Schatten-IT und Schatten-KI: Ursachen, Risiken und was hilft

In fast jedem wachsenden Unternehmen gibt es zwei IT-Landschaften. Die eine ist offiziell: Tools, die jemand ausgewählt, bezahlt und eingerichtet hat. Die andere entsteht nebenbei, aus Testzugängen, Abos auf der Firmenkarte und KI-Tools, die sich Mitarbeiter selbst besorgt haben, weil sie damit schneller vorankommen.

Diese zweite Landschaft heißt Schatten-IT. Sie ist kein Randphänomen und meist auch kein Zeichen mangelnder Disziplin. Zum Problem wird sie, weil niemand den Überblick hat: welche Daten wo liegen, wer worauf Zugriff hat und was das alles kostet.

Dieser Ratgeber zeigt, wie Schatten-IT entsteht, warum KI das Thema verschärft und wie ihr sie in den Griff bekommt, ohne euer Team auszubremsen.

Was unter Schatten-IT fällt

Als Schatten-IT gilt jede Software, jeder Account und jedes Gerät, das für betriebliche Zwecke genutzt wird, ohne offiziell bekannt, geprüft oder freigegeben zu sein. Ein Regelverstoß muss damit nicht verbunden sein. In vielen Unternehmen gibt es schlicht keine Regeln, gegen die man verstoßen könnte.

In cloud-first Teams ohne eigenen Serverraum hat Schatten-IT wenig mit Technik im klassischen Sinn zu tun. Typisch sind:

• Abos auf der Firmenkarte: ein Design-Tool im Marketing, ein Notetaker im Vertrieb, jeweils für ein paar Euro im Monat und ohne zentrale Übersicht.
• Private Accounts für berufliche Zwecke: Ein Tool wird mit der privaten E-Mail-Adresse genutzt, weil die Registrierung so schneller ging.
• Testzugänge, die zum Dauerzustand werden: Was als kurzer Test begann, enthält Jahre später Kundendaten, obwohl das Tool nie geprüft wurde.
• Eigenmächtig verbundene Apps: Mitarbeiter erlauben Drittanbietern den Zugriff auf Postfach, Kalender oder Dateien ihres Firmenkontos.
• KI-Tools: derzeit die am schnellsten wachsende Form.

Nicht jedes unbekannte Tool ist ein Risiko. Kritisch wird es, sobald sensible Daten darin liegen oder Abläufe davon abhängen, ohne dass jemand davon weiß.

Warum KI das Problem verschärft

Schatten-KI, auf Englisch Shadow AI, bezeichnet beruflich genutzte KI-Anwendungen außerhalb der offiziell bereitgestellten oder verwalteten IT: Chatbots, Übersetzungsdienste, Transkriptions-Tools oder Bildgeneratoren, häufig über private Accounts. Verboten ist ihre Nutzung nicht zwingend. KI macht es aber besonders einfach, betriebliche Informationen weiterzugeben: Texte, Tabellen oder ganze Dokumente sind mit wenigen Klicks hochgeladen.

Wie verbreitet das ist, zeigen aktuelle Studien:

Die Lücke ist deutlich: KI gehört für viele längst zum Arbeitsalltag, offizielle Angebote gibt es dafür aber nur in einem Bruchteil der Unternehmen. Genau in diesem Zwischenraum entsteht Schatten-KI.

Warum Mitarbeiter zu Schatten-IT greifen

Die naheliegende Erklärung, Mitarbeiter würden sich einfach über Regeln hinwegsetzen, greift fast immer zu kurz. Schatten-IT ist weniger ein Disziplin- als ein Organisationsproblem. Die Ursachen ähneln sich:

• Zeitdruck: Ein Angebot muss heute raus, und ein KI-Tool liefert den ersten Entwurf in Sekunden.
• Schwerfällige Freigaben: Ist unklar, wer über neue Tools entscheidet, oder dauert eine Antwort Wochen, suchen sich Mitarbeiter selbst eine Lösung.
• Fehlende Alternativen: Wer privat mit KI arbeitet und im Job nichts Vergleichbares bekommt, greift eben auf das eigene Tool zurück.
• Sorge vor Vorurteilen: Viele sprechen nicht offen darüber, dass sie KI nutzen, etwa aus Sorge, das könnte als Bequemlichkeit gelten. Wie verbreitet der verdeckte Umgang ist, zeigt eine Studie von KPMG und der University of Melbourne: Fast die Hälfte der Befragten in Deutschland räumt ein, KI-Ergebnisse als eigene Arbeit auszugeben oder interne Vorgaben bewusst zu umgehen.

