Best Practices Cybersecurity IAM Grundlagen

Shadow AI - Risiko erkennen und mit Governance steuern

Shadow AI entsteht oft dort, wo Mitarbeitende schneller handeln müssen, als die IT reagieren kann. Erfahren Sie, warum klare Governance wichtiger ist als ein pauschales KI-Verbot – und wie Unternehmen Kontrolle schaffen, ohne Innovation auszubremsen.

25. September 2026
10 Min. Lesezeit

Shadow AI, zu Deutsch Schatten-KI, ist längst mehr als ein Trend. Mitarbeitende nutzen KI-Tools, um Texte zu erstellen, Informationen zusammenzufassen, Code zu schreiben oder Prozesse zu beschleunigen – häufig, ohne dass die IT-Abteilung davon weiß. Laut einer Studie von IBM/SentinelOne kann ein Datenschutzvorfall mit Beteiligung von Shadow AI im Durchschnitt deutlich höhere Kosten verursachen als ein herkömmlicher Sicherheitsvorfall.

Das Problem dabei ist selten böse Absicht. Meist geht es um Effizienz: Ein frei verfügbares KI-Tool liefert innerhalb von Sekunden ein Ergebnis, während die Freigabe eines offiziellen Tools deutlich länger dauern kann. Genau diese Lücke macht Shadow AI zu einer Herausforderung für IT, Security und Unternehmensführung.

Shadow AI

Das Wichtigste im Überblick

Shadow AI entsteht häufig unbemerkt: Mitarbeitende greifen auf nicht freigegebene KI-Dienste zurück, um ihre Arbeit effizienter zu erledigen.

Das Risiko betrifft nicht nur Daten: Auch Zugriffsrechte, Verantwortlichkeiten und technische Identitäten können unkontrolliert entstehen.

Klare KI-Governance ist entscheidend: Unternehmen brauchen Regeln, sichere Alternativen und technische Kontrolle statt eines pauschalen Verbots.

Was ist Shadow AI?

Shadow AI bezeichnet die Nutzung von KI-Tools durch Mitarbeitende ohne Freigabe oder Kenntnis der IT-Abteilung. Dazu gehören beispielsweise frei zugängliche KI-Dienste oder private Accounts, die für berufliche Aufgaben eingesetzt werden. Für Unternehmen entsteht dadurch eine Nutzung außerhalb der definierten Sicherheits- und Governance-Strukturen. 

Warum Shadow AI in Unternehmen so schnell wächst

Der Zugang zu künstlicher Intelligenz war noch nie so einfach. Viele KI-Anwendungen sind browserbasiert, kostenlos oder kostengünstig und ohne technische Kenntnisse nutzbar. Für Mitarbeitende ist es daher naheliegend, ein verfügbares Tool einzusetzen, wenn es eine konkrete Aufgabe schneller oder einfacher löst.

Gleichzeitig treffen dabei zwei Geschwindigkeiten aufeinander: Die Anforderungen des Arbeitsalltags entwickeln sich innerhalb weniger Tage, während die Einführung und Freigabe neuer Unternehmensanwendungen häufig deutlich länger dauert. Externe KI-Tools sind dagegen in Sekunden verfügbar.

Hinzu kommt ein weiterer Faktor: Auch Führungskräfte und andere verantwortliche Personen greifen auf nicht freigegebene Anwendungen zurück. Wird dieses Verhalten sichtbar akzeptiert, etabliert sich die Nutzung schnell in der Organisation.

Schatten KI ist deshalb nicht einfach ein individuelles Fehlverhalten. Es zeigt häufig, dass zwischen dem tatsächlichen Bedarf der Beschäftigten und den vorhandenen Unternehmenslösungen eine Lücke besteht.

Risks posed by AI

Shadow AI und OAuth: Wenn KI-Agenten zu unsichtbaren Identitäten werden

Mit der Weiterentwicklung der KI verändert sich auch das Sicherheitsproblem. Moderne KI-Agenten können über Schnittstellen auf Anwendungen und Daten zugreifen. Werden dafür beispielsweise persistente OAuth-Token verwendet, besitzt der Agent technisch eine eigene Identität – auch wenn diese im zentralen IAM-System des Unternehmens nicht erfasst ist.

