Was ist Shadow AI? Definition, Risiken, Beispiele und Erkennung
Kurz gesagt
- Shadow AI ist KI-Nutzung ohne Wissen oder Freigabe von IT und Security. Dazu zählen ChatGPT im Browser, Copilot-Funktionen in Office, Browser-Extensions, lokale Modelle, Coding-Agents und KI-Features in bereits freigegebenen SaaS-Produkten.
- Das Risiko liegt in den Daten, die dabei das Unternehmen verlassen, und in Aktionen, die Agents ohne Aufsicht ausführen.
- Es gibt drei Wege, Shadow AI zu entdecken: Netzwerklogs, Befragung, Erkennung auf dem Gerät. Nur der dritte sieht lokale Modelle, Extensions und Agents.
Definition
Shadow AI bezeichnet den Einsatz von KI-Tools, KI-Modellen oder in Software eingebetteten KI-Funktionen in einer Organisation, ohne dass IT- oder Security-Teams davon wissen oder es freigegeben haben. Der Begriff ist von Schatten-IT abgeleitet, unterscheidet sich aber in zwei Punkten: KI-Nutzung ist schneller verbreitet, weil sie keine Installation braucht, und sie steckt oft in Werkzeugen, die längst freigegeben sind.
Die Grenze zur regulären Nutzung ist die Freigabe, nicht das Tool. Dasselbe ChatGPT kann in einem Unternehmen freigegeben und im nächsten Shadow AI sein.
Was zu Shadow AI zählt
| Kategorie | Beispiele | Warum es oft übersehen wird |
|---|---|---|
| Chat-Tools im Browser | ChatGPT, Claude, Gemini, Perplexity über das private Konto | die Domain ist bekannt, der Inhalt nicht |
| Eingebettete KI-Funktionen | Copilot in Office, Assistenten in CRM, Ticket- und Design-Tools | das Produkt ist freigegeben, die KI-Funktion kam per Update |
| Browser-Extensions | Zusammenfassen, Übersetzen, Schreiben, Bewerten | senden Seiteninhalte an fremde Dienste, sehen aus wie normales HTTPS |
| Entwicklerwerkzeuge | IDE-Assistenten, Coding-Agents im Terminal, MCP-Server | laufen als Prozess, greifen auf Dateien und interne APIs zu |
| Lokale Modelle | Ollama, LM Studio, in Apps eingebaute Modelle | erzeugen keinen Netzwerkverkehr |
| Eigene Integrationen | Skripte mit API-Keys, No-Code-Automationen | laufen unter dem Konto einer einzelnen Person |
Warum Shadow AI ein Risiko ist
Daten verlassen das Unternehmen. Ein Prompt ist ein Upload. Kundendaten, Vertragsentwürfe, Quellcode und Zugangsdaten wandern in ein Kontextfenster, und von dort, je nach Anbieter und Konto, in Logs oder Trainingsdaten. Bei privaten Konten gibt es keinen Auftragsverarbeitungsvertrag und keine Rechtsgrundlage nach DSGVO.
Agents handeln ohne Aufsicht. Ein Coding-Agent liest Dateien, ruft APIs auf und schreibt Ergebnisse. Ein MCP-Server gibt einem Assistenten Zugriff auf Mail oder Datenbank. Diese Aktionen laufen mit den Rechten des Nutzers, in Maschinengeschwindigkeit, und tauchen in keinem Log auf, das Security kennt. Mehr dazu im Beitrag zu MCP als Angriffsfläche.
Niemand kann Fragen beantworten. Der EU AI Act verlangt seit 2025 KI-Kompetenz der Belegschaft (Artikel 4) und für viele Systeme Aufzeichnungen über den Betrieb. Wer nicht weiß, welche KI-Systeme laufen, kann weder schulen noch protokollieren. Die Lösungsseite zum AI Act beschreibt, welche Pflichten ein Inventar voraussetzen.
Sicherheitslücken in Werkzeugen. KI-Funktionen bringen eigene Schwachstellen mit, etwa Prompt Injection über gelesene Inhalte. Der Fall CVE-2026-24301 in Copilot zeigt, wie ein privat genutzter Assistent zum Einfallstor wird.
Warum der bestehende Stack sie nicht sieht
Firewall, Web-Proxy und CASB arbeiten am Netzwerkrand und sehen Ziele: Domains, IPs, Datenmengen. Sie sehen nicht, was in einem Prompt steht, sie sehen keine Browser-Extension, kein lokales Modell und keine Agent-Aktion auf dem Gerät. Diese vier blinden Flecken beschreibt der Beitrag Warum Firewall, Proxy und CASB lokale KI-Tools nicht sehen im Detail.
