IT-Planung · SaaS und Schatten-IT
Schatten-IT beginnt im kleinen Unternehmen selten mit einem heimlichen Großprojekt. Häufig registriert jemand ein nützliches Onlinetool, meldet sich mit der Firmenadresse an, lädt Kundendaten hoch und bezahlt das Abonnement mit einer Kreditkarte. Später kennt niemand das Administratorkonto, die gespeicherten Daten, verbundene Apps oder den Kündigungsweg.
Das Problem ist nicht die Eigeninitiative der Beschäftigten. Es ist der fehlende betriebliche Rahmen: kein eindeutiger Eigentümer, keine Bewertung der Daten, unkontrollierte OAuth-Berechtigungen, getrennte Benutzerkonten, unbekannte Vertragsverlängerungen und kein geplanter Export. Eine Bestandsaufnahme muss deshalb Anwendungen, Identitäten, Zahlungen, Integrationen und Datenflüsse gemeinsam betrachten.
Dieser Leitfaden führt von der Suche über ein belastbares SaaS-Register bis zur Entscheidung über Freigabe, Einschränkung, Ablösung oder Stilllegung. Er enthält Abfragequellen, Tabellenfelder, Prüfschritte und Abnahmekriterien, die sich auch ohne eigene IT-Abteilung anwenden lassen.
Direkt zu: Einordnung · Fundstellen · SaaS-Register · Konten · Datenflüsse · Bewertung · Stilllegung · Regelprozess
1. Schatten-IT bezeichnet fehlende Steuerung, nicht automatisch ein schlechtes Werkzeug
Ein fachlich passender Cloud-Dienst kann betrieblich ungeeignet betrieben werden. Umgekehrt kann ein bislang ungenehmigtes Werkzeug nach Prüfung regulär übernommen werden.
| Form | Beispiel | Verdecktes Risiko |
|---|---|---|
| Einzelkonto | Ein Mitarbeiter nutzt ein Projekttool mit seiner Firmenadresse. | Daten und Vertrag hängen an einer Person. |
| Privates Konto | Geschäftliche Dateien liegen in einer privaten Cloudablage. | Unternehmen besitzt keinen administrativen Zugriff und keinen geregelten Austritt. |
| Kostenloser Test | Ein Testkonto bleibt nach dem Projekt mit importierten Daten bestehen. | Aufbewahrung, Freigaben und Löschung sind unbekannt. |
| Teamabonnement | Abteilung bezahlt selbst und lädt weitere Nutzer ein. | Keine zentrale Vertrags-, Rollen- oder Kostenkontrolle. |
| OAuth-App | Ein Onlinedienst erhält Zugriff auf E-Mail, Kalender oder Dateien. | Die Anwendung kann Daten lesen oder verändern, ohne eigenes Firmenkennwort zu kennen. |
| Browsererweiterung | Erweiterung verarbeitet Texte, Webseiten oder Zwischenablage. | Datenzugriff und Anbieterwechsel bleiben unbemerkt. |
| Automationsdienst | Workflow verbindet Formulare, CRM, Mail und Tabellen. | Ein Kontoausfall unterbricht mehrere Prozesse und Token bleiben aktiv. |
| Kundenplattform | Beschäftigte arbeiten als Gäste im Dienst eines Auftraggebers. | Geschäftsdaten verlassen eigene Systeme, obwohl kein eigener Vertrag besteht. |
Eine offene Bestandsaufnahme liefert mehr als eine Verbotsaktion
Wer Beschäftigte pauschal mit Sanktionen bedroht, erhält eher unvollständige Angaben. Die Erhebung erklärt ihren Zweck: Daten schützen, Zugänge bei Vertretung erhalten, doppelte Kosten vermeiden und brauchbare Werkzeuge offiziell nutzbar machen. Akut gefährliche Dienste werden trotzdem sofort begrenzt; die übrigen Funde werden geordnet bewertet.
2. Keine einzelne Datenquelle zeigt den vollständigen SaaS-Bestand
Rechnungen zeigen bezahlte Dienste, Identitätsprotokolle verbundene Konten und Gespräche kostenlose oder nur projektbezogene Werkzeuge. Erst der Abgleich erzeugt ein belastbares Bild.
