Am 24. August 2026 machte Okta Agent SSO allgemein verfügbar, wodurch KI-Agenten erstklassige Identitäten im Universal Directory erhalten und statische API-Schlüssel durch kurzlebige, richtliniengesteuerte Tokens ersetzt werden. Es ist die nützlichste Sicherheitsinfrastruktur für Agenten, die dieses Jahr veröffentlicht wurde, in den Kern-Okta-SSO-Plänen ohne zusätzliche Kosten enthalten und sollte von Sicherheitsteams aktiviert werden. Es bringt jedoch eine Voraussetzung mit sich, die die meisten Unternehmen derzeit nicht erfüllen können: Ein Agent muss registriert sein, bevor die Identität ihn steuern kann.
Diese Voraussetzung ist der Punkt, an dem die Nachrichten dieser Woche mit den Daten dieses Monats kollidieren. Akamais Enterprise AI Usage Risk Report 2026 fand heraus, dass 47,11 % der KI-Unternehmensgespräche über persönliche Identitäten und nicht über Firmenkonten stattfinden. Diese Gespräche erreichen überhaupt keinen Identitätsanbieter. Es sind keine Agenten, die auf Tokens warten - es sind Mitarbeiter mit Browser-Tabs. Zwei verschiedene Kontrollsysteme sind beteiligt, und diese Woche hat sich nur eines davon bewegt.
Agenten-Identität erhält endlich einen Standard, der sich lohnt
Der Kern der Okta-Veröffentlichung ist der zugrundeliegende Standard. Agent SSO basiert auf Cross App Access, einem herstellerneutralen Protokoll, das OAuth erweitert und als offizielle Enterprise-Managed Authorization-Erweiterung für das Model Context Protocol aufgenommen wurde. Ein Agent wird im Universal Directory registriert, Administratoren wenden die Zugriffsrichtlinien an, die sie bereits für Mitarbeiter nutzen, und der Agent erhält kurzlebige Tokens, wenn er im Namen eines Nutzers handeln muss. Ric Smith, Okta-Präsident für Produkte und Technologie, fasste das Problem treffend zusammen: Agenten Zugriff auf Unternehmenssysteme zu gewähren „sollte nicht bedeuten, Sicherheit oder Sichtbarkeit aufzugeben."
Das Muster der Zugangsdaten, das hier ersetzt wird, verdient die Kritik, die es erhält. Statische API-Schlüssel sind langlebig, übermäßig weitreichend, werden in Konfigurationsdateien und CI-Variablen kopiert, zwischen Diensten geteilt und sind für Widerrufsprozesse praktisch unsichtbar. Sie durch kurzlebige Tokens zu ersetzen, die an eine benannte Identität gebunden sind, reduziert den potenziellen Schaden erheblich. Oktas eigene Forschung zeigte, dass nur 34 % der Organisationen dieselben Sicherheitskontrollen für KI-Agenten anwenden wie für menschliche Mitarbeiter, sodass die Basis niedrig ist. Dass das Protokoll offen ist, ist wichtiger als das Produkt: Es bedeutet, dass die Kontrolle einen Wechsel des Identitätsanbieters übersteht.
Was steuert Okta Agent SSO tatsächlich?
Agent SSO steuert unterstützte Agent-zu-Anwendungs-Verbindungen für Agenten, die Cross App Access implementieren. Es registriert diese Agenten im Universal Directory von Okta, wendet dieselben Zugriffsrichtlinien an, die Administratoren bereits für Mitarbeiter nutzen, und stellt kurzlebige Tokens aus, die darauf ausgelegt sind, im Namen eines bestimmten Nutzers zu handeln. Das Ersetzen statischer API-Schlüssel ist der wertvollste Beitrag. Was es nicht tut, ist ebenso wichtig. Agent SSO ist kein Entdeckungsmechanismus: Ein Agent wird erst sichtbar, nachdem er registriert oder verbunden wurde, es ist also kein Inventar aller autonomen Prozesse in Ihrer Umgebung. Es deckt keine Agenten ohne Cross App Access-Unterstützung ab, keine Agent-zu-Agent-Verbindungen und keine Laufzeitkontrolle dessen, was ein Agent nach der Autorisierung tut. Entdeckung, Zertifizierungsprüfungen, Genehmigungsabläufe und Deaktivierung sind Teil des separaten Okta for AI Agents-Abonnements. Okta macht diese Aufteilung deutlich, und Käufer sollten sie sorgfältig lesen.
