- Unternehmen haben oft keinen vollständigen Überblick über die tatsächlich genutzten digitalen Werkzeuge
- Mehr als 1,3 Millionen Firmen-Mail-Adressen finden sich in Datenlecks externer Dienste
- Fast neun von zehn häufig genutzten Anwendungen werden offenbar außerhalb der offiziellen IT-Prozesse verwendet
- Schatten-IT entsteht meist nicht aus Nachlässigkeit, sondern weil Mitarbeitende nach schnellen und praktikablen Lösungen suchen
- Neben unkontrollierten Anwendungen erhöhen auch verwaiste Domains und gewachsene IT-Strukturen die Cyberrisiken für Unternehmen
Wien, 10. September 2026. Mitarbeitende registrieren sich bei Cloud-Diensten, Plattformen oder Software-Anwendungen, um schneller zusammenzuarbeiten, Dateien auszutauschen oder Projekte umzusetzen. Viele dieser Werkzeuge werden jedoch genutzt, ohne dass sie zentral erfasst oder verwaltet werden. Genau dieses Phänomen bezeichnet man als Schatten-IT.
Eine gemeinsame Studie von EY Österreich und Risikomonitor zeigt nun erstmals, wie groß dieses oft unsichtbare Risiko in Österreich tatsächlich ist. Die Analyse identifiziert mehr als 1,3 Millionen Firmen-Mail-Adressen in Datenlecks externer Dienste und macht deutlich, wie groß die Lücke zwischen offiziell verwalteter IT und tatsächlich genutzten Anwendungen vielerorts geworden ist.
Unternehmen verlieren zunehmend den Überblick über genutzte Software
Für die Studie wurden mehr als 1,3 Millionen Firmen-Mail-Treffer in 944 Datenquellen analysiert. Allein 1,1 Millionen Findings entfallen auf 37 besonders häufig genutzte Anbieter. Die Ergebnisse zeigen, welche externen Dienste mit beruflichen E-Mail-Adressen genutzt wurden und später in öffentlich bekannten Datenlecks aufgetaucht sind.
Zu den am häufigsten identifizierten Plattformen zählen Adobe, Dropbox sowie verschiedene Marketing- und Datendienste. Die Daten zeigen nicht, dass diese Anwendungen grundsätzlich problematisch sind. Sie verdeutlichen jedoch, wie groß die Zahl jener Werkzeuge ist, die außerhalb etablierter IT- und Beschaffungsprozesse genutzt werden.
Besonders bemerkenswert: Bei fast neun von zehn der am häufigsten genutzten externen Dienste fanden sich keine Hinweise darauf, dass diese offiziell eingeführt oder zentral verwaltet werden. Mitarbeitende nutzen diese Anwendungen somit offenbar außerhalb der üblichen Governance-, Sicherheits- und Freigabeprozesse.
„Viele Unternehmen investieren viel in ihre IT-Sicherheit, haben aber dennoch keinen vollständigen Überblick über die tatsächlich genutzten Anwendungen. Genau diese Lücke macht Schatten-IT so relevant. Das Risiko entsteht nicht nur durch die Technologie selbst, sondern vor allem durch fehlende Transparenz“, sagt Robert Pölzelbauer, Senior Manager bei EY Österreich.
Schatten-IT ist vor allem ein Transparenzproblem
Die Studienergebnisse zeigen, dass Schatten-IT in den meisten Fällen nicht aus Nachlässigkeit oder vorsätzlichem Fehlverhalten entsteht. Mitarbeitende suchen nach pragmatischen Lösungen für ihren Arbeitsalltag und greifen deshalb auf zusätzliche Anwendungen zurück, die ihre Arbeit erleichtern.
Dadurch entstehen jedoch parallele Tool-Landschaften, über die Unternehmen oft nur begrenzte Informationen haben. Sie wissen nicht immer, wo Daten gespeichert werden, welche externen Anbieter darauf zugreifen können oder ob bestehende Sicherheits- und Compliance-Vorgaben eingehalten werden.
„Die Ergebnisse zeigen, dass es eine deutliche Differenz zwischen offizieller IT und tatsächlicher Nutzung gibt. Mitarbeitende verwenden oft zusätzliche Tools, um effizienter zu arbeiten. Unternehmen sollten diese Realität nicht ignorieren, sondern sichtbar machen und aktiv steuern“, so Manuel Löw-Beer, Geschäftsführer von Risikomonitor.
Starke Abhängigkeit von US-Anbietern
Die Analyse zeigt außerdem eine klare geografische Konzentration. Gut 70 Prozent der identifizierten Schatten-IT-Treffer entfallen auf US-Unternehmen. Dahinter folgen mit deutlichem Abstand Anbieter aus Belgien, Brasilien, Frankreich und Deutschland.
Die Ergebnisse verdeutlichen damit auch eine zunehmende Governance- und Compliance-Dimension. Werden Unternehmensdaten über Dienste verarbeitet, die außerhalb der offiziell freigegebenen IT-Landschaft liegen, erschwert dies den Überblick über Datenflüsse, Zugriffsrechte und regulatorische Anforderungen.
Alte Systeme und vergessene Domains erhöhen die Angriffsfläche
Schatten-IT zeigt sich nicht nur bei Software, sondern auch in der digitalen Infrastruktur. Die Studie identifiziert insgesamt 16,7 Millionen Subdomains bei österreichischen Unternehmen. Knapp 3.000 Firmen betreiben mehr als 100 Subdomains. Gleichzeitig fanden die Analyst:innen mehr als 806.000 Domains, die aktuell nicht aktiv genutzt werden.
Solche digitalen Altlasten entstehen häufig nach Projektabschlüssen, Systemwechseln oder organisatorischen Veränderungen. Werden sie nicht regelmäßig überprüft, können sie für Phishing-Angriffe, Markenmissbrauch oder andere betrügerische Aktivitäten genutzt werden.
„Schatten-IT beschränkt sich nicht auf einzelne Anwendungen. Sie umfasst auch gewachsene digitale Strukturen, die im Laufe der Zeit aus dem Blickfeld geraten. Gerade diese Kombination aus unübersichtlichen Anwendungen und vergessener Infrastruktur erhöht die Komplexität für Unternehmen deutlich“, fasst Pölzelbauer zusammen.
Transparenz statt Verbote
EY Österreich und Risikomonitor empfehlen Unternehmen, die tatsächliche Nutzung von Anwendungen regelmäßig zu überprüfen und stärker in bestehende Sicherheits- und Governance-Prozesse einzubinden. Besonders wichtig sind transparente Freigabeprozesse, ein zentraler Überblick über genutzte Anwendungen sowie die konsequente Einbindung von Single-Sign-on- und Identitätsmanagement-Lösungen.
Ebenso sollten Unternehmen ihre digitale Infrastruktur regelmäßig überprüfen, nicht mehr benötigte Domains und Subdomains identifizieren und konsequent bereinigen. So lässt sich die Angriffsfläche deutlich reduzieren.
„Schatten-IT lässt sich nicht einfach verbieten. Erfolgreiche Unternehmen schaffen sichere und einfache Alternativen, integrieren häufig genutzte Anwendungen in bestehende Prozesse und sorgen dafür, dass Mitarbeitende nicht auf inoffizielle Lösungen ausweichen müssen“, schließt Pölzelbauer.