Ein KI-Agent beantwortet nicht nur Fragen, er handelt: liest Postfächer, legt Vorgänge an, schreibt in die Warenwirtschaft, ruft andere Systeme auf. Das spart Arbeit – und verschiebt das Risiko. Ein Agent kann nur so viel Schaden anrichten, wie seine Rechte erlauben. Deshalb beginnt jedes Agentenprojekt bei uns mit der Frage, was er nicht darf.
KI-generiertes Bild14Jahre
unternehmerisch im IT-Betrieb, GmbH seit 2020
InternationaleExpertise
Betreuung in Deutschland, Europa und dem Nahen Osten
99,9 %Verfügbarkeit
der Cloud-Services, je Kalendermonat
15 Min.Reaktionszeit
im Notfall, rund um die Uhr
ISO 27001zertifiziert
Partner-Rechenzentren in Deutschland
Worum es geht
Ein Agent ist ein neuer Mitarbeiter mit sehr schneller Auffassungsgabe und ohne Urteilsvermögen. Man würde ihm nicht am ersten Tag die Vollmacht für das Firmenkonto geben. Genau so sollten seine Rechte aussehen: eng, nachvollziehbar, mit einer Freigabe dort, wo es um Geld, Außenwirkung oder Löschung geht.
Die Ausgangslage
Nach Chatbots und Schreibassistenten kommt die nächste Stufe: Systeme, die eigenständig mehrere Schritte ausführen. Das BSI und die französische Behörde ANSSI beschreiben solche agentischen LLM-Systeme als Systeme, die zu autonomen Abläufen und Anpassung fähig sind. Anbieter bauen sie in Microsoft 365, in CRM- und ERP-Systeme und in eigene Plattformen ein. Für ein mittelständisches Haus stellt sich nicht mehr die Frage, ob es Agenten geben wird, sondern welche Rechte man ihnen gibt.
Ihr nächster Schritt
Nennen Sie uns den Ablauf. Sie bekommen eine Einschätzung, ob sich ein Agent lohnt, welche Rechte er braucht und wo ein Mensch freigeben muss.
Konkrete Anwendungsfälle
Least Privilege
Rechte so fein wie möglich vergeben – Grundsatz für agentische Systeme
Quelle: BSI und ANSSI, Design Principles for LLM-based Systems with Zero Trust
Prompt Injection
Direkte und indirekte Manipulation über verarbeitete Inhalte als zentrales Risiko
Quelle: BSI, Generative KI-Modelle – Chancen und Risiken
Eigene Identität
Jeder Agent bekommt ein eigenes, eingeschränktes Konto statt eines Mitarbeiterkontos
Ob ein Agent mit dem neuesten oder dem vorletzten Sprachmodell arbeitet, ist für die Sicherheit zweitrangig. Entscheidend ist, was er im Ernstfall tun kann. Ein Agent mit Lesezugriff auf ein Postfach, der Vorschläge macht, kann bei einer Manipulation falsche Vorschläge machen. Ein Agent mit Schreibrechten in der Buchhaltung und ohne Freigabe kann Geld bewegen.
Deshalb beginnen wir jedes Agentenprojekt mit einer Liste der Rechte – und einer zweiten Liste dessen, was ausdrücklich nicht erlaubt ist. Bei Microsoft 365 lässt sich im Admin Center einsehen, welche Berechtigungen und welchen Datenzugriff ein Agent benötigt; diese Prüfung gehört vor jede Freigabe.
Sie sind fast immer organisatorisch, nicht technisch:
Unser Vorgehen
Ein Agent für eine klar umrissene Aufgabe – Eingangsrechnungen vorsortieren, Anfragen zuordnen, Termine vorschlagen – statt eines Generalisten, der alles darf.
BSI und ANSSI nennen das Prinzip der geringsten Berechtigung als Grundsatz: Ressourcen in kleine Einheiten teilen, Rechte so fein wie möglich vergeben. Ein Agent, der Rechnungen sortiert, braucht keinen Zugriff auf die Personalakten.
Alles, was Geld bewegt, nach außen geht oder Daten löscht, wird von einem Menschen freigegeben. Der Agent bereitet vor, der Mensch entscheidet.
Ein Agent, der E-Mails oder Webseiten liest, kann durch versteckte Anweisungen darin gesteuert werden – das BSI beschreibt das als indirekte Prompt Injection. Inhalte von außen dürfen deshalb nie unmittelbar Aktionen auslösen.
Jede Aktion des Agenten wird protokolliert, ungewöhnliche Muster lösen eine Meldung aus. So lässt sich nachvollziehen, was er getan hat – und warum.
Häufige Fragen
Ein Chatbot antwortet. Ein Agent handelt: Er ruft Werkzeuge und Schnittstellen auf, liest und schreibt Daten und führt mehrere Schritte nacheinander aus, oft ohne dass ein Mensch jeden Schritt bestätigt.
Ein Angriff, bei dem Anweisungen in Inhalte versteckt werden, die das Sprachmodell verarbeitet – etwa in einer E-Mail oder auf einer Webseite. Liest ein Agent diesen Inhalt, kann er die versteckte Anweisung ausführen. Das BSI behandelt direkte und indirekte Prompt Injection als zentrale Risiken generativer KI.
Ja. Ein Agent sollte nie mit dem Konto eines Mitarbeitenden arbeiten, sondern mit einer eigenen Identität, deren Rechte sich gezielt beschränken und deren Aktionen sich getrennt protokollieren lassen.
Ein Agent ist ein KI-System; welche Pflichten gelten, hängt wie bei jedem System von Rolle und Einsatzzweck ab. Entscheidet er etwa über Bewerbungen oder Kreditwürdigkeit, liegt er in einem Hochrisiko-Bereich nach Anhang III.
Zum Weiterlesen im Journal
Fundstellen
Die Fotografien auf dieser Seite sind mit künstlicher Intelligenz erzeugt und keine Aufnahmen aus unseren Räumen. Kennzeichnung nach Art. 50 KI-Verordnung (EU) 2024/1689.