| Quelle | Wonach gesucht wird | Wichtige Grenze |
|---|---|---|
| Buchhaltung | Wiederkehrende Softwarezahlungen, Auslandshändler, App-Stores und Kleinbeträge | Kostenlose Pläne und Kundenzugänge fehlen. |
| Kreditkarten und Zahlungsdienste | Händlername, Betrag, Währung, Karteninhaber und Wiederholung | Händlername kann vom Produktnamen abweichen. |
| Vertragsablage | Aufträge, AV-Verträge, Datenschutzunterlagen und Kündigungsfristen | Ein vorhandener Vertrag beweist keine aktive Nutzung. |
| Registrierung, Einladung, Verifizierung, Rechnung, Sicherheitsmeldung und Export | Inhaltssuche muss betrieblich und datenschutzgerecht erfolgen. | |
| Identitätsplattform | Unternehmensanwendungen, SSO, App-Zustimmungen, Gäste und Anmeldeereignisse | Konten mit eigenem Kennwort erscheinen möglicherweise nicht. |
| Passwortmanager | Geschäftliche Logins und geteilte Tresore | Private oder lokal gespeicherte Kennwörter fehlen. |
| Browser | Installierte Erweiterungen und verwaltbare Anwendungsnutzung | Verlauf ist sensibel, unvollständig und kein alleiniger Nachweis. |
| Firewall und DNS | Regelmäßig kontaktierte Dienste und unbekannte Domains | Domainkontakt beweist weder Benutzer noch Datenübertragung. |
| Arbeitsplätze | Installierte Desktopclients, Syncagenten und Erweiterungen | Webanwendungen ohne Client fehlen. |
| Teamgespräch | Werkzeug, Zweck, Eigentümer, Daten, Integrationen und Ausweichverfahren | Erinnerung und Begriffswahl können unvollständig sein. |
Schritt für Schritt: SaaS-Dienste systematisch entdecken
- Stichtag, betrachtete Rechtsträger, Standorte und Beschäftigtengruppen festlegen.
- Eine geschäftlich verantwortliche Person und technische Koordination benennen.
- Bekannte Cloud- und Softwareliste als Ausgangsbestand exportieren.
- Zwölf Monate Buchungs- und Kartendaten nach wiederkehrenden Softwarehändlern prüfen.
- Produktnamen, Händlernamen, Rechnungsadresse und bezahlende Person zuordnen.
- SSO-Anwendungen, App-Zustimmungen und OAuth-Berechtigungen aus der Identitätsplattform exportieren.
- Aktive Gastkonten und externe Mandanten erfassen, in denen Beschäftigte arbeiten.
- Installierte Browsererweiterungen, Syncclients und Desktopanwendungen aus verwalteten Geräten erheben.
- Geschäftliche Passworttresore nach noch nicht registrierten Diensten abgleichen.
- DNS- und Firewalldaten nur als ergänzende Hinweisliste auswerten.
- Je Arbeitsbereich ein kurzes Gespräch über täglich, monatlich und projektbezogen genutzte Werkzeuge führen.
- Nach KI-, Dateiübertragungs-, Umfrage-, Signatur-, Design-, Automations- und Übersetzungsdiensten ausdrücklich fragen.
- Jeden Fund zunächst ohne voreilige Bewertung in einer Rohfundliste erfassen.
- Doppelte Produktnamen, Subdomains und Händlerbezeichnungen zusammenführen.
- Unklare Funde einer verantwortlichen Person zur Klärung zuweisen.
- Aktive Nutzung, Testkonto, beendeter Dienst und reine Websitekontakte unterscheiden.
- Gefundene Dienste gegen bekannte Geschäftsprozesse und Datenflüsse abgleichen.
- Akut riskante Funde separat eskalieren, ohne die restliche Erhebung abzubrechen.
Netzwerkdaten werden nicht automatisch als Beweis für unerlaubte Nutzung behandelt. Viele Webseiten laden Inhalte von Dritten, und ein einzelner DNS-Aufruf kann aus Werbung oder eingebetteten Funktionen stammen. Erst Konto, Zahlung, Benutzerangabe, installierte Anwendung oder wiederholte fachliche Nutzung bestätigen einen Dienst.
3. Das SaaS-Register verbindet Vertrag, Technik und Geschäftsnutzen
Eine Produktliste mit Preis und Benutzerzahl reicht nicht. Für Vertretung, Sicherheit und Beendigung müssen Eigentum, Daten, Zugänge und Abhängigkeiten erkennbar sein.
