Ihr Unternehmen hat einen neuen Benutzer. Es ist kein Mensch.

Würden Sie einem neuen Mitarbeiter Zugriff auf Firmen-E-Mails, SharePoint, Datenbanken, Quellcode oder Server geben, ohne dass seine Berechtigungen klar festgelegt sind und sich seine Tätigkeit im Nachhinein überprüfen lässt?

Wahrscheinlich nicht. Und doch gehen viele Unternehmen genau in diese Richtung, wenn sie künstliche Intelligenz einführen.

Bis vor Kurzem war generative KI vor allem ein Werkzeug, dem man eine Frage stellte und von dem man eine Antwort bekam. Ein KI-Agent kann deutlich mehr. Er kann eine Aufgabe erhalten, die nötigen Schritte festlegen, auf weitere Systeme zugreifen und in bestimmten Fällen eine konkrete Aktion selbstständig ausführen.

• Er kann Informationen in SharePoint suchen.
• Mit E-Mails arbeiten.
• Eine Datenbank analysieren.
• Ein Skript ausführen.
• Quellcode ändern.
• Über eine API mit einem anderen System kommunizieren.

Und er kann eine ganze Reihe von Schritten ausführen, ohne dass der Benutzer jeden einzeln bestätigt.

In diesem Moment ist KI nicht mehr nur ein weiteres Werkzeug auf dem Desktop. Sie wird zu einem aktiven Teil der IT-Infrastruktur des Unternehmens. Und mit Blick auf Identität, Zugriffsrechte und Sicherheit müssen wir sie ähnlich behandeln wie einen weiteren Benutzer oder Dienst.

Der Chatbot hat geantwortet. Der Agent handelt.

Bei klassischer generativer KI war das Nutzungsmodell recht einfach. Der Benutzer stellte eine Frage oder lieferte ein Dokument. Das Modell erstellte eine Antwort, und damit war die Interaktion in den meisten Fällen beendet.

Ein KI-Agent verschiebt diese Grenze deutlich weiter. Er kann über Werkzeuge, Zugriffstoken, API-Schnittstellen oder Berechtigungen für weitere Unternehmenssysteme verfügen. Statt einer einzelnen Antwort kann er einen Plan erstellen und anschließend die einzelnen Schritte ausführen, die für die Aufgabe nötig sind.

Der Unterschied ist grundlegend: Ein Chatbot kann sagen, was zu tun ist. Ein KI-Agent kann es auch tun.

Deshalb verlagert sich die Sicherheitsdiskussion allmählich weg von der Frage „Ist es sicher, ChatGPT zu nutzen?“ hin zu einer viel wichtigeren: „Was kann KI in unserer Umgebung alles tun und mit welchen Berechtigungen?“

Diese Verschiebung sehen wir bereits bei den Sicherheitswerkzeugen großer Technologiekonzerne. Microsoft etwa erweitert den Schutz von Endgeräten um die Erkennung lokal genutzter KI-Agenten und MCP-Server.

Das ist ein wichtiges Signal. KI ist nicht mehr nur eine Anwendung für Inhalte. Sie wird zu einem weiteren Bestandteil der Infrastruktur, den die IT-Abteilung kennen, verwalten und kontrollieren muss.

Willkommen im Team. Was dürfen Sie alles?

Wenn ein neuer Mitarbeiter anfängt, ist der Ablauf ziemlich klar. Er erhält ein Benutzerkonto. Er wird den passenden Gruppen zugeordnet. Er bekommt nur Zugriff auf die Systeme und Daten, die er für seine Arbeit braucht. Seine Anmeldung ist abgesichert. Wichtige Aktivitäten werden protokolliert. Und wenn er den Zugriff nicht mehr braucht, wird das Konto gesperrt oder gelöscht.

Bei KI-Agenten sollten wir ähnlich denken. Greift ein KI-Agent auf Unternehmenssysteme zu, sollte das Unternehmen zumindest einige grundlegende Fragen beantworten können:

• Welche digitale Identität verwendet er?
• Auf welche Systeme hat er Zugriff?
• Welche Daten darf er lesen?
• Was darf er ändern?
• Welche Operationen darf er ausführen?
• Wie sind seine Zugangsdaten und Token geschützt?
• Wird seine Tätigkeit protokolliert?
• Können wir ihm den Zugriff sofort entziehen?
• Können wir im Nachhinein feststellen, was er genau getan hat?

