Schatten-SaaS finden: Software, die niemand freigegeben hat
Die Sicherheitsbranche sucht Schatten-IT im Netzwerkverkehr. Im Mittelstand findet man sie schneller dort, wo sie bezahlt wird — mit vier Fundstellen.
Jens Hagel11 Min. Lesezeit
Inhalt in Kürze
- Schatten-SaaS wird genutzt und nie freigegeben — ein vergessenes Abo wird bezahlt und nicht genutzt. Das sind zwei verschiedene Befunde mit zwei verschiedenen Antworten.
- Vier Fundstellen genügen: Zahlungswege, Identitätsanbieter, Postfach, Menschen. Kein Spezialwerkzeug nötig.
- Der Identitätsanbieter zeigt jede Anmeldung mit der Firmenadresse bei einem fremden Dienst.
- Die teuersten Folgen sind steuerlich und datenschutzrechtlich, nicht sicherheitstechnisch.
- Abschalten ohne Klärung erzeugt beim nächsten Mal nur bessere Tarnung.
Jemand braucht ein Werkzeug, findet eines, meldet sich mit der Firmenadresse an und zahlt mit der eigenen Karte. Zwei Minuten, und das Werkzeug ist im Einsatz.
Niemand hat etwas falsch gemacht. Trotzdem läuft ab diesem Moment ein Dienst mit Firmendaten, den niemand freigegeben hat und der in keiner Übersicht steht.
Schatten-SaaS ist nicht dasselbe wie ein vergessenes Abo
Schatten-IT bezeichnet Software, Hardware oder Cloud-Dienste, die im Unternehmen ohne Wissen oder Genehmigung der IT-Abteilung und der Geschäftsführung eingesetzt werden.
Der wichtigste Unterschied zum vergessenen Abonnement steckt in einem Wort: Nutzung.
Ein Zombie-Abo wird bezahlt und nicht mehr genutzt. Schatten-SaaS wird genutzt und wurde nie freigegeben.
Das ist keine Wortklauberei, sondern die Weiche für alles, was danach kommt. Beim vergessenen Abo lautet die Antwort fast immer Kündigung — der Weg dorthin steht unter Zombie-Abos erkennen.
Bei Schatten-SaaS lautet sie fast nie Kündigung. Hier arbeitet jemand damit, und wer abschaltet, legt Arbeit still.
Die Aufgabe ist eine andere: den Dienst in einen Vertrag mit Verantwortlichem überführen — oder ihn geordnet ablösen.
Die Sicherheitsbranche sucht im Netzwerk, der Mittelstand findet es am Konto
Wer zum Thema recherchiert, landet in einer Fachdiskussion über Netzwerkanalyse, Proxy-Auswertung und Sicherheitsplattformen. Das ist fachlich richtig und für einen Betrieb mit 60 Beschäftigten die falsche Reihenfolge.
Solche Werkzeuge setzen eine Rolle voraus, die es dort nicht gibt, und sie lösen ein Problem, das erst im zweiten Schritt entsteht.
Die erste Frage lautet nicht „wohin fließen unsere Daten“, sondern „was setzen wir eigentlich ein“. Und diese Frage beantwortet der Zahlungsverkehr schneller als jede Verkehrsanalyse.
Der Grund ist einfach: Fast jeder Dienst, der genutzt wird, wird auch bezahlt. Die kostenlose Fassung endet, sobald es ernst wird — und ab da gibt es eine Spur.
Die vier Fundstellen, die Sie schon haben
Die Zahlungswege. Zwölf Monate Kontoauszug, dazu die Abrechnungen der Firmenkarten und die Auslagenerstattungen. Der dritte Punkt wird am häufigsten vergessen und enthält die interessantesten Funde.
Abos über die Privatkarte einer Person erscheinen nicht als Zahlung an einen Anbieter, sondern als Erstattung an einen Menschen. In keiner Suche nach wiederkehrenden Empfängern tauchen sie auf.
