Ein Mitarbeiter schickt einen Vertrag über einen privaten Messenger, weil der vorgesehene Austausch zu lange dauert. Eine Kollegin legt Unterlagen in ihrem persönlichen Cloudspeicher ab, damit sie zu Hause weiterarbeiten kann. Für eine schnelle Zusammenfassung werden interne Informationen in ein frei verfügbares KI-Werkzeug kopiert.
Die Absicht dahinter ist meist nachvollziehbar: Die Arbeit soll erledigt werden. Trotzdem entstehen Informationswege, die das Unternehmen nicht überblickt und später kaum noch kontrollieren kann. Genau das wird als Shadow IT oder Schatten-IT bezeichnet.
Der OpenKM-Beitrag über Shadow IT beschreibt dieses Problem als stille Folge fragmentierter Informationen. Für uns ist daran ein Gedanke besonders wichtig: Shadow IT ist häufig ein Symptom dafür, dass der offizielle Arbeitsweg im Alltag nicht gut genug funktioniert.
Was Shadow IT mit Dokumenten zu tun hat
Shadow IT umfasst Anwendungen, Geräte und Dienste, die ohne geregelte Einbindung in die Unternehmens-IT genutzt werden. Im Dokumentenalltag beginnt das oft unspektakulär:
- Verträge werden über private Messenger verschickt.
- Dateien landen in persönlichen Cloudkonten.
- Dokumente werden an private E-Mail-Adressen weitergeleitet.
- Abteilungen pflegen eigene Tabellen als parallele Datenbank.
- Unterlagen bleiben auf lokalen Geräten oder USB-Speichern.
- Unternehmensinformationen werden in nicht freigegebene KI-Dienste eingegeben.
Das BSI weist darauf hin, dass bei Schatten-IT Zuständigkeiten und Sicherheitsupdates häufig ungeklärt sind und ihr tatsächlicher Umfang in einer Organisation oft unbekannt bleibt. ENISA nennt die nicht autorisierte Nutzung von Cloud-Diensten als Risiko für Datenabfluss und Datenverlust.
Bei Dokumenten kommt ein weiterer Engpass hinzu: Selbst wenn die einzelne Datei nicht verloren geht, kann ihr Zusammenhang verloren gehen. Dann ist unklar, welche Fassung verbindlich ist, wer Zugriff besitzt, zu welchem Kunden, Vertrag oder Vorgang das Dokument gehört, ob Aufbewahrung und Löschung geregelt sind und ob die Bearbeitung fachlich abgeschlossen wurde.
Das Dokument ist irgendwo vorhanden. Als verlässlicher Teil des Unternehmenswissens steht es aber nicht mehr zur Verfügung.
Warum Verbote allein das Problem nicht lösen
Wenn der vorgesehene Weg für eine einfache Aufgabe fünf Zwischenschritte verlangt, suchen Menschen nach einer Abkürzung. Muss der Zugriff auf eine benötigte Anwendung erst über mehrere Stellen beantragt werden, wird eine schnell verfügbare Alternative attraktiv. Das ist keine Rechtfertigung für ungeregelte Werkzeuge. Es erklärt jedoch, warum ein reines Verbot selten dauerhaft wirkt.
Eine tragfähige Lösung beginnt deshalb mit zwei Fragen:
- Welche nicht geregelten Werkzeuge und Ablagen werden tatsächlich genutzt?
- Welches konkrete Hindernis umgehen die Mitarbeiter damit?
Die zweite Frage entscheidet über den Erfolg. Wer nur das unerwünschte Werkzeug entfernt, lässt den ursprünglichen Engpass bestehen. Dann entsteht der nächste Umweg an anderer Stelle.
Fragmentierte Information ist der eigentliche Schaden
Die sichtbare Anwendung ist nur ein Teil des Problems. Kritisch wird Shadow IT, wenn sie einen zweiten, nicht abgestimmten Informationsbestand erzeugt.
Ein Vertragsentwurf liegt dann gleichzeitig im DMS, im Postfach, in einer privaten Cloud und in einem Chat. Eine Kalkulation wird in mehreren Tabellen weitergeführt. Ein KI-Ergebnis beruht auf einer Kopie, deren Herkunft und Freigabestand später niemand mehr sicher bestimmen kann.
Damit verliert das Unternehmen die eindeutige Antwort auf eine einfache Frage: Wo liegt der verbindliche Stand?
Diese Frage betrifft nicht nur IT-Sicherheit. Sie berührt auch Arbeitsfähigkeit, Vertretung, Nachweis und Wissenstransfer. Beim Ausscheiden eines Mitarbeiters müssen Zugriffe beendet werden können. Bei einer Prüfung muss erkennbar sein, wie ein Dokument entstanden ist. Bei einer Kundenanfrage braucht die Vertretung den vollständigen Vorgang und nicht nur einzelne Dateien.
Shadow AI verschärft den bekannten Engpass
Generative KI macht viele Aufgaben schneller zugänglich. Texte lassen sich zusammenfassen, Antworten vorbereiten und Informationen strukturieren. Gleichzeitig kann ein neuer Schattenbestand entstehen, wenn Mitarbeiter Dokumente oder personenbezogene Daten ohne geregelte Freigabe in externe Werkzeuge kopieren. Wie KI auf einer verlässlichen Dokumentenbasis eingesetzt werden kann, erläutern wir im Beitrag KI im Unternehmen: Warum Dokumentenmanagement zur Grundlage wird.
Die richtige Reaktion besteht auch hier nicht in einem pauschalen Nein zur Technik. Unternehmen müssen festlegen, welche Informationen in welches KI-Werkzeug eingegeben werden dürfen, auf welcher verlässlichen Dokumentenbasis die KI arbeitet, wer Ergebnisse fachlich prüft und wo freigegebene Ergebnisse anschließend dokumentiert werden.
