Die meisten Unternehmen nutzen ChatGPT, Microsoft Copilot und andere KI-Anwendungen für Texte, Recherchen, Analysen oder die tägliche Kommunikation.

Damit stellt sich nicht nur die Frage, ob KI genutzt wird, sondern vor allem, wie sie sicher und verantwortungsvoll eingesetzt werden kann.

Eine unternehmensweite KI-Richtlinie schafft dafür verbindliche Rahmenbedingungen. Sie gibt Mitarbeitern Orientierung und hilft gleichzeitig dabei, Datenschutz, Sicherheit, Compliance und die Anforderungen der DSGVO zu berücksichtigen.

2. Warum Unternehmen eine KI-Richtlinie brauchen

Generative KI ist einfach zugänglich. Ein Browser und ein Account genügen, und schon können Mitarbeiter KI-Anwendungen nutzen, teilweise ohne Wissen der IT-Abteilung.

Problematisch wird das vor allem, wenn dabei sensible Informationen eingegeben werden. Dazu gehören nicht nur personenbezogene Daten, sondern beispielsweise auch Kundendokumente, interne Kalkulationen, Geschäftsgeheimnisse, Quellcode oder vertrauliche Kommunikation.

Ohne klare Vorgaben müssen Mitarbeiter selbst Entscheidungen darüber treffen, welche Informationen sie einer KI anvertrauen dürfen und für welche Aufgaben entsprechende Anwendungen eingesetzt werden können.

Eine KI-Richtlinie schafft deshalb einen klaren Rahmen für einen kontrollierten und sicheren Einsatz und sorgt für einheitliche Strukturen und Prozesse im Unternehmen.

3. Was sollte eine KI-Richtlinie regeln?
Freigegebene KI-Anwendungen

Unternehmen sollten festlegen, welche KI-Tools für geschäftliche Zwecke verwendet werden dürfen. Neue Anwendungen und deren Anbieter sollten vor der Einführung insbesondere hinsichtlich Datenschutz, Informationssicherheit und möglicher Compliance-Anforderungen geprüft werden.

Umgang mit Unternehmensdaten

Besonders wichtig sind klare Regeln für sensible Informationen. Mitarbeiter müssen wissen, welche Daten in KI-Systeme eingegeben werden dürfen und welche nicht.

Neben personenbezogenen Daten betrifft das beispielsweise Geschäfts- und Betriebsgeheimnisse, Kundendaten, Zugangsdaten, interne Dokumente und andere vertrauliche Informationen. Klare Vorgaben unterstützen die Einhaltung interner und gesetzlicher Anforderungen.

Menschliche Kontrolle

KI-Systeme können überzeugende Ergebnisse liefern, die jedoch nicht automatisch korrekt sein müssen. Generative KI kann Informationen erfinden, Zusammenhänge falsch darstellen oder wichtige Details übersehen.

Deshalb sollte speziell bei geschäftskritischen, rechtlichen, finanziellen oder sicherheitsrelevanten Inhalten eine menschliche Überwachung beziehungsweise Prüfung vorgesehen werden.

Ein wichtiger Grundsatz lautet dabei: KI kann Entscheidungen unterstützen, die Verantwortung bleibt jedoch beim Menschen.

Klare Rollen und Verantwortlichkeiten

Auch organisatorisch sollten Unternehmen festlegen, wer für den Einsatz von KI verantwortlich ist. Von wem werden neue Anwendungen freigegeben? Wer bewertet mögliche Risiken? Sind notwendige Dokumentationen vorgesehen und werden sie durchgeführt? Und an wen können sich Mitarbeiter bei Unsicherheiten wenden?

Klare Rollen und Zuständigkeiten verhindern, dass die KI-Nutzung zum ungesteuerten Einzelprojekt verschiedener Abteilungen wird.

4. EU AI Act: neue Pflichten für Unternehmen

Zusätzliche Bedeutung erhält das Thema durch den EU AI Act. Die europäische Verordnung verfolgt einen risikobasierten Ansatz und stellt abhängig vom jeweiligen KI-System und dessen Einsatz unterschiedliche Anforderungen.

Besonders strenge Vorgaben gelten für bestimmte Hochrisiko-KI-Systeme. Unternehmen sollten deshalb prüfen, welche Systeme sie einsetzen, welchem Zweck diese dienen und welche Pflichten daraus entstehen.

Relevant ist außerdem das Thema KI-Kompetenz. Unternehmen, die KI-Systeme einsetzen, müssen Maßnahmen ergreifen, um sicherzustellen, dass die damit arbeitenden Personen über ausreichende Kenntnisse im Umgang mit der Technologie verfügen.

Eine schriftliche Richtlinie allein genügt deshalb nicht. Mitarbeiter sollten die Herausforderungen und Risiken beim Einsatz von KI kennen, mit sensiblen Informationen richtig umgehen und KI-generierte Ergebnisse kritisch überprüfen können.

5. Klare Leitplanken für den Arbeitsalltag

Eine gute KI-Richtlinie sollte Mitarbeitern zeigen, wie KI sicher und verantwortungsvoll genutzt werden kann. Vorgaben müssen deshalb verständlich und im Arbeitsalltag einfach umsetzbar sein.

Hilfreich kann etwa ein Ampelmodell sein:

Grün: Freigegebene Anwendungen und unkritische Anwendungsfälle können genutzt werden.

Gelb: Bestimmte Anwendungen oder Daten benötigen vorab eine Prüfung beziehungsweise Freigabe.

Rot: Sensible Daten oder nicht freigegebene Anwendungen dürfen nicht verwendet werden.

Ein solches Modell erleichtert die Umsetzung im Arbeitsalltag und gibt Mitarbeitenden schnelle Orientierung. Gleichzeitig reduziert es das Risiko einer unkontrollierten Schatten-KI.

6. KI-Governance kontinuierlich weiterentwickeln

Mit einer einmal erstellten Richtlinie ist das Thema nicht abgeschlossen. Die Entwicklung von KI schreitet schnell voran, neue Lösungen kommen hinzu und regulatorische Rahmenbedingungen verändern sich.

Unternehmen sollten ihre KI-Richtlinien regelmäßig überprüfen. Gleichzeitig empfiehlt sich eine strukturierte Dokumentation darüber, welche KI-Systeme eingesetzt werden, für welchen Zweck sie genutzt werden und welche Daten dabei verarbeitet werden.

So entsteht Schritt für Schritt eine KI-Governance, die technische, organisatorische und regulatorische Anforderungen miteinander verbindet und eine verlässliche Grundlage für den langfristigen Einsatz von KI schafft.

7. Fazit: KI sicher einsetzen

Künstliche Intelligenz kann Unternehmen dabei unterstützen, Prozesse besser zu gestalten und Mitarbeitende im Arbeitsalltag zu entlasten. Gleichzeitig entstehen neue Anforderungen an Datenschutz, Informationssicherheit und Compliance.

Klare KI-Richtlinien, definierte Rollen sowie geschulte Mitarbeiter schaffen die Grundlage für einen sicheren und nachvollziehbaren Einsatz. Entscheidend ist, dass die Vorgaben nicht nur dokumentiert, sondern auch im Arbeitsalltag verstanden und umgesetzt werden.

1. Wenn die IT den Überblick verliert

Ein privater Cloud-Speicher für den schnellen Datenaustausch, eine neue SaaS-Anwendung ohne Genehmigung oder ein KI-Tool, das einfach über den Browser genutzt wird: Schatten-IT, auch Shadow IT genannt, entsteht in Unternehmen oft schneller als gedacht.

Das Problem dabei: Die eingesetzte Software und andere Applikationen sind der IT-Abteilung häufig nicht bekannt und wurden entsprechend nicht auf Sicherheit, Datenschutz oder Compliance geprüft.

Für Unternehmen entsteht dadurch ein blinder Fleck und mit ihm verschiedene Sicherheitsrisiken.

2. Was ist Schatten-IT?

Als Schatten-IT werden Anwendungen, Geräte und IT-Dienste bezeichnet, die innerhalb einer Organisation ohne Wissen oder Genehmigung der zuständigen IT-Abteilung eingesetzt werden.

Typische Beispiele sind:

• private Cloud-Speicher und Filesharing-Dienste
• nicht genehmigte SaaS-Anwendungen
• Messenger und Collaboration-Plattformen
• private Geräte für geschäftliche Zwecke
• eigenständig eingerichtete Programme und Automatisierungen
• KI-Anwendungen wie ChatGPT oder andere generative KI-Dienste

Dabei steckt hinter Schatten-IT nur selten eine böse Absicht. Zu den häufigsten Gründen gehört vielmehr, dass Mitarbeitende ihre Arbeit schneller erledigen, bestehende Arbeitsabläufe vereinfachen oder ihre Produktivität steigern möchten.