Der Identitätsanbieter. Jede Anmeldung mit der Firmenadresse bei einem fremden Dienst hinterlässt dort einen Eintrag. Dazu gleich mehr.
Das Postfach. Bestellbestätigungen, Rechnungen, Willkommensmails und Kündigungsbestätigungen. Eine Suche nach Begriffen wie Rechnung, Abonnement oder Testphase über alle Postfächer bringt in einer Stunde mehr als eine Woche Nachfragen.
Die Menschen. Die schnellste Quelle und die, die am seltensten genutzt wird. Eine offene Frage in der Teamrunde nach Werkzeugen, die nicht von der IT kommen, liefert die Hälfte der Liste, wenn klar ist, dass niemand etwas zu befürchten hat.
Kostenlos herunterladen · PDF-Begleitheft (12 Seiten) + Excel-Vorlage (4 Blätter)
Einnahmen-Ausgaben-Vorlage
Der einfachste Überblick, der trotzdem trägt
Was der Identitätsanbieter verrät
Wer bei einem fremden Dienst auf „mit Microsoft anmelden“ klickt, legt damit im eigenen Verzeichnis einen Eintrag an — und stimmt Berechtigungen zu.
In Microsoft Entra ID stehen diese Dienste unter den Unternehmensanwendungen, zusammen mit den Rechten, die ihnen erteilt wurden. Microsoft beschreibt in seiner Anleitung zur Benutzereinwilligung, wie sich das einsehen und einschränken lässt.
Diese Liste ist ohne Zusatzwerkzeug erreichbar und zeigt genau die Dienste, die in keiner Beschaffungsakte stehen. Sie ist damit die zweitbeste Fundstelle nach dem Konto.
Sie hat eine klare Grenze: Erfasst wird nur, was über das Firmenkonto angemeldet wurde. Wer sich mit Firmenadresse und eigenem Passwort registriert, erscheint dort nicht — und genau das ist der häufigere Fall.
Deshalb ersetzt keine der vier Fundstellen die anderen. Erst zusammen ergeben sie ein Bild, und die Überschneidung zwischen ihnen ist kleiner, als man erwartet.
Die Ausgabe, zu der es keinen Vertrag gibt
Ein Befund entsteht erst, wenn zwei Listen nebeneinanderliegen: was vom Konto abgeht und wozu ein Vertrag hinterlegt ist.
Beides existiert in fast jedem Betrieb — nur eben in zwei verschiedenen Ordnern und in zwei verschiedenen Programmen. Solange sie getrennt bleiben, ist eine wiederkehrende Abbuchung ohne Vertrag kein Befund, sondern eine Buchung wie jede andere.
Die Arbeit besteht deshalb darin, beide Listen nebeneinanderzulegen. Eine regelmäßige Zahlung, der kein hinterlegter Vertrag gegenübersteht, wird dann zu einem eigenen Eintrag auf einer Liste.
Bevor diese Liste herumgeht, lohnt eine Stichprobe von Hand. Eine Liste wird gelesen, solange ihre Treffer stimmen.
Einen schnellen Einstieg bietet die BWA: In Yupana Controlling führt der Drilldown von den Softwarekosten bis zur einzelnen Buchung — dort zeigt sich jeder Empfänger, der in den Kosten steckt.
Was an Schatten-IT wirklich riskant ist
Die Sicherheitsrisiken stehen in jedem Fachbeitrag, deshalb hier nur das Wesentliche — es fehlt sonst.
Typische Schatten-IT sind Cloud-Dienste, die schnell eingerichtet sind: ein Speicherdienst wie Dropbox, Google Drive oder OneDrive, ein Messenger für die Abstimmung mit Kunden, eine SaaS-Anwendung für ein einzelnes Projekt.
Das Risiko entsteht nicht durch den Dienst, sondern dadurch, dass niemand ihn kennt. Vier Punkte folgen daraus.
Unternehmensdaten liegen an einem Ort, den niemand verwaltet. Ohne Wissen der IT gibt es keine Sicherung, keine Wiederherstellung und keine Übersicht darüber, was dort überhaupt liegt.
