Zwei Drittel der Büroangestellten haben KI-Werkzeuge benutzt, die ihr Arbeitgeber nie freigegeben hat. Das ist die Schlagzeile aus PagerDutys Schatten-KI-Umfrage 2026, veröffentlicht im Juni, mit 1.250 Befragten außerhalb der IT bei Unternehmen mit über einer halben Milliarde Dollar Umsatz in den USA, Großbritannien, Australien und Japan. 88 Prozent haben Arbeitsinformationen in ein öffentliches Modell gegeben. 34 Prozent haben dort Kundendaten eingefügt.
Das sind die Zahlen, die alle zitieren. Die interessanten sind es nicht. Interessant sind die 72 Prozent, also der Anteil derer, die überzeugt sind, KI für ihre eigene Arbeit besser zu verstehen als das Team, das im Unternehmen für KI-Governance zuständig ist. Das ist kein Trotz und keine Schulungslücke. Das ist eine Steuerungsebene, die still die Autorität über ihren eigenen Gegenstand verloren hat, und die meisten Sicherheitsabteilungen haben es nicht bemerkt, weil noch nichts kaputtgegangen ist.
Die Richtlinie fehlt nicht
Die Reflexantwort auf jede Form von Schatten-IT lautet „schreibt eine Richtlinie“. 86 Prozent der Befragten arbeiten bereits in einem Haus, das eine KI-Richtlinie hat. Die Richtlinie existiert. Zwei Drittel sind trotzdem daran vorbeigegangen.
Eine zweite Zahl erklärt, warum, und sie gehört vor die Geschäftsführung: 81 Prozent glauben, dass KI-Richtlinien ungleich angewendet werden und für die Führungsebene lockerer gelten. Eine Regel, die Mitarbeitende als selektiv durchgesetzt wahrnehmen, wird nicht seltener befolgt. Sie wird vollständig umgangen, weil das Befolgen aufhört, nach Compliance auszusehen, und anfängt, nach „der Einzige sein, der sich daran hält“ auszusehen.
Das Verbergen selbst ist messbar. Die globale Studie von KPMG und der University of Melbourne, Trust, Attitudes and Use of Artificial Intelligence, befragte über 48.000 Menschen in 47 Ländern und fand, dass 57 Prozent ihre KI-Nutzung aktiv vor Vorgesetzten und Kolleginnen verborgen haben, teils inklusive der Ausgabe von KI-Ergebnissen als eigene Arbeit. Diese Studie stammt aus 2025 und ihre Feldphase liegt vor den PagerDuty-Zahlen, was die Entwicklung eher verschlimmert als entschärft: Das Verbergen war schon Normalität, bevor die aktuelle Werkzeuggeneration ankam.
Was tatsächlich das Haus verlässt
Aggregierte Prozentwerte verdecken die Form des Risikos. Es hilft, sich anzusehen, was eingefügt wird, warum es eingefügt wird, und was dabei mitreist, das niemand senden wollte.
| Was in ein öffentliches Modell eingefügt wird | Anteil | Der Grund dahinter | Was mitreist |
|---|---|---|---|
| E-Mails und Korrespondenz | 43 % | „Formulier das weniger genervt“ | Namen, Vertragskonditionen, der interne Streit weiter unten im Thread |
| Besprechungsnotizen und Zusammenfassungen | 40 % | „Zieh die Aufgaben da raus“ | Teilnehmende, noch nicht kommunizierte Entscheidungen, wer widersprochen hat |
| Kundendaten | 34 % | „Entwirf eine Antwort an diesen Kunden“ | Personenbezogene Daten ohne geprüfte DSGVO-Grundlage, Vertragsdetails |
| Finanzielle oder sonstige vertrauliche Informationen | 31 % | „Prüf mal diese Zahlen“ | Zahlen vor Veröffentlichung, Margen, Planungsannahmen |
Lesen Sie die dritte Spalte. Jeder dieser Fälle ist ein Mensch, der seine Arbeit gut machen will. Niemand in dieser Tabelle schleust etwas aus. Sie nehmen Reibung aus einer Aufgabe und benutzen dafür das schnellste verfügbare Werkzeug, genau wie 2013 mit privatem Dropbox und 2017 mit nicht freigegebenem Slack.
Tim Armandpour, CTO von PagerDuty, hat die Konsequenz klar benannt: Wenn über 30 Prozent der Mitarbeitenden vertrauliche Unternehmensdaten in öffentliche Modelle geben, wird Schatten-KI zu einem massiven Unternehmensrisiko. Mit dem Risiko hat er recht. Er beschreibt allerdings ein Symptom.
Diese Welle ist anders, und der Unterschied zählt
Frühere Schatten-IT bewegte Dateien. Jemand legte ein Dokument dorthin, wo das Unternehmen es nicht freigegeben hatte, und die Exposition war eine Kopie dieses Dokuments auf fremder Infrastruktur. Unangenehm, gut verstanden, mit Discovery und Migration behebbar.
