---
title: "Schatten-IT"
description_de: "Schatten-IT sind nicht genehmigte Tools und Cloud-Dienste, die Mitarbeiter ohne IT-Freigabe nutzen."
description_en: "Shadow IT refers to unapproved tools and cloud services employees use without IT approval."
url: /wissen/glossar/schatten-it
datePublished: 2026-07-07
dateModified: 2026-07-07
author: Tim Friedrich Dekker
primaryQuery: "Was ist Schatten-IT?"
---

# Schatten-IT

<AnswerCapsule>
  Schatten-IT bezeichnet Software, Cloud-Dienste und Dateiwege, die Mitarbeitende ohne Wissen der IT oder Geschäftsführung nutzen — oft aus Bequemlichkeit, wenn offizielle Tools fehlen oder zu umständlich sind.
</AnswerCapsule>

## Was bedeutet Schatten-IT?

Typische Beispiele: private WhatsApp-Gruppen für Kundenkontakt, Dropbox statt [SharePoint](/wissen/glossar/sharepoint), Trello ohne [AVV](/wissen/glossar/avv), private Gmail für Mandantenanhänge. IT sieht das nicht im Asset-Register — Datenschutz und Sicherheit nicht.

Schatten-IT entsteht selten aus Bosheit, sondern aus Druck: große Datei senden, schnell abstimmen, Tool aus früherem Job. Wer nur verbietet, ohne Ersatz, treibt Nutzung noch tiefer ins Verborgene.

Schatten-IT entdecken Sie über Entra-Anmeldungen, DNS-Logs, Expense Reports und Mitarbeiterbefragung. Ziel ist Kanalisierung: genehmigte Tools mit [AVV](/wissen/glossar/avv) statt endlose Whack-a-Mole-Verbote ohne Ersatz.

Typische Schatten-IT in KMU: private WhatsApp-Gruppen für Mandanten, nicht genehmigte Cloud-Speicher, persönliche Zoom-Accounts für Vertrauliches. OAuth-App-Zustimmungen in [Microsoft 365](/wissen/microsoft-365) zeigen oft überraschend viele unbekannte Dienste — ein guter Startpunkt für Sichtbarkeit.

## Warum ist Schatten-IT relevant für KMU?

[DSGVO](/wissen/it-sicherheit/dsgvo-kmu) verlangt Kontrolle über Verarbeitung — Schatten-IT ist fast per Definition unkontrolliert. Bei [Datenpanne](/wissen/glossar/datenpanne) wissen Sie nicht mal, wo Daten lagen.

KMU auf [Mallorca](/wissen/it-mallorca) mischen deutsche und spanische Prozesse — zusätzliche Apps für Behörden und Buchhaltung. Ohne Inventar explodiert die Angriffsfläche.

Bei [Datenpanne](/wissen/glossar/datenpanne) müssen Sie wissen, wo Daten lagen. Schatten-IT macht Meldung und Betroffeneninformation fast unmöglich — Bußgeld und Mandantenverlust drohen neben dem technischen Schaden.

Produktivität und Sicherheit widersprechen sich nicht, wenn IT Bedürfnisse ernst nimmt. Kanalisierte Tools mit [AVV](/wissen/glossar/avv) sind schneller genehmigt als nachträgliche Verbote. Schatten-IT sichtbar machen ist erster Schritt zur Kontrolle.

Mitarbeitende fragen, warum sie Schatten-IT nutzen — meist Geschwindigkeit oder fehlende Features. Budget für genehmigte Tools einplanen. Kontrolle ohne Enablement erzeugt Gehorsam nur solange Sie hinschauen.

Nicht genehmigte Tools umgehen oft [AVV](/wissen/glossar/avv), [Backup](/wissen/glossar/backup) und Zugriffskontrolle — ein Datenleck über private Cloud-Speicher ist genauso meldepflichtig wie über den Firmen-Server. Sichtbarkeit schaffen und Bedürfnisse ernst nehmen reduziert Risiko ohne Produktivitätsverlust.

## Typische Fehler

* Strenge Verbote ohne genehmigte Alternative
* IT kennt den Alltag der [Teams](/wissen/glossar/teams) nicht — Lösungen passen nicht
* Kein OAuth-App-Review in [Microsoft 365](/wissen/microsoft-365)
* Freelancer behalten Zugang zu Schatten-Tools nach Projektende

## Praxisbeispiel

Eine Agentur entdeckt 14 ungenehmigte SaaS-Apps via Cloud-Access-Security-Signal. GF und IT wählen drei ab: Rest verboten mit SharePoint-Alternative für große Dateien. AVVs nachgezogen — Schatten reduziert, Produktivität bleibt.

Eine Kanzlei entdeckt per Cloud-App-Consent-Report drei nicht genehmigte Tools für Mandantenübertrag. Statt pauschalem Verbot analysiert die GF die Gründe: fehlende große Dateien-Freigabe und mobiles Scannen. Nach SharePoint-Anpassung und kurzer Teams-Schulung sinkt die Nutzung privater Apps innerhalb von zwei Monaten deutlich.

## Verwandte Begriffe

* [IT-Dokumentation](/wissen/glossar/it-dokumentation)
* [AVV](/wissen/glossar/avv)
* [Datenpanne](/wissen/glossar/datenpanne)
* [SharePoint](/wissen/glossar/sharepoint)

<ServiceCta />


## FAQ

### Ist Schatten-IT immer schlecht?

Sie zeigt ungedeckte Bedürfnisse — sinnvoll ist kanalisieren und freigeben, nicht nur verbieten ohne Alternative.