TL;DR
Schatten-KI ist im DACH-Mittelstand die Regel, nicht die Ausnahme: 71% der Wissensarbeiter tippen Geschäftsdaten in ChatGPT, Claude oder Gemini — meistens ohne IT-Freigabe. Wir liefern eine 5-Schritt-Audit-Vorlage mit Purview-KQL, PowerShell und Egress-Filtern. Danach: Private-AI-Sprint statt Verbot, weil Verbote ohne Alternative die Nutzung nur in den Privat-Browser verschieben.
Warum 71% kein Ausreißer ist, sondern der neue Default
71% klingt nach Clickbait. Es ist keiner. Die Springer-Studie 2026 zum Mittelstand DACH hat saubere Stichprobe (n>1.200, Wissensarbeiter, anonymisiert) und deckt sich mit dem, was wir in unseren Audits sehen. In den letzten zwölf Monaten haben wir bei sieben Industriekunden zwischen 800 und 6.000 Mitarbeiter den Egress-Scan gemacht. Die Bandbreite an Schatten-KI-Nutzung lag zwischen 58% und 84%. Der Median: 73%.
Was härter trifft: 38% der heimlichen Nutzer laden sensible Geschäftsdaten in öffentliche LLM-Endpoints. Vertragsentwürfe, Bewerber-Lebensläufe, Code mit internen API-Keys, einmal sogar eine M&A-Term-Sheet-Liste, die ein Strategie-Manager „nur kurz zusammenfassen lassen“ wollte. Die meisten Unternehmen wissen davon nichts, weil sie es nie gemessen haben. Private Konten ersetzen, nicht nur verbieten: Schatten-KI auf der eigenen Plattform.
Daneben steht die Bitkom-Zahl 2026: 41% der deutschen Unternehmen nutzen KI aktiv, aber nur 21% haben eine formale Strategie. Diese 20-Prozentpunkte-Lücke ist nicht Zufall. Sie ist exakt der Korridor, in dem Shadow AI als Schatten-IT-Nachfolger wächst. Wer im Vorstand sagt „wir machen KI noch nicht“, liegt entweder falsch oder hat einen Audit-Blindspot.
Was Shadow AI vom üblichen Shadow IT unterscheidet
Shadow IT war handhabbar: ein Dropbox-Account hier, ein Trello-Board dort. Datenklassen-Mapping, DLP-Regel, fertig. Shadow AI hat drei Eigenschaften, die das alte Spielbuch brechen.
Erstens: kein Persistenz-Footprint. Wenn ein Mitarbeiter 40 Seiten Lastenheft in ChatGPT pastet, gibt es danach keine Datei in der Cloud, die man wiederfinden könnte. Der Datenabfluss ist transient und liegt nur im LLM-Provider-Log.
Zweitens: Wert-pro-Aktion ist hoch. Ein Mitarbeiter, der ChatGPT als Sparringspartner für ein Angebot nutzt, spart real zwei Stunden. Der Tausch — zwei Stunden gegen Datenleck-Risiko — wird subjektiv positiv bewertet, weil das Risiko abstrakt bleibt. Verbote bekämpfen damit Effizienz, nicht Bequemlichkeit.
Drittens: die Tools sind gut. Wir haben in unserer Erfahrung noch keinen Mitarbeiter erlebt, der nach Audit-Gespräch gesagt hat „ich höre auf, KI zu nutzen“. Alle sagten: „Gebt mir was, das die IT erlaubt.“ Das ist die Lösungsspur.
Die 5-Schritt-Audit-Vorlage
Wir machen den Audit immer in dieser Reihenfolge — technisch zuerst, Mensch zuletzt. Grund: wenn man die Mitarbeiter befragt, bevor man die harten Zahlen hat, bekommt man entweder Verteidigungsmodus oder Untertreibung. Mit Zahlen in der Hand wird das Gespräch sachlicher.
Schritt 1: Network Egress Scan
Erste Frage: wer redet überhaupt mit welchem LLM-Provider, in welchem Volumen, aus welchem Subnet. Quelle sind die Firewall-Logs der letzten 30-90 Tage, idealerweise via Microsoft Defender for Cloud Apps, Cisco Umbrella oder Zscaler ZIA. Die Endpoint-Liste, die wir scannen:
Wichtig: wenn DSGVO-Strenge hoch ist (Betriebsrat involviert, sensible Branche), pseudonymisiert auf Subnet- statt User-Ebene auswerten. Die Aggregat-Zahl reicht für die Vorstandsentscheidung. Personenbezug brauchen wir erst, wenn ein konkreter Sicherheitsvorfall vorliegt.