Zugänge enden nicht mit dem Arbeitsverhältnis. Wer geht, nimmt sein Passwort mit. Ein Dienst, der in keiner Liste steht, wird beim Austritt auch nicht gesperrt.
Sicherheitslücken bleiben offen. Aktualisierungen und Berechtigungen prüft nur, wer weiß, dass es die Anwendung gibt.
Die Compliance-Lage lässt sich nicht beschreiben. Wer nicht sagen kann, welche Anwendungen im Einsatz sind, kann auch keinen Lieferantenfragebogen wahrheitsgemäß ausfüllen.
Große Organisationen begegnen dem mit eigenen Werkzeugklassen: Cloud Access Security Broker und Data-Loss-Prevention-Systeme. Beide setzen eine IT-Abteilung voraus, die sie betreibt.
Im Mittelstand wirkt etwas anderes mehr — eine kurze, bekannte Richtlinie und ein schneller Genehmigungsweg. Beides schlägt jedes System, das niemand pflegt.
Drei Folgen, die nichts mit Sicherheit zu tun haben
Die eben genannten Risiken sind bekannt. Drei andere Folgen treffen den Betrieb früher und werden selten erwähnt.
Der Vorsteuerabzug fällt aus. Eine Rechnung muss nach § 14 Abs. 4 UStG den vollständigen Namen und die Anschrift des Leistungsempfängers enthalten. Läuft der Vertrag auf eine Privatperson, ist diese Voraussetzung nicht erfüllt.
Unterhalb der Kleinbetragsgrenze von 250 € nach § 33 UStDV (Stand: August 2026) spielt das keine Rolle — deshalb fällt es erst bei den größeren Positionen auf, und dann rückwirkend.
Ausländische Umsatzsteuer bleibt hängen. Viele Anbieter sitzen im EU-Ausland. Ohne hinterlegte Umsatzsteuer-Identifikationsnummer behandeln sie den Kauf als Privatgeschäft und stellen ihre nationale Steuer in Rechnung.
Diese Steuer ist in Deutschland keine abziehbare Vorsteuer. Bei einer Selbstanmeldung mit privater Karte ist das der Regelfall, nicht die Ausnahme.
Die Grundlage für personenbezogene Daten fehlt. Wer einen Dienst mit Kunden- oder Beschäftigtendaten befüllt, braucht einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO und einen Eintrag im Verzeichnis nach Art. 30 DSGVO.
Die Erleichterung für Betriebe unter 250 Beschäftigten greift praktisch nie, weil Personaldaten nicht nur gelegentlich verarbeitet werden. Was Yupana selbst dazu offenlegt, steht unter Sicherheit.
Verträge kündigen ist unangenehm, weil man zugeben muss, dass man sie mal abgeschlossen hat. Das ist der eigentliche Grund, warum Listen liegen bleiben.Jens Hagel, Mitgründer der frag.hugo Informationssicherheit GmbH
Was Sie mit dem Fund machen — und was besser nicht
Der erste Reflex nach einer solchen Liste ist das Abschalten. Er ist verständlich und fast immer falsch.
Wer einen genutzten Dienst ohne Vorwarnung beendet, legt Arbeit still, verliert Daten und bekommt beim nächsten Mal keine ehrliche Antwort mehr. Der Bestand verschwindet dann nicht, er wird nur besser versteckt.
Der brauchbare Ablauf trennt Zuordnung und Entscheidung.
- Zuordnen — wer nutzt es, wofür, seit wann, mit welchen Daten. Ohne Bewertung.
- Amnestie ankündigen — wer sich meldet, bekommt eine ordentliche Lösung, keine Rüge.
- Drei Fächer bilden — übernehmen, ablösen, beenden. Jede Position kommt in genau eines.
- Übernehmen heißt: Vertrag, Verantwortlicher, Rechnung auf die Firma — und ein Eintrag im Register.
- Beenden mit Frist — Datenexport, Termin, Ersatz. Nicht am selben Tag.
