Von Datenabfluss zu Datenrückfluss: KI-Risiken im Wandel

Die Sicherheitsrisiken beim Einsatz von Künstlicher Intelligenz verändern sich grundlegend. Während Unternehmen bislang vor allem den Abfluss sensibler Daten in externe KI-Dienste kontrollierten, rückt nun eine neue Gefahr in den Fokus: KI-Systeme liefern zunehmend Informationen an Nutzer oder Agenten zurück, die darauf eigentlich keinen Zugriff haben sollten. Das zeigt der aktuelle Netskope Threat Labs AI Report 2026. Gleichzeitig steigt die Nutzung agentischer KI-Systeme und des Model Context Protocol (MCP) rasant, während lokale KI-Modelle und Schatten-KI weiterhin eine wichtige Rolle spielen.

(Fotos: Netskope)

Lange konzentrierten sich Sicherheitsmaßnahmen beim KI-Einsatz darauf, welche Informationen Mitarbeitende an externe KI-Dienste übermitteln. Der Netskope Threat Labs AI Report 2026 zeigt nun eine deutliche Verschiebung der Bedrohungslage. Im Mittelpunkt stehen sogenannte Downstream-Verstöße – Fälle, in denen ein KI-System Daten an einen Nutzer oder Agenten zurückliefert, für die keine Berechtigung besteht.

Nach Angaben von Netskope stieg die Zahl solcher Verstöße innerhalb eines Jahres von durchschnittlich zwölf auf 31 Vorfälle pro Woche und Unternehmen. In den am stärksten betroffenen 25 Prozent der Organisationen erhöhte sich der Wert im gleichen Zeitraum von 72 auf 206 Vorfälle pro Woche.

Damit zählen Downstream-Verstöße inzwischen zur zweithäufigsten Kategorie von KI-Sicherheitswarnungen. Auf 10.000 KI-bezogene Warnmeldungen entfallen 924 dieser Vorfälle. Häufiger sind lediglich sogenannte Upstream-Verstöße (8.752 Warnmeldungen), bei denen sensible Unternehmensdaten an KI-Dienste übermittelt werden. Dahinter folgen Content-Filtering-Verstöße (154), Prompt-Injection- und Jailbreak-Versuche (129) sowie gezielte Anfragen nach sensiblen Informationen (28). Schadcode macht mit fünf Warnmeldungen je 10.000 Ereignissen zwar den kleinsten Anteil aus, gilt laut Report jedoch als besonders kritisch, da autonome Agenten schädlichen Code unmittelbar ausführen oder in größere Codebasen übernehmen können.

Drei Entwicklungsphasen der KI-Sicherheit

Der Report beschreibt eine deutliche Entwicklung der Sicherheitsanforderungen rund um generative KI.

Phase 1: Kontrolle des Datenabflusses. In der Anfangsphase stand die Frage im Mittelpunkt, welche sensiblen Informationen Mitarbeitende an externe KI-Anwendungen übermitteln. Entsprechend lag der Fokus auf der Erkennung von Schatten-KI und der Verhinderung von Datenabflüssen.

Phase 2: Vernetzung durch KI-Agenten. Mit der zunehmenden Nutzung agentischer KI-Systeme verbinden Unternehmen interne Datenquellen immer häufiger direkt mit KI-Modellen. Eine Schlüsselrolle spielt dabei das Model Context Protocol (MCP), das KI-Modelle und Agenten mit externen Werkzeugen sowie internen Datenquellen verknüpft.

Diese Entwicklung verläuft mit hoher Dynamik. Innerhalb von lediglich zehn Wochen stieg laut Netskope die Zahl der MCP-Transaktionen um 375 Prozent, während die Zahl der Nutzer um 250 Prozent zunahm. Zu den wichtigsten MCP-Clients zählen derzeit die Coding-Agenten Claude Code und Codex.