Damit entsteht ein bekanntes Problem aus einer neuen Perspektive: Eine Identität verfügt über Zugriffsrechte, ist aber keiner definierten Governance unterworfen. Es fehlt möglicherweise an einer nachvollziehbaren Verantwortlichkeit, an kontrollierter Bereitstellung und an einer geregelten Entfernung von Berechtigungen.

Gerade bei Shadow AI kann dadurch eine Verbindung zwischen unkontrollierter KI-Nutzung und klassischen IAM-Herausforderungen entstehen. Nicht erfasste OAuth-Identitäten können beispielsweise zu einem Lifecycle-Problem werden.
Auch das Thema Non-Human Identities gewinnt dadurch an Bedeutung. KI-Agenten, Anwendungen und andere technische Identitäten benötigen klar definierte Verantwortlichkeiten und kontrollierte Zugriffsrechte.

Die Risiken von Shadow AI im Überblick

Ein Risiko entsteht nicht allein dadurch, dass ein Unternehmen KI einsetzt. Kritisch wird es erst dann, wenn nicht bekannt ist, welche Anwendungen genutzt werden, welche Daten verarbeitet werden und welche Zugriffe damit verbunden sind. Zu den wichtigsten Risiken gehören:

  • Datenleckage: Werden vertrauliche oder personenbezogene Informationen in öffentliche KI-Systeme eingegeben, können Unternehmen die weitere Verarbeitung und Verwendung dieser Daten unter Umständen nicht mehr kontrollieren.
  • Blinder Fleck für klassische Sicherheitstools: Konversationelle KI-Nutzung kann für bestehende Sicherheitslösungen schwer erkennbar sein, da die Kommunikation technisch wie ein gewöhnlicher verschlüsselter Webverkehr erscheinen kann.
  • Verlust geistigen Eigentums: Werden Geschäftsgeheimnisse oder interne Informationen an öffentliche KI-Dienste übermittelt, können sie außerhalb des kontrollierten Unternehmensumfelds landen.

Skalierendes Risiko: Schon einzelne Prompts können sensible personenbezogene oder geschäftskritische Informationen enthalten. Bei einer breiten Nutzung steigt das Risiko entsprechend.

Damit wird deutlich: Shadow AI ist nicht ausschließlich ein Thema für die IT-Abteilung. Betroffen sind z. B. ebenso die Bereiche Security, Datenschutz, Compliance, Revision oder HR, andere Fachabteilungen und letztlich die gesamte Unternehmensorganisation.

Risks posed by Staff

Die rechtliche Dimension in Deutschland

Neben den technischen Risiken spielt auch der rechtliche Rahmen eine wichtige Rolle. Besonders relevant ist der Umgang mit personenbezogenen Daten. Werden solche Informationen ohne geeignete Grundlage in öffentliche KI-Systeme eingegeben, kann dies datenschutzrechtliche Fragen aufwerfen. Die Eingabe personenbezogener Daten in öffentliche KI-Systeme ist regelmäßig eine Verarbeitung ohne Rechtsgrundlage nach DSGVO.

Auch Geschäftsgeheimnisse und vertrauliche Unternehmensinformationen sind betroffen, wenn diese unkontrolliert an externe KI-Dienste übermittelt werden. Ohne angemessene Geheimhaltungsmaßnahmen nach § 2 Nr. 1 GeschGehG kann der gesetzliche Schutz von Geschäftsgeheimnissen verloren gehen. 

Ein weiterer Aspekt ist die Mitbestimmung. Sobald ein Arbeitgeber KI-Systeme bereitstellt oder deren Nutzung im Unternehmen anordnet und regelt, kann die Einführung und Anwendung entsprechender Systeme Mitbestimmungsrechte des Betriebsrats berühren. 

Hier greift die Mitbestimmungspflicht des Betriebsrats nach § 87 Abs. 1 Nr. 6 BetrVG. Im Umkehrschluss heißt das, dass eine KI-Nutzungsrichtlinie ohne Betriebsrat rechtlich angreifbar ist. Sie sollte daher nicht isoliert von Betriebsrat, IT und Security entwickelt werden.

