Inhalt des Artikels
- Claude AI führt eine neue Kategorie von Sicherheitsrisiken für Unternehmen ein, die mit Eingabeaufforderungen, Benutzerdaten und Integrationen zusammenhängen.
- Der Einsatz von „Shadow-KI“ in verschiedenen Geschäftsbereichen erhöht das Risiko des Zugriffs auf sensible Daten, des Verlusts geistigen Eigentums sowie von Compliance-Problemen.
- Agenten- und Entwickler-Workflows erweitern den Umfang der Daten und Datensätze, die im Rahmen der Governance abgedeckt werden müssen, einschließlich KI-generierten Codes sowie Anmeldedaten und Konfigurationen, die in Eingabeaufforderungen und Ausgaben erscheinen können.
- Eine effektive Claude-Verwaltung erfordert Transparenz, die Überwachung von Richtlinien, Archivierung, eDiscovery, Unterstützung bei DSAR-Anfragen, Legal Hold sowie Kontrollen des Nutzerverhaltens.
- Die Claude Enterprise-Integration von Mimecast unterstützt Unternehmen dabei, Claude-Konversationen und zugehörige Daten im Rahmen bestehender Governance-Workflows aufzubewahren, zu durchsuchen, bereitzustellen und zu archivieren.
Generative KI-Tools wie Claude werden zunehmend zu einem festen Bestandteil des Unternehmensalltags – vom Verfassen von Dokumenten über die Analyse von Daten bis hin zur Erstellung von Code und der Unterstützung komplexer Arbeitsabläufe.
Doch mit der zunehmenden Verbreitung von Claude benötigen Sicherheits- und Compliance-Teams Einblicke, die über die Eingabeaufforderungen hinausgehen. Sie müssen die Kommunikation, Dateien, Projekte und erstellten Ergebnisse, die möglicherweise sensible Geschäftsdaten enthalten, kontrollieren.
Dank der Integration von Mimecast in Claude Enterprise können Unternehmen die Aktivitäten von Claude in bestehende Governance-Workflows einbinden, anstatt KI-Konversationen als separaten blinden Fleck zu behandeln.
Was ist Claude und wie wird es im Unternehmen eingesetzt?
Claude AI ist eine Plattform für künstliche Intelligenz, die zur Unterstützung bei Aufgaben wie der Erstellung von Inhalten, der Gewinnung von Erkenntnissen und der Automatisierung von Arbeitsabläufen entwickelt wurde. Unternehmen nutzen es in der Regel für Recherchen, Zusammenfassungen, die Erstellung von Dokumenten sowie als interne Produktivitätswerkzeuge.
Die Einführung erfolgt oft ganz natürlich abteilungsübergreifend, zum Beispiel:
- Marketingteams nutzen Claude Sonnet oder Claude Opus zum Verfassen von Texten
- Entwickler nutzen Claude Code AI zur Erstellung von Skripten und zur Überprüfung von Repositorys.
- Die Betriebsteams nutzen es zur Prozessdokumentation.
Das Unternehmensrisiko hängt davon ab, wie Claude eingesetzt wird. Ein privates Konto, das außerhalb des Governance-Rahmens genutzt wird, weist ein anderes Risikoprofil auf als „Claude Enterprise“, das mit genehmigten Kontrollmaßnahmen eingesetzt wird.
Sicherheitsteams müssen beide Muster verstehen: die unkontrollierte Nutzung von KI, die zu einer „Schatten-KI“-Exposition führt, sowie die genehmigte Nutzung von Claude Enterprise, die dennoch Archivierung, Überwachung, Aufbewahrung und Compliance-Kontrolle erfordert.
Warum es wichtig ist, die Sicherheitsrisiken von Claude zu verstehen
Die Sicherheitsrisiken von Claude gehen über das KI-Modell selbst hinaus. Ein Mitarbeiter kann sensible Informationen in ein Eingabefeld einfügen, vertrauliche Unterlagen hochladen, regulierte Daten zusammenfassen oder Ergebnisse erstellen, die interne Geschäftsdaten enthalten.
Für Unternehmen ergeben sich daraus Risiken in mehreren Bereichen:
- Offenlegung sensibler Daten
- Verlust geistigen Eigentums
- Lücken bei der Compliance und bei der Prüfung
- Unvollständige Antworten im Rahmen von eDiscovery- oder DSAR-Verfahren
- Missbrauch von Insiderinformationen oder versehentliche Offenlegung
- Mangelnde Transparenz bei KI-gestützten Geschäftsentscheidungen
Die Dringlichkeit nimmt zu. Laut dem IBM-Bericht „Cost of a Data Breach Report 2025“ verfügten 63% der Unternehmen, bei denen es zu einer KI-bezogenen Datenschutzverletzung gekommen war, über keine entsprechenden Governance-Richtlinien. Angesichts der im August 2026 auslaufenden Frist für die Umsetzung des EU-KI-Gesetzes und der Tatsache, dass die SEC die KI-Governance zu einer obersten Prüfungspriorität erhoben hat, stellt sich für regulierte Organisationen nicht mehr die Frage, ob sie KI-Governance betreiben sollen, sondern wie schnell sie nachweisen können, dass sie dies bereits tun.
