Ihre Firma hat einen neuen Benutzer. Es ist kein Mensch.

Würden Sie einem neuen Mitarbeiter Zugriff auf die E-Mails der Firma, auf SharePoint, Datenbanken, Quellcode oder Server geben, ohne dass seine Berechtigungen klar festgelegt sind und ohne dass sich seine Tätigkeit im Nachhinein überprüfen lässt?

Wahrscheinlich nicht. Und doch steuern viele Firmen heute bei der Einführung künstlicher Intelligenz genau in diese Richtung.

Bis vor Kurzem war generative KI vor allem ein Werkzeug, dem ein Mensch eine Frage stellte und von dem er eine Antwort bekam. Ein KI-Agent kann jedoch viel mehr. Er kann eine Aufgabe bekommen, die Schritte zu ihrer Erledigung selbst festlegen, auf weitere Systeme zugreifen und in bestimmten Fällen auch selbstständig eine konkrete Aktion ausführen.

• Er kann Informationen in SharePoint suchen.
• Mit E-Mails arbeiten.
• Eine Datenbank analysieren.
• Ein Skript starten.
• Quellcode ändern.
• Über eine API mit einem anderen System kommunizieren.

Und er kann eine ganze Reihe von Schritten ausführen, ohne dass der Benutzer jeden einzelnen davon bestätigt.

In diesem Moment ist KI nicht mehr nur ein weiteres Werkzeug auf dem Desktop. Sie wird zu einem aktiven Teil der IT-Infrastruktur der Firma. Und aus Sicht von Identität, Zugriffsrechten und Sicherheit müssen wir sie ähnlich behandeln wie einen weiteren Benutzer oder Dienst.

Der Chatbot hat geantwortet. Der Agent handelt.

Bei klassischer generativer KI war das Nutzungsmodell recht einfach. Der Benutzer stellte eine Frage oder lieferte ein Dokument. Das Modell erstellte eine Antwort, und damit war die Interaktion in den meisten Fällen beendet.

Ein KI-Agent verschiebt diese Grenze deutlich weiter. Ihm können Werkzeuge, Zugriffstoken, API-Schnittstellen oder Berechtigungen für die Arbeit mit weiteren Unternehmenssystemen zur Verfügung stehen. Statt einer einzigen Antwort kann er einen Plan erstellen und anschließend die einzelnen Schritte ausführen, die zur Erledigung der Aufgabe nötig sind.

Der Unterschied ist grundlegend: Ein Chatbot kann sagen, was zu tun ist. Ein KI-Agent kann es auch tun.

Deshalb verlagert sich die Sicherheitsdiskussion allmählich von der Frage „Ist es sicher, ChatGPT zu nutzen?“ zu einer viel wichtigeren: „Was alles kann KI in unserer Umgebung tun, und mit welchen Berechtigungen?“

Diese Verschiebung sehen wir bereits bei den Sicherheitswerkzeugen großer Technologiekonzerne. Microsoft etwa erweitert den Schutz von Endgeräten auch um die Erkennung lokal genutzter KI-Agenten und MCP-Server.

Das ist ein wichtiges Signal. KI ist nicht mehr nur eine Anwendung für Inhalte. Sie wird zu einem weiteren Element der Infrastruktur, das die IT-Abteilung kennen, verwalten und kontrollieren muss.

Willkommen im Team. Was darfst du alles?

Beim Eintritt eines neuen Mitarbeiters ist der Ablauf ziemlich klar. Er bekommt ein Benutzerkonto. Er wird den passenden Gruppen zugeordnet. Er erhält nur Zugriff auf die Systeme und Daten, die er für seine Arbeit braucht. Seine Anmeldung ist abgesichert. Wichtige Aktivitäten werden protokolliert. Und wenn er den Zugriff nicht mehr braucht, wird das Konto gesperrt oder gelöscht.