Gerade deshalb braucht eine belastbare Strategie mehr als technische Schutzmaßnahmen. Unternehmen müssen technische, organisatorische und rechtliche Anforderungen zusammenführen.

Zugleich sind externe KI-Systeme auch potentielle Einfallstore für Cybersicherheitsrisiken. Nach dem NIS2-Umsetzungsgesetz sind Geschäftsführer, Vorstände und andere Leitungsorgane jederzeit verpflichtet, ein angemessenes IT-Risikomanagement einzuführen, zu billigen und dessen Umsetzung zu überwachen (§38 BSIG). Unwissenheit oder Delegation stellen keine Entlastung mehr dar.

KI-Governance statt Verbot

Ein pauschales Verbot von KI klingt zunächst nach einer einfachen, sicheren Lösung. In der Praxis ist dies jedoch schwer durchzusetzen. Wenn Mitarbeitende einen konkreten Bedarf haben und keine geeignete freigegebene Lösung zur Verfügung steht, kann die Nutzung effektiver KI-Tools lediglich auf private Geräte, Accounts oder andere schwer kontrollierbare Kanäle verlagert werden.

Wirksamer ist deshalb eine klare KI-Governance, die Orientierung gibt und gleichzeitig ein produktives Arbeiten ermöglicht. Dazu gehören beispielsweise:

  • eine verständliche AI Acceptable Use Policy
  • klar definierte erlaubte und nicht erlaubte Anwendungsfälle
  • freigegebene KI-Lösungen für häufige Anforderungen
  • Vorgaben zum Umgang mit vertraulichen und personenbezogenen Daten
  • definierte Verantwortlichkeiten für KI-Anwendungen und Zugriffe
  • regelmäßige Überprüfung der tatsächlichen Nutzung
  • technische Kontrollen dort, wo sie sinnvoll und erforderlich sind

Entscheidend ist dabei die Verbindung aus Regeln und praktikablen Alternativen. Mitarbeitende müssen wissen, was erlaubt ist, welche Lösung sie verwenden dürfen und warum bestimmte Vorgaben gelten.

KI-Governance sollte deshalb kein einmaliges Projekt sein. Neue Anwendungen, Funktionen und Einsatzszenarien entstehen laufend. Unternehmen müssen ihre Vorgaben entsprechend weiterentwickeln und die tatsächliche Nutzung regelmäßig überprüfen, Stichwort Compliance Monitoring.

Wie OEDIV SecuSys Sie beim Umgang mit Shadow AI unterstützt

Shadow AI lässt sich nicht mit einem einzelnen Produkt lösen. Entscheidend ist zunächst ein klares Bild davon, wie KI im Unternehmen tatsächlich eingesetzt wird. OEDIV SecuSys unterstützt Unternehmen dabei, bestehende Strukturen und Risiken zu analysieren und daraus eine praktikable Governance für den Umgang mit KI abzuleiten.

Als herstellerunabhängiger Partner betrachtet OEDIV SecuSys dabei nicht nur einzelne Anwendungen. Im Mittelpunkt stehen Identitäten, Berechtigungen, Verantwortlichkeiten und die Einbindung in die bestehende Sicherheitsarchitektur. Ziel ist eine Lösung, die zu den organisatorischen und technischen Rahmenbedingungen Ihres Unternehmens passt.

Dabei lässt sich die KI-Nutzung in bestehende IAM- und Sicherheitsstrukturen einordnen. Auch KI-Agenten und andere technische Identitäten sollten nach nachvollziehbaren Prinzipien gesteuert werden – mit klaren Verantwortlichkeiten und kontrollierten Zugriffsrechten.

Sie möchten wissen, wie gut Ihr Unternehmen beim Thema Shadow AI aufgestellt ist? OEDIV SecuSys unterstützt Sie bei der Bestandsaufnahme, der Entwicklung einer passenden Governance und der technischen Umsetzung.

