Eine aktuelle Studie von AXXCON bestätigt es, Geschäftsführer fürchten den IT-Wildwuchs in den Abteilungen. Mehr als die Hälfte der befragten Führungskräfte geht davon aus, dass neben den offiziellen IT-Systemen auch viele dezentral beschaffte Anwendungen im Einsatz sind. Oft handelt es sich dabei sogar um Cloud-Anwendungen.Doch die Schatten-IT geht oft noch weiter, wie wir bei Datenschutzprojekten feststellen konnten. So wird private Hardware verwendet, geschäftliche E-Mails werden an das private E-Mail-Konto weitergeleitet oder das private Smartphone kommt auch für geschäftliche Kommunikation zum Einsatz.
Eine standardisierte IT soll Strukturen homogenisieren und Sicherheitsrisiken minimieren. Außerdem erleichtert sie die Administration. Jedoch untergraben inoffiziell eingesetzte Anwendungen häufig die Bemühungen um sichere IT-Systeme. Jede ungetestet eingesetzte Software kann die Tür für Schädlingen öffnen. Dass die Gefahr durch Schadsysteme nicht unerheblich ist, zeigen die Verschlüsselungstrojaner die in der Vergangenheit ganze Kommunikationssysteme lahm gelegt haben.
Außerdem ist es allein schon schwierig eine heterogene IT-Landschaft zu warten. Es ist aufwendig eine aus einer Vielzahl an Systemen bestehende IT zu kontrollieren, gerade auch in Bezug auf die Verarbeitung personenbezogener Daten. Schwierigkeiten wird bei einer unkontrollierten IT-Struktur die Beantwortung von Auskunftsanfragen Betroffener bereiten. Ob eine Löschanfrage in diesem Fall tatsächlich alle Systeme umfasst, in denen die Daten eines Betroffenen gespeichert sind, ist zweifelhaft.
Weitere Risiken sind dort zu finden, wo personenbezogene Daten außerhalb der offiziellen IT verwendet werden. Nicht kontrollierbar ist beispielsweise ein privates Notebook. Ist es ausreichend gesichert, haben noch andere darauf Zugriff? Verliert jemand ein privates Handy mit personenbezogenen Daten, z.B. mit Kontakten von Geschäftspartnern, könnte es sich dabei um einen Datenschutzverstoß handeln, der schlussendlich das Unternehmen betrifft. Letzlich ist der Verantwortliche, d.h. die Unternehmensleitung, für diese Datenschutzverstöße haftbar.
Daneben verursachen inoffiziell eingesetzte Anwendungen oftmals auch Kosten, die eben den einzelnen Abteilungen zugerechnet werden. Lizenzrechtliche Probleme können ebenfalls die Folge von IT-Wildwuchs sein.
Aufgrund dessen, insbesondere auch wegen der drohenden Bußgeldern bei Datenschutzverstößen, müssen Unternehmen dafür sorgen, dass die Kontrolle der IT auf ihrer Seite bleibt. Homogene IT-Landschaften tragen dazu bei Datenschutzrisiken zu minimieren. Auf jeden Fall ist es notwendig einen Überblick über die eingesetzten Systeme zu bekommen. Gerade die Notwendigkeit ein Verzeichnis der Verarbeitungen aufgrund der DSGVO zu erstellen, kann dabei hilfreich sein. Notwendig ist es auch in Form von Schulungen und Vereinbarungen die Mitarbeiter zu sensibilisieren.