Schatten-KI im Unternehmen: 4 von 5 KI-Tools laufen ohne IT-Freigabe

Vier von fünf KI-Tools in Unternehmen laufen ohne Freigabe der IT. Das zeigt der Reco-Report "The State of Agent Security 2026" vom 26.08.2026 auf Basis der Telemetrie aus 62 Großunternehmen. In Deutschland gehen laut Bitkom 4 von 10 Unternehmen davon aus, dass Beschäftigte private KI-Zugänge nutzen. Regeln dafür haben 23 Prozent.

Schatten-KI war 2023 ein Copy-Paste-Problem: Beschäftigte kopierten Quellcode und Besprechungsnotizen in ChatGPT. 2026 kommt ein zweites Risiko hinzu. KI-Agenten, Browser-Erweiterungen und MCP-Server halten dauerhafte Berechtigungen und handeln ohne Rückfrage. Wer keine Liste der eingesetzten KI-Werkzeuge führt, kennt weder seine Angriffsfläche noch seine Datenabflüsse.

Was ist Schatten-KI?

Schatten-KI (Shadow AI) bezeichnet KI-Werkzeuge, die Beschäftigte ohne Freigabe der IT und ohne Datenschutzprüfung im Unternehmen einsetzen. Dazu zählen private ChatGPT-Konten, KI-Browser-Erweiterungen, Meeting-Recorder und autonome Agenten mit eigenen Zugriffsrechten. Schatten-KI ist eine Sonderform der Schatten-IT, verarbeitet aber selbstständig Inhalte und trifft Entscheidungen.

Die Landesdatenschutzbeauftragte Niedersachsen nennt in ihrer FAQ dieselben Fälle: ChatGPT, Gemini oder Claude, genutzt ohne Genehmigung und ohne Integration in die IT-Infrastruktur. Der Unterschied zur klassischen Schatten-IT liegt im Verhalten: Eine nicht freigegebene SaaS-Anwendung wartet auf den nächsten Login. Ein nicht freigegebener Agent arbeitet weiter.

Wie verbreitet ist Schatten-KI in Unternehmen?

Fünf Erhebungen aus 2025 und 2026 kommen zum selben Ergebnis: Die Nutzung ist Alltag, die Steuerung fehlt.

Bitkom zeigt auch die Lücke dahinter. Nur 26 Prozent der Unternehmen stellen ihren Beschäftigten einen Zugang zu generativer KI bereit. Bei 20 bis 99 Beschäftigten sind es 23 Prozent, ab 500 Beschäftigten 43 Prozent.

Wie viele Beschäftigte nutzen KI ohne Wissen des Arbeitgebers?

Laut Bitkom-Befragung vom 05.05.2025 nutzen 10 Prozent der Erwerbstätigen in Deutschland generative KI im Beruf, ohne dass der Arbeitgeber davon weiß. Ein Jahr zuvor waren es 5 Prozent. Der Anteil mit Wissen des Arbeitgebers stieg im selben Zeitraum von 22 auf 45 Prozent.

Welche Risiken hat Schatten-KI?

Das erste Risiko ist der Datenabfluss. Netskope Threat Labs ordnet die Richtlinienverstöße in Europa zu 59 Prozent regulierten Daten zu. Es folgen Quellcode mit 15 Prozent, geistiges Eigentum mit 13 Prozent sowie Passwörter und API-Schlüssel mit 12 Prozent.

IBM beziffert die Folgen im Cost of a Data Breach Report 2025. 20 Prozent der untersuchten Organisationen hatten Vorfälle mit Schatten-KI. Organisationen mit hohem Schatten-KI-Anteil zahlten im Schnitt bis zu 670.000 US-Dollar mehr je Datenpanne, 63 Prozent hatten keine KI-Governance-Richtlinie.

Was sind KI-Agenten und warum sind sie ein Sicherheitsrisiko?

KI-Agenten sind Programme, die ein Sprachmodell mit Werkzeugen verbinden und Aufgaben eigenständig ausführen: Dateien lesen, E-Mails senden, Code ändern, APIs aufrufen. Anders als ein Chatbot warten sie nicht auf die nächste Eingabe. Agenten halten Zugangsdaten, erben die Rechte ihres Hosts und laufen weiter, wenn niemand hinsieht.

Island beschreibt den Zustand so: Jedes Unternehmen habe in diesem Jahr eine zweite Belegschaft eingestellt, und diese Belegschaft habe nie ein Onboarding durchlaufen. Die Netskope-Umfrage "AI Risk and Readiness 2026" liefert die Zahlen dazu. 53 Prozent räumen KI-Agenten Schreibzugriff auf Kollaborationstools ein, 40 Prozent auf E-Mail, 8 Prozent auf den Identity Provider. 91 Prozent erfahren erst nach der Ausführung, was ein Agent getan hat. Wie das im Alltag aussieht, zeigt der Beitrag zu autonomen Agenten wie OpenClaw.

