Was ist Schatten-KI? Definition, Risiken und Beispiele - LastPass

Leitfaden

Schatten-KI: die nicht genehmigte KI in Ihrem Tech-Stack

Nur 27 % der Unternehmen haben eine KI-Governance, die sie aktiv durchsetzen können – und das, obwohl KI in 92 % der Unternehmen bereits aktiv genutzt wird. Unser Leitfaden zeigt, wie kleine IT-Teams die Lücke schließen.

Kostenlosen Bericht lesen

Genutzt von über 100.000 Unternehmen weltweit· Zertifiziert nach SOC 2 Typ II, ISO 27001, ISO 27701 · 4,5/5 bei G2

Statistiken: Was die Daten zeigen

Quelle: Bericht von LastPass zum Stand der KI- und SaaS-Sicherheit aus dem Jahr 2026 Ergebnisse basierend auf der Auswertung einer Befragung von 412 IT-Verantwortlichen, des Login-Verhaltens von 450.784 Benutzern in 20.631 Unternehmen und der App-Nutzung in 15.907 Unternehmen.

92 % der IT-Verantwortlichen konstatieren eine aktive Nutzung von KI in ihrem Unternehmen.

Warum das wichtig ist: LastPass-Umfragedaten zeigen: KI ist flächendeckend angekommen, doch bei ihrer Regulierung hapert es noch. Der Bericht zeigt, wie die Governance-Lücke durch die Unternehmensgröße und das Ausmaß der KI-Nutzung beeinflusst wird. 

46 % der Unternehmen halten ihr Risiko durch Schatten-KI für moderat bis hoch.

Warum das wichtig ist: Zwar stuft fast die Hälfte ihr Risiko durch Schatten-KI als moderat bis hoch ein, aber nur 22 % haben Tools, mit denen sie die KI-Nutzung aktiv verfolgen oder protokollieren können. Es fehlen also zur eigenen Risikoeinschätzung passende Kontrollmechanismen.

56 % der IT-Verantwortlichen haben Bedenken, dass Zugangsdaten in KI-Prompts eingegeben werden könnten.

Warum das wichtig ist: Wenn in einer Sitzung außerhalb des Monitorings Zugangsdaten in einen KI-Prompt eingegeben werden und diese Sitzung kompromittiert wird, können Angreifer mit den Zugangsdaten in weitere Unternehmenssysteme eindringen.

Warum Schatten-KI strukturell schwerer zu regulieren ist als Schatten-IT

Klassische Schatten-IT hinterlässt Spuren. Ein Mitarbeiter installiert eine nicht genehmigte Software, die dann von der Endgeräteerkennung entdeckt wird. Oder das Netzwerk-Monitoring registriert, dass sich jemand mit einem unbekannten Gerät verbindet.   

Schatten-KI funktioniert anders. Die Tools mit den höchsten Nutzungsraten wie ChatGPT (in 64 % der Unternehmen in Gebrauch) und Claude (in 39 % der Unternehmen) sind browserbasiert. 

Die einzige Spur, die zu ihnen führt, ist ein Browser-Login, ausgeführt mit persönlichen Zugangsdaten oder denen des Unternehmens. 

Und darin liegt das Problem. Parallel zu vertrauenswürdigen Ereignissen existieren diese Logins in einem für Analysetools toten Winkel.  

Die Sichtbarkeitslücken ziehen weitere Effekte nach sich: 

  • Sensible Daten gelangen in KI-Tools. 68 % der von LastPass befragten IT-Verantwortlichen nennen genau das als ihre Hauptsorge. 
  • Passwörter und Zugangsdaten landen in KI-Tools – ein weiteres Problem, das 56 % der Befragten nennen. 
  • KI-Tools greifen auf Unternehmenssysteme zu. Über nicht genehmigte Aktionen machen sich 61 % der Befragten Gedanken. 

Schatten-KI wird also über ganz normale Logins und Browsersitzungen aktiviert. Deshalb beginnt eine gute KI-Governance damit, sich dort Einblick zu verschaffen, wo der Zugriff geschieht. Ohne diesen Einblick kann Ihr Unternehmen nicht auf die Exposition seiner Daten und neue Gefahren wie Prompt Injections reagieren. 

Was sind die Trends in der KI-Governance in echten Unternehmen im Jahr 2026? Der Bericht von LastPass zum Stand der KI- und SaaS-Sicherheit aus dem Jahr 2026 gibt Auskunft.  

