Was sind Schattendaten? Risiken, Beispiele und wie man sie findet

Was sind Schattendaten?

Schattendaten sind Organisationsdaten, die außerhalb der von den Kontrollteams erwarteten Sichtbarkeits-, Verwaltungs- oder Sicherheitskontrollen existieren.

Dazu gehören sensible Daten, die in Entwicklungsumgebungen kopiert wurden, vergessene Cloud-Backups, nicht verwaltete SaaS-Exporte, alte Datenbank-Snapshots, lokale Dateien, verlassene Speicher oder Datensätze, die für Analysen und KI erstellt wurden.

Das Problem liegt nicht einfach darin, wo die Daten gespeichert sind. Das Problem ist vielmehr, dass Sicherheitsteams möglicherweise nicht wissen, wo diese Daten existieren, was sie enthalten, wer darauf zugreifen kann oder ob sie noch einem legitimen Geschäftszweck dienen.

Ein Entwickler könnte beispielsweise eine Kundendatenbank aus der Produktionsumgebung in eine Testumgebung kopieren. Das Projekt wird abgeschlossen, die Kopie bleibt jedoch bestehen. Monate später enthält diese vergessene Datenbank immer noch personenbezogene Daten von Kunden, verfügt aber nicht mehr über dieselben Zugriffskontrollen, Überwachungsmechanismen oder Eigentümerstrukturen wie das Produktionssystem.

Das sind Schattendaten.

Woher stammen Schattendaten?

Schattendaten entstehen nicht immer dadurch, dass Mitarbeiter die IT absichtlich umgehen. Ein Großteil davon entwickelt sich im Rahmen normaler Geschäfts- und technischer Prozesse.

Gängige Quellen sind:

• Cloud-Backups und Snapshots: Kopien bleiben auch dann erhalten, wenn Teams die ursprüngliche Arbeitslast nicht mehr nutzen.
• Entwicklungs- und Testumgebungen: Die Produktionsdaten werden in die Testumgebungen kopiert und bleiben auch nach Abschluss der Tests erhalten.
• SaaS-Exporte: Mitarbeiter exportieren Kunden-, Finanz- oder Betriebsdaten in Tabellenkalkulationen und andere Anwendungen.
• Analyse-Pipelines: Teams duplizieren Datensätze über Data Warehouses, Data Lakes, Notebooks und Analyseplattformen hinweg.
• Persönlicher oder nicht verwalteter Speicher: Mitarbeiter speichern Geschäftsinformationen auf lokalen Geräten oder in nicht genehmigten Cloud-Diensten.
• Abgebrochene Projekte: Daten bleiben auch dann bestehen, wenn Anwendungen, Cloud-Ressourcen oder Geschäftsinitiativen das Ende ihres Lebenszyklus erreichen.
• KI-Entwicklung: Teams erstellen Trainingsdatensätze, Vektorspeicher, Modelleingaben, RAG-Repositories und experimentelle Datenkopien, ohne etablierte Governance-Richtlinien anzuwenden.

Gemeinsamer Nenner ist der Verlust von Transparenz oder Kontrolle. Die Organisation besitzt die Daten weiterhin oder ist dafür verantwortlich, aber ihre üblichen Sicherheits- und Governance-Prozesse greifen möglicherweise nicht mehr.

Warum stellen Schattendaten ein Sicherheitsrisiko dar?

Unbekannte Daten bergen unbekannte Risiken.

Wenn Sicherheitsteams nicht wissen, dass ein Datensatz existiert, können sie nicht zuverlässig feststellen, ob für ihn angemessene Zugriffskontrollen, Verschlüsselung, Aufbewahrungsrichtlinien, Überwachung oder Eigentumsverhältnisse vorliegen.

Schattendaten werden besonders wichtig, wenn sie Folgendes enthalten:

• Persönlich identifizierbare Informationen (PII)
• Geschützte Gesundheitsinformationen (PHI)
• Finanzunterlagen
• Kundeninformationen
• Zugangsdaten und Geheimnisse
• Quellcode
• Geistiges Eigentum
• Vertrauliche Geschäftsinformationen
• Andere regulierte oder geschäftskritische Daten

Eine vergessene Testdatenbank mit synthetischen Informationen stellt ein bestimmtes Risiko dar. Dieselbe Datenbank mit Millionen echter Kundendatensätze birgt ein anderes Risiko.

Deshalb benötigen Organisationen mehr als nur ein Verzeichnis ihrer Speicherressourcen. Sie müssen verstehen welche Daten darin enthalten sind und wie diese Daten offengelegt werden.

Beispiele aus der Praxis für Schattendaten

Eine vergessene Entwicklungsdatenbank

Ein Entwicklerteam kopiert Produktionskundendaten in eine Entwicklungsdatenbank, um eine neue Anwendung zu testen.