Drei Wege, Shadow AI zu entdecken
| Weg | Was er sieht | Was er nicht sieht | Aufwand |
|---|---|---|---|
| Netzwerk- und CASB-Logs | Aufrufe bekannter KI-Domains, Datenvolumen, Konten bei API-Anbindung | Prompt-Inhalte, Extensions, lokale Modelle, Agents, Geräte außerhalb des Proxys | gering, Daten sind meist vorhanden |
| Befragung und Lizenz-Audit | freigegebene Tools, was Mitarbeiter angeben, gekaufte Lizenzen | alles, was niemand angibt, private Konten, Nutzung per Update | mittel, ungenau |
| Erkennung auf dem Endpoint | tatsächliche Nutzung je Gerät: Tool, Prozess, Häufigkeit, bei Bedarf Inhaltstyp; lokale Modelle, Extensions, Agents | nichts außerhalb der Geräte, auf denen sie läuft | Installation je Gerät, dann automatisch |
In der Praxis ergänzen sich die Wege. Die Logs liefern einen ersten Eindruck, die Befragung erklärt den Bedarf, die Messung auf dem Gerät liefert die Wahrheit. Wer nur den ersten Weg geht, unterschätzt die Nutzung regelmäßig, weil genau die unauffälligen Kanäle fehlen.
Ein Inventar in fünf Schritten
- Stichprobe wählen. Zehn bis fünfzig Geräte aus verschiedenen Abteilungen, Entwicklung eingeschlossen.
- Zwei Wochen messen. Eine Erkennung auf dem Gerät, die nur beobachtet und nicht eingreift. Patronus Monitor macht genau das und ist kostenlos.
- Ergebnis sortieren. Je Tool: Wie viele Geräte, wie oft, welche Art von Inhalt (Text, Code, Dokumente).
- Regel je Tool festlegen. Erlauben, erlauben mit Schwärzung sensibler Daten, blockieren. Für Agents zusätzlich: welche Aktionen brauchen eine Freigabe.
- Freigegebene Alternative anbieten. Ein blockiertes Tool ohne Ersatz führt zur Nutzung auf dem Privatgerät. Wer ChatGPT sperrt, sollte einen freigegebenen Weg anbieten.
Die Regeln setzt anschließend die Vollversion, Patronus Protect, auf dem Gerät durch: schwärzen, blockieren, protokollieren, je Tool und Datentyp.
Shadow AI und Schatten-IT: der Unterschied
Schatten-IT waren Server unter dem Schreibtisch und Cloud-Speicher mit Firmenkreditkarte. Sie war sichtbar, wenn man hinsah: eine Rechnung, ein Gerät, eine Domain. Shadow AI ist eine Funktion in einem Werkzeug, das schon da ist, ein Tab im Browser oder ein Prozess auf dem Laptop. Sie hinterlässt am Netzwerkrand kaum Spuren und wechselt das Werkzeug schneller, als eine Domain-Liste gepflegt werden kann. Deshalb funktioniert die Antwort von damals, Sperrlisten am Gateway, hier nicht mehr.
Quellen und weiterführende Beiträge
- Shadow AI: blinde Flecken im Security-Stack
- Warum Firewall, Proxy und CASB lokale KI-Tools nicht sehen
- Lösungsseite Shadow-AI-Erkennung
- EU AI Act, Artikel 4 (KI-Kompetenz): https://artificialintelligenceact.eu/de/article/4/
- Stand: 7. September 2026.
FAQ
Häufige Fragen
Was ist Shadow AI in einem Satz?
Shadow AI ist die Nutzung von KI-Tools, Modellen oder KI-Funktionen in einer Organisation ohne Wissen oder Freigabe der IT- und Security-Teams.
Welche Tools helfen dabei, Schatten-KI in einer Organisation zu entdecken?
Drei Wege: CASB- und Proxy-Logs (sehen SaaS-Domains, aber keine Prompts und keine lokalen Modelle), Umfragen und Lizenz-Audits (sehen, was Mitarbeiter zugeben) und Erkennung auf dem Endpoint (sieht die tatsächliche Nutzung inklusive lokaler Modelle, Extensions und Agents). Patronus Monitor geht den dritten Weg und ist kostenlos.
Ist Shadow AI verboten?
Nein. Shadow AI ist ein Zustand, kein Verstoß. Verstöße entstehen, wenn dabei personenbezogene Daten ohne Rechtsgrundlage an Dritte gehen (DSGVO), Geschäftsgeheimnisse abfließen oder KI-Systeme ohne die Pflichten des EU AI Act betrieben werden. Ziel ist Sichtbarkeit und dann eine Regel, nicht ein Verbot.
Warum sieht unser bestehender Security-Stack Shadow AI nicht?
Weil Firewall, Proxy und CASB Domains und Datenmengen sehen, aber keine Inhalte, keine Browser-Extensions, keine lokalen Modelle und keine Agent-Aktionen. Diese vier blinden Flecken lassen sich nur auf dem Gerät schließen.
Wie fange ich mit einem Shadow-AI-Inventar an?
Mit einer Messung statt einer Umfrage. Installiere eine Erkennung auf einer Stichprobe von Geräten, lass sie zwei Wochen laufen, und du hast eine Liste der tatsächlich genutzten Tools mit Häufigkeit. Danach entscheidest du je Tool: erlauben, erlauben mit Schwärzung, blockieren.