Shadow AI und Browsersicherheit: Schutz von Daten bei der Nutzung von KI-Tools durch Mitarbeiter

Ihr Marketingteam hat gerade festgestellt, dass 40 % der Mitarbeiter während der regulären Arbeitszeit Kundendaten in nicht genehmigte KI-Tools einfügen – und zwar über denselben Browser, den sie auch für zugelassene SaaS-Anwendungen nutzen. Dabei kam keine Malware zum Einsatz. Es wurde keine Sicherheitsgrenze durchbrochen. Ein Analyst kopierte eine Salesforce-Kundenliste, fügte sie in einen öffentlichen Chatbot ein, um Segmentierungsideen zu generieren, lud die Ausgabe herunter und synchronisierte die Datei mit seinem persönlichen Cloud-Speicher. Der Browser war gleichzeitig Arbeitsbereich, Einstiegspunkt und Kanal für die Datenentwendung – alles in einem.

„Shadow AI“ – die unbefugte Nutzung von KI-Tools ohne Einblicke oder Kontrolle seitens der IT-Abteilung – ist zu einem der dringlichsten Probleme im Bereich der Datensicherheit geworden, mit denen ein CISO konfrontiert sein kann, und der Browser ist der Ort, an dem dies geschieht.

Das „Shadow-AI“-Szenario, das jeder CISO fürchten sollte

So sieht ein typischer „Shadow-AI“-Vorfall aus – und warum er mit herkömmlichen Kontrollmaßnahmen so schwer aufzudecken ist.

Ein Produktmanager bei einem mittelständischen Fintech-Unternehmen kopiert Daten zu Kundenbeschwerden aus dem CRM des Unternehmens, öffnet einen neuen Browser-Tab und fügt diese in einen kostenlosen KI-Chatbot ein, um eine Trendanalyse für die vierteljährliche Überprüfung zu erstellen. Die Nutzungsbedingungen des Chatbots gestatten es dem Anbieter, die eingegebenen Daten für das Modelltraining zu verwenden. Die Daten umfassen Namen, Kontonummern und Transaktionsdetails. Der Produktmanager lädt die von der KI erstellte Zusammenfassung herunter, sendet sie per E-Mail an drei Kollegen und speichert eine Kopie in einem persönlichen Google Drive-Ordner.

Es wurde keine Firewall ausgelöst. Kein Endpunkt-Agent hat den Einfügevorgang als verdächtig markiert. Die DLP-Richtlinie zur Überwachung von E-Mail-Anhängen überprüft keine browserbasierten Zwischenablagevorgänge. Das CASB erkennt die Google-Drive-Synchronisierung, hat jedoch keinen Einblick darin, was zehn Minuten zuvor in den Chatbot-Tab eingefügt wurde.

Dies ist kein hypothetisches Szenario. Der Bericht von Menlo Security aus dem Jahr 2025 ergab, dass in einem einzigen Monat 155.005 Kopier- und 313.120 Einfügevorgänge in GenAI-Tools protokolliert wurden, was verdeutlicht, wie Mitarbeiter regelmäßig sensible Daten über die Zwischenablage des Browsers in KI-Tools übertragen. Eine Gartner-Umfrage unter 302 Führungskräften im Bereich Cybersicherheit im Zeitraum März bis Mai 2025 ergab, dass 69 % der Unternehmen den Verdacht hegen oder Beweise dafür haben, dass Mitarbeiter verbotene öffentliche GenAI-Tools nutzen.

Über den Browser verlassen die Daten das System; daher ist der Browser der Ort, an dem Sie die Kontrolle ausüben müssen.

Warum ältere Sicherheitskonzepte gegen „Shadow AI“ versagen

Herkömmliche Sicherheitsarchitekturen wurden entwickelt, um Daten im Ruhezustand in Datenbanken, Daten während der Übertragung zwischen Servern sowie Daten, auf die über verwaltete Endgeräte zugegriffen wird, zu schützen. Shadow AI widerlegt jede einzelne dieser Annahmen.