Bei KI-Agenten sollten wir ähnlich denken. Wenn ein KI-Agent auf Systeme der Firma zugreift, sollte die Firma zumindest einige Grundfragen beantworten können:

• Welche digitale Identität verwendet er?
• Auf welche Systeme hat er Zugriff?
• Welche Daten darf er lesen?
• Was darf er ändern?
• Welche Operationen darf er ausführen?
• Wie sind seine Zugangsdaten und Token geschützt?
• Wird seine Tätigkeit protokolliert?
• Können wir ihm den Zugriff sofort entziehen?
• Können wir im Nachhinein feststellen, was genau er getan hat?

Hier kommen wir zu einem der Grundprinzipien der Cybersicherheit: dem Prinzip der minimalen Berechtigungen – Least Privilege.

Ein Agent, der Dokumente analysieren soll, braucht nicht das Recht, diese Dokumente zu löschen. Ein Agent, der einen E-Mail-Entwurf vorbereitet, muss nicht automatisch das Recht haben, die E-Mail auch zu versenden. Ein Agent, der Reports aus einer Datenbank erstellt, braucht keine Administratorrechte auf dem Datenbankserver.

Das klingt selbstverständlich. Genauso selbstverständlich war aber einst, dass nicht jeder Benutzer lokaler Administrator sein muss. Trotzdem begegnet uns das in der Praxis bis heute.

Ein API-Schlüssel ist auch ein Schlüssel. Und manchmal einer zur ganzen Firma.

Bei Benutzern haben wir uns daran gewöhnt, über Passwörter, Mehrfaktor-Authentifizierung, Zugriffssteuerung oder privilegierte Konten zu sprechen. Bei KI-Agenten versteckt sich dasselbe Problem oft hinter technischeren Begriffen: API-Schlüssel. Zugriffstoken. Dienstkonto. OAuth-Berechtigung. Secret.

Aus Sicht der Sicherheit ist es aber unwichtig, wie die konkreten Zugangsdaten heißen. Entscheidend ist, was sie ermöglichen. Wenn ein gestohlener Token Zugriff auf die Produktivdatenbank gibt, ist er im Grunde ein digitaler Schlüssel zum Produktivsystem.

Wenn ein KI-Agent die Identität eines bestimmten Menschen verwendet, entsteht ein weiteres Problem: Können wir im Nachhinein unterscheiden, was der Benutzer getan hat und was der Agent in seinem Namen getan hat?

Das Identitätsmanagement wird sich daher nicht mehr nur um Mitarbeiter, Geräte und klassische Anwendungen kümmern. Immer wichtiger werden auch die digitalen Identitäten von Diensten, automatisierten Prozessen und KI-Agenten. Und ihre Zahl kann in großen Organisationen sehr schnell die Zahl der menschlichen Benutzer übersteigen.

Shadow IT bekommt eine neue Gestalt: Shadow AI

IT-Abteilungen kennen das Problem der Shadow IT seit Jahren. Ein Mitarbeiter legt ohne Wissen der IT ein Konto bei einem Cloud-Dienst an, lädt Firmendokumente hoch, und die Firma erfährt davon erst später – oft rein zufällig.

KI beschleunigt dieses Problem noch. Ein Benutzer kann heute innerhalb weniger Minuten eine KI-Anwendung, ein Werkzeug für die Arbeit mit Code oder eine Browsererweiterung installieren und ihr Zugriff auf lokale Dateien, Repositorys oder Cloud-Dienste geben.

So entsteht ein neues Problem, das als Shadow AI bezeichnet wird – die Nutzung von KI-Werkzeugen außerhalb der Kontrolle und oft auch ohne Wissen der IT-Abteilung.

Eine Firma kann ihre Notebooks, Server und Benutzerkonten perfekt dokumentiert haben. Aber kann sie die Frage beantworten: Wie viele KI-Werkzeuge arbeiten gerade mit unseren Firmendaten? Und noch wichtiger: Auf welche Daten haben sie Zugriff?

Der erste Schritt muss deshalb kein Verbot von KI sein. Der erste Schritt sollte Überblick sein. Denn man kann nichts steuern, von dem man nicht weiß, dass es in der eigenen Umgebung existiert.

Wenn den Angriff nicht ein Mensch liest, sondern die KI

KI-Agenten bringen auch neue Arten von Sicherheitsrisiken mit sich. Eine davon ist Prompt Injection – eine Situation, in der ein Angreifer versucht, dem Modell über Inhalte, die die KI verarbeitet, eine schädliche oder unerwünschte Anweisung unterzuschieben.