Damit ist die Sicherheit bei Claude ebenso sehr eine Frage der Unternehmensführung wie eine Frage der Cybersicherheit. Sicherheitsteams müssen wissen, welche Informationen an Claude weitergegeben werden, wie diese Informationen aufbewahrt werden und ob sie bei Bedarf durchsucht, gesichert oder vorgelegt werden können.
Wie geht Claude mit Unternehmensdaten um?
Unternehmensdaten fließen auf vielfältige Weise durch Claude, wodurch im Rahmen der routinemäßigen Nutzung mehrere Sicherheitsrisiken entstehen.
Datenoffenlegung durch Eingabeaufforderungen – In Eingabeaufforderungen eingegebene sensible Daten werden als Standardeingabe verarbeitet. Ohne entsprechende Sicherheitsvorkehrungen kann dies unter anderem geschützte Informationen, Zugangsdaten oder vertrauliche Unterlagen umfassen.
Hochgeladene Dateien und Anhänge – Benutzer können Berichte, Tabellenkalkulationen, Verträge oder interne Dokumente zur Analyse hochladen, wodurch sich die Menge der in KI-Workflows verarbeiteten Geschäftsdaten erhöht.
Projekte und gemeinsame Arbeitsbereiche – Mit Claude Enterprise-Projekten lässt sich die Arbeit rund um Teams, Dokumente und wiederkehrende Anwendungsfälle zentralisieren, wodurch die Steuerung und die Aufbewahrung an Bedeutung gewinnen.
Erzeugte Artefakte – Claude kann Zusammenfassungen, Dokumente, Code, Analysen und andere Ergebnisse erstellen, die zu Geschäftsunterlagen werden oder geschäftliche Entscheidungen beeinflussen.
Integrationen und Konnektoren – Vernetzte Systeme können den Umfang der Daten erweitern, auf die Claude zugreifen oder die er beeinflussen kann, insbesondere wenn Integrationen nicht überprüft oder überwacht werden.
Die zentrale Frage im Hinblick auf die Unternehmensführung lautet nicht nur, ob Claude Unternehmensdaten verarbeiten kann. Es geht darum, ob die Organisation diese Daten aufbewahren, durchsuchen, überwachen und bei Bedarf vorlegen kann.
Was übersehen Unternehmen häufig bei der Einführung von Claude?
Unternehmen legen häufig den Schwerpunkt zunächst auf Produktivität und erst in zweiter Linie auf Unternehmensführung. Diese Lücke kann zu mehreren blinden Flecken führen.
Nicht geprüfte Massen-Uploads in Eingabeaufforderungen
Benutzer fügen häufig vollständige Berichte, Tabellenkalkulationen oder Datensätze in Claude ein, um diese zusammenzufassen oder zu analysieren. Dadurch können sensible Informationen, geistiges Eigentum oder regulierte Daten dem KI-System ohne Aufsicht, Protokollierungskontrollen oder Kenntnis der Aufbewahrungsfristen zugänglich gemacht werden.
Kontextübertragung zwischen Gesprächen
Informationen, die in einer Sitzung eingegeben werden, können die Ergebnisse späterer Eingabeaufforderungen innerhalb desselben Arbeitsbereichs oder desselben gemeinsamen Threads beeinflussen. Teams können unbeabsichtigt vertrauliche Erkenntnisse, interne Diskussionen oder firmeneigene Prozesse preisgeben, wenn sie ihre Gespräche über einen längeren Zeitraum hinweg fortsetzen.
Gemischte Konto- und Zugriffsbeschränkungen
Mitarbeiter können ohne klare Abgrenzung zwischen persönlichen Konten, gemeinsamen Teamumgebungen und dem Unternehmenszugang wechseln. Dies schwächt die Unternehmensführung, da sensible Daten möglicherweise außerhalb genehmigter Umgebungen übertragen werden.
