Zum Hauptinhalt springen
Titelbild des Blogbeitrags „Schatten-KI in Ihrer Endpunktumgebung verstehen“
Ein aufkommendes Thema

Einblick in „Shadow-KI“ in Ihrer Endgeräteumgebung

Generative KI – und insbesondere große Sprachmodelle – erlangten ab Ende 2022 und Anfang 2023 eine breite Akzeptanz bei den Verbrauchern , wobei ChatGPT schneller als jede andere Verbraucheranwendung in der Geschichte 100 Millionen Nutzer erreichte.

Seitdem hat sich die KI in rasantem Tempo weiterentwickelt und scheint mittlerweile in jedes Tool, jede App und jede Website integriert zu sein – ganz gleich, wie nützlich sie tatsächlich sein mag. Es gibt unglaubliche, leistungsstarke und wirkungsverstärkende Anwendungsmöglichkeiten für KI-Technologien, doch die rasante Ausbreitung und Einführung birgt Risiken, auf deren Bewältigung die meisten Organisationen nicht vorbereitet waren – insbesondere da KI-Systeme die Experimentierphase hinter sich lassen und in die Praxis umgesetzt werden, wodurch die Voraussetzungen für eine unkontrollierte Ausbreitung von agentenbasierter KI ( ) geschaffen werden , bei der Autonomie und Umfang die Transparenz und Kontrolle übersteigen.

[Erfahren Sie, wie die jüngsten Entwicklungen im Bereich der agentenbasierten KI dazu führen, dass autonome Systeme von beratenden Funktionen hin zur direkten Ausführung übergehen – und welche Anforderungen dieser Wandel an die IT-Governance stellt]


Ja, künstliche Intelligenz ist ein spannendes neues Betätigungsfeld, doch die Bestandsverwaltung und Transparenz bilden nach wie vor die Grundlage für ein gutes Sicherheits- und Risikomanagement. Wir haben den Bereich von Hardware, Betriebssystemen und installierter Software hinter uns gelassen und müssen nun Aspekte wie die Software-Stückliste (SBOM), Browser-Ökosysteme, „ “, integrierte Entwicklungsumgebungen (IDE), cloudbasierte Software-as-a-Service (SaaS) sowie alle Möglichkeiten berücksichtigen, wie künstliche Intelligenz in Ihrem Unternehmen zum Einsatz kommen kann.

Lassen Sie uns einen Überblick über die Gesamtsituation, die Risiken und die wesentlichen Komponenten gewinnen, die Sie benötigen, um diese Herausforderung in den Griff zu bekommen.

Was ist „Shadow AI“?

Die meisten IT-Fachkräfte – vom Helpdesk bis zur Führungsetage – sind bestens mit dem Begriff „“ (Schatten-IT" vertraut – also der Software und den Geräten, die Mitarbeiter ohne offizielle Genehmigung nutzen. Wie bereits bei seinem Vorgänger bezieht sich der Begriff „Shadow-KI“ auf das Vorhandensein oder die Nutzung von KI-Tools, -Apps oder -Infrastruktur ohne Wissen oder Zustimmung der IT- oder Sicherheitsteams.

In den meisten Fällen ist der Einsatz von „Shadow-KI“ harmlos. Die meisten Menschen möchten ihre Produktivität mithilfe einer neuen Technologie maximieren, oder vielleicht nutzen sie ein Tool, von dem sie gar nicht wissen, dass es über integrierte KI-Funktionen verfügt. Das Risiko des „Shadow-AI“- s liegt nicht allein in der Nutzung von KI-Tools, sondern in den Verbindungen, Aktionen und Datenflüssen, über die Sie möglicherweise keinen Überblick haben. Darüber hinaus kann „Shadow-AI“ – im Gegensatz zu „Shadow-IT“ – eigenständig handeln, Entscheidungen treffen und Risiken verbreiten.

Bei der Abdeckung von „Shadow-AI“ besteht eine erhebliche Lücke in der Transparenz:
Herkömmliche Sicherheitstools (Cloud-DLP, CASB, Firewalls) erkennen lokale KI nicht. Lokale und cloudbasierte KI erfordern unterschiedliche Überwachungsmethoden. Leider übersteigt das Tempo, mit dem KI eingeführt und genutzt wird, unsere Fähigkeit, diese zu regulieren und zu sichern.

Um zu verstehen, wo sich „Shadow-AI“ verbirgt und warum sie so schwer zu handhaben ist, ist es hilfreich, einige der wichtigsten Formen zu kennen, die sie heute in Unternehmensumgebungen annimmt.