Was ist ein MCP-Server?

Ein MCP-Server (Model Context Protocol) ist eine Schnittstelle, über die ein KI-Agent auf Datenquellen und Werkzeuge zugreift, etwa Datenbanken, Ticketsysteme, Code-Repositories oder interne APIs. Technisch genügt ein Eintrag in einer Konfigurationsdatei. Beschaffung, Sicherheits-Review und Inventareintrag finden dabei häufig nicht statt, genau das macht MCP-Server zum Schatten-KI-Vektor.

Reco hat 500 öffentlich verfügbare MCP-Server analysiert. 50 Prozent können Shell-Befehle ausführen, 82 Prozent lokale Dateien lesen oder schreiben, 73 Prozent ausgehende Verbindungen aufbauen. 62 Prozent kombinieren Dateizugriff mit Netzwerkzugang und bilden damit einen direkten Pfad für Datenabfluss. Weil jeder zweite Server Shell-Befehle ausführt, wird eine Prompt Injection zum Zugriff auf das Betriebssystem.

525 der 637 von Reco erfassten Schwachstellen in Agenten- und LLM-Werkzeugen wurden in den vergangenen 18 Monaten gemeldet. Das ist mehr als die sechsfache Monatsrate der Jahre 2023 und 2024. Auch das BSI warnt: WID-SEC-2026-3037 (LiteLLM, Offenlegung von Informationen) und WID-SEC-2026-2176 (vLLM, Denial of Service) betreffen Komponenten, auf denen selbst gehostete Agenten laufen.

Was ist beim KI-Meeting-Recorder tl;dv passiert?

tl;dv schleust einen Bot in Google Meet, Zoom oder Teams und transkribiert Gespräche. Im Januar 2026 fehlte der Firestore-Sammlung meetings des Anbieters die Mandantentrennung: Jeder authentifizierte Nutzer konnte Metadaten fremder Accounts abfragen. 181.874 Meeting-Datensätze von 84.312 Nutzern lagen offen.

Der Forscher meldete die Lücke am 28.01.2026, eine Antwort des Anbieters blieb aus. Der Fall zeigt das zweite Risiko von Schatten-KI: Der Bot braucht keine Installation, taucht in keinem Software-Inventar auf und erscheint nur in der Teilnehmerliste.

Welche Pflichten gelten bei Schatten-KI nach DSGVO und AI Act?

Die Pflichten treffen das Unternehmen als Verantwortlichen und als Betreiber, auch wenn die Nutzung intern nie freigegeben war.

1. Art. 28 DSGVO: Vor dem Einsatz eines KI-Dienstes, der personenbezogene Daten verarbeitet, braucht es einen Auftragsverarbeitungsvertrag. Kostenlose Privatkonten liefern ihn nicht.
2. Art. 35 DSGVO: Verarbeitet das Tool Beschäftigten- oder Kundendaten oder bewertet Personen, ist eine Datenschutz-Folgenabschätzung zu prüfen. Schatten-KI umgeht diese Prüfung.
3. Art. 44 ff. DSGVO: Die Übermittlung an Anbieter außerhalb der EU braucht eine Rechtsgrundlage für den Drittstaatentransfer.
4. Art. 4 KI-Verordnung: Seit dem 02.02.2025 müssen Anbieter und Betreiber Maßnahmen für ausreichende KI-Kompetenz ihres Personals ergreifen. Die Aufsicht in Deutschland liegt seit dem 02.08.2026 bei der Bundesnetzagentur.
5. Mitbestimmung: Kann ein KI-Tool Leistung oder Verhalten von Beschäftigten überwachen, ist der Betriebsrat zu beteiligen. Das gilt auch für die Auswertung von Proxy-Protokollen auf Nutzerebene.

Wer der NIS2-Richtlinie unterliegt, schuldet nach Art. 21 Abs. 2 lit. i zusätzlich Zugriffskontrolle und Asset-Management. Ein nicht inventarisierter KI-Dienst ist ein unbewerteter Lieferant.

Ist eine KI-Schulung für Mitarbeiter Pflicht?

Ja, als Bemühenspflicht. Art. 4 der KI-Verordnung verlangt seit dem 02.02.2025 Maßnahmen für ein ausreichendes Maß an KI-Kompetenz, unabhängig von Risikoklasse und Unternehmensgröße. Ein Zertifikat ist laut AI Office der EU-Kommission nicht vorgeschrieben, dokumentierte und rollenbezogene Schulungen genügen.