Schatten-KI bewegt Urteilsvermögen. Die Person legt das Dokument nicht woanders ab. Sie lagert das Nachdenken über das Dokument an ein System aus, das niemand im Haus bewertet hat, und handelt anschließend nach dem Ergebnis. Die Ausgabe kommt in eine Entscheidung zurück, in eine Kundenantwort, in eine Zahl auf einer Folie, und trägt keinerlei Markierung, woher sie stammt.
Deshalb greift das übliche Schatten-IT-Vorgehen hier zu kurz. Eine unerlaubte Dateifreigabe lässt sich finden. Einen Absatz Argumentation, der über das Notebook eines Mitarbeiters um halb zwölf nachts in eine Besprechung gelangt ist, nicht.
Warum Blockieren das Problem unsichtbar macht statt kleiner
Modell-Endpunkte am Proxy zu blockieren ist die häufigste erste Reaktion und die wirkungsloseste. Die Arbeit muss trotzdem erledigt werden, also wandert das Verhalten auf das Telefon auf dem Schreibtisch, das nicht in Ihrem Netz ist und nie sein wird. Sie haben die Exposition nicht verringert. Sie haben Ihre eigene Telemetrie darüber gelöscht.
Das ist die Fehlerform, der ich in Reviews immer wieder begegne, und dieselbe, über die ich in Sicherheitskontrollen, die still versagen geschrieben habe: Eine Kontrolle, die keinen Nachweis über ihre Umgehung erzeugt, ist auf einem Dashboard nicht von einer Kontrolle zu unterscheiden, die funktioniert. Der Proxy-Block leuchtet grün. Der Verkehr lief über Mobilfunk.
Es gibt auch eine selbst verschuldete Variante, die man benennen sollte. Wenn das freigegebene Werkzeug spürbar schlechter ist als das nicht freigegebene, dann ist die Richtlinie eine Steuer auf gute Arbeit, und die besten Leute zahlen sie am wenigsten. Das ist der Mechanismus hinter den 72 Prozent. Sie irren sich nicht über das Werkzeug. Sie haben recht über das Werkzeug und unrecht über das Risiko, und das ist ein deutlich schwierigeres Problem als Unwissen.
Worauf ich in Reviews achte
Wenn ich die KI-Exposition eines Hauses beurteilen soll, lese ich die Richtlinie zuletzt. Diese Fragen fördern in einer Stunde mehr zutage als eine Richtlinienprüfung in einer Woche:
- Ist das freigegebene Werkzeug tatsächlich gut? Nicht konform. Gut. Wenn die freigegebene Option eine Generation hinter dem liegt, was in einem Browser-Tab erreichbar ist, ist die Richtlinie Dekoration, und die Zahl, die Sie senken wollen, bewegt sich nicht.
- Sehen Sie den Datenverkehr zu Modell-Endpunkten überhaupt? Die meisten Organisationen können mir nicht sagen, welcher Anteil des Verkehrs im letzten Monat an KI-APIs ging. Was Sie nicht messen können, macht jede weitere Zahl im Gespräch zu einem Gefühl.
- Unterscheidet die Richtlinie Datenklassen, oder ist sie ein pauschales Verbot? Ein pauschales Verbot erzwingt eine Alles-oder-nichts-Entscheidung, und die Leute wählen „alles“, weil die Aufgabe vor ihnen real und die Regel abstrakt ist. „Niemals Kundendatensätze einfügen“ kann man befolgen. „Niemals KI benutzen“ nicht.
- Gibt es einen straffreien Weg zur Offenlegung? Wenn das Eingeständnis, ein nicht freigegebenes Werkzeug zu benutzen, irgendeine Folge hat, endet die Offenlegung, und Ihr Bild der Exposition friert auf dem Stand ein, den Sie hatten, bevor die Leute vorsichtig wurden.
- Wem gehört das Konto? Sobald ein Assistent an ein Postfach oder ein Repository angebunden ist, handelt er auf der Berechtigung einer Person und erbt deren Befugnisse, also genau das Muster aus wucherndem Non-Human-Identity-Bestand. Ein privates ChatGPT-Konto ist eine Sache. Ein privates Konto mit einer OAuth-Freigabe auf das Firmenpostfach ist eine unverwaltete privilegierte Identität.
Der Punkt, an dem daraus ein Vorfall wird
Der Chat ist vergleichsweise harmlos. Ein Mensch fügt ein, liest, entscheidet. Die Exposition betrifft die Vertraulichkeit, und Vertraulichkeitsverletzungen sind langsam, teuer und überlebbar.
