Die fehlende Kontrolle für KI-Agenten ist eine Ausführungsrichtlinie
KI-Agenten werden immer leichter einsetzbar. In der vergangenen Woche hat der Markt diese Entwicklung bestätigt: neue APIs zum Agentenbau, neue Produkte für Unternehmensbeobachtung und mehr Investitionen in Sicherheitsinfrastruktur für Agenten. Die praktische Konsequenz für Sicherheitsverantwortliche ist nicht, dass plötzlich jedes Unternehmen eine Agentenstrategie braucht. Sondern dass mehr Teams Agenten erstellen können, bevor Governance-Teams entschieden haben, was diese Agenten tatsächlich tun dürfen.
Das ist die falsche Reihenfolge.
Die meisten KI-Governance-Ansätze in Unternehmen beginnen noch mit einer Modellfrage: Welches Modell ist genehmigt, wo werden Daten gespeichert und welche Prompts sind akzeptabel? Das sind nützliche Kontrollen. Sie reichen nicht aus, sobald ein System Daten abrufen, ein Tool aufrufen, einen Datensatz aktualisieren, eine Nachricht senden oder einen Workflow auslösen kann. Ein Agent kann eine vollkommen regelkonforme Anfrage an ein Modell stellen und dennoch ein inakzeptables Geschäftsergebnis durch die anschließende Aktion erzeugen.
Die fehlende Kontrolle ist eine Ausführungsrichtlinie: eine klare, durchsetzbare Antwort darauf, was ein Agent tun darf, mit welcher Identität, gegen welche Systeme, unter welchen Bedingungen und mit welchem Nachweis danach.
Das eigentliche Risiko beginnt nach der Antwort des Modells
Betrachten Sie einen Einkaufsassistenten. Ein herkömmlicher Chatbot erstellt einen Lieferantenvergleich zur Überprüfung durch einen Menschen. Eine agentenbasierte Version kann Vertragsunterlagen durchsuchen, einen Lieferanten kontaktieren, ein Beschaffungssystem aktualisieren und eine Bestellanfrage vorbereiten. Das Sprachmodell ist nur eine Komponente in dieser Kette. Das Risiko liegt in der Kette von Entscheidungen und Nebenwirkungen.
Diese Unterscheidung ist wichtig, weil bestehende Sicherheitskontrollen falsche Sicherheit vermitteln können. Eine Regel zur Verhinderung von Datenverlust kann verhindern, dass ein Mitarbeiter eine Steuerdatei in einen öffentlichen Chatbot einfügt. Sie kann aber nicht entscheiden, ob ein interner Agent mit legitimen Zugriffsrechten einen Lieferantendatensatz anlegen, Zahlungsdetails ändern oder vertrauliche Informationen an den falschen Empfänger senden darf. Identitätskontrollen authentifizieren den Agenten, stellen aber nicht allein fest, ob eine bestimmte Aktion in einem bestimmten Kontext angemessen ist.
Deshalb darf Agenten-Governance nicht auf ein KI-Richtliniendokument oder einen Lieferantenfragebogen reduziert werden. Sie muss dort stattfinden, wo die Aktion geschieht.
Definieren Sie eine Ausführungsrichtlinie vor dem produktiven Einsatz
Eine Ausführungsrichtlinie sollte so spezifisch sein, dass ein System sie bewerten kann, nicht nur ein Prinzip, das im Workshop sinnvoll klingt. Für jeden produktiven Agenten dokumentieren und erzwingen Sie fünf Punkte.
1. Einen benannten Geschäftsverantwortlichen und einen benannten technischen Verantwortlichen
Ein Agent kann nicht „dem Unternehmen“ gehören. Der Geschäftsverantwortliche trägt das Risiko des Ergebnisses: was der Agent erreichen soll, welche Fehler tolerierbar sind und wann eine menschliche Überprüfung erforderlich ist. Der technische Verantwortliche ist für Integration, Anmeldedaten, Überwachung und Änderungsprozesse verantwortlich. Fehlen diese Namen, ist der Agent nicht produktionsreif.
Das klingt banal, durchbricht aber ein häufiges Schatten-KI-Muster: Ein fähiger Mitarbeiter verbindet einen neuen Agenten mit einem gemeinsamen Workspace oder SaaS-Tool, weil dadurch ein manueller Schritt entfällt. Der Workflow mag nützlich sein. Ohne einen Verantwortlichen gibt es niemanden, der eine Erweiterung des Zugriffs genehmigt oder reagiert, wenn das Tool unerwartet agiert.
2. Eine enge Aktions-Whitelist
Beginnen Sie mit der kleinsten nützlichen Menge an Aktionen. „Hat Zugriff auf Salesforce“ ist kein Berechtigungsmodell. „Kann offene Opportunities im zugewiesenen Gebiet lesen und eine Entwurfsaufgabe zur Nachverfolgung erstellen“ ist ein Berechtigungsmodell.
Machen Sie die Positivliste explizit auf Werkzeug- und Operationsebene. Trennen Sie Lesen, Entwurf, Erstellen, Aktualisieren, Genehmigen, Senden und Löschen. Standardmäßig, wo möglich, nur Lesezugriff gewähren. Für irreversible Aktionen, externe Kommunikation, Zahlungen, Identitätsänderungen und hochwirksame Datensatzaktualisierungen ist ein menschlicher Genehmigungsschritt erforderlich. Das Ziel ist nicht, Agenten nutzlos zu machen, sondern zu verhindern, dass eine breite Integration stillschweigend zu einer umfassenden Delegation wird.