Fehlende Archiv- und Rechercheberichterstattung
KI-Gespräche können Geschäftsunterlagen, regulierte Inhalte oder Informationen zum Entscheidungskontext enthalten. Sollten die Aktivitäten von Claude nicht in die Arbeitsabläufe für Archivierung, eDiscovery, DSAR, Rechtsaufbewahrungspflicht oder Überwachung einbezogen werden, könnte es für die Teams später schwierig werden, eine vollständige Dokumentation vorzulegen.
Agentenbasierte KI und Entwickler-Workflows: Eine Governance-Perspektive
Da sich der Einsatz von KI über den Chat hinaus auf Arbeitsabläufe von Agenten und Entwicklern wie Codegenerierung, Repository-Prüfung und Automatisierung ausweitet, wächst das Volumen der geschäftlichen und technischen Daten, die im Rahmen von KI-Interaktionen fließen, und damit auch der Umfang, den die Governance abdecken muss. Von KI generierter Code kann Schwachstellen oder veraltete Abhängigkeiten enthalten, die eine Überprüfung durch Menschen erfordern, und Eingabeaufforderungen oder Ausgaben können Anmeldedaten, Konfigurationsangaben oder firmeneigene Logik offenlegen, die damit faktisch zu sensiblen Daten werden.
Das Leitprinzip ist dasselbe, das sich durch diesen Artikel zieht: Die Aufsicht sollte im Verhältnis zur Leistungsfähigkeit stehen. Unternehmen, die den Einsatz von Claude auf Agenten und Entwickler ausweiten, profitieren von denselben Kontrollmechanismen, die auch für alle anderen KI-Aktivitäten gelten: Transparenz darüber, welche Daten weitergegeben werden, die Aufbewahrung und Durchsuchbarkeit der daraus resultierenden Datensätze sowie die Überwachung auf sensible Inhalte. Diese Kontrollmechanismen sorgen dafür, dass die KI-gestützte Entwicklung überprüfbar und nachvollziehbar bleibt, anstatt dass sie zu einem blinden Fleck wird.
Claude vs. Copilot vs. ChatGPT: Inwiefern unterscheiden sich die Risiken, die von GenAI-Modellen ausgehen?
Verschiedene GenAI-Plattformen bergen Risiken, die davon abhängen, wie sie eingesetzt, verwaltet und integriert werden. Ein eigenständiges Tool kann in erster Linie Risiken im Zusammenhang mit Eingabeaufforderungen und dem Hochladen von Dateien mit sich bringen. Ein eingebettetes oder mit dem Unternehmensnetzwerk verbundenes KI-Tool kann eine umfassendere Nutzung über Dokumente, Arbeitsabläufe, Anwendungen und Umgebungen für die Zusammenarbeit hinweg ermöglichen.
Das Risiko hängt nicht allein davon ab, ob es sich bei der Plattform um Claude, Copilot oder ChatGPT handelt. Das hängt davon ab:
- Auf welche Daten das Tool zugreifen kann
- Welche Benutzer können damit interagieren?
- Ob Aktivitäten protokolliert und gespeichert werden
- Wie die Ergebnisse überprüft werden
- Welche Integrationen oder Konnektoren sind aktiviert?
- Ob die KI-Aktivitäten in die Compliance-Workflows einbezogen werden
Aus diesem Grund sollten Unternehmen von einem modellspezifischen Risikodenken zu Governance-gesteuerten KI-Kontrollmechanismen übergehen.
Wie sieht eine solide Sicherheitsstrategie für Claude aus?
Eine solide Claude-Sicherheitsstrategie sollte Sicherheits-, Governance- und Compliance-Maßnahmen miteinander verbinden. Unternehmen sollten nicht nur überwachen, ob Mitarbeiter Claude nutzen, sondern auch, wie die Aktivitäten im Zusammenhang mit Claude erfasst, überprüft, aufbewahrt und offengelegt werden.
Sicherheitsteams sollten folgende Maßnahmen priorisieren:
- Zugelassene Bereitstellungswege für Claude Enterprise
- Klare Richtlinien zur zulässigen Nutzung
- Zugriffskontrollen für sensible Daten und Repositorien
- Überwachung auf risikobehaftete Eingabeaufforderungen, Uploads und Ausgaben
- Überwachung der Richtlinien für sensible oder regulierte Inhalte
- Archivierung und Aufbewahrung von Claude-Konversationen
- eDiscovery, DSAR, Aufbewahrungspflicht und Bereitschaft zur Überwachung
- Sensibilisierung der Nutzer und Schulungen zum Umgang mit KI-Daten
Das Ziel besteht nicht darin, Claudes Adoption zu verhindern. Ziel ist es, die Einführung von Claude so zu gestalten, dass sie kontrollierbar und vertretbar ist und den bestehenden Compliance-Anforderungen des Unternehmens entspricht.
