Schatten-KI im Unternehmen – die unsichtbare Insider-Bedrohung.
Nicht autorisierte KI-Tools finden unter Angestellten immer mehr Anklang – oft ohne böse Absicht, aber mit potenziell gravierenden Folgen. Der Identity Security Landscape Report 2025 von CyberArk zeigt: Schatten-KI wird zur neuen Insider-Gefahr. Warum Unternehmen jetzt handeln müssen und wie sie die Kontrolle zurückgewinnen.
Zusammenfassung (TL; DR):
- Mitarbeiter greifen trotz Unternehmensverbot oft zu KI-Tools
- Problem: Perimeter- und Netzwerk-Security greifen bei Schatten-KI nicht ein
- Hilfe gegen Schatten-KI: Sichtbarkeit, Governance und Identitätsschutz
Midjourney nahezu allzeit im Browser geöffnet, mit ChatGPT mal kurz eine wichtige Frage beantworten, Übersetzungen schnell durch DeepL jagen – KI-Tools sind längst ein fester Bestandteil im Alltag vieler Angestellter. Doch oftmals weiß die IT-Abteilung davon nichts oder das Unternehmen hat gar die Nutzung von KI untersagt. Mit dem Bestreben, ihre Aufgaben schneller, effizienter oder kreativer zu erledigen, greifen Mitarbeitende mitunter trotzdem zu Anwendungen, die nicht offiziell genehmigt sind. Laut dem Identity Security Landscape Report 2025 von CyberArk nutzen bereits 41 Prozent der Beschäftigten in Deutschland nicht freigegebene KI-Tools, währen 65 Prozent der Unternehmen fürchten, diese sogenannte Schatten-KI nicht kontrollieren zu können.
Deren Risiken ähneln denen der klassischen Schatten-IT, sind jedoch durch mögliche Datenabflüsse und unkontrollierte Schnittstellen noch schwerer zu beherrschen. Denn während sich klassische Schatten-IT meist auf Softwareinstallationen oder Cloud-Speicher bezieht, arbeitet Schatten-KI mit Lernmodellen, die Daten weiterverarbeiten und in unbekannten Kontexten wiederverwenden können. Das ist besonders heikel, wenn es sich um Firmeninterna handelt. Fehlende Richtlinien und Governance im Umgang mit KI schaffen Identitäts- und Zugriffslücken – und damit eine neue, schwer erkennbare Form der (ungewollten) Insider-Bedrohung.
Schatten-KI: Identitäten als Achillesferse
Da KI-Tools oft in bestehende Prozesse eingebunden werden und dadurch selbstständig auf Daten und Systeme zugreifen können muss, erhalten sie indirekt eine neue Identität mit denselben oder erweiterten Berechtigungen – Machine Identities. Laut des Machine Identity Landscape Report wuchs die Zahl dieser maschinellen Identitäten allein in 2024 um 59 Prozent an. Als besonders riskant erachten die befragten Unternehmen dies in Dev-Ops- (42 Prozent) und Cloud-Umgebungen (33 Prozent).
Der Hintergrund: Jede Maschine, jedes Skript und jedes KI-Modell benötigt Zugangsdaten, API-Keys oder Zertifikate, um zu funktionieren. Werden diese nicht zentral verwaltet, entstehen sogenannte „Identitätssilos“. In solchen Silos fehlt die Transparenz darüber, wer oder was tatsächlich Zugriff auf sensible Systeme hat. Dabei sind sich die Unternehmen der Risiken durch Identitätssilos durchaus bewusst: 87 Prozent sehen sie als ein ernstzunehmendes Risiko und Schatten-KI treibt diese Silos weiter voran.
Hinzu kommt, dass Machine Identities nicht den gleichen Sicherheitsprüfungen unterliegen wie menschliche Accounts. Ihre Zugänge bleiben oft dauerhaft aktiv, selbst wenn sie nicht mehr benötigt werden, Passwörter werden nicht regelmäßig geändert und Berechtigungen werden kaum überprüft. Damit entsteht eine stille, aber potenziell gravierende Angriffsfläche – ein ideales Einfallstor für Cyberkriminelle oder fehlerhafte Automatisierungen, etwa wenn Skripte mit zu weitreichenden Berechtigungen auf produktive Systeme zugreifen.
Warum klassische Sicherheitsansätze versagen
Dass sich die Gefahr durch Schatten-KI oftmals wie ein trojanisches Pferd anfühlt, hat folgende Ursache: Perimeter- und Netzwerk-Security greifen bei Schatten-KI nicht ein, da die Tools oft außerhalb der Sichtbarkeit von IT-Abteilungen laufen und dadurch die Abfrage von Zugriffs-Genehmigungen entfällt. Die Nutzung erfolgt oft über SaaS-Dienste, die nicht in bestehende Identity-Management-Systeme integriert wurden. Das führt zu Undurchsichtigkeit, da Unternehmen nicht genau wissen, welche Tools genutzt werden, welche Accounts existieren oder welche Berechtigungen vergeben wurden.
