Schatten-IT bei Online-Whiteboards: So bekommst Du sie in den Griff

Für Workshops und Meetings verlassen sich Teams auf Online-Whiteboards, um alle Beteiligten auf einer gemeinsamen Arbeitsfläche zusammenzubringen. Ein Moderator erstellt ein kostenloses Online-Whiteboard-Konto und sendet den Link an das Team. Innerhalb einer Stunde enthält das Board interne Pläne, Kundeninformationen und Screenshots von Geschäftsprozessen.

Das Problem dabei ist, dass sich das Board nun ausserhalb der genehmigten Kollaborationsumgebung des Unternehmens befindet. Die IT-Abteilung weiss möglicherweise nicht, dass es existiert, wer darauf zugreifen kann oder was mit den Inhalten geschieht, wenn der Ersteller das Unternehmen verlässt.

Dies ist ein sehr häufiges Beispiel für Schatten-IT, das wir in vielen Unternehmen beobachten. Um dies zu reduzieren, sind klare Verantwortlichkeiten, praktische Regeln und ein genehmigtes Whiteboard-Tool erforderlich, das die Mitarbeiter problemlos nutzen können.

Wichtige Erkenntnisse

• Online-Whiteboards werden zur Schatten-IT, wenn die geschäftliche Nutzung ausserhalb der organisatorischen Aufsicht und Verwaltung stattfindet.
• Unabhängig verwaltete Konten können Lücken bei der Datentransparenz, der Zugriffskontrolle, dem Offboarding und der Datenaufbewahrung verursachen.
• Ein kostenloses Konto ist nicht automatisch unsicher, und ein kostenpflichtiges Konto ist nicht automatisch unternehmenskontrolliert.
• Unternehmen können Schatten-IT reduzieren, indem sie die bestehende Nutzung verstehen, eine genehmigte Plattform anbieten und Boards über ihren gesamten Lebenszyklus hinweg verwalten.
• Collaboard unterstützt diesen Ansatz durch verschiedene Hosting-Optionen, die Integration von Identitätsanbietern (IdP) und Prozesse für das User-Lifecycle-Management.

Was ist Schatten-IT bei Online-Whiteboards?

Schatten-IT bei Online-Whiteboards bedeutet, dass Whiteboard-Tools, Konten oder Arbeitsbereiche für geschäftliche Zwecke ausserhalb der etablierten IT-Genehmigungs- und Verwaltungsprozesse des Unternehmens genutzt werden.

Beispiele hierfür sind ein Team, das einen ungeprüften Dienst einführt, ein Mitarbeiter, der geschäftliche Boards in einem persönlich verwalteten Konto führt, oder Personal, das interne Informationen in den externen Arbeitsbereich eines Beraters einfügt, ohne die Vereinbarung zu prüfen.

Das britische National Cyber Security Centre beschreibt das umfassendere Problem der Schatten-IT als unbekannte Geschäftstechnologie, die ausserhalb der Anlagenverwaltung und der IT-Prozesse des Unternehmens liegt.

Das Hauptproblem ist der Mangel an Transparenz und Kontrolle. Ein genehmigtes Cloud- oder selbst gehostetes Whiteboard kann Teil der verwalteten IT-Umgebung sein, während ein unabhängig erworbenes Abonnement Schatten-IT bleiben kann.

Selbst wenn sich Benutzer mit einer Firmen-E-Mail-Adresse registrieren, begründet dies noch keine zentrale Verwaltung oder organisatorische Eigentümerschaft. Die IT-Teams erfahren möglicherweise nie, dass das Konto existiert.

Warum nutzen Teams nicht genehmigte Whiteboard-Tools?

Teams nutzen in der Regel ein Whiteboard, weil sie ihre Arbeit erledigen müssen. Ein Moderator benötigt Haftnotizen für einen Workshop. Ein Projektteam möchte einen Prozess abbilden. Ein Kunde sendet eine Einladung zur Zusammenarbeit.

Wenn die genehmigte Option nicht verfügbar, schwer zugänglich oder nicht mit den erforderlichen Funktionen ausgestattet ist, ist eine Alternative schnell gefunden.

Häufige Auslöser sind:

• Lange Genehmigungs- oder Bereitstellungsprozesse für Konten
• Unsicherheit darüber, welche Tools zulässig sind
• Eingeschränkte Funktionen für Workshops und Moderation
• Schwierigkeiten bei der Einbindung von Kunden, Partnern oder anderen Gästen
• Vertrautheit mit einem Tool aus einer früheren Tätigkeit

Welche Risiken bergen nicht verwaltete Whiteboard-Konten?

