Die formale Freigabe einer KI-Anwendung garantiert längst keine Sicherheit mehr. Sobald Beschäftigte Konten wechseln, ungeprüfte Erweiterungen einbinden oder sensible Daten einfügen, wird das freigegebene Werkzeug zum Sicherheitsrisiko.
Die Absicherung von Unternehmenssoftware folgte lange Zeit einem klaren Muster: Werkzeuge wurden entweder nach eingehender Prüfung durch die IT- und Sicherheitsabteilungen freigegeben oder als unkontrollierte „Schatten-IT“ untersagt. In der dynamischen Welt der generativen Künstlichen Intelligenz greift dieses binäre Raster jedoch zu kurz. Eine aktuelle Analyse von Thomas Boele, Global Director Solutions Engineering – AI Security bei Check Point Software, deckt einen zentralen blinden Fleck der modernen Cybersicherheit auf: Die Freigabe einer KI-Anwendung beschreibt lediglich einen Zustand zum Zeitpunkt der Prüfung – sie ist keine dauerhafte Garantie für Sicherheit.
Wenn IT, Datenschutz, Recht und Beschaffung einen Software-as-a-Service-(SaaS)-Dienst gemeinsam bewerten, erfassen sie die zu diesem Zeitpunkt vorliegenden Funktionen, Datenflüsse und Geschäftszwecke. KI-Dienste entwickeln sich jedoch erheblich schneller weiter als die Zyklen, in denen Unternehmen ihre Prüfungen durchführen. Anwendungen werden laufend um Copiloten, Konnektoren und autonome Agenten erweitert. Gleichzeitig erschließen Beschäftigte neue Anwendungsfälle, die in der ursprünglichen Bewertung niemand vorgesehen hatte. Das Ergebnis: Auch eine ausdrücklich erlaubte KI-Anwendung kann unbemerkt einen unkontrollierten Datenpfad eröffnen – es entsteht „Shadow AI“.
Shadow AI ist ein dynamischer Zustand, keine feste Kategorie
Shadow AI sollte daher nicht als starre Liste verbotener Software verstanden werden, sondern als ein sich verändernder Sicherheitszustand. Eine Interaktion kann den Rahmen der vorgegebenen Governance genau in dem Moment verlassen, in dem sich Schlüsselparameter im Workflow ändern:
- Identität: Beschäftigte wechseln innerhalb der gleichen Oberfläche vom verwalteten Unternehmenskonto zu privaten Anmeldedaten. Die individuell ausgehandelten Schutzmaßnahmen, Aufbewahrungsfristen und administrativen Kontrollen greifen für diesen privaten Zugriff nicht mehr.
- Funktion: Eine freigegebene Plattform führt neue Assistenten für generative KI, agentische Funktionen oder autonome Workflows ein.
- Integration: Browser-Erweiterungen, Konnektoren oder Model-Context-Protocol-(MCP)-Server erhalten Zugriff auf die Abläufe.
- Daten: In die Prompts fließen geschützte Informationen wie Quellcode, Anmeldedaten, Kundendaten oder Verträge über Retrieval-Augmented Generation (RAG) ein.
- Zweck: Ein ursprünglich für allgemeine Textentwürfe freigegebener Dienst wird zur Analyse regulierter Daten oder zur Vorbereitung geschäftskritischer Entscheidungen genutzt.
- Aktion: Ein Assistent, der bislang nur Texte generierte, erhält die Berechtigung, Datensätze abzurufen, E-Mails zu versenden oder nachgelagerte Systeme zu aktualisieren.