Eine KI-Anwendung wird dadurch Teil eines kontrollierten Prozesses. Ohne diese Einordnung bleibt sie ein zusätzlicher Informationskanal neben den bestehenden Systemen.
Wie ein Unternehmen Shadow IT praktisch zurückdrängt
1. Arbeitswege sichtbar machen
Der Einstieg ist keine große Softwareinventur. Für einen wiederkehrenden Vorgang wird nachvollzogen, woher die Dokumente kommen, welche Werkzeuge beteiligt sind, wo Kopien entstehen und an welcher Stelle Mitarbeiter den offiziellen Weg verlassen.
2. Den tatsächlichen Engpass benennen
Ist der Zugriff zu langsam? Fehlt eine mobile Möglichkeit? Ist die Suche unzuverlässig? Kann ein externer Partner ein Dokument nicht sicher erhalten? Erst die konkrete Ursache ermöglicht eine passende Verbesserung.
3. Einen verbindlichen Dokumentenort festlegen
Aufbewahrungswürdige Dokumente brauchen eine eindeutige Akte. Weitere Systeme können Arbeitskopien oder Fachdaten führen. Der verlässliche Nachweis bleibt jedoch an einem geregelten Ort vollständig und lesbar erhalten.
4. Den sicheren Weg einfacher machen
Ein Dokumentenmanagementsystem wird akzeptiert, wenn Dokumente schnell abgelegt, gefunden und im richtigen Arbeitszusammenhang geöffnet werden können. Rollen, Vorlagen, Suchprofile, Wiedervorlagen und passende Integrationen müssen den Alltag erleichtern.
5. Verantwortlichkeiten und Ausnahmen klären
Nicht jedes Werkzeug muss zentral ersetzt werden. Entscheidend ist, welches System welche Information führt, wie Ergebnisse übergeben werden und wer bei einem Fehler verantwortlich ist. Auch genehmigte Ausnahmen brauchen einen Eigentümer und einen geregelten Rückweg in die Akte.
Welche Rolle OpenKM übernehmen kann
OpenKM kann die nachweisführende Dokumenten- und Aktenschicht bilden. Dokumente lassen sich zentral zuordnen, versionieren, berechtigen und mit Metadaten, Aufbewahrungsregeln oder Workflows verbinden. Zugriffe und Änderungen bleiben nachvollziehbar.
Damit ersetzt OpenKM nicht automatisch ERP, Fachanwendung, E-Mail oder ein freigegebenes KI-Werkzeug. Diese Systeme erfüllen eigene Aufgaben. Entscheidend ist eine klare Systemführung:
- Das ERP führt beispielsweise Auftrag, Lieferung und Rechnung.
- Das DMS führt Originaldokumente, Korrespondenz, Freigaben und Nachweise.
- Ein Workflow führt Aufgabe, Zuständigkeit und Entscheidung.
- Ein KI-Werkzeug unterstützt eine klar begrenzte Verarbeitung und gibt das geprüfte Ergebnis zurück.
So entsteht kein weiteres Silo. Die beteiligten Werkzeuge werden über eindeutige Übergaben und gemeinsame Referenzen verbunden.
Sieben Fragen für einen ersten Shadow-IT-Check
- Über welche nicht geregelten Kanäle werden Dokumente verschickt oder gespeichert?
- Warum verwenden Mitarbeiter diese Kanäle?
- Wo liegt heute der verbindliche Dokumentstand?
- Wer kann Zugriffe vergeben und beim Ausscheiden wieder entziehen?
- Bleiben Änderungen, Freigaben und Entscheidungen nachvollziehbar?
- Welche Daten dürfen in Cloud- oder KI-Dienste gelangen?
- Wie kommt das geprüfte Ergebnis zurück in die vollständige Unternehmensakte?
Aus den Antworten lässt sich ein begrenzter Pilot ableiten. Ein geeigneter Startpunkt kann ein Vertrag, eine Lieferantenkorrespondenz oder ein wiederkehrender Belegeingang sein. Ziel ist zunächst ein Arbeitsweg, der sicherer und zugleich einfacher als die bisherige Abkürzung ist.
Unser Fazit
Shadow IT entsteht selten aus dem Wunsch, dem Unternehmen zu schaden. Sie entsteht, wenn Menschen ein akutes Arbeitsproblem schneller lösen, als der vorgesehene Prozess es erlaubt.
Deshalb reicht es nicht, unbekannte Anwendungen zu sperren. Unternehmen müssen den dahinterliegenden Engpass beseitigen, den verbindlichen Dokumentstand festlegen und sichere Werkzeuge so in den Arbeitsalltag einbauen, dass sie tatsächlich genutzt werden.
Wir unterstützen kleine und mittlere Unternehmen dabei, solche Informationswege sichtbar zu machen und einen passenden DMS-Pilot mit OpenKM zu planen. Im ersten Schritt genügt ein konkreter Vorgang, bei dem heute Dateien, Zuständigkeiten oder Nachweise auseinanderfallen. Nehmen Sie Kontakt mit uns auf.
Ausgangspunkt und Quellen
Der Impuls für diesen Beitrag stammt aus dem englischsprachigen OpenKM-Artikel „What is Shadow IT? The Silent Threat of Fragmented Information in the Enterprise“ vom 1. September 2026. Wir haben das Thema eigenständig auf unsere DMS-Strategie, den Mittelstand, klare Systemführung und den kontrollierten Einsatz von KI übertragen. Ergänzend haben wir den BSI-Lagebericht 2021 und die ENISA Cloud Cybersecurity Market Analysis herangezogen.
