Nur 29% der Sicherheitsteams können regelmäßig erfassen, welche sensiblen Daten Beschäftigte an KI-Tools senden

Dieser Artikel basiert auf den Ergebnissen des Umfrageberichts 2026 der Cloud Security Alliance (CSA), DLP im KI-Zeitalter, den Jazz in Auftrag gegeben hat.

Im Juni und Juli fragte die CSA 433 IT- und Sicherheitsexpertinnen und -experten, ob ihr Team einen Bericht erstellen könne, aus dem hervorgeht, wie oft in den vergangenen 30 Tagen sensible Daten an GenKI-Tools gesendet wurden. 29 % gaben an, einen solchen Bericht regelmäßig erstellen zu können.

Diese Zahl wäre weniger bedeutsam, wenn die Befragten GenKI nicht als wichtigen Kanal betrachteten. Sie stuften ihn als ihr größtes Risiko für Datenabfluss ein; 48 % zählten ihn zu ihren drei größten Risiken.

Ich leite die Entwicklungsabteilung eines Unternehmens, das Lösungen zur Verhinderung von Datenverlust entwickelt. Ein Großteil meiner Arbeit dreht sich darum, wo innerhalb eines Systems Belege für Datenbewegungen entstehen und wodurch das damit verbundene Risiko verursacht wird. Aus dieser Perspektive ergibt sich die Lücke zwischen dem, was Teams nach eigener Einschätzung sehen können, und dem, was sie belegen können, unmittelbar daraus, wie die Kontrollen für GenKI konzipiert wurden.

Das Vertrauen in die Sichtbarkeit bei GenKI ist deutlich größer als das, was Teams belegen können

Etwas mehr als die Hälfte der Befragten bewertete ihre Sichtbarkeit bei GenKI mit 4 oder 5 von 5. Doch nur 29 % konnten diese Einschätzung regelmäßig mit einem Bericht untermauern, der schlicht zählt, wie oft sensible Daten an ein KI-Tool gesendet wurden.

Quelle: Cloud Security Alliance, DLP im KI-Zeitalter (2026), n=433. Nach den Diagrammen des Berichts auf S. 22 und 23 neu erstellt.

Bei der Durchsetzung zeigt sich dasselbe Muster. Nur 22 % der Befragten blockieren sensible Daten auf dem GenKI-Kanal konsequent. Wechselmedien, die von den Befragten als das geringste Risiko für Datenabfluss eingestuft wurden, weisen mit 31 % die höchste Quote konsequenter Blockierungen auf. Konsequente Blockierungen konzentrieren sich auf Kanäle mit der ältesten technischen Ausstattung.

Quelle: Cloud Security Alliance, DLP im KI-Zeitalter (2026), n=433. Nach den Diagrammen des Berichts auf S. 23 und 26 neu erstellt; Balken auf 100 % skaliert, wenn Rundungen eine Zeile auf 99 % oder 101 % brachten.

Zusammen mit der Umfrage veröffentlichte Jazz auch Telemetriedaten aus den Umgebungen seiner Kunden. Das durchschnittliche Unternehmen in diesem Datensatz nutzte 169,5 verschiedene KI-Tools. Davon waren 9,8 zugelassen; 94,2 % standen somit nicht auf der Liste der zugelassenen Tools.

Warum diese Lücke entsteht: Eine Tool-Liste erfasst keine Ereignisse

Die übliche Reaktion auf die Risiken von GenKI besteht darin, eine Handvoll KI-Dienste im Rahmen von Unternehmensverträgen zuzulassen und von der Nutzung der übrigen abzuraten oder sie zu blockieren. Die Zahl von 94,2 % zeigt, wie weit diese Liste in der Praxis hinterherhinkt. Wer als Ingenieurin oder Ingenieur unter Zeitdruck steht, nutzt das Tool, das das aktuelle Problem löst – denn die Beschaffung des zugelassenen Tools dauert Wochen.

Selbst eine vollständige Liste würde den von der CSA angefragten Bericht nicht ermöglichen. Ihr Incident-Team oder eine Prüferin beziehungsweise ein Prüfer wird nach einem konkreten Ereignis fragen, bei dem Daten nach außen gelangt sind. Eine Liste von Tools enthält jedoch keine Ereignisse.

Um nachzuweisen, was bei diesem Ereignis geschehen ist, braucht man vier Angaben: um welche sensiblen Daten es ging, welches Tool sie erhalten hat, über welches Konto sie gesendet wurden und warum die Person sie gesendet hat.

Bei den Konten versagt die Governance auf Tool-Ebene zuerst. Über dieselbe Website lassen sich sowohl das Unternehmenskonto Ihrer Firma mit seinen Aufbewahrungseinstellungen und Vertragsbedingungen als auch das kostenlose persönliche Konto eines Mitarbeitenden nutzen, für das beides nicht gilt. Wird ein zugelassenes Tool über ein persönliches Konto verwendet, liefert das ungefähr genauso viele Belege wie die Nutzung eines nicht zugelassenen Tools.

