Schatten-IT in Kommunen: Risiko im Verwaltungsalltag

Kleine Kommunen stehen heute vor einer schwierigen Aufgabe: Sie sollen ihre Verwaltung digitalisieren und gleichzeitig sensible Daten zuverlässig schützen, und das oft mit begrenzten Haushaltsmitteln und wenig IT-Personal. Im Arbeitsalltag entstehen deshalb häufig pragmatische Lösungen, etwa wenn Dateien über nicht freigegebene Dienste ausgetauscht werden. Was kurzfristig Zeit spart, kann mittelfristig jedoch erhebliche Sicherheitsrisiken verursachen.

Auch in öffentlichen Ämtern muss es oft schnell gehen. Die Pläne für die neue Brücke liegen bereits in einer Dropbox, die das Architekturbüro für die Zusammenarbeit eingerichtet hat. Da fällt ein weiteres Dokument kaum auf. Zwar gibt es einen offiziellen Weg, doch der erfordert ein eigenes Passwort und ist weniger komfortabel.

Man spricht dann von Schatten-IT: Anwendungen und Dienste, die Mitarbeitende nutzen, ohne dass sie von der IT freigegeben sind. Die Gründe liegen dabei selten in böser Absicht, sondern im Wunsch, Arbeitsschritte möglichst einfach und schnell zu erledigen.

Wer hat Zugriff auf kommunale Daten?

Das Problem: Beim Dateiaustausch über solche Dienste ist oft unklar, wo die Daten gespeichert werden und wer darauf zugreifen kann. So entstehen Sicherheitsrisiken, die im Verwaltungsalltag häufig unterschätzt werden.

Wer Schatten-IT vermeiden möchte, muss wissen, welche Risiken damit verbunden sind. Dabei geht es einerseits um die Zugriffsrechte innerhalb der Verwaltung und andererseits um die Frage, wo Daten gespeichert werden und wer außerhalb der eigenen Organisation Zugriff darauf hat.

Zugriffsrechte in der Verwaltung

Gemeinsame Ordner sind schnell eingerichtet. Werden die Zugriffsrechte jedoch später nicht angepasst, behalten ehemalige Mitarbeitende oder externe Projektpartner unter Umständen länger Zugriff als vorgesehen. Auch weitergeleitete Freigabelinks können dazu führen, dass Dokumente in falsche Hände geraten.

Deshalb sollten die Rechte klar geregelt und regelmäßig überprüft werden. Doch selbst ein konsequentes Berechtigungskonzept löst nur einen Teil des Problems. Ebenso wichtig ist die Frage, wo die Daten tatsächlich gespeichert werden.

Datensouveränität wahren

Ein Rechenzentrum innerhalb Europas mag sich nach einer soliden Entscheidung anfühlen. Für die Datensouveränität ist jedoch nicht nur der Speicherort entscheidend, sondern auch, wer die Kontrolle über die Daten hat. Darüber entscheidet, welchem Unternehmen ein Dienst gehört und welchen gesetzlichen Regelungen dieser Anbieter unterliegt.

So ermöglicht der 2018 verabschiedete CLOUD Act US-Behörden unter bestimmten Voraussetzungen den Zugriff auf Daten von US-Unternehmen – selbst dann, wenn diese in Europa gespeichert sind. Das betrifft nicht nur US-amerikanische Anbieter, sondern unter Umständen auch europäische Unternehmen, die zu einem US-Konzern gehören.

Sensible Verwaltungsdaten schützen

Ebenso wichtig ist ein transparenter Umgang mit den gespeicherten Daten. Verwaltungen sollten nachvollziehen können, wo ihre Daten gespeichert werden, wer darauf zugreifen kann und zu welchen Zwecken sie verarbeitet werden. Nur wer diese Fragen beantworten kann, hat die Kontrolle über die Daten seiner Verwaltung.

Kommunen verarbeiten täglich besonders sensible Informationen – von Personalakten über Sozialdaten bis hin zu Bau- und Finanzunterlagen. Die eingangs erwähnten Brückenpläne sind nur eines von vielen Dokumenten, deren unkontrollierter Austausch erhebliche Risiken birgt. Gelangen diese in falsche Hände, kann das nicht nur rechtliche Folgen haben, sondern auch das Vertrauen der Bürgerinnen und Bürger in die Verwaltung beeinträchtigen.

Datensicherheit und DSGVO mitdenken

Mit der zunehmenden Digitalisierung werden immer mehr Verwaltungsdaten digital verarbeitet. Umso wichtiger ist es, Datensicherheit von Anfang an mitzudenken.

Für den Umgang mit personenbezogenen Daten gibt die Datenschutz-Grundverordnung (DSGVO) den rechtlichen Rahmen vor. Die grundlegenden Anforderungen sind den meisten Mitarbeitenden bekannt. Schwieriger ist häufig ihre Umsetzung im Arbeitsalltag.

Warum entsteht Schatten-IT?

Denn in der Praxis zeigt sich, dass sichere Anwendungen nicht immer so komfortabel sind wie Programme, die viele aus ihrem privaten Umfeld kennen. Wenn Dateien mit wenigen Klicks über einen bereits installierten Dienst versendet werden können, erscheint dieser Weg oft einfacher als die offiziell vorgesehenen Prozesse. Genau hier entsteht Schatten-IT: nicht aus Absicht, sondern aus Gewohnheit und Pragmatismus. Deshalb reicht es nicht aus, Regeln vorzugeben. Entscheidend sind Lösungen, die sich in der Praxis bewähren.

Verschlüsselung und zentrale Rechteverwaltung

Bei der Auswahl eines Anbieters sollten Kommunen darauf achten, dass jederzeit nachvollziehbar ist, auf welchen Servern Daten gespeichert werden, wer darauf zugreifen kann und welchen rechtlichen Rahmenbedingungen die Anbieter unterliegen. Ebenso wichtig ist eine durchgängige Verschlüsselung der Daten – sowohl während der Übertragung als auch bei der Speicherung, damit sie auch im Falle eines Datenlecks unlesbar bleiben.

Die IT vor Ort sollte die Zugriffsrechte für die Anwendung möglichst einfach und zentral verwalten können. Berechtigungen für beispielsweise die Ordner einer bestimmten Abteilung müssen sich schnell vergeben, anpassen und wieder entziehen lassen, etwa wenn Mitarbeitende die Abteilung wechseln oder die Verwaltung verlassen.

Nicht zuletzt entscheidet die Alltagstauglichkeit darüber, ob eine Lösung tatsächlich genutzt wird. Lässt sich eine Datei etwa direkt aus dem gewohnten Mailprogramm sicher versenden, sinkt die Versuchung, auf inoffizielle Alternativen auszuweichen. Dann werden auch die Pläne für die neue Brücke selbstverständlich über den offiziellen Weg ausgetauscht – und nicht mehr über eine private Dropbox.