{"id":92538,"date":"2026-05-12T17:22:11","date_gmt":"2026-05-12T15:22:11","guid":{"rendered":"https:\/\/www.skaylink.com\/?p=92538"},"modified":"2026-05-12T17:32:42","modified_gmt":"2026-05-12T15:32:42","slug":"schatten-ki-im-unternehmen-wenn-ki-ohne-kontrolle-zum-risiko-wird","status":"publish","type":"post","link":"https:\/\/www.skaylink.com\/de\/insights\/blog\/schatten-ki-im-unternehmen-wenn-ki-ohne-kontrolle-zum-risiko-wird\/","title":{"rendered":"Schatten-KI im Unternehmen: Wenn KI ohne Kontrolle zum Risiko wird"},"content":{"rendered":"\t\t
\n\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t

Home<\/a><\/span><\/span><\/p>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

\n\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\"\"\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Blog<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

Schatten-KI im Unternehmen: Wenn KI ohne Kontrolle zum Risiko wird<\/h1>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\tSchatten-KI erkennen und kontrollieren: Risiken f\u00fcr Datenschutz, Compliance und Security verstehen und mit Microsoft Purview, Defender & klarer KI-Governance sicher steuern.\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t
\n\t\t\t\t\t
\n\t\t
\n\t\t\t\t\t
\n\t\t
\n\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t12. Mai 2026\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t
\n\t\t\t\t\t
\n\t\t
\n\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t
\n\t\t\t\n\t\t\t
\n\t\t\t\t\t\t\t\t\t
\n\t\t\t\t\t\t\n\t\t\t\t\t\t\tMelih \u00d6zmen\t\t\t\t\t\t<\/span>\n\t\t\t\t\t<\/div>\n\t\t\t\t\n\t\t\t\t\t\t\t\t\t
\n\t\t\t\t\t\t

Consultant<\/p>\n\t\t\t\t\t<\/div>\n\t\t\t\t\n\t\t\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

\n\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t
\n\t\t\t\n\t\t\t
\n\t\t\t\t\n\t\t\t\t\n\t\t\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t
\n\t\t\t\t\t
\n\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

K\u00fcnstliche Intelligenz ist aus dem modernen Arbeitsalltag kaum noch wegzudenken. Aktuelle Statistiken zeigen, dass sich die Nutzung von KI in einzelnen Unternehmensbereichen innerhalb weniger Jahre vervielfacht, teilweise sogar verzehnfacht hat. Ob bei der Textgenerierung, Code-Vervollst\u00e4ndigung oder Datenanalyse: KI-Tools tragen ma\u00dfgeblich zur Steigerung von Produktivit\u00e4t und Effizienz bei. Gleichzeitig bringt diese Entwicklung aber auch neue Risiken mit sich. Dazu z\u00e4hlt insbesondere die sogenannte Schatten-KI <\/strong>mit schwerwiegenden Auswirkungen auf Datensicherheit, Compliance und Gesch\u00e4ftsethik. Ein Thema, das f\u00fcr IT-Administrator*innen und IT\u2011Verantwortliche aufgrund der rasanten Verbreitung von KI im Arbeitsalltag immer wichtiger wird.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\"\"\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t

Was ist Schatten-KI?<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Der Begriff \u201eSchatten-KI\u201c ist in direkter Anlehnung an den etablierten Begriff \u201eSchatten-IT\u201c entstanden. Mitarbeitende nutzen KI\u2011Tools ohne das Wissen oder die Genehmigung der IT-Abteilung.<\/p>

Zu den Tools, die h\u00e4ufig ohne ausreichende Transparenz, Governance und Kontrollmechanismen seitens der IT\u2011Abteilung eingesetzt werden, z\u00e4hlen unter anderem:<\/p>

