Schatten-IT durch selbst gebaute Apps entsteht, wenn Mitarbeitende mit KI-Tools eigene Anwendungen bauen und im Alltag betreiben, ohne dass die Verantwortlichen im Unternehmen davon wissen. Fragt offen und ohne Vorwurf nach, tragt die Apps in eine einfache Liste ein und entscheidet dann für jede App einzeln.
Was ist Schatten-IT, und was ist bei selbst gebauten Apps anders?
Schatten-IT ist IT, die im Unternehmen genutzt wird, ohne dass die Verantwortlichen davon wissen oder dafür zuständig sind. Klassische Beispiele sind Excel-Makros und private Cloud-Speicher. Selbst gebaute Apps gehen weiter: Jemand nutzt ein KI-Tool nicht nur, sondern baut damit eine Anwendung, die dauerhaft läuft und von anderen genutzt wird.
- KI-Tool nutzen: Eine Person gibt etwas ein und bekommt ein Ergebnis. Das Risiko liegt vor allem bei den eingegebenen Daten.
- App betreiben: Die App speichert Daten, hat Nutzer und läuft weiter, wenn die Person im Urlaub ist. Damit kommen Zugriffsrechte, Backups, Updates und Offboarding hinzu.
KPMG beschreibt Vibe Coding als neue Form von Schatten-IT, die sich schneller verbreitet als die klassische individuelle Datenverarbeitung in Fachbereichen.
Wie entsteht diese Schatten-IT?
Meist steckt eine gute Absicht dahinter. Ein Prozess ist umständlich, das echte System kann etwas nicht, und das nächste IT-Projekt liegt in weiter Ferne. Also baut jemand eine Lösung, oft als Patch, bis das echte System da ist. Der Patch läuft dann weiter, und immer mehr Abläufe hängen von ihm ab. Solche Apps zeigen euch deshalb auch, wo eure vorhandenen Systeme nicht ausreichen.
Wie findet ihr selbst gebaute Apps im Unternehmen?
Am ergiebigsten ist die direkte Frage. Dafür muss klar sein, dass niemand Ärger bekommt und dass keine App ohne Absprache abgeschaltet wird. Sagt das ausdrücklich und von der Geschäftsführung aus.
Fragt in jeder Abteilung konkret nach:
- Welche Werkzeuge habt ihr selbst gebaut oder bauen lassen?
- Welche Adresse öffnet ihr im Alltag, die nicht von der IT stammt?
- Was würde morgen fehlen, wenn eine bestimmte Person krank wäre?
Ergänzend helfen diese Quellen:
- Rechnungen und Kreditkarten: Abos für KI-Tools, Hosting oder Datenbanken, auch in Spesenabrechnungen.
- Firmenkonten: Bei Microsoft und Google sehen Administratoren, welche Anwendungen Mitarbeitende mit ihrem Firmenkonto verbunden haben.
- Eure Domain: Unbekannte Adressen unter eurer Domain sind ein Hinweis.
- Chats und Lesezeichen: Links, die im Team immer wieder geteilt werden.
Wie sieht eine einfache Inventarliste aus?
Eine Tabelle reicht. Erfasst pro App diese Felder:
- Name und Zweck: in einem Satz
- Zuständige Person und Vertretung
- Nutzer: eine Person, ein Team, die ganze Firma oder auch Externe
- Daten: Stecken darin Daten von Personen, Kundendaten oder Geschäftsgeheimnisse?
- Ort: Laptop, Büro-Rechner oder Anbieter, und auf wessen Konto
- Anmeldung: Firmenkonto, eigenes Passwort oder gar keine
- Backups: vorhanden und getestet, vorhanden oder keine
- Abhängigkeit: Was steht still, wenn die App einen Tag ausfällt?
Legt die Liste an einem gemeinsamen Ort ab, an dem auch neue Apps eingetragen werden.
Wie bringt ihr die Apps in Ordnung, ohne die Leute zu bremsen?
Ordnet jede App einem von vier Ergebnissen zu:
- Behalten: Die App ist klein, enthält keine sensiblen Daten und betrifft nur wenige Personen. Sie bleibt in der Liste.
- Nachziehen: Die App wird gebraucht, aber es fehlen Anmeldung, Backups oder eine Vertretung. Sie zieht auf den Standardweg um.
- Ablösen: Ein vorhandenes System oder ein Standardprodukt kann das Gleiche. Plant den Wechsel und nehmt die Daten mit.
- Abschalten: Niemand nutzt die App mehr. Sichert die Daten, die ihr noch braucht, löscht den Rest und kündigt die Konten.
Beginnt mit den Apps, die Daten von Personen enthalten, ohne Anmeldung erreichbar sind oder an privaten Konten hängen.
Drei Dinge helfen, damit die Beteiligten mitziehen:
- Bietet für neue Apps einen Standardweg an, der wenig Aufwand macht. Die Regeln für Vibe Coding im Unternehmen liefern dafür einen Vorschlag.
- Lasst die App bei den Menschen, die sie gebaut haben. Sie kennen das Problem am besten. Vereinbart die Zuständigkeit aber ausdrücklich und plant Arbeitszeit dafür ein.
- Macht aus den besten Apps Firmenwerkzeuge. Oft können andere Abteilungen die App ebenfalls brauchen.
Wann reicht dieser Ansatz nicht aus?
Steht eine App ohne Anmeldung im Internet und enthält Daten von Personen, wartet nicht auf die Inventur. Schützt oder stoppt sie zuerst und bezieht eure Datenschutzbeauftragten ein. Welche Fragen sich dann stellen, zeigt der Ratgeber Datenschutz bei selbst gebauten Apps. Die Einzelschritte für den Umzug einer App findet ihr in der Checkliste vom Prototyp zum Firmen-Tool.
Was Auftrieb dabei übernimmt
Auftrieb kann der Standardweg sein, auf den die Apps aus der Kategorie Nachziehen umziehen. Ein zentraler Katalog zeigt die vorhandenen Apps, und die Zuständigen einer App entscheiden über Zugangsanfragen. Die Anmeldung läuft über Google Workspace oder Microsoft Entra. Jede Änderung an Apps, Zugängen und Einstellungen wird festgehalten: wer, wann, was und über welches Tool. Wird ein Firmenkonto deaktiviert, endet der Zugang zu den Apps automatisch. Mehr dazu steht auf der Seite Sicherheit.
Stand: November 2026