Schatten-KI mit ChatGPT, Claude und Gemini als Datenschutzrisiko

Deine Belegschaft nutzt längst KI. Die Frage ist nur, ob du davon erfährst, bevor es die Aufsichtsbehörde tut.

Executive Summary

Irgendwo in deinem Unternehmen sitzt gerade jemand, kopiert eine Kundenreklamation samt Namen, Adresse und Vertragsnummer in ChatGPT und tippt darunter: „Formulier das bitte freundlicher.“ Das ist kein böser Wille, das ist Effizienz. Und genau das macht Schatten-KI so tückisch: Sie wird von deinen fleißigsten Leuten betrieben, nicht von den faulsten.

Security-Experten schlagen Alarm. Bei einer Konferenz in Abu Dhabi warnte Kaspersky-Forscher Vladislav Tushkanov Anfang Oktober, dass Arbeitgeber oft schlicht keine Ahnung haben, welche KI-Systeme genutzt und welche Informationen dort verarbeitet werden. Die Risiken: Daten wandern in fremde Clouds, gehackte Privat-Accounts machen Firmengeheimnisse zur Beute, und über gefälschte KI-Apps und Browser-Erweiterungen kommt Schadsoftware gleich mit ins Haus.

Die Zahlen sind ernüchternd: Laut der aktuellen IBM-Studie zu Datenpannen war Schatten-KI 2026 an 43 Prozent der Sicherheitsvorfälle in betroffenen Unternehmen beteiligt – ein Jahr zuvor waren es noch 20 Prozent. 68 Prozent der betroffenen Firmen hatten keinerlei KI-Governance. Die gute Nachricht: Das Problem ist lösbar, und zwar nicht mit Verboten, sondern mit Transparenz und besseren Angeboten.

Worum geht es im Detail?

Schatten-KI ist die logische Fortsetzung der guten alten Schatten-IT. Früher war es die Dropbox, die sich die Vertriebsabteilung „nur mal kurz“ eingerichtet hat, oder die Excel-Datei mit Makros, von der das halbe Controlling abhing. Heute ist es der Browser-Tab mit ChatGPT, Claude oder Gemini, eingeloggt mit dem privaten Google-Konto. Der Unterschied: Eine Dropbox speichert Dateien. Ein Sprachmodell liest, versteht und verarbeitet sie – und je nach Tarif und Einstellung landet der Inhalt in Logs, in Aufbewahrungsfristen oder im Trainingsmaterial.

Warum passiert das überhaupt? Weil KI-Tools schlicht zu gut funktionieren. Eine Umfrage unter 1.250 Büroangestellten großer Unternehmen ergab 2026: Zwei Drittel nutzen KI bei der Arbeit, obwohl sie glauben, dass es verboten ist. 43 Prozent haben E-Mails ohne Freigabe in KI-Tools kopiert, 34 Prozent Kundendaten. Die Leute brechen die Regeln nicht aus Rebellion, sondern weil sie Deadlines haben und das offizielle Tool entweder fehlt oder sich bedient wie ein Behördenformular von 1997.

Abbildung 1: Was Beschäftigte ohne Freigabe in KI-Tools teilen – und wie stark der Anteil von Schatten-KI an Vorfällen wächst.

Erstens: der Datenabfluss. Jeder Prompt ist eine Datenübermittlung an einen Dienstleister – meist in den USA. Ohne Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, ohne geprüfte Rechtsgrundlage für den Drittlandtransfer und ohne Löschkonzept. Bei den Verbraucher-Tarifen der großen Anbieter ist die Nutzung von Chats für das Modelltraining je nach Einstellung erlaubt; wer das Opt-out nicht findet, spendet seine Vertragsentwürfe der Wissenschaft. Dazu kommen Aufbewahrungsfristen, Sicherheitsprüfungen durch menschliche Reviewer und gelegentlich gerichtliche Anordnungen, Chatverläufe aufzuheben.

Zweitens: der Account selbst. Ein privater KI-Account hat selten MFA, nie Conditional Access und ist mit derselben E-Mail-Adresse verknüpft, die schon in drei Leaks auftaucht. Wird er gekapert, liegt der komplette Chatverlauf offen: jede Gehaltsliste, jedes Angebot, jede „Fass mir das Board-Protokoll zusammen“-Anfrage. Ein Chatverlauf ist im Grunde das Tagebuch deines Unternehmens, nur ohne Schloss.

