Rubrik IT / Verwaltung / Security

Schatten-IT in der Verwaltung: Das unterschätzte Sicherheitsrisiko

18.06.2026 – Lesezeit ca. 10 Minuten 6

Nicht alles, was genutzt wird, nützt auch. Unter Umständen kann es sogar schädlich sein. Wenn ein Tool dazu genutzt wird, eine Datei zu versenden, mag der Nutzen auf der Hand liegen. Auf den ersten Blick zumindest. Denn wenn eine Verwaltung damit sensible Informationen teilt, deren Zugriffsrechte, geschweige denn Speicherorte, unklar sind, übersteigt das Risiko eindeutig den Nutzen. Gerade in der aktuellen Debatte über Datensouveränität und -sicherheit müssen Verwaltungen sich deshalb mit der Frage auseinandersetzen, wie sicher ihre Tools sind. Das funktioniert nur, wenn sie Anwenderfreundlichkeit mitdenken. Genutzt wird schließlich, was funktioniert.

Der „einfache“ Weg zur Schatten-IT

Auch in öffentlichen Ämtern muss es schnell gehen. Die Pläne für die neue Brücke liegen schon in einer Dropbox, die das Architekturbüro für die Zusammenarbeit eingerichtet hat, da fällt ein weiteres Dokument nicht auf. Es mag einen offiziellen Weg geben, aber der erfordert ein eigenes Passwort und die Oberfläche des Programms ist nicht intuitiv bedienbar. Die Gründe für die Nutzung von Schatten-IT liegen selten in böser Absicht, sondern in der Praktikabilität des Alltags. Niemand macht es sich gerne kompliziert, wenn es auch einen Weg mit wenigen Klicks und einer angenehmen Nutzeroberfläche gibt.

Das Problem dabei: Wenn Dateien auf dem inoffiziellen Weg der Schatten-IT versendet werden, gerät schnell aus dem Blick, auf welchen Servern sie abliegen und wer potenziell Zugriff auf sie haben könnte. Gerade beim Dateiversand können dadurch große Lücken in der Datensicherheit mit schwerwiegenden Folgen entstehen. Deshalb ist es auch im Alltag wichtig, das Thema in die digitalen Prozesse einzubinden.

Zugriffsrechte definieren und prüfen

Vorab ist wichtig zu verstehen, welchen Risiken Daten ausgesetzt sind. Das reicht von der der Organisation, wer im Haus auf einen geteilten Ordner zugreifen darf, bis hin zur Frage, ob fremde Staaten Geburtsurkunden und Baugenehmigungen einsehen können.

Zunächst zu den geteilten Ordnern. Im Alltag werden geteilte Ordner schnell eingerichtet, die Zugriffsrechte aber selten konsequent gepflegt. Wer einmal Zugriff hatte, behält ihn meistens. Auch dann, wenn er das Amt längst verlassen hat oder das Projekt abgeschlossen ist. So können ehemalige Mitarbeitende mitlesen, was eigentlich nicht mehr ihre Sache ist: laufende Personalvorgänge, neue Ausschreibungen, interne Vermerke. Und über weitergeleitete Links landen Dokumente schneller bei Außenstehenden, als vielen lieb ist – im ungünstigsten Fall bei einem Journalisten, der die noch unfertige Ausschreibung für die neue Brücke zur Hand bekommt, bevor sie offiziell veröffentlicht wird.

Dagegen helfen nur klar definierte Zugriffsrechte, die einzelnen Personen oder Funktionen explizit zugewiesen – und entzogen – werden können. Mit einem organisierten Zugriff ist jedoch nur die erste, organisatorische Seite der Datensicherheit abgedeckt.

Wo liegen die Daten wirklich?

