Wählen Sie die Kontrolle, die Sie tatsächlich benötigen.
Servicezugang, Kontozugang und Schutz sensibler Daten beantworten unterschiedliche Fragen. Testen Sie die, von der Ihre Richtlinie abhängt.
- 01Blockieren Sie den Dienst
- Kann dieses Gerät den KI-Dienst erreichen?
Eine Domain-, Kategorie- oder Anwendungsregel kann den Zugriff auf den von ihr kontrollierten Netzwerk- oder Clientpfaden verweigern.
Sie unterscheidet nicht zwischen persönlichen und Arbeitskonten desselben Dienstes und überprüft nicht den Inhalt einer erlaubten Eingabeaufforderung.
- 02Beschränken Sie das Konto
- Können Mitarbeiter nur den genehmigten Arbeitsbereich nutzen?
Eine Konto- oder Mandantenbeschränkung benötigt eine unterstützte Identität, Browser- oder Sicherheitsproduktfunktion für diesen spezifischen Dienst.
Überprüfen Sie erlaubte und gesperrte Konten, Anmeldeänderungen und Umgehungspfade. Eine Domain-Blockade allein ist keine Konto-Beschränkung.
- 03Überprüfen Sie den Inhalt
- Kann diese Eingabeaufforderung oder Datei gesendet werden?
Ein unterstützter DLP-Pfad bewertet die Informationen anhand der konfigurierten Richtlinie und wendet die verfügbare Reaktion an.
Testen Sie getippten Text, eingefügten Text und Uploads separat. Inhaltsprüfung schränkt das angemeldete Konto nicht automatisch ein.
Methodenreferenz: Juli 2026. Kontrollunterscheidungen aktualisiert im September 2026. Herstellermenüs und unterstützte Aktionen ändern sich; behandeln Sie die Pfade als Konfigurationsorientierung und validieren Sie Ihre aktuelle Bereitstellung.
Scrolle horizontal, um alle Spalten zu vergleichen.
| Methode | Wo sie durchsetzt | Am besten geeignet für | Was es vermisst |
|---|---|---|---|
| Microsoft Defender für Cloud Apps + Entra | Geräte, die in Defender for Endpoint integriert wurden | Microsoft 365 E5 / Defender Shops | Außerhalb unterstützte, integrierte Pfade |
| Zscaler (ZIA Cloud App Control) | Verkehr über Zscaler geleitet | Bestehende ZIA-Implementierungen | Verkehr wird nicht durch den konfigurierten Service geleitet |
| Netskope (Echtzeitschutz) | Verkehr über Netskope geleitet | Bestehende Netskope SSE-Deployments | Ungesteuerter Verkehr und unverifizierte App-Aktionen |
| DNS / Firewall / Browserrichtlinie | Konfigurierter Netzwerk-/Resolver- oder Managed-Browser-Pfad | Bestehende DNS-, Firewall- oder Browserverwaltung | DNS-over-HTTPS, Hotspots, persönliche Geräte |
Blockieren Sie ChatGPT mit Microsoft Defender für Cloud-Apps und Entra
Wenn Sie Microsoft 365 mit Defender for Endpoint nutzen, ist dies der sauberste Weg: Ein Unsanctioned-Tag erzwingt die Kontrolle am Endpunkt für Browser, Desktop-App und Skripte gleichermaßen.
Voraussetzungen bestätigen
Du brauchst Geräte, die in Microsoft Defender for Endpoint eingebunden sind, Cloud- und Netzwerkschutz aktiviert, erforderlichen Browserschutz konfiguriert und die Defender for Endpoint-Integration in den Einstellungen von Defender for Cloud Apps aktiviert. Ohne diese Optionen ist das Unsanctioned-Tag nur für Überwachung.
Finden Sie ChatGPT im Cloud-App-Katalog
Im Microsoft Defender Portal öffnen Sie Cloud-Apps, dann Cloud-App-Katalog und filtern Sie nach der Kategorie Generative KI. Microsoft pflegt diese Kategorie und gruppiert über tausend bekannte generative KI-Dienste, darunter ChatGPT und OpenAI.
