Schatten-IT: So macht ihr mit Sovaro Tools und Kosten sichtbar

Die meisten Teams wissen ungefähr, welche Tools sie bezahlen. Welche davon tatsächlich genutzt werden, von wem und mit welchem Account, weiß kaum jemand. Und was niemand angelegt hat, taucht in keiner Liste auf. Genau dort beginnt Schatten-IT.

Warum das so ist und was es kostet, steht in unserem Ratgeber Schatten-IT und Schatten-KI. Hier geht es um die Praxis: wie ihr mit Sovaro sichtbar macht, welche Tools im Einsatz sind, und was ihr mit den Funden anfangt.

Sovaro verbindet die erkannte App-Nutzung mit euren Rechnungen. So seht ihr, welche Tools im Einsatz sind und welche Kosten dahinterstehen.

Die Software-Übersicht in Sovaro (Demo-Daten): zehn Apps im Einsatz, fünf neu erkannte warten auf Prüfung, darunter ChatGPT Plus.

Warum ein Login-Protokoll nicht reicht

Viele starten mit dem, was Google Workspace oder Microsoft Entra ohnehin zeigt: Tools, bei denen sich jemand mit dem Firmen-Login anmeldet. Das ist ein guter Anfang, damit seht ihr allerdings nur einen Teil der eingesetzten Tools. Wer sich mit privater E-Mail registriert, ein Abo auf die Firmenkarte bucht und per Passwort einloggt oder ein KI-Tool privat bezahlt, taucht in keinem Login-Protokoll auf.

Sovaro nutzt deshalb zwei weitere Quellen: die tatsächliche Nutzung auf den Firmengeräten und die Rechnungen. Zusammen ergeben sie ein Bild, das keine der Quellen allein liefert.

Schritt 1: Google Workspace oder Microsoft Entra verbinden

Beim Einrichten verbindet ihr euren Workspace. Damit kennt Sovaro alle Mitarbeiter, und Tools, die über die Nutzung erkannt werden, lassen sich direkt einer Person zuordnen. Neue Konten erscheinen automatisch, ohne dass jemand eine Liste pflegt.

Nutzt ihr Personio oder HiBob, könnt ihr das HR-System zusätzlich anbinden. Für das Aufdecken von Schatten-IT ist das nicht nötig.

Schritt 2: Agent auf den Firmengeräten verteilen

Ihr schickt dem Team einen Setup-Link. Der Sovaro-Agent installiert sich auf dem Laptop und bringt die Browser-Erweiterung mit. Die Geräte erscheinen sofort. Für einen ersten Bestand der Software-Nutzung rechnet ihr mit etwa einer Woche.

• Installierte Software: Der Agent sieht, welche Programme lokal auf dem Gerät laufen.
• Web-Apps: Die Browser-Erweiterung erkennt, welche Web-Apps jemand nutzt, anhand der Domain des Tools. So sieht Sovaro, wer welches Tool verwendet.
• Einordnung: Die KI prüft, ob es sich um ein SaaS-Tool handelt oder nur um eine normale Website.

Der Agent gehört auf Firmengeräte, nicht auf private. Die Erkennung lässt sich außerdem pro Mitarbeiter abschalten.

Schritt 3: Rechnungen an Sovaro schicken

Die zweite Quelle sind die Rechnungen. Dafür gibt es vier Wege:

• Postfach verbinden: Gmail oder Outlook verbinden, dann holt Sovaro die Rechnungen selbst ab.
• Weiterleiten: Rechnungen an eure Sovaro-Adresse weiterleiten. Ihr müsst nicht vorsortieren, die KI erkennt, was eine Rechnung ist, und verwirft den Rest.
• Eigene Adresse je Tool: Jedes Tool bekommt eine eigene Rechnungsadresse, die ihr beim Anbieter als Empfänger eintragt. Ab dann kommen die Rechnungen von selbst.
• Hochladen: PDFs direkt in Sovaro ablegen.

Die KI liest Betrag, Anbieter und Zeitraum aus, ihr bestätigt. Wichtig für die Schatten-IT: Sovaro erkennt dabei auch Tools, die noch niemand angelegt hat. Ein Abo, das irgendwer vor einem Jahr auf die Firmenkarte gebucht hat, steht danach in der Übersicht.