Hinzu kommt ein weiterer Faktor: Viele Mitarbeitende empfinden Sicherheitsrichtlinien als hinderlich und greifen aus rein pragmatischen Gründen zu inoffiziellen Lösungen. Das Sicherheitsrisiko entsteht damit nicht aus böswilliger Absicht, sondern aus fehlendem Bewusstsein. Klassische Awareness-Trainings reichen hier oft nicht aus, da sie sich auf Phishing oder Passwortsicherheit konzentrieren – aber den Umgang mit KI-Anwendungen noch nicht einschließen.
Auch die Dynamik und Geschwindigkeit der KI-Entwicklung überfordern viele Unternehmen. Neue Tools erscheinen monatlich, Funktionen verändern sich wöchentlich und eine zentrale Verwaltung von Freigaben kann kaum aktuell gehalten werden. Dadurch hinken Compliance- und Security-Prozesse der technologischen Realität hinterher. Es ist also ein strukturelles Problem, das Schatten-KI weiter begünstigt.
Im Kampf gegen Schatten-KI: Sichtbarkeit, Governance und Identitätsschutz
Um die bedrohlichen Schatten von KI loszuwerden, können Unternehmen drei Ebenen etablieren:
- Sichtbarkeit schaffen: Durch Zusammenarbeit mit den Mitarbeitenden möglichst alle verwendeten KI-Tools zusammentragen und deren Nutzung kontinuierlich überwachen. Dies schließt auch automatisierte Scans und Inventarisierungen von SaaS-Anwendungen ein, um unautorisierte KI-Zugriffe frühzeitig zu erkennen.
- Richtlinien und Schulung: Mitarbeitende befähigen, KI verantwortungsvoll einzusetzen und klare Freigabeprozesse etablieren. Hierbei sollten nicht nur Verbote ausgesprochen, sondern Leitplanken formuliert werden – etwa, welche Daten in KI-Systeme eingegeben werden dürfen und welche nicht.
- Technische Kontrolle: Zero-Trust-Ansätze, Least-Privilege-Prinzip und automatisiertes Credential-Management für maschinelle Identitäten zentral implementieren.
- Außerdem sollten klare Governance-Strukturen definiert werden, welche die Freigabe, Überwachung und Audits der KI-Nutzung regeln. Ein strukturiertes KI-Governance-Framework, das Datenschutz, Compliance und IT-Security vereint, kann helfen, Verantwortlichkeiten zu klären und Transparenz zu schaffen. Lösungen professioneller Anbieter bieten zentrale Verwaltung maschineller und privilegierter Identitäten und reduzieren so das Risiko durch Schatten-KI signifikant.
Darüber hinaus ist es essenziell, dass Sicherheits- und Fachabteilungen eng zusammenarbeiten. Denn nur wenn IT-, Compliance- und Business-Teams gemeinsam Richtlinien entwickeln, lassen sich Innovation und Sicherheit in Einklang bringen. Die Integration von KI in bestehende Sicherheitsarchitekturen darf kein einmaliges Projekt sein, sondern muss als fortlaufender Prozess verstanden werden.
Chance statt Risiko durch sicheren Umgang als Wettbewerbsvorteil
Wer KI-Tool sicher einsetzt, verwandelt ein erhebliches Risiko in einen immensen Vorteil. Effizienz, Geschwindigkeit und Vertrauen von Mitarbeitenden und Kunden in das Unternehmen steigen, wenn KI-Anwendungen kontrolliert und integriert werden. So wird KI-Governance zu einem zentralen Bestandteil moderner IT-Sicherheitsstrategien. Unternehmen, die klare Leitlinien etablieren und Vertrauen in ihre Systeme schaffen, gewinnen auch an Attraktivität für ihre Fachkräfte – insbesondere in wissensintensiven Bereichen, in denen KI-Unterstützung längst nicht mehr wegzudenken ist.
Führungskräfte stehen jetzt vor der großen aber durchaus machbaren Herausforderung, die Balance zwischen Innovation und Sicherheit zu halten. Denn Schatten-KI lässt sich nicht verbieten, aber kontrolliert lenken, sodass Unternehmen die Potenziale sicher nutzen können.
Fazit: Wichtig ist, Kontrolle zurückzugewinnen
Der Identity Security Landscape Report von CyberArk zeigt die Dringlichkeit: 41 Prozent der Mitarbeitenden nutzen nicht genehmigte KI-Tools, 65 Prozent der Unternehmen fürchten Kontrollverlust und 87 Prozent sehen Identitätssilos als bedeutendes Cyberrisiko. Unternehmen sollten zum jetzigen Zeitpunkt handeln, um die neue Form der Insider-Bedrohung zu adressieren. Mit Inventarisierung, Zero Trust, Privileged Access Management und klaren Governance-Strukturen lassen sich Schatten-KI und maschinelle Identitäten effektiv kontrollieren und gleichzeitig Innovationen sichern. Wer frühzeitig handelt, schafft nicht nur Sicherheit, sondern auch Vertrauen – bei Mitarbeitenden, Partnern und Kunden.
