Kernfrage Neu
KI-aufbereitet · Von Autoren geprüft
Wie können Organisationen beim Umgang mit nicht autorisierter Technologie Cybersicherheitsrisiken und Mitarbeiterbedürfnisse wirksam in Einklang bringen?
Lädt den Spotify-Player; Spotify kann Cookies setzen. Dieses Gerät merkt sich Ihre Auswahl.
Zentrale Ergebnisse
- Es wurden vier verschiedene organisatorische Archetypen für den Umgang mit Schatten-IT identifiziert, die jeweils zu unterschiedlich starker Nutzung nicht autorisierter Technologien führen (von sehr selten bis sehr häufig).
- Nutzer von Schatten-IT lassen sich in zwei Typen unterteilen: technikaffine, zielorientierte Akteure („Goal-Oriented Actors“), die Risiken bewusst abwägen, und weniger sensibilisierte Mitläufer („Followers“), die ein größeres Sicherheitsrisiko darstellen.
- Ein erfolgreiches Management von Schatten-IT gelingt durch die Abstimmung von Cybersicherheitsrichtlinien auf die Nutzerbedürfnisse mittels transparenter Kommunikation und schnellem IT-Support.
- Die Studie formuliert 10 praktische Empfehlungen, darunter das Akzeptieren der Existenz von Schatten-IT, der Aufbau von User-Experience-Teams und die zielgruppenspezifische Steuerung verschiedener Nutzertypen, um Potenziale zu nutzen und Risiken zu minimieren.
Bedeutung für die Praxis
CIO / IT-Leitung
Establish a dedicated user experience team within IT to evaluate employee needs and streamline the formal approval process for new digital technologies.
IT-Management
Differentiate support strategies by identifying tech-savvy risk-managers versus less aware followers, providing targeted security guidance to the higher-risk group.
Unternehmensstrategie
Conduct an inventory of unauthorized digital technologies currently used across departments to integrate their core functionalities into official enterprise strategy.
Forschung
Investigate how the four organizational archetypes for managing Shadow IT impact long-term enterprise innovation versus security incidents.
Politische Entscheidungsträger
Draft regulatory frameworks that mandate clear organizational communication explaining the exact reasons behind cybersecurity rules and why their compliance is enforced.
Zusammenfassung
Diese Studie analysiert, wie Unternehmen die Nutzung nicht autorisierter Technologien, bekannt als Schatten-IT, steuern können. Auf Basis von Interviews mit 44 Beschäftigten aus 34 Unternehmen identifiziert die Untersuchung vier gängige organisatorische Ansätze und liefert 10 Handlungsempfehlungen für IT-Führungskräfte, um Sicherheitsrisiken und Mitarbeiterbedürfnisse effektiv auszubalancieren.
Problemstellung
Mitarbeitende nutzen häufig nicht genehmigte Anwendungen und Dienste (Schatten-IT), um produktiver zu arbeiten, was jedoch erhebliche Cybersicherheitsrisiken wie Datenlecks und Malware-Infektionen verursacht. Unternehmen stehen vor der Herausforderung, diese Praxis einzudämmen, ohne die Arbeitseffizienz zu behindern. Der Konflikt liegt im Ausbalancieren von Sicherheitsrichtlinien und den tatsächlichen Anforderungen der Anwender.
Transkript
Expert: Hallo Anna. Schön, wieder hier zu sein.
Host: Alex, Schatten-IT ist in vielen Organisationen ein Dauerbrenner. Wo liegt genau der Kern des Problems, den die Studie beschreibt?
Expert: Der Kernkonflikt liegt zwischen Produktivität und Sicherheit. Beschäftigte greifen oft eigenmächtig zu Cloud-Diensten, Apps oder kollaborativen Werkzeugen, weil offizielle Systeme ihre Arbeitsabläufe verlangsamen oder bestimmte Anforderungen nicht abdecken. Das steigert kurzfristig die individuelle Effizienz. Gleichzeitig entstehen dadurch jedoch erhebliche Cybersicherheitsrisiken: Unternehmensdaten können abfließen, Compliance-Vorgaben werden verletzt und Systeme werden anfällig für Malware. Versuchen Unternehmen, dies mit pauschalen Verboten zu lösen, behindert das die Arbeitsprozesse und treibt die Nutzung oft nur weiter in den verdeckten Bereich.