Genau diese einfache Nutzung neuer Technologie macht Schatten-IT jedoch zu einer Herausforderung für Unternehmen.

3. Warum entsteht Schatten-IT?

Neue Software ist heute innerhalb weniger Minuten verfügbar. Häufig genügen eine E-Mail-Adresse und wenige Klicks, und schon können Benutzer auf eine neue Plattform und deren Funktionen zugreifen.

Schatten-IT entsteht deshalb besonders dort, wo Mitarbeiter und Mitarbeiterinnen mit den vorhandenen Lösungen nicht weiterkommen oder interne Prozesse für die Genehmigung neuer Anwendungen als zu langsam und kompliziert empfinden.

Auch fehlendes Wissen über mögliche Risiken spielt eine Rolle. Nicht jedem ist bewusst, dass bereits das Hochladen einer Datei in einen nicht autorisierten Cloud-Dienst Auswirkungen auf Datenschutz, DSGVO und Informationssicherheit haben kann.

Für Unternehmen lohnt sich deshalb ein genauer Blick auf die Ursachen. Schatten-IT ist dabei nicht nur ein Sicherheitsproblem, sondern kann auch einen Einblick darin geben, an welchen Stellen die vorhandene IT-Infrastruktur und die bereitgestellten Lösungen den Anforderungen der Teams nicht gerecht werden.

4. Welche Risiken entstehen durch Schatten-IT?

Die zentrale Herausforderung besteht in der fehlenden Sichtbarkeit. Unternehmen können Anwendungen und Daten nur wirksam verwalten und schützen, wenn sie von deren Einsatz wissen.

Werden Anwendungen außerhalb der vorgesehenen IT-Strukturen genutzt, greifen etablierte Sicherheitsmaßnahmen möglicherweise nicht. Das kann zu Sicherheitslücken führen und das Risikomanagement erheblich erschweren.

Datenschutz und sensible Daten

Werden personenbezogene oder andere sensible Daten über nicht genehmigte Anwendungen verarbeitet, können Anforderungen aus Datenschutz und DSGVO verletzt werden.

Gleichzeitig ist möglicherweise nicht ausreichend geklärt, wo Informationen gespeichert werden, welcher Anbieter sie verarbeitet und wer Zugriff darauf erhält.

Fehlende Sicherheitskontrollen

Nicht autorisierte Anwendungen sind häufig nicht in das zentrale Security- und Berechtigungsmanagement eingebunden. Vorgesehene Zugriffskontrollen oder andere Sicherheitsfunktionen können dadurch umgangen werden.

Das erhöht das Risiko für Sicherheitslücken und erschwert es den Sicherheitsteams, einen möglichen Vorfall frühzeitig zu erkennen.

Fehlender Überblick über Unternehmensdaten

Verteilen sich Informationen auf verschiedene nicht genehmigte Dienste und Plattformen, verliert die Organisation zunehmend die Kontrolle darüber, wo Daten gespeichert werden und wer darauf zugreifen kann.

Besonders problematisch kann dies werden, wenn Mitarbeitende das Unternehmen verlassen oder ein genutzter Dienst nicht mehr zur Verfügung steht.

5. Von Schatten-IT zu Schatten-KI

Mit dem zunehmenden Einsatz generativer KI erhält auch das Thema Schatten-IT eine neue Dimension. KI-Anwendungen lassen sich häufig direkt über den Browser nutzen und benötigen weder eine Installation noch eine klassische Einbindung in die bestehende IT‑Infrastruktur. Dadurch kann ihre Nutzung für IT- und Sicherheitsteams schwer sichtbar sein.

Bei sogenannter Shadow AI nutzen Mitarbeiter und Mitarbeiterinnen KI-Anwendungen, die vom Unternehmen nicht geprüft oder freigegeben wurden. Besonders relevant ist dabei, welche Informationen an diese Systeme übermittelt werden. Kundendaten, interne Dokumente, Quellcode oder Geschäftsgeheimnisse können beispielsweise bei der Erstellung von Texten, Zusammenfassungen oder Analysen in externe Systeme gelangen.

Neben Datenschutz und Compliance entstehen dadurch weitere Fragen: Wie verarbeitet der Anbieter die eingegebenen Daten? Wer kann darauf zugreifen? Wie zuverlässig sind die erzeugten Ergebnisse? Und lässt sich später nachvollziehen, wie KI bei einer Aufgabe eingesetzt wurde?

Shadow AI erweitert die klassische Schatten-IT damit um neue Herausforderungen und sollte bei der IT- und KI-Governance ausdrücklich berücksichtigt werden.

6. Wie können Unternehmen Schatten-IT reduzieren?

Der erste Schritt ist, Sichtbarkeit über die tatsächlich eingesetzten Anwendungen zu schaffen. Unternehmen sollten erfassen, welche Software, SaaS-Dienste und Applikationen genutzt werden, und anschließend bewerten, welche Risiken damit verbunden sind.

Dabei können unter anderem folgende Fragen helfen: Welche Daten verarbeitet eine Anwendung? Wo werden sie gespeichert? Wer erhält Zugriff? Welche Sicherheitsfunktionen bietet der Anbieter? Und erfüllt die Anwendung die Anforderungen an Datenschutz und Compliance?

Ebenso wichtig sind klare und möglichst einfache Prozesse für neue Software. Mitarbeiter sollten wissen, welche Anwendungen genehmigt sind und wie sie zusätzliche Lösungen zur Prüfung einreichen können. IT- und Sicherheitsteams können so Anforderungen frühzeitig bewerten und geeignete Anwendungen sicher bereitstellen.

Ergänzend helfen technische Maßnahmen wie Zugriffskontrollen, ein zentrales Berechtigungsmanagement sowie regelmäßige Überprüfungen der eingesetzten Dienste. So können Unternehmen Risiken frühzeitig erkennen und ihre IT-Landschaft kontrolliert verwalten.

Damit entsteht ein strukturierter Umgang mit neuen Anwendungen, bei dem Sicherheit, Compliance und produktives Arbeiten miteinander verbunden werden.

7. Mitarbeiter für Schatten-IT sensibilisieren

Technische Maßnahmen und klare Prozesse sind wichtige Bausteine im Umgang mit Schatten-IT. Ebenso entscheidend ist jedoch, dass Mitarbeitende die damit verbundenen Risiken kennen und im Arbeitsalltag richtig einschätzen können.

Regelmäßige Schulungen und Awareness-Maßnahmen vermitteln wichtige Kenntnisse zu Datenschutz, Unternehmensdaten und dem sicheren Einsatz von Software und Cloud-Diensten. Dabei sollte auch erklärt werden, warum bestimmte Anwendungen geprüft werden müssen und welche Folgen die Nutzung nicht autorisierter Dienste haben kann.

Gleichzeitig sollten alle im Unternehmen wissen, an wen sie sich wenden können, wenn eine benötigte Anwendung fehlt oder Unsicherheit bei einem neuen Tool besteht. Ein offener Austausch zwischen Fachbereichen, IT und Sicherheitsteams kann dazu beitragen, Anforderungen frühzeitig zu erkennen.

So wird der sichere Umgang mit IT-Anwendungen zu einem gemeinsamen Bestandteil der täglichen Arbeit und nicht allein zur Aufgabe der IT-Abteilung.

8. Fazit: Schatten-IT braucht klare Strukturen

Schatten-IT gehört in vielen Unternehmen zum Arbeitsalltag. Cloud-Dienste, SaaS-Anwendungen und KI-Tools ermöglichen es Mitarbeitenden, neue Lösungen schnell und unkompliziert einzusetzen. Gleichzeitig können dadurch Anwendungen und Daten außerhalb der vorgesehenen IT-Strukturen gelangen.

Umso wichtiger ist ein transparenter und strukturierter Umgang mit Schatten-IT. Unternehmen sollten wissen, welche Anwendungen genutzt werden, mögliche Risiken bewerten und klare Verantwortlichkeiten für den Einsatz neuer Software schaffen. Technische Sicherheitsmaßnahmen und verständliche Richtlinien gehören dabei ebenso dazu wie die Sensibilisierung der Mitarbeiter und Mitarbeiterinnen.

Eine gut aufgestellte IT-Governance schafft die notwendige Transparenz und Sicherheit und bildet damit die Grundlage für einen verantwortungsvollen Einsatz neuer Technologien im Unternehmen.