Das erste Beispiel sind lokale KI-Modelle, bei denen das KI-Sprachmodell direkt auf dem Rechner eines Nutzers oder auf einem internen Server ausgeführt wird und nicht in einem Cloud-Dienst wie ChatGPT, Copilot oder den Browsern bzw. Apps von Claude.

Der zweite Mechanismus sind KI-Agenten, die die Fähigkeiten der LLMs über das Beantworten von Fragen hinaus erweitern und es ihnen ermöglichen, Aktionen auszuführen, sich mit anderen Tools und Daten zu verbinden und mit einem gewissen Maß an Autonomie zu agieren. Beide Mechanismen bergen Risiken, und beide können zum Tragen kommen, unabhängig davon, ob Sie ihnen zugestimmt haben oder nicht.

Lokale Modelle

Die Anziehungskraft lokaler Modelle lässt sich mit einem Wort zusammenfassen: privacy.

Wenn Sie einen cloudbasierten KI-Dienst wie ChatGPT, Gemini oder Microsoft Copilot nutzen, werden Ihre Eingaben und die von Ihnen übermittelten Daten an Server weitergeleitet, die sich im Besitz eines Dritten befinden. Diese Daten können zum Trainieren künftiger Modelle verwendet, auf eine Weise gespeichert werden, die Sie nicht überprüfen können, oder in manchen Fällen unbeabsichtigt offengelegt werden – wie beispielsweise, als ChatGPT in Version 2023 eine „Teilen“-Funktion mit einem Kontrollkästchen einführte, durch das die Chats für Suchmaschinen auffindbar wurden. Tausende Nutzer haben die Funktion aktiviert, ohne zu wissen, was sie taten, und „private“ -Unterhaltungen wurden zu Google-Treffern unter.

Die lokale Ausführung eines Modells bedeutet, dass Ihre Daten Ihren Rechner oder Ihr internes Netzwerk zu keinem Zeitpunkt verlassen – was genau die richtige Lösung für Unternehmen zu sein scheint, die mit vertraulichen Dokumenten umgehen, in regulierten Branchen tätig sind oder Umgebungen betreiben, in denen kein Zugriff auf das Internet von außen möglich ist.

Klingt großartig, nicht wahr? Nicht so schnell. Eine lokale Installation bedeutet nicht automatisch, dass die Daten privat sind. In dem Artikel „ Juli 2025“ entdeckte Trend Micro , dass über 10 000 Server, auf denen Ollama – ein beliebtes Open-Source-Tool zur lokalen Ausführung von KI-Modellen – lief, öffentlich zugänglich waren, ohne dass eine Authentifizierung erforderlich war.

Ein falsch konfigurierter lokaler Modellserver kann von jedem abgefragt werden, der Zugriff darauf hat. Das bedeutet, dass ein Angreifer den Server nach Informationen absuchen, Daten extrahieren oder ihn als Einstiegspunkt in das gesamte Netzwerk nutzen kann, ohne jemals physischen Zugriff auf den Rechner zu haben, auf dem er läuft.

Lokale Modelle sind in der Regel kleiner und werden mit weniger Daten trainiert als ihre Cloud-Pendants, was bedeutet, dass sie größere Wissenslücken aufweisen und diese Lücken mit größerer Wahrscheinlichkeit mit Informationen füllen, die plausibel klingen, aber falsch sind – was in der Branche als „Halluzination“ bezeichnet wird.

Im individuellen Gebrauch stellt eine mit Überzeugung gegebene falsche Antwort ein Ärgernis dar. Wenn jedoch die Ergebnisse lokaler KI-Systeme in behördliche Unterlagen, Finanzanalysen, Rechtsdokumente oder die Kundenkommunikation einfließen, ändern sich die Rahmenbedingungen grundlegend. Ein Führungskraft, die nicht weiß, dass eine Zusammenfassung von einer KI erstellt wurde, hat keinen Grund, diese zu überprüfen, und bis der Fehler auffällt, ist das Dokument möglicherweise bereits unterzeichnet, versendet oder eingereicht worden.

Lokale Modelle haben berechtigte und wertvolle Anwendungsfälle, doch „lokal“ ist kein Synonym für „sicher“. Zu wissen, was installiert ist, wo es ausgeführt wird und ob es sicher konfiguriert ist, sind die grundlegenden Voraussetzungen für einen verantwortungsvollen Einsatz dieser Systeme auf Unternehmensebene.