Host: Wie sind die Autoren methodisch vorgegangen, um dieses Phänomen zu untersuchen?
Expert: Die Autoren haben einen qualitativen Forschungsansatz gewählt. Die Datengrundlage bilden strukturierte Interviews mit 44 Beschäftigten aus 34 verschiedenen Unternehmen. Auf dieser Basis wurden sowohl das individuelle Verhalten der Anwender als auch die organisatorischen Reaktionen und Sicherheitsansätze der IT-Abteilungen erfasst und analysiert.
Host: Welche zentralen Ergebnisse liefert die Studie?
Expert: Erstens identifiziert die Untersuchung vier organisatorische Archetypen im Umgang mit Schatten-IT, die sich darin unterscheiden, wie stark nicht genehmigte Technologien im Unternehmen tatsächlich genutzt werden – von sehr selten bis sehr häufig. Zweitens zeigt die Studie, dass sich die Nutzer von Schatten-IT in zwei Gruppen teilen lassen: zielorientierte Akteure, sogenannte „Goal-Oriented Actors“, und Nachahmer, die „Followers“.
Host: Worin unterscheiden sich diese beiden Nutzertypen?
Expert: Die zielorientierten Akteure sind meist technikaffin und suchen gezielt nach Software, um ein konkretes Arbeitsproblem zu lösen. Sie wägen Sicherheitsrisiken oft eigenständig ab. Die Nachahmer hingegen nutzen unautorisierte Werkzeuge schlicht deshalb, weil Kollegen sie verwenden. Sie besitzen oft kein Bewusstsein für die damit verbundenen Risiken und stellen daher die größere Sicherheitsgefahr dar.
Host: Das ist eine wesentliche Differenzierung. Warum ist diese Unterscheidung für die Unternehmenspraxis so wichtig?
Expert: Weil ein pauschaler Sicherheitsansatz scheitert. Die Studie formuliert zehn praktische Empfehlungen für IT-Führungskräfte. Der erste Schritt besteht darin, die Existenz von Schatten-IT zu akzeptieren, statt sie ausschließlich als Regelverstoß zu betrachten. Ungenehmigte Tools zeigen auf, wo offizielle Systeme die Anforderungen der Praxis verfehlen.
Host: Welche Maßnahmen empfiehlt die Studie den IT-Verantwortlichen konkret?
Expert: Ein wichtiger Hebel ist die Einrichtung von internen Teams für User Experience, um Softwareangebote näher an den Arbeitsalltag der Beschäftigten heranzuführen. Zudem sind schnelle, transparente Freigabeprozesse notwendig, damit Anfragen nicht monatelang blockiert werden. Darüber hinaus sollten IT-Abteilungen zielgruppenspezifisch vorgehen: Zielorientierte Akteure können als Impulsgeber für nützliche Software eingebunden werden, während Nachahmer klare Orientierung, passgenaue Alternativen und grundlegende Sicherheitsschulungen benötigen.
Host: Zusammenfassend zeigt die Studie, dass ein effektives Management von Schatten-IT nicht auf reinen Verboten beruht, sondern auf der Abstimmung von Cybersicherheitsrichtlinien mit den tatsächlichen Nutzerbedürfnissen. Vielen Dank für diese Einblicke, Alex.
Expert: Sehr gerne, Anna.
Host: Und vielen Dank an Sie fürs Zuhören. Bis zur nächsten Folge von A.I.S. Insights — powered by Living Knowledge.
Shadow IT, Cybersecurity, IT Governance, User Needs, Risk Management, Organizational Culture, IT Policy