Wenn Beschäftigte vertrauliche Dokumente in private KI-Tools laden, beginnt das Problem oft schon bei den Arbeitsbedingungen. Norman Müller spricht mit Marvin Gatermann, Mitgründer und Geschäftsführer der DAFI Deutschen Akademie für Informationssicherheit, über Schatten-KI, unübersichtliche Tool-Landschaften und die Verantwortung von Führungskräften. Es geht um Sicherheitslücken beim Vibe Coding, Lernen an eigenen Praxisfällen und die Frage, wie Unternehmen KI sinnvoll einsetzen, ohne den Überblick über Daten und Prozesse zu verlieren.
Kapitel
00:00 Einstieg: KI, Unternehmensdaten und Verantwortung
01:20 Marvins Weg zur Deutschen Akademie für Informationssicherheit
07:20 Wie gut sind Unternehmen auf KI-Risiken vorbereitet?
11:15 Vibe Coding und die übersehene Sicherheit
15:54 Warum Cybersicherheit auch Investoren betrifft
17:15 Weiterbildung an eigenen Praxisfällen
21:17 Wenn jede Abteilung andere KI-Tools nutzt
26:16 Systemausfälle und ihre Folgen im Arbeitsalltag
28:07 Vorsorge, wirtschaftliche Risiken und Handlungsdruck
32:21 Phishing, Deepfakes und kleine Unternehmen
35:17 Sicherheitsnachweise als Voraussetzung für Geschäft
40:39 Schatten-KI und vertrauliche Unternehmensdaten
45:28 Lernräume und die Grenzen von Richtlinien
49:06 Ein Vorstandsprotokoll landet in einer privaten KI
51:14 Verantwortung der Geschäftsleitung und erste Handlungsschritte
55:43 Wann externe Unterstützung helfen kann
59:14 Kontakt, Ausblick und Marvins Wunsch für die Welt
Wir haben die Paywalls abgeschafft. Jede Woche veröffentlichen wir neue Essays und Podcast-Folgen, auf die du kostenlos zugreifen kannst.
Wenn du unsere Arbeit unterstützen möchtest, freuen wir uns über ein bezahltes Abo. Damit kannst du auch an unseren Podcast Live-Talks teilnehmen, im Live-Chat mitdiskutieren und dich im Substack Community Chat austauschen. Zugleich hilfst du uns, weitere Essays zu schreiben und spannende Podcast-Gäste einzuladen.
Shownotes
Marvin Gatermann auf LinkedIn: https://de.linkedin.com/in/9316
DAFI Deutsche Akademie für Informationssicherheit: https://dafi-akademie.de/
Agentic AI & AI Security Practitioner: https://dafi-akademie.de/weiterbildungen/ai-security-practitioner
KI-Manager mit Schwerpunkten Compliance und Cybersicherheit: https://dafi-akademie.de/business/ki-management-b2b
Weiterbildungsangebote in der VENTURE AI ACADEMY: https://venture-ai-germany.org/academy/
Kontakt zur DAFI für Fragen zu Weiterbildung und Unterstützung: https://dafi-akademie.de/kontakt
Transparenz: Der Bundesverband für KI-Transformation e.V. und die DAFI arbeiten im Bildungsbereich zusammen. Diese Zusammenarbeit gehört zum Kontext der Folge. Die verlinkten Kursseiten enthalten die Angaben des Anbieters; sie sind keine unabhängige Bewertung der Angebote.
Das Vorstandsprotokoll in der privaten KI
Um 19 Uhr bekommt ein Vorstandsassistent ein Protokoll. Bis sieben Uhr am nächsten Morgen soll die Zusammenfassung fertig sein. Er nimmt die Unterlagen mit nach Hause und lässt seine private KI arbeiten. Die Arbeit liegt pünktlich vor. Vertrauliche Informationen haben dabei das Unternehmen verlassen.
Ich erzähle Marvin Gatermann dieses Beispiel im Gespräch, weil mich daran die Situation hinter der Entscheidung interessiert. Ein Vorgesetzter verlangt ein Ergebnis, für das der Mitarbeiter mit seinen eigenen Werkzeugen schneller einen Weg findet. Das Unternehmen hat ihm dafür offenbar keine passende Arbeitsumgebung bereitgestellt. Wer den Vorgang verstehen will, muss sich deshalb auch ansehen, welche Erwartungen die Führung setzt und welche Mittel sie ihren Beschäftigten gibt.