| Feldgruppe | Einzutragende Angaben |
|---|---|
| Identität des Dienstes | Produkt, Hersteller, Hauptdomain, Mandant oder Workspace und interne Kennung |
| Geschäftszweck | Prozess, konkrete Nutzung, Fachverantwortung und Bedeutung bei Ausfall |
| Eigentum | Vertragsinhaber, geschäftlicher Eigentümer, technischer Administrator und Vertretung |
| Vertrag | Tarif, Kostenstelle, Zahlungsweg, Laufzeit, Verlängerung und Kündigungsfrist |
| Benutzer | Anzahl, Kontoarten, Gäste, externe Partner, Einladungs- und Austrittsverfahren |
| Authentisierung | SSO oder separates Konto, MFA, Notfallzugang und Wiederherstellung |
| Berechtigungen | Administratoren, Rollen, geteilte Zugänge und App-Berechtigungen |
| Daten | Datenarten, besondere Schutzbedarfe, Umfang, Herkunft und Speicherregion |
| Datenflüsse | Importe, Exporte, Schnittstellen, Automationen, E-Mail und Synchronisation |
| Schutz und Betrieb | Protokolle, Sicherheitsmeldungen, Updates, Anbieterstatus und Supportweg |
| Kontinuität | Backup, Versionierung, Exportformat, Wiederanlauf und manueller Ersatzweg |
| Beendigung | Export, Kontenentzug, Tokenwiderruf, Löschung und Nachweis |
| Bewertung | Status, offene Lücke, Ersatzmaßnahme, Verantwortung und nächster Prüftermin |
Von der Rohfundliste zum freigegebenen Register
- Jedem Fund eine vorläufige eindeutige Kennung geben.
- Produkt, Hersteller und tatsächlichen Mandanten voneinander trennen.
- Mehrere Rechnungen und Domains demselben Dienst zuordnen.
- Aktiven geschäftlichen Zweck mit einer nutzenden Person bestätigen.
- Vertrags- und Administrationsinhaber ermitteln.
- Benutzerkonten und Integrationen technisch exportieren, sofern möglich.
- Datenarten und führenden Speicherort mit Fachverantwortlichen klären.
- Abhängige Arbeitsabläufe und andere Anwendungen verknüpfen.
- Unbekannte Pflichtfelder sichtbar lassen und mit Klärtermin versehen.
- Status „gefunden“, „in Prüfung“, „freigegeben“, „eingeschränkt“ oder „in Stilllegung“ vergeben.
- Geschäftlichen Eigentümer den Eintrag bestätigen lassen.
- Register versionieren und Änderungen über einen festen Prozess pflegen.
4. Konten und Administratorrechte entscheiden über betriebliche Kontrolle
Ein Unternehmen besitzt einen Dienst nicht zuverlässig, wenn Anmeldung, Rechnungen und Wiederherstellung ausschließlich an einer einzelnen Person hängen.
| Prüffeld | Sollzustand | Warnzeichen |
|---|---|---|
| Vertragskonto | Geschäftliche Organisation mit dokumentiertem Eigentümer | Privates Konto oder ehemalige Person als Inhaber |
| Administratoren | Mindestens zwei persönliche, geeignete Administrationswege | Ein geteiltes Kennwort oder nur ein erreichbarer Admin |
| Authentisierung | SSO oder persönliche Konten mit erzwungener geeigneter MFA | Gemeinsamer Login oder MFA nur für einzelne Nutzer |
| Wiederherstellung | Betriebliche Adresse, dokumentierter Prozess und unabhängige Vertretung | Private Mobilnummer einer einzigen Person |
| Gäste | Interner Sponsor, Zweck und Ablaufdatum | Unbekannte Einladungen ohne Verantwortlichen |
| Dienstkonten | Eigentümer, kleinste Rechte, verwaltetes Geheimnis und Protokollierung | Persönliches Konto steuert produktive Automation |
| Abrechnung | Zentrale Rechnungsadresse und nachvollziehbare Kostenstelle | Abonnement verschwindet mit Kreditkarte oder Postfach |
| Austritt | Entzug, Eigentumsübertragung, Datenprüfung und Sitzungswiderruf | Nur Benutzer wird aus einer internen Liste gestrichen |
Schritt für Schritt: Einen personengebundenen SaaS-Dienst übernehmen
- Aktuelle Kontoinhaberin oder aktuellen Kontoinhaber eindeutig feststellen.
- Vertrag, Tarif, Mandant und Zahlungsweg sichern.
- Geschäftlichen Zweck und Fortführungsentscheidung dokumentieren.
- Prüfen, ob der Anbieter eine Organisations- oder Eigentumsübertragung unterstützt.
- Betriebliche Domain und zentrale Rechnungsadresse hinterlegen.
- Eine zweite persönlich benannte Administration einrichten.
- MFA für alle administrativen und normalen Konten erzwingen.
- Private Wiederherstellungsadressen und Telefonnummern kontrolliert ersetzen.
- Benutzer, Gäste, Rollen, Freigaben und aktive Sitzungen exportieren.