Whiteboards können wertvolle Geschäftsinformationen enthalten. Was einzeln wie harmlose Notizen aussieht, kann in der Gesamtschau eine Produktstrategie, eine interne Entscheidung oder detaillierte Betriebsabläufe offenlegen oder sensible personenbezogene Daten enthalten.

Ob ein tatsächliches Risiko besteht, hängt vom Inhalt des Boards, dem Dienst selbst und dessen Konfiguration ab. Diese fünf Bereiche erfordern Aufmerksamkeit:

Eingeschränkte Transparenz bei Geschäftsinformationen

Wenn Boards nicht in den Unterlagen des Unternehmens erfasst sind, haben die zuständigen Teams oft Schwierigkeiten nachzuvollziehen, wo Informationen gespeichert sind, welche Kopien existieren und wer für diese verantwortlich ist.

Dies kann die Reaktion auf Sicherheitsvorfälle, Informationsanfragen und das routinemässige Informationsmanagement erschweren.

Unklare Zuständigkeiten und Offboarding

Ein Mitarbeiter besitzt möglicherweise Boards, auf die mehrere Abteilungen angewiesen sind. Wird das Konto eigenständig verwaltet, können Kollegen nach dem Ausscheiden des Mitarbeiters den Zugriff auf diese Boards verlieren oder diese nicht mehr verwalten.

Das Gegenteil ist ebenfalls möglich: Zugriffsrechte bleiben bestehen, obwohl eine Person diese nicht mehr benötigt oder nicht mehr haben sollte.

Unkontrollierte Freigaben und externer Zugriff

Gast-Links erleichtern die Teilnahme an Workshops. Ohne vereinbarte Regeln können diese Links länger aktiv bleiben als beabsichtigt oder Personen ausserhalb der ursprünglichen Gruppe erreichen.

Die entscheidenden Fragen bei geteilten Links lauten: Wer kann das Board öffnen? Was darf die Person dort tun? Und wie lange bleibt der Zugriff bestehen?

Ungeprüfte Hosting- und Verarbeitungsvereinbarungen

Ein Tool, das ohne Prüfung eingeführt wurde, wurde möglicherweise nicht an den Anforderungen des Unternehmens hinsichtlich Hosting, Anbieterzugriff, Unterauftragsverarbeitern, Verträgen oder Löschfristen gemessen.

Die Speicherung von Daten an einem bestimmten Standort löst all diese Fragen nicht von allein.

Für eine strukturierte Anbieterbewertung kannst Du unsere Checkliste zum Datenschutz bei Online-Whiteboards nutzen.

Fragmentiertes Wissen und vergessene Boards

Wenn Teams unverbundene Konten und Plattformen nutzen, werden Workshop-Ergebnisse schwerer auffindbar und pflegebedürftig. Mitarbeiter duplizieren möglicherweise Arbeit, verlassen sich auf veraltete Inhalte oder verlieren den Kontext hinter einer Entscheidung.

Hier sind Szenarien, die wir in mehreren hundert Projekten zur Einführung von Online-Whiteboards in vielen Unternehmen beobachtet haben:

So reduzierst Du Whiteboard-Schatten-IT in sechs Schritten

Der hier vorgestellte Ansatz kombiniert Bestandsaufnahme, Risikobewertung und eine Kollaborationsumgebung, die den geschäftlichen Anforderungen entspricht.

1. Bestehende Tools, Konten und Boards entdecken

Sprich zuerst mit den Personen, die Workshops leiten, Projekte verwalten und extern zusammenarbeiten. Stelle ihnen drei Fragen:

• Welche Whiteboard-Tools nutzen die Teams, einschliesslich eigenständig erstellter Konten?
• Wer ist Eigentümer dieser Boards und welche geschäftlichen Informationen enthalten sie?
• Wer hat Zugriff, einschliesslich externer Teilnehmer und ehemaliger Mitarbeiter?

Erfasse die Plattform, den Eigentümer, den Zweck, die allgemeine Inhaltskategorie und bekannte Freigaberegelungen. Vermeide es, sensible Board-Inhalte in ein ungeschütztes Inventar zu kopieren.

Erkläre, dass es darum geht, nützliche Arbeit zu bewahren und sinnvolle Kontrollen zu etablieren. Falls Dein Unternehmen bereits zugelassene Software-Discovery-Tools einsetzt, können deren Ergebnisse diese Gespräche ergänzen.

