Foto: Ulrike Sommer, www.schattenlichtfarbe.de
Der Schatten ist bedrohlich und wird immer länger – ein Entrinnen gibt es nicht. Wer sich das bildlich vorstellt, scheint mittendrin in einem Gruselschinken. Ganz so schlimm es zum Glück nicht für den CIO, was die Schatten-IT ihm bereitet. Im Gegenteil: Die Schatten-IT hat auch ihre positive, nämlich wertschöpfende Seite. Das sagt Christopher Rentrop, Informatikprofessor an der Hochschule für Technik, Wirtschaft und Gestaltung (HTWG) in Konstanz, der das Thema in den vergangenen Jahren erforscht hat. Dennoch stimmt das Eingangsszenario: Laut Rentrop existiert das Phänomen in jedem Unternehmen, partiell ist es äußerst gefährlich. Und tatsächlich wird der Schatten – insbesondere wegen Cloud Compting – auch immer länger.
„Wir sind zum Beispiel auf eine selbst gebastelte MySQL-Datenbank gestoßen, die die Daten aller Auftragseingänge verwaltet und an der das ganze Unternehmen hängt“, sagt Rentrop. Ein besonders anschauliches Beispiel für Risiken, die auftreten können, wenn Fachabteilungen an der IT vorbei Probleme mit Hilfe von Computertechnologie lösen wollen. Ein anderer Fall, auf den Rentrop gestoßen ist: ein WebPortal, auf dem sämtliche technischen Daten des Unternehmens herumschwirren – ungesichert und ohne Dokumentation darüber, welche Mitarbeiter die Firma womöglich längst verlassen haben.
„Bei 20 bis 30 Prozent der Schatten-IT-Systeme herrscht akuter Handlungsbedarf“, so Rentrop. Bei einem weiteren Fünftel wäre es nach Einschätzung des Wissenschaftlers zumindest hilfreich, wenn die IT bei Gelegenheit nach dem Rechten sähe. Das heißt umgekehrt aber auch: Rund die Hälfte der Systeme im Schatten funktionieren einwandfrei und und sollten nur in der IT-Architektur registriert werden..
Die Konstanzer Wissenschaftler haben rund 250 Schatten-IT-Anwendungen unter die Lupe genommen. „Nur eine einzige davon war nicht wertschöpfend“, berichtet der Wissenschaftler. Rentrop und sein Team haben vier Unternehmen – vom Versicherer bis zum Maschinenbauer, von 150 bis 10.000 Mitarbeitern – intensiv erforscht. Hinzu kamen weitere 30 Interviews in anderen Unternehmen.Es offenbarte sich der omnipräsente und zugleich zweischneidige Charakter der IT in der Grauzone.
„Grundsätzlich dient Schatten-IT dazu, die Geschäftsprozesse, genauer gesagt, die Prozessaktivitäten der Anwender zu unterstützen“, definiert Rentrop in einem Forschungsbericht, den er gemeinsam mit seinem Kollegen Stephan Zimmermann erstellt hat. „Für die IT-Abteilung stellt Schatten-IT eine Form des Transparenz- und Kontrollverlusts dar.“
Autodidakten als Verursacher
Dieser reiche von bekannten, aber nicht kontrollierten Insellösungen über bisher unbekannte, aber auffindbare Lösungen bis hin zu verborgenen Lösungen, die sich einem technischen IT-Monitoring gänzlich entziehen. Alles in allem bezeichne der Begriff geschäftsprozessunterstützende IT-Systeme, IT-Serviceprozesse und IT-Mitarbeiter, die von Fachabteilungen und IT-Anwendern eigenständig eingesetzt werden.
In diesem Sinne sind sogar von den Mitarbeitern mitgebrachte private Endgeräte eigentlich Schatten-IT, und die viel diskutierten Lösungsansätze wie Bring-Your-Own-Device (BYOD) eigentlich eine Strategie, diese Grauzone zu beleuchten. Gleichwohl relativiert Rentrop, dass Smartphones und Tablets das Problem eher nicht verschärfen. Schließlich würden von den privaten Endgeräten aus vor allen Dingen E-Mails abgerufen und andere Dinge erledigt, die eher abseits der Firmen-IT liegen. Anders verhält es demgegenüber mit den Services aus der Cloud, die die IT-Anwender in bisher unbekanntem Ausmaß zur Selbstbedienung einladen.
In der Regel sind es in den Fachabteilungen Einzelpersonen, die sich dort als autodidaktische „IT-Spezialisten“ profilieren und in die Rolle des technischen Problemlösers schlüpfen. „Die IT-Abteilung kennt diese Leute in der Regel“, sagt Rentrop. Oder sie könnte sie zumindest kennen: Wenn bei Anrufen beim Service-Desk mit Fachbegriffen jongliert wird und Detailfragen gestellt werden, auf die gewöhnliche User gar nicht kommen würden, sollte man laut Rentrop hellhörig werden.
Häufig ignorieren CIO und IT das Problem aber einfach – auch aus vermeintlichem Eigeninteresse. Das Wegschauen scheint vor unerwünschter Mehrarbeit zu schützen. Laut Rentrop ist das aber ein Trugschluss. „Die Zusatzarbeit für die IT hält sich zumeist in Grenzen“, sagt der Wissenschaftler. Das bedeutet nicht, dass keine projektorientierte Arbeit anfällt, wenn die schlimmsten Risiken beseitigt werden müssen. „Aber in der Regel müssen keine Systeme übernommen werden“, so Rentrop.
Das hängt mit der nützlichen Seite der Schatten-IT zusammen. Der Mehrwert entsteht ja gerade dadurch, dass die Anwender aus Eigenantrieb die für sie relevanten Probleme lösen und bearbeiten. Darum ist es aus Sicht des Wissenschaftlers auch zwecklos, die Schatten-IT unterdrücken zu wollen. Der pragmatische Lösungsansatz lautet stattdessen, sie so weit wie möglich ins Licht zu rücken und gemeinsam für Transparenz zu sorgen. Die Risiken lassen sich nur minimieren, wenn die IT-Abteilung weiß, was die Mitarbeiter so alles treiben, und darauf ein Auge haben kann.
90 Minuten für Bestandsaufnahme
Der Aufwand für die Bestandsaufnahme ist laut Rentrop überschaubar. „Nach 90 Minuten Gespräch in einer Abteilung hatten wir eigentlich immer einen guten Überblick über den Status Quo“, berichtet der Forscher aus Konstanz. Insoweit sollten also auch CIOs in der Lage sein, schnell die benötigten Einblicke zu gewinnen.
Auch wenn Rentrop und sein Team fast durchweg eine große Offenheit auf Seiten der Fachabteilungen erlebten, kann es in der Praxis Kommunikationsbarrieren und Widerstände geben. In jedem Fall überlegen die Konstanzer Wissenschaftler, ihr Know-how bei der Schatten-IT-Analyse an interessierte Firmen weiterzugeben. „Wir denken durchaus an die Gründung eines Spin-Offs“, berichtet Rentrop.