Shadow IT ist ein etablierter Schreckbegriff: Fachabteilungen bauen sich Werkzeuge, von denen die zentrale IT nichts weiß, und irgendwann steht ein unbekanntes System im Produktivbetrieb. Die Literatur denkt das Problem entsprechend als Sichtbarkeitsproblem – erst entsteht etwas im Verborgenen, dann wird es entdeckt, dann wird es eingefangen.
Auf modernen Plattformen greift das nicht mehr richtig. Wenn jeder Arbeitsbereich an einem Konto aus der zentralen Identitätsverwaltung hängt, ist nichts anonym. Wer etwas gebaut hat, ist bekannt, und wo es läuft, ist bekannt. Das Sichtbarkeitsproblem ist damit weitgehend erledigt.
Verschwunden ist das Risiko trotzdem nicht. Es verschiebt sich nur – von verborgenen zu sichtbaren, aber nicht mehr verantworteten Anwendungen. Das Muster ist immer dasselbe: Eine motivierte Person baut nebenbei ein Werkzeug, das gut funktioniert und schnell unentbehrlich wird. Dann wechselt die Person die Stelle, geht in Rente oder hat schlicht keine Zeit mehr. Das Werkzeug läuft weiter. Zuständig ist niemand. Irgendwann landet es bei der zentralen IT, die es nicht gebaut hat und keine Kapazität dafür eingeplant hatte.
Der Fachbegriff dafür ist der Bus-Faktor: die Anzahl an Personen, die ausfallen müssten, damit ein Projekt stehenbleibt. Bei fachnah gebauten Anwendungen ist er strukturell eins. Und anders als bei einem klassischen Softwareprojekt fällt das niemandem auf, solange die Person da ist.
Was daraus folgt, ist unspektakulär und deshalb leicht zu übersehen: Die Frage, ob jemand eine Anwendung bauen darf, ist die weniger wichtige. Die wichtigere lautet, wer sie übernimmt, wenn diese Person nicht mehr da ist – und ob das jemals jemand aufgeschrieben hat.
Ein Nebeneffekt der Identitätskopplung gefällt mir dabei: Wird ein Konto ungültig, verschwindet die Anwendung automatisch. Das ist ein unfreiwilliger, aber wirksamer Aufräummechanismus – und gleichzeitig ein guter Grund, vorher zu wissen, was da eigentlich wegfällt.
Leseempfehlungen
- Steffi Haag, Andreas Eckhardt: Shadow IT, Business & Information Systems Engineering 59(6), 2017 – vier Seiten, die den Begriff sauber sortieren. doi.org/10.1007/s12599-017-0497-x
- Daniel Fürstenau, Hannes Rothe, Matthias Sandner: Leaving the Shadow, Business & Information Systems Engineering 63(2), 2021 – was nach der Entdeckung passiert, und warum manche Systeme bei der Fachabteilung bleiben sollten. doi.org/10.1007/s12599-020-00635-2
- Bendik Bygstad: Generative Innovation. A Comparison of Lightweight and Heavyweight IT, Journal of Information Technology 32(2), 2017 – die für mich nützlichste Denkfigur des ganzen Themas. doi.org/10.1057/jit.2016.15, frei zugänglich auch im Repositorium der NHH.
- Mary Lebens, Roger J. Finnegan, Steven C. Sorsen, Jinal Shah: Rise of the Citizen Developer, Muma Business Review 5, 2021, Open Access. doi.org/10.28945/4885
Dieser Text geht auf eine Seminararbeit zurück, in der ich mich mit Low-Code-Entwicklung durch Nicht-Programmierer beschäftigt habe. Was hier steht, ist meine Einordnung aus Literatur und Gesprächen – keine belastbare Studie, und die Beispiele sind bewusst allgemein gehalten.