Marvin hat die DAFI Deutsche Akademie für Informationssicherheit mitgegründet und führt sie als Geschäftsführer. Als Wirtschaftspsychologe beschäftigt er sich mit Lernen und Veränderung. In unserem Gespräch verbindet er diese Perspektive mit der Frage, wie Menschen KI sicher im Berufsalltag einsetzen können.
Wenn niemand mehr die eigenen Prozesse überblickt
In einer Abteilung arbeitet das Team mit Copilot. Eine andere probiert Claude aus. Anderswo verbindet jemand Anwendungen über einen Automatisierungsdienst. Jede Entscheidung kann für die jeweilige Aufgabe sinnvoll erscheinen. Die Geschäftsführung muss trotzdem verstehen können, welche Daten durch diese Systeme fließen, wer Zugriff hat und wer einen Ablauf betreut.
Marvin beschreibt, wie Unternehmen diesen Überblick verlieren können. Ein Mitarbeiter richtet eine Automatisierung ein, später verlässt er den Betrieb. Irgendwann funktioniert der Prozess nicht mehr. Die Kollegen müssen zunächst herausfinden, wo er überhaupt liegt. Wer in dieser Situation auf eine wichtige Information angewiesen ist, erlebt ein Problem der Verfügbarkeit.
Damit bekommt Informationssicherheit eine konkrete Bedeutung: Kann mein Team seine Arbeit erledigen? Erreichen wir die Daten, die wir brauchen? Wissen wir, wen wir bei einer Störung ansprechen? Im Gespräch erinnern wir an den CrowdStrike-Ausfall als Beispiel dafür, wie stark Unternehmen von funktionierenden Systemen abhängen. Ein Ausfall braucht keinen Angreifer, um den Arbeitsalltag zu unterbrechen.
Für mich gehört diese Perspektive auch zur Investitionsentscheidung. Wenn ich ein Unternehmen betrachte, will ich verstehen, welche Risiken ich mitfinanziere und wie die Verantwortlichen damit umgehen. Ein funktionierender Prototyp beantwortet diese Fragen noch nicht.
Welche Sicherheit ein selbst gebautes Tool braucht
Marvin erzählt von Unternehmern, die mit KI eigene Anwendungen bauen und die Geschwindigkeit ihrer Entwicklung feiern. Bei einem selbst gebauten CRM fragt er nach dem Schutz der Kundendaten. Die erste Antwort verweist auf die DSGVO. Seine Nachfrage zielt auf die technische Umsetzung: Wie verhindern die Verantwortlichen unberechtigte Zugriffe und den Abfluss von Daten?
Diese Unterscheidung hilft auch ohne Fachwissen bei der nächsten Nachfrage. Wer einen Dienst einkauft oder selbst entwickeln lässt, sollte sich erklären lassen, wie die Beteiligten seine konkreten Daten schützen. Ein pauschaler Verweis auf Regelkonformität reicht als Erklärung dafür nicht aus. Zugleich umfasst Datenschutz auch Anforderungen an die Sicherheit der Verarbeitung. Beides lässt sich im Betrieb deshalb nicht sauber voneinander abkoppeln.
Beim Vibe Coding nennt Marvin öffentlich gewordene Zugangsschlüssel und unzureichend geschützte Schnittstellen als mögliche Risiken. Wir sprechen über Fehlerquellen, die bei schneller Entwicklung Aufmerksamkeit brauchen. Aus dem Gespräch folgt keine pauschale Bewertung aller Anwendungen, die Menschen mit KI erstellen. Es folgt die Frage, wer die fertige Anwendung fachlich prüfen und anschließend betreuen kann.
Beschäftigte brauchen brauchbare Werkzeuge und Übung
Bei Schatten-KI geht es um Beschäftigte, die Systeme außerhalb der vorgesehenen Unternehmensumgebung nutzen. Marvin hält das für ein erhebliches Risiko. Wie häufig es vorkommt, beurteilt er im Gespräch aus seiner Erfahrung. Eine repräsentative Erhebung legen wir in dieser Folge dazu nicht vor.
Sein Vorschlag setzt an zwei Stellen an: Unternehmen sollten geeignete Werkzeuge bereitstellen und ihre Beschäftigten im Umgang damit qualifizieren. Menschen brauchen ein Verständnis dafür, welche Informationen sie verarbeiten dürfen und wann sie Unterstützung holen sollten. Sie müssen zugleich ihre eigentliche Arbeit mit den erlaubten Mitteln erledigen können.