Der zweite Schritt entscheidet über die Vollständigkeit der Liste. Ohne ihn finden Sie, was auf dem Konto steht, und nichts von dem, was über private Karten läuft.
Für die Positionen im Fach „übernehmen“ ändert sich am Ende wenig — außer dass sie sichtbar werden. Wie eine schlanke Freigabe dafür aussieht, ohne zum Genehmigungsapparat zu werden, steht unter Rechnungsfreigabe im Mittelstand.
Ob ein übernommener Dienst als Abo weiterläuft oder besser gekauft wird, ist danach eine reine Rechenfrage — sie steht unter Einmalkauf oder Abo.
Damit es nicht nachwächst
Eine einmalige Bereinigung hält etwa ein Jahr, weil die Ursachen weiterwirken. Drei Maßnahmen bremsen den Nachwuchs stärker als jeder zweite Durchgang.
Erstens ein schneller Weg für kleine Beträge. Schatten-SaaS entsteht dort, wo der offizielle Weg länger dauert als die Aufgabe. Eine Freigabe, die drei Tage braucht, erzeugt Umgehung.
Zweitens eine zentrale Zahlungsmethode. Sobald alles über dieselbe Karte läuft, ist jeder neue Dienst automatisch sichtbar — ohne dass jemand etwas melden muss.
Drittens eine Meldung bei jedem neuen wiederkehrenden Empfänger. Das ist der einzige Zeitpunkt, an dem ein Testzugang noch ohne Kosten endet.
Was die drei verbindet: Keine davon verbietet etwas. Sie sorgen nur dafür, dass jede Beschaffung einen Namen bekommt.
Die Gesamtsumme dieser Ausgaben ermittelt der Durchgang unter Softwarekosten über alle Konten zusammenrechnen.
Was diese Suche nicht findet
Vier Fundstellen decken das meiste ab. Drei Dinge decken sie nicht ab.
Kostenlose Dienste. Was nichts kostet, erzeugt keine Zahlung — und wenn die Anmeldung ohne Firmenkonto lief, auch keinen Eintrag im Verzeichnis. Datenschutzrechtlich ist ein Gratisdienst trotzdem eine Verarbeitung.
Werkzeuge auf persönlichen Geräten. Ein Dienst, den jemand privat nutzt und in den er Firmendaten kopiert, hinterlässt im Betrieb keine Spur. Wo Bring your own device erlaubt ist, gehört diese Lücke ausdrücklich in die Richtlinie.
Den Grund. Die Liste sagt, was eingesetzt wird. Warum jemand es eingesetzt hat, sagt sie nicht — und das ist die Information, aus der die wirksamen Maßnahmen entstehen.
Und für die Bewertung gilt dieselbe Grenze wie bei jeder Auswertung: Ob ein Dienst bleiben soll, entscheidet keine Software. Sie sorgt nur dafür, dass die Frage überhaupt gestellt wird.
Schatten-SaaS ist kein Sicherheitsproblem mit einer Kostenfolge, sondern eine Beschaffung ohne Verantwortlichen. Deshalb findet man sie am schnellsten dort, wo sie bezahlt wird — und löst sie nicht durch Abschalten, sondern durch Zuordnen.
Alle laufenden Einnahmen und Ausgaben auf einem Blatt, Monat für Monat — die Vorlage als Excel und PDF.
Einnahmen-Ausgaben-Vorlage herunterladenHäufige Fragen
- Was ist Schatten-IT?
- Schatten-IT ist jede Software, Hardware oder Cloud-Anwendung, die im Unternehmen eingesetzt wird, ohne dass die IT oder die Geschäftsführung davon weiß oder zugestimmt hat. Bei kleineren Betrieben ist die häufigste Form nicht ein Gerät, sondern ein Dienst: ein Werkzeug, das jemand mit der Firmenadresse angelegt und mit einer Karte bezahlt hat, weil es gerade schnell gehen musste. Entstanden ist es fast nie aus Absicht.
- Wie findet man Schatten-IT im Unternehmen?
