Schatten-IT erkennen: Wann ein internes Tool nötig ist

Schatten-IT im Mittelstand ist nicht automatisch ein Zeichen für Fehlverhalten. Häufig bauen Teams Listen, Formulare oder kleine Automatisierungen, weil ein notwendiger Arbeitsschritt im vorhandenen System fehlt oder zu umständlich ist. Handelt es sich um einen wiederkehrenden, geschäftlich relevanten Ablauf mit personenbezogenen, finanziellen oder verbindlichen Daten, sollte das Unternehmen ihn nicht einfach verbieten, sondern gezielt absichern: durch klare Regeln, eine Integration oder ein internes Tool.

Woran sich problematische Schatten-IT erkennen lässt

Von Schatten-IT spricht man hier nicht nur bei nicht genehmigter Software. Auch eine lokal gespeicherte Tabelle, ein privates Formular, ein einzelner Zugang zu einem SaaS-Dienst oder eine nur einer Person bekannte Automatisierung kann zu einem unkontrollierten Teil des Betriebsprozesses werden. Entscheidend ist nicht das Werkzeug, sondern seine Rolle im Ablauf.

Unkritisch kann eine persönliche Arbeitshilfe sein, die keine verbindlichen Daten erzeugt und deren Ausfall den Prozess nicht stoppt. Kritisch wird es, wenn aus der Hilfe faktisch ein System wird: Mitarbeitende tragen dort Aufträge ein, halten Bearbeitungsstände nach, berechnen Beträge, verwalten Zugriffe oder verschicken Entscheidungen an Kunden.

• Der Ablauf wird regelmäßig von mehreren Personen genutzt oder an andere Teams übergeben.
• Die Daten beeinflussen Rechnungen, Angebote, Termine, Freigaben oder Kundenkommunikation.
• Informationen werden zwischen der Arbeitshilfe und einem führenden System manuell kopiert.
• Niemand kann sicher erklären, wer Zugänge besitzt, wo Daten liegen oder wer Änderungen vorgenommen hat.
• Eine Person kennt Aufbau, Formeln, Zugangsdaten oder Automatisierung allein.
• Fehler werden erst bemerkt, wenn ein Kunde nachfragt, eine Frist verstreicht oder Daten nicht mehr zusammenpassen.

Treffen mehrere Punkte zu, besteht weniger ein Tool- als ein Prozessproblem. Das Team hat einen realen Bedarf gelöst, aber ohne eindeutige Verantwortlichkeit, Datenregeln und technische Absicherung. Ein Verbot ohne Ersatz verlagert den Bedarf meist nur in den nächsten privaten Ordner oder Chatkanal.

Nicht jedes Provisorium braucht neue Software

Der richtige Schritt hängt davon ab, warum das informelle Werkzeug entstanden ist. Fehlt lediglich eine einheitliche Arbeitsweise, reichen oft eine verbindliche Vorlage, ein klarer Ablageort und eine verantwortliche Rolle. Werden Daten aus zwei bestehenden Anwendungen übertragen, kann eine gezielte Integration die bessere Lösung sein. Ein internes Tool ist vor allem dann sinnvoll, wenn der Ablauf eigene Eingaben, Prüfungen, Bearbeitungszustände und Rechte benötigt, die kein vorhandenes System passend abbildet.

Drei angemessene Antworten

• Regeln und Standardisierung: sinnvoll bei einfachen, seltenen Abläufen ohne sensible oder verbindliche Daten. Definiert werden Vorlage, Speicherort, Verantwortliche und Abschlusskriterium.
• Integration: sinnvoll, wenn der Prozess grundsätzlich in vorhandenen Fachsystemen stattfindet, aber Datenübertragung oder Benachrichtigungen unnötig manuell erfolgen.
• Internes Tool: sinnvoll, wenn ein eigener fachlicher Vorgang entsteht, mehrere Rollen zusammenarbeiten und der Prozess nachvollziehbar geführt werden muss.

Nicht sinnvoll ist ein neues Tool, wenn ein unklarer Prozess lediglich digitalisiert würde. Auch ein Dashboard löst keine Datenprobleme, wenn die zugrunde liegenden Einträge uneinheitlich oder nicht verlässlich gepflegt sind. Zuerst muss feststehen, welche Entscheidung oder Bearbeitung das Team mit dem Ablauf treffen soll und welche Daten dafür verbindlich sind.