Markiere die App als nicht genehmigt
Wählen Sie ChatGPT aus und wenden Sie das Tag Unsanctioned an. Die Domains der App synchronisieren sich mit Defender for Endpoint als benutzerdefinierte URL-Indikatoren, und der Netzwerkschutz kann die Sperre auf unterstützten Onboard-Geräten durchsetzen. Testen Sie die erforderlichen Browser und Anwendungen, anstatt davon auszugehen, dass jeder Client und Transport abgedeckt ist.
Schneide Ausnahmen mit Entra aus
Halte die App für alle nicht genehmigt und nutze dann Microsoft Entra Internet-Access-Webinhaltsfilterung mit bedingtem Zugang, um bestimmten Gruppen (zum Beispiel einem genehmigten Pilotteam) Zugang dazu zu ermöglichen.
Plane Desktop-App-Steuerungen
Nutzen Sie die unterstützten Anwendungssteuerungs- oder Geräteverwaltungsfunktionen für jedes Betriebssystem. Überprüfen Sie das Installations- und Startverhalten auf Ihren verwalteten Geräten; Windows und macOS Steuerungen sind nicht austauschbar.
Was das übersieht
Die Durchsetzung gilt nur für Geräte, die bei Defender for Endpoint registriert sind. Microsofts eigene Bereitstellungsanleitung weist darauf hin, dass Nutzer weiterhin auf nicht genehmigte Apps von nicht verwalteten Geräten und privaten Netzwerken zugreifen können. Private Telefone, Heim-Laptops und BYOD bleiben unsichtbar.
Blockiere ChatGPT mit Zscaler
Zscaler Internet Access bietet eine Kategorie für KI- & ML-Anwendungen mit Aktionen pro App, sodass Sie blockieren, warnen, isolieren oder mit Upload-Kontrollen erlauben können.
Fügen Sie eine Cloud App Control-Regel hinzu
Im ZIA Admin Portal gehen Sie zu Policy, dann zu URL & Cloud App Control und fügen eine Cloud App Control-Regel in der Kategorie KI & ML Anwendungen hinzu. Zscaler pflegt diese Kategorie und umfasst ChatGPT sowie die OpenAI Plattform.
Anwendungsbereich der Regel
Wählen Sie ChatGPT (und alle anderen OpenAI Apps, die Sie abgedeckt haben möchten) und richten Sie die Regel dann auf Nutzer, Gruppen, Abteilungen oder Standorte aus. Die meisten Teams beginnen mit einem breiten Umfang und erstellen eine genehmigte Pilotgruppe.
Wähle die Aktion
Wählen Sie Blockieren, um den Zugriff komplett zu verweigern, Vorsicht, eine Warnseite anzuzeigen, auf die Nutzer klicken können, oder Isolieren, um die Sitzung in Zscaler Browser Isolation auszuführen. Für einen erlaubten Dienst bestätigen Sie die von Ihrer bereitgestellten Zscaler-Konfiguration unterstützten Upload- oder Tenant-Einschränkungsfunktionen und testen Sie die beabsichtigte Aktion.
Oder blockiert die gesamte URL-Kategorie
Alternativ blockieren Sie die URL-Kategorie KI & ML-Anwendungen im URL-Filtering. Das ist breiter gefasst und erfasst mehr Tools, aber es macht auch jedes legitime KI-Tool kaputt, auf das Ihre Teams bereits angewiesen sind.
Was das übersieht
Zscaler steuert nur den Datenverkehr, der durch ihn geleitet wird. Geräte ohne Client Connector, Telefone im Mobilfunk und persönliche Geräte umgehen die Richtlinie vollständig. Warnseiten verlieren ebenfalls ihre Wirkung, sobald Nutzer lernen, sie durchzuklicken.
Block ChatGPT mit Netskope
Netskope deckt generative KI über eine gepflegte Webkategorie und App-spezifische Kontrollen im Echtzeitschutz ab, inklusive Coaching-Vorlagen und Mandantenebenen-Instanzbewusstsein.
Erstellen Sie eine Echtzeit-Schutzrichtlinie
In der Netskope-Admin-Konsole gehen Sie zu Richtlinien, dann zu Echtzeitschutz und erstellen Sie eine neue Richtlinie. Netskope bietet außerdem eine dedizierte KI-Schutzregel-Typ für generative KI-Steuerungen an.
