Schatten-IT: Welche Maßnahmen helfen wirklich gegen Cyberangriffe?

Schatten-Tools sind bei Mitarbeitenden angesagt. Beschäftigte lieben ihre selbst ausgewählten Anwendungen, Cloud-basierten Dienste oder mobile Apps, die sie ohne Absprache mit der IT-Abteilung nutzen. Sie empfinden die Tools der Schatten-IT als effizienter und benutzerfreundlicher als die Unternehmens-IT, übersehen aber, dass diese für das Unternehmen ein ernstes Sicherheitsrisiko darstellen und gegen eine Reihe von Compliance-Vorschriften verstoßen. Doch wie es schon in der „Dreigroschen-Oper“ von Bertold Brecht heißt: „Die im Dunkeln sieht man nicht“. Und das ist gefährlich. Daher versuchen IT-Verantwortliche , die Verwendung solcher Tools mit zum Teil drastischen Maßnahmen einzuschränken oder zu verbieten. Meistens jedoch nicht mit dem gewünschten Erfolg.

Einfache und anwendergerechte Software als Säule der IT-Sicherheit

Erfolgsversprechender ist es sicher, Beschäftigten von Anfang an benutzerfreundliche und bedarfsgerechte Anwendungen anzubieten. Unternehmen müssen verstehen, dass sie den Bedürfnissen ihrer Mitarbeitenden gerecht werden müssen, um eine Schatten-IT gar nicht erst entstehen zu lassen.

Vor allem dort, wo große Datenmengen ausgetauscht werden und die in den Unternehmen eingesetzten Systeme schnell an ihre Grenzen stoßen, scheint für Mitarbeitende der Umstieg auf Schatten-IT besonders lohnenswert. Gerade in diesen Bereichen sollten Firmen und Organisationen daher Softwarelösungen einsetzen, die intuitiv und einfach zu bedienen sind und zugleich die Compliance sicherstellen.

E-2-E verschlüsselte E-Mails

Viele Organisationen nutzen zum Versenden ihrer internen und externen Informationen immer noch ungesicherte E-Mail-Kanäle, bei denen Cyberkriminelle die Daten ohne großen Aufwand abfangen können. Unternehmen sollten deswegen zum Senden von E-Mails und zum Übertragen von Dateien Kommunikationskanäle nutzen, die über eine sichere Ende-zu-Ende-Verschlüsselung (E-2-E) verfügen. Diese beginnt auf dem Endgerät des Versenders und erstreckt sich über den gesamten Übertragungsweg bis hin zum Empfänger, wo die Daten verschlüsselt abgelegt und gespeichert werden.

Zusätzlich versieht eine E-2-E-Verschlüsselung jede einzelne Nachricht mit einem individuellen kryptografischen, elektronischen Schlüssel, die ausschließlich der Empfänger lesen kann. Auf diese Weise sind Daten und Anhänge jederzeit geschützt und lassen sich auch nicht nachträglich manipulieren.

Virtuelle, browserbasierte Datenräume

Bei sehr großen Datenmengen stößt auch die Speicherkapazität großer E-Mail-Postfächer an ihre Grenzen. Da ein Großteil der Unternehmen keine hinreichend leistungsfähigen Plattformen zum sicheren Datenaustausch bereitstellt, nutzen Mitarbeitende stattdessen häufig kostenlose Cloud-Lösungen, die sie aus dem privaten Umfeld kennen, die aber neue Angriffsvektoren für Cyberkriminelle liefern und Lücken in den unternehmenseigenen DSGVO-konformen Ablauf von Prozessen reißen. Als legale Alternative sollten Unternehmen ihren Mitarbeitenden virtuelle, browserbasierte Datenräume anbieten. Diese sicheren Online-Dokumentenspeicher und Kollaborationsbereiche ermöglichen mehreren Nutzenden einen standortunabhängigen Zugriff auf Dateien, die sie dort in der Regel ohne Größenbeschränkung ablegen und gemeinsam mit Kunden oder Partnern DSVGO-konform teilen und nutzen können. Zugleich organisieren diese besonders abgesicherten Ressourcen die Zugriffsrechte von einzelnen Anwendern und von Gruppen. Anhand von Aktivitätsprotokollen können Administratoren nachverfolgen, wer Dokumente angezeigt, heruntergeladen oder bearbeitet hat und so alle Vorgänge präzise nachvollziehen.

E-2-E verschlüsselte Prozessautomation statt Schatten-IT

Um ein Abwandern ihrer Mitarbeitenden in die Schatten-IT zu verhindern, können IT-Verantwortliche ihnen Werkzeuge an die Hand geben, die Aufgaben automatisiert erledigen. Eine Automatisierungs-Plattform übersetzt dabei Prozesse, die ohnehin repetitiv sind oder zumindest häufig vorkommen in digitale Abläufe, die Daten automatisch erfassen und passgenau an das weiterverarbeitende System übertragen. Relevante Informationen sind auf diese Weise nicht nur digital verfügbar, sondern auch immer auf dem neuesten Stand. Geeignete Automatisierungs-Plattformen unterstützen außerdem dabei, Daten effizient und fehlerfrei zu verarbeiten.

Lösungen für einen automatisierten Datenworkflow bieten eine leicht zu integrierende, von der IT und den Sicherheitsverantwortlichen genehmigte Alternative zu dem in vielen Firmen vorhandenen Wildwuchs an einzelnen Tools, die automatisch Daten synchronisieren, verarbeiten, versenden, archivieren oder auch Freigaben generieren sollen. Da die Daten während des gesamten Workflows Ende-zu-Ende verschlüsselt sind, lassen sich die Ablage von Dokumenten, der postalische Versand von Gehaltsabrechnungen oder manuelle Bewerbungsprozesse automatisiert schneller, zuverlässiger und vor allem sicherer erledigen. Eine revisionssichere Prozessautomatisierung verhindert auch hier eine nachträgliche Datenmanipulation.

Sicherheitsbewusstsein durch Schulungen

Unternehmen sollten ihre Mitarbeitenden in regelmäßigen Trainings über die Risiken nicht-autorisierter Software informieren und ihnen klar machen, dass ein unkontrolliertes Sammelsurium an IT-Tools den Datenschutz und die Datensicherheit des Unternehmens gefährdet. Obwohl sich persönliche, von der IT nicht freigegebene Konten oft scheinbar unkompliziert, flexibler und schneller nutzen lassen, müssen Beschäftigte verstehen, dass Unternehmen keinerlei Kontrolle über Dateien haben, die auf öffentlichen Servern außerhalb der internen IT-Infrastruktur liegen. Unternehmen und Anwender verstoßen damit nicht nur gegen Gesetze oder regulatorische Vorgaben, sondern auch gegen unternehmensinterne Compliance-Vorgaben. Bekannt sollte auch sein, dass Public-Cloud-Dienste immer wieder Opfer von Datendiebstählen werden.

Das Problem Schatten-IT an der Wurzel packen

Durch den Umstieg auf eine benutzerfreundliche Unternehmens-IT können Unternehmen das Problem Schatten-IT an der Wurzel packen. Richtig umgesetzt wird es dazu führen, dass Mitarbeitende verantwortungsvoller mit Unternehmensdaten umgehen und Security-Compliance nicht mehr als lästig, sondern wichtig einstufen.

Der Autor Ari Albertini ist Co-Chief Executive Officer der FTAPI Software GmbH.