Das Entstehen von Risiken ist dabei selten das Ergebnis böswilliger Angriffe, sondern entspringt dem Wunsch nach effizienter Arbeit. KI-Modelle benötigen Kontext, um präzise Ergebnisse zu liefern. Beschäftigte fügen daher Verträge, Kundenhistorien, Quellcode oder Besprechungsprotokolle in Anfragen ein, um brauchbare Antworten zu erhalten. Der „AI Security Report 2026“ von Check Point Research zeigt, dass sich der Anteil risikoreicher GenAI-Prompts binnen eines Jahres von zwei auf vier Prozent verdoppelt hat. Im Schnitt nutzen Unternehmen monatlich zehn KI-Anwendungen – viele davon ohne formale Freigabe.
Eingebettete Werkzeuge und wachsende regulatorische Pflichten
Die direkte Integration von KI-Funktionen in vertraute Produktivitätssuiten, Entwicklungswerkzeuge und CRM-Systeme vergrößert diesen blinden Fleck. Gemäß dem „Work Trend Index 2026“ von Microsoft wuchs die Zahl aktiver Agenten im Microsoft-365-Ökosystem binnen eines Jahres um den Faktor 15, in großen Unternehmen sogar um den Faktor 18. Obwohl 67 Prozent der befragten Beschäftigten die organisatorische Reife – etwa klare Regeln und Führungsunterstützung – als entscheidend für den KI-Erfolg nennen, fehlt es in der Praxis an Transparenz über die tatsächliche Nutzung.
Diese Unschärfe führt auch zu rechtlichen Risiken im Rahmen der EU-KI-Verordnung (EU) 2024/1689. Nach Art. 3 Nr. 4 gilt als Betreiber, wer ein KI-System in eigener Verantwortung verwendet. Die Betreiberrolle entsteht somit aus der tatsächlichen Nutzung. Betreiber unterliegen klaren Pflichten, darunter der Pflicht zur KI-Kompetenz der Beschäftigten nach Art. 4, die bereits seit dem 2. Februar 2025 in Kraft ist. Die Verschiebung der Betreiberpflichten für Hochrisiko-Systeme nach Anhang III auf den 2. Dezember 2027 durch den Digital Omnibus vom Mai 2026 ändert nichts an der Notwendigkeit einer vollständigen Bestandsaufnahme. Wer nicht erkennt, wo vertrauliche Daten über private Anmeldungen verarbeitet werden, kann seine rechtlichen Pflichten weder erfüllen noch nachweisen.
Erforderlich: Kontextbezogene Sicherheit in Echtzeit
Ein klassisches Anwendungsinventar reicht als reine Bestandsaufnahme nicht mehr aus. Ein Eintrag belegt lediglich die vergangene Freigabe, sagt jedoch nichts über den aktuellen Kontowechsel, den Dateninhalt des Prompts oder angebundene Erweiterungen aus.
Um Daten zu schützen, ohne die Produktivität einzuschränken, müssen Sicherheitsteams auf eine kontinuierliche, kontextbezogene Überwachung während der Arbeit setzen. Sicherheitssysteme müssen dynamisch reagieren: durch das Maskieren sensibler Eingaben, das Erzwingen von Logins im Unternehmens-Mandanten, das Blockieren unzulässiger Integrationen und das Anfordern von Freigaben für automatisierte KI-Aktionen. In der modernen Arbeitswelt sind „freigegeben“ und „Schatten-KI“ keine starren Kategorien mehr, sondern flüchtige Zustände, die eine dynamische Governance erfordern.
Dr. Jakob Jung ist Chefredakteur Security Storage und Channel Germany. Er ist seit mehr als 20 Jahren im IT-Journalismus tätig. Zu seinen beruflichen Stationen gehören Computer Reseller News, Heise Resale, Informationweek, Techtarget (Storage und Datacenter) sowie ChannelBiz. Darüber hinaus ist er für zahlreiche IT-Publikationen freiberuflich tätig, darunter Computerwoche, Channelpartner, IT-Business, Storage-Insider und ZDnet. Seine Themenschwerpunkte sind Channel, Storage, Security, Datacenter, ERP und CRM.
Kontakt – Contact via Mail: jakob.jung@security-storage-und-channel-germany.de