Die teuerste Software in Ihrem Unternehmen ist die, von der niemand weiß, dass Sie sie besitzen. Shadow IT ist kein Tool-Problem — es ist ein Sichtbarkeits-Problem. Lojycal verwandelt den unsichtbaren Bestand in eine Zeile im Ledger.
SaaS-Apps in der durchschnittlichen Mid-Market-Organisation sind der IT unbekannt. Der Rest wird doppelt, manchmal dreifach bezahlt — oft über Karten, die niemand abstimmt.
Shadow IT ist nicht ein einzelnes Versagen. Es sind fünf verschiedene Teams, die jeweils eine Ecke desselben Problems betrachten — und keines hält das Gesamtbild.
Marketing braucht bis Dienstag ein Transkriptions-Tool. Einkauf dauert zwei Wochen. Firmenkarte, Zustimmung geklickt, Tool in neun Minuten live. Das Unternehmen hat soeben einen Vendor, einen Auftragsverarbeiter und eine Verlängerung erworben — ohne Ticket, ohne Vertrag, ohne AVV.
€18 auf einer Firmenkarte landen im GL als 'Software, Sonstiges'. Nichts schlägt Alarm. Zwölf Monate später sind aus diesen €18 längst 240 Lizenzen über 40 Teams geworden — und die Buchung läuft immer noch unter Sonstiges.
Moderne SaaS-Tools brauchen die IT nicht zum Onboarding. Kein AD-Join, kein MDM, kein Firewall-Ticket. Der Browser ist die Installation. Ohne Geräte-Telemetrie und IdP-OAuth-Erfassung sieht die IT nur die Apps, die um Erlaubnis gebeten haben.
Eine App, die Sie nicht kennen, kann nicht im Asset-Register, in der DSFA oder im SOC2-Scope stehen. Sie kann trotzdem Kunden-PII verarbeiten, Quellcode exportieren oder Access-Tokens speichern. Der erste Kontakt der Security mit ihrem Namen ist meist die Breach-Meldung.
Der Einkauf steuert, was durch den Einkauf läuft. Shadow IT überspringt den Vordereingang komplett — Karte, Klick, Zustimmung. Der Vendor rechnet beim Karteninhaber ab, nicht bei der Kreditorenbuchhaltung. Kein PO, kein MSA, kein Renewal-Kalender. Der Einkauf soll drei Tage vor Auto-Renew etwas verhandeln, von dem er nie gehört hat.
Fünf Erkennungspfade, jeder an eine reale Signalquelle in der Plattform gebunden. Nichts hier ist theoretisch — jede Erkenntnis nennt die Tabelle, den Connector oder den Webhook, der sie erzeugt hat.
Zwei unabhängige Signale: IdP-OAuth-Grants in dem Moment, in dem ein Nutzer 'Mit Google anmelden' klickt, plus Cookie-Jar-Telemetrie aus dem Arbeitsbrowser. Jede Domain mit authentifiziertem Traffic ohne Zeile im Integration Ledger wird innerhalb von Minuten markiert — nicht beim nächsten Quartalsaudit.
license_subscriptions wird nach Vendor-Familie und Capability-Tag normalisiert und gegen global_pricing_benchmarks geprüft. Teilen sich zwei bezahlte Verträge einen Capability-Tag (z.B. 'transcription', 'esign', 'project-mgmt'), wird ein Duplicate-Befund erstellt — mit dem günstigeren als vorgeschlagenem Konsolidierungsziel.
Letzte Aktivität pro Sitz kommt vom Live-Connector, nicht aus einem CSV-Export. Sitze werden in 30 / 60 / 90-Tage-Buckets gestaffelt. Reclaim läuft per Default als Dry-Run, gibt ein Rollback-Token zurück, und die Aktion wird im WORM-Audit-Log vermerkt, bevor der Connector überhaupt aufgerufen wird.
Personio- / BambooHR-Austrittsdelta wird bei jedem Sync gegen IdP-Gruppenmitgliedschaft und Sitzpräsenz beim Connector abgeglichen. Der HRIS-Push-Reconciliation-Flow (read → confirm → write → verify) sorgt dafür, dass ein im HRIS markierter Austritt in derselben Minute zur Revoke-Liste über alle angeschlossenen Tools wird.
Jeder legitime Kauf beginnt als Zeile in procurement_requests, dimensioniert über die 3-Stufen-Policy (€1k / €5k / €25k). Eingelesene Vendor-Rechnungen werden mit diesem Ledger verknüpft. Rechnungen ohne passende Anfrage gehen zur nachträglichen Genehmigung — Anforderer, Genehmiger und Unterzeichner stehen im Audit-Trail.
Sie können nichts steuern, sichern, abschalten oder verhandeln, was Sie nicht sehen. Lojycal macht den unsichtbaren Bestand sichtbar — und stellt jede Zeile davon unter dieselbe auditierte Lebenszyklus-Logik wie den Rest Ihrer Tools.
