Vierzig Sekunden, die niemand bemerkt
Dienstagmorgen, 08:40 Uhr. Ein Key-Account-Manager hat um 11 Uhr ein Quartalsgespräch und noch keine Unterlage.
Er öffnet die Excel-Liste mit 340 Bestandskunden: Firmenname, Ansprechpartner, Mobilnummer, Rabattstaffel, Vertragslaufzeit, Kündigungsfrist. Dann einen Browser-Tab mit einem kostenlosen KI-Chatbot, privater Account, angemeldet mit der Gmail-Adresse. Strg+A, Strg+C, Strg+V.
„Fasse mir die zehn wichtigsten Kunden nach Umsatzpotenzial zusammen und schreib mir für jeden drei Gesprächsaufhänger.“
Vierzig Sekunden später hat er eine brauchbare Unterlage. Das Gespräch läuft gut. Was in diesen vierzig Sekunden technisch passiert ist, weiß niemand im Unternehmen. Die Daten liegen jetzt potenziell auf einem Server außerhalb der EU. Die Firewall hat eine HTTPS-Verbindung zu einem populären Webdienst gesehen, genau wie 4.000 andere an diesem Vormittag. Kein Alarm, kein Ticket, kein Logeintrag, der jemandem auffällt.
Sieben Monate später fragt ein Kunde beim Vertriebsleiter nach, woher ein Wettbewerber seine Konditionen kennt. Jetzt beginnt die Suche. Und die IT stellt fest, dass sie nicht einmal sagen kann, welche KI-Tools im Haus überhaupt benutzt werden, geschweige denn, wer wann was hineingeschrieben hat.
Das drängendste KI-Risiko im Mittelstand ist der Copy-Paste-Vorgang eines Mitarbeiters in ein Tool, von dem man nicht weiß, dass es existiert.
Was ist Schatten-KI?
Schatten-KI bezeichnet jede Nutzung von KI-Diensten im Arbeitskontext, die nicht durch IT oder Informationssicherheit geprüft, freigegeben und inventarisiert wurde. Das reicht vom privaten ChatGPT-Tab über Browser-Erweiterungen mit Zusammenfassungsfunktion bis zu lokal installierten Modellen auf dem Dienstlaptop und KI-Plugins. Wer seine KI-Sicherheit testen will, muss zuerst wissen, welche KI im Haus überhaupt läuft. Und genau an dieser Stelle hört bei den meisten Unternehmen das Wissen auf.
Die Zahlen sind eindeutig. 71 Prozent der Mitarbeitenden in deutschen Unternehmen nutzen KI-Werkzeuge, die ihnen niemand bereitgestellt hat. Als Grund nannten sie Tempo und Umfang ihrer Arbeitsbelastung. Der Microsoft Work Trend Index 2025 kommt global auf 78 Prozent der KI-Nutzer, die ihre eigenen Tools mitbringen. Das ist der Normalzustand, nicht das Verhalten einiger Querdenker.
Warum eure bestehenden IT-Audits hier nichts finden
Das BSI weist in seinen Grundlagen zur KI-Sicherheit darauf hin, dass sich bestehende Standards für klassische IT-Systeme wegen der besonderen Struktur moderner KI-Systeme nicht unmittelbar übertragen lassen. Praktisch heißt das: Ein ISO-27001-Audit prüft, ob ihr eine Richtlinie habt. Es prüft nicht, ob 40 Mitarbeiter sie täglich umgehen. Schwachstellenscanner suchen nach CVEs, nicht nach Verhaltensmustern. Und ein SIEM, das auf Malware-Signaturen und Lateral Movement trainiert ist, sieht in einer TLS-Verbindung zu einem KI-Endpunkt exakt nichts Auffälliges.
52 Prozent der Organisationen haben laut KPMG-Erhebung 2025 überhaupt keine formale Richtlinie zur Nutzung externer KI-Tools, und nur 29 Prozent haben ihre tatsächliche KI-Nutzung jemals mit den für sie geltenden regulatorischen Rahmenwerken abgeglichen. Die Mehrheit der Unternehmen hat also weder Regel noch Messung – nur Hoffnung.