Die Praxis hinkt hinterher. Laut TÜV-Verband haben 27 Prozent der Unternehmen ihre Beschäftigten zu KI geschult, bei 20 bis 49 Mitarbeitenden sind es 21 Prozent. Eine rollenbezogene, dokumentierte Security-Awareness-Schulung mit KI-Modul ist ein Weg, die Bemühenspflicht aus Art. 4 nachweisbar zu erfüllen.

Wie erkennt man Schatten-KI im Unternehmen?

Die Erkennung beginnt mit einer Bestandsaufnahme ohne Sanktionsdrohung. Anonyme Befragungen liefern mehr als jedes Log, weil sie die Nutzung auf Privatgeräten erfassen.

1. Proxy- und DNS-Protokolle über 30 Tage aggregiert auswerten: eindeutige Quellen pro Standort, keine Namen. Auch Übersetzer, Transkriptions- und Bilddienste zählen.
2. Browser-Erweiterungen über die Geräteverwaltung listen. KI-Assistenten im Browser wurden bewusst installiert.
3. OAuth-Freigaben im Identity Provider prüfen. Reco empfiehlt, mit Grants zu beginnen, die seit 60 oder mehr Tagen aktiv sind.
4. MCP-Konfigurationen auf Entwicklerrechnern und in Repositories suchen. Lokale Server stehen in Konfigurationsdateien, nicht im Netzwerk-Log.
5. Eine anonyme Frage stellen: Wurde in den letzten vier Wochen ein KI-Werkzeug für eine dienstliche Aufgabe genutzt, das die IT nicht bereitgestellt hat?

Das Ergebnis gehört in das IT-Asset-Management. ISO/IEC 27001:2022 verlangt in Control A.5.9 ein Inventar der Werte mit Eigentümer, in A.5.23 einen Prozess für Erwerb und Nutzung von Cloud-Diensten.

Hilft ein KI-Verbot gegen Schatten-KI?

Nein. Ein Verbot verlagert die Nutzung auf das Privatgerät, wo weder Protokoll noch Einfluss existieren. Die Cloud Security Alliance fasst in ihrer Research Note vom 30.05.2026 zwei Drittstudien zusammen. Nicht freigegebene KI-Tools bleiben im Median 403 Tage unentdeckt (Reco 2025). Sobald ein freigegebenes Werkzeug bereitsteht, sinkt die nicht autorisierte Nutzung um 89 Prozent (Unseen Security 2026).

Netskope beobachtet dieselbe Bewegung in Europa. Der Anteil der Nutzer auf persönlichen KI-Tools fiel von 79 auf 43 Prozent, der Anteil auf verwalteten Tools stieg von 28 auf 72 Prozent. Ein Geschäftstarif mit Auftragsverarbeitungsvertrag ersetzt das Verbot.

Wie erstellt man eine KI-Richtlinie für Unternehmen?

Eine KI-Richtlinie regelt auf wenigen Seiten, welche Werkzeuge erlaubt sind und welche Daten hineindürfen. Sechs Bausteine reichen:

1. Freigegebene Tools und Tarife als abschließende Liste mit Geschäftskonten, kein Privat-Account im dienstlichen Kontext.
2. Datenklassen konkret benennen: Bewerbungsunterlagen, Gesundheitsdaten, Gehälter, Kundendaten, Quellcode aus Kundenprojekten.
3. Ein Freigabeprozess für neue Tools mit zuständiger Person, Zwei-Wochen-Frist, AVV-Prüfung nach Art. 28 Abs. 3 lit. h DSGVO und DSFA-Check.
4. Regeln für Agenten: kein Agent mit stehenden Zugangsdaten, Zugriff je Aufgabe statt dauerhaft, ein Abschaltweg pro Agent.
5. Prüfpflicht und Kennzeichnung: KI-Ergebnisse werden vor Verwendung geprüft, KI-generierte Inhalte gekennzeichnet.
6. Schulung mit dokumentierter Teilnahme nach Art. 4 KI-Verordnung und ein Meldeweg für Fehler und Datenabfluss.

Eine Richtlinie ohne Inventar bleibt Papier. Wer nicht weiß, welche Agenten mit welchen Rechten laufen, kann weder Freigabe noch Abschaltung umsetzen.

Was sollten Unternehmen jetzt gegen Schatten-KI tun?

Schatten-KI entsteht aus einem fehlenden Angebot. Bitkom nennt 26 Prozent der Unternehmen mit offiziellem KI-Zugang und 23 Prozent mit Regeln, Reco nennt 80 Prozent der KI-Tools ohne Aufsicht. Wer kein freigegebenes Werkzeug anbietet, schafft den Bedarf für Schatten-KI selbst.

Die Reihenfolge zählt: erst Inventar, dann ein freigegebenes Werkzeug mit Geschäftstarif, dann Richtlinie, dann Schulung. Wer Agenten wie Mitarbeitende behandelt, mit Inventareintrag, Identität, Rechten und Abschaltweg, hat das Problem 2026 im Griff.