Reale KI-Nutzung erfasssen
Erfassung der real genutzten KI-Anwendungen (Cloud/SaaS, Desktop, Browser) über Sicherheitstelemetrie statt Umfragen.
Datenabfluss sichtbar machen
Erkennung von Daten, die zu nicht vertrauenswürdigen KI-Diensten fließen - inklusive Umfang und Häufigkeit.
Sofort umsetzbare Richtlinien
Konkrete Empfehlungen und Richtlinien - Templates zu Freigabe, Einschränkung oder Sperrung von KI-Anwendungen.
KI-Tools verbreiten sich schneller, als Richtlinien entstehen. 78 % der Mitarbeitenden geben an, nicht freigegebene KI-Tools zu nutzen (WalkMe/SAP, 2025) – häufig ohne dass Unternehmen wissen, wer sie nutzt, welche Daten dabei fließen und welche Inhalte ausgetauscht werden. Das Shadow AI Assessment macht die reale KI-Nutzung sichtbar – als Grundlage für einen geregelten, DSGVO- und EU-AI-Act-konformen Einsatz.
Was ist Shadow AI
Shadow AI bezeichnet den nicht genehmigten oder unüberwachten Einsatz von KI-Tools, -Modellen und -Systemen durch Mitarbeitende innerhalb eines Unternehmens – etwa über private Accounts, ohne dass IT oder Security davon wissen.
Shadow AI ist kein eigenständiges Phänomen, sondern der am schnellsten wachsende Teil von Shadow IT – mit einem eigenen Risikoprofil:
- KI steckt oft als Feature in bereits freigegebenen Tools (z. B. KI-Funktionen in Office- oder CRM-Anwendungen) und ist schwerer zu erkennen, als klassische Schatten-Anwendungen.
- KI-Systeme benötigen oft eine große Menge an Kontext-Information und weitreichende Berechtigungen, um gute Ergebnisse zu liefern. Entsprechend größer sind die Risiken.
- KI-Systeme nutzen mitunter die eingegebenen Informationen für das Training des Systems und liefern diese potentiell auch an Dritte aus. Eine nachträgliche Kontrolle ist prinzipbedingt unmöglich.
- KI-Systeme sind Ziel eigener Angriffstechniken wie Prompt-Injection, die es bei klassischem Shadow IT nicht gibt. Die Anfälligkeit für Prompt-Injections ist eine grundsätzliche Schwachstelle von sprachmodellbasierten KI-Anwendungen, mit dokumentierten Vorfällen bei produktiv eingesetzten KI-Assistenten.
RISIKO
- Datenabfluss – sensible Daten verlassen unkontrolliert das Unternehmen, oft ohne Wiederherstellbarkeit.
- Compliance – Verstöße gegen DSGVO und EU AI Act. Der EU AI Act schreibt kein KI-Inventar wörtlich vor, verlangt aber u. a. den Verzicht auf verbotene Praktiken und ausreichende KI-Kompetenz der Mitarbeitenden – beides lässt sich ohne Wissen über die eigene KI-Landschaft kaum nachweisen.
- Fehlende Auditierbarkeit – keine Protokollierung, wer welche Daten wohin gegeben hat.
- Erweiterte Angriffsfläche – ungeprüfte Tools, exponierte Schnittstellen, Prompt-Injection.
- Fehlentscheidungen – Handeln auf Basis nicht validierter KI-Ausgaben, ohne Nachvollziehbarkeit.
Zahlen im Überblick
Daten |
Quelle |
78 % der Mitarbeitenden nutzen nicht freigegebene KI-Tools |
WalkMe/SAP, 2025 |
3 von 4 Nutzern nicht freigegebener KI-Tools haben bereits Kunden-, interne oder Finanzdaten geteilt |
Cybernews, 2025 |
46 % würden ihre KI-Tools auch bei ausdrücklichem Verbot weiter nutzen |
Software AG, 2025 |
20 % aller Datenpannen stehen im Zusammenhang mit Shadow AI |
IBM Cost of a Data Breach Report, 2025 |
„Die Frage ist nicht, ob Ihre Mitarbeitenden KI nutzen, sondern wer sie nutzt, welche und mit welchen Daten. – KI nicht verbieten, sondern sichtbar und steuerbar machen.“
David Haase, Head of Consulting
SERVICE-ÜBERBLICK
Shadow AI Assessment
Was wir erheben
Auf Basis Ihrer bestehenden Sicherheitstelemetrie erfassen wir die eingesetzten KI-Anwendungen und -Dienste (Cloud-/SaaS- und lokale Lösungen) sowie deren Nutzungsumfang. Aus diesen Informationen ermitteln wir Ihr Risikoprofil.
Was Sie erhalten
Ein nachvollziehbares KI-Inventar, die Bewertung der verbundenen Sicherheits- und Compliance-Risiken, den Abgleich mit Ihrer freigegebenen KI-Landschaft sowie Richtlinien-Templates und priorisierte Handlungsempfehlungen. Ergebnis ist eine kurze Präsentation plus schriftliche Zusammenfassung als Entscheidungsgrundlage.
Projektablauf
- Kick-Off – Projektbeteiligte, Ausgangssituation, Ziele; Bereitstellung der relevanten Telemetriedaten.
- Erhebung der KI-Nutzung – Apps/Dienste, Nutzungsumfang, betroffene Endgeräte/Benutzer, Datenabflüsse, Interaktionsinhalte.
- Analyse der Shadow AI – Identifikation nicht freigegebener Nutzung, Risikobewertung, Abgleich mit freigegebener KI-Landschaft.
- Richtlinien-Templates – Empfehlungen zu Freigabe, Einschränkungen und Sperrung von KI-Diensten und -Anwendungen sowie Hinweise zur organisatorischen und technischen Verankerung.
- Präsentation & Abschlussbericht – Schriftliche Zusammenfassung und kurze Präsentation der Ergebnisse.
FAQ
Nutzung von KI-Anwendungen ohne Freigabe, Inventar oder Governance – häufig über private Accounts oder KI-Funktionen in bereits genutzten Tools.
In der Regel nicht. Das Assessment baut auf vorhandener Sicherheitstelemetrie auf.
Der AI Act verlangt u. a. den Verzicht auf verbotene Praktiken und ausreichende KI-Kompetenz der Belegschaft. Ohne Wissen über die eigene KI-Landschaft lässt sich beides kaum nachweisen – das Assessment liefert die Bestandsaufnahme.
Das Assessment liefert primär (pseudonymisierte) Informationen über die genutzten KI-Dienste und -Anwendungen, die Zahl der Anfragen, die Datenmenge. Diese können als Basis für tiefere Analysen des Nutzungsverhaltens und der übertragenen Daten dienen.
Warum r-tec?
- Technisch voraus, menschlich auf Augenhöhe
- Passgenaue Servicelösungen, kurze Reaktionszeiten, schnelle Terminierung, direkter Expertenkontakt
- Schnelle Hilfe im Angriffsfall
- ausgeprägte Service Struktur
- 25 Jahre Erfahrung in Konzeption, Aufbau und Betrieb von Cyber Security Lösungen
- ISO 9001 und ISO 27001 zertifiziert
Kontaktieren
Sie uns!
Sie haben ein IT Security-Projekt, bei dem wir Sie unterstützen können? Wir beraten Sie gerne! Hier können Sie ein unverbindliches und kostenloses Erstgespräch vereinbaren.