Schritt 4: Funde prüfen

In der Software-Übersicht seht ihr jetzt alle erkannten Tools aus beiden Quellen, mit den Personen, die sie nutzen, und den Kosten, soweit eine Rechnung da ist. KI-Tools wie ChatGPT stehen in derselben Liste. Neue Funde erscheinen unter „Neu erkannt“, und für jeden entscheidet der IT-Admin: freigeben, ignorieren oder nicht erlauben. Nichts wird automatisch gesperrt oder gekündigt.

Ein Fund von Anfang bis Ende

Wie das aussieht, zeigt Loom (Demo-Daten):

1. Erkannt: Bei Northwind taucht Loom unter „To review“ auf. Niemand hat das Tool angelegt, aber vier Personen nutzen es regelmäßig.
2. Nachgefragt: Der IT-Admin fragt nach. Der Vertrieb nimmt damit kurze Videos für Kunden auf, weil es kein offizielles Tool dafür gibt.
3. Zugeordnet: Die Teamleitung leitet die Rechnung weiter. Sovaro ordnet sie Loom zu: ein Abo für fünf Lizenzen, bezahlt mit der Firmenkarte. Genutzt werden vier.
4. Entschieden: Der IT-Admin gibt Loom frei, weil es einen echten Bedarf deckt. Das Tool bekommt einen Tool-Admin und einen Billing Owner, die fünfte Lizenz fällt zur nächsten Verlängerung weg.

Die typischen Fälle

Nicht jeder Fund läuft so. Die häufigsten Konstellationen:

• Genutzt, aber noch keine Rechnung. Klärt, ob das Tool kostenlos ist, privat bezahlt wird oder nur die Rechnung fehlt. Dann freigeben oder ein freigegebenes Tool anbieten.
• Bezahlt, aber kaum genutzt. Sovaro markiert Lizenzen, die seit Wochen niemand öffnet, als Prüfkandidaten. Bevor ihr reduziert oder kündigt, prüft, ob alle Geräte erfasst sind und der Zeitraum aussagekräftig ist.
• Zwei Tools für dasselbe. Zwei Teams zahlen für ähnliche Tools. Einigt euch auf eines und legt die Abos zusammen.
• Neues KI-Tool. Klärt den Bedarf und prüft den Anbieter. Im Zweifel ist ein Firmen-Account mit klaren Regeln besser als „nicht erlauben“, sonst weicht das Team auf private Geräte aus.

Jedes Tool, das bleibt, bekommt zwei Verantwortliche: einen Tool-Admin, der Zugänge vergibt und entzieht, und einen Billing Owner, bei dem die Rechnungen landen. Verlängerungs- und Kündigungsfristen stehen für alle Tools an einem Ort.

Schritt 5: Kosten bereinigen und dranbleiben

Sobald Rechnung und Nutzung zusammenkommen, markiert Sovaro bezahlte Lizenzen ohne Nutzung als Prüfkandidaten. Ihr könnt auch einfach fragen: Sovaro AI beantwortet etwa, welche Lizenzen seit Wochen ungenutzt sind oder welche Abos als Nächstes verlängern.

Damit die Liste nicht wieder veraltet, läuft die Erkennung weiter. Neue Tools erscheinen, sobald jemand sie nutzt oder eine Rechnung kommt. Und beim Austritt eines Mitarbeiters zeigt Sovaro, welche Tools die Person genutzt hat. Mit der On- und Offboarding-Erweiterung bekommen die Tool-Admins dafür direkt die Aufgabe, den Zugang zu entziehen.

Was Sovaro nicht sieht

Transparenz ist nur dann hilfreich, wenn das Team ihr vertraut. Deshalb hier klar, wo die Grenzen liegen:

• Keine Inhalte. Bei der Nutzungserfassung sieht Sovaro, dass jemand ein Tool nutzt, nicht was er darin tut. Seiteninhalte, Bildschirminhalte und Tastatureingaben liest Sovaro nicht, also auch keine Eingaben in KI-Tools. Ausgelesen werden nur die Rechnungen, die ihr Sovaro schickt.
• Keine privaten Geräte. Der Agent gehört auf Firmengeräte. Was jemand am privaten Laptop oder Handy nutzt, erfasst Sovaro nicht.
• Keine Smartphones. Apps auf Firmenhandys erkennt Sovaro aktuell noch nicht.
• Keine Rechnung, die nie ankommt. Ein Tool, das privat bezahlt und nur auf privaten Geräten genutzt wird, bleibt unsichtbar.

Unser Rat: Sagt dem Team vorher, was ihr einführt und warum. Es geht um Kosten und Datenschutz, nicht um Kontrolle einzelner Personen.