Bei der perimetergestützten Webfilterung werden Domains und nicht die Daten selbst berücksichtigt. Ein veraltetes secure web gateway chat.openai.com anhand der URL-Kategorie blockieren, doch die Mitarbeiter wechseln einfach zu einer der über 6.500 GenAI-Domains und 3.000 Apps, die in Unternehmensumgebungen beobachtet wurden (Menlo Security, 2025). Das Blockieren einer einzelnen Domain gleicht einem „Whack-a-Mole“-Spiel. Das Blockieren aller Domains beeinträchtigt die Produktivität erheblich und zwingt die Nutzer dazu, auf ihre privaten Geräte auszuweichen.

Endpunkt-DLP überwacht Dateien, nicht jedoch Vorgänge in der Zwischenablage. Wenn ein Vertriebsingenieur eine Pipeline-Tabelle aus einem zugelassenen CRM-System kopiert und den Inhalt in ein browserbasiertes KI-Tool einfügt, erkennt das Endpunkt-DLP, das das Speichern von Dateien, Schreibvorgänge auf USB-Sticks und E-Mail-Anhänge überwacht, nichts – da keine Datei erstellt wurde. Die Daten wurden über ein Textfeld im Browser übertragen, einen Übertragungsweg, den die meisten älteren DLP-Agenten nicht überprüfen.

Ein CASB ohne Inline-Proxy-Abdeckung weist blinde Flecken auf. Ein API-basiertes CASB kann Aktivitäten in zugelassenen SaaS-Anwendungen wie Salesforce oder Microsoft 365 überwachen, hat jedoch keinen Einblick in einen Chatbot der kostenlosen Nutzungsstufe, auf den der Mitarbeiter über einen Browser-Tab zugreift. Ohne Forward-Proxy oder Inline-Prüfung bleibt die „Schatten“-KI-Sitzung unsichtbar.

Maßnahmen, die sich ausschließlich auf Schulungen beschränken, führen lediglich zu einer Scheinkonformität. Unternehmen, die sich ausschließlich auf Sensibilisierungsschulungen, Warn-E-Mails oder schriftliche Richtlinien verlassen, scheitern regelmäßig bei der Verhinderung von Datenlecks – da es keine technischen Durchsetzungsmaßnahmen gibt, die die Richtlinie untermauern. Die Daten von IBM zu Datenschutzverletzungen aus dem Jahr 2025 bestätigen diese Lücke: 97 % der Unternehmen, die eine KI-bezogene Datenschutzverletzung meldeten, verfügten nicht über angemessene Zugriffskontrollen für KI.

Der rote Faden: Jedem gescheiterten Ansatz fehlt die direkte, auf Browserebene stattfindende Transparenz darüber, welche Daten die Mitarbeiter in Echtzeit an KI-Tools übermitteln.

Was sich geändert hat: Der Browser wurde zum Arbeitsbereich im Unternehmen

Drei Entwicklungen haben dazu geführt, dass der Browser zur neuen Frontlinie des Datenschutzes geworden ist.

Trend 1: KI-Tools sind browserbasiert. ChatGPT, Claude, Gemini und Dutzende weiterer branchenspezifischer KI-Tools laufen vollständig im Browser. Im Gegensatz zu herkömmlichen SaaS-Anwendungen, die eine SSO-Integration und -Bereitstellung erfordern, benötigen die meisten KI-Chatbots lediglich eine kostenlose E-Mail-Registrierung – oder gar kein Konto. Ein Personalanalyst kann Leistungsbeurteilungen von Mitarbeitern in einen Chatbot einfügen und innerhalb von Sekunden eine Zusammenfassung erhalten – und das alles in einer normalen Chrome-Sitzung auf einem verwalteten Laptop.

Trend 2: Der Datentransfer erfolgt per Kopieren und Einfügen, nicht über Dateiübertragung. Laut der „Shadow AI Survey“ von IBM (Februar 2026) nutzen 80 % der amerikanischen Büroangestellten KI in ihrer Arbeit, doch nur 22 % verlassen sich ausschließlich auf vom Arbeitgeber bereitgestellte Tools. Der Rest nutzt private Konten, kostenlose Dienste und Browser-Erweiterungen. Die Daten werden über Zwischenablage-Funktionen – Kopieren, Einfügen, Ziehen und Ablegen – übertragen, wodurch dateiorientierte DLP-Maßnahmen vollständig umgangen werden.