- Unnötige Konten und Rechte nach fachlicher Freigabe entziehen.
- API-Schlüssel, OAuth-Apps, Webhooks und Automationen aufnehmen.
- Geheimnisse personengebundener Integrationen rotieren.
- Export- und Wiederherstellungsweg praktisch testen.
- Eigentumswechsel durch erneute Anmeldung beider Administratoren bestätigen.
- Register, Notfallzugang und Austrittsprozess aktualisieren.
5. Eine Datenflusskarte zeigt, was der Dienst tatsächlich empfängt und weitergibt
Der sichtbare Upload ist nur ein Datenweg. Kalenderzugriff, Browsererweiterung, E-Mail-Weiterleitung, API und Export können weitere Informationen bewegen.
| Element | Zu dokumentieren | Beispielfrage |
|---|---|---|
| Quelle | System, Person oder externer Absender | Aus welchem führenden System stammen die Daten? |
| Übertragungsweg | Manueller Upload, Sync, API, E-Mail, Erweiterung oder Automation | Wer oder was löst die Übertragung aus? |
| Datenart | Kontakt-, Vertrags-, Personal-, Finanz-, Inhalts- oder technische Daten | Enthält der Strom besondere oder vertrauliche Informationen? |
| Zweck | Konkreter Arbeitsschritt und erwartetes Ergebnis | Ist die gesamte Datenmenge dafür erforderlich? |
| Empfänger | SaaS-Anbieter, Unterdienst, Gast, Kunde oder verbundene App | Wer kann die Daten lesen oder verändern? |
| Speicherung | Mandant, Region, Aufbewahrung, Versionierung und Löschung | Bleibt eine Kopie nach Ende des Vorgangs bestehen? |
| Rückweg | Export, Synchronisation, Webhook oder manuelle Übernahme | Welches System gilt nach der Bearbeitung als führend? |
| Kontrolle | Protokoll, Freigabe, Fehleralarm und verantwortliche Person | Wie wird eine fehlerhafte oder doppelte Übertragung bemerkt? |
Schritt für Schritt: Einen SaaS-Datenfluss nachvollziehen
- Einen realen Geschäftsfall vom Eingang bis zum Ergebnis auswählen.
- Alle dabei geöffneten Anwendungen und Konten notieren.
- Ursprüngliche Datenquelle und führendes System bestimmen.
- Manuelle Uploads, Kopien, E-Mails und Zwischenablagen erfassen.
- Verbundene Apps, OAuth-Berechtigungen, API-Schlüssel und Webhooks prüfen.
- Browsererweiterungen und lokale Syncordner einbeziehen.
- Je Übertragung Datenfelder und erforderlichen Zweck benennen.
- Empfängerrollen, Gäste und mögliche Unterdienste dokumentieren.
- Speicherung, Aufbewahrung, Versionierung und Löschweg klären.
- Rückübertragung in das führende System nachvollziehen.
- Fehler-, Doppelungs- und Abbruchverhalten testen.
- Kontrollpunkt und verantwortliche Person je kritischem Übergang festlegen.
- Nicht erforderliche Datenfelder oder Integrationen entfernen.
- Diagramm und Register anhand des getesteten Falls aktualisieren.
Eine Datenflusskarte muss kein großes Architekturdiagramm sein. Für ein kleines Team genügt eine Tabelle aus Quelle, Dienst, Übertragungsweg, Datenart, Ziel und Verantwortung. Entscheidend ist, dass Abhängigkeiten und Kopien sichtbar werden und ein späterer Export nicht mit vollständiger Löschung verwechselt wird.
6. Jeder Fund erhält eine nachvollziehbare Entscheidung
Die Entscheidung folgt Geschäftsnutzen, Daten, Zugriffsmodell, Integrationen, Kontinuität und Vertrag. Bekanntheit des Produktnamens ersetzt diese Prüfung nicht.