Denn die Angreifer haben ihr Vorgehen verändert. Im aktuellen M-Trends-Report 2026 von Mandiant (Google Cloud), der auf über 500.000 Stunden echter Vorfallsuntersuchungen aus dem Jahr 2025 beruht, beschreiben die Analysten einen systematischen Taktikwechsel: Erpresser-Gruppen greifen inzwischen gezielt die Systeme an, mit denen sich ein Unternehmen erholen würde, z.B. Backup-Infrastruktur, Identitätsdienste und die Verwaltung virtueller Server. Die Fachleute nennen das „recovery denial", die Verweigerung der Wiederherstellung. Übersetzt heißt das: Der Angreifer kappt zuerst die Rettungsleine und schlägt erst dann zu. Wer sich allein auf Abwehr und ein nächtliches Backup verlässt, steht in dem Moment mit leeren Händen da.

Damit verschiebt sich die zentrale Frage von der Verhinderung zur Widerstandsfähigkeit. Genau hier liegt der Unterschied zwischen Cyber-Sicherheit und Cyber-Resilienz. Sicherheit will den Vorfall verhindern. Resilienz akzeptiert, dass er eintreten kann, und sorgt dafür, dass das Unternehmen ihn übersteht und schnell wieder arbeitsfähig ist. Für die Geschäftsführung ist das die eigentliche Risikofrage: Wie lange stehen wir still, was kostet uns das und kommen wir überhaupt wieder auf die Beine?

Diese Frage ist seit März 2026 auch eine rechtliche. Mit dem NIS2-Umsetzungsgesetz, das in Deutschland seit dem 6. März 2026 gilt, sind schätzungsweise 29.500 Unternehmen aus 18 Sektoren zu einem Mindestmaß an Cyber-Risikomanagement verpflichtet. Die Verantwortung lässt sich spätestens seitdem nicht mehr vollständig an die IT-Abteilung oder einen Dienstleister delegieren. Das Gesetz nimmt die Leitungsorgane persönlich in die Pflicht, inklusive Haftungsrisiko und Schulungspflicht. Cyber-Sicherheit ist damit endgültig von einem IT-Thema zu einer Aufgabe der Unternehmensführung geworden.

Wer sich dem Thema nähern will, ohne zu versinken, kann jede Maßnahme an drei einfachen Fragen ausrichten.

Erstens: Können wir einen Angriff abwehren? Das sind die klassischen Schutzmaßnahmen, also zum Beispiel geschützte Zugänge, aktuelle Systeme und ein zweiter Anmeldeschritt (Multi-Faktor-Authentifizierung) bei den wichtigsten Konten. Wichtig, weil gestohlene Zugangsdaten laut Mandiant zu den häufigsten Einfallstoren zählen. Aber Abwehr allein genügt nicht.

1. KI bringt Effizienz aber nicht automatisch geringere Kosten

Künstliche Intelligenz wie ChatGPT, Microsoft Copilot, intelligente Suchfunktionen, automatische Dokumentenanalyse oder Unterstützung bei der Softwareentwicklung versprechen höhere Effizienz, schnellere Prozesse und neue Möglichkeiten der Automatisierung.

Mit der Einführung neuer KI-Lösungen entstehen jedoch auch neue Kosten. Häufig konzentrieren sich Unternehmen zunächst auf die Vorteile der Technologie und unterschätzen dabei, wie schnell sich Ausgaben für Lizenzen, API-Nutzung und verschiedene Cloud-Dienste summieren können.

Gerade wenn unterschiedliche Fachbereiche eigenständig neue Anwendungsfälle entwickeln oder verschiedene KI-Plattformen testen, verliert die IT schnell den Überblick über laufende Kosten und die tatsächliche Nutzung. Ob ChatGPT, OpenAI-APIs, Microsoft Copilot oder spezialisierte Lösungen anderer Anbieter, jede Plattform bringt eigene Lizenz- und Abrechnungsmodelle mit. Was zunächst mit wenigen Testzugängen beginnt, entwickelt sich oft zu einer Vielzahl unterschiedlicher Werkzeuge, deren wirtschaftlicher Nutzen kaum noch nachvollziehbar ist.

2. Schatten-IT: Wenn KI unbemerkt ins Unternehmen einzieht

Noch nie war es so einfach, neue Software einzusetzen wie heute. Viele KI-Anwendungen lassen sich innerhalb weniger Minuten buchen und direkt im Browser nutzen. Mitarbeitende benötigen dafür häufig weder eigene Server noch aufwendige Installationen. Genau diese einfache Verfügbarkeit birgt jedoch Risiken.

Marketing testet ein Tool zur Bilderstellung, der Vertrieb nutzt einen KI-Assistenten für E-Mails, die Personalabteilung probiert einen Bewerbungsassistenten aus und die Entwicklung bindet eine API in interne Anwendungen ein. Jede einzelne Entscheidung erscheint sinnvoll. Ohne zentrale Steuerung entstehen jedoch schnell doppelte Lösungen, parallele Lizenzmodelle und unnötige Kosten.

Hinzu kommt, dass viele dieser Dienste zunächst kostenlos getestet werden können. Erst nach Ablauf der Testphase entstehen regelmäßige Gebühren, die im Tagesgeschäft häufig unbemerkt weiterlaufen.

3. Wo die eigentlichen Kosten entstehen

Viele KI-Anwendungen werden heute als Cloud-Service angeboten. Unternehmen zahlen dabei nicht nur für eine Softwarelizenz, sondern häufig zusätzlich für API-Aufrufe, Speicherplatz oder die Anzahl verarbeiteter Daten.

Besonders bei großen Sprachmodellen erfolgt die Abrechnung oft nutzungsabhängig. Jede Anfrage an ein KI-Modell verursacht Kosten. Werden täglich tausende Anfragen verarbeitet oder umfangreiche Dokumente analysiert, steigen die Ausgaben deutlich schneller als zunächst erwartet.

Bei vielen KI-Modellen erfolgt die Abrechnung über sogenannte Token. Je umfangreicher Eingaben und Ausgaben ausfallen oder je leistungsfähiger das verwendete Modell ist, desto höher können die Kosten pro Anfrage werden. Gerade bei automatisierten Prozessen oder einer intensiven Nutzung steigt der Verbrauch häufig schneller als erwartet.

Hinzu kommen unterschiedliche Lizenzmodelle. Neben klassischen Benutzerlizenzen entstehen Kosten für Premium-Funktionen, Entwicklerzugänge oder zusätzliche Sicherheits- und Verwaltungsfunktionen.

Auch die Implementierung einer KI-Lösung verursacht Aufwand. Schnittstellen müssen eingerichtet, bestehende Prozesse angepasst und die vorhandene Infrastruktur berücksichtigt werden. Hinzu kommen Aufwände für Wartung, regelmäßige Optimierungen und zukünftige Erweiterungen.

4. Viele kleine Kosten summieren sich

Die größten Kosten entstehen häufig nicht durch eine einzelne Anwendung, sondern durch viele kleine Entscheidungen im Arbeitsalltag.

Ein Team testet einen KI-Assistenten für die Texterstellung. Die Entwicklungsabteilung nutzt zusätzlich eine API für interne Anwendungen. Marketing führt ein weiteres KI-Tool für Bildgenerierung ein und der Kundenservice setzt auf einen eigenen Chatbot. Jedes dieser Systeme verursacht zunächst überschaubare Kosten.

Ein einfaches Beispiel zeigt, wie schnell sich diese summieren können: Ein Unternehmen startet mit zehn kostenpflichtigen KI-Lizenzen zu je 30 Euro pro Monat. Die monatlichen Kosten liegen zunächst bei 300 Euro. Im Laufe des Jahres kommen weitere Teams hinzu, zusätzliche API-Zugänge werden eingerichtet und verschiedene Fachbereiche testen spezialisierte KI-Dienste. Nach zwölf Monaten entstehen schnell monatliche Kosten von weit über 1.500 Euro – häufig ohne dass jemand beurteilen kann, welche Anwendungen tatsächlich produktiv genutzt werden oder welchen wirtschaftlichen Mehrwert sie liefern.

Hinzu kommen aktuelle Entwicklungen wie KI-Agenten, die eigenständig Aufgaben übernehmen und dabei im Hintergrund zahlreiche API-Aufrufe durchführen. Je nach Umfang der Aufgaben und der eingesetzten Modelle können dadurch deutlich höhere Kosten entstehen als zunächst angenommen.

Gerade weil viele Dienste einzeln betrachtet vergleichsweise günstig erscheinen, werden sie selten kritisch hinterfragt. In der Summe können jedoch erhebliche laufende Kosten entstehen.

