Schatten-IT-Lizenzrisiken entstehen nicht durch einzelne Regelverstöße, sondern durch die Summe kleiner, unkoordinierter Entscheidungen: eine Abteilung testet ein neues Tool, ein Mitarbeiter richtet ein privates Abo für den dienstlichen Gebrauch ein, ein Projektteam installiert Software am zentralen Einkauf vorbei. Jede einzelne Entscheidung wirkt harmlos, in der Summe entsteht daraus ein Compliance- und Kostenrisiko, das sich kaum noch vollständig überblicken lässt. Dieser Ratgeber ordnet das Risiko ein und zeigt drei Gegenmittel, die sich im Mittelstand ohne großes Projekt umsetzen lassen.
Was Schatten-IT für die Lizenz-Compliance bedeutet
Als Schatten-IT gilt jede Software, jedes Abo und jeder Cloud-Dienst, der ohne Kenntnis oder Freigabe der zentralen IT-Abteilung beschafft und genutzt wird. Für die Lizenz-Compliance ist das aus zwei Gründen problematisch: Erstens taucht diese Software in keiner zentralen Übersicht auf und lässt sich im Bedarfsfall, etwa bei einem Hersteller-Audit, nicht sauber nachweisen. Zweitens entstehen dadurch häufig Doppelbeschaffungen, wenn eine Abteilung ein Produkt kauft, das an anderer Stelle im Unternehmen bereits lizenziert vorliegt, nur eben nicht zentral erfasst ist.
In der Praxis nimmt Schatten-IT selten die Form dramatischer Regelverstöße an, sondern eher unauffälliger Alltagsentscheidungen. Häufig genannte Beispiele sind private Cloud-Speicher-Konten, die für dienstliche Dateien genutzt werden, Chat- und Kollaborationswerkzeuge, die eine Fachabteilung ohne Rücksprache abonniert, Browser-Erweiterungen mit weitreichenden Zugriffsrechten, sowie einzelne Softwarelizenzen, die über private Kreditkarten oder Spesenkonten beschafft und nie in die zentrale Bestandsliste aufgenommen werden. Auch mitgebrachte private Geräte, auf denen dienstliche Software installiert wird, zählen dazu. Keines dieser Beispiele ist für sich genommen dramatisch, in der Summe entsteht daraus aber ein Softwarebestand, den die IT-Abteilung nicht mehr vollständig kennt und im Zweifel auch nicht mehr vollständig absichern kann.
Warum Schatten-IT ein Kostenrisiko ist, auch ohne genaue Prozentzahl
Häufig kursieren in Fachartikeln konkrete Prozentzahlen zum Anteil von Schatten-IT an den gesamten IT-Ausgaben. Eine seriös belegte, auf eine nachvollziehbare Primärquelle zurückführbare aktuelle Zahl dafür gibt es jedoch nicht, weshalb dieser Ratgeber bewusst keine solche Zahl nennt. Das ändert nichts an der grundsätzlichen Einordnung: Unkoordinierte Beschaffung führt strukturell zu doppelten Lizenzkosten, zu Abo-Leichen, die nach Projektende weiterlaufen, und zu Verhandlungsnachteilen, weil der Einkauf den tatsächlichen Softwarebestand nicht kennt. Der wirtschaftliche Schaden lässt sich im Einzelfall beziffern, eine pauschale Zahl für alle Unternehmen wäre dagegen nicht seriös.
NIS-2 und Support-Status: Das eigentliche Risiko richtig einordnen
Ein verbreitetes Missverständnis lautet, gebrauchte Software sei per se ein größeres Sicherheitsrisiko als neue. Das trifft nicht zu. Entscheidend für die Sicherheit ist ausschließlich, ob eine Produktversion noch mit Sicherheitsupdates versorgt wird, unabhängig davon, ob die Lizenz neu oder gebraucht erworben wurde. Eine aktuell unterstützte, gebraucht gekaufte Version ist sicherheitstechnisch nicht schlechter zu bewerten als dieselbe Version neu gekauft. Schatten-IT verschärft dieses Risiko in der Praxis eher, weil unkoordiniert installierte Software am zentralen Patch-Management vorbei läuft und ihr Support-Status oft niemandem bekannt ist. Für Unternehmen, die unter das NIS-2-Umsetzungsgesetz fallen, das am 5. Dezember 2025 im Bundesgesetzblatt verkündet wurde und am 6. Dezember 2025 in Kraft trat, ist deshalb weniger die Herkunft als die lückenlose Erfassung und Aktualität der eingesetzten Software relevant.