| Entscheidung | Geeignet, wenn | Erforderliche Folgearbeit |
|---|---|---|
| Freigeben | Nutzen, Schutz, Vertrag, Eigentum und Exit angemessen sind. | In Register, Beschaffung, Konten- und Prüfprozess aufnehmen. |
| Freigeben mit Auflagen | Begrenzte Lücken kurzfristig beherrschbar sind. | Auflage, Ersatzmaßnahme, Verantwortung und Endtermin festlegen. |
| Nutzung einschränken | Dienst für unkritische Daten geeignet, für sensible Inhalte aber unklar ist. | Zulässige Daten und Funktionen technisch und organisatorisch begrenzen. |
| Konsolidieren | Mehrere Dienste denselben Zweck mit verstreuten Daten erfüllen. | Zielplattform wählen, Inhalte migrieren und Doppelverträge beenden. |
| Ersetzen | Geschäftszweck bleibt, Dienst erfüllt wesentliche Anforderungen nicht. | Alternativen prüfen, Migration testen und kontrolliert umstellen. |
| Stilllegen | Kein fortbestehender Zweck oder unverhältnismäßiges Risiko besteht. | Daten exportieren, Integrationen trennen, Konten löschen und Vertrag beenden. |
| Sofort sperren | Akute Exposition, unberechtigter Datenzugriff oder laufender Vorfall erkennbar ist. | Vorfallsreaktion, Beweiserhalt und sichere Eindämmung koordinieren. |
| Weiter untersuchen | Eigentum, Daten oder technische Wirkung unbekannt bleiben. | Klärfrage, Verantwortliche und kurze Frist festlegen. |
Prüffragen vor einer Freigabe
- Welcher konkrete Geschäftsprozess benötigt den Dienst?
- Welche Daten werden eingegeben, importiert, erzeugt oder exportiert?
- Wer besitzt Vertrag, Mandant und mindestens zwei Administrationswege?
- Wie werden MFA, Benutzer, Gäste und Rollen verwaltet?
- Welche Apps, APIs, Postfächer, Kalender oder Speicher sind verbunden?
- Welche Protokolle und Sicherheitsmeldungen sind verfügbar?
- Wie werden Daten gesichert, versioniert oder exportiert?
- Wie lange kann der Prozess ohne den Anbieter arbeiten?
- Welche vertraglichen, datenschutzbezogenen und branchenspezifischen Anforderungen gelten?
- Wie werden Benutzer und Integrationen bei Austritt entzogen?
- Wie lässt sich der vollständige Datenbestand in einem brauchbaren Format herausgeben?
- Wie werden Konto, Kopien und Vertrag am Ende nachweisbar beendet?
7. App-Zustimmungen und Automationen werden als eigenständige Zugänge behandelt
Das Löschen eines Benutzerkontos beendet nicht zwingend eine Anwendung, die eigene Berechtigungen, Token oder Webhooks besitzt.
| Feld | Zu dokumentieren |
|---|---|
| Anwendung | Name, Herausgeber, App-ID und zugehöriger SaaS-Dienst |
| Zustimmung | Benutzer- oder Administratorzustimmung, Datum und freigebende Person |
| Berechtigungen | Lesen, schreiben, senden, offline zugreifen oder administrieren |
| Reichweite | Ein Benutzer, Gruppe, gesamter Mandant oder bestimmte Ressourcen |
| Identität | Ausführendes Konto, Dienstprinzipal oder technische Identität |
| Geheimnis | Zertifikat, Schlüssel, Ablauf und verantwortliche Rotation |
| Datenfluss | Quelle, Ziel, Frequenz und Fehlerbehandlung |
| Eigentümer | Geschäftliche und technische Verantwortung samt Vertretung |
| Beendigung | Widerruf, Tokenentzug, Schlüsselrotation und Funktionstest |
Schritt für Schritt: Eine unbekannte OAuth-App prüfen
- Anwendungsname, App-ID, Herausgeber und Zeitpunkt der Zustimmung erfassen.
- Zustimmende Person und Art der Zustimmung bestimmen.
- Gewährte Berechtigungen wörtlich exportieren.
- Reichweite auf Benutzer, Postfächer, Dateien oder Mandant abgrenzen.
- Letzte Anmeldung und erkennbare Nutzung prüfen.
- Geschäftlichen Zweck und verantwortliche Person ermitteln.
- Zugehörigen Vertrag und Datenschutzprüfung suchen.
- Prüfen, ob die Berechtigungen für den Zweck erforderlich sind.
- Bei akutem Risiko Token und Sitzungen nach Vorfallsverfahren widerrufen.
- Bei regulärer Ablösung Daten und Automation zunächst kontrolliert sichern.
- Zustimmung entfernen und zugehörige Geheimnisse rotieren.
- Prüfen, ob Anwendung keinen weiteren Zugriff mehr besitzt.
- Abhängige Arbeitsabläufe auf Fehler und Ersatzweg testen.
- Entscheidung und Ergebnis im SaaS-Register dokumentieren.
8. Stilllegung umfasst Daten, Konten, Integrationen, Vertrag und Nachweis
Die Schaltfläche „Konto löschen“ ist erst der letzte technische Schritt. Vorher müssen Aufbewahrung, Export, Abhängigkeiten und führende Datenbestände geklärt sein.