2. Sensible Inhalte bewerten und Risiken priorisieren

Überprüfe die entdeckten Boards anhand ihres Inhalts und ihrer Zugänglichkeit. Eine öffentliche Schulungsübung und ein vertraulicher Strategieworkshop erfordern eine unterschiedliche Behandlung.

Priorisiere Boards, die personenbezogene Daten, Kundenmaterial, interne Strategien, Forschungsergebnisse oder sicherheitsrelevante Details enthalten. Prüfe frühzeitig Boards mit weitreichenden Freigaben sowie Boards ohne aktuellen Eigentümer.

Lege für jedes priorisierte Element fest, wer darauf zugreifen darf, ob dieser Zugriff noch erforderlich ist und welche sofortigen Massnahmen notwendig sind. Stimme Dich dazu mit dem zuständigen Sicherheits- oder Datenschutzteam ab.

3. Zugelassene Tools und zulässige Nutzung definieren

Definiere und veröffentliche Regeln, die folgende Fragen beantworten:

• Welche Plattform sollen Mitarbeiter verwenden?
• Welche Informationen dürfen sie hinzufügen?
• Wie können externe Personen auf die Boards zugreifen?

Mache Verantwortlichkeiten explizit. Jedes geschäftliche Board sollte einen verantwortlichen Eigentümer haben, und Teams sollten wissen, wie sie Zugriff oder eine Ausnahme beantragen können.

Beziehe extern gehostete Workshops in die Richtlinie ein. Mitarbeiter benötigen Orientierungshilfen für Situationen, in denen ein Kunde oder Partner die Plattform auswählt.

Halte die Richtlinien leicht auffindbar und kurz genug, um sie vor einem Meeting lesen zu können.

4. Einfachen Zugriff und praktikable Zusammenarbeit mit Gästen ermöglichen

Die zugelassene Plattform muss die Gründe abdecken, aus denen die Mitarbeiter überhaupt nach einem anderen Tool gesucht haben.

Teste sie mit Moderatoren und Projektteams. Können sie Boards schnell vorbereiten, vertraute visuelle Methoden nutzen und externe Teilnehmer gemäss den definierten Zugriffsregeln einbinden?

Gestalte die Kontobereitstellung unkompliziert. Stelle Vorlagen, eine kurze Einführung und klare Anweisungen für das Einladen von Gästen bereit. Integriere die Anmeldung über den Identitätsanbieter des Unternehmens und nutze AD-Gruppen für das Benutzerlebenszyklus-Management.

5. Relevante Inhalte verschieben und veraltete Zugriffe schliessen

Trenne nützliche Geschäftsunterlagen von Material, das nicht mehr aufbewahrt werden muss.

Vereinbare für Boards, die behalten werden sollen, einen Eigentümer und einen Zielort in der zugelassenen Umgebung. Wähle eine Methode zum Importieren, Exportieren oder Neuerstellen und prüfe anschliessend, ob wichtige Inhalte weiterhin nutzbar sind. Je nach verwendetem Tool erfordern Kommentare, Anhänge und interaktive Elemente möglicherweise besondere Aufmerksamkeit.

Wende Berechtigungen am Zielort an. Nachdem Du die Übertragung und etwaige Aufbewahrungspflichten bestätigt hast, entziehe veraltete Zugriffsrechte und lege alte Boards oder Konten still.

Das blosse Verschieben von Inhalten entfernt weder die ursprüngliche Kopie noch deren Freigabeberechtigungen. Stelle sicher, dass ein klarer Offboarding-Prozess vorhanden ist, und prüfe die Datenaufbewahrungsrichtlinien der betroffenen Tools.

6. Eigentümerschaft, Berechtigungen und Board-Lebenszyklus regelmässig überprüfen

Definiere, was nach dem Ende eines Workshops oder Projekts geschehen soll. Ein Board muss möglicherweise bearbeitbar bleiben, als Referenzdokument dienen, archiviert oder gelöscht werden.

Weise die Verantwortung für diese Entscheidungen zu und überprüfe den externen Zugriff regelmässig. Beziehe die Board-Eigentümerschaft in das Offboarding von Mitarbeitern und Auftragnehmern ein.

Aufbewahrung, Archivierung und Löschung dienen unterschiedlichen Zwecken. Ein archiviertes Board enthält weiterhin Informationen und benötigt einen Verantwortlichen, entsprechende Berechtigungen sowie eine Entscheidung zur Aufbewahrungsdauer.