Die Entscheidung in fünf Schritten vorbereiten

1. Den tatsächlichen Ablauf aufnehmen: Auslöser, Beteiligte, Eingaben, Übergaben, Ausnahmen und Ergebnis auf einer Seite festhalten.
2. Die geschäftliche Relevanz bewerten: Welche Folgen hätte ein falscher, fehlender oder verspäteter Eintrag? Welche Datenarten werden verarbeitet?
3. Das führende System bestimmen: Für jede wichtige Information festlegen, wo sie verbindlich entsteht und gepflegt wird.
4. Die kleinste wirksame Lösung wählen: Regelwerk, Anpassung eines bestehenden Systems, Integration oder internes Tool gegeneinander abwägen.
5. Betrieb vor dem Rollout klären: Verantwortlichkeit, Rechte, Zugänge, Datensicherung, Fehlerbehandlung und Änderungsweg festlegen.

Diese Reihenfolge verhindert einen typischen Fehlstart: Ein Team beauftragt eine Anwendung für eine Tabelle, ohne zu klären, welche Berechnungen gelten, wer Korrekturen freigeben darf und welches System Kundendaten verbindlich hält. Das Ergebnis kann technisch sauber sein und dennoch neue Doppelpflege schaffen.

Praxisbeispiel: Rechnungen nicht mehr aus Einzeldateien erzeugen

Ein operatives Team verwaltet abrechenbare Leistungen in einer Tabelle. Artikel, Preise und Kundendaten werden aus verschiedenen Quellen zusammengesucht. Nach einer manuellen Prüfung erstellt eine Person PDFs, versendet sie per E-Mail und markiert den Vorgang in der Tabelle als erledigt. Die Lösung funktioniert zunächst, weil der Ablauf überschaubar ist.

Sobald mehrere Personen Änderungen vornehmen oder Rückfragen zu einer Rechnung auftreten, entstehen typische Risiken: unklare Preisstände, fehlende Nachvollziehbarkeit und unterschiedliche Dateiversionen. Hier kann ein internes Rechnungsprogramm angemessen sein, das Artikel verwaltet, Rechnungsdaten aus einer festgelegten Quelle übernimmt, PDFs erzeugt, den E-Mail-Versand unterstützt und Bearbeitungsstände führt. Es ersetzt nicht zwangsläufig die Buchhaltungssoftware. Vielmehr kann es den operativen Vorbereitungsschritt zuverlässig strukturieren und die Übergabe an das führende Finanzsystem klar definieren.

Vor der Umsetzung wären insbesondere Preislogik, Korrekturablauf, Freigaberechte, Nummernvergabe und die fachliche Übergabe zu klären. Das sind keine technischen Nebensachen. Sie entscheiden darüber, ob aus einer lokalen Erleichterung ein belastbarer Prozess wird.

Risiken beim Bereinigen nicht verlagern

Wer Schatten-IT ablöst, sollte keine neue Abhängigkeit schaffen. Bei einer individuellen Anwendung gehören Quellcode, Dokumentation, Zugänge und ein nachvollziehbarer Betriebsweg zum Vorhaben. Werden personenbezogene Daten verarbeitet, müssen Rollen, Zugriffsschutz, Aufbewahrung und Hosting zur Verarbeitung passen. Eine Lösung auf Open-Source-Basis und mit Hosting in Deutschland kann dabei die eigene Kontrolle erleichtern; sie ersetzt jedoch keine fachlichen Entscheidungen über Daten und Berechtigungen.

Ebenso wichtig ist die Einführung. Ein neues Werkzeug sollte zunächst einen konkret abgegrenzten Ablauf verbessern. Parallelbetrieb kann sinnvoll sein, wenn Daten und Ergebnisse kontrolliert abgeglichen werden. Dauerhaft zwei Listen oder Systeme zu pflegen, ist dagegen meist ein Hinweis darauf, dass die Zuständigkeiten oder Schnittstellen nicht sauber geklärt sind.

Die richtige Leitfrage: Was muss verlässlich funktionieren?

Die produktive Frage lautet nicht, wie jede informelle Lösung abgeschafft wird. Sie lautet: Welcher Prozess ist so wichtig, dass er nachvollziehbar, vertretbar und unabhängig von einzelnen Personen funktionieren muss? Wo die Antwort klar ist, lässt sich die passende Maßnahme sachlich auswählen. OnLouis unterstützt Teams dabei, Prozesse zu strukturieren und daraus wartbare interne Anwendungen oder Integrationen abzuleiten.