Zahlen, Fakten, Zusammenhänge

Bericht herunterladen

Wie Schatten-KI-Erkennung funktioniert und warum die meisten Ansätze dabei scheitern

Die klassischen Ansätze, um Schatten-KI aufzuspüren, haben eines gemeinsam: Die browserbasierte KI-Nutzung entgeht ihnen.

  • Mitarbeiter sollen angeben, welche KI-Tools sie nutzen. Solche Befragungen führen nicht unbedingt zu korrekten Zahlen: Viele Benutzer nehmen beispielsweise die KI-Schreibfunktion von Grammarly oder die Q&A-Funktion in Notion AI nicht als ein eigenes KI-Tool wahr.  
  • Netzwerk-Monitoring und Endgeräteverwaltung können klassische Schatten-IT erkennen: Technische Spuren in Form von Softwareinstallationen oder Dateiübertragungen lassen Rückschlüsse auf ihre Existenz zu. 
  • Auch Sperrlisten für Tools führen nicht weiter, denn sie regulieren nur, was bereits bekannt ist. Neues entdecken lässt sich mit diesen Listen nicht.

Unternehmen, die mehr Einblick möchten, fokussieren sich häufig auf die Erfassung der Login-Aktivität unabhängig von der Art der Zugangsdaten.

LastPass Business Max setzt auf der Authentifizierungsebene an. Dies ist die einzige Ebene, auf der browserbasierte KI-Tools konsistent sichtbar gemacht werden können.

Es ist egal, ob sich ein Mitarbeiter bei ChatGPT, Claude oder Grammarly mit einer persönlichen E-Mail-Adresse, einem kostenlosen Konto oder einem Unternehmens-Login anmeldet – das Anmeldeereignis wird über die LastPass-Browsererweiterung erfasst.

Das unterscheidet LastPass von der klassischen Endgeräteerkennung und vom Netzwerk-Monitoring: Letztere suchen nach Softwareinstallationen und ungewöhnlichen Datenmustern, aber bei Schatten-KI gibt es weder das eine noch das andere. Was es aber gibt, ist ein Login. Und dieser wird von LastPass erfasst.

 
LastPass Business Max kostenlos testen Demo anfordern

Was die Erkennung von Schatten-KI ermöglicht

Die Schatten-KI-Erkennung kann KI nicht eliminieren, aber das ist auch nicht ihr Ziel. Es geht vielmehr darum, tote Winkel auszuleuchten und eine Datenbasis zu schaffen, die vernünftige Entscheidungen zur Nutzung von Tools ermöglicht. 

Die Vorteile einer Sichtbarkeit von Schatten-KI auf Zugriffsebene: 

  • Sie können sehen, auf welche KI-Tools Mitarbeiter mit persönlichen Zugangsdaten zugreifen. Genau diese Art Zugriffe halten 56 % der IT-Verantwortlichen für problematisch, können sie aber aktuell nicht verfolgen. 
  • Sie können, den Sicherheitsvorgaben Ihres Unternehmens entsprechend, gestufte Regeln durchsetzen, die bei entsprechender Risikolage greifen. 
  • Das Ausmaß der Schatten-KI geht nach und nach zurück. Mitarbeitern, die im Browser einen Risikohinweis sehen, wird klar, dass ihr Unternehmen Einblick nimmt. Sie überlegen genauer, welche Apps sie nutzen wollen, und agieren umsichtiger. 
  • Sie können Auditoren oder Versicherungen gegenüber nachweisen, dass Sie KI-Tools in Ihrem Unternehmen regulieren und Ihr Inventar auf tatsächlicher Nutzung und nicht auf vagen Selbstauskünften beruht. 

Der Ausgangspunkt ist immer derselbe: Sie müssen sich Einblick verschaffen, welche KI-Tools Ihre Mitarbeiter nutzen. 

Nutzung von KI-Apps und Governance-Lücken – wir haben die Daten

Der LastPass-Bericht zum Stand der KI- und SaaS-Sicherheit kombiniert Login-Daten aus unserer Plattform und Daten aus unseren Befragungen. Er zeigt, inwiefern Gefährdung von Zugangsdaten und Unternehmensgröße korrelieren und wie sich die KI-Governance-Lücke aus Sicht von IT-Teams darstellt. 