1. Einer ließ sensiblen Datenbank-Quellcode auf Fehler prüfen
2. Ein zweiter bat um Code-Optimierung
3. Ein dritter fütterte die Mitschrift eines internen Meetings ein und ließ sich ein Protokoll generieren
Samsung reagierte mit internen Nutzungsbeschränkungen, nachdem die Daten bereits draußen waren. Bemerkenswert: Das war die freigegebene Nutzung.
Wie Daten unbemerkt abfließen
Der Ablauf ist in jedem Unternehmen gleich und hat nichts mit Böswilligkeit zu tun. Er hat mit Deadlines zu tun.
Entscheidend ist Schritt 5. Bei einem Ransomware-Angriff wisst ihr spätestens, wenn die Produktion steht, dass etwas passiert ist. Bei Schatten-KI gibt es diesen Moment nicht. Die Organisation erfährt davon durch Zufall, durch einen Prüfbericht, durch eine Datenschutzanfrage – oder durch einen Kunden, der fragt, wie seine Konditionen den Weg nach draußen gefunden haben.
Dass dieses Risiko messbar teurer ist als sanktionierte KI-Nutzung, zeigt der IBM Cost of a Data Breach Report 2025: Vorfälle mit Schatten-KI-Bezug kosteten im Schnitt 4,63 Millionen US-Dollar gegenüber 3,96 Millionen bei genehmigten KI-Systemen, ein Aufschlag von rund 670.000 US-Dollar pro Vorfall.
Die drei Fehlannahmen, die euch die Sicht verstellen
- Viele Security-Verantwortliche vermuten, dass verbotene Tools trotzdem genutzt werden
- Ohne praktikablen Ersatz entsteht nur Verdeckung, keine Reduktion
- Verdeckte Nutzung ist schlechter dokumentierbar als offene
- Prompt Injection ist real – aber betrifft nur, wer eigene KI betreibt
- Die belegte Hauptrisikoquelle ist Dateneingabe in fremde Dienste
- Beides braucht unterschiedliche Prüfmethoden
- Die 71 Prozent aus Deutschland sind branchenübergreifend erhoben
- Mittelstand hat typischerweise weniger Discovery-Tooling, nicht mehr
- Kundendaten sind nicht weniger regulierungsrelevant, nur weil die Firma kleiner ist
Schatten-KI als Compliance-Risiko
Schatten-KI ist auch ein Compliance-Problem mit konkreten Hebeln. Werden Kunden- oder Personaldaten ohne Rechtsgrundlage, ohne Zweckbindung und ohne Auftragsverarbeitungsvertrag in einen KI-Dienst eingegeben, liegt potenziell ein meldepflichtiger DSGVO-Verstoß vor.
Dass Aufsichtsbehörden bereit sind, bei generativer KI durchzugreifen, hat die italienische Garante am 30. März 2023 gezeigt: Sie ordnete per Eilentscheidung an, dass OpenAI die Verarbeitung personenbezogener Daten italienischer Nutzer sofort einzustellen hat, unter anderem wegen fehlender Rechtsgrundlage. Weitere europäische Behörden fragten anschließend nach.
Es wird erwartet, dass bis 2030 mehr als 40 Prozent der globalen Organisationen Sicherheits- oder Compliance-Vorfälle durch unautorisierte KI-Tools erleiden werden.
Exposition messen statt raten
Die Reihenfolge ist entscheidend. Wer mit der Richtlinie beginnt, schreibt ein Dokument gegen ein Phänomen, dessen Ausmaß er nicht kennt. Wer mit der Messung beginnt, hat nach zwei Wochen eine Liste mit Toolnamen, Nutzerzahlen und Datenkategorien und kann daraus eine Richtlinie ableiten, die zur Realität passt.
- Zwei-Wochen-Messung: Proxy-, DNS- und Firewall-Logs gegen eine Liste bekannter KI-Endpunkte matchen. Ergebnis: Toolnamen, Nutzerzahl, Volumen, die erste belastbare Zahl.
- Risikoklassen definieren: Welche Daten dürfen nie raus (Kundendaten, Vertragskonditionen, Quellcode, Personaldaten), welche sind unkritisch (öffentliche Marketingtexte, Formulierungshilfen)?
- Schulung dokumentieren: Teilnehmerlisten, Inhalte, Datum. Ohne Nachweis existiert die Maßnahme gegenüber einer Aufsichtsbehörde nicht. Praxisnahe Security-Awareness-Formate wirken hier deutlich besser als ein generisches Klick-Video.