Ist Cross App Access dasselbe wie MCP?
Nein, aber sie sind jetzt formal verbunden. Das Model Context Protocol ist der offene Standard dafür, wie eine KI-Anwendung sich mit Tools und Datenquellen verbindet. Es definiert die technische Infrastruktur, nicht das Berechtigungsmodell, weshalb frühe MCP-Einsätze auf statische API-Schlüssel und langlebige persönliche Tokens setzten. Cross App Access erweitert OAuth, um stattdessen die Autorisierungsfrage zu beantworten: Welcher Agent, im Auftrag welchen Nutzers, darf auf welche Ressource zugreifen und wie lange. Es wurde als offizielle Enterprise-Managed Authorization-Erweiterung für MCP integriert, was bedeutet, dass beide zusammen und nicht als Konkurrenten verwendet werden sollen. Für Sicherheitsteams ist die praktische Konsequenz klar: Wenn Ihre Organisation MCP-Server einsetzt, ist Cross App Access der Mechanismus, mit dem Sie aufhören können, statische Zugangsdaten zu vergeben. Es ist herstellerneutral, sodass die Einführung Sie nicht an einen einzigen Identitätsanbieter bindet.
Identitätsverwaltung beginnt bei der Registrierung. Discovery füllt sie aus.
Jede identitätsbasierte Kontrolle erbt die Vollständigkeit des darunterliegenden Inventars. Sie können einem Agenten, den Sie nie gesehen haben, kein kurzlebiges Token ausstellen, keine Richtlinie auf eine Verbindung anwenden, die nie eine Anfrage stellt, oder keinen Zugriff widerrufen, der nie über Sie gewährt wurde. Das ist kein Fehler von Agent SSO. Es ist eine strukturelle Eigenschaft, die Single Sign-On schon immer hatte.
Das Präzedenzfall ist Shadow SaaS. Unternehmen haben in den letzten zehn Jahren SSO breit eingeführt und dennoch Hunderte nicht föderierter Anwendungen, weil SSO nur die Apps steuert, die föderiert werden, nicht die Apps, für die ein Team mit einer Firmenkarte ein Konto anlegt. Schatten-KI ist derselbe Fehler, der viel schneller läuft, mit niedrigeren Einstiegshürden und ohne Beschaffungsschritte. Google Cloud machte am selben Tag einen verwandten Punkt, bezeichnete Agenten als „ultimative Insider“ und berichtete, dass 79 % der Technologieführer Sicherheit, Governance oder Betrieb als größte Hürde für die Skalierung von KI nennen.
Warum löst Agenten-Identität nicht Shadow KI?
Weil die meisten Shadow-KI keine Agenten sind. Es sind Personen. Wenn ein Mitarbeiter ein persönliches ChatGPT-Konto im Browser öffnet und eine Kundenliste hineinkopiert, gibt es keinen Agenten zu registrieren, kein Token auszustellen und keine Verbindungsanfrage, die ein Identitätsanbieter bewerten könnte. Akamais Telemetrie ordnet 47,11 % der Unternehmens-KI-Gespräche genau dieser Kategorie zu. Identitätskontrollen greifen, wenn etwas Zugriff auf ein System anfragt, das Sie besitzen. Shadow KI macht meist das Gegenteil: Sie entnimmt Daten aus einem System, in das der Mitarbeiter bereits legitim eingeloggt ist, und sendet sie an einen Ort, den Sie nicht besitzen. Die Autorisierungsentscheidung ist bereits erfolgreich gewesen. Agenten-Identität schließt eine echte und ernste Lücke für maschinelle Akteure, operiert aber eine Ebene über dem Ort, an dem der Großteil des Datenverlusts bei Unternehmens-KI tatsächlich passiert.
