Der Begriff Schatten-IT beschreibt informationstechnische Systeme, Prozesse und Organisationseinheiten, die in den Fachabteilungen eines Unternehmens neben der offiziellen IT-Infrastruktur und ohne das Wissen des IT-Bereichs angesiedelt sind. Schatten-IT-Instanzen sind somit weder technisch noch strategisch in das IT-Service-Management eines Unternehmens eingebunden.

Im Laufe einer SQL-Server-Migration bei einem Kunden sind wir an mehreren Stellen darauf gestoßen, dass Mitarbeiter diverser Fachabteilungen selbst Software geschrieben, in Betrieb genommen und diese selbst gepflegt haben. Die eigene IT-Abteilung wusste teilweise nichts von der Existenz dieser Art der Software. Nachdem die ersten Anwendungen bekannt geworden sind, wurde zusammen mit der IT-Führung des Kunden beschlossen, den aktuellen Stand in diesem Bereich aufzunehmen. Dafür haben wir eine Excel-Tabelle erstellt, in der folgende Daten gesammelt werden:

• Name der Anwendung
• dazugehörige Datenbanken
• Zweck der Anwendung
• Betreuer 1
• Betreuer 2
• Programmiersprache
• Ablage der Sourcen
• Art der Verteilung

Mit dem Excel-Dokument haben wir die uns bekannten Eigenentwickler besucht. Das persönliche Gespräch hat sich gegenüber einem Telefonat als eindeutig erfolgreicher erwiesen. Im Laufe des Besuchs sind erstaunlicherweise deutlich mehr Eigenentwicklungen aufgetaucht, als wir vermutet haben. Auch der Hintergrund zu den einzelnen Anwendungen wurde detailliert erläutert. Bei vielen Anwendungen hat sich herausgestellt, dass es nur einen einzigen Betreuer gibt, der weiß, wie man die Anwendung in Betrieb nimmt und ggf. Änderungen vornimmt. Darüber hinaus stellten wir fest, dass einige Applikationen sich nur auf einem einzigen uralten Rechner kompilieren lassen. Die Auswirkungen eines Ausfalls dieser alten Hardware wurden nicht bedacht. Zu guter Letzt wurden die Applikationssourcen teilweise nur auf dem Rechner des Entwicklers abgelegt und nicht versionisiert, sodass hier die versteckten Risiken einer Schatten-IT deutlich wurden.

Damit die Schatten-IT keine Gefahr für ein Unternehmen darstellt (vermeiden kann man dies nicht), gilt es folgende Regel zu beachten:

   E rkennen
   S tabilisieren
   A nalysieren
   U msetzen
   B etreiben

Nach den ersten Erkenntnissen und Analysen müssen zunächst Stabilisierungsschritte vorgenommen werden: ob ein neuer Kollege eingearbeitet werden soll oder die Sourcen in die Versionsverwaltung eingepflegt werden oder die Anwendung komplett durch eine neue in die IT-Infrastruktur eingebundene Applikation abgelöst werden soll, hängt natürlich von der Dringlichkeit, Wichtigkeit, von den personellen und finanziellen Möglichkeiten ab. Wie mit den weiteren (neuen) Entwicklungen vorgegangen wird, muss zusammen mit IT und Fachabteilungen besprochen und abgestimmt werden.

Die Schatten-IT, welche in vielen größeren IT-Infrastrukturen im Verborgenen ihren Dienst verrichtet, sollte von den IT-Verantwortlichen eines Unternehmens aktiv gesucht und analysiert werden, um die durch sie vorhandenen Risiken zu minimieren und den gegebenen Nutzen zu optimieren.

Wenn man in der Werbung für den Virenscanner von neuen Bedrohungen liest, denkt man schonmal gerne: Ach, was betrifft mich das. Für meinen Rechner interessiert sich doch sicher keiner, wieso sollte sich jemand die Mühe machen, dort einzubrechen?

In der Realität sieht das aber leider ganz anders aus. Neulich hatte ich mir einmal etwas Zeit genommen und auf meinem privaten Internet-Server den Datenverkehr analysiert. Und was man da sieht, ist einfach erschreckend, man kann das nur noch „Cyber-War“ nennen.

Tatsächlich konnte ich beobachten, dass von drei unterschiedlichen Rechnern ständig versucht wurde, sich per „ssh“ auf meinen Rechner einzuloggen. Davon zwei aus St. Petersburg und einer aus Peking, wie die IP-Adressen verraten. Der chinesische Rechner versucht schon seit drei Monaten ca. 40 Login-Versuche pro Stunde, wie aus der Log-Datei erkennbar ist, die anderen Rechner griffen nur kurze Zeit zu, aber nur, um gleich durch andere ersetzt zu werden. Einfach unglaublich!

Natürlich ist davon auszugehen, dass auf der anderen Seite kein Mensch sitzt, sondern Bots, die nach vorgegebenen Mustern versuchen, schwache Kennwörter oder Sicherheitslücken auszunutzen, um Kontrolle über den Rechner zu bekommen und ihn in das Bot-Netz zu integrieren. Die „Borg“ lassen grüßen.

Aber ist Widerstand wirklich zwecklos?

Ich denke nein. Aber man muss am Ball bleiben:

Gerade bei Rechnern, die im Internet exponiert sind, sind regelmäßige Updates der Systemprogramme sinnvoll und das geht u.U. sogar automatisch. Allerdings ist das nicht immer praktikabel. Zum Betrieb einer älteren Software sind möglicherweise auch ein älteres Betriebssystem oder zumindest ältere Teilkomponenten notwendig, für die es nicht immer Updates gibt, was tut man dann?

Ein guter Ansatz ist in jedem Fall, die Zugriffsberechtigungen auf den Rechner auf ein Minimum zu beschränken: Alle nicht benötigten Dienste sollten deaktivert oder deinstalliert werden. Dienste, die nur von beschränkten Benutzergruppen genutzt werden sollen, sollten entsprechend eingeschränkt werden. Am Besten gleich auf Netzwerkebene durch entsprechende Firewall-Regeln, die Zugriffe nur von den IP-Adress(bereich)en der erlaubten Nutzer zulassen. Das ist zwar kein Allheilmittel, sperrt aber den größten Teil der Botnetze effektiv aus.

Ganz klar ist: Einen Internet-Server sollte man nur betreiben, wenn man über genügend viel Know-how im Bereich der Internet-Sicherheit verfügt. Andernfalls ist es nur eine Frage der Zeit, bis der Rechner gekapert wird und im Besten Falle nicht mehr funktioniert. Noch schlimmer kann es kommen, wenn Daten gestohlen werden oder vom eigenen Rechner aus illegale Operationen durch dort eingeschleuste Bots erfolgen….