- Technisch gegenprüfen: Wer eigene KI-Systeme, Chatbots oder Agenten betreibt, braucht zusätzlich eine gezielte technische Prüfung dieser KI-Systeme, denn Prompt Injection und Schatten-KI sind zwei verschiedene Risiken mit zwei verschiedenen Prüfmethoden.
Häufige Fragen
Wie finde ich heraus, welche KI-Tools meine Mitarbeiter nutzen?
Die belastbarste Methode ist eine Kombination aus drei Datenquellen: CASB- bzw. SaaS-Discovery für bekannte Cloud-KI-Dienste und OAuth-Verbindungen, Auswertung von Proxy- und DNS-Logs auf Verbindungen zu bekannten generativen KI-API-Endpunkten sowie ein Audit der vergebenen OAuth-Token und API-Keys in Microsoft 365 oder Google Workspace. CASB allein genügt nicht, weil lokal installierte Modelle, Browser-Erweiterungen und private Accounts auf Firmengeräten damit häufig nicht erfasst werden.
Ist es ein DSGVO-Verstoß, wenn Mitarbeiter Kundendaten in ChatGPT eingeben?
Werden personenbezogene Daten ohne Rechtsgrundlage, ohne Zweckbindung und ohne Auftragsverarbeitungsvertrag in einen externen KI-Dienst eingegeben, liegt potenziell ein meldepflichtiger Verstoß vor.
Reicht ein Verbot von KI-Tools in der IT-Richtlinie aus?
Nein. Ein Verbot ohne praktikable, freigegebene Alternative verlagert die Nutzung nur in den unsichtbaren Bereich und erschwert damit die spätere Aufklärung eines Vorfalls.
Was kostet ein Schatten-KI-Vorfall im Vergleich zu anderen Datenpannen?
Laut IBM Cost of a Data Breach Report 2025 kosteten Datenschutzverletzungen mit Schatten-KI-Bezug im Durchschnitt 4,63 Millionen US-Dollar. Schatten-KI-Vorfälle machten dabei 20 Prozent aller analysierten Datenschutzverletzungen aus.
Fazit: Wer nicht misst, kann nicht bewerten
Die Diskussion über KI-Sicherheit dreht sich in vielen Unternehmen um Prompt Injection, Jailbreaks und Agentic AI. Das sind reale Angriffsflächen, aber nur für die, die eigene KI-Systeme betreiben. Die Angriffsfläche, die alle haben, ist der Browser-Tab eines Mitarbeiters, der um 08:40 Uhr eine Kundenliste einfügt, weil er um 11 Uhr liefern muss.
Der Unterschied zwischen Unternehmen, die dieses Risiko im Griff haben, und denen, die es nicht haben, liegt selten an der Qualität der Richtlinie. Er liegt daran, ob irgendjemand im Haus eine belastbare Zahl nennen kann: wie viele KI-Dienste genutzt werden, von wie vielen Accounts, mit welchen Datenkategorien. Wer diese Zahl nicht hat, kann kein Risiko bewerten.
Messen ist dabei kein Großprojekt. Es ist eine Auswertung vorhandener Logs, ein Token-Audit und ein ehrliches Gespräch mit Vertrieb und Entwicklung.
- Messen vor Regeln: Zwei Wochen Log-Auswertung schlagen jede Richtlinie, die auf Vermutungen basiert.
- Alternative vor Verbot: Ohne freigegebenes Tool, das die Arbeit erledigt, verschiebt ihr das Problem nur ins Unsichtbare.
- Wiederholt prüfen: Jede neue Toolgeneration erzeugt neue Schatten-KI, ein einmaliges Audit altert innerhalb eines Quartals.
- LLM Pentest & AI Security: Prompt Injection, Jailbreaks und Agentic AI – die andere Hälfte des KI-Risikos: eure eigenen Systeme
- Warum Zertifizierungen (ISO, SOC2) nicht bedeuten, dass ihr sicher seid – Audit-Nachweis versus tatsächliche Exposition
Wisst ihr, was eure Mitarbeiter heute Vormittag hochgeladen haben?
Wir überprüfen eure KI-Systeme und Datenflüsse mit realistischen Angriffsszenarien und decken dabei eure noch geöffneten Einfallstore auf.
Erstgespräch anfordern →