Fast die Hälfte der Unternehmens-KI-Nutzung erreicht nie die Identitätsebene
Der Akamai-Bericht basiert auf realer Nutzungs-Telemetrie statt Umfrageantworten, was seine Zahlen wertvoller macht als übliche Adoptionsstatistiken. Neben der 47,11 %-Zahl fand er, dass mehr als 14 % der Unternehmens-KI-Gespräche persönliche „Freemium“-KI-Abonnements mit Firmen-E-Mail-Adressen nutzten. Diese Kombination ist das Schlimmste aus beiden Welten: Sie trägt die Domain der Organisation, sieht also in Tabellen geregelt aus, während das Konto, seine Datenaufbewahrungsbedingungen und Zugriffskontrollen vollständig außerhalb der Kontrolle der Organisation liegen.
Die Exposition ist zudem konzentriert. Akamai fand heraus, dass die obersten 5 % der Nutzer mindestens 144 Gespräche führen, oft mehr als 18 Prompts pro Gespräch, während die Hälfte der Belegschaft kaum beteiligt ist. Oder wie Eshed, Akamais VP Enterprise Security, den Wandel klar beschrieb:
KI ist nicht mehr nur ein Produktivitätsbooster; sie ist ein kollaborativer Kollege mit direktem Zugriff auf die Unternehmens-Kronjuwelen.
Konzentration ist operativ eine gute Nachricht. Das bedeutet, die wertvollste Intervention ist ein gezieltes Programm für einige hundert Personen, nicht eine organisationsweite Kampagne, die ein Jahr dauert und alle nervt.
Die Browser-Erweiterungsebene ist die am wenigsten kontrollierte Software, die Sie installieren
Akamai fand, dass fast 75 % der KI-Browsererweiterungen hohe oder kritische Berechtigungen anfordern und 16,3 % bekannte CVEs enthalten. Erweiterungen laufen innerhalb der authentifizierten Sitzung. Sie können die gerenderten Inhalte Ihres CRM, E-Mail-Clients und Ticketsystems lesen, nachdem Single Sign-On bereits erfolgreich war - genau der Punkt, an dem eine Identitätsentscheidung abgeschlossen ist und keinen Schutz mehr bietet.
Die drei KI-nativen Angriffstechniken, die Akamai für 2026 nennt, spielen alle auf dieser Ebene. Vibe Hacking manipuliert lokale Anweisungsdateien, sodass ein Coding-Assistent unsichere Ausgaben erzeugt oder unautorisierte Aktionen ausführt. CursorJacking erbeutet API-Schlüssel über eine bösartige Erweiterung. CometJacking nutzt indirekte Prompt Injection, um Daten über einen KI-Browser auszuleiten. Keine dieser Techniken wird durch ein besseres Token verhindert, da in jedem Fall die Autorisierung legitim war und der Missbrauch danach erfolgte.
Verwalten Sie zwei Ebenen, nicht nur eine
Das praktische Modell sind zwei Ebenen mit unterschiedlichen Kontrollen. Die erste ist die Maschinen-Identitätsebene: Agenten, die sich mit Systemen verbinden, gesteuert durch Registrierung, kurzlebige Tokens und das Prinzip der minimalen Rechte. Agent SSO ist hier eine gute Lösung und sollte eingeführt werden. Die zweite ist die Interaktionsebene: was Menschen und Agenten tatsächlich senden - Eingaben, eingefügten Text, hochgeladene Dateien, Erweiterungsverkehr - unabhängig davon, welche Identität, falls überhaupt, angehängt ist. Auf der Identitätsebene wird kein Inhalt geprüft, und genau dort passiert der Datenverlust.
- Erstellen Sie ein beobachtetes Inventar der KI-Nutzung, kein befragtes. Discovery muss im Browser und am Endpunkt laufen, weil persönliche Identitätssitzungen nie Ihren Identitätsanbieter berühren.
- Aktivieren Sie Agent SSO für jeden Agenten, der Cross App Access unterstützt. Es ist in den Kern-Okta-SSO-Plänen enthalten, sodass die einzige echte Kostenstelle die Konfigurationszeit ist.
- Beginnen Sie mit den obersten 5 % der Nutzer. Konzentration bedeutet, ein gezieltes Programm erfasst den Großteil der Exposition mit einem Bruchteil des Aufwands.