Für M365-Kunden mit Defender XDR liefert Microsoft Purview die saubersten Daten. Beispiel-Query, die wir bei jedem Audit als Startpunkt nehmen:
CloudAppEvents
| where Timestamp > ago(30d)
| where ApplicationName in ("ChatGPT", "Claude", "Gemini", "Perplexity")
| extend FileSize = todouble(ObjectName)
| summarize Events = count(),
UniqueUsers = dcount(AccountObjectId),
TotalBytes = sum(FileSize)
by ApplicationName, bin(Timestamp, 1d)
| order by Events descOutput ist die Heatmap: welcher Provider, wie viele unique User, wie viel Volumen pro Tag. Bei einem unserer Mittelständler (1.400 MA) waren das 312 unique User auf ChatGPT in 30 Tagen — bei einer offiziell genehmigten Nutzerzahl von 0.
Schritt 2: SaaS-Inventory und OAuth-Apps
Schatten-KI versteckt sich nicht nur in Browser-Tabs. Sie sitzt als OAuth-App im M365- oder Google-Workspace-Tenant und liest Kalender, Mails und Drive mit. Otter.ai zum Beispiel hängt sich als Bot in Teams-Meetings, transkribiert alles und speichert es auf US-Servern. Fireflies, Loom AI, Grammarly Business — gleicher Mechanismus.
PowerShell-Befehl, mit dem wir M365-Enterprise-Apps auf KI-Bezug filtern:
# Liste alle Enterprise Apps mit AI-Bezug
Connect-MgGraph -Scopes "Application.Read.All","Directory.Read.All"
Get-MgServicePrincipal -Filter "Tags/any(t:t eq 'WindowsAzureActiveDirectoryIntegratedApp')" `
-All | Where-Object {
$_.DisplayName -match "(?i)(chatgpt|claude|gemini|perplexity|fireflies|otter|grammarly|copilot|jasper|notion ai|cursor|windsurf)"
} | Select-Object DisplayName, AppId, SignInAudience, PublisherName |
Export-Csv -Path "shadow_ai_apps.csv" -Encoding UTF8 -NoTypeInformationDazu Google-Workspace via Admin-Console → Security → API-Controls → App-Access-Control. Browser-Extensions auf Endpoints bekommen wir über Intune oder JAMF: Liste der installierten Erweiterungen aggregieren, gegen eine Whitelist-Match-Liste laufen lassen.
In unserer Erfahrung tauchen hier 8-15 KI-Tools auf, von denen die IT-Leitung im Schnitt drei kannte.
Schritt 3: Endpoint-Scan
Desktop-Apps sind die dritte Schicht. ChatGPT-Desktop, Claude-Desktop, Cursor und Windsurf installieren sich pro User und tauchen nicht im Egress-Scan auf, wenn der Traffic über mobiles Tethering läuft. Lokale Modelle wie Ollama oder LM Studio sind technisch unkritisch (Daten verlassen das Gerät nicht), aber sie zeigen, wer im Unternehmen aktiv mit KI experimentiert — das sind die Multiplikatoren, die man später in den Pilot holt.
Aggregierte Browser-Bookmarks-Auswertung über das MDM ist möglich, in unserer Erfahrung aber meistens überzogen. Egress + SaaS + Survey reichen für das Lagebild.
Schritt 4: Anonyme Mitarbeiter-Befragung
Erst jetzt sprechen wir mit den Menschen. Anonym, kurz, ehrlich. 8-10 Fragen reichen. Was wir fragen:
Anonymität muss glaubhaft sein. Wir nutzen typischerweise einen externen Survey-Provider (LimeSurvey self-hosted oder Tally), keine Microsoft Forms — letzteres verbinden Mitarbeiter automatisch mit Auswertbarkeit durch IT.
Realistisch: 60-80% antworten ehrlich, 30-50% nutzen mehr KI, als die IT vermutet hat. Wenn die Survey-Zahl unter den Egress-Zahlen liegt, war die Befragung nicht anonym genug.