Stellen wir uns einen KI-Agenten vor, dessen Aufgabe es ist, Dokumente oder Webseiten zu verarbeiten. Eines der Dokumente enthält jedoch einen Text, der so vorbereitet ist, dass er das Verhalten der KI beeinflusst. Ein Mensch hält ihn vielleicht für einen bedeutungslosen Teil des Dokuments. Die KI kann ihn aber als Anweisung auswerten.

Schon eine falsche Antwort der KI kann unangenehm sein. Viel ernster wird es aber, wenn der Agent zugleich Zugriff auf weitere Systeme hat und das Recht, dort Änderungen vorzunehmen.

Der Unterschied zwischen „Die KI hat eine falsche Antwort erstellt“ und „Die KI hat eine falsche Operation in der Produktivumgebung ausgeführt“ ist enorm.

Deshalb darf die Sicherheit von KI nicht nur auf der Qualität des Modells selbst beruhen. Genauso wichtig ist, welche Berechtigungen der Agent hat, worauf er Zugriff hat und was ihm das System ohne weitere Bestätigung erlaubt.

„Was ist eigentlich passiert?“ darf nicht unbeantwortet bleiben

Stellen wir uns eine einfache Situation vor. Ein KI-Agent soll einen Report erstellen. Dabei greift er auf eine Datenbank zu, danach auf SharePoint, öffnet mehrere Dokumente, nutzt eine externe API und bereitet das Ergebnis vor. Zwei Tage später stellt sich heraus, dass etwas nicht in Ordnung war.

Was nun? Wir müssen wissen:

• Auf welche Daten hat er zugegriffen?
• Welche Informationen hat er erhalten?
• Welche Schritte hat er ausgeführt?
• Welche Werkzeuge hat er verwendet?
• Was hat er geändert?
• Und unter welcher Identität hat er diese Operationen ausgeführt?

Ohne eine gute Protokollierung von Ereignissen gleicht die Untersuchung eines Vorfalls der Rekonstruktion eines Verkehrsunfalls ohne Kameras, Zeugen und Spuren.

Deshalb wird bei KI-Agenten der Audit-Trail immer wichtiger. Wir müssen im Nachhinein rekonstruieren können, was passiert ist.

Automatisierung kann die Effizienz deutlich steigern. Doch erst Automatisierung, die durch Kontrolle, Monitoring und Audit ergänzt wird, schafft eine Umgebung, der eine Firma vertrauen kann.

Monitoring wird nicht mehr nur Server überwachen

Klassisches IT-Monitoring beobachtet wohlbekannte Kennzahlen: CPU, Arbeitsspeicher, Festplatten, Netzwerk, Datenbanken, Anwendungen und die Verfügbarkeit von Diensten. Sicherheitsmonitoring ergänzt das um Benutzerkonten, Geräte, ungewöhnliches Verhalten, Netzwerkkommunikation und Angriffsversuche.

Ein KI-Agent bringt eine weitere Ebene mit. Wichtig wird nicht nur sein, ob er funktioniert. Wir werden auch wissen wollen:

• Was tut er?
• Auf welche Systeme greift er zu?
• Wie oft führt er einzelne Operationen aus?
• Hat sich sein Verhalten plötzlich verändert?
• Tut er etwas, das er vorher nie getan hat?

Das ist eine grundlegende Veränderung. Bei einem Server kann ein Warnsignal ein Prozessor sein, der plötzlich dauerhaft auf 100 % läuft. Bei einem KI-Agenten kann ein Warnsignal sein, dass er auf Daten zugreift, die er bis dahin nie gebraucht hat.

Monitoring verschiebt sich so allmählich von der einfachen Frage „Ist das System erreichbar?“ zu einer viel komplexeren: „Verhält sich das System so, wie wir es erwarten?“

KI braucht keinen Administrator. Sie braucht Grenzen.

Bei der Einführung einer neuen Lösung ist es technisch meist am einfachsten, ihr weitreichende Berechtigungen zu geben. Dann funktioniert alles. Und genau darin liegt das Problem.

