KI-Systeme geben Daten zurück – ein unterschätztes Sicherheitsrisiko

Jahrelang konzentrierten sich Sicherheitsverantwortliche darauf, welche Daten ihr Unternehmen in Richtung KI verlassen. Der Netskope Threat Labs AI Report 2026 zeigt nun, dass dieser Blickwinkel zu eng ist: Das eigentliche Risiko läuft zunehmend in die Gegenrichtung. KI-Systeme liefern sensible Daten zurück – an Nutzende oder Agenten, die gar keinen Zugriff darauf haben dürften.

Downstream-Verstösse mehr als verdoppelt

Solche sogenannten Downstream-Verstösse haben sich binnen eines Jahres von durchschnittlich 12 auf 31 pro Woche und Unternehmen mehr als verdoppelt. Bei den am stärksten betroffenen 25 Prozent der Organisationen stieg die Zahl sogar von 72 auf 206. Damit sind Downstream-Verstösse bereits die zweithäufigste KI-Risikokategorie: Auf 10’000 KI-Warnmeldungen entfallen 924 solcher Fälle – fast jeder zehnte. Häufiger sind nur Upstream-Verstösse, bei denen Nutzende sensible Daten an KI-Dienste senden (8’752 von 10’000). Es folgen Content-Filtering-Verstösse (154), Prompt-Injection- und Jailbreak-Versuche (129) sowie gezielte Anfragen nach sensiblen Daten (28). Schadcode bildet mit fünf Warnmeldungen je 10’000 die kleinste, zugleich aber kritischste Kategorie – ein autonomer Agent kann ihn direkt ausführen oder in eine grössere Codebasis übernehmen.

MCP als zentraler Wachstumstreiber

Ein massgeblicher Grund für diese Entwicklung ist die explosive Verbreitung des Model Context Protocol (MCP), über das sich KI-Modelle und Agenten mit externen Datenquellen und Werkzeugen verbinden. In nur zehn Wochen stiegen die MCP-Transaktionen um 375 Prozent, die Nutzerzahlen um 250 Prozent. Zu den wichtigsten MCP-Clients zählen die Coding-Agenten Claude Code und Codex.

Autonomes Coding wird zum Standard

Claude Code ist heute die meistgenutzte Code-Plattform und kommt in 75 Prozent der Unternehmen zum Einsatz; Codex folgt mit 58 Prozent. Beide lagen vor einem Jahr noch unter einem Prozent. Der Anteil der Unternehmen mit KI-Coding-Anwendungen stieg von 42 auf 84 Prozent. Während IDE-basierte Assistenten wie Github Copilot und Cursor stagnieren, verschiebt sich der Markt hin zu Tools, die Code eigenständig erzeugen und ausführen.

Schatten-KI bleibt – der Trend hat sich umgekehrt

Entgegen der Branchenerwartung konsolidiert sich die KI-Nutzung nicht auf freigegebene Plattformen. Der Rückgang privater Anwendungen endete im März 2026 und hat sich seither leicht umgekehrt: 56 Prozent der Nutzenden setzen ausschliesslich auf verwaltete Anwendungen, 30 Prozent ausschliesslich auf private Apps, und 14 Prozent nutzen beides. Statt jeden Anwendungsfall zu migrieren, setzen Unternehmen zunehmend auf Leitplanken. Parallel hat sich der Erkennungsfokus erweitert: von privaten Chatbots hin zu KI-Agenten, MCP-Servern und lokaler KI-Infrastruktur.

Datensouveränität: Zwei von fünf Unternehmen betreiben Modelle lokal

41 Prozent der Unternehmen betreiben KI-Modelle lokal über das Open-Source-Framework Ollama, um die Kontrolle über den Verarbeitungsort zu behalten und Cloud-Kosten zu senken. Führend ist dabei Googles Gemma4 (42 Prozent), gefolgt von Alibabas Qwen und Metas Llama. Wer Modelle lokal betreibt, gewinnt Kontrolle über den Verarbeitungsort – aber nicht automatisch über die Interaktionen. Auch die lokale KI-Infrastruktur gehört deshalb an ein zentrales KI-Gateway.

Weitere zentrale Erkenntnisse des Reports

Regulierte Daten und Quellcode machen je 35 Prozent der Upstream-Verstösse aus, gefolgt von geistigem Eigentum (20 Prozent) sowie Passwörtern und Zugangsschlüsseln (10 Prozent), die meist eingebettet in Quellcode oder Konfigurationsdateien auftauchen. Auf Plattformebene stiegen die Nutzerzahlen von 51 auf 92 Prozent aller Unternehmen. Anthropics Claude Platform hat OpenAI als führenden Anbieter abgelöst; Amazon Bedrock folgt mit Abstand auf Rang drei. Das Prompt-Volumen verdreifachte sich im Schnitt von 1’498 auf 4’731 pro Woche und Unternehmen, im obersten Quartil auf mindestens 19’292. Der Anteil wöchentlicher KI-Nutzenden kletterte im Median von 34 auf 59 Prozent. Zusätzlich nehmen Angriffe auf die KI-Lieferkette zu: Gefälschte KI-Köder – darunter gefälschte Installer und trojanisierte Entwickler-Tools – stiegen im März 2026 sprunghaft an und verbleiben seither auf erhöhtem Niveau.

«Bidirektionale, agentische Risiken»

«Die Bedrohungslage 2026 hat die Phase der reinen Schatten-KI-Erkennung hinter sich gelassen und ist in ein Stadium bidirektionaler, agentischer Risiken eingetreten», erklärt Ray Canzanese, Director of Netskope Threat Labs. «Wir überwachen längst nicht mehr nur die Prompts, die Mitarbeitende an externe Modelle senden. Inzwischen steuern wir die Integrität der KI-Lieferkette. Die rasche Einführung des Model Context Protocol verbindet interne Datenspeicher unmittelbar mit externen Agenten, während der sprunghafte Anstieg autonomer Coding-Tools wie Claude Code und Cursor die Hürde für die automatisierte Ausführung von Schadcode drastisch gesenkt hat. Für Sicherheitsteams bedeutet das einen Wandel: weg von der reinen Datenkontrolle, hin zur bidirektionalen Inspektion. Wir müssen jede agentische Interaktion als potenziellen Ausführungsvektor begreifen, nicht bloss als Datenabfrage.»

Die Analyse des Reports basiert auf aggregierten Nutzungsdaten der Netskope-One-Plattform für einen Teil der Netskope-Kunden im Zeitraum Juni 2025 bis Juli 2026.

Weitere Informationen: www.netskope.com

Dieser Beitrag erschien ursprünglich auf m-q.ch - https://www.m-q.ch/de/ki-systeme-geben-daten-zurueck-ein-unterschaetztes-sicherheitsrisiko/