Lesezeit: 6 Minuten

IT-Sicherheit in Unternehmen

Künstliche Intelligenz (KI) wird in Unternehmen und Steuerkanzleien zunehmend eingesetzt. Texte werden zusammengefasst, E-Mails formuliert, Dokumente analysiert und Arbeitsabläufe automatisiert.

Werden dafür jedoch nicht freigegebene oder private KI-Anwendungen verwendet, kann ein erhebliches Risiko für die IT-Sicherheit entstehen. Diese unkontrollierte Nutzung wird als Schatten-KI oder „Shadow AI“ bezeichnet. Sie bleibt häufig lange unbemerkt, weil die verwendeten Anwendungen nicht in die bestehende IT-Infrastruktur integriert sind und von den üblichen Sicherheitsmaßnahmen nicht erfasst werden.

Was ist Schatten-KI?

Von Schatten-KI wird gesprochen, wenn Mitarbeitende KI-Anwendungen ohne Wissen oder Freigabe der zuständigen IT-Abteilung nutzen. Dabei kann es sich um öffentliche Chatbots, Browser-Erweiterungen, mobile Anwendungen oder Funktionen in Softwareprodukten handeln, die nicht zentral verwaltet werden. Die Nutzung erfolgt häufig aus nachvollziehbaren Gründen. Arbeitsabläufe sollen beschleunigt werden, eine offizielle KI-Lösung steht noch nicht zur Verfügung oder Zuständigkeiten und Freigabeprozesse sind unklar. Auch fehlende Kenntnisse über interne Vorgaben können dazu führen, dass nicht genehmigte Anwendungen eingesetzt werden.

Blog-Tipp: Löschfristen als wichtiger Bestandteil der IT-Sicherheit

Schatten-KI außerhalb der kontrollierten IT-Landschaft

Nicht freigegebene KI-Dienste befinden sich außerhalb der kontrollierten IT-Landschaft eines Unternehmens. Dadurch ist möglicherweise nicht ausreichend bekannt, wie die Anwendung authentifiziert wird, ob Zugriffe protokolliert werden, welche Sicherheitsstandards beim Anbieter gelten oder ob eingegebene Informationen nach der Nutzung weiterhin abrufbar sind. Auch die vorhandenen Berechtigungen lassen sich häufig nur schwer überprüfen.

Dadurch können Sicherheitslücken entstehen, die mit herkömmlichen Schutzmaßnahmen möglicherweise nicht erkannt werden. Firewalls, Virenschutzprogramme und zentrale Berechtigungsverwaltungen können nur dann wirksam eingesetzt werden, wenn bekannt ist, welche Anwendungen und Zugänge im Unternehmen verwendet werden. Wird eine KI-Anwendung ohne Einbindung der IT-Abteilung genutzt, kann sie unter Umständen außerhalb dieser Schutzmechanismen betrieben werden.

Eine der größten Gefahren besteht darin, dass vertrauliche Informationen in nicht kontrollierte Systeme gelangen.

Blog-Tipp: Cyberangriffe erkennen und verhindern

Eine KI-Richtlinie als Sicherheitsnetz

Schatten-KI lässt sich in der Regel nicht allein durch Verbote verhindern. Werden KI-Anwendungen im Arbeitsalltag benötigt, sollten sichere und geprüfte Alternativen bereitgestellt werden. Eine interne KI-Richtlinie kann festlegen, welche Anwendungen freigegeben sind, welche Konten und Endgeräte verwendet werden dürfen und welche Informationen nicht in KI-Systeme eingegeben werden dürfen.

Darüber hinaus sollte geregelt werden, welche Schnittstellen eingerichtet werden dürfen, wie Zugriffsrechte vergeben und regelmäßig überprüft werden und wie KI-Ergebnisse kontrolliert werden müssen. Auch die Meldewege für unbekannte Anwendungen und mögliche Sicherheitsvorfälle sollten eindeutig beschrieben werden. Für Steuerkanzleien empfiehlt es sich, konkrete Vorgaben für den Umgang mit Buchführungsunterlagen, Lohnabrechnungen, Jahresabschlüssen, Mandantenportalen und internen Zugangsdaten festzulegen.

Die Vorgaben sollten verständlich formuliert und anhand konkreter Beispiele erklärt werden. Allgemeine Verbote reichen nicht aus, wenn Mitarbeitende gleichzeitig unter Zeitdruck stehen und keine geeignete Alternative zur Verfügung haben. Je einfacher eine sichere und freigegebene Lösung genutzt werden kann, desto geringer ist der Anreiz, auf private oder unbekannte Dienste auszuweichen.

Technische Schutzmaßnahmen einsetzen

Neben organisatorischen Regeln sind technische Maßnahmen erforderlich. Dazu können zentrale Unternehmenskonten für freigegebene KI-Anwendungen, eine Multi-Faktor-Authentifizierung und eine rollenbasierte Berechtigungsvergabe gehören. Auch die Protokollierung von Zugriffen, die Kontrolle von Schnittstellen und Erweiterungen sowie die regelmäßige Überprüfung aktiver Anwendungen sind wichtige Bestandteile einer sicheren Nutzung.