Schritt 5: Sensitive-Data-Exposure-Assessment
Letzter Schritt: was ist tatsächlich abgeflossen. Microsoft Purview DLP kann auf LLM-Endpoints scannen, wenn die DLP-Policies entsprechend konfiguriert sind. Datenklassen, die wir prüfen:
- PII (Personalnummern, Gehaltsdaten, Bewerberprofile)
- Vertragsentwürfe und juristische Korrespondenz
- Quellcode mit Secrets oder internen API-Endpoints
- Finanzdaten (Forecasts, M&A-Material, Kalkulationen)
- Kundenspezifische Daten (Lieferantenlisten, Konditionen)
Audit-Trail mindestens 6 Monate retrospektiv. Wenn die DLP nicht früher aktiv war, ist Schritt 5 begrenzt — dann wird er zum Baseline-Start für die Zukunft, nicht zur Rückwärts-Analyse.
Ergänzend brauchen wir einen Egress-Filter, der zukünftiges Routing kontrolliert. Caddy als Reverse Proxy ist die kleinste Lösung, die wir bei Mittelstandskunden im Werk gesehen haben:
# Caddy reverse proxy: chat.openai.com -> private-ai.pexon.local
chat.openai.com {
redir https://private-ai.pexon.local{uri} permanent
log {
output file /var/log/shadow-ai-blocks.log
format json
}
}
claude.ai {
redir https://private-ai.pexon.local{uri} permanent
log {
output file /var/log/shadow-ai-blocks.log
}
}Auf Enterprise-Niveau läuft das natürlich nicht über Caddy, sondern über Zscaler-URL-Categories oder Defender-Cloud-App-Policies. Das Muster ist dasselbe: Redirect statt Block, mit transparentem Hinweis, wohin die Nutzer geleitet werden.
Was die Zahlen wert sind, wenn ein Breach passiert
IBMs Cost of a Data Breach Report 2025 hat erstmals Shadow AI als eigene Risiko-Kategorie ausgewiesen. Ergebnis: Organisationen mit Shadow-AI-Nutzung zahlen pro Breach im Schnitt 670.000 USD mehr als Vergleichsfälle ohne. 97% der AI-bezogenen Breaches passierten in Unternehmen ohne AI-Access-Controls. Das ist die Argumentationsbasis für den Vorstand, wenn der Audit-Befund auf dem Tisch liegt.
Für deutsche Geschäftsführer ist die Bitkom-Zahl von 285 Milliarden Euro KI-bezogenem Kriminalitätsschaden pro Jahr in Deutschland der zweite Anker. Ein einziger Reputationsschaden durch geleakte M&A-Daten reicht, um den Private-AI-Sprint mehrfach zu refinanzieren.
Verbot oder Alternative — die einzige Frage, die zählt
Wir sehen drei Reaktionsmuster, wenn der Audit-Befund vorliegt. Zwei davon scheitern.
Muster A: hartes Verbot per Policy. „Ab heute ist die Nutzung von ChatGPT untersagt.“ Was passiert: Mitarbeiter wechseln auf Privat-Browser, Tethering oder Smartphone. Der Egress-Scan zeigt nach drei Monaten weniger Office-Traffic, aber die Befragung zeigt unveränderte Nutzungsraten. Das ist Sicherheitstheater.
Muster B: technischer Block ohne Replacement. DNS-Filter und DLP-Block, aber kein interner Ersatz. Resultat: Tool-Frust, sinkende Produktivität in den KI-affinen Teams, Abwanderung der Multiplikatoren. Schatten-KI verschwindet aus den Logs, taucht aber bei Coffee-Talks weiter auf.
Muster C: Audit plus Private-AI-Sprint. Der einzige Pfad, der in unserer Erfahrung trägt. Schatten-KI wird offiziell adressiert, gleichzeitig steht eine genehmigte Alternative bereit. Innerhalb von 8-12 Wochen sind 70-90% der Nutzung auf den internen Pfad migriert.
Private-AI-Sprint: was wir bauen
Zwei Architektur-Pfade, je nach Compliance-Niveau:
Beide Pfade kombinieren wir mit drei Komponenten: SSO über Entra ID oder Keycloak, Audit-Logging in eine interne Datenbank, und Policy-Enforcement (welche Datenklassen dürfen rein, welche nicht). Bei den größeren Mittelständlern bauen wir zusätzlich einen RAG-Layer, der die KI mit internen Wissensquellen verbindet — damit wird der interne Ersatz nicht nur sicherer, sondern auch besser als die externe Variante.