  • \u00d6ffentliche KI-Chatbots, z.\u00a0B. ChatGPT und Claude, die f\u00fcr Text-, Code- oder Datenanalysen genutzt werden<\/li>
  • Browsererweiterungen mit KI-Funktionen, z.\u00a0B. ChatGPT Browser Extensions und Grammarly, die direkt auf Web-Inhalte zugreifen<\/li>
  • KI-gest\u00fctzte SaaS-Dienste ohne Freigabe der IT-Abteilung, z.\u00a0B. Notion AI und GitHub Copilot mit privatem Account<\/li>
  • Eigene KI-Skripte und API-Zugriffe mit privaten Accounts<\/li><\/ul>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
    \n\t\t\t\t
    \n\t\t\t\t\t

    Warum ist Schatten-KI ein kritisches Thema?<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
    \n\t\t\t\t
    \n\t\t\t\t\t\t\t\t\t

    Schatten-KI ist kein Randph\u00e4nomen, sondern die direkte Folge der schnellen KI-Adoption. Die Anzahl verf\u00fcgbarer KI\u2011Tools w\u00e4chst exponentiell und stellt Unternehmen vor gro\u00dfe Herausforderungen. Die Vielfalt an L\u00f6sungen erschwert eine einheitliche Standardisierung und beg\u00fcnstigt den Einsatz nicht genehmigter Tools.<\/p>

    Hinzu kommt, dass viele Mitarbeitende ihre privaten KI\u2011Accounts in den beruflichen Kontext einbringen. Ein typisches Beispiel ist ein privates ChatGPT Pro–<\/em>Abonnement, das f\u00fcr berufliche Zwecke genutzt wird, um Zugriff auf erweiterte Funktionen zu erhalten. Die Grenzen zwischen privater und gesch\u00e4ftlicher Nutzung verschwimmen\u00a0\u2013\u00a0mit erheblichen Risiken f\u00fcr Datenschutz und Compliance.<\/p>

    Ein weiterer kritischer Faktor ist, dass in vielen Unternehmen bislang keine klare KI\u2011Governance-Strategie vorhanden ist. Fehlende Richtlinien, Kontrollen und technische Schutzma\u00dfnahmen erm\u00f6glichen die unkontrollierte Nutzung von KI\u2011Tools. Das Risiko von Data Leakage und unautorisierten Datenverarbeitungen steigt erheblich an.<\/p>

    Parallel dazu w\u00e4chst der Druck durch regulatorische Anforderungen wie NIS2 und den EU AI Act. Sie fordern explizit mehr Transparenz, Kontrolle und Risikobewertung beim Einsatz von KI.<\/p>

    Studien von Microsoft zeigen zudem, dass genau diese unregulierte Nutzung Unternehmen und \u00f6ffentliche Einrichtungen zunehmend verwundbar macht.<\/p>

    Eine von Microsoft in Auftrag gegebene Umfrage zeigt, dass der Einsatz nicht freigegebener KI\u2011Tools, also Schatten-KI, in Unternehmen und insbesondere in \u00f6ffentlichen Einrichtungen weit verbreitet ist. Die Ergebnisse verdeutlichen, dass fehlende Governance, mangelnde Transparenz und unzureichende Schutzma\u00dfnahmen die Angriffsfl\u00e4che deutlich vergr\u00f6\u00dfern. Dadurch werden Organisationen zunehmend anf\u00e4lliger f\u00fcr Sicherheitsvorf\u00e4lle, Datenabfl\u00fcsse und Compliance\u2011Verst\u00f6\u00dfe.<\/p>