Phase 3: Bidirektionale Risiken. Die Folge dieser stärkeren Vernetzung ist, dass Sicherheitsteams nicht mehr ausschließlich kontrollieren müssen, welche Daten das Unternehmen verlassen. Ebenso wichtig wird die Prüfung jener Informationen, die KI-Systeme wieder zurückliefern. Damit erweitert sich das Risiko vom reinen Datenabfluss auf den unkontrollierten Datenrückfluss.

„Die Bedrohungslage 2026 hat die Phase der reinen Schatten-KI-Erkennung hinter sich gelassen und ist in ein Stadium bidirektionaler, agentischer Risiken eingetreten. Wir überwachen längst nicht mehr nur die Prompts, die Mitarbeitende an externe Modelle senden. Inzwischen steuern wir die Integrität der KI-Lieferkette. Die rasche Einführung des Model Context Protocol verbindet interne Datenspeicher unmittelbar mit externen Agenten, während der sprunghafte Anstieg autonomer Coding-Tools wie Claude Code und Cursor die Hürde für die automatisierte Ausführung von Schadcode drastisch gesenkt hat. Für Sicherheitsteams bedeutet das einen Wandel: weg von der reinen Datenkontrolle, hin zur bidirektionalen Inspektion.

Wir müssen jede agentische Interaktion als potenziellen Ausführungsvektor begreifen, nicht bloß als Datenabfrage“,

erläutert Ray Canzanese, Director of Netskope Threat Labs.

Agentisches Coding setzt sich durch

Parallel verändert sich auch die Softwareentwicklung. Agentische Coding-Plattformen gewinnen deutlich an Bedeutung. Claude Code wird inzwischen von 75 Prozent der Unternehmen genutzt, Codex von 58 Prozent. Beide Lösungen lagen laut Report vor einem Jahr noch bei weniger als einem Prozent.

Insgesamt stieg der Anteil der Unternehmen, die KI-Coding-Anwendungen einsetzen, von 42 auf 84 Prozent. Gleichzeitig stagnieren klassische IDE-basierte Assistenten wie GitHub Copilot und Cursor, während sich der Markt zunehmend in Richtung autonom arbeitender Werkzeuge entwickelt, die Code selbstständig erzeugen und ausführen können.

Auch die allgemeine Nutzung von KI-Plattformen wächst weiter. Der Unternehmensanteil stieg von 51 auf 92 Prozent. Gleichzeitig erhöhte sich das durchschnittliche Prompt-Volumen von 1.498 auf 4.731 Eingaben pro Woche und Unternehmen. Der Anteil der wöchentlichen KI-Nutzer kletterte im Median von 34 auf 59 Prozent.

Schatten-KI bleibt – lokale Modelle gewinnen an Bedeutung

Entgegen der Erwartung vieler Marktbeobachter verschwindet Schatten-KI nicht. Seit März 2026 ist der Rückgang privater KI-Anwendungen laut Netskope zum Stillstand gekommen und hat sich leicht umgekehrt. 56 Prozent der Anwender nutzen ausschließlich verwaltete Anwendungen, 30 Prozent ausschließlich private KI-Apps und 14 Prozent beide Varianten parallel.

Zugleich setzen immer mehr Unternehmen auf eigene KI-Infrastrukturen. 41 Prozent betreiben ihre Modelle lokal über das Open-Source-Framework Ollama. Als wichtigste Gründe nennt der Report die Kontrolle über den Verarbeitungsort der Daten sowie niedrigere Cloud-Kosten. Am häufigsten kommt Googles Gemma4 zum Einsatz (42 Prozent), gefolgt von Alibabas Qwen und Metas Llama.

Nach Einschätzung von Netskope reicht der lokale Betrieb allein jedoch nicht aus. Auch lokal ausgeführte Modelle müssten in zentrale Sicherheits- und Kontrollmechanismen eingebunden werden, da die Risiken nicht nur beim Speicherort der Daten, sondern vor allem bei den Interaktionen zwischen Modellen, Agenten und internen Datenquellen entstehen.

Weitere Informationen und den vollständigen Report stellt Netskope im englischsprachigen Blog bereit.

it&d business Redaktion