Drittens: Schadsoftware. Genau darauf zielen die Experten ab, wenn sie vor eingeschleppter Malware warnen. Anfang 2026 fanden Forscher mindestens 16 bösartige Chrome-Erweiterungen, die sich als praktische ChatGPT-Helfer ausgaben – Ordnerverwaltung, Prompt-Bibliothek, Chat-Suche – und dabei Sitzungs-Token abgriffen. Selbst die offizielle Claude-Erweiterung hatte im Januar eine Lücke, über die Chatverläufe ausgelesen werden konnten; Anthropic hat innerhalb kurzer Zeit gepatcht. Dazu kommt KI-generierter Code, den jemand ungeprüft aus dem Chatfenster in Produktion kopiert. Was soll schon schiefgehen?

Abbildung 2: Derselbe Prompt, zwei Wege – der Unterschied liegt im Login, im Vertrag und in der Protokollierung.

Die nächste Eskalationsstufe ist schon da: KI-Agenten. Die können nicht nur antworten, sondern handeln – E-Mails verschicken, Tickets schließen, Dateien verschieben. Die Regierung der Vereinigten Arabischen Emirate will agentische KI innerhalb von zwei Jahren in der Hälfte ihrer Bundesbehörden einsetzen. Deloittes KI-Chef Costi Perricos bringt das Problem auf den Punkt: Ein Agent kann nicht zur Verantwortung gezogen werden, also braucht jeder einen menschlichen Verantwortlichen. Ein Schatten-Agent mit Zugriff auf das Postfach eines Abteilungsleiters ist daher kein Tool mehr, sondern ein unbeaufsichtigter Praktikant mit Generalvollmacht.

Was sind Chancen? Was sind Risiken?

Fangen wir mit der unbequemen Wahrheit an: Schatten-KI ist auch ein Geschenk. Sie ist die ehrlichste Anforderungsanalyse, die du je bekommen wirst. Wenn die Buchhaltung heimlich Rechnungen mit Gemini auswertet, sagt dir das genau, wo der Schmerz sitzt und welcher Prozess nach Automatisierung schreit. Das hätte dir kein Workshop mit Moderationskarten verraten.

Wir hatten einen Mittelständler mit rund 400 Beschäftigten, der ChatGPT 2023 per Firewall gesperrt hatte. Stolz präsentierte die IT-Leitung das Ergebnis: null Zugriffe. Eine anonyme Umfrage ergab dann, dass rund 60 Prozent des Teams KI auf dem privaten Smartphone nutzten – inklusive Fotos von Konstruktionszeichnungen, „weil die Texterkennung so gut ist“. Die Sperre hatte das Problem nicht gelöst, sondern nur aus dem Firmennetz ins Mobilfunknetz verlagert. Dort sieht es garantiert niemand mehr. Glückwunsch.

Das Risiko ist dabei nicht nur theoretisch. Der Klassiker bleibt Samsung: 2023 kopierten Ingenieure vertraulichen Quellcode und interne Besprechungsnotizen in ChatGPT, um Fehler zu finden und Protokolle zu erstellen. Ergebnis: ein konzernweites Verbot und ein Lehrstück, das seither in jeder Security-Präsentation auftaucht. Drei Jahre später ist das Muster dasselbe, nur die Tools sind besser und die Nutzung ist flächendeckend.

Und dann ist da noch die Haftungsfrage. Wenn ein Vertriebler einen Angebotstext mit halluzinierter Rabattstaffel verschickt, haftet nicht die KI. Wenn eine Personalerin Bewerberdaten in ein privates Tool kippt, ist dein Unternehmen Verantwortlicher im Sinne der DSGVO – nicht OpenAI, nicht Google, nicht Anthropic. Die Aufsichtsbehörde fragt nicht, welches Modell es war. Sie fragt, wo deine Dokumentation ist.

Was müssen wir jetzt schon vorbereiten?

Premchand Kurup, CEO von ParamountAssure, beschreibt die Reihenfolge so: erst die nicht genehmigte Nutzung identifizieren, dann freigegebene Alternativen und klare Zugriffsgrenzen festlegen, und Sicherheit von Anfang an in die Abläufe einbauen. Das ist kein Hexenwerk, aber es braucht Disziplin. Vor allem in der Reihenfolge: Wer mit Verboten anfängt, treibt die Nutzung in den Untergrund und verliert genau die Sichtbarkeit, die er braucht.

Abbildung 3: Ein realistischer 90-Tage-Fahrplan – erst hinsehen, dann anbieten, dann regeln.

Sichtbar machen. Werte Proxy-, Firewall- und DNS-Logs aus. Mit Microsoft Defender for Cloud Apps oder einem anderen CASB siehst du, welche KI-Dienste wie oft aufgerufen werden und wie viel Daten hochgeladen wurden. Inventarisiere Browser-Erweiterungen über Intune oder deine Endpoint-Verwaltung. Und frag die Leute einfach – anonym. Du wirst staunen, wie ehrlich die Antworten sind, wenn niemand Angst vor einer Abmahnung hat.