Darauf aufbauend muss man eine weitere, komplexere Ebene einbeziehen: die der Datenspeicherung. Hier setzt das Friedrichshafener Softwareunternehmen doubleSlash an und stellt eine Frage in den Raum, die in vielen Verwaltungen nicht eindeutig beantwortet werden kann: Wissen Sie, wo Ihre Daten in diesem Moment gespeichert sind und wer aktuell Zugriff darauf hat? Zwei kritische Szenarien tauchen dabei typischerweise auf:

Szenario 1: Die Daten werden in einem Rechenzentrum in Europa gespeichert. Das mag ein gutes Gefühl geben, ausreichend ist das allerdings nicht mehr, da auch der Hauptsitz des Betreibers über die Zugriffsrechte auf die Daten entscheidet. Das gilt zumindest für US-amerikanische Unternehmen. Der 2018 beschlossene CLOUD Act erlaubt den US-Behörden den Zugriff auf im Ausland gespeicherte Daten, wenn sie unter der Kontrolle von US-Unternehmen sind. Das betrifft also Microsoft Office genauso wie Google Workplace. Was vielen nicht bewusst ist: Auch europäische Unternehmen, die von US-amerikanischen aufgekauft wurden, fallen unter diese Regelung. Wer auf der sicheren Seite sein will, prüft also nicht nur den Speicherort, sondern auch die Eigentumsverhältnisse des Anbieters.

Szenario 2: Datenhandel wird betrieben, ohne dass IT-Verantwortliche darüber im Bilde sind. Um Datensouveränität zu gewährleisten, sollten die Geschäftsbedingungen vor jedem Kauf und mit jeder Aktualisierung geprüft werden. Denn leider gelten Daten als „modernes Gold“ und können teuer weiterverkauft werden. Wenn nicht eindeutig ist, unter welchen Bedingungen sie gespeichert sind, können sie beispielsweise für Werbung oder für das Training einer KI genutzt werden. Ob es nun um die Zugriffsrechte auf einzelne Ordner oder Datensätze in Rechenzentren in und außerhalb von Europa geht – die Kontrolle über seine Daten zu bewahren, bedeutet sich genau damit zu beschäftigen, wer sie, wann und wo einsehen könnte.

Eine Frage von Vertrauen und Digitalisierung

Könnten nicht autorisierte Personen Zugriff auf die Daten des öffentlichen Sektors erhalten, wird es schließlich besonders brisant: Einerseits, da mit personenbezogenen Daten und öffentlich relevanten Informationen gearbeitet wird, die man ungern in den Händen fremder Unternehmen oder Staaten wissen möchte. Andererseits, weil ein Datenverlust letztlich mit einem Vertrauensverlust in die öffentlichen Dienstleister einhergehen kann. Dies gilt es unbedingt zu vermeiden, insbesondere, da erwartet wird, dass sich unsere Verwaltungen und Behörden schnell und sicher digitalisieren. Je weiter die Digitalisierung voranschreitet, desto unvermeidbarer wird der Umgang mit diesen Herausforderungen.

DSGVO im Alltag oft schwer umsetzbar

Für den alltäglichen Balanceakt zwischen Digitalisierung und Sicherheit gibt es eine zentrale Richtlinie: die Datenschutzgrundverordnung, auch DSGVO. Sie bestimmt, wie mit personenbezogenen Daten umgegangen werden muss, um den Schutz der Privatsphäre zu gewährleisten.

Praktische Umsetzung oft schwierig

Tatsächlich sind die Grundbestimmungen der europäischen Verordnung den meisten Mitarbeitenden im öffentlichen Sektor bekannt. Die Brücke von diesem Verständnis in die tägliche Praxis zu schlagen, gestaltet sich jedoch schwieriger. Einerseits sind die recht strengen Anforderungen in der Praxis gelegentlich schwer umsetzbar. Die vorgegebenen Tools, die den internen Sicherheitsstandards entsprechen, sind nicht immer so bequem zu nutzen, wie man es von Anwendungen aus dem privaten Leben kennt. Andererseits fühlt es sich nicht gerade verboten an, ein Tool für den Dateiversand zu nutzen, das bereits auf dem eigenen PC installiert ist und das die Kollegen tagtäglich für andere Zwecke nutzen: Wenn man schon in Teams miteinander spricht, ist der Versand der Ausschreibung über das Programm nur wenige Klicks entfernt. Das Gefühl, hier ein Sicherheitsrisiko eingegangen zu sein, stellt sich in vertrauten Umgebungen kaum ein.