Schritt 3: Nicht verwaltete Geräte und der Zugriff von Auftragnehmern erhöhen das Risiko. Ein Auftragnehmer, der über einen Reverse-Proxy von einem privaten Laptop aus auf Salesforce zugreift, kann Kundendatensätze kopieren, in einem neuen Tab ein öffentliches KI-Tool öffnen und die Daten dort einfügen – alles innerhalb einer einzigen Browsersitzung. Es gibt keinen Endpunkt-Agenten zur Überprüfung, kein MDM-Profil zur Durchsetzung und keine Kontrolle auf Netzwerkebene, wenn der Auftragnehmer eine WLAN-Verbindung zu Hause nutzt. Die Browsersitzung selbst ist der einzige Kontrollpunkt, der unabhängig vom Gerätestatus gilt.

Was die Rahmenwerke sagen: NIST und OWASP zu Datenrisiken im Zusammenhang mit GenAI

Beide maßgeblichen Rahmenwerke zu diesem Thema – NIST AI 600 1 und die OWASP Top 10 für LLMs – identifizieren die Offenlegung von Daten durch Interaktionen mit GenAI als ein kritisches Risiko, das technische und nicht nur verfahrenstechnische Kontrollmaßnahmen erfordert.

Das am 26. Juli 2024 veröffentlichte NIST AI 600 1 „Generative AI Profile“ identifiziert 12 Risiken, die spezifisch für generative KI sind oder durch diese verschärft werden, und enthält über 200 Handlungsempfehlungen für das Risikomanagement. Darunter wird der Datenschutz als eigenständiges Risiko aufgeführt: Die Nutzung und das Training von GenAI-Systemen können zu Datenlecks, unbefugter Nutzung oder der De-Anonymisierung personenbezogener Daten führen. Die als grundlegend angesehene „Govern“-Funktion des Profils verlangt von Organisationen, klare Richtlinien und Leitlinien für die Entwicklung und den Einsatz von GenAI festzulegen, um eine ethische und verantwortungsvolle Nutzung sicherzustellen. Für Sicherheitsteams bedeutet dies, dass die Richtlinie durch technische Kontrollmaßnahmen ergänzt werden muss, die deren Einhaltung gewährleisten, insbesondere an der Schnittstelle, an der Mitarbeiter mit GenAI interagieren: dem Browser.

Im Bereich der Anwendungssicherheit stuft die „OWASP Top 10 für LLMs (2025)“ die Offenlegung sensibler Informationen (LLM02:2025) als kritisches Risiko ein und weist darauf hin, dass zu den sensiblen Informationen personenbezogene Daten (PII), Finanzdaten, Gesundheitsakten, vertrauliche Geschäftsdaten, Sicherheitszugangsdaten und Rechtsdokumente gehören. Dieses Risiko wirkt in beide Richtungen: Daten fließen in das LLM ein, wenn Mitarbeiter Inhalte einfügen, und Daten können aus dem Modell austreten, wenn dieses Trainingsdaten gespeichert hat oder wenn ein RAG-System unbefugte Datensätze abruft. LLMs bergen insbesondere bei der Einbettung in Anwendungen das Risiko, sensible Daten, proprietäre Algorithmen oder vertrauliche Details über ihre Ausgabe preiszugeben, was zu unbefugtem Datenzugriff, Datenschutzverletzungen und Verstößen gegen das geistige Eigentum führen kann.

Gemeinsam vertreten das NIST und die OWASP die Auffassung, dass Organisationen die Offenlegung von GenAI-Daten nicht als ein rein richtlinienbezogenes Problem betrachten dürfen. Der Browser, über den Mitarbeiter mit diesen Tools interagieren, ist der Ort, an dem technische Kontrollmaßnahmen greifen müssen, um beiden Rahmenwerken gerecht zu werden.