Schritt für Schritt: Einen SaaS-Dienst kontrolliert stilllegen
- Stilllegung durch geschäftlichen Eigentümer freigeben lassen.
- Stichtag, Verantwortliche und betroffene Benutzer informieren.
- Neue Datenanlage und neue Einladungen kontrolliert stoppen.
- Aufbewahrungs-, Vertrags- und Löschanforderungen klären.
- Vollständigen Datenbestand und Konfiguration inventarisieren.
- Geeignetes Exportformat und Zielsystem festlegen.
- Probeexport durchführen und auf Lesbarkeit, Struktur und Vollständigkeit prüfen.
- Produktiven Export mit Datum und Umfang erzeugen.
- Daten in das Zielsystem importieren oder geschützt archivieren.
- Fachverantwortliche Person reale Fälle und Summen prüfen lassen.
- Automationen, APIs, Webhooks und E-Mail-Weiterleitungen geordnet abschalten.
- Abhängige Systeme auf Fehlermeldungen und unvollständige Prozesse prüfen.
- Benutzer, Gäste und externe Freigaben entziehen.
- OAuth-Zustimmungen, Token, API-Schlüssel und Sitzungen widerrufen.
- DNS-Einträge, Browsererweiterungen, Syncclients und Geräteagenten entfernen.
- Abonnement fristgerecht kündigen und Bestätigung sichern.
- Verbleibende Daten beim Anbieter nach vereinbartem Verfahren löschen.
- Organisation oder Mandant erst nach bestätigtem Export und Ablauf notwendiger Fristen löschen.
- Zugriff auf alten Dienst von einem Testkonto aus kontrollieren.
- Rechnungen auf weitere Abbuchungen überwachen.
- Register mit Exportort, Löschstatus, Kündigung und Nachweisen schließen.
| Prüfung | Bestanden, wenn |
|---|---|
| Daten | Export vollständig, lesbar, geschützt abgelegt und im Ziel verwendbar ist. |
| Geschäftsprozess | Neuer Ablauf funktioniert und offene Vorgänge übernommen wurden. |
| Konten | Benutzer, Gäste, Administratoren und aktive Sitzungen beendet sind. |
| Integrationen | OAuth, API, Webhooks, Sync und Weiterleitungen widerrufen wurden. |
| Endgeräte | Clients, Erweiterungen, lokale Kopien und gespeicherte Anmeldungen behandelt sind. |
| Vertrag | Kündigung, Ende, letzte Rechnung und weitere Zahlung geklärt sind. |
| Löschung | Anbieterseitige Löschung entsprechend Vereinbarung dokumentiert ist. |
| Register | Status, Nachweise, Restpflichten und Archivort vollständig stehen. |
9. Praxisbeispiel: Ein unbekanntes Dateiportal vollständig aufklären
Auf der Firmenkreditkarte erscheint monatlich eine Abbuchung eines unbekannten Softwarehändlers. Die Recherche ordnet sie einem Dateiportal zu, über das eine Projektgruppe Unterlagen mit Kunden austauscht. Der Zugang wurde vor zwei Jahren mit dem persönlichen Konto eines inzwischen ausgeschiedenen Mitarbeiters angelegt. Eine sofortige Sperre würde laufende Projekte unterbrechen; bloßes Weiterbezahlen ließe Eigentum, Datenzugriffe und Löschung ungeklärt. Der Fund wird deshalb als zusammenhängender Geschäftsprozess untersucht.
| Prüfschritt | Konkreter Befund | Folgerung |
|---|---|---|
| Zahlung zuordnen | Händlername, Rechnungsbetrag und Karteninhaber führen zum Dateiportal. | Vertrag und Kostenstelle werden im Register ergänzt. |
| Mandant bestimmen | Die Firmenadresse ist nur Benutzer; Eigentümer bleibt das frühere Privatkonto. | Der Dienst gilt bis zur Übernahme als personengebunden. |
| Nutzer erfassen | Sieben Beschäftigte und vier externe Gäste besitzen Zugriff. | Jede Berechtigung benötigt Zweck, Sponsor und Enddatum. |
| Daten prüfen | Kundenangebote, Baupläne und unterschriebene Abnahmen liegen im Portal. | Export, Schutzbedarf und vertragliche Anforderungen werden vor einer Änderung geklärt. |
| Freigaben prüfen | Zwei Ordner sind über nicht ablaufende öffentliche Links erreichbar. | Links werden inventarisiert, ersetzt und anschließend widerrufen. |
| Integrationen prüfen | Ein persönliches E-Mail-Konto sendet automatische Uploadbestätigungen. | Automation wird auf ein betrieblich verwaltetes Konto umgestellt. |
| Exit testen | Der Export enthält Dateien, aber keine vollständige Rechte- und Versionshistorie. | Zusätzlich werden Nutzer-, Freigabe- und Aktivitätslisten gesichert. |
| Entscheiden | Der Dienst bleibt fachlich erforderlich und lässt sich in einen Firmenmandanten überführen. | Freigabe folgt erst nach Eigentumswechsel, MFA, Rollenbereinigung und Exporttest. |
Die Abnahme erfolgt mit einem echten Projektfall: Eine interne Person lädt eine Datei hoch, ein freigegebener Gast ruft sie ab, eine nicht mehr berechtigte Testperson erhält keinen Zugriff und die Bestätigung erreicht das betriebliche Postfach. Danach werden alte Freigabelinks, Sitzungen und Wiederherstellungswege widerrufen. Buchhaltung und Register enthalten denselben Vertragsinhaber, Tarif und Kündigungstermin. Erst diese miteinander verknüpften Nachweise zeigen, dass der Dienst organisatorisch und technisch übernommen wurde.