Die Anwendung wird gestartet, aber niemand löscht die Testdatenbank. Ihre Zugriffskontrollen bleiben umfassender als die der Produktionsumgebung, und der ursprüngliche Projektinhaber verlässt schließlich das Unternehmen.

Die Organisation besitzt nun eine vergessene Kopie sensibler Kundendaten mit unklaren Zuständigkeiten und möglicherweise unnötigen Zugriffsrechten.

Ein unmanaged SaaS-Export

Ein Mitarbeiter des Vertriebsinnendienstes exportiert Tausende von Kundendatensätzen aus einem genehmigten CRM-System, um sie in einer anderen Anwendung zu analysieren.

Das CRM-System bleibt weiterhin reguliert. Die exportierte Kopie möglicherweise nicht.

Wenn die Datei auf unbestimmte Zeit in einem persönlichen Cloud-Speicher oder einer nicht verwalteten SaaS-Anwendung verbleibt, können Sicherheitsteams den Überblick darüber verlieren, wer Zugriff hat und wie lange die Daten dort verbleiben.

Ein Datenbank-Snapshot, den niemand löscht

Ein Cloud-Administrator erstellt vor einer Migration einen Snapshot. Die Migration verläuft erfolgreich, doch der Snapshot bleibt lange bestehen, nachdem der ursprüngliche Bedarf entfallen ist.

Falls diese Momentaufnahme sensible Daten enthält, verfügt die Organisation nun über eine weitere Kopie, die sie sichern, verwalten und schließlich entsorgen muss.

Ein für Experimente erstellter KI-Datensatz

Ein Data-Science-Team kopiert interne Dokumente in ein neues Repository, um eine generative KI-Anwendung zu testen.

Das Experiment ist beendet, aber der Datensatz verbleibt im Cloud-Speicher oder in einer Vektordatenbank.

Selbst wenn das KI-Projekt nie in die Produktion geht, können die zugrundeliegenden Daten weiterhin offengelegt bleiben. KI schafft somit einen weiteren Weg für die Entstehung von Schattendaten.

Schattendaten vs. Schatten-IT vs. Schatten-KI

Diese Begriffe überschneiden sich zwar, beschreiben aber unterschiedliche Probleme.

Schatten-IT und Schatten-KI Beides kann Schattendaten erzeugen. Schattendaten können aber auch innerhalb genehmigter Infrastrukturen durch vergessene Kopien, Backups, Exporte und nicht mehr genutzte Ressourcen entstehen.

Wie Schattendaten die Compliance beeinflussen

Regulatorische und datenschutzrechtliche Verpflichtungen verschwinden nicht einfach dadurch, dass eine Organisation vergisst, wo Daten gespeichert wurden.

Schattendaten können es erschweren, den Speicherort regulierter Informationen zu ermitteln, Aufbewahrungspflichten durchzusetzen, auf Datenschutzanfragen zu reagieren, Zugriffskontrollen anzuwenden, Vorfälle zu untersuchen und die Einhaltung von Vorschriften nachzuweisen.

Dadurch entsteht auch ein grundlegendes Problem der Verantwortlichkeit: Teams können Daten, von denen sie nicht wissen, dass sie sie besitzen, nicht konsequent schützen oder verwalten.

Wie findet man Schattendaten?

Die Suche nach Schattendaten erfordert einen Blick über bekannte Datenbanken und genehmigte Repositories hinaus.

Ein praxisorientierter Ansatz sollte:

1. Daten umfassend entdecken. Scannen Sie strukturierte, semistrukturierte und unstrukturierte Daten in Cloud-, SaaS-, On-Premise-, Hybrid-, Entwicklungs- und KI-Umgebungen.
2. Klassifizieren Sie Ihre Funde. Ermitteln Sie, welche Vermögenswerte sensible, regulierte, vertrauliche oder wertvolle Informationen enthalten.
3. Fügen Sie Besitz- und Zugriffskontext hinzu. Ermitteln Sie, wem die Daten gehören, wer darauf zugreifen kann und ob dieser Zugriff weiterhin notwendig ist.
4. Exposition identifizieren. Achten Sie auf öffentliche Zugriffe, übermäßige Berechtigungen, veraltete Daten, Fehlkonfigurationen, nicht mehr genutzte Ressourcen und andere Risikozustände.
5. Priorisierung nach Risiko. Ein vergessenes Lager mit hochsensiblen Informationen und breitem Zugriff verdient mehr Aufmerksamkeit als ein ungenutztes Archiv mit öffentlichen Informationen.
6. Das zugrundeliegende Problem beheben. Unnötige Kopien löschen, Zugriffe einschränken, Aufbewahrungsfristen erzwingen, Konfigurationen korrigieren oder Daten an festgelegte Speicherorte verschieben.
7. Kontinuierliche Überwachung. Neue Schattendaten entstehen dadurch, dass Menschen, Anwendungen, Cloud-Dienste und KI-Systeme Informationen erzeugen und übertragen.