5. Fehlende Transparenz wird zum Kostenrisiko

Ein weiteres Problem besteht darin, dass viele Unternehmen keine vollständige Übersicht über ihre eingesetzten KI-Dienste besitzen.

Ein Mitarbeiter schließt kurzfristig ein KI-Abonnement für ein Projekt ab. Ein anderer testet einen neuen Dienst über eine Firmenkreditkarte. Nach Projektende bleiben Lizenzen bestehen oder API-Schlüssel werden weiterhin genutzt, obwohl sie längst nicht mehr benötigt werden.

Nicht selten verlässt der verantwortliche Mitarbeiter später sogar das Unternehmen, während seine Zugänge und kostenpflichtigen Dienste weiterhin aktiv bleiben. Deshalb sollte jederzeit nachvollziehbar dokumentiert werden, wer welche Lizenz oder API aus welchem Grund beschafft hat. Regelmäßige Überprüfungen dieser Übersicht helfen dabei, ungenutzte Zugänge frühzeitig zu erkennen und unnötige Ausgaben dauerhaft zu vermeiden.

Ohne diese Transparenz ist oft nicht nachvollziehbar, welchen Zweck ein Dienst erfüllt oder ob er überhaupt noch verwendet wird.fft. Das Projekt endet, der Zugang bleibt jedoch bestehen. Manchmal sogar dann, wenn der zuständige Mitarbeiter das Unternehmen längst verlassen hat. Deshalb sollte nachvollziehbar dokumentiert werden, wer welche Ressourcen aus welchem Grund angelegt oder bestellt hat. Regelmäßige Überprüfungen dieser Übersicht helfen dabei, ungenutzte Zugänge und Services frühzeitig zu erkennen und unnötige Kosten dauerhaft zu vermeiden.

6. KI ist mehr als nur eine Lizenz

Viele Unternehmen konzentrieren sich bei der Einführung von KI ausschließlich auf die monatlichen Lizenzkosten. Tatsächlich entstehen die größten Aufwände häufig erst im laufenden Betrieb.

Mitarbeitende müssen geschult, Prozesse angepasst und neue Arbeitsweisen etabliert werden. Regelmäßige Schulungen helfen dabei, geeignete Einsatzmöglichkeiten zu erkennen, Risiken zu vermeiden und bessere Ergebnisse bei der täglichen Arbeit zu erzielen. Gleichzeitig müssen Sicherheitsrichtlinien definiert, Datenschutzanforderungen berücksichtigt und Verantwortlichkeiten festgelegt werden. Auch regelmäßige Updates, die Überwachung der eingesetzten Systeme sowie die Bewertung neuer Funktionen gehören langfristig zum Betrieb einer modernen KI-Landschaft.

Wer diese Faktoren bereits bei der Planung berücksichtigt, vermeidet spätere Überraschungen und kann Investitionen wesentlich besser kalkulieren.

7. KI-Kosten aktiv steuern

Unternehmen müssen Innovation nicht bremsen, um Kosten im Griff zu behalten. Entscheidend sind klare Prozesse und transparente Verantwortlichkeiten.

Dazu gehören unter anderem:

• zentrale Verwaltung von KI-Lizenzen und API-Zugängen,
• Dokumentation von Verantwortlichkeiten und Einsatzzwecken,
• regelmäßige Überprüfung der tatsächlichen Nutzung,
• Budgets für Fachbereiche und Projekte,
• kontinuierliche Analyse der laufenden Kosten.

Ebenso wichtig ist die Bewertung des tatsächlichen Nutzens. Nicht jede neue KI-Anwendung verbessert Prozesse dauerhaft. Unternehmen sollten regelmäßig prüfen, welche Lösungen einen messbaren Mehrwert schaffen und welche lediglich zusätzliche Kosten verursachen.

8. Governance wird zum Erfolgsfaktor

Mit der zunehmenden Verbreitung von KI gewinnen auch Themen wie Datenschutz, Informationssicherheit und Compliance an Bedeutung. Neben den Kosten müssen Unternehmen daher auch bewerten, welche Daten verarbeitet werden, welche Modelle zum Einsatz kommen und welche Risiken mit externen Diensten verbunden sind.

Gleichzeitig müssen Unternehmen sicherstellen, dass die eingesetzten Lösungen die Anforderungen der DSGVO erfüllen und Zugriffsrechte eindeutig geregelt sind. Wer auf Enterprise-Versionen setzt, profitiert häufig von erweiterten Sicherheitsfunktionen, zentralem Benutzer- und Zugriffsmanagement sowie einer besseren administrativen Kontrolle.

Eine zentrale KI-Governance sorgt dafür, dass Innovation und Wirtschaftlichkeit miteinander vereinbart werden. Gleichzeitig schafft sie Transparenz über eingesetzte Lösungen und erleichtert die Einhaltung regulatorischer Anforderungen.

Darüber hinaus verhindert eine zentrale Steuerung Doppelanschaffungen. Oft werden ähnliche KI-Lösungen mehrfach beschafft, obwohl bereits geeignete Werkzeuge im Unternehmen vorhanden sind. Eine vollständige Übersicht über Lizenzen, APIs und Verantwortlichkeiten reduziert unnötige Ausgaben und erleichtert zukünftige Investitionsentscheidungen.

9. KI braucht eine langfristige Strategie

Der erfolgreiche Einsatz von Künstlicher Intelligenz beginnt nicht mit der Auswahl eines einzelnen Tools, sondern mit einer klaren Strategie. Unternehmen sollten definieren, welche Geschäftsprozesse sinnvoll unterstützt werden können, welche Ressourcen benötigt werden und wie sich Kosten, Nutzen und Risiken langfristig entwickeln. Nur so entsteht ein nachhaltiger Ansatz, der Innovation und Wirtschaftlichkeit miteinander verbindet.

Eine erfahrene Beratung unterstützt Unternehmen dabei, geeignete Lösungen auszuwählen, die Implementierung zu begleiten und Optimierungspotenziale kontinuierlich zu identifizieren. So entstehen langfristig stabile Prozesse statt unkontrolliert wachsender Einzellösungen.

Fazit

Künstliche Intelligenz bietet Unternehmen enormes Potenzial. Gleichzeitig entstehen durch API-Nutzung, unterschiedliche Lizenzmodelle und zahlreiche Einzellösungen neue Kosten, die ohne klare Steuerung schnell aus dem Blick geraten.

Wer KI strategisch einführt, Verantwortlichkeiten dokumentiert und die Nutzung regelmäßig überprüft, vermeidet nicht nur unnötige Ausgaben. Gleichzeitig entstehen transparente Prozesse, eine bessere Planbarkeit und eine sichere Grundlage für den langfristigen Einsatz moderner KI-Technologien.

1. Warum die Cloud nicht automatisch günstiger ist

Die Cloud gilt als flexibel, skalierbar und wirtschaftlich. Die Vorteile von Cloud-Computing kommen jedoch nur dann vollständig zum Tragen, wenn Ressourcen, Kosten und deren Nutzung dauerhaft transparent gesteuert werden. Anwendungen lassen sich schnell bereitstellen, neue Ressourcen können innerhalb weniger Minuten genutzt werden und Unternehmen bezahlen grundsätzlich nur für die Leistungen, die sie tatsächlich verwenden. Genau dieses Prinzip macht Cloud-Plattformen so attraktiv.

In der Praxis zeigt sich jedoch häufig ein anderes Bild. Nach den ersten erfolgreichen Cloud-Projekten wachsen Umgebungen kontinuierlich weiter. Neue virtuelle Server werden eingerichtet, Speicherplatz erweitert, zusätzliche Dienste aktiviert oder Testumgebungen erstellt. Was zunächst sinnvoll erscheint, entwickelt sich mit der Zeit oft zu einer unübersichtlichen Infrastruktur mit unnötigen Kosten.

Dabei spielt es keine Rolle, ob SaaS-, IaaS– oder andere Cloud-Modelle, ohne klare Governance verlieren Unternehmen schnell den Überblick über ihre tatsächlich genutzten Ressourcen.

Viele Unternehmen stellen deshalb erst spät fest, dass ihre monatlichen Cloud-Ausgaben deutlich stärker steigen als geplant.

2. Warum Cloud-Kosten häufig aus dem Ruder laufen

Die eigentliche Herausforderung liegt selten in den Preisen der Cloud-Anbieter. Viel häufiger fehlen klare Prozesse, Verantwortlichkeiten und eine kontinuierliche Kostenkontrolle.