Vertreter

KI-Agenten leisten weit mehr als nur die Beantwortung von Fragen. Während ein großes Sprachmodell wie ChatGPT auf Eingabeaufforderungen reagiert, kann ein Agent Maßnahmen ergreifen: Code schreiben und ausführen, Datensätze in Ihrem CRM aktualisieren, Ihren Kalender verwalten oder in Ihrem Namen Mitteilungen versenden. Genau diese Fähigkeit macht sie so mächtig – und gleichzeitig so riskant.

Das Risiko ergibt sich daraus, wie die Agenten ihre Berechtigungen erhalten. Ein Agent übernimmt die Zugriffsrechte des Benutzers, der ihn installiert. Wenn es sich bei diesem Benutzer um einen Entwickler mit lokalen Administratorrechten, Datenbankzugangsdaten und API-Schlüsseln handelt, verfügt der Agent ebenfalls über all diese Berechtigungen.

Dies ist das KI-Äquivalent eines „Living-off-the-Land“-Angriffs: Es ist keine Malware erforderlich, vielmehr werden legitime Zugriffsrechte auf eine Weise genutzt, die niemand vorhergesehen hat. Derzeit gibt es keine unternehmensweiten Standards dafür, wann ein Agent eine Pause einlegen und eine menschliche Genehmigung einholen sollte, bevor er Maßnahmen ergreift, und bei den meisten Tools müssen die Berechtigungen für jeden Nutzer einzeln konfiguriert werden, was eine unternehmensweite Steuerung derzeit nahezu unmöglich macht.

Diese Lücke wird bereits auf Modellebene ausgenutzt. Eine Forschungsarbeit (Nr. 2025 ) von Lupinacci et al. ergab, dass 100 % der getesteten KI-Modelle bei der Entgegennahme von Anweisungen von anderen KI-Agenten weniger strenge Sicherheitsstandards anwandten als bei Anweisungen von Menschen.

Ein kompromittierter Agent in einem Multi-Agenten-Workflow kann böswillige Anweisungen an andere Agenten weiterleiten, die blockiert würden, wenn sie von einem Menschen gesendet würden. Die Forscher bezeichnen dies als eine Schwachstelle in Form einer „Privilegienausweitung durch KI-Agenten“, die in aktuellen LLM-Architekturen eingebaut ist.

Model Context Protocol (MCP)

Anthropic hat einen offenen Standard namens „Model Context Protocol“ (MCP) entwickelt, um KI-Tools die Möglichkeit zu geben, sich mit anderen Tools, Datenquellen und Systemen zu verbinden. Stellen Sie sich das wie ein USB-C-Kabel vor: Anstatt dass jedes Gerät einen eigenen proprietären Anschluss benötigt, bietet MCP der KI eine einzige standardisierte Möglichkeit, mit Ihrem E-Mail-Postfach, Ihrem Dateisystem, Ihrem Browser, Ihrer Datenbank und allem anderen zu interagieren, was eine kompatible Schnittstelle bereitstellt.

Genau diese Standardisierung macht MCP zudem zu einem erheblichen Unternehmensrisiko. MCP-Server können direkt in Entwicklertools wie VSCode oder Cursor installiert werden, ohne dass dies von IT- oder Sicherheitsteams in nennenswertem Umfang bemerkt wird. Sie übernehmen die Berechtigungen der Person, die sie installiert, und da viele Entwickler lokale Administratoren sind, deren Anmeldedaten, API-Schlüssel und Tokens bereits auf ihren Rechnern gespeichert sind, bedarf es nicht viel, damit ein kompromittierter MCP-Server weitreichenden Zugriff erhält. Dies ist „Shadow MCP“, eine Unterkomponente der Shadow-KI, die über einen überdurchschnittlich großen Explosionsradius verfügt.

Die Angriffsfläche ist vielschichtig und ein Thema, das eine eingehendere Betrachtung verschiedener Techniken erfordert; einige Beispiele hierfür sind:

  • „Tool Poisoning“ – dabei betten Angreifer bösartige Anweisungen in die Beschreibungen von Tools ein, indem sie Zeichen verwenden, die für Menschen unsichtbar, für die KI jedoch lesbar sind, wodurch diese Maßnahmen ergreift, die der Benutzer niemals beabsichtigt hat.
  • „Rug Pulls“, bei denen ein legitimes MCP-Tool nach der Installation unbemerkt aktualisiert wird, um den Datenverkehr umzuleiten oder sensible Daten auf einem Server eines Drittanbieters zu protokollieren, ohne dass für den Benutzer sichtbare Änderungen auftreten.
  • Serverübergreifendes „Tool-Shadowing“, bei dem sich ein bösartiger Server in einen legitimen Server einschleust. Im Jahr 2025 haben Angreifer den offiziellen WhatsApp-MCP-Server nachgebildet und ihn genutzt, um unbemerkt ganze Chatverläufe zu entwenden.
  • Ein Beispiel für eine Kompromittierung der Lieferkette ist „“, bei dem ein bösartiger Server von Anfang an Teil des Produkts war, in einem nicht verifizierten Register veröffentlicht wurde und von einem Nutzer installiert wurde, der keinen Grund hatte, Misstrauen zu hegen. Da es kein einheitliches Überprüfungsverfahren für MCP-Server gibt, stellt dies für die meisten Organisationen einen der wahrscheinlichsten Angriffsvektoren dar.
  • zum Session-Hijacking, veranschaulicht anhand von CVE-2025-6514 – eine kritische OAuth-Sicherheitslücke in einer weit verbreiteten MCP-Komponente, die es Angreifern ermöglichte, dauerhaften Zugriff auf schätzungsweise 437 000 Entwicklungsumgebungen zu erlangen.

Mittlerweile sind über 15 000 MCP-Server im Einsatz. Angesichts dieses Umfangs an neuen Entwicklungen und des Fehlens ausgereifter Sicherheitsstandards steigt die Zahl der CVEs rapide an. Dieses Ökosystem befindet sich noch in einem frühen Stadium, ist weitgehend unreguliert und wird derzeit aktiv erkundet.

Erkenntnisse aus Tanium und Risiken in der Praxis

Im Fall „ September 2025“ nutzte ein vom chinesischen Staat unterstützter Angreifer „Claude Code“, den KI-Programmieragenten von Anthropic, um eigenständig Erkundungsmaßnahmen durchzuführen, Sicherheitslücken auszunutzen und Daten aus rund 30 Organisationen zu entwenden.

Die KI führte schätzungsweise 80 bis 90 Prozent der taktischen Operationen eigenständig durch. Im selben Monat demonstrierten Forscher einen Zero-Click-Angriff auf die „Deep Research“-Funktion von ChatGPT: Eine einzige, gezielt gestaltete E-Mail, die eine versteckte Prompt-Injektion enthielt, entzog Gmail-Daten unbemerkt mit einer Erfolgsquote von 100 Prozent, ohne dass seitens des Opfers irgendeine Aktion erforderlich war.

Im Bereich der Lieferkette verbreitete eine Kampagne namens „GlassWorm“ bösartige Erweiterungen über den OpenVSX-Marktplatz, wobei insgesamt über 10 000 Downloads verzeichnet wurden. Die Erweiterungen nutzten unsichtbare Unicode-Zeichen, um ihren Code zu verbergen, und leiteten gestohlene Daten über eine Command-and-Control-Infrastruktur der Solana-Blockchain weiter – zwei Techniken, die speziell darauf ausgelegt waren, einer Entdeckung zu entgehen.

In jedem einzelnen Fall hatten die Organisationen keinen Einblick in die Umstände, die den Angriff erst möglich gemacht hatten.

Die Untersuchungen von Tanium Guardian geben Aufschluss darüber, wie weit verbreitet „Shadow-KI“ in Unternehmen tatsächlich ist. Wir betrachten zwei Aspekte: lokale KI-Modelldateien auf Endgeräten (z. B. Modelldateien und Framework-Pfade) sowie MCP-Serverkonfigurationen (welche MCP-Tools vorhanden sind und wo).

Was wir beobachten, ist ein eindeutiges Bild: „Shadow-KI“ ist bereits in einem nennenswerten Anteil von Umgebungen vorhanden, und sowohl lokale Modellartefakte als auch der Einsatz von MCP konzentrieren sich in einer Weise, die für die Sichtbarkeit und die Richtlinien von Bedeutung ist.

Was Tanium feststellt

Die Untersuchungen von Tanium Guardian zeichnen ein bekanntes Bild: Die Nutzung von KI in Unternehmen nimmt stark zu, wobei in jeder dritten Umgebung bereits mindestens ein Endpunkt mit indizierten KI-Modelldateien vorhanden ist und in fast der Hälfte der Fälle mindestens ein Endpunkt, auf dem ein MCP-Server konfiguriert ist.

Ob KI auf den Endgeräten zum Einsatz kommt, ist keine offene Frage mehr. Es ist da, und es wächst. Die offene Frage ist, ob diese Präsenz genehmigt, geregelt und verstanden wird.

In der Praxis lassen sich zwei Muster beobachten: Bei einigen Organisationen scheint die Einführung von KI koordiniert voranzugehen; bei anderen verläuft die Einführung eher schleppend – ein Muster, das auf „Schatten-KI“ hindeuten könnte, bei der Tools und Integrationen auftauchen, ohne dass eine klare, zentrale Steuerung vorhanden ist.

