Eine Kollegin braucht bis morgen früh zwölf Produkttexte. Der Freigabeprozess für neue Software dauert bei euch im Schnitt drei Wochen. Also legt sie ein Konto bei einem KI-Schreibtool an, zahlt 29 Euro im Monat über ihre eigene Kreditkarte und lädt die Produktdatenbank hoch. Um 19:10 Uhr sind die Texte fertig.
Inhaltsverzeichnis
- Warum Schatten-IT im Marketing entsteht
- Die vier häufigsten Auslöser
- Welches Risiko real ist und welches überschätzt wird
- Was Schatten-IT kostet, bevor etwas passiert
- Selbstcheck: Wie ausgeprägt ist Schatten-IT bei euch?
- Tool-Inventur in fünf Schritten
- Fünf Fehler, die die Lage verschlimmern
- Wann eine zentrale Plattform die richtige Antwort ist
- Wann dieser Ansatz nicht passt
- Fazit: Nicht die Tools sind das Problem, sondern die Unsichtbarkeit
- Häufige Fragen
- Ihr wisst nicht genau, welche Tools bei euch im Einsatz sind?
- Dennis Gumprich
- Passend zum Thema
- Quellen
- Aktualisierung
- Entstehung dieses Beitrags
- Rechtlicher Hinweis
Sie hat nichts falsch gemacht. Sie hat euer Problem gelöst. Nur weiß jetzt niemand im Unternehmen, dass eure Produktdaten auf einem Server liegen, zu dem ihr keinen Vertrag habt.
Schatten-IT im Marketing ist Software, die ein Team eigenständig einsetzt, ohne dass IT, Datenschutz oder Einkauf davon wissen. Sie entsteht fast immer aus Zeitdruck, nicht aus Nachlässigkeit. Das Risiko liegt weniger im einzelnen Tool als darin, dass niemand weiß, welche Daten wohin fließen und wer im Ernstfall haftet.
Warum Schatten-IT im Marketing entsteht
Schatten-IT ist kein Disziplinproblem. Sie ist ein Symptom für eine Lücke zwischen Anforderung und Freigabegeschwindigkeit.
Im Marketing ist diese Lücke besonders groß, weil drei Faktoren zusammenkommen: Der Bedarf ist kurzfristig, die Tools sind in Minuten startklar, und die Einstiegskosten liegen unterhalb jeder Beschaffungsschwelle. Wenn eure IT für eine Freigabe drei Wochen braucht und ein KI-Tool in drei Minuten läuft, entscheidet sich die Frage von selbst.
Seit generative KI im Alltag angekommen ist, hat sich das Muster verschärft. Ein Textassistent, ein Bildgenerator, ein Transkriptionsdienst, ein Übersetzungstool: Jedes einzelne wirkt harmlos. In Summe entsteht eine Infrastruktur, die niemand dokumentiert hat.
Die vier häufigsten Auslöser
- Freigabeprozesse ohne Frist. Ein Prozess ohne zugesagte Bearbeitungszeit wird umgangen, sobald der Termindruck steigt.
- Vertraute Tools aus früheren Stellen. Niemand hinterfragt ein Programm, das im letzten Job auch schon lief.
- Verteilte Arbeit. Im Homeoffice fühlt sich die Toolentscheidung wie eine private an, obwohl Firmendaten fließen.
- Externe Partner. Agenturen und Freelancer bringen ihre eigene Toollandschaft mit. Deren Konten tauchen in keiner internen Übersicht auf.
Welches Risiko real ist und welches überschätzt wird
Nicht jedes ungenehmigte Tool ist gefährlich. Eine differenzierte Einschätzung hilft euch mehr als ein pauschales Verbot, das ohnehin niemand einhält.