Entwicklungs-, Test- oder Projektumgebungen bleiben nach Abschluss eines Projekts aktiv. Virtuelle Maschinen laufen dauerhaft, obwohl sie nur zeitweise benötigt werden. Speicher wächst kontinuierlich an, ohne dass nicht mehr benötigte Daten gelöscht werden. Hinzu kommen ungenutzte Lizenzen, überdimensionierte Ressourcen oder mehrfach bereitgestellte Dienste.

Neben virtuellen Maschinen und Speicherkapazitäten verursachen auch ungenutzte Software-Lizenzen oder dauerhaft gebuchte Cloud-Services laufende Kosten, ohne einen messbaren Nutzen für das Unternehmen zu schaffen.

Besonders in hybriden IT-Landschaften entsteht dadurch eine hohe Komplexität. Ohne regelmäßige Analyse verliert die IT schnell den Überblick darüber, welche Ressourcen tatsächlich produktiv genutzt werden und welche lediglich Kosten verursachen.

Ein einfaches Beispiel verdeutlicht, wie schnell sich vermeidbare Kosten summieren können: Läuft eine Testumgebung mit mehreren virtuellen Maschinen nach Projektabschluss unbemerkt weiter und verursacht monatliche Kosten von 300 Euro, entstehen innerhalb eines Jahres bereits 3.600 Euro. Kommen zusätzlich ungenutzte Software-Lizenzen, nicht mehr benötigter Speicherplatz oder weitere Projektumgebungen hinzu, können sich die unnötigen Ausgaben schnell auf einen fünfstelligen Betrag pro Jahr erhöhen.

3. Viele kleine Kosten summieren sich

Ein einzelner virtueller Server verursacht meist keine hohen Kosten. Werden jedoch über Monate oder Jahre zahlreiche nicht benötigte Systeme betrieben, summieren sich die Ausgaben erheblich.

Ähnliches gilt für Datenbanken, Storage oder Backup-Speicher. Häufig werden Kapazitäten großzügig geplant, obwohl der tatsächliche Bedarf deutlich geringer ausfällt. Auch automatische Skalierungsmechanismen werden nicht immer optimal konfiguriert und verursachen dadurch unnötige Kosten.

Gerade in größeren Cloud-Umgebungen entstehen viele dieser Ausgaben schleichend. Sie fallen im Tagesgeschäft kaum auf, wirken sich langfristig jedoch deutlich auf das IT-Budget aus.

4. So senken Sie Ihre Cloud-Kosten

Wer Cloud-Kosten nachhaltig senken möchte, sollte zunächst verstehen, wofür das Budget tatsächlich verwendet wird. Moderne Cloud-Plattformen stellen umfangreiche Auswertungen und Kostenanalysen bereit. Diese Möglichkeiten werden jedoch häufig nur eingeschränkt genutzt.

Erst wenn Ressourcen sauber dokumentiert, Verantwortlichkeiten eindeutig definiert und Kosten einzelnen Projekten oder Fachbereichen zugeordnet werden können, entsteht die notwendige Transparenz für fundierte Entscheidungen.

Moderne Analyse-Tools unterstützen Unternehmen dabei, ihre Cloud-Umgebung kontinuierlich zu überwachen und Optimierungspotenziale frühzeitig zu erkennen.

Ebenso wichtig ist eine regelmäßige Überprüfung der bestehenden Cloud-Umgebung. Nicht jede ursprünglich sinnvolle Ressource wird dauerhaft benötigt. Eine kontinuierliche Optimierung hilft dabei, die Infrastruktur an den tatsächlichen Bedarf anzupassen. Das senkt nicht nur die Kosten, sondern unterstützt Unternehmen auch dabei, nachhaltiger zu wirtschaften. Nicht genutzte Cloud-Ressourcen belegen weiterhin Rechenleistung, Speicher und Energie. Eine effiziente Nutzung der Cloud reduziert daher nicht nur unnötige Ausgaben, sondern auch den Energieverbrauch in Rechenzentren. Nach Angaben der Internationalen Energieagentur (IEA) entfallen weltweit rund 1 bis 1,5 % des gesamten Stromverbrauchs auf Rechenzentren und Datenübertragungsnetze. Das bedeutet auch, ein Anteil, der durch die zunehmende Digitalisierung weiter an Bedeutung gewinnt.

5. FinOps – Cloud-Kosten aktiv steuern

Viele Unternehmen setzen deshalb auf sogenannte FinOps-Ansätze. Dabei arbeiten IT, Controlling und verschiedene Teams eng zusammen, um Cloud-Ausgaben transparent zu steuern und wirtschaftlich zu optimieren.

Dabei geht es nicht ausschließlich darum, Kosten zu senken. Vielmehr sollen Investitionen nachvollziehbar geplant, Ressourcen effizient genutzt und wirtschaftliche Entscheidungen auf Basis transparenter Daten getroffen werden.

Zu einem erfolgreichen Cloud-Kostenmanagement gehören unter anderem:

• regelmäßige Analyse der Cloud-Ausgaben und Ressourcennutzung,
• Abschaltung ungenutzter Systeme und Testumgebungen,
• Optimierung von Speicher-, Compute- und Lizenzkosten,
• Definition von Verantwortlichkeiten und Budgets,
• kontinuierliches Monitoring sowie regelmäßige Kostenreviews.

Ziel ist dabei nicht nur die Kostensenkung, sondern die Entwicklung nachhaltiger Strategien, mit denen Cloud-Ressourcen dauerhaft effizient genutzt werden können.

Ein typisches Beispiel aus dem Arbeitsalltag: Für ein Projekt oder einen Test wird kurzfristig ein neuer Cloud-Service oder eine zusätzliche Lizenz beschafft. Das Projekt endet, der Zugang bleibt jedoch bestehen. Manchmal sogar dann, wenn der zuständige Mitarbeiter das Unternehmen längst verlassen hat. Deshalb sollte nachvollziehbar dokumentiert werden, wer welche Ressourcen aus welchem Grund angelegt oder bestellt hat. Regelmäßige Überprüfungen dieser Übersicht helfen dabei, ungenutzte Zugänge und Services frühzeitig zu erkennen und unnötige Kosten dauerhaft zu vermeiden.

6. Cloud-Optimierung ist ein kontinuierlicher Prozess

Cloud-Umgebungen verändern sich permanent. Neue Anwendungen kommen hinzu, Projekte werden abgeschlossen und Anforderungen entwickeln sich weiter. Deshalb reicht eine einmalige Kostenoptimierung meist nicht aus.

Unternehmen profitieren von festen Prozessen, die Cloud-Ressourcen regelmäßig bewerten und Optimierungspotenziale frühzeitig erkennen. Dadurch lassen sich unnötige Ausgaben vermeiden, ohne die Leistungsfähigkeit oder Sicherheit der IT zu beeinträchtigen.

Gleichzeitig müssen Unternehmen dafür sorgen, dass Flexibilität, sicherer Zugriff und die Leistungsfähigkeit ihrer Cloud-Lösungen auch bei wachsenden Anforderungen erhalten bleiben.

Fazit: Cloud-Kosten aktiv steuern statt nur verwalten

Steigende Cloud-Kosten sind selten die Folge zu hoher Preise der Anbieter. Oft entstehen sie durch fehlende Transparenz, ungenutzte Ressourcen oder mangelnde Governance.

Wer seine Cloud-Umgebung regelmäßig analysiert und Kosten aktiv steuert, schafft nicht nur finanzielle Einsparungen, sondern verbessert gleichzeitig die Effizienz der gesamten IT.

Dabei spielt es keine Rolle, ob Anwendungen in eigenen Rechenzentren, hybriden Umgebungen oder vollständig in der Cloud betrieben werden. Entscheidend ist, dass Hardware, Ressourcen und Services regelmäßig überprüft und an den tatsächlichen Bedarf angepasst werden. Davon profitieren nicht nur die IT-Abteilung, sondern auch die Mitarbeiter, die täglich mit den Cloud-Diensten arbeiten.

So wird die Cloud zu dem, was sie eigentlich sein soll: eine flexible, wirtschaftliche und zukunftssichere Plattform für digitale Geschäftsprozesse.

Genau hier gewinnen unabhängige Zertifizierungen und Testate an Bedeutung. Sie schaffen Vertrauen, weil sie dokumentieren, dass Sicherheitsmaßnahmen nicht nur definiert, sondern regelmäßig überprüft und kontinuierlich weiterentwickelt werden.

Informationssicherheit beginnt mit klaren Strukturen

Ein wirksames Sicherheitsniveau entsteht nicht durch einzelne technische Maßnahmen. Es basiert auf einem systematischen Informationssicherheitsmanagement, das Risiken identifiziert, Verantwortlichkeiten definiert und kontinuierliche Verbesserungen etabliert.