Was das lokale Modell betrifft, so sprechen die Artefakte für sich. GGUF-Dateien (im Llama-Stil und ähnliche) verweisen auf lokale LLM- und Embedding-Tools wie beispielsweise Ollama. Safetensors kommen überall dort zum Einsatz, wo Hugging Face und PyTorch zum Einsatz kommen, beispielsweise bei der Zusammenfassung von Gesprächen, bei feinabgestimmten Modellen und in ähnlichen Anwendungsbereichen. PMML eignet sich für ältere, traditionelle Machine-Learning-Lösungen wie SAS, R, sklearn und andere Analysetools. Es handelt sich also nicht nur darum, dass „jemand Ollama ausgeführt hat“, sondern um eine Kombination aus lokalen LLMs, modernem Deep Learning und klassischem maschinellem Lernen.

Auf Seiten des MCP ist die Lage ebenso hektisch. Fast 400 verschiedene, namentlich benannte MCP-Server tauchen durchgängig auf Millionen von Endpunkten auf, sowie eine Handvoll einmaliger oder Nischen-Server, die eine weitere Untersuchung rechtfertigen könnten. Die Namen, die ganz oben stehen, lesen sich wie ein „Who’s Who“ der Geschäftswelt und stehen in Zusammenhang mit einigen der beliebtesten Unternehmens-Tools auf dem Markt.

Es ist zwar unwahrscheinlich, dass es sich bei diesen Tools um „Schatten-KI“ handelt, doch es sind genau diese Tools, die Teams in ihre KI-gestützten Arbeitsabläufe integrieren. Die Frage im Hinblick auf Sicherheit und Governance lautet, ob diese Verkabelung sichtbar ist und angemessen überwacht wird. Angreifer werden nach Möglichkeiten suchen, sich zu tarnen und sich unter legitime Anbieter-Tools zu mischen; seien Sie daher stets wachsam.

Das eigentliche Risiko besteht nicht immer darin, dass „wir in unserem Unternehmen neue KI-Tools einsetzen“. Es heißt: „Wir haben die KI-Tools in unserem Unternehmen noch nicht geprüft und validiert.“ Genau in dieser Lücke zwischen diesen beiden Bereichen muss Governance zum Tragen kommen – und zwar zügig.

Wie Tanium Ihnen hilft

Ohne Einblick darin, welche KI-Tools eingesetzt werden, wo sie laufen und wie sie konfiguriert sind, können Unternehmen keine fundierten Entscheidungen in Bezug auf Governance oder Risiken treffen.

Tanium Guardian im Fokus: Mit den KI-Tools erhalten Sicherheitsteams einen zentralen Überblick über „Shadow-KI“ auf Endgeräteebene in der gesamten Umgebung.

Das Dashboard ermittelt und erfasst:

  • Konfigurierte MCP-Server: Anzahl und Typ (HTTP, SSE, STDIO) der MCP-Server in Entwickler-IDEs sowie Angabe, in welchen IDEs diese vorhanden sind
  • Lokale Modellmanager: Anwendungen wie Ollama, LM Studio und GPT4All; Nutzung in den letzten 90 Tagen; sowie (mit Index/SBOM) AppImage- und containerbasierte Installationen
  • KI-Modelldateien: Über den Tanium Index erkannte eigenständige Modelldateien (z. B. GGUF, SafeTensors) mit Pfad und Namenskontext
  • OpenClaw: Endpunkte, auf denen OpenClaw ausgeführt wird, zur Bewertung der Gefährdung durch die bekannten Risiken

Teams können die Zusammenfassung zur Ermittlung des Umfangs nutzen, den MCP-Abschnitt zur Abstimmung der Server auf die Richtlinien und die Nutzungstrends, um installierte Tools von den aktiv genutzten Tools zu unterscheiden. Der volle Funktionsumfang umfasst den Tanium Index, die SBOM, die Bestandsaufnahme und Nutzungserfassung von Software-Assets sowie die Reaktion auf Bedrohungen.

Weitere Informationen finden Sie im „Guardian Spotlight: AI Tools Release Notes“ unter sowie im „Tech Talk“ unter , in dem es um die Transparenz und die Risiken von KI-Tools geht.

Literaturverzeichnis

Berichte von Shadow AI

MCP-Sicherheit

Bedrohungsinformationen

Lokale LLM-Erkennung

Lieferkette

Verschiedenes – riskante und bösartige KI

Risiken und Sicherheit im Zusammenhang mit künstlicher Intelligenz