Wie Collaboard kontrollierte visuelle Zusammenarbeit unterstützt

Collaboard bietet ein Online-Whiteboard für Workshops, Brainstorming, Prozessabbildung und Projektzusammenarbeit. Unternehmen können es als genehmigte Umgebung nutzen, die visuelle Arbeitsmethoden mit administrativen und sicherheitstechnischen Kontrollen verbindet.

Wähle eine Hosting-Umgebung, die Deinen Anforderungen entspricht

Collaboard bietet Cloud-Hosting in Deutschland, der Schweiz und den Niederlanden sowie Self-Hosting in Deiner eigenen Infrastruktur oder privaten Cloud an. Für Umgebungen, die einen isolierten Betrieb erfordern, ist zudem eine Air-Gapped-Bereitstellung verfügbar.

Diese Optionen unterstützen unterschiedliche Bereitstellungsanforderungen. Die richtige Wahl hängt von der Bewertung des gesamten Service- und Betriebsmodells durch Dein Unternehmen ab. Weitere Details findest Du in den Hosting- und Sicherheitsinformationen von Collaboard.

Identity and Access Management anbinden

Single Sign-On verbindet den Zugriff mit der Identitätsumgebung des Unternehmens. Rollen, Berechtigungen und Spaces helfen dabei, Boards und den Zugriff auf die Zusammenarbeit zu organisieren.

Mit SCIM- und LDAP-Connectoren können Collaboard-Benutzer über AD-Gruppen verwaltet werden.

Freigaben und Board-Inhalte verwalten

Collaboard bietet Kontrollmöglichkeiten für Gastzugriffe, Freigaben und Board-Inhalte. Board-Besitzer können das Kopieren, Herunterladen und Exportieren einschränken sowie Sperr- oder Archivierungsfunktionen nutzen, um abgeschlossene Arbeiten zu verwalten.

Freigabelinks können mit Passwörtern geschützt werden. Zudem ermöglicht Collaboard die Verwaltung mehrerer Freigabelinks pro Board, um verschiedenen Benutzergruppen unterschiedliche Zugriffsebenen zuzuweisen.

Du kannst zudem separate Regeln für Freigabelinks definieren, je nachdem, an wen sich diese richten. So kann beispielsweise ein Link für Gäste strengere Schutzmassnahmen aufweisen als ein Link für Benutzer innerhalb desselben Unternehmens.

Das genehmigte Tool durch individuelles Branding erkennbar machen

Collaboard ermöglicht es Unternehmen, das Whiteboard-Erlebnis mit eigenem Branding anzupassen. Dies gibt Mitarbeitern ein klares visuelles Signal, dass sie in der vom Unternehmen genehmigten Umgebung für die Zusammenarbeit arbeiten.

Regeln zum Umgang mit Daten vor der Board-Erstellung kommunizieren

Unternehmen können einen In-App-Datenschutzhinweis hinzufügen, der erläutert, welche Informationen Benutzer einem Board hinzufügen dürfen und welche Aktivitäten erlaubt oder eingeschränkt sind. Jedes Mal, wenn Benutzer ein neues Board erstellen, müssen sie bestätigen, dass sie den Hinweis gelesen haben.

Sicherheitseinstellungen unternehmensweit anwenden

Collaboard unterstützt individuelle Sicherheitskonfigurationen, die das Whiteboard an die Richtlinien Deines Unternehmens anpassen.

Unternehmen können beispielsweise festlegen, dass alle Boards intern sein müssen, wodurch der Zugriff auf Benutzer innerhalb der Organisation beschränkt wird.

Bestimmte Funktionen, wie etwa KI-Features, können ebenfalls deaktiviert werden, falls sie nicht freigegeben sind.

Eine praktische Checkliste für kontrolliertes Whiteboarding

Wir nutzen die folgenden sechs Prüfpunkte in Gesprächen mit Kunden, die Schatten-IT im Bereich Online-Whiteboards reduzieren möchten:

• Genehmigte Plattform: Teams wissen, welches Tool sie verwenden sollen und wie sie Zugriff erhalten.
• Verantwortliche Eigentümer: Geschäfts-Boards haben einen Eigentümer und einen Prozess für die Eigentumsübertragung.
• Verwaltete Identitäten: Die Bereitstellung und Deaktivierung von Benutzerkonten erfolgt strukturiert.
• Definierte Freigaberegeln: Gastzugriffe und Einladungslinks entsprechen dem beabsichtigten Zweck.
• Geprüfte Servicevereinbarungen: Hosting, Datenverarbeitung und vertragliche Anforderungen wurden bewertet.
• Board-Lebenszyklus: Teams wissen, wann Inhalte überprüft, archiviert, aufbewahrt oder gelöscht werden müssen.