Was Sicherheitsteams jetzt tun sollten: Kontrollen auf Browserebene für „Shadow AI“

Um „Shadow-AI“ zu bekämpfen, sind mehrstufige Kontrollmechanismen erforderlich, die auf Browserebene durchgesetzt werden – also dort, wo die Daten das Unternehmen tatsächlich verlassen. Hier ist ein stufenweiser Ansatz, der auf bewährten Methoden basiert.

Phase 1: Ermittlung und Klassifizierung der KI-Nutzung (Wochen 1–2)

Bevor Sie Richtlinien durchsetzen können, benötigen Sie Transparenz. Stellen Sie ein secure web gateway KI-gestützter URL-Kategorisierung bereit, um jede GenAI-Domain zu identifizieren, auf die Ihre Mitarbeiter zugreifen. Korrelieren Sie die SWG-Protokolle mit den Ergebnissen der CASB-Ermittlung von Schatten-IT, um eine Bestandsaufnahme zu erstellen: Welche KI-Tools werden verwendet, wer nutzt sie, wie oft und von welchen Gerätetypen aus?

Ein praktisches Beispiel: Ein Sicherheitsteam eines Krankenversicherungsträgers stellt fest, dass 12 nicht genehmigte KI-Tools Daten aus der Zwischenablage von klinischen Koordinatoren erhalten, die Patientenfallnotizen zusammenfassen, um die Dokumentation der Triage zu beschleunigen. Ohne eine Erkennung auf SWG-Ebene blieb diese Aktivität unbemerkt, da die Tools browserbasiert sind und keine Softwareinstallation erfordern.

Phase 2: Umsetzung von Inline-DLP im Browser (Wochen 3–4)

Sobald Sie wissen, welche KI-Tools zum Einsatz kommen, wenden Sie data loss prevention an, die Inhalte bereits am Interaktionspunkt überprüfen – noch bevor die Daten den KI-Dienst erreichen. Eine über eine Cloud-SWG- oder SSE-Plattform bereitgestellte Inline-DLP-Lösung kann Einfügevorgänge, die Übermittlung von Formularfeldern und Datei-Uploads an GenAI-URLs überprüfen. Die Maßnahmen im Rahmen der Richtlinien sollten abgestuft sein:

Verhindern Sie das Hochladen regulierter Daten (PII, PHI, PCI) in beliebige KI-Tools.

Nutzern von Coach, die versuchen, Quellcode oder interne Dokumente einzufügen, wird ein Popup-Fenster in Echtzeit angezeigt, das auf die damit verbundenen Risiken hinweist und eine zugelassene Alternative vorschlägt.

Allgemeine Suchanfragen, die keine sensiblen Inhalte enthalten, sind zulässig.

Beispiel: Ein Ingenieur bei einem Logistikunternehmen fügt eine Versandliste mit Kundenadressen in ein KI-Zusammenfassungs-Tool ein. Inline-DLP erkennt das Muster für personenbezogene Daten, blockiert das Einfügen und zeigt eine Benachrichtigung an: „Dieser Inhalt enthält Kundenadressen. Verwenden Sie stattdessen den genehmigten KI-Arbeitsbereich des Unternehmens.“ Der Ingenieur wird umgeleitet, nicht bestraft – und die Daten verlassen das Unternehmen zu keinem Zeitpunkt.

Phase 3: Isolierung von AI-Sitzungen mit hohem Risiko (Wochen 4–6)

Für KI-Tools, die nicht vollständig blockiert werden können – da Geschäftsbereiche auf sie angewiesen sind –remote browser isolation wird die Sitzung in einem in der Cloud gehosteten Container dargestellt. Der Mitarbeiter sieht das KI-Tool und interagiert wie gewohnt damit, doch Zwischenablagevorgänge, Downloads und Uploads lassen sich detailliert steuern. RBI ermöglicht einen Ansatz nach dem Motto „Lesen, aber nicht weitergeben“: Mitarbeiter können von der KI generierte Inhalte nutzen, ohne sensible Daten in das Tool einfügen oder KI-Ergebnisse auf nicht verwaltete Endgeräte herunterladen zu können.

