Generative KI hat sich in kurzer Zeit von einem Chat-Werkzeug zu etwas Mächtigerem entwickelt: KI-Agenten, die Aufgaben eigenständig planen und ausführen. Sie buchen, bestellen, schreiben Code, durchsuchen Systeme und rufen Programmierschnittstellen auf. Das eröffnet enorme Produktivitätsgewinne – und eine neue Angriffsfläche, die viele Sicherheitsprogramme noch nicht abdecken.

Von Assistenten zu Handelnden

Der entscheidende Unterschied: Ein klassischer Chatbot gibt Text zurück, ein Agent handelt. Er greift mit eigenen Zugangsdaten auf Datenbanken, Cloud-Dienste und Anwendungen zu, oft über mehrere Schritte hinweg und ohne dass ein Mensch jede Aktion freigibt. Damit wird der Agent zu einem eigenständigen Akteur im System – mit allen Sicherheitsfragen, die auch für menschliche Nutzer gelten, nur schneller und in größerem Maßstab.

Die stille Explosion nicht-menschlicher Identitäten

Schon vor KI-Agenten gab es weit mehr nicht-menschliche Identitäten als menschliche: Service-Accounts, API-Schlüssel, Tokens, Zertifikate. In vielen Umgebungen übersteigen sie die Zahl der Mitarbeitenden um ein Vielfaches. KI-Agenten beschleunigen diese Entwicklung noch. Das Problem: Diese Identitäten werden oft schlechter verwaltet als menschliche Konten – ohne klare Eigentümer, ohne Ablaufdatum, mit weit mehr Rechten als nötig.

Neue Risiken, alte Prinzipien

Die größten Gefahren sind vertraut, verschärfen sich aber:

  • Übermäßige Berechtigungen: Ein Agent mit zu vielen Rechten wird im Fehler- oder Angriffsfall zum Einfallstor.
  • Prompt Injection als Steuerung: Manipulierte Inhalte können einen Agenten zu unerwünschten Aktionen verleiten – nicht nur zu falschen Aussagen.
  • Ungeschützte Secrets: Zugangsdaten, die im Klartext in Prompts, Logs oder Code landen.
  • Fehlende Nachvollziehbarkeit: Wenn niemand weiß, was ein Agent wann getan hat, ist eine Aufklärung im Ernstfall kaum möglich.

Was jetzt zu tun ist

Die Antworten sind keine Neuerfindung, sondern konsequente Anwendung bewährter Prinzipien auf eine neue Klasse von Akteuren. Jeder Agent braucht eine eigene, klar zugeordnete Identität mit minimalen Rechten (Least Privilege) und möglichst kurzlebigen, zentral verwalteten Zugangsdaten. Aktionen mit hohem Risiko sollten eine menschliche Freigabe erfordern. Und jede Agenten-Aktivität gehört protokolliert und überwacht – so, wie man es von privilegierten Nutzern erwartet. Wer KI-Agenten einführt, sollte ihre Sicherheit von Anfang an mitdenken, nicht erst nach dem ersten Vorfall.

Governance für autonome Systeme

Neben technischen Kontrollen braucht es Klarheit in der Organisation. Jeder Agent sollte einen benannten Verantwortlichen haben, der über Zweck, Rechte und Lebensdauer entscheidet. Ein Inventar aller im Einsatz befindlichen Agenten und Dienste-Identitäten schafft die Grundlage, um verwaiste oder überprivilegierte Zugänge zu erkennen und abzuschalten. Wichtig ist außerdem ein bewusster Umgang mit „Schatten-Agenten", die Teams eigenmächtig einführen.

Vertrauen durch Grenzen

Autonomie und Sicherheit sind kein Widerspruch – im Gegenteil. Klare Grenzen machen den Einsatz von KI-Agenten überhaupt erst verantwortbar. Wer definiert, was ein Agent darf und was nicht, und dies technisch durchsetzt, kann die Produktivitätsvorteile nutzen, ohne die Kontrolle abzugeben. Das ist die eigentliche Kunst: Handlungsvollmacht gewähren, ohne blind zu vertrauen.