Schatten-KI wird zu etwas anderem, sobald aus dem Chatfenster ein Agent wird. Jemand entdeckt, dass sich der Assistent an das Postfach, das Ticketsystem oder das Code-Repository anbinden lässt, und aus dem Einfügen wird eine Handlung, die automatisch auf nicht vertrauenswürdige Eingaben hin erfolgt. In diesem Moment hört jeder Befund aus den OWASP LLM Top 10 auf, ein Anwendungssicherheitsthema zu sein, und wird ein betriebliches, denn das Modell ist jetzt ein Stellvertreter mit echten Befugnissen, der Anweisungen aus Inhalten entgegennimmt, die er eigentlich nur lesen sollte. Genau das ist das Confused-Deputy-Problem, ausgeführt auf einer Identität, die Ihr IAM-Team nie gesehen hat.
Auch das Werkzeug selbst gehört zur Angriffsfläche, und das nicht hypothetisch. Ich habe Anfang des Jahres über ein KI-Coding-Tool geschrieben, das seine Nutzer profiliert hat. Wer seine Werkzeuge nach eigenem Ermessen wählt, trifft eine Lieferantenrisiko-Entscheidung ohne Lieferantenrisiko-Prozess dahinter.
Was ich in den ersten dreißig Tagen tun würde
- Messen, bevor Sie regulieren. Ziehen Sie DNS- und Proxy-Logs für Modell-Endpunkte und erzeugen Sie eine Zahl: Welcher Anteil der Belegschaft hat im letzten Monat einen KI-Dienst berührt? Setzen Sie noch nichts durch. Sie brauchen die Ausgangslage dringender als den schnellen Erfolg.
- Liefern Sie eine wirklich gute freigegebene Option. Das ist eine Beschaffungsentscheidung, und sie entscheidet darüber, ob alle nachfolgenden Kontrollen funktionieren. Ein brauchbares freigegebenes Werkzeug holt den Großteil der 66 Prozent ganz ohne Durchsetzung zurück.
- Klassifizieren statt verbieten. Drei Stufen genügen: verlässt das Haus nie, in Ordnung im freigegebenen Werkzeug, in Ordnung überall. Menschen befolgen Regeln, die sie ohne Juristen anwenden können.
- Machen Sie Offenlegung kostenlos. Sagen Sie ausdrücklich und schriftlich, dass die Meldung eines nicht freigegebenen Werkzeugs keine Folgen hat. Und halten Sie sich beim ersten Testfall daran, denn von diesem Fall werden alle hören.
- Ziehen Sie die harte Grenze bei Agenten, nicht beim Chat. Text in ein Modell einzufügen ist eine Frage des Datenumgangs. Einem Modell ein Token zu geben, mit dem es in Ihren Systemen handeln kann, ist eine Frage der Zugriffssteuerung und gehört in dieselbe Prüfung wie jeder andere privilegierte Zugriff. Das gestufte Vorgehen aus dem 90-Tage-Zero-Trust-Plan passt hier unverändert: erst Identität, dann Autorisierung, dann die spannenden Teile.
Für deutsche Organisationen gibt es einen zweiten Grund, beim Messen anzufangen: Dokumentierte Kontrolle über Informationsflüsse ist genau das, was NIS2-Prüfungen sehen wollen, und der Mittelstand ist auf dieses Gespräch weitgehend noch nicht vorbereitet. „Wir blockieren das“ überlebt die Nachfrage nach dem Nachweis nicht.
Die unbequeme Schlussfolgerung
Die 72 Prozent haben vermutlich recht. In vielen Häusern versteht die Person, die täglich mit einem Modell arbeitet, dessen Verhalten tatsächlich besser als das Gremium, das es steuert, weil sie tausende Interaktionen Erfahrung hat und das Gremium ein Hersteller-Briefing und ein Risikoregister.
Recht über das Werkzeug zu haben, heißt nicht, recht über das Risiko zu haben. Es heißt aber, dass die klassische Aufstellung, in der das steuernde Gremium es am besten weiß und die Nutzenden befolgen, eine Situation beschreibt, die es nicht mehr gibt. Governance, die langsamer ist als die Arbeit, wird jedes Mal umgangen, und wer sie am wirksamsten umgeht, sind genau die Leute, die Sie am wenigsten verlieren wollen.
Die Aufgabe besteht nicht darin, sie zu erwischen. Sie besteht darin, den freigegebenen Weg zum schnellen Weg zu machen und das Durchsetzungsbudget auf den engen, wirklich gefährlichen Fall zu richten: ein Modell mit einer Berechtigung, die handeln kann. Alles Übrige ist ein Datenproblem, das sich lösen lässt, indem man nützlich ist statt streng.
Wenn Sie eine Außensicht darauf wollen, wo in Ihrem Haus tatsächlich KI benutzt wird und welcher Teil davon echtes Risiko ist, fragen Sie ein Review an. Ich arbeite in KI- und IT-Sicherheitsmandaten mit Wurzeln in Netzwerksicherheit, Identität und Compliance.