Damit sind wir bei einem der Grundprinzipien der Cybersicherheit: dem Prinzip der geringsten Rechte (Least Privilege).

Ein Agent, der Dokumente analysieren soll, braucht nicht das Recht, sie zu löschen. Ein Agent, der einen E-Mail-Entwurf vorbereitet, muss die E-Mail nicht automatisch auch versenden dürfen. Ein Agent, der Berichte aus einer Datenbank erstellt, braucht keine Administratorrechte auf dem Datenbankserver.

Das klingt selbstverständlich. Genauso selbstverständlich war einmal, dass nicht jeder Benutzer lokaler Administrator sein muss. Trotzdem begegnet uns das in der Praxis bis heute.

Ein API-Schlüssel ist auch ein Schlüssel. Manchmal zum ganzen Unternehmen.

Bei Benutzern sind wir es gewohnt, über Passwörter, Mehrfaktor-Authentifizierung, Zugriffssteuerung oder privilegierte Konten zu sprechen. Bei KI-Agenten versteckt sich dasselbe Problem oft hinter technischeren Begriffen: API-Schlüssel. Zugriffstoken. Dienstkonto. OAuth-Berechtigung. Secret.

Aus Sicht der Sicherheit ist es jedoch unerheblich, wie ein bestimmtes Zugangsmerkmal heißt. Entscheidend ist, was es ermöglicht. Verschafft ein gestohlener Token Zugriff auf eine Produktivdatenbank, ist er im Grunde ein digitaler Schlüssel zum Produktivsystem.

Nutzt ein KI-Agent die Identität einer bestimmten Person, entsteht ein weiteres Problem: Können wir im Nachhinein unterscheiden, was der Benutzer getan hat und was der Agent in seinem Namen?

Das Identitätsmanagement wird sich deshalb nicht mehr nur um Mitarbeiter, Geräte und klassische Anwendungen kümmern. Immer wichtiger werden auch die digitalen Identitäten von Diensten, automatisierten Prozessen und KI-Agenten. Und ihre Zahl kann in großen Organisationen sehr schnell die Zahl der menschlichen Benutzer übersteigen.

Schatten-IT bekommt eine neue Form: Schatten-KI

IT-Abteilungen kennen das Problem der Schatten-IT seit Jahren. Ein Mitarbeiter legt ohne Wissen der IT ein Konto bei einem Cloud-Dienst an, lädt dort Firmendokumente hoch, und das Unternehmen erfährt erst später davon, oft durch reinen Zufall.

KI beschleunigt dieses Problem noch. Ein Benutzer kann heute innerhalb weniger Minuten eine KI-App, ein Werkzeug für die Arbeit mit Code oder eine Browsererweiterung installieren und dem Programm Zugriff auf lokale Dateien, Repositorys oder Cloud-Dienste geben.

So entsteht ein neues Problem, das man Schatten-KI nennt: die Nutzung von KI-Werkzeugen außerhalb der Kontrolle und oft auch ohne Wissen der IT-Abteilung.

Ein Unternehmen kann Notebooks, Server und Benutzerkonten perfekt dokumentiert haben. Aber kann es die Frage beantworten: Wie viele KI-Werkzeuge arbeiten gerade mit unseren Unternehmensdaten? Und noch wichtiger: Auf welche Daten haben sie Zugriff?

Der erste Schritt muss daher kein Verbot von KI sein. Der erste Schritt heißt Überblick. Denn man kann nichts steuern, von dem man nicht weiß, dass es in der eigenen Umgebung existiert.

Wenn nicht ein Mensch den Angriff liest, sondern die KI

KI-Agenten bringen auch neue Arten von Sicherheitsrisiken mit sich. Eines davon heißt Prompt Injection und bedeutet, dass ein Angreifer versucht, dem Modell über Inhalte, die die KI verarbeitet, eine schädliche oder unerwünschte Anweisung unterzuschieben.

Stellen wir uns einen KI-Agenten vor, dessen Aufgabe es ist, Dokumente oder Webseiten zu verarbeiten. Eines der Dokumente enthält jedoch einen Text, der so vorbereitet ist, dass er das Verhalten der KI beeinflusst. Ein Mensch hält ihn vielleicht für einen bedeutungslosen Teil des Dokuments. Die KI kann ihn jedoch als Anweisung auswerten.

Eine falsche Antwort der KI kann schon unangenehm sein. Deutlich ernster wird es, wenn der Agent zugleich Zugriff auf weitere Systeme hat und dort Änderungen vornehmen darf.

Der Unterschied zwischen „KI hat eine falsche Antwort erstellt“ und „KI hat eine falsche Operation in der Produktivumgebung ausgeführt“ ist enorm.

Deshalb kann KI-Sicherheit nicht allein auf der Qualität des Modells beruhen. Genauso wichtig ist, welche Berechtigungen der Agent hat, worauf er zugreifen kann und was ihm das System ohne weitere Bestätigung erlaubt.

„Was ist eigentlich passiert?“ darf nicht unbeantwortet bleiben

Stellen wir uns eine einfache Situation vor. Ein KI-Agent soll einen Bericht erstellen. Dabei greift er auf eine Datenbank zu, danach auf SharePoint, öffnet mehrere Dokumente, nutzt eine externe API und stellt das Ergebnis zusammen. Zwei Tage später stellt sich heraus, dass etwas nicht in Ordnung war.

Was jetzt? Wir müssen wissen:

• Auf welche Daten hat er zugegriffen?
• Welche Informationen hat er erhalten?
• Welche Schritte hat er ausgeführt?
• Welche Werkzeuge hat er genutzt?
• Was hat er geändert?
• Und unter welcher Identität hat er diese Operationen ausgeführt?

Ohne eine gute Protokollierung von Ereignissen gleicht die Untersuchung eines Vorfalls der Rekonstruktion eines Verkehrsunfalls ohne Kameras, Zeugen und Spuren.

Deshalb wird bei KI-Agenten eines immer wichtiger: der Audit-Trail. Wir müssen im Nachhinein rekonstruieren können, was passiert ist.

Automatisierung kann die Effizienz deutlich steigern. Doch erst Automatisierung, die durch Kontrolle, Monitoring und Audit ergänzt wird, schafft eine Umgebung, der ein Unternehmen vertrauen kann.

Monitoring überwacht künftig nicht mehr nur Server

Klassisches IT-Monitoring beobachtet bekannte Kennzahlen: CPU, Arbeitsspeicher, Festplatten, Netzwerk, Datenbanken, Anwendungen und die Verfügbarkeit von Diensten. Das Sicherheitsmonitoring ergänzt Benutzerkonten, Geräte, ungewöhnliches Verhalten, Netzwerkkommunikation und Angriffsversuche.

Ein KI-Agent bringt eine weitere Ebene mit. Wichtig wird nicht nur sein, ob er funktioniert. Wir werden auch wissen wollen:

• Was tut er?
• Auf welche Systeme greift er zu?
• Wie oft führt er bestimmte Operationen aus?
• Hat sich sein Verhalten plötzlich verändert?
• Tut er etwas, das er vorher nie getan hat?

Das ist eine grundlegende Änderung. Bei einem Server kann ein Warnsignal ein Prozessor sein, der plötzlich dauerhaft mit 100 % läuft. Bei einem KI-Agenten kann das Warnsignal sein, dass er auf Daten zugreift, die er bisher nie gebraucht hat.

Monitoring verschiebt sich damit allmählich von der einfachen Frage „Ist das System verfügbar?“ hin zu einer viel komplexeren: „Verhält sich das System so, wie wir es erwarten?“

KI braucht keine Adminrechte. Sie braucht Grenzen.

Bei der Einführung einer neuen Lösung ist es technisch meist am einfachsten, ihr weitreichende Berechtigungen zu geben. Dann funktioniert alles. Und genau darin liegt das Problem.

Ein sicher konzipierter KI-Agent sollte klar festgelegte Grenzen haben. Was er lesen darf. Was er ändern darf. Was er selbstständig ausführen darf. Und wobei ein Mensch die Operation freigeben muss.

Nicht jede Tätigkeit birgt das gleiche Risiko. KI kann zum Beispiel selbstständig:

• Daten sammeln,
• Logs analysieren,
• einen Berichtsentwurf erstellen,
• einen Vorfall kategorisieren,
• eine Empfehlung formulieren.

Bei sensibleren Operationen wie:

• dem Löschen von Daten,
• der Änderung einer Sicherheitsregel,
• dem Anlegen eines privilegierten Kontos,
• dem Ausrollen einer Änderung in die Produktivumgebung,
• einer Finanztransaktion,

braucht es unter Umständen weiterhin eine verpflichtende Freigabe durch einen Menschen.

Ziel ist nicht, die Autonomie der KI abzuschaffen. Ziel ist, genau festzulegen, wo ihre Autonomie endet.

Sechs Fragen, die sich heute jedes Unternehmen stellen sollte

Versuchen Sie, sie zu beantworten:

• Wissen wir, welche KI-Werkzeuge und Agenten unsere Mitarbeiter nutzen?
• Wissen wir, auf welche Unternehmensdaten sie Zugriff haben?
• Haben sie eine klar festgelegte digitale Identität und klare Berechtigungen?
• Können wir ihre Tätigkeit im Nachhinein nachvollziehen?
• Können wir ihnen bei Bedarf sofort den Zugriff entziehen?
• Haben wir festgelegt, welche Operationen KI nicht ohne Freigabe durch einen Menschen ausführen darf?

Lautet die Antwort bei mehreren Fragen „wissen wir nicht“, ist das nicht automatisch ein Grund, KI zu verbieten. Es ist aber ein sehr guter Grund, sie künftig als Teil der IT-Umgebung des Unternehmens zu steuern.

KI ist kein Experiment mehr. Sie wird Teil der Unternehmensführung.

Der Einsatz künstlicher Intelligenz verlagert sich allmählich von einzelnen Experimenten in alltägliche Geschäftsprozesse. Damit ändert sich auch die Verantwortung der Unternehmen.

Es geht nicht mehr nur um die Frage, welches KI-Werkzeug die besten Ergebnisse liefert. Immer wichtiger wird es, Folgendes zu wissen:

• Wer oder was hat Zugriff?
• Auf welche Daten?
• Unter welchen Bedingungen?
• Wer kontrolliert die Tätigkeit?
• Und können wir im Nachhinein belegen, was passiert ist?

Diese Fragen betreffen dabei nicht nur KI. Es sind Grundfragen jeder gut verwalteten IT-Umgebung. KI macht sie nur noch dringlicher.

KI ist eine neue Kollegin. Nur geht sie nie nach Hause.

Unternehmen werden KI-Agenten immer stärker nutzen. Das ist sinnvoll. Sie können Routinearbeit abnehmen, schneller reagieren als ein Mensch, große Informationsmengen verarbeiten und Prozesse rund um die Uhr ausführen.

Genau diese Vorteile bringen aber auch neue Risiken. Ein KI-Agent wird nicht müde. Er geht nicht in die Mittagspause. Er wartet nicht bis zum Morgen. Und wenn er tausend Operationen ausführen darf, kann er sie sehr schnell ausführen.

Deshalb sollten wir KI-Agenten nicht nur als weitere Software betrachten. Aus Sicht der Sicherheit sind sie neue digitale Identitäten in unserer Infrastruktur.

Und jede digitale Identität braucht Regeln. Richtig gesetzte Berechtigungen. Monitoring. Audit. Und die Möglichkeit, sofort zu sagen: Stopp. Bis hierhin und nicht weiter.

KI kann eine außergewöhnlich fähige neue Kollegin sein. Nur sollten wir ihr nicht schon am ersten Arbeitstag den Generalschlüssel für das ganze Unternehmen geben.