Hinweis: Die folgende Geschichte ist ein fiktives Fallbeispiel. Ähnlichkeiten mit realen Unternehmen oder Personen sind nicht beabsichtigt. Das beschriebene Muster ist jedoch real – und nimmt in mittelständischen Lebensmittelunternehmen aktuell zu.*
Eine Excel-Tabelle zu viel
Freitagnachmittag, 16:40 Uhr. Markus Berger, 34, Produktionsplaner bei der Muster Feinkost GmbH, schließt die siebte Excel-Datei dieser Woche, die nicht zu den anderen sechs passt. Rohstoffbestände, Kundenaufträge, Linienkapazitäten, Personalverfügbarkeit – alles in getrennten Tabellen, alles händisch abgeglichen, alles fehleranfällig.
Die Muster Feinkost GmbH ist ein solides Familienunternehmen: gegründet 1978, heute in zweiter Generation von Alois Huber Junior geführt, 180 Mitarbeiter, rund 40 Millionen Euro Jahresumsatz, IFS-zertifiziert, drei Produktionslinien, ein stabiler Kundenstamm im Lebensmitteleinzelhandel.
Huber führt das Unternehmen pragmatisch und traditionsbewusst. Digitale Transformation? "Wir produzieren Lebensmittel, keine Software." ERP-Modernisierung? "Das läuft seit 15 Jahren stabil."
KI-Strategie steht nicht auf der Agenda – nicht aus Ablehnung, sondern weil es für ihn schlicht kein Thema mit Priorität ist.
Für Markus ist es längst ein Thema. Er plant täglich Produktionsmengen, koordiniert Rohstoffbedarfe und balanciert Kundenaufträge gegen Linienverfügbarkeit – in einem Flickenteppich aus Tabellen, der jede Woche ein bisschen mehr Zeit kostet.
Der Abend, an dem alles beginnt
Eines Abends stößt Markus in einer Online-Community auf Claude Code, das Kommandozeilen-Tool von Anthropic für agentisches Coding. Er ist technisch versiert, neugierig – und frustriert genug, um es einfach auszuprobieren.
Was als kleines Experiment beginnt, wächst innerhalb von drei Monaten zu einem agentisch arbeitenden Planungssystem heran. Auf Basis von Anthropics Claude-Modellen optimiert das System Schicht für Schicht eigenständig Produktionspläne. Markus hat die Programmierschnittstelle (API) angebunden, eigene Skripte geschrieben und alles über eine cloudbasierte Umgebung laufen lassen – nebenbei, am Feierabend, mit wachsender Begeisterung.
Und das System liefert. Markus spart täglich zwei bis drei Stunden, ganz entspannt.
Die Planungsqualität steigt sichtbar. Reklamationen wegen Produktionsfehlern gehen messbar zurück. Ja, die GF ist erfreut über plötzliche Verbesserung kritischer KPIs. Markus freut sich riesig, - auch über eine versprochene Gehaltserhöhung ab dem nächsten Quartal.
Schattige KI animierte Comic Satire
Was niemand sieht
Damit das System gut planen kann, braucht es gute Daten. Also füttert Markus es – Woche für Woche, mit wachsendem Vertrauen – mit dem, was er ohnehin täglich in der Hand hat:
- vollständige Rezepturen samt proprietärer Gewürzformulierungen
- Allergen-Matrizen für sämtliche Produkte
- Kundenaufträge inklusive Mengen und Preiskonditionen einzelner Handelspartner
- Produktionsparameter und Ausschussquoten
- HACCP-relevante Abweichungsberichte
Jede dieser Informationen verlässt seitdem das Unternehmen – unverschlüsselt, ungefiltert, ohne Freigabe – in Richtung Cloud-Server außerhalb der EU. Ohne Einwilligung der Geschäftsführung. Ohne Datenschutzfolgeabschätzung. Und Diskussionen mit dem Betriebsrat hat Markus natürlich auch vermieden. Niemand außerhalb von Markus' Laptop weiß, dass sein selbst gestricktes KI-System existiert.