Bemerkenswert ist ein Befund des IW Köln: Wer sich vom Arbeitgeber beim Aufbau von KI-Kompetenzen unterstützt fühlt, nutzt häufiger auch Tools, die nicht vom Arbeitgeber stammen. Die Autoren sehen den Grund vor allem in einer Lücke: Kompetenzen werden gefördert, offizielle Tools fehlen. Wer sein Team zur KI-Nutzung ermutigt, sollte also auch ein passendes Werkzeug anbieten.

Insofern ist jedes Schatten-Tool auch ein Hinweis. Es zeigt, welche Werkzeuge euer Team tatsächlich braucht, oft lange bevor dafür ein Budget existiert.

Ab welcher Größe es kritisch wird

In kleinen Teams lässt sich vieles noch auf kurzem Weg klären. Man weiß, wer welches Tool nutzt, und wenn jemand geht, erinnert sich noch jemand an dessen Zugänge.

In unseren über 100 Gesprächen mit Verantwortlichen aus IT, HR und Finance zeigt sich immer wieder: Irgendwo zwischen 30 und 50 Mitarbeitern ändert sich das. Es entstehen neue Teams, nicht mehr jeder kennt jeden, und jeder Bereich stellt sich seinen eigenen Werkzeugkasten zusammen.

Für sich genommen funktioniert jede dieser Inseln. Die Frage, welche Tools im Unternehmen eigentlich im Einsatz sind und was sie kosten, kann bald aber niemand mehr ohne Weiteres beantworten. Schatten-IT wächst mit dem Unternehmen, und je später ihr euch darum kümmert, desto aufwendiger wird es.

Welche Folgen Schatten-IT hat

Die Folgen zeigen sich meist in ungünstigen Momenten: beim Austritt eines Mitarbeiters, bei einer Datenschutzanfrage eines Kunden oder beim Blick auf die Kreditkartenabrechnung.

• Datenabfluss: Kundenlisten, Gehaltsdaten, Verträge oder Quellcode landen in Accounts, auf die das Unternehmen keinen Zugriff hat. Laut Verizon ist Quellcode die häufigste Datenart, die an externe KI-Modelle übermittelt wird.
• Doppelte und vergessene Kosten: Mehrere Teams bezahlen für Tools mit nahezu identischem Funktionsumfang. KI-Abos laufen über Spesenabrechnungen oder private Karten und tauchen in keiner Übersicht auf.
• Zugänge nach dem Austritt: Was ihr nicht kennt, könnt ihr beim Offboarding nicht entziehen. Private Accounts lassen sich zudem meist nicht zentral durch das Unternehmen sperren.
• Lücken im Datenschutz: Die DSGVO verlangt, dass ihr wisst, welche Dienste personenbezogene Daten verarbeiten, und mit Anbietern, die Daten in eurem Auftrag verarbeiten, einen Vertrag zur Auftragsverarbeitung schließt. Bei unbekannten Tools fehlt beides.
• Anforderungen der KI-Verordnung: Seit Februar 2025 verpflichtet der EU AI Act Unternehmen, die KI einsetzen, sich um die KI-Kompetenz ihrer Mitarbeiter zu kümmern. Mit der Änderungsverordnung (EU) 2026/1744 gilt seit dem 27. Juli 2026: Unternehmen müssen Maßnahmen ergreifen, die den Aufbau von KI-Kompetenz fördern, aber kein bestimmtes Kompetenzniveau garantieren. Sinnvolle Maßnahmen setzen allerdings voraus, dass ihr wisst, welche KI-Tools überhaupt im Einsatz sind.

Warum Verbote und Inventurlisten nicht reichen

Naheliegend ist es, KI-Tools schlicht zu sperren. Damit verschwindet das Problem jedoch nicht, es verlagert sich: auf private Smartphones, ins heimische WLAN, außer Sichtweite. Zugleich bremst ein Verbot ausgerechnet die Mitarbeiter, die am engagiertesten sind. Auch das IW Köln rät ausdrücklich von pauschalen Verboten ab.

Ebenso verbreitet ist die Inventur: eine Umfrage im Team oder ein Rundgang durch alle Abteilungen, dessen Ergebnis in einer Excel-Liste landet. Das ist besser als nichts, hat aber zwei Schwächen. Tools, deren Nutzung jemand für unerwünscht hält, gibt kaum jemand freiwillig an. Und die Liste ist schon bei ihrer Fertigstellung veraltet, weil laufend neue Tools hinzukommen.

