalog freigegebener Anwendungen mit automatisierter Bereitstellung. Wenn Fachabteilungen innerhalb von Stunden statt Wochen eine Lösung erhalten, sinkt die Motivation für Eigeninitiative drastisch.

Handlungsempfehlungen für IT-Entscheider

  1. SaaS-Discovery starten: Führen Sie innerhalb der nächsten 30 Tage eine vollständige Bestandsaufnahme aller genutzten Cloud-Dienste durch — über Netzwerk-Analyse, SSO-Logs und Finanzdaten.

  2. Risikomatrix etablieren: Klassifizieren Sie alle entdeckten Anwendungen nach Datenschutz-Impact, Sicherheitsniveau und strategischer Relevanz.

  3. Self-Service-Katalog aufbauen: Stellen Sie einen kuratierten App-Store bereit, der Fachabteilungen freigegebene Alternativen mit schneller Bereitstellung bietet.

  4. Governance-Board einrichten: Etablieren Sie ein cross-funktionales Gremium aus IT, Datenschutz, Einkauf und Fachbereichen, das monatlich über neue Anwendungen entscheidet.

  5. Richtlinien kommunizieren: Schaffen Sie eine transparente Cloud-Nutzungsrichtlinie und schulen Sie alle Mitarbeiter — nicht als Verbot, sondern als Qualitätssicherung.

Quellen und Referenzen

  1. Gartner (2025): "Top Strategic Technology Trends — Shadow IT and SaaS Management." Gartner Research. Verfügbar unter: gartner.com/en/information-technology/insights/shadow-it

  2. Everest Group (2024): "Shadow IT in the Enterprise — Risks, Governance, and the Path Forward." Everest Group Research Report.

  3. Productiv (2025): "The State of SaaS Management 2025." Productiv Annual Report. Verfügbar unter: productiv.com/state-of-saas

  4. ISO/IEC 27001:2022: "Information security, cybersecurity and privacy protection — Information security management systems — Requirements." International Organization for Standardization.

  5. BSI (2024): "IT-Grundschutz-Kompendium." Bundesamt für Sicherheit in der Informationstechnik, Edition 2024. Verfügbar unter: bsi.bund.de/grundschutz

  6. Zylo (2025): "SaaS Management Index 2025 — Enterprise SaaS Trends and Benchmarks." Zylo Research. Verfügbar unter: zylo.com/research