„Grundsätzlich dient Schatten-IT dazu, die Geschäftsprozesse, genauer gesagt, die Prozessaktivitäten der Anwender zu unterstützen“, definiert Rentrop in einem Forschungsbericht, den er gemeinsam mit seinem Kollegen Stephan Zimmermann erstellt hat. „Für die IT-Abteilung stellt Schatten-IT eine Form des Transparenz- und Kontrollverlusts dar.“

Autodidakten als Verursacher

Dieser reiche von bekannten, aber nicht kontrollierten Insellösungen über bisher unbekannte, aber auffindbare Lösungen bis hin zu verborgenen Lösungen, die sich einem technischen IT-Monitoring gänzlich entziehen. Alles in allem bezeichne der Begriff geschäftsprozessunterstützende IT-Systeme, IT-Serviceprozesse und IT-Mitarbeiter, die von Fachabteilungen und IT-Anwendern eigenständig eingesetzt werden.

In diesem Sinne sind sogar von den Mitarbeitern mitgebrachte private Endgeräte eigentlich Schatten-IT, und die viel diskutierten Lösungsansätze wie Bring-Your-Own-Device (BYODBYOD) eigentlich eine Strategie, diese Grauzone zu beleuchten. Gleichwohl relativiert Rentrop, dass SmartphonesSmartphones und TabletsTablets das Problem eher nicht verschärfen. Schließlich würden von den privaten Endgeräten aus vor allen Dingen E-Mails abgerufen und andere Dinge erledigt, die eher abseits der Firmen-IT liegen. Anders verhält es demgegenüber mit den Services aus der Cloud, die die IT-Anwender in bisher unbekanntem Ausmaß zur Selbstbedienung einladen. Alles zu BYOD auf CIO.de Alles zu Smartphones auf CIO.de Alles zu Tablets auf CIO.de

In der Regel sind es in den Fachabteilungen Einzelpersonen, die sich dort als autodidaktische „IT-Spezialisten“ profilieren und in die Rolle des technischen Problemlösers schlüpfen. „Die IT-Abteilung kennt diese Leute in der Regel“, sagt Rentrop. Oder sie könnte sie zumindest kennen: Wenn bei Anrufen beim Service-Desk mit Fachbegriffen jongliert wird und Detailfragen gestellt werden, auf die gewöhnliche User gar nicht kommen würden, sollte man laut Rentrop hellhörig werden.

Häufig ignorieren CIO und IT das Problem aber einfach – auch aus vermeintlichem Eigeninteresse. Das Wegschauen scheint vor unerwünschter Mehrarbeit zu schützen. Laut Rentrop ist das aber ein Trugschluss. „Die Zusatzarbeit für die IT hält sich zumeist in Grenzen“, sagt der Wissenschaftler. Das bedeutet nicht, dass keine projektorientierte Arbeit anfällt, wenn die schlimmsten Risiken beseitigt werden müssen. „Aber in der Regel müssen keine Systeme übernommen werden“, so Rentrop.