Wie Mimecast dazu beiträgt, Sicherheitsrisiken im Zusammenhang mit Claude zu verringern
Mimecast unterstützt Unternehmen dabei, Claude-bezogene Risiken zu minimieren, indem es die Aktivitäten von Claude Enterprise in bestehende Governance- und Compliance-Workflows integriert.
Durch die Integration mit der Claude Compliance-API kann Mimecast dabei helfen, Konversationen, Dateianhänge und Projekte in Claude Enterprise zu sichern, zu durchsuchen, bereitzustellen und zu archivieren. Da die Integration auf einem schreibgeschützten Zugriff basiert, liegt ihr Wert in der Transparenz, der umfassenden Erfassung sowie der Nachvollziehbarkeit und nicht in der sofortigen Blockierung von Eingaben oder dem Abfangen von Unterhaltungen in Echtzeit.
Dies ist wichtig, da KI-Konversationen dieselben Arten sensibler Informationen enthalten können wie E-Mails, Tools zur Zusammenarbeit und Geschäftsunterlagen. Ohne entsprechende Governance-Maßnahmen können diese Gespräche zu einem blinden Fleck in Bezug auf die Compliance werden.
Die Integration von Mimecast in Claude Enterprise unterstützt mehrere wichtige Anforderungen im Bereich der Governance:
- Legal Hold, eDiscovery und DSARs: Unterstützen Sie die Aufbewahrung und Bereitstellung von Inhalten aus Claude Enterprise sowie anderer geschäftlicher Kommunikation.
- Überwachung sensibler Daten und Richtlinien: Unterstützt das Aufspüren sensibler Inhalte wie personenbezogener Daten, vertraulicher Informationen, Kontonummern und interner Geschäftsdaten.
- Archivierung und Aufbewahrung im Rahmen der Compliance: Unterstützen Sie die Archivierung von Claude Enterprise-Konversationen und -Dokumenten mithilfe von Aufbewahrungsrichtlinien.
- Datendurchgreifende Erkenntnisse: Unterstützen Sie Teams dabei, Muster in Claude-Konversationen, E-Mails, Teams, Slack und anderen Kommunikationsumgebungen zu erkennen.
Unternehmen können Claude Enterprise einführen und dabei einen besseren Überblick über KI-gestützte Arbeitsabläufe, die Offenlegung sensibler Daten und Compliance-Verpflichtungen behalten.
Die Datensicherheit hängt nicht allein vom GenAI-Modell ab
Die Sicherheitsrisiken bei Claude hängen davon ab, wie Nutzer KI-Systeme einsetzen, welche Daten sie weitergeben, welche Integrationen aktiviert sind und ob Governance-Workflows die KI-Aktivitäten abdecken. Für alle GenAI-Tools gelten dieselben allgemeinen Risikothemen: datenbezogene Risiken durch Prompts, übermäßige Zugriffsrechte, integrationsbedingte Risiken, menschliches Versagen und unvollständige Transparenz.
Unternehmen sollten es vermeiden, Claude als eigenständige „Governance-Insel“ zu behandeln. KI-Daten sollten ebenso wie E-Mails, Kollaborationsplattformen, Dateien und andere Geschäftsunterlagen einer Regelung unterliegen. Dieser Ansatz unterstützt Sicherheits-, Compliance-, Rechts- und IT-Teams dabei, einheitliche Kontrollmaßnahmen auf die gesamte, stetig wachsende Landschaft aus Kommunikations- und KI-Daten anzuwenden.
Minderung der Sicherheitsrisiken im Zusammenhang mit Claude
Claude kann Unternehmen dabei unterstützen, ihre Produktivität zu steigern, Arbeitsabläufe zu beschleunigen und die Wissensarbeit abteilungsübergreifend zu fördern. Der Einsatz in Unternehmen bringt jedoch auch neue Anforderungen in Bezug auf Daten, Governance und Compliance mit sich, da KI-Gespräche, hochgeladene Dateien, Projekte und generierte Artefakte sensible Geschäftsinformationen enthalten können, die Unternehmen aufbewahren, durchsuchen, prüfen und vorlegen müssen.
Sicherheitsteams sollten diesen Risiken mit Richtlinien, Überwachungsmaßnahmen, Zugriffskontrollen, Sensibilisierungsmaßnahmen für Benutzer sowie Governance-Workflows begegnen, die die Aktivitäten von Claude Enterprise einbeziehen. Mimecast unterstützt Unternehmen dabei, Claude Enterprise-Konversationen in bestehende Governance-Workflows zu integrieren, wodurch Teams den Nutzen der KI ausschöpfen und gleichzeitig Risiken durch unkontrollierte Daten minimieren können.