Mit der Zertifizierung nach ISO/IEC 27001 wird genau dieser Ansatz unabhängig bestätigt. Der international anerkannte Standard bescheinigt, dass Sicherheitsrisiken systematisch bewertet, geeignete Maßnahmen umgesetzt und Prozesse dauerhaft überprüft werden. Für Unternehmen schafft das eine belastbare Grundlage für Compliance, Audits und den Schutz sensibler Informationen. Informationssicherheit wird dadurch von einer reaktiven Aufgabe zu einem kontinuierlichen Managementprozess.

Transparenz schafft Vertrauen

Neben etablierten Managementstandards gewinnt auch die unabhängige Prüfung von Cloud-Diensten zunehmend an Bedeutung. Das C5-Testat des Bundesamts für Sicherheit in der Informationstechnik bestätigt, dass Sicherheitsmaßnahmen umfassend dokumentiert und anhand definierter Kriterien geprüft wurden.

Gerade für Unternehmen mit hohen regulatorischen Anforderungen schafft diese Transparenz einen entscheidenden Mehrwert. Sicherheitskonzepte werden nachvollziehbar, Auditprozesse vereinfacht und die Auswahl vertrauenswürdiger Cloud-Dienstleister erleichtert.

Für Kunden bedeutet das vor allem eines: Sie müssen sich nicht allein auf Aussagen verlassen, sondern können auf objektiv überprüfte Sicherheitsstandards vertrauen.

Compliance endet nicht bei einer Zertifizierung

Regulatorische Anforderungen entwickeln sich kontinuierlich weiter. Mit NIS2 und DORA rücken neben technischen Schutzmaßnahmen zunehmend organisatorische Prozesse, Risikomanagement und Governance in den Mittelpunkt.

NIS2 fordert Unternehmen dazu auf, Cybersecurity als Führungsaufgabe zu verstehen. Risiken müssen bewertet, Verantwortlichkeiten eindeutig geregelt und Sicherheitsmaßnahmen kontinuierlich überprüft werden. DORA verfolgt einen ähnlichen Ansatz für den Finanzsektor und stellt die digitale operationelle Resilienz in den Mittelpunkt.

Gemeinsam zeigen diese Regelwerke einen klaren Trend. Informationssicherheit wird immer stärker als unternehmensweite Aufgabe verstanden, die Technik, Organisation und Management miteinander verbindet.

Zertifizierungen schaffen die Grundlage für Resilienz

Unternehmen profitieren deshalb nicht von einzelnen Zertifikaten, sondern vom Zusammenspiel verschiedener Sicherheits- und Compliance-Bausteine.

Ein etabliertes Informationssicherheitsmanagement nach ISO 27001 bildet die organisatorische Grundlage. Ein C5-Testat schafft Transparenz über die Sicherheit von Cloud-Services. Die Umsetzung der Anforderungen aus NIS2 stärkt Governance, Risikomanagement und Incident Response. Ergänzende Leistungen wie DORA-Unterstützung oder ISAE-relevante Nachweise helfen insbesondere regulierten Branchen dabei, Audit- und Dokumentationspflichten effizient zu erfüllen.

So entsteht ein Sicherheitskonzept, das nicht nur regulatorische Anforderungen erfüllt, sondern Unternehmen auch widerstandsfähiger gegenüber Cyberrisiken macht.

Sicherheit als langfristiger Qualitätsanspruch

Informationssicherheit ist kein Projekt mit einem festen Endpunkt. Neue Bedrohungen, regulatorische Entwicklungen und technologische Veränderungen machen eine kontinuierliche Weiterentwicklung erforderlich.

Unternehmen, die Sicherheitsmaßnahmen regelmäßig überprüfen, dokumentieren und unabhängig bestätigen lassen, schaffen mehr als Compliance. Sie schaffen Vertrauen. Dieses Vertrauen bildet die Grundlage für stabile Geschäftsbeziehungen, sichere Cloud-Services und langfristige digitale Resilienz.

Gerade in einer Zeit, in der regulatorische Anforderungen stetig wachsen, werden nachweisbare Sicherheitsstandards damit zu einem entscheidenden Wettbewerbsvorteil.

Der Cloud Computing Compliance Criteria Catalogue, kurz C5, definiert Mindestanforderungen an sicheres Cloud Computing. Das standardisierte Prüf- und Berichtsverfahren schafft Transparenz über die Sicherheitsmaßnahmen eines Cloud-Anbieters und unterstützt Unternehmen dabei, Cloud-Services auf einer nachvollziehbaren Grundlage zu bewerten. (Quelle: BSI)

Zusätzliche Sicherheit und Transparenz für Cloud-Kunden

Das C5 Typ 1-Testat erweitert die bestehenden Sicherheitsnachweise von BLUE Consult um eine cloud-spezifische Prüfung. Gegenstand sind technische und organisatorische Kontrollen, die für die sichere Bereitstellung und den verlässlichen Betrieb von Cloud-Services relevant sind.

Dazu zählen unter anderem Prozesse und Maßnahmen in den Bereichen Informationssicherheit, Zugriffsmanagement, Netzwerksicherheit sowie Backup- und Wiederherstellungsverfahren. Mit dem Testat erhalten Kunden einen unabhängigen Nachweis über die Ausgestaltung zentraler Sicherheitskontrollen der BLUE Cloud.

Diese Transparenz erleichtert es Unternehmen, die Sicherheitsvorkehrungen ihres Cloud-Dienstleisters nachzuvollziehen und in die eigene Risiko-, Audit- und Anbieterbewertung einzubeziehen. Das ist insbesondere für Organisationen relevant, die hohe Anforderungen an Informationssicherheit, Datenschutz und regulatorische Nachweisführung erfüllen müssen.

Mit dem erfolgreichen Abschluss der Prüfung setzt BLUE Consult den eigenen Anspruch fort, Sicherheit nicht nur zu dokumentieren, sondern anhand anerkannter Kriterien überprüfbar zu machen.

Ergänzung der bestehenden Sicherheits- und Compliance-Strategie

Das C5-Testat ergänzt das nach ISO/IEC 27001 zertifizierte Informationssicherheitsmanagement von BLUE Consult. Die ISO-Zertifizierung bestätigt strukturierte Prozesse für den Umgang mit Informationsrisiken und die kontinuierliche Verbesserung des Sicherheitsniveaus. C5 richtet den Blick ergänzend auf die Kontrollen, Prozesse und Rahmenbedingungen der geprüften Cloud-Services.

Für Kunden entsteht daraus eine nachvollziehbare Verbindung aus systematischem Informationssicherheitsmanagement und unabhängig geprüften Cloud-Kontrollen. Sie erhalten damit eine zusätzliche Entscheidungsgrundlage für die Auswahl und Bewertung eines Cloud-Partners.

Auch vor dem Hintergrund regulatorischer Anforderungen wie NIS-2 und DORA gewinnen transparente Sicherheitsnachweise an Bedeutung. Unternehmen müssen Risiken in ihrer IT-Lieferkette und beim Einsatz externer Dienstleister angemessen berücksichtigen. Für Finanzunternehmen schließt DORA ausdrücklich Risiken aus der Nutzung externer IKT-Dienstleistungen und damit auch von Cloud-Services ein.

Das C5-Testat ersetzt dabei nicht die individuelle Erfüllung gesetzlicher oder regulatorischer Pflichten. Es stellt Kunden jedoch strukturierte und unabhängig geprüfte Informationen bereit, die sie bei Risikoanalysen, Audits und Compliance-Nachweisen berücksichtigen können.

Mit der Kombination aus C5 Typ 1-Testat, ISO/IEC-27001-Zertifizierung und eigener Expertise zu NIS-2 und DORA stärkt BLUE Consult die Grundlage für einen transparenten, sicheren und verlässlichen Betrieb seiner Cloud-Services.

Über BLUE Consult

Die BLUE Consult GmbH begleitet Unternehmen bei der Planung, Umsetzung und dem Betrieb moderner IT- und Cloud-Lösungen. Das Leistungsportfolio umfasst Cloud Services, Managed Services und Professional Services sowie Beratung zu Cybersecurity, Informationssicherheit und regulatorischen Anforderungen. Der Hauptsitz des Unternehmens befindet sich in Krefeld. (BLUE Consult GmbH)

1. Viele Unternehmen fühlen sich mit einem Backup sicher – zu Unrecht

„Wir machen jeden Tag ein Backup.“ Diesen Satz hört man in Unternehmen häufig, wenn es um IT-Sicherheit und Ausfallschutz geht. Regelmäßige Datensicherungen sind zweifellos ein wichtiger Bestandteil jeder IT-Strategie. Doch sie beantworten nur eine einzige Frage: Sind die Daten noch vorhanden?