Auch die Admin-Konsole von Google Workspace oder Microsoft Entra zeigt nur einen Ausschnitt, nämlich die Anwendungen, bei denen sich jemand mit dem Firmenkonto anmeldet. Was mit privatem Account genutzt oder einfach über die Firmenkarte bezahlt wird, bleibt dort weitgehend unsichtbar. Und genau das ist der Kern von Schatten-IT.

In fünf Schritten zu mehr Überblick

Ziel ist nicht, Schatten-IT vollständig zu beseitigen. Ziel ist, zu wissen, was im Einsatz ist, und bewusst zu entscheiden, was bleiben darf.

1. Transparenz schaffen, und zwar automatisch

Steuern lässt sich nur, was sichtbar ist. Statt einmal im Jahr Bestand aufzunehmen, sollte die Übersicht laufend und ohne manuellen Aufwand entstehen. Dabei ergänzen sich zwei Quellen: die tatsächliche Nutzung, also welche Anwendungen auf Firmengeräten und im Browser geöffnet werden, und die Rechnungen, also welche Tools auf der Firmenkarte und in den Belegen auftauchen. Erst beide zusammen erfassen auch die Tools, die eine Auswertung über SSO übersieht.

Die Erkennung setzt voraus, dass die Geräte erfasst sind und die Rechnungen vorliegen. Auch ein Tool mit privatem Account wird sichtbar, sobald jemand den Beleg einreicht.

Macht das gegenüber eurem Team transparent: welche Daten ihr erfasst, wozu und wer sie sieht. Für eine Tool-Übersicht genügt es zu wissen, welche Anwendung genutzt wird, nicht, was darin passiert. Gibt es einen Betriebsrat, bindet ihn frühzeitig ein, denn die Einführung solcher Software kann mitbestimmungspflichtig sein.

2. Über jeden Fund bewusst entscheiden

Nicht jedes entdeckte Tool muss verschwinden. Grundsätzlich gibt es vier Optionen:

• Freigeben: Das Tool bewährt sich und wird künftig offiziell geführt.
• Auf einen Firmen-Account umstellen: Das Tool bleibt, die private Anmeldung entfällt.
• Ersetzen: Ein bereits freigegebenes Tool deckt denselben Bedarf. Die Daten werden übertragen, das Abo gekündigt.
• Abschalten: Das Tool ist zu riskant oder überflüssig.

Problematisch ist weniger ein einzelnes Nischen-Tool als eines, für das sich niemand zuständig fühlt. Jedes freigegebene Tool braucht deshalb zwei Verantwortliche: eine Person, die es fachlich betreut, und eine, die für die Kosten zuständig ist.

3. Eine offizielle KI-Lösung bereitstellen

Schatten-KI entsteht vor allem dort, wo es keine offizielle Alternative gibt. Die Business-Tarife der großen Anbieter schließen in der Regel aus, dass eure Eingaben zum Training der Modelle verwendet werden. Noch wichtiger: Die Accounts gehören dem Unternehmen, auch wenn jemand geht. Fragt euer Team, womit es bereits arbeitet. Nutzt die Hälfte schon ein bestimmtes Tool, ist das ein wichtiger Hinweis auf den Bedarf.

4. Klare Regeln auf einer Seite

Eine Richtlinie, die niemand liest, schützt niemanden. Als Leitfaden für den Alltag genügt in den meisten Unternehmen eine Seite: welche Tools wofür freigegeben sind, welche Daten in kein KI-Tool gehören, wer Ergebnisse prüft, an wen man sich bei Bedarf an einem neuen Tool wendet und was zu tun ist, wenn versehentlich sensible Daten in einem Tool gelandet sind. Hinzu kommen zwei Zusagen. Anfragen zu neuen Tools werden innerhalb weniger Tage beantwortet, und niemand muss sich dafür rechtfertigen, KI genutzt zu haben.

5. Offboarding absichern und regelmäßig nachjustieren

Einmal geschaffene Ordnung bleibt nicht von allein bestehen. Zwei feste Routinen helfen dabei. Erstens gehört jedes bekannte Tool in eure Offboarding-Checkliste, damit Zugänge beim Austritt zuverlässig enden. Zweitens prüft jemand einmal im Monat nur die neu hinzugekommenen Tools. Das ist deutlich weniger Aufwand als eine jährliche Inventur.

Fazit

Verbote beseitigen Schatten-IT nicht. Sie verliert an Bedeutung, sobald das offizielle Angebot besser ist als der Umweg und ihr wisst, was in eurem Unternehmen tatsächlich genutzt wird. Der erste Schritt ist deshalb Transparenz. Alles Weitere sind überschaubare, klare Entscheidungen.

Sovaro kostenlos testen: 14 Tage ohne Zahlungsdaten, danach bis 10 Mitarbeiter kostenlos.