Kontaktieren Sie uns für ein unverbindliches Strategiegespräch.
Strategiegespräch anfragen

Shadow AI: Vom blinden Fleck zur kontrollierten, effektiven Nutzung

Shadow AI ist ein Zukunftsthema. Der einfache Zugang zu leistungsfähigen KI-Anwendungen sorgt dafür, dass neue Nutzungsszenarien schneller entstehen, als Unternehmen ihre Governance anpassen können.

Die Antwort sollte deshalb nicht darin bestehen, KI pauschal zu verbieten. Entscheidend ist, Transparenz zu schaffen, Risiken zu bewerten und klare Rahmenbedingungen zu etablieren. Dabei spielen neben Datenschutz und Informationssicherheit insbesondere Identitäten, Berechtigungen und Verantwortlichkeiten eine zentrale Rolle.

OEDIV SecuSys unterstützt Unternehmen dabei, diese Perspektiven zusammenzuführen. Als herstellerunabhängiger Spezialist für Cybersecurity mit Fokus auf das Identity & Access Management begleitet OEDIV SecuSys Unternehmen von der Analyse über die Konzeption bis zur Umsetzung und zum langfristigen Betrieb.

Sie möchten Shadow AI in Ihrem Unternehmen kontrollierbar machen? Sprechen Sie mit uns über Ihre Ausgangssituation und mögliche nächste Schritte.

Nehmen Sie jetzt Kontakt mit uns auf.
FAQ

FAQ zu Shadow AI 

Hier finden Sie Antworten auf die wichtigsten Fragen 

zu unseren Leistungen und Lösungen

Was ist Shadow AI?
Shadow AI bezeichnet die Nutzung von KI-Anwendungen durch Mitarbeitende, ohne dass diese vom Unternehmen offiziell freigegeben oder von der IT-Abteilung kontrolliert werden. Häufig werden dafür frei zugängliche KI-Dienste oder private Accounts für berufliche Aufgaben verwendet.
Shadow IT umfasst nicht freigegebene Hard- und Software sowie IT-Dienste. Shadow AI ist ein spezieller Teilbereich davon und bezieht sich auf die Nutzung künstlicher Intelligenz. Dazu gehören beispielsweise öffentliche Chatbots, KI-Assistenten oder KI-Agenten außerhalb der Unternehmens-Governance.
Viele KI-Anwendungen werden über Browser und verschlüsselte Verbindungen genutzt. Für klassische Sicherheitslösungen kann die Kommunikation dadurch wie gewöhnlicher HTTPS-Traffic aussehen. Zusätzlich können private Accounts und nicht verwaltete Anwendungen außerhalb zentraler Unternehmensstrukturen liegen.
Das kann der Fall sein. Werden KI-Systeme im Unternehmen eingeführt oder deren Nutzung geregelt, können Mitbestimmungsrechte des Betriebsrats berührt sein. Die konkrete Situation hängt von der Ausgestaltung und Nutzung des Systems ab und sollte rechtlich geprüft werden.
Durch klare Regeln, freigegebene KI-Lösungen und einfache Vorgaben für den sicheren Umgang mit Daten. Entscheidend ist, Mitarbeitenden praktikable Alternativen bereitzustellen. So lässt sich KI-Nutzung steuern, ohne produktive Anwendungsfälle unnötig zu verhindern.
Newsletter

Bleiben Sie informiert

Abonnieren Sie unseren Newsletter und erhalten Sie regelmäßig Einblicke
zu Identity & Access Management.

    Mit dem Absenden des Formulars willige ich in die Verarbeitung meiner angegebenen Daten zur Bearbeitung meiner Anfrage ein.
    Die Einwilligung kann ich jederzeit mit Wirkung für die Zukunft widerrufen. Weitere Informationen: Datenschutzerklärung.
    Weiterlesen

    Weitere Artikel

    Der erste Schritt zu einer sicheren IAM-Strategie?

    Ob Einführung, Modernisierung oder Optimierung – in einem unverbindlichen Strategiegespräch analysieren wir Ihre Anforderungen
    und entwickeln gemeinsam die passende IAM-Strategie für Ihr Unternehmen.

    vertrieb­@secusys.de

    Strategiegespräch anfragen