Alternative liefern. Entscheide dich für mindestens ein Enterprise-Angebot mit AVV und ohne Training auf deinen Daten. Ob das Microsoft 365 Copilot, ChatGPT Enterprise, Claude Enterprise oder Gemini in Google Workspace ist, hängt von deinem Ökosystem ab. Entscheidend ist: Das freigegebene Tool muss mindestens so gut sein wie die Gratis-Version, sonst kehren die Leute nach einer Woche zurück zum Privat-Account. Ein abgespecktes Modell mit drei Klicks mehr ist keine Alternative, sondern ein Rückfall mit Ansage.

Leitplanken ziehen. Schreib eine KI-Richtlinie, die auf eine Seite passt. Niemand liest 40 Seiten, und wer sie liest, hat offensichtlich zu wenig zu tun. Definiere Datenklassen: Was darf in welches Tool? Öffentliche Informationen überall, interne Daten nur ins Enterprise-Tool, personenbezogene und streng vertrauliche Daten nur mit Freigabe. Setze Vertraulichkeitsbezeichnungen und DLP-Regeln technisch durch, zum Beispiel mit Microsoft Purview, das Uploads sensibler Inhalte in nicht freigegebene KI-Seiten im Browser blockieren kann. Erst dann sperrst du Gratis-Dienste.

Agenten regieren wie Personal. Snowflake-Manager Ahmed Hafez und Deloitte empfehlen, KI-Agenten wie eine digitale Belegschaft zu führen: Jeder Agent bekommt einen menschlichen Owner, minimale Berechtigungen, protokollierte Aktivitäten und einen Ausschalter, von dem jemand weiß, wo er ist. Neue Agenten testest du erst in einer kontrollierten Umgebung, bevor sie an Produktivdaten dürfen. Klingt nach Bürokratie, ist aber deutlich billiger als der Moment, in dem ein Agent fröhlich 2.000 Kunden eine Kündigungsbestätigung schickt.

Befähigen. Seit dem 2. Februar 2025 verpflichtet Art. 4 des EU AI Act Unternehmen, die KI einsetzen, für ausreichende KI-Kompetenz ihres Personals zu sorgen. Nutze das als Rückenwind: Schulungen, die zeigen, was in einen Prompt gehört und was nicht, und warum KI-Ergebnisse geprüft werden müssen. Kaspersky-Forscher Tushkanov empfiehlt genau das: Beschäftigte darin zu schulen, ausschließlich interne KI-Systeme für Firmeninformationen zu verwenden.

Häufig gestellte Fragen

Was versteht man unter Schatten-KI?

Schatten-KI bezeichnet den Einsatz von KI-Tools wie ChatGPT, Claude oder Gemini im Arbeitsalltag, ohne dass die IT oder der Datenschutz sie freigegeben hat. Typisch ist die Nutzung über private Accounts und kostenlose Tarife, bei denen das Unternehmen weder Verträge noch Kontrolle über die eingegebenen Daten hat.

Darf ich personenbezogene Daten in ChatGPT eingeben?

In einen privaten oder kostenlosen Account grundsätzlich nicht, weil dafür kein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO besteht und die Übermittlung in die USA nicht abgesichert ist. Mit einem Enterprise-Tarif samt AVV, ausgeschlossenem Modelltraining und dokumentierter Rechtsgrundlage kann es zulässig sein, sofern die interne Richtlinie es erlaubt.

Wie erkenne ich, welche KI-Tools im Unternehmen genutzt werden?

Am zuverlässigsten über die Auswertung von Proxy-, Firewall- und DNS-Logs mit einem Cloud Access Security Broker wie Microsoft Defender for Cloud Apps, ergänzt um ein Inventar der installierten Browser-Erweiterungen. Eine anonyme Umfrage zeigt zusätzlich die Nutzung auf privaten Geräten, die technisch nicht sichtbar ist.

Reicht es, ChatGPT und andere KI-Dienste per Firewall zu sperren?

Nein, eine reine Sperre verlagert die Nutzung meist auf private Smartphones und macht sie damit vollständig unsichtbar. Wirksam ist erst die Kombination aus einer gleichwertigen, freigegebenen Alternative, klaren Regeln und technischen Schutzmaßnahmen wie DLP.

Was verlangt der EU AI Act von Unternehmen, die KI-Tools einsetzen?

Seit dem 2. Februar 2025 müssen Unternehmen nach Art. 4 AI Act sicherstellen, dass ihr Personal über ausreichende KI-Kompetenz verfügt. Das umfasst praktisch Schulungen zum sicheren Umgang mit KI, zu ihren Grenzen und zu den Risiken bei der Eingabe sensibler Daten.