3. Kontextbedingungen, nicht nur statische Berechtigungen
Eine Berechtigung, die um 10 Uhr sicher ist, kann während eines Vorfalls unsicher sein. Ein Kundendienstmitarbeiter darf möglicherweise eine Antwort entwerfen, aber nicht senden, wenn ein Fall rechtliche, gesundheitliche, finanzielle oder regulierte Informationen enthält. Eine Ausführungsrichtlinie benötigt Bedingungen wie Datenklassifikation, Systemumgebung, Kundensegment, Zeitfenster, Transaktionswert und Vertrauensschwelle.
Statische Rollen sind notwendig. Kontext verwandelt sie in eine verteidigungsfähige Kontrolle.
4. Eine Agentenidentität mit kurzlebigen Zugangsdaten
Führen Sie einen Agenten nicht über ein gemeinsames Mitarbeiterkonto oder einen permanenten API-Schlüssel, der in ein Workflow-Tool kopiert wurde. Geben Sie ihm eine eigene Identität, minimalen Zugriffsrechte, eingeschränkte Tokens und einen Ablaufprozess für Zugangsdaten. Das macht Aktionen nachvollziehbar und Widerruf praktikabel.
Es schützt die Organisation auch vor einem bekannten Fehler: Ein Mitarbeiter verlässt das Unternehmen, ein Connector bleibt bestehen und eine Automatisierung handelt weiterhin mit Zugriffsrechten, deren Erteilung niemand mehr erinnert. Für agentische Systeme ist der Identitätslebenszyklus keine Backoffice-Aufgabe, sondern Teil der Laufzeit-Governance.
5. Nachweise, die Absicht mit Handlung verbinden
Das Protokollieren einer Eingabeaufforderung reicht nicht aus. Eine nützliche Prüfspur dokumentiert die Anfrage, die verwendeten Quelldaten, die Modell- oder Richtlinienversion, den vorgeschlagenen Werkzeugaufruf, das Genehmigungsergebnis, die ausgeführte Aktion und das Ergebnis. Sicherheits- und GRC-Teams benötigen genügend Kontext, um nach einem Vorfall drei Fragen zu beantworten: Was wusste der Agent, warum durfte er handeln und was hat sich geändert?
Hier wird Beobachtbarkeit mehr als ein Dashboard. Sie ist die Beweisschicht für verantwortliche Autonomie.
Behandeln Sie Änderungen als neue Risikobewertung
Ein genehmigter Agent ist nicht dauerhaft genehmigt. Ein neuer Connector, eine erweiterte Datenquelle, eine Modelländerung, eine veränderte Eingabeaufforderung oder ein neuer Aktionstyp können das Risiko wesentlich verändern. Governance sollte zwischen einer kleinen Konfigurationsänderung und einer Erweiterung der Befugnisse des Agenten unterscheiden.
Eine praktische Regel: Wenn eine Änderung dem Agenten Zugriff auf neue sensible Daten ermöglicht, ihn in einem neuen System handeln lässt, externe Kommunikation erlaubt oder irreversible Entscheidungen trifft, sollte eine leichte Neubewertung ausgelöst werden. Diese Neubewertung sollte die Ausführungsrichtlinie prüfen, Fehlerpfade testen, Kontrollen bestätigen und die Freigabe des Verantwortlichen aktualisieren.
Dieser Ansatz ist schneller als ein schwerfälliges Komitee für jede Anpassung und sicherer als alle Änderungen als Routine-Engineering zu behandeln.
Beginnen Sie mit Entdeckung, nicht mit Verbot
Die harte Wahrheit ist, dass viele der folgenreichsten Agenten nicht über das formale KI-Programm kommen. Sie erscheinen in Workflow-Plattformen, Browsererweiterungen, Copiloten, Low-Code-Tools und SaaS-Erweiterungen. Wenn die Organisation nur registrierte Agenten steuert, kontrolliert sie nur einen Bruchteil des tatsächlichen Verhaltens.
Beginnen Sie damit, KI-Nutzung und agentenfähige Integrationen im gesamten Unternehmen zu entdecken. Klassifizieren Sie sie dann nach Datenzugriff und Handlungsmöglichkeiten. Ein reiner Rechercheassistent und ein Agent, der Kundendaten ändern kann, sollten nicht denselben Prüfpfad haben. Diese risikobasierte Sicht gibt Teams einen sicheren Weg, nützliche Automatisierungen offen zu legen, statt sie zu verstecken, um Reibung zu vermeiden.
Aona unterstützt Organisationen bei diesem Übergang durch KI-Nutzungsentdeckung, Echtzeit-Schutzmaßnahmen und Mitarbeiterschulungen. Wenn Sie Ihre ersten Agentenkontrollen definieren, beginnen Sie mit einer 90-tägigen Gen-KI-Risikoentdeckungs-Testphase, um die KI-Aktivitäten zu identifizieren, die Sie steuern müssen, bevor es zu einem Vorfall kommt.
Der Zweck der Agenten-Governance ist nicht, Automatisierung zu verlangsamen. Es geht darum, sicherzustellen, dass jede automatisierte Aktion einen Verantwortlichen, eine Grenze und eine Dokumentation hat. So wird Unternehmens-KI skalierbar statt nur schnell.