Ein sicher konzipierter KI-Agent sollte klar festgelegte Grenzen haben. Was er lesen darf. Was er ändern darf. Was er selbstständig ausführen darf. Und wofür ein Mensch die Operation freigeben muss.

Nicht jede Tätigkeit stellt nämlich dasselbe Risiko dar. KI kann zum Beispiel selbstständig:

• Daten sammeln,
• Logs analysieren,
• einen Report-Entwurf vorbereiten,
• einen Vorfall kategorisieren,
• eine Empfehlung erstellen.

Bei heikleren Operationen wie:

• dem Löschen von Daten,
• der Änderung einer Sicherheitsregel,
• dem Anlegen eines privilegierten Kontos,
• dem Ausrollen einer Änderung in die Produktivumgebung,
• einer Finanztransaktion

kann weiterhin eine verpflichtende Freigabe durch einen Menschen nötig sein.

Das Ziel ist nicht, die Autonomie der KI abzuschaffen. Das Ziel ist, genau festzulegen, wo ihre Autonomie endet.

Sechs Fragen, die sich heute jede Firma stellen sollte

Versuchen Sie, sie zu beantworten:

• Wissen wir, welche KI-Werkzeuge und Agenten unsere Mitarbeiter nutzen?
• Wissen wir, auf welche Firmendaten sie Zugriff haben?
• Haben sie eine klar festgelegte digitale Identität und klar festgelegte Berechtigungen?
• Können wir ihre Tätigkeit im Nachhinein nachverfolgen?
• Können wir ihnen bei Bedarf sofort den Zugriff entziehen?
• Haben wir Operationen festgelegt, die KI nicht ohne Freigabe durch einen Menschen ausführen darf?

Lautet die Antwort bei mehreren Fragen „wissen wir nicht“, ist das nicht automatisch ein Grund, KI zu verbieten. Es ist aber ein sehr guter Grund, sie als Teil der IT-Umgebung der Firma zu steuern.

KI ist kein Experiment mehr. Sie wird Teil der Unternehmensführung.

Die Nutzung künstlicher Intelligenz verlagert sich allmählich von individuellen Experimenten in die alltäglichen Prozesse im Unternehmen. Damit ändert sich auch die Verantwortung der Firmen.

Es geht nicht mehr nur um die Frage, welches KI-Werkzeug die besten Ergebnisse liefert. Immer wichtiger wird es sein, zu wissen:

• Wer oder was hat Zugriff?
• Auf welche Daten?
• Unter welchen Bedingungen?
• Wer kontrolliert die Tätigkeit?
• Und können wir im Nachhinein belegen, was passiert ist?

Diese Fragen sind dabei nicht nur für KI spezifisch. Es sind die Grundfragen einer gut verwalteten IT-Umgebung. KI macht sie nur noch dringlicher.

KI ist ein neuer Kollege. Nur geht er nie nach Hause.

Firmen werden KI-Agenten immer stärker nutzen. Das ist sinnvoll. Sie können Routinearbeit abnehmen, schneller reagieren als ein Mensch, große Mengen an Informationen verarbeiten und Prozesse rund um die Uhr ausführen.

Genau diese Vorteile bringen aber auch neue Risiken mit sich. Ein KI-Agent wird nicht müde. Er geht nicht Mittagessen. Er wartet nicht bis zum Morgen. Und wenn er die Berechtigung hat, tausend Operationen auszuführen, kann er sie sehr schnell ausführen.

Deshalb sollten wir KI-Agenten nicht nur als weitere Software betrachten. Aus Sicht der Sicherheit sind sie neue digitale Identitäten in unserer Infrastruktur.

Und jede digitale Identität braucht Regeln. Richtig gesetzte Berechtigungen. Monitoring. Audit. Und die Möglichkeit, sofort zu sagen: Stopp. Weiter geht es nicht.

KI kann ein außergewöhnlich fähiger neuer Kollege sein. Geben wir ihm nur nicht gleich am ersten Arbeitstag den Generalschlüssel zur ganzen Firma.