Die viel wichtigere Frage lautet jedoch: Wie schnell kann das Unternehmen nach einem Ausfall wieder arbeitsfähig sein?

Genau hier liegt der Unterschied zwischen einem Backup und einem Recovery-Konzept. Während Backups Daten sichern, beschreibt ein Recovery-Konzept den vollständigen Weg zurück in einen funktionierenden Geschäftsbetrieb. Durch Bedrohungen wie Cyberangriffe und steigende Anforderungen an die Business Continuity reicht es deshalb nicht mehr aus, sich allein auf Datensicherungen zu verlassen.

Ein durchdachter Plan für die Wiederherstellung hilft Unternehmen dabei, auch bei unerwarteten Störungen schnell und strukturiert zu reagieren.

2. Was ein Backup tatsächlich leistet

Ein Backup erstellt eine Kopie von Daten, Anwendungen oder Systemen, damit diese bei Verlust oder Beschädigung wiederhergestellt werden können. Backups bilden die Grundlage jeder Wiederherstellung, ob versehentlich gelöschte Dateien, Hardwaredefekte oder beschädigte Datenbanken.

Damit ein Backup im Ernstfall jedoch wirklich schützt, braucht es eine durchdachte Backup-Strategie. Dazu gehört unter anderem, mehrere Backups an unterschiedlichen Speicherorten vorzuhalten. Liegen sowohl die produktiven Daten als auch das Backup auf demselben Server oder Speichersystem, können sie beispielsweise bei einem Hardwaredefekt, Brand oder Cyberangriff gleichzeitig ausfallen. Erst räumlich oder logisch getrennte Sicherungen sorgen dafür, dass Daten im Ernstfall tatsächlich wiederhergestellt werden können.

Allerdings beantwortet selbst eine gute Backup-Strategie weder die Frage, wie lange eine Wiederherstellung dauert, noch welche Systeme zuerst verfügbar sein müssen oder welche Abhängigkeiten zwischen Anwendungen bestehen.

Gerade in komplexen IT-Landschaften reicht es nicht aus, lediglich Daten zurückzuspielen. Server, virtuelle Maschinen, Active Directory, Netzwerke, Cloud-Dienste und Sicherheitslösungen müssen ebenfalls wieder funktionsfähig miteinander arbeiten.

3. Warum Backups im Ernstfall häufig nicht ausreichen

Nach einem Cyberangriff müssen zunächst Systeme isoliert, Schadsoftware entfernt und die Ursache analysiert werden. Erst wenn sichergestellt ist, dass keine kompromittierten Systeme erneut in Betrieb genommen werden, beginnt die eigentliche Wiederherstellung.

Besonders nach einem Ransomware-Angriff stehen Unternehmen häufig vor der Entscheidung, ob sie ein gefordertes Lösegeld zahlen oder ihre Systeme kontrolliert wiederherstellen. Befindet sich das Backup jedoch auf demselben Server oder Speichersystem wie die produktiven Daten, kann es ebenfalls von der Schadsoftware verschlüsselt oder beschädigt werden. In diesem Fall steht unter Umständen keine saubere Datensicherung mehr zur Verfügung, was die Wiederherstellung erheblich erschwert oder sogar unmöglich macht.

Hinzu kommt, dass oft unklar ist, welche Systeme priorisiert werden müssen. Fällt beispielsweise das ERP-System aus, können Produktion, Logistik und Buchhaltung gleichzeitig betroffen sein. Existiert hierfür kein klar definiertes Wiederanlaufkonzept, verlängert sich die Ausfallzeit erheblich.

4. Was zu einem Recovery-Konzept gehört

Ein professionelles Disaster Recovery beziehungsweise eine strukturierte Notfallwiederherstellung definiert bereits im Vorfeld, wie das Unternehmen nach technischen oder organisatorischen Ereignissen wieder handlungsfähig wird. Ziel ist es, kritische Geschäftsprozesse möglichst schnell wiederherzustellen und Ausfallzeiten zu minimieren.

Dazu gehören unter anderem:

• die Priorisierung geschäftskritischer Systeme, Prozesse und der IT-Infrastruktur,
• klare Verantwortlichkeiten und Kommunikationswege,
• dokumentierte Wiederanlaufpläne,
• definierte Wiederherstellungszeiten (RTO) und maximale Datenverluste (RPO),
• regelmäßige Tests der Wiederherstellung sowie die kontinuierliche Aktualisierung der Konzepte.

Ein dokumentierter Notfallplan sorgt dafür, dass Verantwortlichkeiten, Abläufe und Kommunikationswege bereits vor einem Sicherheitsvorfall eindeutig festgelegt sind. Dadurch können Risiken reduziert und Entscheidungen auch unter hohem Zeitdruck sicher getroffen werden.

5. Recovery muss regelmäßig getestet werden

Ein häufiger Irrtum besteht darin, dass ein vorhandenes Backup automatisch funktioniert. Tatsächlich werden Wiederherstellungen in vielen Unternehmen nur selten getestet. Erst im Ernstfall zeigt sich dann, dass Datensicherungen unvollständig sind, Abhängigkeiten fehlen oder Systeme deutlich länger für den Wiederanlauf benötigen als erwartet.

Regelmäßige Recovery-Tests decken genau diese Schwachstellen auf. Sie zeigen, ob Prozesse funktionieren, Verantwortlichkeiten klar geregelt sind und definierte Wiederherstellungszeiten tatsächlich eingehalten werden können.

Insbesondere im Rahmen regulatorischer Anforderungen wie NIS-2 oder ISO 27001 gewinnen dokumentierte Tests zunehmend an Bedeutung, da Unternehmen ihre Resilienz und Wiederanlauffähigkeit nachweisen müssen.

6. Warum Recovery ein wichtiger Bestandteil der Cyber-Resilienz ist

Cyber-Resilienz bedeutet nicht, Angriffe vollständig zu verhindern. Vielmehr geht es darum, den Geschäftsbetrieb trotz Sicherheitsvorfällen möglichst schnell wieder aufnehmen zu können.

Ziel ist es, die Geschäftskontinuität (Business Continuity) sicherzustellen und die Auswirkungen von Sicherheitsvorfällen oder technischen Ausfällen auf den laufenden Betrieb so gering wie möglich zu halten.

Ein Recovery-Konzept bildet hierfür einen zentralen Baustein. Es reduziert Ausfallzeiten, minimiert wirtschaftliche Schäden und sorgt dafür, dass Unternehmen auch unter schwierigen Bedingungen handlungsfähig bleiben.

Backups bleiben dabei unverzichtbar! Sie sind jedoch nur ein Werkzeug innerhalb einer umfassenden Recovery-Strategie.

Fazit: Struktur schlägt Aktionismus

Backups sichern Daten. Ein Recovery-Konzept sichert den Geschäftsbetrieb.

Unternehmen, die ausschließlich auf Datensicherungen setzen, unterschätzen häufig die organisatorischen und technischen Herausforderungen einer vollständigen Wiederherstellung. Erst ein durchdachtes Recovery-Konzept mit klaren Prozessen, definierten Verantwortlichkeiten und regelmäßig getesteten Wiederanlaufplänen sorgt dafür, dass Systeme, Anwendungen und Geschäftsprozesse nach einem Vorfall zuverlässig wieder verfügbar sind.

Eine ganzheitliche Lösung berücksichtigt dabei nicht nur technische Maßnahmen, sondern auch Prozesse, Verantwortlichkeiten innerhalb der Organisation und die Vorbereitung auf unterschiedliche Szenarien: von Cyberangriffen bis hin zu Naturkatastrophen.

Wer seine IT nachhaltig absichern möchte, sollte Backup und Recovery deshalb nicht als Synonyme betrachten, sondern als zwei eng miteinander verzahnte Bausteine einer modernen Cyber-Resilienz.

Herr Angenheister, viele IT-Leiter stöhnen aktuell über NIS-2. Noch eine Richtlinie, noch mehr Aufwand. Ist das berechtigt?
Ich verstehe die Reaktion gut. Sie erinnert mich an die Einführung der Helmpflicht beim Mofa fahren. Das war nämlich genau in meiner Jugend und zu meiner Mofazeit. Damals hieß es: unbequem, überflüssig, Bevormundung.

Heute wissen wir: Der Helm rettet Leben.

