Shadow-IT-Erkennung: jedes Gerät im Netz, kein blinder Fleck

Der blinde Fleck im Netzwerk

Jedes Asset, das Sie nicht kennen, ist eines, das Sie nicht schützen. Der private Laptop im Gäste-WLAN, der vergessene Test-Server, das IoT-Gerät aus der Haustechnik, der Mitarbeiter-Switch unter dem Schreibtisch — Shadow IT entsteht selten böswillig, aber sie entsteht ständig. Und genau diese Geräte fehlen im Inventar, bekommen keine Patches und tauchen in keinem Compliance-Nachweis auf.

Klassische RMM-Tools verwalten nur, was bereits einen Agenten trägt. Was keinen Agenten hat, existiert für sie nicht. OneLog dreht die Logik um: Statt nur das Bekannte zu verwalten, gleicht es kontinuierlich das tatsächliche Netz mit dem verwalteten Inventar ab — und macht die Differenz sichtbar.

So funktioniert die Erkennung

OneLog beobachtet den Netzwerkverkehr und identifiziert jedes Gerät, das kommuniziert. Wird ein Gerät gefunden, das keinem verwalteten Asset entspricht, übernimmt eine KI-gestützte Klassifizierung: Sie bestimmt anhand von Verhaltens- und Kommunikationsmerkmalen, um welchen Gerätetyp es sich handelt und wie kritisch er ist.

Das Ergebnis ist eine durchgehende Netzwerk-Topologie, in der kein Gerät unsichtbar bleibt — vom Domain-Controller bis zum unbekannten Endpoint.

Trust-Status: drei Stufen, klare Regeln

Jedes erkannte Gerät bekommt einen Trust-Status. Der Status ist keine Kosmetik, sondern steuert das Verhalten des Systems:

• Managed — von OneLog verwaltet, mit Agent, vollständig inventarisiert und gepatcht.
• Approved — bekannt und freigegeben, aber bewusst nicht agentenverwaltet (etwa Drucker, Netzwerk-Hardware, geprüfte IoT-Geräte).
• Shadow IT — unbekannt und nicht freigegeben. Erst zu prüfen, dann freizugeben oder zu isolieren.

Aus „irgendwas hängt da im Netz“ wird eine nachvollziehbare Entscheidung mit Status, Historie und Verantwortlichem.

Von der Erkennung zur Quarantäne

Erkennen allein genügt nicht — entscheidend ist, was danach passiert. OneLog lässt Sie per Policy festlegen, wie mit Shadow IT umgegangen wird:

1. Melden — das Gerät wird zur manuellen Prüfung eskaliert.
2. Quarantäne — das Gerät wird automatisch netzwerkseitig isoliert, bis eine Freigabe erfolgt.
3. Übergabe an Remediation — bei verwaltbaren Geräten kann die autonome Remediation übernehmen und das Gerät in den Managed-Zustand überführen.

So schließt sich die Lücke zwischen Sichtbarkeit und Handlung: Ein unbekanntes Gerät bleibt nicht wochenlang als Notiz im Dashboard stehen, sondern wird nach klaren Regeln behandelt.

Warum das für Compliance zählt

Ein vollständiges, aktuelles Asset-Inventar ist die Voraussetzung für nahezu jede Sicherheits- und Compliance-Anforderung. NIS2 verlangt es ausdrücklich, ISO 27001 ebenso. Eine Inventarliste, die nur das Verwaltete kennt, ist per Definition unvollständig — und ein unvollständiger Nachweis ist im Audit angreifbar.

OneLog liefert ein Inventar, das sich am echten Netz orientiert statt an einer manuell gepflegten Tabelle. Jedes Gerät, jeder Trust-Status, jede Freigabe- oder Quarantäne-Entscheidung ist dokumentiert und nachweisbar.

Souverän, wie der Rest von OneLog

Die Shadow-IT-Erkennung läuft auf derselben Grundlage wie alle OneLog-Funktionen: EU-souverän betrieben in der STACKIT Sovereign Cloud, ISO 27001:2022, ohne US-Cloud-Exposure. Gerade die Netzwerk- und Asset-Daten, die hier entstehen, sind hochsensibel — sie gehören nicht unter fremde Jurisdiktion.