    \u00a0<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

    \n\t\t\t\t
    \n\t\t\t\t\t

    Die zentralen Risiken der Schatten-KI<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
    \n\t\t\t\t
    \n\t\t\t\t\t\t\t\t\t
    1. Datenabfluss in unkontrollierte Datenr\u00e4ume<\/strong><\/h5>
    • Eingaben in KI\u2011Tools k\u00f6nnen gespeichert oder weiterverarbeitet werden<\/li>
    • Sensible Unternehmens\u2011 oder Personendaten verlassen kontrollierte Umgebungen<\/li>
    • Verlust von geistigem Eigentum und vertraulichen Informationen<\/li><\/ul>
      2. Sicherheitsl\u00fccken<\/strong><\/h5>
        • Integration unsicherer oder von Drittanbietern bereitgestellter APIs \u00fcber KI-Tools<\/li>
        • Fehlende Transparenz \u00fcber Trainings- und Verarbeitungsmechanismen<\/li>
        • Potenzielles Einfallstor f\u00fcr Malware und Datenmissbrauch<\/li><\/ul><\/li><\/ul>
          3. DSGVO- und Compliance-Risiken<\/strong><\/h5>
          • Nutzung von KI-Tools, die nicht DSGVO-konform sind<\/li>
          • Speicherung oder Verarbeitung von Daten au\u00dferhalb der EU<\/li><\/ul>
            4. Fehlende Governance und Nachvollziehbarkeit<\/strong><\/h5>
            • Keine zentrale \u00dcbersicht \u00fcber KI-Nutzung<\/li>
            • Keine Audit- oder Pr\u00fcfpfade<\/li>
            • Erschwerte Incident Response im Ernstfall<\/li><\/ul>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
              \n\t\t\t\t
              \n\t\t\t\t\t

              L\u00f6sungsans\u00e4tze und Best Practices<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
              \n\t\t\t\t
              \n\t\t\t\t\t\t\t\t\t
              1. Transparenz schaffen<\/strong><\/h5>

              Der erste und wichtigste Schritt im Umgang mit Schatten\u2011KI ist, Transparenz zu schaffen. Unternehmen m\u00fcssen verstehen, welche KI\u2011Tools eingesetzt werden, von welchen User*innen und \u00fcber welche Wege.<\/p>

              Hierf\u00fcr eignen sich klassische, netzwerkbasierte Sicherheitsl\u00f6sungen wie Proxy\u2011Server, Secure Web Gateways oder Plattformen wie Zscaler, um KI\u2011bezogenen Traffic zu identifizieren und zu klassifizieren.<\/p>

              Innerhalb des Microsoft\u2011\u00d6kosystems gibt es mehrere integrierte Optionen, um die KI\u2011Nutzung unternehmensweit sichtbar zu machen:<\/p>

              • Microsoft Defender for Cloud Apps (MDCA) bietet mit Cloud Discovery die M\u00f6glichkeit, von Unternehmensger\u00e4ten genutzte KI-Services zu identifizieren und zu bewerten.<\/li>
              • Die Microsoft Defender Suite wertet zus\u00e4tzlich Endger\u00e4tesignale aus und hilft dabei, KI\u2011Traffic direkt auf den Managed Devices zu identifizieren.<\/li>
              • Erg\u00e4nzend bieten Microsoft Shadow AI Discovery sowie Microsoft Entra Internet Access erweiterte Application Insights und Analytics, die eine detaillierte Analyse der Nutzung von GenAI und Cloud\u2011Apps erm\u00f6glichen.<\/li><\/ul>

                Ziel dieser Phase ist es, ein vollst\u00e4ndiges Lagebild zu gewinnen. Es geht nicht darum, den Einsatz von KI unmittelbar zu blockieren.<\/p>

                2. Governance etablieren <\/strong><\/h5>

                Auf Basis der gewonnenen Transparenz gilt es nun, eine klare KI\u2011Governance zu etablieren. Dazu geh\u00f6rt die Definition einer unternehmensweiten KI\u2011Strategie, die sowohl Innovation als auch Sicherheit ber\u00fccksichtigt.<\/p>

                Zentrale Elemente sind:<\/p>

                • Definition genehmigter KI\u2011Tools<\/li>
                • Einf\u00fchrung von Allow\u2011 und Block\u2011Listen f\u00fcr KI\u2011Anwendungen<\/li>
                • Klare Richtlinien zur Nutzung von KI und zum Umgang mit Daten<\/li>
                • Regelm\u00e4\u00dfige \u00dcberpr\u00fcfung und Anpassung der Vorgaben<\/li><\/ul>

                  Eine funktionierende Governance verhindert Wildwuchs, ohne Mitarbeitende in ihrer Produktivit\u00e4t unn\u00f6tig einzuschr\u00e4nken.<\/p>