Je nach Unternehmensgröße und IT-Struktur können zusätzlich ein Mobile-Device- und Endpoint-Management, eine Netzwerksegmentierung und die Überwachung ungewöhnlicher Datenübertragungen eingesetzt werden. Nicht freigegebene Dienste sollten bei Bedarf zentral gesperrt werden können. Ebenso sollte die Nutzung privater Geräte und Accounts für geschäftliche Aufgaben eindeutig geregelt werden, da bei solchen Zugängen häufig zentrale Sicherheitsvorgaben, Protokollierung und Möglichkeiten zur schnellen Sperrung fehlen.

Blog-Tipp: Sicher in der Digitalisierung

Mitarbeitende sensibilisieren und schulen

Technische Schutzmaßnahmen können nur wirksam sein, wenn Mitarbeitende die damit verbundenen Risiken erkennen. Schulungen sollten deshalb nicht nur auf abstrakte Gefahren hinweisen, sondern typische Situationen aus dem Arbeitsalltag aufgreifen. Es sollte vermittelt werden, woran ein freigegebener Dienst zu erkennen ist, welche Dateien vor einem Upload geprüft werden müssen und welche Informationen niemals in einen Prompt aufgenommen werden dürfen.

Ebenso sollte geklärt werden, wie KI-Ergebnisse fachlich und technisch kontrolliert werden, an wen eine verdächtige Anwendung gemeldet werden kann und was bei einem möglichen Sicherheitsvorfall sofort zu tun ist. Für Steuerberater sollten dabei konkrete Kanzleiprozesse berücksichtigt werden. Dazu zählen etwa der Umgang mit Buchführungsunterlagen, Lohnabrechnungen, Jahresabschlüssen, Mandantenportalen und internen Zugangsdaten.

Nutzung erfassen und Risiken bewerten

Der erste Schritt zu einem sicheren Umgang mit KI besteht darin, die tatsächlich verwendeten Anwendungen zu erfassen. Dabei sollten nicht nur offiziell eingeführte Systeme berücksichtigt werden. Auch Browser-Erweiterungen, private Accounts, mobile Apps und integrierte Funktionen innerhalb bereits eingesetzter Software können relevant sein.

Anschließend sollte bewertet werden, welche Informationen verarbeitet werden, mit welchen Systemen die Anwendung verbunden ist und welche Berechtigungen sie besitzt. Außerdem sollte geprüft werden, ob Zugriffe protokolliert werden, wie ein Zugang im Notfall gesperrt werden kann und welche Sicherheitsanforderungen für den jeweiligen Anbieter gelten. Auf dieser Grundlage können nicht benötigte Anwendungen entfernt, riskante Zugänge gesperrt und geeignete Lösungen offiziell eingeführt werden.

Blog-Tipp: On- und Offboarding in der IT-Sicherheit: So schützen Unternehmen ihre Zugänge und Daten

Schatten-KI als Sicherheitsrisiko

Schatten-KI entsteht häufig nicht aus böser Absicht, sondern aus fehlenden Angeboten, unklaren Regeln oder dem Wunsch, Arbeitsabläufe effizienter zu gestalten. Für Unternehmen und Steuerberater kann die unkontrollierte Nutzung dennoch erhebliche IT-Sicherheitsrisiken verursachen. Gefährdet werden können vertrauliche Informationen, Zugangsdaten, interne Systeme und die Integrität geschäftlicher Prozesse. Zusätzlich können fehlerhafte KI-Ergebnisse zu falschen technischen oder fachlichen Entscheidungen führen.

Eine sichere Strategie besteht deshalb aus mehreren Bausteinen. Die bestehende Nutzung muss sichtbar gemacht, Risiken müssen bewertet und verbindliche Vorgaben müssen geschaffen werden. Gleichzeitig sollten geprüfte KI-Anwendungen, sichere Unternehmenskonten und verständliche Schulungen bereitgestellt werden. So kann Künstliche Intelligenz genutzt werden, ohne die Kontrolle über die eigene IT-Sicherheit zu verlieren.

Das Team von MC-Netzwerke betreut Steuerberater, Unternehmen und andere Organisationen bundesweit im Bereich Digitalisierung und unterstützt diese auch im Bereich IT-Sicherheit und Cloud-Lösungen. Nehmen Sie einfach mit uns Kontakt auf und wir erstellen Ihnen gerne ein praxisnahes und individuelles Angebot.

Dieser Artikel dient zur allgemeinen Erstinformation, ersetzt keine fachliche und individuelle Beratung und erhebt keinen Anspruch auf Vollständigkeit.

Sollten Sie sich unsicher sein, ob Ihre IT-Lösung Schwachstellen hat, nehmen Sie gerne mit uns Kontakt auf.