Seit einigen Monaten tauchen generative KI-Tools wieder an allen Ecken auf. Offiziell eingeführt wird davon nur ein Bruchteil, der Rest läuft als Schatten-KI: Mitarbeitende testen neue Dienste, laden Daten hoch, und kurz darauf schlägt die Security Alarm. In vielen Tenants, die ich betreue, kommen dann immer dieselben zwei Fragen auf. Welche generativen KI-Apps werden im Unternehmen eigentlich genutzt? Und wie sperrt man riskante Dienste zuverlässig, ohne die wenigen wirklich nützlichen Produktivwerkzeuge gleich mit auszubremsen?

Cloud Discovery liefert den Ausgangspunkt für die Suche nach Schatten-KI

Seit Defender for Endpoint und Defender for Cloud Apps zusammenspielen, hat sich hier einiges getan. Die Cloud-Discovery-Funktion wertet die ausgehenden Verbindungen der Windows-Geräte automatisch aus und stellt sie zentral im Defender-Portal dar. Bei Schatten-KI ist das ausgesprochen aufschlussreich. Mit aktivem Netzwerkschutz auf dem Endpoint seht ihr, welche KI-Tools aufgerufen werden, und bekommt zugleich Angaben zum Nutzungsvolumen und zu möglichen Risiken. Das klappt auf allen Geräten, die in Defender for Endpoint onboardet sind, vorausgesetzt, Cloud Discovery ist eingeschaltet. Ohne E5-Lizenz oder Sicherheits-Add-on geht es nicht, und den Netzwerkschutz solltet ihr möglichst im Blockmodus betreiben. Die Voraussetzungen im Detail beschreibt Microsoft hier: Cloud Discovery – Microsoft Defender for Cloud Apps.

Der Cloud app catalog filtert und bewertet generative KI-Apps

Im Defender-Portal (Portal → Cloud Apps → Cloud app catalog) könnt ihr den Katalog nach Kategorien filtern. Am nützlichsten ist dabei der Filter „+Generative AI“. Damit erkennt man sofort, welche KI-Tools die Nutzer aufgerufen haben, vom Chatbot über den Bildgenerator bis zum spezialisierten SaaS-Angebot. Sehr praktisch finde ich den Risiko-Score, den Defender für jede App automatisch berechnet. Er bezieht Datensicherheit, Compliance, Zertifizierungen und, je nach App, auch bekannte Vorfälle ein. Bewährt hat sich bei mir diese Reihenfolge:

  • Im Cloud app catalog auf die Kategorie „Generative AI“ filtern
  • Die Liste absteigend nach Risiko sortieren
  • Die im Unternehmen tatsächlich genutzten Apps heraussuchen (dafür gibt es die Spalte „Discovered“)
  • Unbekannte oder auffällige Dienste zuerst angehen
  • Die App-Details prüfen: Wer nutzt die App, wie häufig und von welchen Standorten aus?

Mit diesem schnellen Überblick verzettelt man sich nicht im Klein-Klein. Wundert ihr euch, warum manche KI-Tools nicht auftauchen? Microsoft pflegt den Katalog fortlaufend, und die Erkennung funktioniert nur mit sauberen Endpoint-Signalen und einer intakten Cloud-Discovery-Anbindung. In die offizielle Dokumentation zu Governance und Discovery schaue ich selbst regelmäßig.

Als Unsanctioned markierte KI-Apps sperrt Endpoint Network Protection auf dem Gerät

Sobald ihr riskante Tools gefunden habt, könnt ihr sie im Defender-Portal einzeln als „Unsanctioned“ markieren, entweder per Rechtsklick im Cloud app catalog oder im Detailfenster der App. Der eigentliche Vorteil liegt darin, dass solche Apps automatisch auf der Blockliste von Endpoint Network Protection landen. Das setzt voraus, dass der Netzwerkschutz aktiviert und Defender for Endpoint mit dem Tenant verknüpft ist. Auf dem Gerät lassen sich diese KI-Dienste dann schlicht nicht mehr öffnen. Gegen Schatten-KI ist eine solche technische Sperre sehr wirksam. Meine Erfahrung zeigt allerdings auch, dass bei allzu strengen Blocklisten schnell produktive oder von den Fachbereichen geduldete Tools mit auf der Sperrliste stehen. Ich rate deshalb, die genehmigten KI-Anwendungen gleichzeitig ausdrücklich als „Sanctioned“ zu kennzeichnen. Dann wissen Security-Team und Nutzer gleichermaßen, woran sie sind.

Das folgende Mermaid-Diagramm zeigt, wie Cloud Discovery, App-Katalog und Endpoint-Netzwerkschutz zusammenwirken:

flowchart TD
    DefenderEndpoint["Defender for Endpoint"] --> CloudDiscovery["Cloud Discovery"]
    CloudDiscovery --> AppCatalog["Cloud App Catalog"]
    AppCatalog --> Risikoanalyse["Risikoanalyse"]
    Risikoanalyse --> Unsanctioned["App als Unsanctioned markieren"]
    Unsanctioned --> NetworkProtection["Endpoint Network Protection"]
    AppCatalog --> Sanctioned["App als Sanctioned markieren"]

Abbildung: Erkennung und Kontrolle von Schatten-KI mit Defender for Cloud Apps und Endpoint Network Protection.

Purview DSPM for AI ergänzt die Sperren um Kontext und Compliance

Mit dem bloßen Blockieren von KI-Tools ist es selten getan. In meinen Projekten nehme ich deshalb gern Microsoft Purview DSPM for AI dazu, sofern die Lizenz vorhanden ist. DSPM (Data Security Posture Management) untersucht, welche Daten tatsächlich in KI-Anwendungen verarbeitet werden. Erst dadurch wird sichtbar, wie hoch das Risiko durch Schatten-KI wirklich ist. Ihr erkennt besonders exponierte Datenbestände und Nutzergruppen und könnt DLP- und Zugriffsrichtlinien zielgenauer ausrollen. Noch läuft die Integration nicht in jedem Tenant reibungslos. Zusammen mit Network Protection bekommt man aber ein deutlich klareres Bild der tatsächlichen Risiken. Mehr dazu habe ich hier aufgeschrieben: DSPM for AI in Purview: KI-Nutzung sicher und sichtbar.

Mein Tipp aus der Praxis: Cloud Discovery, risikobasierte Sanktionierung und DSPM for AI ergänzen sich hervorragend. Das gilt allerdings nur, solange die Endpoint-Integration sauber funktioniert und ihr die Blocklisten regelmäßig überprüft.

Schatten-KI lässt sich beherrschen, läuft aber nicht von allein

Klassische Proxy-Logs oder Firewall-Regeln reichen nicht aus, um Schatten-KI zu erkennen und in den Griff zu bekommen. Defender for Cloud Apps mit Cloud Discovery, der Katalog für generative KI-Anwendungen und die Netzwerkblockierung auf dem Endpoint gehören für Security-Teams inzwischen zum Pflichtprogramm. Purview DSPM for AI macht darüber hinaus die wirklich sensiblen Datenflüsse transparent. Wie bei jeder Lösung braucht auch diese laufende Pflege, und die größte Lücke liegt meist in der Organisation, nicht in der Technik. Mit den passenden Werkzeugen wird aus dem blinden Fleck Schatten-KI aber ein Risiko, das sich steuern lässt. Wer tiefer einsteigen möchte, findet in meinem Beitrag Network Protection in Defender richtig per Intune ausrollen die nächsten Schritte.