Laden Sie den LastPass-Bericht zum Stand der KI- und SaaS-Sicherheit 2026 herunter.

Bericht herunterladen

Weitere LastPass-Berichte für Sie zu KI- und SaaS-Sicherheit

GUIDE

KI-Governance und Compliance: Richtlinien, Kontrollen und Lücken

Leitfaden lesen

Alle Berichte zu KI- und SaaS-Sicherheit anzeigen

FAQ: Was ist Schatten-KI?

Im LastPass-Bericht zum Stand der KI- und SaaS-Sicherheit 2026 werden die folgenden drei Risiken am häufigsten genannt: 

  • Sensible Daten landen in KI-Tools, die das Monitoring nicht erfasst. Für 68 % der Befragten ist das die Hauptsorge. 
  • KI-Tools greifen ohne Berechtigung auf Unternehmenssysteme zu. Dieser Punkt wird von 61 % genannt. 
  • Zugangsdaten werden direkt in KI-Prompts eingegeben – ein von 56 % genanntes Risiko. 

KI-Interaktionen finden häufig im Browser statt, und es fehlt an Zugriffskontrollen, über die sich anschließend Regeln zum sicheren Umgang mit Daten durchsetzen ließen. 

Beide Begriffe beschreiben etwas Ähnliches, aber nicht dasselbe.

Nicht genehmigte KI sind Tools, die keine formale Genehmigung der IT haben. Das Unternehmen weiß von der Existenz der betreffenden Toolkategorie, hat ihre Nutzung jedoch nicht freigegeben.  

Schatten-KI umfasst nicht genehmigte plus unbekannte Tools. Hier geht es eher darum, wie und wofür Mitarbeiter die Apps nutzen: 

  • Zugriff auf für den Privatgebrauch gedachte KI-Tools mit persönlichen E-Mail-Adressen 
  • Eingabe von Unternehmensdaten in KI-Chatbots über APIs oder MCP-Konnektoren 
  • Nutzung von in genehmigte SaaS integrierten KI-Funktionen 

Der Bericht von LastPass zum Stand der KI- und SaaS-Sicherheit aus dem Jahr 2026 zeigt: 46 % der Unternehmen halten ihr Risiko durch KI für moderat bis hoch, doch nur 22 % haben Tools, um die KI-Nutzung zu regulieren. 

Der Wert, den Ihnen ein LastPass-Business-Max-Abonnement bietet? Sie erhalten Einblick, welche nicht genehmigten KI-Tools in Ihrem Unternehmen genutzt werden, und können jedem Tool eine Regel zuweisen, sprich es zulassen, blockieren oder mit einem Warnhinweis versehen. 

Das Aufspüren von Schatten-KI ist ein wichtiger erster Schritt hin zur KI-Governance. Sobald Sie Überblick haben, können Sie für jedes Tool prüfen, ob es ein Risiko für die Sicherheit, die Compliance und den Datenschutz darstellt. 

Auf Grundlage Ihrer Bewertung können Sie dann Kontrollen anwenden.

LastPass erleichtert KMU die KI-Governance: 

LastPass Business Max zeigt Ihnen, was Sache ist. Es gibt Ihnen Einblick, auf welche KI-Tools, SaaS und Websites Ihre Mitarbeiter zugreifen und ob sie es über Unternehmens- oder persönliche Konten tun.

LastPass gibt Ihnen jedoch nicht nur Überblick, sondern auch Möglichkeiten der Kontrolle. Mit Business Max können Sie: 

  • Benutzer darauf hinweisen, dass sie im Begriff sind, ein riskantes Tool zu nutzen, 
  • ganze Websitekategorien auf einmal anstelle einzelner Websites sperren und
  • Benutzer, die dabei sind, sensible Daten in ein KI-Tool einzugeben, vor diesem Schritt warnen. 

Sie können also die Nutzung von Apps und Websites mit Regeln versehen und diese für einzelne Elemente risikoabhängig durchsetzen. Mit den Kontrollfunktionen lässt sich die Nutzung von Schatten-KI praktisch erfassen und regulieren – ohne weitere komplexe Technik oder Personal. 

Ihre Frage ist nicht dabei? Besuchen Sie das Supportcenter.

Erste Schritte mit LastPass Business

LastPass kostenlos testen Vertrieb kontaktieren
Für die 14-tägige Testversion ist keine Kreditkarte erforderlich.