Diese Unterscheidung ist auch gegenüber der eigenen Geschäftsführung wichtig zu kommunizieren. Wer Schatten-IT bekämpft, indem er pauschal vor gebrauchter Software warnt, verfehlt das eigentliche Ziel und verunsichert Mitarbeitende unnötig. Zielführender ist eine klare Botschaft: Jede eingesetzte Software, unabhängig von ihrer Herkunft, muss erfasst, mit einer gültigen Lizenz nachweisbar und auf einem unterstützten Versionsstand gehalten werden. Diese drei Kriterien lassen sich für zentral beschaffte Software deutlich leichter erfüllen als für unkoordiniert entstandene Schatten-IT.
Drei Gegenmittel gegen Schatten-IT-Lizenzrisiken
Gegenmittel 1: Inventur als Ausgangspunkt
Der erste und wichtigste Schritt ist eine vollständige Bestandsaufnahme aller installierten Programme, Browser-Erweiterungen, Cloud-Abos und Fachanwendungen, nicht nur der offiziell beschafften Software. Wie sich eine solche Bestandsaufnahme strukturiert aufbauen lässt, beschreibt unser Ratgeber zur Lizenzbilanz erstellen Schritt für Schritt. Wer regelmäßig inventarisiert, erkennt Schatten-IT nicht erst im Audit-Fall, sondern lange vorher.
Gegenmittel 2: Klare Beschaffungswege
Schatten-IT entsteht selten aus böser Absicht, sondern meist, weil der offizielle Beschaffungsweg als zu langsam oder zu bürokratisch empfunden wird. Ein klar kommunizierter, realistisch schneller Prozess für Softwareanfragen nimmt Fachabteilungen den Anreiz, selbst tätig zu werden. Dazu gehört auch, dass IT und Einkauf regelmäßig sichtbar machen, welche Software bereits im Haus vorhanden ist und mitgenutzt werden kann, statt jede Anfrage als Neubeschaffung zu behandeln.
Gegenmittel 3: Kauflizenzen mit zentraler Dokumentation
Wo dauerhaft benötigte Standardsoftware im Raum steht, sind zentral dokumentierte Kauflizenzen einem verstreuten Flickenteppich aus Einzelabos meist überlegen. Eine Kauflizenz mit vollständiger, geprüfter Rechtekette lässt sich eindeutig einem Kostenträger zuordnen, im Bestand nachweisen und bei Bedarf sogar über den Zweitmarkt weiterverkaufen, wenn sie nicht mehr benötigt wird. Diese Nachvollziehbarkeit fehlt bei spontan abgeschlossenen Abos häufig vollständig, insbesondere wenn sie über private Zahlungsmittel einzelner Mitarbeiter laufen.
Ein weiterer praktischer Vorteil zentral dokumentierter Kauflizenzen: Sie lassen sich unternehmensweit in einer einzigen Übersicht führen, unabhängig davon, welche Abteilung sie ursprünglich angefordert hat. Das erleichtert nicht nur den Nachweis im Auditfall, sondern auch die Wiederverwendung, wenn ein Arbeitsplatz nicht mehr benötigt wird oder ein Mitarbeiter das Unternehmen verlässt. Bei Cloud-Abos, die auf einzelne Personen oder Kreditkarten registriert sind, geht dieser Überblick regelmäßig verloren.
Fazit: Struktur schlägt Kontrollillusion
Schatten-IT lässt sich nicht durch ein einmaliges Verbot beseitigen, sondern nur durch dauerhaft funktionierende Strukturen: Inventur, klare Beschaffungswege und der bevorzugte Einsatz zentral dokumentierter Kauflizenzen. Wer zusätzlich prüfen will, ob im eigenen Bestand bereits ungenutzte Lizenzen schlummern, findet dazu unseren Ratgeber Überlizenzierung erkennen. Eine erste, strukturierte Einordnung des eigenen Bestands bietet unsere Lizenz-Bestandsanalyse.