Setze das Ziel
Wählen Sie die Kategorie Generative KI, um die gesamte Werkzeugklasse abzudecken, oder wählen Sie speziell die ChatGPT Cloud-App. Netskope pflegt die Kategorie und verfolgt Hunderte von generativen KI-Anwendungen im Cloud Confidence Index.
Wählen Sie Blockieren oder Benutzerwarnung
Setze die Aktion auf Blockieren oder nutze User Alert mit einer Coaching-Vorlage, die Nutzer warnt und sie auf die genehmigte Alternative verweisen lässt. Wenn du instanzbewusste Einschränkungen nutzt, prüfe, ob das beabsichtigte Arbeitskonto erlaubt ist und das persönliche Konto auf dem unterstützten Weg abgelehnt wird. Folge dies nicht aus einer Domain-Blockierung.
Beantragen und bestellen Sie die Police
Limitieren Sie die Richtlinie auf Nutzer, Gruppen oder Organisationseinheiten, ordnen Sie sie korrekt in die Richtlinienreihenfolge ein und veröffentlichen Sie. Testen Sie mit einer Pilotgruppe, bevor Sie organisationsweit durchgesetzt werden.
Was das übersieht
Gleiche Steuerbeschränkung: Nur der Verkehr über den Netskope-Client oder das Gateway wird kontrolliert. Die Kategorienabdeckung hinkt auch brandneuen KI-Tools hinterher, sodass die neueste App, die Ihre Mitarbeiter diese Woche gefunden haben, möglicherweise noch nicht kategorisiert ist.
Blockiere ChatGPT mit DNS, Firewall oder Browser-Richtlinie
Keine SSE-Plattform erforderlich. Domain- und Kategoriebasierte Blockierung am Netzwerk-Rand ist die schnellste Methode zur Implementierung und am einfachsten zu umgehen.
Blockiere die ChatGPT Webdomains
Blockiere an deinem DNS-Filter oder Firewall chatgpt.com und chat.openai.com sowie die Asset-Domains, von denen die App lädt: oaistatic.com und oaiusercontent.com. Setze die Subdomains mit einem Wildcard. Bestätige die Domains und die erwarteten Auswirkungen gegenüber deiner aktuellen Anwendung und Richtlinie.
Entscheiden Sie api.openai.com separat
Das Blockieren von api.openai.com wirkt sich auf den direkten API-Verkehr aus, der den kontrollierten Pfad durchläuft. Ein SaaS-Anbieter kann die API von seinem eigenen Backend, also außerhalb dieses Pfades, aufrufen. Inventarisieren Sie die tatsächlichen Anfragen und erwarteten Auswirkungen, bevor Sie die Regel anwenden.
Nutze die KI-Kategorie deiner Firewall, falls sie eine hat
Die meisten aktuellen Anbieter von NGFW und DNS-Filtern bieten eine Kategorie generativer KI oder KI-Dienste an. Kategorienblockierung fängt Schwestertools automatisch auf, allerdings auf Kosten gelegentlicher Fehlalarme bei legitimen Diensten.
Fügen Sie eine Blockliste mit verwaltetem Browser hinzu
Für verwaltete Browser sollten Sie die URLBlocklist-Richtlinie für Chrome und Edge über die Gruppenrichtlinie oder MDM mit den ChatGPT Domains. Dies gilt auch dann, wenn das Gerät nicht im Firmennetzwerk ist, aber nur im verwalteten Browser.
Was das übersieht
DNS- und Firewall-Regeln gelten nur für Netzwerke und Resolver, die du kontrollierst. DNS-over-HTTPS, mobile Hotspots, Heim-WLAN und persönliche Geräte umgehen sie alle und liefern OpenAI im Laufe der Zeit neue Domains aus. Browser-Blocklisten bleiben nur innerhalb des verwalteten Browsers erhalten.
Warum das Blockieren von ChatGPT als Strategie scheitert
Jede der oben genannten Methoden funktioniert nur für den Teil der Geräte und Netzwerke, den sie sehen kann. Das Problem ist, was auf dem Rest passiert. Die unten stehenden Forschungen und praktischen Überlegungen erklären, warum Blockieren unterstützende Kontrollen braucht.
von KI-Nutzern brachten ihre eigenen KI-Werkzeuge zur Arbeit. Das Blockieren eines genehmigten Weges beseitigt die Nachfrage nicht.