Pexon-Sprint-Format: 4 Wochen Setup, 25-50k EUR, abhängig von Pfad und Integrationstiefe. Schulung der Multiplikatoren und Policy-Update laufen parallel zum technischen Setup.
Anti-Patterns, die wir bei jedem zweiten Kunden sehen
- ChatGPT-Verbot per Policy ohne Alternative — verlagert die Nutzung in den Privat-Browser.
- Audit ohne Sprint-Plan danach — stigmatisiert die Mitarbeiter und macht den nächsten Audit unmöglich.
- DLP-Block ohne Replacement-Tool — erzeugt Frust und Workarounds via Smartphone-Tethering.
- Mitarbeiter-Befragung über internes Microsoft Forms — falsche Antworten durch wahrgenommene Auswertbarkeit.
- M365-Copilot-Rollout ohne Private-AI-Pfad für sensible Daten — Copilot ist gut für Office-Standardfälle, aber kein Ersatz für Code-Generation oder vertrauliche Analysen.
- Audit nur einmalig statt quartalsweise — die Shadow-AI-Landschaft ändert sich monatlich, neue Tools tauchen permanent auf.
FAQ
1. Was ist Schatten-KI und wie häufig ist sie wirklich?
Schatten-KI bezeichnet die Nutzung generativer KI-Tools durch Mitarbeiter ohne formale IT-Genehmigung. Laut Springer-Studie 2026 betrifft das 71% der Wissensarbeiter im DACH-Mittelstand, in unseren eigenen Audits liegt der Median bei 73%. Die 38% der Nutzer, die sensible Daten in öffentliche LLMs laden, sind das eigentliche Risiko.
2. Wie auditiere ich Schatten-KI, ohne meine Mitarbeiter gegen mich aufzubringen?
Reihenfolge ist entscheidend: erst technisch (Egress, SaaS, Endpoint), dann anonym befragen. Die Befragung muss über externe Tools laufen, nicht über interne M365-Formulare. Vorstandsmandat einholen, Befund nicht zur Disziplinierung nutzen, sondern als Grundlage für die Alternative. In unserer Erfahrung kippt die Stimmung nur dann, wenn das Audit als Schuldsuche kommuniziert wird.
3. Was kostet ein Private-AI-Sprint als Lösung?
Unser Standard-Sprint liegt zwischen 25.000 und 50.000 EUR für 4 Wochen Setup, abhängig vom gewählten Pfad (Azure OpenAI oder Self-hosted) und der Integrationstiefe (SSO, RAG, bestehende Tool-Landschaft). GPU-Infrastruktur für Self-hosted-Modelle kommt zusätzlich, lässt sich aber meist über bestehende On-Prem-Hardware oder Hetzner-GPU-Instanzen abdecken.
4. ChatGPT Enterprise oder self-hosted Open-Source — was nehmen wir?
ChatGPT Enterprise via Azure OpenAI ist der schnellere Weg für M365-Kunden mit mittlerem Compliance-Niveau. EU-Region, kein Provider-Training, SSO inklusive. Self-hosted Llama 3.3 oder Qwen 2.5 ist der Pfad für strenge Regulierung (BaFin, KRITIS, Verteidigung) und für Kunden, die langfristige Modell-Unabhängigkeit wollen. Wir empfehlen meist eine Kombination: Azure OpenAI als Mainstream-Pfad, Self-hosted für klar definierte Hochsicherheits-Use-Cases.
5. Reicht eine Policy oder brauche ich technische Kontrolle?
Policy ohne Technik scheitert. Technik ohne Policy auch. Was funktioniert: Policy plus DLP-Enforcement plus interner Ersatz plus quartalsweiser Audit. Die Policy macht Erwartungen klar, die Technik verhindert die kritischsten Datenklassen-Abflüsse, der Ersatz nimmt den Druck raus, und der Audit hält das System ehrlich.
CTA
Wenn dein Audit-Befund auf dem Tisch liegt oder du ihn überhaupt erst aufsetzen willst — wir machen den 5-Schritt-Audit in 2 Wochen und legen den Private-AI-Sprint direkt dahinter.
Private-AI-Sprint anfragen — Schatten-KI in 4 Wochen ablösen