- Behandeln Sie KI-Browsererweiterungen als privilegierte Software: erfassen Sie sie, prüfen Sie die angeforderten Berechtigungen und erlauben Sie sie auf einer Positivliste statt einer Sperrliste.
- Überwachen Sie die Interaktionsebene mit kontextuellem DLP, das Eingabe- und Upload-Inhalte liest, nicht nur Endpunkte, E-Mail und Dateifreigaben.
- Schließen Sie den Pfad „Firmen-E-Mail auf persönlichem Abonnement“. Er sieht geregelt aus, ist es aber nicht.
Wie entdecken Sie KI-Nutzung ohne Firmenidentität?
Sie beobachten sie dort, wo sie passiert, nämlich im Browser und am Endpunkt. Sitzungen, die mit persönlichen Zugangsdaten authentifiziert sind, erscheinen nie in den Logs des Identitätsanbieters, sodass ein IdP-basiertes Inventar strukturell blind für sie ist. Drei Signale funktionieren tatsächlich: Browser-Telemetrie, die sieht, welche KI-Anwendungen ein Mitarbeiter öffnet und was er eingibt; Endpunkt-Inspektion des Verkehrs zu KI-Anbietern, einschließlich nativer Desktop-Anwendungen, die den Browser ganz umgehen; und Egress-Analyse, abgeglichen mit einem gepflegten Katalog von KI-Service-Domains. Der Katalog ist der Teil, den Teams unterschätzen. Akamai beschreibt eine lange Liste unverwalteter Anwendungen unterhalb der wenigen Plattformen, die Sicherheitsteams tatsächlich überwachen, sodass eine Kontrolle, die nur die Top 20 Anbieter erkennt und sonst nichts, die Sichtbarkeitslücke nur in kleinerem Maßstab reproduziert. Discovery muss außerdem kontinuierlich sein, weil der KI-Tool-Markt sich so schnell dreht, dass eine Momentaufnahme innerhalb eines Quartals veraltet ist.
Was sollte ein CISO in den ersten 30 Tagen tun?
Beginnen Sie mit Messung, nicht mit Richtlinien. Die meisten KI-Nutzungsrichtlinien scheitern, weil sie gegen ein imaginäres Nutzungsverhalten geschrieben sind, nicht gegen das reale. Verbringen Sie die ersten zwei Wochen damit, ein beobachtetes Inventar zu erstellen: Welche KI-Anwendungen werden genutzt, von wem, über Firmen- oder persönliche Identitäten, und welche Datenkategorien werden eingereicht. Handeln Sie dann nach Konzentration, denn Akamai fand, dass die obersten 5 % der Nutzer mindestens 144 Gespräche führen. Parallel dazu kosten zwei Änderungen fast nichts: Aktivieren Sie Agent SSO für jeden Agenten, der Cross App Access unterstützt, da es in den Kern-Okta-SSO-Plänen enthalten ist, und prüfen Sie KI-Browsererweiterungen als privilegierte Software, da fast 75 % hohe oder kritische Berechtigungen anfordern. Erst dann sollten Sie die Richtlinie schreiben oder überarbeiten, denn bis dahin regeln Sie, was Menschen tatsächlich tun.
Agent SSO ist ein echter Fortschritt und der offene Standard darunter ist die richtige langfristige Wette. Aber es regelt nur die Agenten, die Sie registriert haben, und die Daten dieser Woche zeigen, dass fast die Hälfte der Unternehmens-KI-Nutzung nirgendwo registriert wird. Die Identitätsebene hat Fortschritte gemacht. Die Interaktionsebene nicht.
Wie Aona die Lücke auf der Interaktionsebene schließt
Aona ist eine Workforce KI-Sicherheitsplattform, die für die Ebene gebaut ist, die Identität nicht erreicht. Sie entdeckt KI-Nutzung über mehr als 10.000 Tools aus Browser und Endpunkt - einschließlich persönlicher Kontositzungen, die nie Ihren Identitätsanbieter berühren - zeigt Ihnen, wer die Vielnutzer sind, und erzwingt Echtzeit-Datenschutz für das, was tatsächlich gesendet wird, mit Dateiredaktion für DOCX-, Excel- und PDF-Uploads. Sehen Sie, wie Aona Shadow AI entdeckt und steuert.