| Situation | Risiko | Sinnvolle Reaktion |
|---|---|---|
| Tool verarbeitet nur öffentlich verfügbare Inhalte, kein Login mit Firmendaten | gering | Dulden, aber erfassen |
| Firmeninterne, nicht personenbezogene Inhalte wie Produktdaten oder Strategiepapiere | mittel | Vertragslage prüfen, dann überführen oder ersetzen |
| Personenbezogene Daten wie Kundenlisten, Bewerbungen, Mitarbeiterfotos | hoch | Sofort stoppen, Datenschutzbeauftragte einbinden |
| Tool trainiert nachweislich auf euren Eingaben | hoch | Sofort stoppen, Eingaben dokumentieren |
| Tool erzeugt veröffentlichte Inhalte ohne Kennzeichnung | mittel bis hoch | Kennzeichnungspflichten prüfen |
Die rechtliche Dimension ist nicht theoretisch. Nach Artikel 83 Absatz 5 der Datenschutz-Grundverordnung sind bei schweren Verstößen Geldbußen bis zu 20 Millionen Euro oder bis zu 4 Prozent des weltweiten Jahresumsatzes möglich, je nachdem, welcher Betrag höher ist. Praktisch relevanter als die Höchstgrenze ist allerdings ein anderer Punkt: Ohne Eintrag im Verarbeitungsverzeichnis kann euer Unternehmen bei einer Prüfung nicht nachweisen, dass es weiß, wo seine Daten liegen.
Zeitlicher Hinweis: Mit der KI-Verordnung der EU (Verordnung 2024/1689) kommen Transparenzpflichten für KI-generierte Inhalte hinzu. Der Anwendungsbeginn für die Transparenzvorschriften liegt nach dem in der Verordnung festgelegten Zeitplan im August 2026. Prüft den für euch geltenden Stand mit eurer Rechtsabteilung, bevor ihr interne Richtlinien darauf aufbaut.
Was Schatten-IT kostet, bevor etwas passiert
Der Schaden entsteht selten durch einen Vorfall. Er entsteht laufend und unsichtbar, weil Wissen und Daten sich verteilen.
Die folgende Rechnung ist ein Arbeitsmodell, keine Studie. Ihr könnt sie in einer Stunde mit eurem eigenen Team validieren, indem ihr drei Kolleginnen fragt, wie viel Zeit pro Woche für Suchen, Nachfragen und doppelte Pflege draufgeht.
Dazu kommen drei Effekte, die sich schlechter beziffern lassen, aber jeder im Team kennt:
- Wissen verlässt das Unternehmen mit der Person. Wenn eine Kollegin kündigt, geht der Zugang zu ihrem Tool mit. Prompts, Vorlagen und Archiv sind weg.
- Freigaben sind nicht nachvollziehbar. Wer hat welchen Text abgenommen? Bei verteilten Tools lässt sich das im Nachhinein nicht rekonstruieren.
- Die Markensprache franst aus. Fünf Personen mit fünf KI-Tools erzeugen fünf Tonalitäten. Eure Zielgruppe merkt das.
Selbstcheck: Wie ausgeprägt ist Schatten-IT bei euch?
Hak an, was zutrifft. Die Einordnung erscheint sofort.
Tool-Inventur in fünf Schritten
Der praktikabelste Einstieg ist keine Richtlinie, sondern eine Bestandsaufnahme. Sie dauert zwei bis drei Wochen und liefert euch die Grundlage für jede weitere Entscheidung.
- Amnestie zusagen, dann fragenKündigt eine sanktionsfreie Abfrage an. Ohne diese Zusage bekommt ihr unvollständige Antworten. Frag nach Toolname, Zweck, Kosten, hochgeladenen Datenarten und Anzahl der Nutzenden.
- Zahlungswege auswertenKreditkartenabrechnungen, Spesenbelege und Single-Sign-on-Protokolle ergänzen die Selbstauskunft. Gratiskonten findet ihr darüber nicht, deshalb bleibt Schritt eins der wichtigere.
- Nach Risiko einordnenNutzt das Raster oben. Ergebnis ist eine Liste mit drei Stapeln: dulden, überführen, stoppen. Trefft diese Einordnung gemeinsam mit Datenschutz, nicht allein im Marketing.
- Für jeden Stopp eine Alternative benennenEin Verbot ohne Ersatz verlagert die Nutzung auf private Geräte. Zu jedem gestoppten Tool gehört am selben Tag eine genehmigte Alternative oder ein zugesagtes Datum.
- Freigabeweg verkürzenDer eigentliche Hebel. Definiert eine Toolkategorie mit vereinfachter Prüfung und einer verbindlichen Rückmeldefrist von fünf Arbeitstagen. Damit entfällt der Anreiz, den Prozess zu umgehen.
Betreff: Bestandsaufnahme Marketing-Tools, Vorschlag für ein gemeinsames Vorgehen
im Marketing sind vermutlich mehrere Tools im Einsatz, die nicht über den offiziellen Weg freigegeben wurden. Das ist kein Vorwurf an das Team, sondern eine Folge unserer aktuellen Freigabedauer.