- Über vier Fundstellen, die jeder Betrieb bereits hat: die Zahlungswege, also Kontoauszug, Firmenkarte und Auslagenerstattungen; den Identitätsanbieter, in dem jede Anmeldung mit der Firmenadresse bei einem fremden Dienst protokolliert ist; das Postfach mit Bestell- und Rechnungsmails; und die Menschen selbst. Netzwerkanalyse ist der Weg von Konzernen mit eigener Sicherheitsabteilung, nicht der erste Schritt im Mittelstand.
- Was ist der Unterschied zwischen Schatten-IT und einem vergessenen Abo?
- Ein vergessenes Abonnement wird bezahlt und nicht mehr genutzt. Schatten-SaaS wird genutzt und wurde nie freigegeben. Die Trennung ist nicht theoretisch: Beim vergessenen Abo lautet die Antwort meistens Kündigung, bei Schatten-SaaS fast nie — hier arbeitet jemand damit, und die Aufgabe besteht darin, den Dienst in einen Vertrag mit Verantwortlichem zu überführen oder ihn abzulösen.
- Welche Risiken entstehen durch nicht genehmigte Software?
- Drei, die häufig übersehen werden, weil sie nicht nach Sicherheit aussehen. Erstens der Vorsteuerabzug: Eine Rechnung auf einen Privatnamen erfüllt oberhalb der Kleinbetragsgrenze nicht die Anforderungen des § 14 UStG. Zweitens der Datenschutz: Ohne Auftragsverarbeitungsvertrag nach Art. 28 DSGVO fehlt die Grundlage, personenbezogene Daten dort zu verarbeiten. Drittens der Zugang, der beim Ausscheiden der Person mitgeht.
- Wie verhindert man, dass Schatten-IT entsteht?
- Nicht durch ein Verbot. Wer Beschaffung untersagt, bekommt Umgehung — und die läuft über die Privatkarte, also dort, wo niemand hinsieht. Wirksam sind drei Dinge: ein einfacher, schneller Weg zur Freigabe kleiner Beträge, eine zentrale Zahlungsmethode statt privater Karten, und eine Meldung bei jedem neuen wiederkehrenden Empfänger auf dem Konto. Das ist der Zeitpunkt, an dem ein Testzugang noch kostenlos endet.
- Wo sieht man, mit welchen Diensten sich Mitarbeiter angemeldet haben?
- Im Identitätsanbieter. Wer mit dem Firmenkonto bei einem fremden Dienst auf „mit Microsoft anmelden“ klickt, erzeugt in Microsoft Entra ID einen Eintrag unter den Unternehmensanwendungen — samt der Berechtigungen, denen zugestimmt wurde. Diese Liste ist ohne Zusatzwerkzeug einsehbar und zeigt genau die Dienste, die sonst nirgends dokumentiert sind. Sie deckt allerdings nur Anmeldungen über das Firmenkonto ab.
- Sollte man gefundene Schatten-IT sofort abschalten?
- Nein. Abschalten ohne Klärung legt Arbeit still und erzeugt beim nächsten Mal noch bessere Tarnung. Der brauchbare Ablauf ist umgekehrt: erst zuordnen, wer es nutzt und wofür, dann entscheiden. Ein Teil der Funde ist fachlich sinnvoll und braucht nur einen Vertrag, einen Verantwortlichen und eine ordentliche Rechnung. Der Rest lässt sich mit Ankündigung und Frist ablösen, ohne dass jemand ins Improvisieren gerät.
- Wie oft sollte man nach Schatten-IT suchen?
- Der erste vollständige Durchgang dauert einen Nachmittag und deckt zwölf Monate ab. Danach genügt ein Blick im Quartal auf zwei Dinge: neue wiederkehrende Empfänger im Zahlungsverkehr und neue Einträge im Identitätsanbieter. Beides sind kurze Listen, wenn man sie regelmäßig ansieht, und unübersichtliche, wenn man ein Jahr wartet. Der Aufwand fällt einmal an, die Pflege dauert Minuten.