10. Ein schneller Freigabeweg verhindert neue Schatten-IT besser als ein pauschales Verbot
Beschäftigte weichen aus, wenn ein benötigtes Werkzeug nur über einen unklaren monatelangen Prozess beschafft werden kann. Eine risikogerechte Vorprüfung bleibt kurz und verbindlich.
| Stufe | Beispiel | Prüfumfang |
|---|---|---|
| Einfach | Tool ohne Anmeldung und ohne Eingabe nicht öffentlicher Daten | Zweck, Anbieter, lokale Installation und Lizenz |
| Begrenzt | Konto mit internen, wenig kritischen Arbeitsdaten | Eigentum, MFA, Daten, Vertrag, Export und Löschung |
| Erweitert | Kunden-, Personal-, Finanz- oder vertrauliche Geschäftsdaten | Datenschutz, Rollen, Protokolle, Unterdienste, Kontinuität und Vertrag |
| Kritisch | Administration, Identität, produktive Automation oder zentrale Datenhaltung | Architektur, starke Authentisierung, Notfallzugang, Backup, Test und formale Freigabe |
| Nicht zulässig | Ungeklärtes Eigentum, verbotener Datenzugriff oder unbeherrschbare Kernlücke | Begründung, möglicher Ersatz und kontrollierte Beseitigung |
Mindestangaben eines neuen SaaS-Antrags
- Antragstellende Person und fachlich verantwortliche Rolle
- Produkt, Anbieter, Tarif und gewünschter Starttermin
- Konkreter Geschäftszweck und bisheriger Ersatzweg
- Benutzergruppen, Gäste und benötigte Administratoren
- Datenarten, erwarteter Umfang und führende Quelle
- Benötigte Integrationen, Berechtigungen und Automationen
- Kosten, Laufzeit, Zahlungsweg und Kündigungsfrist
- Auswirkung bei Ausfall oder Kontoverlust
- Export-, Lösch- und Beendigungsweg
- Gewünschter Pilotumfang und fachlicher Abnahmetest
Ein kleiner Pilot erhält begrenzte Daten, wenige benannte Konten und ein festes Ende. Nach dem Test werden Nutzen, Datenfluss, Rollen und Export bewertet. Erst die positive Abnahme führt zur regulären Beschaffung; ein abgelehnter Pilot wird vollständig stillgelegt.
11. Das Register bleibt durch feste Ereignisse und Stichproben aktuell
Eine jährliche Liste veraltet unmittelbar, wenn neue Beschäftigte, Projekte, Apps oder Zahlungen nicht in den laufenden Prozess einfließen.
| Auslöser | Registeränderung | Kontrolle |
|---|---|---|
| Neue Beschaffung | Dienst, Vertrag, Eigentümer, Daten und Konten anlegen | Pilot und Freigabe vollständig |
| Neuer Benutzer | Rolle, Lizenz und erforderliche Zugänge zuordnen | Kein gemeinsames oder privates Konto |
| Austritt | Eigentum übertragen, Konto, Token und Freigaben entziehen | Kontenexport und Stichprobe |
| Neue Integration | Berechtigung, Datenfluss, Geheimnis und Eigentümer ergänzen | Minimaler Geltungsbereich und Test |
| Tarif- oder Vertragswechsel | Kosten, Funktionen, Laufzeit und Datenbedingungen aktualisieren | Schutz und Exit weiterhin ausreichend |
| Sicherheitsmeldung | Betroffenheit, Maßnahme und Restpunkt dokumentieren | Anbieterhinweis bis Abschluss verfolgen |
| Quartalsstichprobe | Zahlungen, Apps und Konten gegen Register abgleichen | Neue Funde und Differenzen bearbeiten |
| Jahresprüfung | Nutzen, Benutzer, Rechte, Daten, Kosten und Beendigung bestätigen | Geschäftlicher Eigentümer gibt Eintrag frei |
Quartalsweise Kontrollrunde in fünfzehn Schritten
- Aktuellen Registerstand mit Datum einfrieren.