- Risiko: Wir können derzeit nicht nachweisen, welche Firmendaten in welchen externen Diensten liegen.
- Rechtlicher Rahmen: DSGVO Artikel 83 Absatz 5 sieht bei schweren Verstößen Bußgelder bis 20 Mio. Euro oder 4 Prozent des weltweiten Jahresumsatzes vor.
- Laufender Aufwand durch verteilte Tools: geschätzt rund 3 Stunden pro Person und Woche, hochgerechnet etwa 138 Stunden pro Person und Jahr.
Vorschlag: Wir führen eine sanktionsfreie Tool-Inventur über zwei Wochen durch und ordnen die Ergebnisse gemeinsam mit dem Datenschutz in dulden, überführen und stoppen ein. Parallel prüfen wir, ob wir für Marketing-Software eine vereinfachte Freigabe mit fünf Arbeitstagen Rückmeldefrist einführen können.
Aufwand für die Inventur: unter einer Stunde pro Person.
Fünf Fehler, die die Lage verschlimmern
- Pauschales Verbot ohne AlternativeDie Nutzung verschwindet nicht, sie wird nur unsichtbarer. Private Geräte und Konten sind schlechter kontrollierbar als das, was ihr vorher hattet.
- Die Inventur als Kontrollmaßnahme kommunizierenWer Sanktionen befürchtet, meldet nichts. Ohne Amnestie bekommt ihr eine Liste, die vollständig aussieht und es nicht ist.
- Nur nach bezahlten Tools suchenDie riskantesten Fälle sind oft Gratiskonten mit privater Mailadresse. Die tauchen in keiner Abrechnung auf.
- Externe Partner auslassenAgenturen und Freelancer arbeiten mit euren Inhalten in ihren Systemen. Klärt vertraglich, welche Dienste dabei zum Einsatz kommen dürfen.
- Eine Plattform einführen, ohne den Prozess zu klärenWenn Zuständigkeiten und Freigaben unklar bleiben, entsteht neben der neuen Plattform sehr schnell die nächste Schatten-IT.
Wann eine zentrale Plattform die richtige Antwort ist
Nach der Inventur steht meist die Frage im Raum, ob eine gemeinsame Plattform die verteilten Einzeltools ersetzen soll. Diese Frage lässt sich nicht pauschal beantworten, aber an drei Kriterien festmachen.
Eine Plattform lohnt sich, wenn mehrere Personen an denselben Inhalten arbeiten, wenn Freigaben über Abteilungsgrenzen laufen, und wenn ihr KI regelmäßig einsetzt und dabei Markensprache und Nachvollziehbarkeit sicherstellen müsst. Der Kernnutzen liegt dann nicht in einzelnen Funktionen, sondern darin, dass Planung, Erstellung, Freigabe und Ablage denselben Datenbestand nutzen.
Eine Plattform lohnt sich nicht, wenn euer Engpass in der Strategie oder in fehlenden Personen liegt. Software löst kein Kapazitätsproblem.
Transparenzhinweis: Ich arbeite als Senior Consultant bei contentbird, einem Anbieter für KI-gestützte Content-Software mit Sitz in Berlin. Eine solche Plattform bündelt Planung, Erstellung, Freigabe und Ablage an einem Ort und lässt Markensprache sowie Wissensquellen zentral hinterlegen. Ob das für euch die richtige Antwort ist, hängt von eurem Setup ab. Prüft in jedem Fall mehrere Anbieter und zieht IT und Datenschutz vor der Entscheidung hinzu, nicht danach.
Wann dieser Ansatz nicht passt
Eine formale Tool-Inventur ist unverhältnismäßig, wenn euer Marketing aus ein oder zwei Personen besteht und ihr ohnehin dieselben drei Werkzeuge nutzt. In dem Fall reicht eine kurze schriftliche Liste, die ihr einmal mit der Geschäftsführung abstimmt.
Sie ist ebenfalls der falsche erste Schritt, wenn gerade eine größere IT-Umstellung läuft, etwa ein ERP- oder CRM-Rollout. Dann bindet ihr Kapazitäten, die anderswo gebraucht werden, und eure Ergebnisse sind in sechs Monaten überholt. Wartet in dem Fall den Rollout ab und setzt einen konkreten Termin dafür.