                  3. Daten wirksam sch\u00fctzen<\/strong><\/h5>

                  Der Schutz sensibler Unternehmensdaten ist ein entscheidender Faktor f\u00fcr die sichere Nutzung von KI. Microsoft stellt hierf\u00fcr mit der Microsoft Purview Suite umfangreiche Funktionen bereit, die den Datenabfluss verhindern und regulatorische Anforderungen einhalten.<\/p>

                  Dazu geh\u00f6ren unter anderem:<\/p>

                  • Data Loss Prevention (DLP)\u2011Richtlinien f\u00fcr Microsoft Copilot, Enterprise\u2011KI sowie Drittanbieter\u2011KI, um den Abfluss sensibler Daten zu verhindern<\/li>
                  • Datenklassifizierung und Sensitivity Labels, um Schutzma\u00dfnahmen an den Daten selbst zu verankern<\/li>
                  • Endpoint DLP, um die Verarbeitung und Weitergabe sensibler Daten in KI\u2011Tools zu kontrollieren<\/li><\/ul>

                    Erg\u00e4nzende Funktionen wie Insider Risk Management, Communication Compliance und Data Security Posture Management (DSPM) unterst\u00fctzen dabei, riskante KI\u2011Nutzungen fr\u00fchzeitig zu erkennen und Compliance\u2011Anforderungen konsequent umzusetzen.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

                    \n\t\t\t\t
                    \n\t\t\t\t\t

                    Strukturierte Schatten-KI-Strategie nach Microsoft<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
                    \n\t\t\t\t
                    \n\t\t\t\t\t\t\t\t\t
                    1. Ermittlung von KI<\/strong>\u2011Apps<\/strong><\/h5>

                    Im ersten Schritt geht es darum, die KI\u2011Nutzung systematisch zu erkennen und zu \u00fcberwachen:<\/p>

                    • AI Discovery und Monitoring mit Microsoft Defender for Cloud Apps<\/li>
                    • DSPM f\u00fcr KI, um KI\u2011Interaktionen mit sensiblen Daten zu identifizieren<\/li>
                    • Insider Risk Management, um potenziell riskante oder regelwidrige KI\u2011Nutzung fr\u00fchzeitig zu erkennen<\/li><\/ul>

                      Diese Phase schafft die Grundlage f\u00fcr fundierte Entscheidungen.<\/p>

                      2. Blockieren nicht autorisierter KI<\/strong>\u2011Apps<\/strong><\/h5>

                      Sobald Klarheit \u00fcber die genutzten Tools besteht, k\u00f6nnen nicht genehmigte KI\u2011Anwendungen gezielt eingeschr\u00e4nkt oder blockiert werden:<\/p>

                      • MDCA, um den Zugriff auf nicht autorisierte KI\u2011Dienste zu blockieren<\/li>
                      • Microsoft Entra Internet Access f\u00fcr rollen- oder gruppenbasierte Zugriffskontrollen<\/li>
                      • Microsoft Intune, um die Installation unerlaubter KI\u2011Apps auf Managed Devices zu verhindern<\/li><\/ul>

                        Auf diese Weise l\u00e4sst sich Schatten-KI wirksam reduzieren.<\/p>

                        3. Schutz sensibler Daten bei autorisierten KI<\/strong>\u2011Apps<\/strong><\/h5>

                        Auch bei freigegebenen KI\u2011Tools muss sichergestellt sein, dass sensible Daten gesch\u00fctzt bleiben:<\/p>

                        • Einsatz von Sensitivity Labels, um vertrauliche Informationen zu klassifizieren und sch\u00fctzen<\/li>
                        • Endpoint DLP, um ungewollte Datenverarbeitung oder -weitergabe durch KI\u2011Anwendungen zu verhindern<\/li><\/ul>

                          Der Fokus liegt hier auf kontrollierter Nutzung statt pauschaler Einschr\u00e4nkung.<\/p>

                          4. Steuerung und Nachvollziehbarkeit<\/strong><\/h5>

                          Im letzten Schritt wird die Nutzung von KI langfristig gesteuert und revisionssicher dokumentiert:<\/p>