Bewusstsein ist nur der erste Schritt

Eine Lösung ist, dass sich die Mitarbeitenden über die praktische Bedeutung und Umsetzung der DSGVO bewusst sind. Neben Datenschutz nach DSGVO sollte in diesem Zuge auch das allgemeine Thema der Datensicherheit aufgegriffen werden. Was ein verantwortungsvoller Umgang mit personenbezogenen Daten bedeutet und wie die Klassifizierung eines Dokuments ist, sollte deshalb in Schulungen geklärt sein.

Die zweite, weitaus praktischere Lösung läuft über das tatsächliche IT-System. Denn nur eine praktikable IT-Struktur wird auch genutzt.
Nach Schulungen über die praktische Umsetzung sollte also ein System eingeführt werden, das im Alltag praktikabel und dennoch sicher ist. Wie funktioniert das?

Praxiserprobte, sichere Lösungen

Einige Kriterien erleichtern die Auswahl für die IT-Beauftragten des öffentlichen Sektors:

Lösungen von deutschen oder europäischen Anbietern, die auch in der EU gehostet werden, sind die sicherste Option. Konkret bedeutet das, dass die verantwortlichen Unternehmen die Daten in der EU speichern und verarbeiten, womit sie unter die DSGVO fallen. Damit schützen sie personenbezogene Daten und gewährleisten die höchste Datensicherheit. Es ist stets nachvollziehbar, wo die Daten gerade liegen und wer Zugriff auf sie hat – im besten Fall ist das niemand außer der berechtigten Personen. Wer es gerne noch transparenter haben möchte und zudem mit großen Datenmengen arbeitet, kann Server auch in der eigenen Infrastruktur betreiben („Hosting on premise“), beispielsweise im Keller der Stadtwerke. So bleibt die Kontrolle über Zugriff und Verarbeitung der Daten vollständig im Haus.

Kriterien für ein sicheres Dateimanagement

Über das Hosting hinaus gibt es konkrete technische Standards, die insbesondere beim Dateiversand eine sichere Lösung auszeichnen.

1. Konsequente Verschlüsselung: Eine durchgehende Verschlüsselung ist die Grundvoraussetzung einer sicheren Lösung. Konkret sollten Dateien sowohl während der Übertragung als auch bei der Speicherung verschlüsselt sein, sodass selbst ein erfolgreicher Hacker-Angriff auf die Infrastruktur keine lesbaren Daten preisgibt.
2. Integrierter Virenscanner: Hochgeladene Dateien sollten automatisch geprüft werden. So wird verhindert, dass Schadsoftware über den Dateiversand in die Verwaltungsinfrastruktur gelangt.
3. Granular definierbare Zugriffsrechte: Wer darf eine Datei sehen, wer darf sie herunterladen, wer darf sie weitergeben? Gerade in der öffentlichen Verwaltung, wo ein Sachbearbeiter im Bauamt keinen Einblick in Sozialhilfeakten benötigt, ist eine rollenbasierte Rechtevergabe eine Notwendigkeit. Hinzu kommt die Zwei-Faktor-Authentifizierung, die sicherstellt, dass ein gestohlenes Passwort allein keinen Zugang zu sensiblen Dokumenten ermöglicht.
4. Passwortschutz: Je nach Klassifizierung eines Dokuments sollte außerdem ein zusätzlicher Passwortschutz für den Dateiaufruf möglich sein. Interne Haushaltsentwürfe oder Personalakten erfordern eine andere Schutzstufe als öffentliche Informationsblätter. Ergänzende Maßnahmen wie Wasserzeichen ermöglichen es im Nachhinein nachzuvollziehen, über welchen Kanal ein Dokument weitergegeben wurde.
5. Ablaufende Links: Öffentliche Links, die nach einem definierten Zeitraum von beispielsweise einer Woche automatisch ablaufen, reduzieren das Risiko, dass einmal geteilte Zugänge dauerhaft bestehen bleiben und in Vergessenheit geraten.
6. Zentrales Offboarding: Wer ein Amt verlässt, gibt im besten Fall seinen Hausausweis ab. Den digitalen Zugang zur gemeinsamen Ablage oder zu geteilten Ordnern hingegen entzieht niemand automatisch. Wird die Verwaltung der Zugänge zentral über die IT-Abteilung gesteuert, lässt sich beim Ausscheiden einer Person mit wenigen Schritten der gesamte Zugang deaktivieren, ohne jeden einzelnen Dienst manuell prüfen zu müssen.