Fazit: Nicht die Tools sind das Problem, sondern die Unsichtbarkeit
Schatten-IT verschwindet nicht durch strengere Regeln. Sie verschwindet, wenn der offizielle Weg schneller ist als der inoffizielle. Alles andere ist Symptombehandlung.
Häufige Fragen
Was ist Schatten-IT im Marketing?
Software, die ein Team eigenständig einsetzt, ohne dass IT, Datenschutz oder Einkauf davon wissen. Typisch sind KI-Schreibassistenten, Planungstools und Bildgeneratoren. Entscheidend ist nicht der Preis, sondern dass keine Prüfung von Datenfluss und Vertragslage stattgefunden hat.
Ist Schatten-IT immer ein Verstoß gegen die DSGVO?
Nein. Ein Verstoß entsteht erst, wenn personenbezogene Daten ohne Rechtsgrundlage, ohne Auftragsverarbeitungsvertrag oder ohne Eintrag im Verarbeitungsverzeichnis verarbeitet werden. Ein Tool, in das nur öffentlich verfügbare Produktdaten fließen, ist rechtlich anders zu bewerten als eines, in das Kundenlisten hochgeladen werden.
Wie finde ich heraus, welche Tools mein Team nutzt?
Der schnellste Weg ist eine offene Abfrage im Team ohne Sanktionsandrohung, ergänzt um eine Auswertung der Kreditkartenabrechnungen und der Single-Sign-on-Protokolle. Rein technische Erfassung findet nur bezahlte Tools. Gratiskonten und private Accounts tauchen dort nicht auf.
Sollte man Schatten-IT verbieten?
Ein Verbot ohne Alternative verlagert die Nutzung meist auf private Geräte und Konten. Wirksamer ist ein schneller Freigabeweg mit klarer Frist plus eine kleine Liste vorab genehmigter Tools.
Ihr wisst nicht genau, welche Tools bei euch im Einsatz sind?
In 30 Minuten gehen wir euren aktuellen Stand durch. Du bekommst danach eine Einordnung nach dulden, überführen und stoppen sowie eine Zahl für euren laufenden Koordinationsaufwand.
30 Minuten Tool-Check buchen Kostenfrei. Das Ergebnis kannst du intern eins zu eins weiterverwenden.
Dennis Gumprich
Dennis begleitet Marketing- und Kommunikationsteams bei der Frage, wie generative KI in bestehende Content-Prozesse passt, ohne Qualität, Markensprache und Freigaben zu untergraben. Schwerpunkte: Content Operations, AI Governance und Toolauswahl in Mittelstand und Konzern.
Transparenzhinweis: Dennis arbeitet für contentbird, einen Anbieter von KI-gestützter Content-Software. Produkterwähnungen sind im Beitrag gekennzeichnet. Mehr über Dennis · LinkedIn
Passend zum Thema
Quellen
- Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung), Artikel 83 Absatz 5, zu den Obergrenzen für Geldbußen.
- Verordnung (EU) 2024/1689 (KI-Verordnung), Artikel 50, zu Transparenzpflichten bei KI-generierten Inhalten. Anwendungszeitpunkt vor Verwendung prüfen.
- Verordnung (EU) 2016/679, Artikel 30, zum Verzeichnis von Verarbeitungstätigkeiten.
Aktualisierung
Ursprünglich veröffentlicht am 9. Februar 2025. Vollständig überarbeitet am 5. August 2026: Risikoraster, Tool-Inventur, rechtliche Einordnung und Kostenlogik ergänzt, Produktteil gekürzt und gekennzeichnet. Nächste Prüfung geplant für Februar 2027.
Entstehung dieses Beitrags
Dieser Beitrag ist unter Einsatz von KI entstanden. Struktur, Recherche und Formulierungsentwürfe wurden KI-gestützt erarbeitet. Fachliche Einordnung, Auswahl der Quellen, Prüfung der Aussagen und die finale Fassung liegen bei Dennis Gumprich. Die genannten Rechenbeispiele sind ausdrücklich als Arbeitsmodelle gekennzeichnet und keine erhobenen Messwerte.
Rechtlicher Hinweis
Dieser Beitrag ersetzt keine Rechtsberatung. Für die Bewertung eures konkreten Falls sind eure Datenschutzbeauftragten und eure Rechtsabteilung zuständig.
Unklar, welche Tools bei euch laufen?
Kurz sprechen