Die Absicht ist schwerer zu ermitteln – und sie entscheidet darüber, ob überhaupt etwas schiefgelaufen ist. Wenn eine Finanzanalystin ein Umsatzmodell in einen Chatbot einfügt, um eine fehlerhafte Formel zu korrigieren, macht sie ihre Arbeit. Derselbe Vorgang verdient eine ganz andere Bewertung, wenn die betreffende Person am Freitag ihre Kündigung eingereicht hat. Der Unterschied liegt im persönlichen Kontext, der in den übermittelten Daten selbst nie sichtbar wird.

Jede der eingesetzten Kontrollen sieht nur einen Bereich

Die Umfrage ergab, dass es keinen vorherrschenden Ansatz gibt, um sensible Daten zu kontrollieren, die an KI-Tools gesendet werden. Die netzwerkbasierte Blockierung von KI-Domains, die Prüfung von Inhalten im Browser und alleinige Richtlinien zur akzeptablen Nutzung kamen jeweils auf Werte zwischen 21 % und 23 %; auf Unternehmens-KI-Plattformen mit integrierter DLP entfielen 10 %.

Jede dieser Kontrollen wurde für einen einzelnen Prüfpunkt entwickelt. Eine Domain-Sperre lässt eine Verbindung zu oder unterbindet sie und protokolliert, welche Website aufgerufen wurde. Eine Browser-Erweiterung erfasst, was in diesem Browser eingegeben wird, und übersieht alles, was über eine Desktop-App, einen in einen Code-Editor integrierten Programmierassistenten oder ein Kommandozeilen-Tool gesendet wird. Die integrierte DLP einer Unternehmens-KI-Plattform erfasst, was in diese Plattform gelangt. Jede dieser Kontrollen prüft nur einen Ort und hofft, dass die Daten genau dorthin fließen.

Der einzelne Prüfpunkt erklärt auch die Zahlen zur Durchsetzung. Kann eine Kontrolle nicht zwischen einem Unternehmenskonto und einem persönlichen Konto oder zwischen einer routinemäßigen Eingabe und einer riskanten unterscheiden, muss sie entweder beides blockieren oder keines von beidem. Eine konsequente Blockierung verhindert dann neben riskanten Vorgängen auch legitime Arbeit. Auf die Frage nach dem Hauptgrund dafür, nicht stärker auf aktive Blockierungen zu setzen, nannten 46 % der Befragten die Sorge, Geschäftsabläufe zu stören, und 39 % ein mangelndes Vertrauen in die Genauigkeit der DLP.

Wichtige Einschränkungen

Die Umfragewerte beruhen auf Selbstauskünften; die Umfrage hat nicht überprüft, ob die Bewertungen der Sichtbarkeit mit der tatsächlichen Abdeckung übereinstimmen. Die Befragten stammen überproportional häufig aus Amerika (80 %) und aus Unternehmen mit weniger als 5.000 Beschäftigten (67 %). Daher lassen sich die Ergebnisse möglicherweise nicht ohne Weiteres auf große globale Unternehmen übertragen. Die Telemetriedaten stammen von Unternehmen, die sich bewusst für den Einsatz dieser Art von Transparenz entschieden haben. Dadurch könnten Unternehmen, die sich ohnehin schon Sorgen über die unkontrollierte Ausbreitung von KI machen, überrepräsentiert sein.

Zugelassene Tools und Agenten machen die Liste noch weniger aussagekräftig

Wenn zugelassene SaaS-Produkte KI-Assistenten integrieren, gibt es auf die Frage, welches Tool die Daten erhalten hat, oft zwei Antworten: die Anwendung, die der Mitarbeiter geöffnet hat, und den dahinterstehenden Anbieter des KI-Modells. KI-Agenten machen die Sache noch komplizierter. Wenn ein Agent eine Datei abruft und sie im Auftrag eines Mitarbeiters an einen anderen Ort sendet, liegen das Wer und das Warum nun teilweise in der Software. Wie ein kürzlich erschienener Beitrag von Unite.AI zu Prompt-Injection in produktiven Agenten darlegt, kann ein Agent durch Inhalte, die er liest, beeinflusst werden. Seine eigene Darstellung dessen, was er getan hat, kann daher nicht als Beleg für seine Absicht dienen.

Ein Test, den Sie diesen Monat durchführen können

Nehmen Sie die letzten 30 Tage und wählen Sie das sensibelste Datum aus, von dem Sie glauben, dass es ein KI-Tool erreicht hat. Prüfen Sie dann, ob Ihr Team Folgendes zusammentragen kann, ohne es manuell zusammenzustellen:

• Um welche Daten es sich handelte und woher sie stammten
• Welches Tool die Daten erhielt, einschließlich Tools außerhalb Ihrer Zulassungsliste
• Ob die Daten über ein Unternehmenskonto oder ein persönliches Konto übermittelt wurden
• Woran die betreffende Person arbeitete, als sie die Daten übermittelte

Wenn Sie die ersten beiden Fragen schnell beantworten können, für die letzten beiden aber den Mitarbeiter befragen müssen, erfasst Ihre Governance zwar Ihre Tool-Liste, aber kaum Ihre Daten.