Stellen Sie sich ein M&A-Team bei einem Finanzdienstleistungsunternehmen vor, das ein KI-Recherchetool nutzen muss, um öffentlich zugängliche Unterlagen zusammenzufassen. Mit RBI kann das Team das Tool uneingeschränkt nutzen, während das Einfügen interner Vertragsbedingungen oder das Herunterladen von KI-generierten Zusammenfassungen, die geschützte Analysen enthalten, blockiert wird. Nach Beendigung der Sitzung wird der Container gelöscht, und auf dem Endgerät verbleiben keine Daten.

Phase 4: Steuerung und Iteration (laufend)

Richten Sie einen KI-Lenkungsausschuss ein, der die SWG- und DLP-Telemetriedaten monatlich überprüft. Verfolgen Sie, welche neuen KI-Tools auf den Markt kommen, welche Richtlinienverstöße am häufigsten auftreten und ob die genehmigten Alternativen den Bedürfnissen der Nutzer gerecht werden. Passen Sie die Richtlinien an die sich wandelnde Landschaft an – denn die Zahl der GenAI-Dienste nimmt zu und nicht ab.

Die Dringlichkeit: Warum das Abwarten zu einem sich verstärkenden Risiko führt

Jeder Monat Verzögerung verstärkt das Risiko in dreifacher Hinsicht.

Finanziell: Bei Shadow-AI-Vorfällen waren personenbezogene Kundendaten mit 65 % überproportional stark betroffen – gegenüber dem globalen Durchschnitt von 53 % (IBM, 2025) –, was zu höheren Kosten pro Datensatz und höheren Bußgeldern führte. Wenn es sich bei den durchgesickerten Daten um diejenigen handelt, denen die Aufsichtsbehörden die größte Bedeutung beimessen, steigen die finanziellen Risiken weit über die anfänglichen Maßnahmen zur Bewältigung des Vorfalls hinaus.

Rechtliche Aspekte: Die DSGVO, der CCPA und der HIPAA verlangen von Organisationen gleichermaßen, die Kontrolle über die Verarbeitung personenbezogener Daten zu behalten. Wenn ein Mitarbeiter Patientenakten in ein nicht geprüftes KI-Tool einfügt, das in einem Rechtsraum ohne Angemessenheitsabkommen gehostet wird, ist die Organisation der Verantwortliche und trägt die Haftung. Das EU-KI-Gesetz führt weitere Verpflichtungen hinsichtlich Transparenz und Risikobewertung bei der Nutzung von GenAI ein, die „Shadow-KI“ per Definition nicht erfüllen kann.

Operativ: Ein Bericht von Menlo Security dokumentierte einen Anstieg der Nutzung von „Schatten-KI“ in Unternehmen um 68 % innerhalb eines einzigen Jahres. Unternehmen, die heute Maßnahmen auf Browserebene aufschieben, werden mit einem größeren und tiefer verwurzelten „Schatten-KI“-Umfang konfrontiert sein, wenn eine Durchsetzung schließlich unvermeidlich wird – und die Umschulung von Zehntausenden von Mitarbeitern, die KI in ihre täglichen Arbeitsabläufe integriert haben, ist weitaus schwieriger, als das Verhalten frühzeitig zu lenken.

Skyhigh Security vereint SWG, CASB, DLP, RBI und ZTNA unter einer einzigen Richtlinien-Engine – und ermöglicht es so, „Schatten-KI“ zu erkennen, den Datenschutz auf Browserebene durchzusetzen und die KI-Nutzung auf verwalteten und nicht verwalteten Geräten über eine einzige Konsole zu steuern. Diese Integration ist von entscheidender Bedeutung, da Sicherheitsrisiken durch KI-Copiloten und -Tools mehrere Kontrollpunkte betreffen und fragmentierte Kontrollmechanismen Lücken hinterlassen, die Mitarbeiter – sei es unabsichtlich oder nicht – ausnutzen werden.