                          • Communication Compliance, um Fehlverhalten oder Regelverst\u00f6\u00dfe im KI\u2011Kontext zu erkennen<\/li>
                          • Data Lifecycle Management, um beispielsweise \u00e4ltere Prompts aufzubewahren oder zu l\u00f6schen<\/li>
                          • eDiscovery,<\/em> um KI\u2011Interaktionen im Rahmen von Audits oder Untersuchungen zu analysieren<\/li><\/ul>

                            Diese Ma\u00dfnahmen sorgen f\u00fcr Transparenz, Nachvollziehbarkeit und regulatorische Sicherheit.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

                            \n\t\t\t\t
                            \n\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\"\"\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
                            \n\t\t\t\t
                            \n\t\t\t\t\t

                            Wie wir Unternehmen bei der Einf\u00fchrung von KI-Sicherheit und Governance unterst\u00fctzen<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
                            \n\t\t\t\t
                            \n\t\t\t\t\t\t\t\t\t

                            Die Einf\u00fchrung einer wirksamen Schatten-KI\u2011Strategie erfordert mehr als einzelne technische Ma\u00dfnahmen. Transparenz, Governance und Datensicherheit m\u00fcssen ganzheitlich gedacht und in bestehende Prozesse integriert werden. Genau dabei unterst\u00fctzen wir Unternehmen mit gezielten Beratungs\u2011 und Enablement\u2011Formaten.<\/p>

                            Ein zentraler Baustein sind die Skaylink-Workshops rund um die Microsoft Purview Suite, in denen wir gemeinsam:<\/p>

                            • bestehende Datenbest\u00e4nde und sensible Informationen identifizieren,<\/li>
                            • Datenklassifizierung und Sensitivity Labels sinnvoll etablieren,<\/li>
                            • DLP\u2011Szenarien f\u00fcr Copilot, Enterprise\u2011KI und Drittanbieter\u2011KI entwerfen,<\/li>
                            • Monitoring- und Auditf\u00e4higkeit herstellen sowie<\/li>
                            • Compliance\u2011 und Governance\u2011Anforderungen praxisnah umsetzen.<\/li><\/ul>

                              Erg\u00e4nzend bieten wir Copilot AI Security Assessments an, um Risiken fr\u00fchzeitig zu erkennen und eine sichere, kontrollierte Nutzung von KI zu erm\u00f6glichen. Im Fokus stehen dabei sowohl technische Aspekte als auch organisatorische Fragestellungen. Unter anderem werden Rollen, Richtlinien und Verantwortlichkeiten sowie die Strategie f\u00fcr den Einsatz von KI-Agenten und deren Governance thematisiert.<\/p>

                              Im Rahmen von Data Security Engagements helfen wir:<\/p>

                              • Schatten\u2011KI sichtbar zu machen,<\/li>
                              • eine nachhaltige KI\u2011Strategie zu entwickeln,<\/li>
                              • Governance\u2011Strukturen aufzubauen und<\/li>
                              • regulatorische Anforderungen wie den EU AI Act, die DSGVO und NIS2 zu adressieren.<\/li><\/ul>

                                Das Ziel besteht darin, Schatten\u2011KI nicht nur kurzfristig einzud\u00e4mmen, sondern dauerhaft kontrollierte, sichere und Compliance-konforme KI\u2011Szenarien zu schaffen. Nur so l\u00e4sst sich KI im Unternehmen produktiv einsetzen, ohne Sicherheit und Kontrolle zu verlieren.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

                                \n\t\t
                                \n\t\t\t\t\t
                                \n\t\t
                                \n\t\t\t\t
                                \n\t\t\t\t
                                \n\t\t\t\t\t

                                Das k\u00f6nnte Ihnen auch gefallen<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t
                                \n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t
                                \n\t\t\t\t\t
                                \n\t\t\t\t
                                \n\t\t\t\t
                                \n\t\t\t\t\t\t\t
                                \n\t\t