Inzwischen fahre ich Motorrad und ich kann dazu nur sagen, ich fahre nie ohne Schutzkleidung, wenn ich Motorradfahren gehe.

Und genau so sollte man NIS-2 betrachten. Am Anfang wirkt es wie Bürokratie, ist unbequem und vielleicht fühlt es sich nach Bevormundung und überflüssig an. In Wahrheit ist es ein Rahmen, der Unternehmen dazu zwingt, sich ernsthaft mit ihrer eigenen Widerstandsfähigkeit (Cyber Resilienz) auseinanderzusetzen.
Nicht als Selbstzweck, sondern um den eigenen Betrieb zu schützen und für die Zukunft aufzustellen.

Das klingt fast ungewohnt positiv. Wo liegt denn konkret der Nutzen für Unternehmen?
Der zentrale Effekt von NIS-2 liegt in der strukturierten Steuerung von Cybersicherheitsrisiken. Unternehmen sind verpflichtet, Risiken systematisch zu identifizieren, zu bewerten und geeignete Maßnahmen umzusetzen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit ihrer Systeme zu vermeiden bzw. deren Auswirkungen zu minimieren.

 Das zwingt Unternehmen dazu, grundlegende Fragen belastbar zu beantworten, etwa:

• Welche Systeme und Prozesse sind für die Leistungserbringung kritisch?
• Wir haben viel Erfahrung mit IBM-Umgebungen, die oft geschäftskritische Kernprozesse tragen. Hier ist diese Frage wichtig.
• Welche Abhängigkeiten bestehen, auch in der Lieferkette?
• Welche Auswirkungen haben Sicherheitsvorfälle auf den Geschäftsbetrieb?

 Der konkrete Nutzen ergibt sich daraus direkt auf betrieblicher Ebene:

• Reduzierung von Störungen: Sicherheitsmaßnahmen sollen explizit darauf abzielen, Ausfälle zu vermeiden und deren Folgen zu begrenzen
• Verbesserte Reaktionsfähigkeit: Unternehmen müssen Vorfälle erkennen, bewerten und strukturiert darauf reagieren können
• Klare Verantwortlichkeiten: Die Geschäftsführung ist verpflichtet, Maßnahmen umzusetzen und deren Wirksamkeit zu überwachen
• Höhere betriebliche Resilienz: Risiken werden als Geschäftsrisiken verstanden und systematisch in Entscheidungen einbezogen

Sie sprechen IBM-Systeme an. Was bedeutet NIS-2 konkret für IBM Systeme und Infrastrukturen?
Viele denken, dass gerade IBM Systeme besonders sicher und „unangreifbar sind. Das stimmt technisch oft, aber NIS-2 geht deutlich weiter.

Es geht nicht nur um das System selbst, sondern um das Gesamtbild:

• Identity & Access Management (z. B. Benutzer- und Rechtekonzepte)
• Logging und Monitoring (zentrale Auswertung, SIEM-Anbindung)
• Patch- und Schwachstellenmanagement, auch im Zusammenspiel mit angrenzenden Systemen
• Backup- und Recovery-Strategien (Stichwort: getestete Wiederanlaufzeiten)
• Absicherung von Schnittstellen, APIs und angebundenen Cloud-Diensten

Die eigentliche Herausforderung liegt also weniger im einzelnen System, sondern in der Integration in eine ganzheitliche Sicherheitsarchitektur.

Viele Unternehmen empfinden genau diese Komplexität als größte Hürde.
Absolut! Und genau darin liegt gleichzeitig die Chance.

Unternehmen, die ihre IT-Landschaft sauber strukturieren:

• verstehen ihre Abhängigkeiten besser
• reduzieren Komplexität aktiv
• schaffen belastbare Prozesse

Sicherheit wird dadurch vom „Feuerlöscher-Prinzip“ zu einem echten Steuerungsinstrument.

Gerade bei hybriden Architekturen, bei IBM-Systemen kombiniert mit Cloud, Microsoft 365 oder externen Services ist das ein echter Wettbewerbsvorteil.

Ein zentraler Punkt der Richtlinie sind Schulungen. Warum wird dem so viel Gewicht gegeben?
Weil Technik allein nicht reicht. Die meisten Sicherheitsvorfälle entstehen nicht durch fehlende Firewalls, sondern durch Fehlverhalten oder Fehleinschätzungen.

NIS-2 adressiert das sehr klar:

• Die Geschäftsführung muss verstehen, wofür sie haftet und welche Entscheidungen sie treffen muss
• Die Mitarbeiter müssen Risiken erkennen und richtig reagieren können

Konkret geht es um Themen wie:

• Phishing und Social Engineering
• Passwortsicherheit
• Meldewege bei Vorfällen
• Umgang mit externen Dienstleistern
• Verständnis für die eigene Rolle in der Sicherheitskette

Cybersicherheit ist damit keine reine IT-Aufgabe mehr, sondern eine Führungs- und Verhaltensfrage.

Sie haben die Geschäftsführung angesprochen, wie stark ist diese wirklich betroffen?
Sehr stark. NIS-2 lässt sich nicht delegieren.

Die Verantwortung liegt klar auf Management-Ebene:

• Governance
• Risikobewertung
• Priorisierung von Maßnahmen
• Krisenmanagement

Das ist ungewohnt, aber sinnvoll. Denn nur wenn das Thema oben verankert ist, bekommt es die notwendige Priorität im Unternehmen.

Viele sehen vor allem Kosten. Wann rechnet sich das Ganze?
Die bessere Frage ist: Wann rechnet sich die „Sicherheitskleidung“?

NIS-2 hilft konkret dabei:

• teure Ausfälle zu vermeiden
• Schäden durch Angriffe zu reduzieren
• Wiederanlaufzeiten drastisch zu verkürzen

Ein ungeplanter Stillstand einer IBM-basierten Produktions- oder ERP-Umgebung kann schnell sechs- oder siebenstellige Kosten verursachen.
Dagegen sind strukturierte Sicherheitsmaßnahmen eine sehr überschaubare Investition.

Was beobachten Sie aktuell bei Ihren Kunden?
Zwei Extreme:

• „Wir ignorieren das erstmal“
• „Wir sind völlig überfordert“

Beides ist nicht zielführend.
Der richtige Weg liegt dazwischen: strukturiert, pragmatisch, priorisiert.

Und genau da setzen wir an.

Wie unterstützen Sie konkret?
Der eigentliche Nutzen von NIS-2 liegt darin, Cybersicherheit endlich strukturiert und steuerbar zu machen. Unternehmen müssen Risiken systematisch bewerten und beantworten zentrale Fragen: Welche Systeme sind geschäftskritisch? Welche Abhängigkeiten bestehen, auch in der Lieferkette? Und welche Auswirkungen hätte ein Sicherheitsvorfall auf den Betrieb?

NIS-2 zwingt dazu, genau diese Themen belastbar zu klären und liefert damit auch die Grundlage, um IT-Sicherheit intern auf Management-Ebene richtig zu adressieren.

Wie wir unterstützen:
Wir verbinden über 20 Jahre IT-Erfahrung, insbesondere im Umfeld geschäftskritischer IBM-Systeme, mit einer praxisnahen NIS-2-Umsetzung für den Mittelstand. Dabei gehen wir bewusst über Theorie hinaus:

• Analyse Ihrer bestehenden Infrastruktur & Identifikation von Schwachstellen (Gap-Analyse)
• Priorisierung konkreter Maßnahmen statt pauschaler Checklisten
• Umsetzung technischer und organisatorischer Sicherheitsmaßnahmen

Unser Fokus: Ganzheitliche Cyber-Resilienz

• Prävention: Härtung, Zugriffskonzepte, Netzwerksicherheit
• Detection: Monitoring, SIEM/SOC, Transparenz über Angriffe
• Backup & Recovery: Immutable Backups, Wiederanlaufstrategien
• Betrieb & Notfallfähigkeit: Disaster Recovery, Business Continuity
• Infrastruktur: Absicherung von On-Prem, Hybrid- und Cloud-Umgebungen

Das Ziel ist klar: Nicht nur NIS-2 erfüllen, sondern eine IT aufbauen, die auch im Ernstfall stabil und handlungsfähig bleibt.

Zum Abschluss: Ihr wichtigster Rat an IT-Leiter und Entscheider?

Sehen Sie NIS-2 nicht als Pflicht, sondern als Chance.

Oder anders gesagt:
Der Helm ist kein Hindernis.
Er sorgt dafür, dass Sie überhaupt sicher Vollgas geben können.

Herzlichen Dank Herr Angenheister!