Wie DSPM dazu beiträgt, das Risiko von Schattendaten zu reduzieren

Verwaltung der Datensicherheitsmaßnahmen (DSPM) Bietet Sicherheitsteams eine datenzentrierte Methode, um das Risiko von Schattendaten zu erkennen und zu reduzieren.

Anstatt sich nur auf Infrastrukturinventare zu verlassen, erfasst DSPM Daten in unternehmensweiten Umgebungen und ergänzt diese um Kontextinformationen zu Sensibilität, Zugriff, Eigentumsverhältnissen, Gefährdung und Risiko.

Das ermöglicht es Teams, sich von Folgendem zu bewegen:

“Wir haben eine weitere Speichermöglichkeit gefunden.”

Zu:

“Diese vergessene Ressource enthält personenbezogene Daten von Kunden, verfügt über übermäßige Zugriffsrechte, hat keinen eindeutigen Eigentümer und keinen aktuellen geschäftlichen Zweck.”

Die zweite Erkenntnis liefert dem Sicherheitsteam konkrete Handlungsempfehlungen.

Wie KI das Problem der Schattendaten verändert

Künstliche Intelligenz macht Schattendaten wichtiger, da KI-Projekte zusätzliche Kopien von Unternehmensinformationen verbrauchen und erstellen.

Teams können Daten in folgendes Format verschieben:

• Trainingsdatensätze
• Vektordatenbanken
• RAG-Repositories
• KI-Entwicklungsumgebungen
• Eingabeaufforderungs- und Antwortprotokolle
• Modellpipelines
• Experimenteller Cloud-Speicher

Die Organisation kann die KI-Initiative zwar genehmigen, verliert dabei aber dennoch den Überblick über einige der zugrundeliegenden Datenkopien.

Es besteht auch ein Zusammenhang zwischen Schattendaten und Schatten-KI. Mitarbeiter oder Entwickler, die nicht genehmigte KI-Tools verwenden, können Unternehmensinformationen in Systeme außerhalb der normalen Governance einschleusen, wodurch sowohl ein Problem der KI-Governance als auch ein Problem der Datensicherheit entsteht.

Sicherheitsteams benötigen daher Einblick in beides wo sensible Daten gespeichert sind und wo KI sie nutzt.

Wie BigID dabei hilft, Schattendaten zu finden und zu reduzieren

BigID hilft Unternehmen dabei, sensible, regulierte, kritische, dunkle und Schattendaten in Cloud-, SaaS-, On-Premise-, Hybrid-, Entwicklungs- und KI-Umgebungen zu entdecken.

Anstatt bei der Datenerfassung stehen zu bleiben, verknüpft BigID Daten mit Sensibilität, Eigentumsverhältnissen, Zugriffsrechten, Aktivitäten, Gefährdungspotenzial und Geschäftskontext, damit Teams verstehen können, welche verborgenen Daten ein relevantes Risiko darstellen.

Organisationen können BigID für Folgendes nutzen:

• Schattendaten entdecken und klassifizieren: Finden Sie sensible und wertvolle Informationen aus strukturierten, unstrukturierten und semistrukturierten Datenquellen.
• Exposition verstehen: Identifizieren Sie Bereiche, in denen sensible Daten übermäßigen Zugriff, riskante Konfigurationen, unklare Zuständigkeiten oder andere Sicherheitsrisiken aufweisen.
• Risiken priorisieren: Die Sicherheitsteams sollten sich auf die Schattendaten konzentrieren, die aufgrund von Sensibilität, Zugriff, Eigentumsverhältnissen und geschäftlichen Auswirkungen das größte Risiko darstellen.
• Unnötige Zugänge reduzieren: Identifizieren Sie übermäßig exponierte Daten und Berechtigungen, die über den legitimen Geschäftsbedarf hinausgehen.
• Datenrisiken beheben: Ergreifen Sie Maßnahmen mithilfe von Arbeitsabläufen für Löschung, Aufbewahrung, Zugriffsbeschränkung, Kennzeichnung und andere richtlinienbasierte Korrekturmaßnahmen.
• Kontinuierliche Überwachung: Identifizieren Sie Veränderungen, wenn neue Daten, Kopien, Benutzer, Anwendungen und KI-Systeme die Datenumgebung erweitern.