Naiv war das nur bedingt. Wer sich – wie Markus – in Tutorials und Online-Communities mit "Agentischem Coding und KI-APIs" beschäftigt, stößt dabei praktisch unvermeidbar auf Hinweise zu Datenschutz, Nutzungsbedingungen und Datenverarbeitung durch KI-Anbieter. Das Thema DSGVO ist in der KI-Szene allgegenwärtig – wer dort unterwegs ist, weiß, dass es diese Regeln gibt, auch wenn er sie im eigenen Fall nicht anwendet. Markus hat diese Hinweise entweder nicht auf seine Situation übertragen oder bewusst ausgeblendet, weil das System funktionierte und niemand fragte. Aus rechtlicher Sicht ist das keine bloße Unwissenheit mehr, sondern grenzt an grobe Fahrlässigkeit – ein Punkt, der meiner Fortsetzung dieses KI-Krimis Teil 2 noch eine Rolle spielen wird.
Zwei Bürotüren weiter sitzt Alois Huber Junior und ist überzeugt, sein Unternehmen habe "noch keine KI-Strategie". Technisch gesehen hat er recht.
Operativ gesehen ist sein Unternehmen längst Betreiber eines KI-Systems – nur eben ohne Wissen, ohne Mandat und ohne Regeln.
Warum dieses Muster kein Einzelfall ist
Markus ist nicht wirklich ein Bösewicht. Er ist ein motivierter Mitarbeiter, der ein reales Problem gelöst hat – weil niemand anders es bisher gelöst hat, bzw. auf die lange Bank geschoben hat. Sein Handeln war jedoch auch keine reine Naivität, sondern ein bewusstes Wegsehen bei einem Thema, das ihm aus seinem eigenen Umfeld bekannt war. Genau diese Kombination aus echtem Nutzen und vermeidbarem Risiko macht die Situation so brisant.
Schatten-IT gab es in mittelständischen Unternehmen schon vor der KI-Welle. Mit frei verfügbaren, leistungsfähigen KI-Werkzeugen wie Claude, ChatGPT oder Gemini hat dieses Muster eine neue Dimension bekommen:
Die Einstiegshürde liegt praktisch bei null. Ein technisch versierter Mitarbeiter kann heute innerhalb weniger Wochen ein System aufbauen, das alle gewachsenen Compliance-Grenzen eines Unternehmens durchbricht – während die Geschäftsführung glaubt, das Thema KI sei "noch gar nicht angegangen".
Laut der Bitkom-Studie *"Künstliche Intelligenz in Deutschland 2025"* hat sich der Anteil der Beschäftigten, die KI-Tools ohne Wissen ihres Arbeitgebers im Job nutzen, von 5 auf 10 Prozent verdoppelt. Vier von zehn Unternehmen gehen davon aus, dass ihre Mitarbeitenden private generative KI-Tools wie ChatGPT, Claude oder Gemini im Arbeitskontext einsetzen – offiziellen Zugang zu solchen Tools stellt aber erst gut jedes vierte Unternehmen (26 Prozent) bereit.
Besonders brisant ist das in der Lebensmittelbranche:
Rezepturen, QM-Dokumentation, HACCP-Unterlagen und Kundenkonditionen gehören zu den sensibelsten Assets, die ein Unternehmen besitzt. Sie sind geistiges Eigentum, Wettbewerbsvorteil und Grundlage der Auditfähigkeit zugleich.
Einmal unkontrolliert abgeflossen, gibt es keine Rückholoption.
Drei Monate später
Drei Monate, nachdem Markus seinen ersten Prototyp gebaut hat, läuft sein System längst im Hintergrund jeder Schichtplanung mit. Niemand hat etwas bemerkt.
Bis zu dem Montagmorgen, an dem eine E-Mail im Postfach von Alois Huber junior landet – Absender: ein langjähriger LEH-Kunde,
Betreff: *"Erweiterung unseres Lieferanten-Self-Assessments um den Bereich IT-Sicherheit und KI-Nutzung"*.
Schattige KI animierte Comic Satire
Huber liest den Betreff zweimal. Dann ruft er die QM-Leiterin an.
Wie es ab hier weitergeht – und welche rechtlichen Tatbestände im Hintergrund längst erfüllt sind, ohne dass es jemand bemerkt hat – erfährst du in Teil 2: "Die Akte wird dicker".*
Quellen:
- [Bitkom: "Beschäftigte nutzen vermehrt Schatten-KI"](https://www.bitkom.org/Presse/Presseinformation/Beschaeftigte-nutzen-Schatten-KI), Bitkom e. V., 2025