Sicherheitsverantwortliche haben jahrelang kontrolliert, welche Daten ihr Unternehmen in Richtung KI verlassen. Der heute veröffentlichte Netskope Threat Labs AI Report 2026 zeigt, dass das nicht mehr reicht: Verstöße, bei denen ein KI-System Daten zurückliefert, auf die der anfragende Nutzer oder Agent keinen Zugriff haben dürfte, haben sich binnen eines Jahres von 12 auf 31 pro Woche und Unternehmen mehr als verdoppelt.
Treiber ist die Vernetzung über MCP
Ein maßgeblicher Grund für diese Entwicklung ist die explosionsartige Verbreitung des Model Context Protocol (MCP), über das sich KI-Modelle und Agenten mit externen Datenquellen und Werkzeugen verbinden: In nur zehn Wochen stiegen die MCP-Transaktionen um 375 %, die Nutzerzahlen um 250 %. Zu den wichtigsten MCP-Clients zählen die Coding-Agenten Claude Code und Codex.
Downstream-Verstöße sind damit die zweithäufigste KI-Risikokategorie: 924 von 10.000 KI-Warnmeldungen, fast jeder zehnte. Häufiger sind nur Upstream-Verstöße (8.752), bei denen Nutzer sensible Daten an KI-Dienste senden. Es folgen Content-Filtering-Verstöße (154), Prompt-Injection- und Jailbreak-Versuche (129) sowie gezielte Anfragen nach sensiblen Daten (28). Schadcode ist mit fünf Warnmeldungen je 10.000 die kleinste, zugleich kritischste Kategorie.
Agentisches Coding wird zum Standard
Claude Code ist heute die meistgenutzte Code-Plattform (75 % der Unternehmen), Codex folgt mit 58 %. Beide lagen vor einem Jahr unter einem %. Der Anteil der Unternehmen mit KI-Coding-Anwendungen stieg von 42 auf 84 %. Während IDE-basierte Assistenten wie GitHub Copilot und Cursor stagnieren, verschiebt sich der Markt hin zu Tools, die Code eigenständig erzeugen und ausführen.
Schatten-KI bleibt: Der Trend hat sich umgekehrt
Entgegen der Branchenerwartung konsolidiert sich die KI-Nutzung nicht auf freigegebene Plattformen. Der Rückgang privater Anwendungen endete im März 2026 und hat sich seither leicht umgekehrt: 56 % der Anwender nutzen ausschließlich verwaltete Anwendungen, 30 % ausschließlich private Apps und 14 % beides.
Statt jeden Anwendungsfall zu migrieren, setzen Unternehmen zunehmend auf Leitplanken. Zugleich hat sich der Fokus der Erkennung erweitert: von privaten Chatbots hin zu KI-Agenten, MCP-Servern und lokaler KI-Infrastruktur.
Datensouveränität: Zwei von fünf Unternehmen betreiben Modelle lokal
41 % der Unternehmen betreiben KI-Modelle lokal über das Open-Source-Framework Ollama, um die Kontrolle über den Verarbeitungsort zu behalten und Cloud-Kosten zu senken. Führend ist hier Googles Gemma4 (42 %), gefolgt von Alibabas Qwen und Metas Llama. Wer Modelle lokal betreibt, gewinnt Kontrolle über den Verarbeitungsort, aber nicht automatisch über die Interaktionen. Auch die lokale KI-Infrastruktur gehört deshalb an ein zentrales KI-Gateway.
Weitere zentrale Ergebnisse
- Regulierte Daten und Quellcode im Zentrum: Regulierte Daten und Quellcode machen je 35 % der Upstream-Verstöße aus, gefolgt von geistigem Eigentum (20 %) sowie Passwörtern und Zugangsschlüsseln (10 %), letztere meist eingebettet in Quellcode oder Konfigurationsdateien.
- KI-Plattformen nahezu flächendeckend: Seitens der Unternehmen stieg ihre Nutzung von 51 auf 92 %. Anthropics Claude Platform hat OpenAI als führenden Anbieter abgelöst; Amazon Bedrock folgt mit Abstand auf Rang drei.
- Nutzung verdreifacht: Das Prompt-Volumen stieg durchschnittlich von 1.498 auf 4.731 pro Woche und Unternehmen (oberstes Quartil: mindestens 19.292). Der Anteil wöchentlicher KI-Nutzer kletterte im Median von 34 auf 59 %, im obersten Quartil auf mindestens 77 %.
- Angriffe auf die KI-Lieferkette nehmen zu: Gefälschte KI-Köder stiegen im März 2026 sprunghaft und bleiben seither auf erhöhtem Niveau: gefälschte Installer und trojanisierte Entwickler-Tools. Erwartet werden weitere Angriffe im Stil von Shai-Hulud sowie Schadpakete auf von KI halluzinierte Paketnamen.
Über den Report: Die Analyse basiert auf aggregierten Nutzungsdaten der Netskope-One-Plattform für einen Teil der Netskope-Kunden im Zeitraum Juni 2025 bis Juli 2026.