Shadow AI im Unternehmen: Risiken erkennen und managen

Was ist Shadow AI?

Shadow AI bezeichnet KI-Werkzeuge, die Mitarbeitende ohne IT-Freigabe und Datenschutzprüfung im Unternehmen einsetzen. Der Begriff ist eng verwandt mit Shadow IT, erfasst aber speziell Systeme, die selbstständig Inhalte generieren oder verarbeiten. Das Spektrum reicht von Text- und Code-Generierung über Bildgeneratoren bis zu automatischen Meeting-Recordern. 2026 liegt das Hauptrisiko nicht mehr im Prompt, sondern beim Anbieter, der Meeting-Aufzeichnungen automatisch speichert und verarbeitet.

2023 dominierte die Frage: Welche Daten landen im Trainingskorpus des Anbieters? Dieses Risiko besteht weiterhin. Spezialisierte KI-Meeting-Recorder zeichnen Gespräche automatisch auf, transkribieren jeden Satz und speichern das Ergebnis beim Anbieter. Die Teilnehmenden treffen keine bewusste Entscheidung - auch dann nicht, wenn der Recorder von einer anderen Person in den Call eingebracht wurde.

Ein Meeting-Recorder läuft als Bot im Hintergrund. Er erfordert keine lokale Installation. Tools ohne IT-Freigabe sind für die IT-Abteilung nicht sichtbar; sie erhalten keine Benachrichtigung und haben keine Chance zur Reaktion.

Der tl;dv-Vorfall: 181.874 Meeting-Metadaten ohne Mandantentrennung

tl;dv schleust einen Bot in Google Meet, Zoom oder Teams, zeichnet auf, transkribiert und fasst zusammen. Im Januar 2026 meldete ein Sicherheitsforscher eine Fehlkonfiguration in der Firestore-Datenbank des Anbieters.

Die Sammlung meetings fehlte die Mandantentrennung. Alle anderen Sammlungen - users, transcripts, recordings - antworteten korrekt mit HTTP 403. Nur in der meetings-Sammlung konnte jeder authentifizierte Nutzer Metadaten fremder Accounts abfragen: Ersteller-E-Mail, Conference-ID, Anbieter, Aufnahmestatus, Zeitstempel.

181.874 Meeting-Datensätze von 84.312 Nutzern aus 35.003 E-Mail-Domains lagen in der offenen Sammlung. Behördentermine aus 23 Ländern mit .gov-Domains waren enthalten.

Die Conference-ID eines laufenden Meetings ist ein betretbarer Raum. Rund 1.000 Meetings befanden sich zu jedem Zeitpunkt im Aufnahmestatus. Der Forscher griff eine Conference-ID aus der Datenbank ab und betrat ein laufendes Meeting des malaysischen Bildungsministeriums mit über 157 Teilnehmern. Der tl;dv-Bot stand bereits in der Teilnehmerliste.

Von 27.334 geprüften Meeting-IDs waren über 1.000 als öffentlich konfiguriert. Diese lieferten vollständige Transkripte sowie 715 Teilnehmer-E-Mails aus 228 Domains. Rund 69.000 geprüfte Besprechungen waren durch korrekte Datenschutzeinstellungen geschützt.

Der Forscher meldete die Lücke am 28.01.2026. Der CTO von tl;dv antwortete nie. Nachfragen im März und Juli 2026 änderten nichts daran. Auch eine Presseanfrage von Dark Reading blieb unbeantwortet. Die Sicherheitsseite des Anbieters verspricht SOC 2, DSGVO-Konformität, EU AI Act, EU-Hosting, AES-256 und eine Reaktion binnen 24 Stunden über privacy@tldv.io.

Ein Compliance-Siegel ersetzt die eigene Prüfung nicht. Der tl;dv-Fall zeigt: Anbieter können SOC 2, DSGVO-Zertifikat und EU-Hosting ausweisen und gleichzeitig eine bekannte Fehlkonfiguration über Monate ignorieren.

Shadow AI erkennen

Meeting-Recorder-Bots erfordern keine lokale Installation und laufen als Cloud-Dienst im Hintergrund des Videokonferenz-Clients. Der Einsatz eines Tools wie tl;dv ist für die IT-Abteilung unsichtbar - der Bot erscheint nur in der Teilnehmerliste. Keine Installationsroutine, kein Helpdesk-Ticket, kein Eintrag im Software-Asset-Management.

Technische Erkennungsansätze setzen an mehreren Ebenen an. Netzwerk-Monitoring macht Verbindungen zu Domains bekannter KI-Anbieter sichtbar, sofern der Zugriff über das Unternehmensnetz läuft. Endpoint-Detection-Systeme erkennen Browser-Erweiterungen oder Prozesse, die Daten unerwartet nach außen übertragen. Cloud-Access-Security-Broker (CASB) inventarisieren genutzte Cloud-Dienste, markieren nicht freigegebene Anwendungen und helfen, das tatsächlich genutzte Software-Portfolio vollständig zu erfassen.

Die rein technische Erkennung stößt an Grenzen, sobald Mitarbeitende über private Geräte oder mobile Datentarife arbeiten. Anonyme Umfragen oder moderierte Dialogformate liefern oft deutlichere Hinweise als jedes technische Log - weil Mitarbeitende, die keine Konsequenzen fürchten, offener berichten. Technische und organisatorische Ansätze zusammen beschreibt der Shadow-IT-Management-Leitfaden detailliert.

6 Anzeichen für nicht autorisierte KI-Nutzung

1. Schreibstil oder Codeformat einzelner Personen verändern sich auffällig.
2. Inhalte enthalten stereotype Formulierungen oder sachliche Fehler, die auf KI-Generierung hindeuten.
3. Das Netzwerk-Monitoring zeigt regelmäßige Verbindungen zu KI-Anbieter-Domains.
4. Mitarbeitende verweisen auf Werkzeuge, die der IT-Abteilung nicht bekannt sind.
5. Private Geräte oder VPN-Zugänge werden intensiver genutzt als bisher.
6. Projektentscheidungen oder Inhalte lassen sich nicht mehr eindeutig nachvollziehen.

Wer hat den Auftragsverarbeitungsvertrag geprüft?

Nach Art. 28 Abs. 1 DSGVO muss jedes Unternehmen vor dem ersten Einsatz eines KI-Dienstes einen Auftragsverarbeitungsvertrag schließen. Fehlt er, ist die Verarbeitung personenbezogener Daten formell rechtswidrig.

Ein AVV hätte die Firestore-Fehlkonfiguration bei tl;dv nicht verhindert. Er hätte aber sichergestellt, dass betroffene Kundenunternehmen informiert werden. Ohne Freigabe erfährt das Unternehmen von einem Vorfall beim Anbieter nicht. Eine Meldepflicht gegenüber der Aufsichtsbehörde lässt sich dann nicht prüfen. Der eigentliche Schutz ist der Freigabeprozess.

Was ist eine Auftragsverarbeitung?

Auftragsverarbeitung nach Art. 28 DSGVO liegt vor, wenn ein externer Dienstleister im Auftrag des Verantwortlichen personenbezogene Daten verarbeitet. Der Verantwortliche muss dafür einen Auftragsverarbeitungsvertrag (AVV) abschließen. Dieser regelt die Pflichten des Dienstleisters, das Prüfrecht des Verantwortlichen und Nachweispflichten nach Art. 28 Abs. 3 lit. h DSGVO.

Art. 32 Abs. 1 lit. d DSGVO verlangt zusätzlich ein Verfahren zur regelmäßigen Überprüfung der Wirksamkeit technischer und organisatorischer Maßnahmen.

Freigabeprozess: Was eine Nutzungsrichtlinie nicht leistet

Ein KI-Meeting-Recorder speichert unabhängig vom Prompt, was im Call gesprochen wird. Das betrifft alle Teilnehmenden, nicht nur jene, die den Recorder aktiviert haben.

Ein Freigabeprozess für KI-Tools umfasst mindestens:

1. Datenkategorien bestimmen: Welche Informationen verarbeitet das Tool?
2. AVV mit dem Anbieter schließen und Prüfbarkeit nach Art. 28 Abs. 3 lit. h DSGVO sicherstellen
3. Prüfen, ob eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich ist
4. Informationspflichten nach Art. 13 DSGVO gegenüber Meeting-Teilnehmern erfüllen
5. Technische Konfiguration prüfen: Sind Aufzeichnungen beim Anbieter standardmäßig privat?

Maßnahmen: Governance, Technik und Schulung

Der Freigabeprozess für einzelne Tools bildet den operativen Kern. Damit er trägt, braucht er einen organisatorischen Rahmen - andernfalls bleiben Einzelmaßnahmen wirkungslos. Fünf Bausteine ergänzen einander:

1. Ein Governance-Rahmen legt fest, welche KI-Kategorien unter welchen Bedingungen einsatzfähig sind. IT, Datenschutz, Fachbereiche und Geschäftsleitung entscheiden gemeinsam. Das verhindert einseitige Entscheidungen in einzelnen Teams und schafft Verbindlichkeit.

2. Eine Nutzungsrichtlinie definiert, welche Datenkategorien nicht in externe Systeme eingegeben werden dürfen. Sie muss auffindbar und verständlich formuliert sein. Allgemeine Verbote ohne Erklärung werden ignoriert.

3. Geprüfte Tools erhalten eine offizielle Freigabe mit DSGVO-konformer Konfiguration und dokumentiertem AVV. Wer eine verlässliche, erlaubte Alternative nutzen kann, greift seltener auf nicht genehmigte Dienste zurück. Whitelisting ist effektiver als Generalverbote.

4. DNS-Blocking oder Proxy-Filter begrenzen den Zugriff auf nicht freigegebene Dienste. DLP-Systeme (Data Loss Prevention) erkennen sensible Daten, bevor sie externe Systeme erreichen. Beide Maßnahmen setzen an verschiedenen Punkten im Datenfluss an und ergänzen einander.

5. Schulungen vermitteln nicht nur Regeln, sondern Gründe. Mitarbeitende, die konkret verstehen, was beim tl;dv-Vorfall passiert ist, handeln anders als nach einer abstrakten Richtlinie. Praxisnahe Formate - kurze Lerneinheiten, Live-Demonstrationen von Angriffsvektoren - bleiben besser im Gedächtnis als Handbücher allein.

Einordnung

Die Fehlkonfiguration bei tl;dv war zum Veröffentlichungszeitpunkt dieses Beitrags seit über sechs Monaten gemeldet und unverändert offen. Compliance-Versprechen auf der Anbieter-Website ersetzen keine eigenständige Prüfung - und kein Zertifikat tritt an die Stelle eines geprüften Auftragsverarbeitungsvertrags. Wer KI-Tools freigibt, prüft sie regelmäßig nach Art. 32 Abs. 1 lit. d DSGVO - nicht einmalig bei der Einführung, sondern als fortlaufenden Prozess.