Schatten-IT erkennen

• Schatten-IT bezeichnet Hardware, Software und Cloud-Dienste, die Mitarbeitende ohne vorherige Freigabe der IT-Abteilung einsetzen.

• Private KI-Anwendungen wie ChatGPT zählen als Schatten-KI zu einer aktuellen und wachsenden Form der Schatten-IT.

• Laut einer Bitkom-Untersuchung aus dem Oktober 2025 geht in vier von zehn Unternehmen die Geschäftsführung von einer solchen privaten KI-Nutzung aus.

• Zu den größten Risiken von Schatten-IT zählen Sicherheitslücken, Verstöße gegen die Datenschutz-Grundverordnung (DSGVO) und der Verlust von Zertifizierungen.

• Eine systematische Identifizierung genutzter Tools, klare IT-Richtlinien und geprüfte Alternativen senken das Risiko.

• Zeitdruck: Genehmigungsprozesse der IT-Abteilung dauern oft zu lange für den Arbeitsalltag.

• Bequemlichkeit: Private Tools sind meist einfacher zu bedienen als freigegebene Unternehmenslösungen.

• Fehlende Alternativen: Für viele Anwendungsfälle bietet die IT-Abteilung keine passende, freigegebene Lösung an.

• Unklare Richtlinien: Vielen Mitarbeitenden ist nicht bewusst, welche Tools erlaubt sind und welche nicht.

• Private Cloud-Speicher: etwa die Verwendung von Dropbox oder Google Drive für Firmendokumente

• Messenger-Dienste: betriebliche Kommunikation außerhalb der offiziellen Unternehmenskanäle

• Private KI-Tools: Verwendung von z.B. ChatGPT für Textentwürfe, Zusammenfassungen oder Recherche

• Bring Your Own Device, kurz BYOD: Nutzung privater Endgeräte für die Arbeit, aber ohne zentrale Verwaltung durch die IT-Abteilung

1. Discovery: Ein Inventar erfasst alle im Unternehmen genutzten Tools und Cloud-Dienste.
2. Bewertung: Jedes gefundene Tool wird nach Sicherheits- und Compliance-Kriterien eingeordnet.
3. Richtlinien: Klare IT-Richtlinien regeln, welche Tools erlaubt sind und welche nicht.
4. Alternativen: Geprüfte, freigegebene Lösungen ersetzen riskante Schatten-IT-Tools.

Ihre Maßnahmen gegen Schatten-IT sollten diesen vier Schritten folgen.

Praxisbeispiel für die Aufdeckung von Schatten-IT bzw. -KI

1. Die Ausgangslage (Schatten-KI): Ein:e Mitarbeiter:in im Vertrieb möchte ein 30-seitiges Pflichtenheft für ein Angebot schnell zusammenfassen. Um Zeit zu sparen, kopiert er:sie den Text inklusive intern kalkulierter Preise und Kundennamen in ein privates, im Unternehmen nicht freigegebenes KI-Tool im Browser.
2. Überwachung und Blockade durch den CASB: Der CASB sitzt als Kontrollinstanz zwischen dem Firmennetzwerk und den Cloud-Diensten. Er registriert den Datenstrom zu einer unautorisierten Web-Adresse und analysiert den Inhalt. Der CASB erkennt, dass vertrauliche Unternehmensdaten an eine nicht zertifizierte Cloud gesendet werden sollen, nämlich die Cloud der KI. Er stoppt den Upload automatisch und zeigt dem:der Mitarbeiter:in einen Hinweis an, dass dieser Dienst für sensible Daten gesperrt ist.
3. Prüfung durch den Zero-Trust-Ansatz: Selbst wenn der:die Mitarbeiter:in im Homeoffice arbeitet und bereits per Passwort und 2FA im Firmennetz angemeldet ist, vertraut das System der Anfrage nicht automatisch. Die Zero-Trust-Architektur bewertet jede einzelne Verbindung neu: Ist das Laptop-Betriebssystem aktuell? Befindet sich das Gerät an einem bekannten Ort? Darf dieser Account auf diese Daten zugreifen und sie nach außen senden? Da der Ziel-Cloud-Dienst als nicht vertrauenswürdig eingestuft ist, kommt die Verbindung unabhängig vom Standort oder Netzwerk des Accounts gar nicht erst zustande.
4. Der Mehrwert für die IT-Sicherheit: Im Dashboard des CASB sieht das IT-Sicherheitsteam aggregierte Auswertungen: Es wird sichtbar, dass in den vergangenen Wochen 40 Mitarbeiter:innen versucht haben, ähnliche private KI-Tools für Textzusammenfassungen zu nutzen. Statt KI pauschal zu verbieten, erkennt die Geschäftsführung den Bedarf, schafft eine datenschutzkonforme Enterprise-KI-Lösung an und schult das Team gezielt.