- Neue Softwarezahlungen seit der letzten Prüfung exportieren.
- SSO- und OAuth-Anwendungen sowie Administratorzustimmungen exportieren.
- Aktive Gäste und externe Konten erfassen.
- Neue Browsererweiterungen und Syncclients auf verwalteten Geräten prüfen.
- Funde nach Produkt, Mandant und Eigentümer zusammenführen.
- Neue Dienste einem Geschäftsprozess zuordnen.
- Unbekannte Kontoinhaber oder Datenflüsse kurzfristig klären.
- Abgelaufene Piloten auf Freigabe oder Stilllegung prüfen.
- Überfällige Vertrags- und Kündigungstermine markieren.
- Administrator- und Wiederherstellungswege stichprobenartig testen.
- Offene Sicherheitsmeldungen und Anbieteränderungen abgleichen.
- Stillgelegte Dienste auf Restzahlungen und aktive Integrationen prüfen.
- Abweichungen mit Verantwortung, Termin und Abnahmekriterium erfassen.
- Neue Registerversion freigeben und frühere Fassung nachvollziehbar archivieren.
Häufige Fragen zu Schatten-IT und SaaS-Inventar
Ist jeder nicht zentral beschaffte Onlinedienst Schatten-IT?
Entscheidend ist, ob der Dienst betrieblich bekannt, bewertet und gesteuert wird. Eine dezentrale Beschaffung kann geregelt sein. Schatten-IT entsteht, wenn Eigentum, Daten, Zugänge oder Risiken außerhalb des vorgesehenen Prozesses bleiben.
Kann eine Firewall alle unbekannten SaaS-Dienste finden?
Nein. Sie kann Verbindungen und Domains sichtbar machen, aber Benutzer, Geschäftszweck, Konten und Dateninhalt meist nicht vollständig bestimmen. Mobile Geräte, fremde Netze und verschlüsselte Dienste begrenzen die Sicht zusätzlich. Netzwerkdaten bleiben eine Fundquelle unter mehreren.
Müssen gefundene Dienste sofort gesperrt werden?
Nur bei akuter Gefahr ist sofortige Eindämmung angemessen. Sonst werden Nutzen, Daten, Konten, Integrationen und Exit geprüft. Eine unvorbereitete Sperre kann Geschäftsprozesse unterbrechen oder den einzigen Zugriff auf betriebliche Daten vernichten.
Reicht eine Liste der monatlichen Abonnements?
Nein. Kostenlose Dienste, Testkonten, Browsererweiterungen, Gastzugänge und selbst erteilte App-Berechtigungen fehlen. Außerdem zeigt eine Rechnung weder gespeicherte Daten noch Administratoren, Integrationen oder Löschweg.
Was geschieht mit privaten Konten, die Geschäftsdaten enthalten?
Der Dienst wird zunächst gesichert und der Datenbestand erfasst. Danach werden Eigentumsübertragung oder kontrollierter Export, betriebliche Zielablage, Integrationen und Löschung geplant. Das private Konto wird nicht vorschnell gelöscht, solange dadurch benötigte Daten verloren gehen könnten.
Wie häufig sollte das SaaS-Register geprüft werden?
Neue Beschaffungen, Integrationen sowie Ein- und Austritte aktualisieren es sofort. Eine regelmäßige Stichprobe gegen Zahlungen, Identitätsanwendungen und Geräte findet zusätzlich statt; der genaue Turnus richtet sich nach Änderungsrate und Risiko. Mindestens jährlich bestätigen die geschäftlichen Eigentümer Nutzen und Zustand.
Weiterführende fachliche Grundlagen
SaaS-Dienste, Konten und Datenflüsse wieder unter betriebliche Kontrolle bringen
fra.digital unterstützt kleine Unternehmen in Frankfurt bei der SaaS-Bestandsaufnahme, Prüfung von Microsoft-365-App-Zustimmungen, Konten- und Rollenbereinigung, Datenflussdokumentation sowie der kontrollierten Übernahme oder Stilllegung unbekannter Dienste. Das Ergebnis bleibt als pflegbares Register mit klaren Verantwortlichkeiten im Unternehmen.
