Mobile-Menu

Mitarbeitende nutzen KI an der IT vorbei Shadow-AI bringt Software unter Zugzwang

Ein Gastbeitrag von Benedikt Leisten 5 min Lesedauer

Anbieter zum Thema

WeDoIT GmbH
cidaas by Widas ID GmbH
secunet Security Networks AG
FTAPI Software GmbH

Generative KI beschleunigt den Arbeitsalltag, doch viele Beschäftigte nutzen dafür Programme, die niemand in der IT freigegeben hat. Verbote helfen nicht, deshalb bauen Softwarehersteller den Schutz in ihre Systeme ein. Wirksam wird der erst, wenn Unternehmen vorher klare Regeln festlegen.

Wer KI-Tools verbietet, vertreibt sie nur aus dem Blickfeld der IT. Schutzfunktionen direkt in der Software machen Shadow AI wieder sichtbar und steuerbar.(Bild: © Piyaporn - stock.adobe.com)
Wer KI-Tools verbietet, vertreibt sie nur aus dem Blickfeld der IT. Schutzfunktionen direkt in der Software machen Shadow AI wieder sichtbar und steuerbar.
(Bild: © Piyaporn - stock.adobe.com)

Eine Mitarbeiterin lässt den Entwurf eines Aufhebungsvertrags von einem Web-Tool zu­sam­men­fas­sen. Ein Entwickler tippt Quellcode zur Korrektur in einen Chatbot. Beide möchten Abläufe beschleunigen, handeln ohne böse Absicht. Dennoch fließen schützenswerte Geschäftsdaten an externe Server ab. Das Risiko für unautorisierte Zugriffe steigt.

Das sind keine Ausnahmefälle, wie der Verizon Data Breach Investigations Report 2025 nahelegt. Demnach greifen rund 15 Prozent der Beschäftigten regelmäßig über ihre Un­ter­neh­mens­geräte auf GenAI-Dienste zu. Besonders kritisch: Von diesen Nutzern verwenden 72 Prozent private E-Mail-Adressen für den Zugang, weitere 17 Prozent nutzen ihre Firmenadresse ohne zentrale Authentifizierung wie SSO.

Vom Verbot zum Enablement

Um den verdeckten Datenabfluss zu stoppen, liegt der Gedanke an pauschale Verbote nahe.

Doch reine Blockadestrategien scheitern erfahrungsgemäß an der Realität. Werden Netz­werk­adressen gesperrt, weicht die Belegschaft auf private Smartphones oder LTE-Hotspots aus. Das Sicherheitsproblem verschwindet dadurch nicht, es entzieht sich lediglich der Sichtbarkeit.

Als Antwort darauf vollzieht sich am Markt aktuell eine Kehrtwende: Der Fokus rückt vom starren Verhindern hin zum kontrollierten Ermöglichen.

Schutzfunktionen direkt im Produkt

Können IT-Abteilungen die Nutzung von Shadow AI nicht unterbinden, muss die Infrastruktur den Umgang mit den Tools absichern. Anbieter aus den Bereichen Cybersecurity, Netz­werk­in­fra­struk­tur und Kollaboration rüsten daher ihre Systeme auf und bauen Funktionen ein, die verdeckte KI-Nutzung erkennen und steuern.

Dabei greifen mehrere technische Bausteine ineinander:

  • Sichtbarkeit: Netzelemente identifizieren Datenströme zu bekannten KI-Diensten und klassifizieren die verwendeten Programme.
  • Datenabflussverhinderung: Schutzmechanismen analysieren Texte auf sensible Inhalte wie Personendaten, Quellcode und Finanzdaten, bevor die Anfragen das Unternehmensnetz verlassen.
  • Richtliniendurchsetzung: Regelwerke steuern, welche Abteilungen bestimmte Anwendungsbereiche nutzen dürfen.
  • Audit-Trails: Protokolle dokumentieren die Nutzung DSGVO-konform. Compliance-Vorgaben können lückenlos nachgewiesen werden.
  • Sichere KI-Gateways: Zentrale Schnittstellen anonymisieren Anfragen, bevor Daten an externe Sprachmodelle übermittelt werden.

Gleichzeitig ordnen Sicherheitsanbieter KI-Modelle nicht mehr als neuartig ein, sondern gliedern sie als reguläre Endpunkte in Schutzkonzepte wie Zero Trust ein. Die Interaktion mit Modellen strukturiert sich nach dem Grundsatz „Never Trust, Always Verify“. KI-Assistenten, Chatbots und Large Language Models (LLMs) erhalten dafür eine eigene kryptografische Identität oder werden wie externe Ressourcen behandelt.

Marktdruck und Regulierung treiben die Integration voran

Der rasche Wandel im Software-Angebot beruht auch auf ökonomischen Faktoren. Sichtbarkeit reicht IT-Verantwortlichen als alleiniges Kaufkriterium nicht mehr aus. Sie verlangen Plattformen, die ungenehmigte Softwarenutzung ohne Zusatzaufwand unterbinden.

Als weiterer Beschleuniger fungiert der rechtliche Rahmen. Seit Februar 2025 müssen Organisationen gemäß Artikel 4 des EU AI Act sicherstellen, dass ihr Personal im Umgang mit KI-Systemen über ausreichende Kompetenz verfügt. Dulden Unternehmen den verdeckten Einsatz oder ignorieren sie Risiken, verletzen sie ihre Aufsichtspflichten und müssen mit Bußgeldern rechnen.