Wir sprechen deshalb über geschützte Lernräume. Dort können Teams eine Aufgabe ausprobieren, ohne sofort auf sämtliche Unternehmensdaten zuzugreifen. In der praktischen Arbeit merken sie, welche Fragen offenbleiben. Welche Eingabe enthält vertrauliche Angaben? Wer kontrolliert ein Ergebnis? Was passiert, wenn ein Ablauf fehlschlägt?
Marvin beschreibt diesen Praxisbezug auch als Anspruch an seine Weiterbildungen. Für die Auswahl eines Lehrgangs würde ich deshalb fragen, welche eigene Aufgabe jemand dort bearbeiten kann und wie er Rückmeldung zu seiner Lösung bekommt. Das lässt sich konkreter beurteilen als ein allgemeines Versprechen, nach einem Kurs für KI gerüstet zu sein.
Führung muss die Arbeit hinter der Einführung organisieren
Zum Ende frage ich Marvin nach den ersten Handlungsschritten. Er empfiehlt, mit den Beschäftigten über ihre Arbeit zu sprechen. Wo verlieren sie Zeit? Welchen Ablauf möchten sie verbessern? Anschließend kann das Unternehmen prüfen, ob eine KI-Anwendung an dieser Stelle einen nachvollziehbaren Nutzen bringt und welche Kosten sie verursacht.
Dazu gehören Lizenz- und Nutzungskosten ebenso wie die Arbeit an Einführung und Betreuung. Die Verantwortlichen sollten klären, wer das Werkzeug benötigt, wer es betreut und woran sie später erkennen wollen, ob die Veränderung geholfen hat. Wer diese Fragen vorab bespricht, kann auch eine Idee verwerfen, deren Aufwand sich nicht rechtfertigen lässt.
Eine Richtlinie kann Entscheidungen festhalten. Im Alltag müssen die Menschen sie verstehen und anwenden können. Das Vorstandsprotokoll vom Anfang bleibt für mich deshalb ein Prüfstein: Könnte ein Mitarbeiter diese Aufgabe mit den freigegebenen Werkzeugen sicher und pünktlich erledigen? Die Antwort sagt viel darüber aus, wie gut eine Geschäftsführung ihre KI-Einführung organisiert hat.
Wir haben die Paywalls abgeschafft. Jede Woche veröffentlichen wir neue Essays und Podcast-Folgen, auf die du kostenlos zugreifen kannst.
Wenn du unsere Arbeit unterstützen möchtest, freuen wir uns über ein bezahltes Abo. Damit kannst du auch an unseren Podcast Live-Talks teilnehmen, im Live-Chat mitdiskutieren und dich im Substack Community Chat austauschen. Zugleich hilfst du uns, weitere Essays zu schreiben und spannende Podcast-Gäste einzuladen.
VENTURE AI ACADEMY
Unsere digitale Plattform ist Ihr Zugang zu praxisnaher Qualifizierung im Bereich Künstliche Intelligenz, kuratiert für Entscheider:innen und Teams im Mittelstand.
Ob kompakte Webinare, vertiefende Online-Kurse oder interaktive Branchenformate: Hier lernen Sie, was Sie wirklich brauchen, um KI im eigenen Unternehmen sicher und gewinnbringend einzusetzen.
Wenn du uns dabei unterstützen möchtest, diesen Podcast zu einer Allianz von Zukunftsarchitekten der KI-Transformation zu machen, in der wir offen über Chancen, Risiken und reale Erfahrungen mit Künstlicher Intelligenz sprechen, dann abonniere uns auf Substack, YouTube, Spotify oder Apple Podcasts. Dein Abonnement kostet dich nichts, hilft uns aber sehr, noch mehr herausragende Persönlichkeiten für tiefgehende und inspirierende Podcast Gespräche zu gewinnen. Vielen Dank für deinen Support.
Darüber hinaus laden wir dich ein, Teil der Plattform des Bundesverbands für KI-Transformation e.V. zu werden. Hier vernetzen sich mittelständische Unternehmen, KI Expertinnen und Experten, Startups sowie Vertreterinnen und Vertreter aus Forschung und Wissenschaft, um Wissen zu teilen, Erfahrungen auszutauschen und um an konkreten KI-Projekten zu arbeiten. In unserer Podcast Community kannst du dich einbringen, mitdiskutieren und den Bundesverband als Mitglied aktiv unterstützen und mitprägen.
Zur Plattform:
https://www.venture-ai-germany.space
Vernetze dich mit Norman auf LinkedIn:
