Die Erteilung von Berechtigungen an einen KI-Agenten ist keine einfache Konfigurationsaufgabe, sondern eine riskante Entscheidung, die mit der gleichen Sorgfalt getroffen werden sollte wie die Festlegung der Zeichnungsberechtigung für ein Bankkonto. Jede zusätzliche Berechtigung erhöht das Schadenspotenzial, und diese Erhöhung wird nicht durch die Qualität des Modells aufgewogen, da das Risiko nicht in einem fehlerhaften Modell liegt, sondern darin, dass es innerhalb des ihm gewährten Rahmens manipuliert werden kann oder Fehler macht.
Die von uns intern verwendete Formel ist einfach: Ein Beauftragter darf an einem Ort, an dem er nicht befugt ist, keinen Schaden anrichten.. Das gesamte Sicherheitskonzept eines agentenbasierten Systems leitet sich von dieser Formulierung ab.
OWASP stuft in seiner Liste der zehn größten Risiken für Sprachmodellanwendungen 2025 die sogenannte „Prompt-Injection“ zum zweiten Mal in Folge an erster Stelle ein und widmet diesem Problem eine eigene Kategorie – LLM06, *Übermäßige Handlungsfähigkeit*. Dabei werden drei Formen unterschieden:
Alle drei sind Designentscheidungen, keine Modellfehler. Und alle drei werden fast immer während der Integrationsphase aus technischen Gründen und ohne Wissen der Verantwortlichen getroffen.
Die Verbindung zwischen diesen beiden Ansätzen besteht in der indirekten Eingabe von Anweisungen: Externe Inhalte – beispielsweise eine E-Mail, ein PDF eines Anbieters, eine Webseite oder ein Kundenticket – enthalten Anweisungen, die an das Modell gerichtet sind. Der Agent interpretiert diese Inhalte als Teil seines Kontextes und reagiert entsprechend. Sind seine Berechtigungen weit gefasst, können von Dritten verfasste Texte Aktionen in Ihren Systemen auslösen.
Deshalb wird die Sicherheit eines Agenten nicht durch die Wahl eines besseren Modells gewährleistet. Sie wird vielmehr dadurch gewährleistet, dass die Handlungsmöglichkeiten des Agenten eingeschränkt werden, wenn es jemandem gelingt, ihn zu beeinflussen.
Hier ist eine strukturelle Änderung, die viele Organisationen in ihr Zugriffsmanagement noch nicht integriert haben. Zwanzig Jahre lang war die Identitätskontrolle auf Personen ausgerichtet: Onboarding, Offboarding, Rollen, regelmäßige Überprüfungen. Agenten erstellen Identitäten, die keine Personen sind; sie werden innerhalb von Minuten angelegt, erscheinen nicht im Organigramm und werden selten überprüft.
Der IBM-Bericht „Kosten eines Datenlecks 2025“ liefert die Daten, die die Argumentation abschließend untermauern: Die 97% Organisationen, die von einem KI-bezogenen Vorfall betroffen waren, wiesen unzureichende Zugriffskontrollen auf.. Es liegt nicht an der Raffinesse des Angreifers, sondern an der Berechtigungsverwaltung.
Wir haben das Thema ausführlich behandelt in nicht-menschliche Identitäten, KI-Agenten und Cybersicherheit, Zusammenfassend lässt sich sagen: Wenn Ihr Zugriffsmanagementprozess nicht-menschliche Identitäten nicht berücksichtigt, ist Ihr Zugriffsinventar unvollständig, und zwar wahrscheinlich in dem Teil, der am meisten leisten kann.
Nicht alle Genehmigungen weisen das gleiche Risikoprofil auf. Diese Klassifizierung ermöglicht eine Entscheidungsfindung in einem dreißigminütigen Gespräch.
Ebene | Was kann der Agent tun? | Erforderliche Kontrolle |
1. Begrenztes Lesen | Daten für eine bestimmte Domäne abfragen | Zugriffsprotokollierung und Volumenbegrenzung |
2. Umfangreiches Lesen | Mehrere Systeme und sensible Daten konsultieren | Rollenbasierte Berechtigungen, Datenmaskierung, Überwachung |
3. Reversibles Schreiben | Entwürfe, Vorschläge und offene Datensätze erstellen | Menschliche Validierung vor der Bestätigung |
4. Unwiderrufliches Schreiben | Zahlungen, Kundenkommunikation, Produktionsänderungen | Explizite Genehmigung, doppelte Kontrolle und Umkehrplan |
Als Faustregel gilt: Der größte Teil des Geschäftswerts liegt in den Ebenen 1 und 3., Das größte Risiko liegt in Schritt 4. Ein Agent, der die Kostenerstattung vorbereitet und zur Genehmigung vorlegt, erzielt fast die gesamte Zeitersparnis bei einem Bruchteil des Risikos eines Agenten, der die Kostenerstattung selbst durchführt.
Wenn jemand auf Stufe 4 besteht, sollte man sich fragen, welchen Mehrwert sie im Vergleich zu Stufe 3 bietet. Meistens geht es nur um die Zeit, die man zum Drücken eines Knopfes benötigt. Das rechtfertigt den Mehraufwand selten.
Identität des Agenten. Niemals ein gemeinsam genutztes Konto oder die Wiederverwendung eines bestehenden Servicekontos. Ohne eine eindeutige Identität lässt sich nicht nachvollziehen, was geschehen ist.
Mindestvergütung pro Aufgabe, nicht pro Agent. Führt der Agent drei verschiedene Aufgaben aus, sollte jede Aufgabe ihren eigenen Gültigkeitsbereich haben. Eine für eine Aufgabe erteilte Berechtigung gilt für alle anderen Aufgaben.
Kurzfristige Akkreditierung. Zeitlich begrenzte Tokens, keine permanenten Schlüssel in einer Konfigurationsdatei.
Whitelist der Aktien. Definieren Sie explizit, welche Operationen ausgeführt werden können, anstatt zu definieren, welche nicht. Letzteres ist immer unvollständig.
Volumen- und Mengenbeschränkungen. Ein Agent, der Rückerstattungen vornehmen kann, sollte ein Limit pro Transaktion und pro Tag haben. Dasselbe Prinzip gilt für jede Person mit Kaufkraft.
Vollständiger und unveränderlicher Datensatz. Was wurde eingegeben, was wurde beschlossen, was wurde ausgeführt, mit welcher Modellversion und von wem wurde es validiert? Ohne diese Informationen gibt es keine Prüfung und keine mögliche Verteidigung.
Stoppschalter. Ein Mechanismus zum Stoppen des Agenten ohne Codebereitstellung und ohne Abhängigkeit vom Anbieter.
Keiner der sieben Punkte ist ungewöhnlich. Es handelt sich ausnahmslos um Standard-Sicherheitsmaßnahmen, die bei neuen Akteuren angewendet werden. Auffällig ist jedoch, wie oft sie gerade deshalb weggelassen werden, weil der Akteur neu ist und nicht in die bestehenden Verfahren passt.
Die Gefahr dieses Artikels besteht darin, dass er als Plädoyer für Untätigkeit verstanden werden könnte. Das ist er nicht. Der erfolgversprechende Ansatz ist die schrittweise Skalierung.
Dies ist dasselbe Prinzip der gestaffelten Aufsicht, das wir bei der Integration von KI-Komponenten in Unternehmenssysteme anwenden, und der Grund dafür, dass Governance keine abschließende Phase des Projekts, sondern ein Bestandteil seiner Architektur ist, wie wir bereits erläutert haben. KI-Risiken, Halluzinationen und Governance
Vor der Genehmigung eines Agenteneinsatzes ist es ratsam, folgende Frage zu beantworten: Wenn ein Fremder den Text schreiben könnte, den dieser Agent gleich lesen wird, was wäre das Schlimmste, was er ihn tun lassen könnte?
Lautet die Antwort «öffentliche Informationen konsultieren», ist das Risiko akzeptabel. Lautet die Antwort «eine Zahlung veranlassen» oder «alle unsere Kunden anschreiben», ist der Entwurf noch nicht fertig.
Denn sie bestimmen die potenzielle Schadensfläche. Ein Akteur kann keinen Schaden anrichten, wo er nicht dazu befugt ist, unabhängig von der Qualität des Modells oder ob es manipuliert wurde. OWASP widmet diesem Problem in seinen Top 10 LLM-Anwendungen für 2025 eine eigene Kategorie: Übermäßige Handlungsfähigkeit.
Es handelt sich um die Gewährung übermäßiger Kapazitäten an einen Agenten, und zwar in drei Formen: übermäßige Funktionalität (Zugriff auf Werkzeuge, die seine Aufgabe nicht erfordert), übermäßige Berechtigungen (Identität mit mehr Privilegien als notwendig) und übermäßige Autonomie (Ausführung von Aktionen mit hoher Auswirkung ohne menschliche Bestätigung).
Es handelt sich um die Gewährung übermäßiger Kapazitäten an einen Agenten, und zwar in drei Formen: übermäßige Funktionalität (Zugriff auf Werkzeuge, die seine Aufgabe nicht erfordert), übermäßige Berechtigungen (Identität mit mehr Privilegien als notwendig) und übermäßige Autonomie (Ausführung von Aktionen mit hoher Auswirkung ohne menschliche Bestätigung).
Sieben: eindeutige und nicht geteilte Identität, minimale Berechtigungen pro Aufgabe, kurzlebige Anmeldeinformationen, Whitelist zulässiger Aktionen, Volumen- und Mengenbeschränkungen, vollständige und unveränderliche Protokollierung jeder Ausführung und ein Stoppmechanismus, der keine Codebereitstellung erfordert.
Nur bei reversiblen und geringfügigen Maßnahmen und erst nach einer ausreichend langen Beobachtungsphase, welcher Prozentsatz der Vorschläge ohne Änderungen genehmigt wird. Der Verzicht auf menschliche Validierung aufgrund von Zeitdruck ist die häufigste Ursache für Störungen in automatisierten Systemen.
Ähnlich wie bei Zugriffskontrollen für Menschen, jedoch mit mehr Disziplin: dokumentierte Registrierung, zugewiesener Verantwortlicher, überprüfbare Berechtigungen, Ablaufdatum der Zugangsdaten und regelmäßige Überprüfung. IBM dokumentierte 2025, dass das 97%-Protokoll für Organisationen, die KI-bezogene Vorfälle erleben, keine adäquaten Zugriffskontrollen bietet.
Wissen Sie genau, was jeder einzelne Ihrer eingesetzten Agenten leisten kann? Wir prüfen Umfang, Identitäten, Berechtigungen und Rückverfolgbarkeit Ihrer KI-Systeme und übermitteln Ihnen die Diagnose schriftlich. Audit anfordern → |
Español Español 
English
Français
العربية
Português
Deutsch
Italiano