Das Ergebnis ist mehr als nur eine Karte, die zeigt, wo Daten gespeichert sind. Sicherheitsteams erhalten den Kontext, um zu bestimmen, ob… Was ist wichtig, warum birgt es Risiken und was sollte zuerst angegangen werden?.

Häufig gestellte Fragen zu Schattendaten

Was sind Schattendaten?

Schattendaten sind Organisationsdaten, die außerhalb der erwarteten Sichtbarkeit, Verwaltung oder Sicherheitskontrollen existieren. Beispiele hierfür sind vergessene Backups, Datenbank-Snapshots, nicht verwaltete SaaS-Exporte, Entwicklungskopien, ungenutzter Cloud-Speicher und KI-Datensätze.

Was ist ein Beispiel für Schattendaten?

Ein gängiges Beispiel ist eine Kopie einer produktiven Kundendatenbank, die für Entwicklungs- oder Testzwecke erstellt wird und nach Projektende bestehen bleibt. Wenn diese Kopie nicht nachverfolgt oder verwaltet wird, kann sie zu Schattendaten werden.

Was verursacht Schattendaten?

Schattendaten entstehen durch die Ausbreitung von Cloud- und SaaS-Lösungen, Backups, Snapshots, Entwicklungsumgebungen, Datenexporte, Analyseprojekte, nicht verwaltete Anwendungen, aufgegebene Ressourcen und KI-Initiativen, die zusätzliche Kopien von Unternehmensdaten erzeugen.

Worin besteht der Unterschied zwischen Schattendaten und Schatten-IT?

Schatten-IT bezeichnet Technologien, die ohne angemessene IT-Aufsicht eingesetzt werden. Schattendaten sind Daten, die außerhalb der erwarteten Transparenz und Kontrolle existieren. Schatten-IT kann Schattendaten erzeugen, aber Schattendaten können auch innerhalb genehmigter Technologieumgebungen vorhanden sein.

Worin besteht der Unterschied zwischen Schattendaten und Dunkeldaten?

Schattendaten sind nicht so transparent und unterliegen keiner entsprechenden Kontrolle. Dunkle Daten bezeichnen im Allgemeinen Informationen, die eine Organisation zwar speichert, aber nicht aktiv nutzt oder aus denen sie keinen Nutzen zieht. Daten können sowohl als dunkle als auch als Schattendaten gelten, wenn sie ungenutzt bleiben und keiner effektiven Aufsicht unterliegen.

Wie entsteht durch Schattendaten ein Sicherheitsrisiko?

Schattendaten können sensible Informationen enthalten, wenn keine angemessenen Zugriffskontrollen, Überwachungs-, Aufbewahrungs-, Eigentums- oder Sicherheitsrichtlinien vorliegen. Dies kann das Risiko von unbefugtem Zugriff, Datenlecks, Compliance-Lücken und Datenschutzverletzungen erhöhen.

Wie hilft DSPM bei Schattendaten?

DSPM hilft dabei, Schattendaten zu entdecken und zu klassifizieren, sie mit Zugriffs- und Eigentumsrechten zu verknüpfen, Schwachstellen zu identifizieren, Risiken zu priorisieren und die Behebung von Problemen in Cloud-, SaaS-, Hybrid-, On-Premise- und KI-Umgebungen zu unterstützen.

Wie hilft BigID bei der Suche nach Schattendaten?

BigID erkennt und klassifiziert Daten in Unternehmensumgebungen und verknüpft sensible Daten mit Zugriff, Eigentum, Aktivitäten, Offenlegung und Risiko. Teams können diesen Kontext nutzen, um risikoreiche Schattendaten zu identifizieren, die Behebung zu priorisieren und unnötige Offenlegung zu reduzieren.

Autor

Lonnie Ross

Leiter für Digital Experience-Marketing

Lonnie ist Digital Experience Marketing Lead bei BigID und bringt über ein Jahrzehnt SEO- und Digitalmarketing-Expertise für B2C- und B2B-Unternehmen in den Bereichen SaaS und E-Commerce mit. Durch seine Tätigkeit sowohl im Technologiebereich als auch auf Agenturebene verbindet Lonnie fundierte Kenntnisse in Suchstrategie, UX und Content-Entwicklung mit einer Leidenschaft für die sich entwickelnde Landschaft des Datenschutzes. Von der Ausrichtung von Inhalten auf die Suchabsicht bis hin zur Schärfung der Markenstimme sorgt Lonnie dafür, dass Unternehmen sich nicht nur im wettbewerbsintensiven SaaS-Markt abheben, sondern auch durch ihre Vordenkerrolle bei kritischen Themen wie Compliance, Datenrisiken und verantwortungsvoller Innovation Vertrauen aufbauen.