Hinzu kommen die finanziellen Folgen von Sicherheitsvorfällen. Laut dem Cost of a Data Breach Report 2025 von IBM berichtete jedes fünfte der untersuchten Unternehmen von einem Sicher­heits­vor­fall im Zusammenhang mit Shadow AI. Unternehmen mit einer starken Nutzung nicht autorisierter KI verzeichneten dabei im Durchschnitt 670.000 US-Dollar höhere Kosten bei Datenschutzverletzungen als Organisationen mit geringer oder keiner Shadow-AI-Nutzung. Die Ergebnisse zeigen, dass fehlende Kontrolle über KI-Anwendungen längst nicht mehr nur ein Governance-Thema ist, sondern auch ein konkretes finanzielles Risiko darstellt.

Eingebaute Steuerungselemente bergen auch Gefahren

Die Integration von Schutzfunktionen in bestehende Software vereinfacht die IT-Verwaltung. Unternehmen nutzen gewohnte Werkzeuge, reduzieren Reibungsverluste für Mitarbeiter und erfüllen Compliance-Vorgaben. Allerdings können auch neue Risiken entstehen, insbesondere, wenn Entscheider den Systemen blind vertrauen.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Ein essenzielles Risiko stellt die sogenannte Scheinsicherheit dar. Das Aktivieren einzelner Filterregeln in einer Software ersetzt keine umfassende Sicherheitsstrategie. Bietet zudem jeder Hersteller ein eigenes Kontroll-Tool an, droht die IT-Landschaft zu zersplittern: Sobald Sicherheitsteams Dutzende Einzellösungen überwachen müssen, sinkt die Übersicht.

Zudem muss die Überwachung selbst den Datenschutz wahren. Die Analyse von Mitarbeiter-Eingaben erfordert Grenzen sowie die Einbindung des Betriebsrats, um unzulässige Verhaltenskontrollen auszuschließen.

Handlungsempfehlungen für die IT-Praxis

Shadow AI lässt sich aus der Grauzone in geordnete Bahnen lenken, wenn das Software-Up­grade von klaren Spielregeln begleitet wird. Die Transformation sollte einem Fahrplan folgen, der technische Maßnahmen mit organisatorischen Prozessen verknüpft.

  • Schnittstellenarchitektur priorisieren
    Bei der Software-Auswahl steht die Integrationsfähigkeit im Vordergrund. Schutzfunktionen sollten sich über offene APIs in bestehende SIEM- oder SOAR-Plattformen einbinden lassen. Nur eine zentrale Bündelung aller Sicherheitsereignisse verhindert das Entstehen neuer Informationssilos.
  • Governance und Prozesse vor reine Technik stellen
    Technische Systeme setzen Vorgaben durch, treten aber nicht an die Stelle einer Strategie. Bevor Kontrollwerkzeuge greifen, bedarf es Richtlinien. Welche KI-Szenarien sind für welche Abteilung zulässig? Wie sieht der Umgang mit sensiblen Daten aus?
  • Sichere KI-Alternativen bereitstellen
    Eine Restriktionspolitik verstärkt das Ausweichen auf ungeschützte Kanäle. Unternehmen begegnen dem Nutzungswunsch der Belegschaft am wirkungsvollsten durch das Be­reit­stel­len geprüfter, datenschutzkonformer KI-Umgebungen. Stehen funktionale und leicht zugängliche Alternativen bereit, entzieht dies der Schatten-KI nachhaltig die Grundlage.
  • Mitarbeiterkompetenz kontinuierlich aufbauen
    Neben technischen Barrieren bleibt der Mensch ein wichtiger Baustein der Sicherheits­architektur. Praxisnahe Schulungen vermitteln ein Verständnis für Datenschutz- und Sicherheitsrisiken. Damit kommen Organisationen zugleich der dem KI-Kompetenzaufbau der Mitarbeitenden gemäß Artikel 4 des EU AI Act nach.

Fazit: Sicheres Enablement schlägt die KI-Schattenwelt

Der verdeckte Einsatz von KI-Werkzeugen verliert seinen Schrecken, sobald Unternehmen die Realität akzeptieren. Starre Verbote verhindern die Nutzung nicht, sondern treiben schützens­werte Daten in unüberwachte Kanäle. Dass Softwarehersteller Sicherheits- und Governance-Funktionen direkt in ihre Produkte integrieren, unterstreicht den Perspektivenwechsel vom Verhindern zum Enablement. Kombinieren Unternehmen diese eingebauten Schutz­mecha­nis­men mit verbindlichen Prozessen und geschultem Personal, wird aus dem Sicherheitsrisiko Shadow AI der Impuls für eine ausgereifte Gesamtarchitektur.

Über den Autor: Benedikt Leisten ist Geschäftsführer und Gründer der WeDoIT GmbH in München. Seit vielen Jahren beschäftigt er sich mit IT, Digitalisierung und Cybersecurity und verfügt über umfangreiche Erfahrung in der Entwicklung und Vermarktung technologischer Lösungen. Bei WeDoIT liegt sein Fokus darauf, insbesondere mittelständische Unternehmen dabei zu unterstützen, moderne Cybersecurity-Strukturen aufzubauen und komplexe Sicherheitsanforderungen praxistauglich umzusetzen.

(ID:51007960)

Weiterführende Inhalte