Das System muss in der Praxis funktionieren

All diese Kriterien sind wichtig. Doch die beste Sicherheitslösung nützt wenig, wenn sie im Alltag nicht genutzt wird. Wer verstehen will, warum Schatten-IT sich so hartnäckig hält, muss ehrlich hinschauen: Dropbox, WeTransfer oder der schnelle Versand über Teams funktionieren reibungslos, erfordern keine Einweisung und sind längst Teil der persönlichen digitalen Routine. Der offizielle Dienstweg hingegen bedeutet in vielen Verwaltungen: ein separates System, ein weiteres Passwort, eine Oberfläche, die weniger intuitiv aufgebaut ist.

Die Einführung einer sicheren Lösung scheitert deshalb selten an der Technik, sondern an der Akzeptanz. Entscheidend ist, ob die neue Lösung sich reibungslos an bestehende Systeme anbinden lässt. Mitarbeitende, die täglich mit Outlook arbeiten, werden ein Dateiversand-Tool deutlich bereitwilliger nutzen, wenn es sich direkt aus dem E-Mail-Programm heraus bedienen lässt, ohne in den Browser wechseln zu müssen. Je weniger ein neues System wie ein Fremdkörper wirkt, desto geringer ist die Hemmschwelle.

Am besten ist also eine Lösung, über deren Sicherheit man sich nach der Einführung keine Gedanken mehr machen muss. doubleSlash hat mit dem Business Filemanager eine solche Lösung speziell für den sicheren Dateiversand im öffentlichen und im privaten Sektor entwickelt. Sie erfüllt alle Kriterien für ein sicheres Dateimanagement – und ist für Nutzer intuitiv und einfach nutzbar. Denn was nicht nutzbar ist, ist am Ende unnütz. Das gilt auch für die Datenablage.

---

Über die Autoren:

Kerstin Glökler hat einen Bachelor of Science (B.Sc.) in der Fachrichtung Medieninformatik und arbeitet als Product Owner bei doubleSlash. Sie verfügt über mehrjährige Erfahrung in der Softwareentwicklung und verantworter den doubleSlash Business Filemanager, ein Produkt für sicheren Dateiversand im öffentlichen und privaten Sektor.

Timo Scherer ist Product Manager bei doubleSlash. Er verfügt über einen Masterabschluss (M.Sc.) in Wirtschaftsinformatik und über Erfahrung als IT-Consultant sowie in der Hochschullehre. Gemeinsam mit Kerstin Glökler verantwortet er den doubleSlash Business Filemanger.

Über doubleSlash:

doubleSlash entwickelt seit 1999 unter dem Leitgedanken „digitale Wertschöpfung gestalten“ Softwarelösungen für mittelständische und international agierende Unternehmen. Mit rund 250 Mitarbeitenden an den Standorten Friedrichshafen, München und Stuttgart erzielte das Unternehmen 2025 einen Jahresumsatz von rund 29 Mio. Euro. Die Schwerpunkte liegen in den Geschäftsfeldern Connect, Make Smart und Monetize: Geräte und digitale Ökosysteme vernetzen, mit Daten und KI-Innovationen vorantreiben, automatisieren und besser entscheiden sowie erfolgreiche digitale Geschäftsmodelle mit monetarisierbaren Produkten und Services ermöglichen. Dabei denkt doubleSlash als Softwarepartner von der Datenbasis bis hin zum Geschäftsmodell in übergreifenden Ökosystemen mit – und entwickelt intelligente, sichere und nachhaltige Lösungen.

Weitere Artikel in dieser Rubrik