Microsoft und LinkedIn, 2024 Work Trend Index
von Menschen, die KI bei der Arbeit nutzen, zögerten zuzugeben, sie für ihre wichtigsten Aufgaben zu nutzen. Blockieren kann zu weniger sichtbarer Nutzung führen.
Microsoft und LinkedIn, 2024 Work Trend Index
Wenn ChatGPT allein blockiert wird, bleiben Alternativen wie Claude, Gemini, DeepSeek und Perplexity frei. Bewerten Sie die Werkzeuge und Datenpfade, die die Mitarbeiter tatsächlich nutzen.
Deckungsüberlegung
Eine Richtlinie, die Führungskräfte umgehen, ist schwerer aufrechtzuerhalten. Wenden Sie konsequent Regeln für genehmigte Werkzeuge und Datenverarbeitung an, auch gegenüber leitenden Führungskräften.
Politische Überlegungen
Regeln auf dem Papier setzen sich nicht selbst durch. Kombinieren Sie Akzeptable-Use-Richtlinien mit geeigneten technischen Kontrollen, Schulungen und Vorfallreaktionsverfahren.
Sicherheitsüberlegungen
Die Nutzung außerhalb überwachter Pfade kann dazu führen, dass Teams ohne die nötigen Beweise zur Erkennung und Untersuchung von Vorfällen fehlen. Überprüfen Sie Sichtbarkeitslücken neben Sperrrichtlinien.
Überwachungsüberlegungen
Blockieren ist ein Hack-a-Mole-Spiel gegen einen Katalog, der ständig wächst. AonaKatalog verfolgt mehr als 10.000 KI-Tools. Wenn ein Tool blockiert ist, können Mitarbeiter auf ein persönliches Gerät oder eine alternative Plattform wechseln. Die Organisationen, die das Risiko verringern, sind diejenigen, die die Nutzung sehen und die Daten kontrollieren können, nicht die mit der längsten Blockliste.
Erkunden Sie die umfassenderen Belege und deren Quellen auf unserem Statistiken zu Shadow AI 2026 Page.
Lenke ChatGPT: Entdecken, Richtlinien festlegen, Daten schützen, coachen
Führen Sie eine kurze Blockliste für Tools, die Sie wirklich nicht akzeptieren können. Für alles andere steuern Sie die Nutzung, statt sie zu bekämpfen.
Entdecken Sie, was tatsächlich verwendet wird
Erstellen Sie ein Inventar der beobachteten KI-Nutzung durch Mitarbeiter. Aona vergleicht Aktivitäten von bereitgestellten Browser-Erweiterungen und nativen Endpunkt-Apps mit einem Katalog von mehr als 10.000 KI-Tools. Ergänzen Sie dies durch eine Überprüfung der eingebetteten SaaS-Funktionen und Wege außerhalb der bereitgestellten Abdeckung.
Erkennung von Shadow AI →Setzen Sie Richtlinien pro Werkzeug und pro Rolle fest
Sanktioniere einen Standardassistenten, erlaube risikoarme Tools und schränke die wirklich riskanten ein. Engineering, Legal und Marketing brauchen nicht dieselben Regeln. Eine kurze Liste mit Erlaubnissen schlägt eine lange Blockliste, die schlecht altert.
Generative KI DLP →Blockieren oder schwärzen Sie nur die sensiblen Daten
Anstatt das Tool zu blockieren, stoppen Sie die Daten, die nicht verschwinden sollten: Zugangsdaten, Kundendaten, Quellcode, Finanzen. Auf unterstützten installierten Client-Pfaden wendet Aona konfigurierte Prompt- und Dateirichtlinien an. Für eine unterstützte DOCX XLSX oder PDF Schwärzaktion inspizieren Sie die zurückgegebene Datei und ihr Layout vor der Genehmigung.
DLP für ChatGPT →Im Moment coachen
Wenn jemand etwas Riskantes einfügt, erkläre ihm direkt im Arbeitsfluss, warum es riskant ist, und weise ihn auf den genehmigten Weg hin. Coaching im Moment verändert das Verhalten auf eine Weise, wie es eine Blockpage nie tut.
KI-Sicherheit der Arbeitskräfte →