Mitarbeiter verwenden KI-Tools, von denen Ihr Sicherheitsteam nichts weiß. Ohne klare Richtlinien verbreitet sich Shadow AI unkontrolliert in Ihrer Organisation. Dieser Artikel erläutert die Kosten, die Gründe für die Verbreitung und wie Sie Ihre Exposition mithilfe des FAIR-Frameworks managen können.
.png)
Shadow AI bezeichnet die Nutzung von KI-Tools, einschließlich generativer KI, durch Mitarbeiter ohne Wissen, Genehmigung oder Aufsicht der IT- oder Sicherheitsteams.
Shadow AI ist eine spezifischere Weiterentwicklung von Shadow IT, der langjährigen Praxis der Nutzung nicht genehmigter Technologien am Arbeitsplatz. Der wesentliche Unterschied liegt in der Art des Risikos. Shadow IT kann dazu führen, dass Mitarbeiter sensible Daten oder geistiges Eigentum (IP) über einen öffentlichen Chatbot preisgeben oder für eine geschäftskritische Aufgabe auf ein KI-gestütztes Tool angewiesen sind – ohne Aufsicht, ohne Audit-Trail und ohne Möglichkeit, den Verlauf zu rekonstruieren.
Wenn ein Mitarbeiter einen vertraulichen Kundenvertrag in eine öffentliche ChatGPT-Sitzung einfügt, sind die Daten Ihres Kunden und Ihr Ruf unmittelbar gefährdet.
Der IBM’s Cost of a Data Breach Report 2025 zeigt, dass Shadow AI bei jedem fünften Sicherheitsvorfall eine Rolle spielte und dabei durchschnittlich $670.000 an zusätzlichen Kosten im Vergleich zu Organisationen mit wenig oder keiner Shadow AI verursachte. Damit gehört unkontrollierte KI zu den drei kostspieligsten Faktoren bei Sicherheitsvorfällen des Jahres. Gleichzeitig fehlten 97 % der Organisationen, die einen KI-bezogenen Sicherheitsvorfall erlebt hatten, angemessene KI-Zugriffskontrollen, und 63 % hatten überhaupt keine KI-Governance-Richtlinien.
Shadow AI ist größtenteils nicht das Ergebnis böswilliger Absicht. Mitarbeiter nutzen diese Tools, weil sie die Qualität ihrer Arbeit verbessern oder ihre Produktivität steigern möchten.
Viele generative KI-Tools sind frei verfügbar, browserbasiert oder in SaaS-Produkte integriert, die Ihre Mitarbeiter täglich nutzen. Microsoft 365, Google Workspace, Notion, Slack und Hunderte anderer Plattformen haben KI-Funktionen in bestehende Abonnements eingebettet. Da diese Funktionen innerhalb bereits genehmigter Anwendungen angeboten werden, lösen sie selten die Prüfung aus, die eine neue Tool-Einführung mit sich bringen würde. IT- und Sicherheitsteams benötigen Richtlinien, die nicht nur neue Software, sondern auch neue KI-Funktionen in bestehenden Tools regeln.
63 % der Organisationen verfügen entweder über keinerlei KI-Governance-Richtlinien oder befinden sich noch in deren Entwicklung. Wenn keine Richtlinien für die KI-Nutzung existieren, treffen Mitarbeiter eigene Entscheidungen.
Das Ergebnis ist vorhersehbar. Wenn ein Sicherheitsteam eine KI-Nutzungsrichtlinie einführt, werden bereits Dutzende GenAI-Tools in aktiven Arbeitsabläufen eingesetzt.
Shadow AI führt keine grundlegend neuen Risikokategorien ein. Es beschleunigt bekannte Cybersicherheitsversagen – nur über eine neue Schnittstelle. Im Kern geht es beim KI-Risiko nach wie vor um den Schutz von Daten, Systemen und Entscheidungsintegrität.
Shadow AI erweitert die Angriffsfläche auf eine Weise, die Sicherheitsteams nicht überwachen:
Shadow AI ist die Nutzung von KI-Tools durch Mitarbeiter ohne Wissen oder Genehmigung der IT- oder Sicherheitsteams.
Laut dem IBM Cost of a Data Breach Report 2025 war Shadow AI an 20 % der untersuchten Sicherheitsvorfälle beteiligt, und 63 % der betroffenen Organisationen fehlten KI-Governance-Richtlinien, was bedeutet, dass die Mehrheit keine strukturierte Aufsicht über die interne Nutzung von KI-Tools hat.
Alle Daten, die Mitarbeiter einfach in KI-Tools kopieren und einfügen können – insbesondere Kundendaten, Quellcode, interne Strategiedokumente, Finanzinformationen und HR-Unterlagen sowie Daten, die durch Vorschriften wie GDPR, DORA und NIS2 geschützt sind.
Lorem ipsum dolor sit amet, consectetur adipiscing elit. Suspendisse varius enim in eros elementum tristique. Duis cursus, mi quis viverra ornare, eros dolor interdum nulla, ut commodo diam libero vitae erat. Aenea faucibus nibh et justo cursus id rutrum lorem imperdiet. Nunc ut sem vitae risus tristique posuere.
.png)
