KI-Agenten absichern: vier Fragen, bevor ein Agent Rechte bekommt

Für wen

Alle, die KI-Agenten einsetzen oder einsetzen wollen, die in echte Systeme schreiben dürfen — E-Mail, CRM, Buchhaltung, Bestellungen.

Was du danach kannst

Die vier Fragen kennen, die ein Agent beantworten muss, bevor er Rechte bekommt, und wissen, wie du sie ohne großes Sicherheitsprojekt beantwortest.

Stand

September 2026

Was am 22. September passiert ist

Zwölf Anbieter haben sich auf dieselbe Antwort geeinigt. Okta hat zusammen mit AWS, CrowdStrike, Databricks, Docker, Google Cloud, Lovable, Proofpoint, Salesforce, ServiceNow, Wiz und Zscaler die „Blueprint Alliance" gegründet.¹

Ziel ist ein offener Bauplan, eine Referenzarchitektur, mit dem Unternehmen ihre KI-Agenten als ein gemeinsam verwaltetes System betreiben können — über Modellanbieter, Datenplattformen und Programme hinweg. Eine erste Fassung des Bauplans war im März 2026 erschienen; die Allianz hat sie erweitert und für mehrere Anbieter geöffnet.¹

Den Anlass beschreibt die Mitteilung selbst: Es gebe eine Lücke, in der sich unerkannte Agenten vermehren, Zugangsdaten über Vertrauensgrenzen wandern und Agenten mehr tun, als sie sollen.¹

angekündigt

22.09.2026¹

Blueprint Alliance

Gründungsmitglieder

12¹

Identität, Cloud, Sicherheit, Daten

Grundsätze

6²

für die Absicherung

Fragen

4¹

der Kern des Bauplans

Man sollte das einordnen. Das ist ein Bündnis von Anbietern, die selbst Sicherheits-, Identitäts- und Cloudprodukte verkaufen. Okta etwa beschreibt sich in derselben Mitteilung als Unternehmen, das die Identitäten von KI, Maschinen und Menschen absichert.¹ Der Bauplan ist trotzdem nützlich, weil er nicht an ein Produkt gebunden ist. Die vier Fragen gelten auch, wenn du keins davon kaufst.

Die sechs Grundsätze

Die Mitglieder haben sich auf sechs Grundsätze geeinigt. Auf der Seite der Allianz stehen sie so:²

• „Every agent is a distinct security identity" — jeder Agent ist eine eigene Identität, die wie ein Mitarbeiter angelegt, angemeldet und wieder abgemeldet wird.
• „Access is scoped to the task, not standing" — Rechte gelten für eine Aufgabe und werden danach entzogen, statt dauerhaft zu bestehen.
• „Delegation is traceable end-to-end" — jede Handlung lässt sich auf den Menschen oder den Ablauf zurückführen, der sie veranlasst hat.
• „Runtime behavior is monitored, not just provisioned" — beobachtet wird, was der Agent tut, nicht nur, was er darf.
• „Containment is instant and reversible" — jeder Agent braucht einen sofortigen Ausschalter und einen klaren Weg zurück.
• „Governance adapts at the velocity of AI" — die Regeln wachsen mit den Fähigkeiten der Agenten.

Der Gedanke dahinter ist alt, nur der Anwendungsfall ist neu. Wer schon einmal einem neuen Mitarbeiter Zugänge eingerichtet und beim Austritt wieder entzogen hat, kennt das Prinzip. Die Allianz überträgt es ausdrücklich auf Agenten und nennt das eine Erweiterung von „zero-trust", dem Grundsatz, niemandem im Netz ungeprüft zu vertrauen.²

Die vier Fragen

Der Bauplan ordnet alles unter vier Fragen.¹ Für jede sage ich unten, wie ich sie in einem Betrieb mit wenigen Agenten beantworten würde. Das ist meine Empfehlung, nicht Teil des Bauplans.

1. Wo sind meine Agenten?

„Enterprises cannot govern or protect agents they do not know exist", heißt es in der Mitteilung.¹ Was man nicht kennt, kann man nicht absichern.

Für einen Mittelstandsbetrieb ist das eine Liste, kein Produkt. Je Agent: was er tut, auf welche Systeme er zugreift, wer ihn verantwortet, seit wann er läuft. Das ist dieselbe Übung wie beim KI-Inventar, nur mit einer Spalte mehr für die Zugänge. Nicht vergessen: Agenten, die in gekauften Programmen stecken, und solche, die jemand im Team selbst eingerichtet hat.

2. Was dürfen sie?

Der Bauplan verlangt, Zugriff auf die Aufgabe zuzuschneiden statt dauerhafte Rechte zu vergeben, und Übertragungen nachvollziehbar zu halten, wenn Agenten Unteragenten starten oder im Namen von Menschen handeln.¹

Die häufigste Abkürzung ist die gefährlichste: der Agent läuft mit dem Zugang eines Menschen. Dann sieht im Protokoll jede Handlung aus, als hätte die Kollegin sie selbst ausgeführt, und niemand kann dem Agenten Rechte entziehen, ohne ihr auch welche zu nehmen. Ein eigener Zugang je Agent, mit genau den Rechten, die seine Aufgabe braucht, kostet einmal Einrichtungszeit.

Im Beitrag über KI-Agenten in der Praxis steht dafür die Regel „Entwürfe erstellen, nicht veröffentlichen". Das ist dieselbe Idee in klein: Der Agent bereitet vor, ein Mensch gibt frei.

3. Was tun sie gerade?

Der Bauplan will die Einhaltung der Regeln während der Ausführung durchsetzen, über Zwischenstellen im Ausführungsweg, und das Verhalten laufend beobachten, um Datenabfluss, eingeschleuste Anweisungen und Auffälligkeiten zu erkennen.¹

Eingeschleuste Anweisungen sind der Fall, der Agenten von gewöhnlicher Software unterscheidet: Ein Agent, der E-Mails liest, liest auch die Anweisungen, die ein Fremder in eine E-Mail schreibt. Er folgt ihnen womöglich.

Für den Anfang reicht ein vollständiges Protokoll, das jemand auch liest. Jeder Aufruf eines Werkzeugs mit Zeit, Agent, Ziel und Ergebnis. Dazu die Frage aus dem Bauplan, welche Systeme ein Agent überhaupt erreichen kann — die Mitteilung nennt als Beispiele Zahlungssysteme und Datenspeicher.¹ Wer das beantwortet hat, weiß, wie groß der Schaden im schlimmsten Fall wird.

4. Wie reagiere ich?

Gezielte Eingriffe statt Totalabschaltung: Zugang sperren, Anfragen drosseln, Schlüssel entziehen, Sitzung beenden. Und danach eine bewusste, dokumentierte Wiederzulassung.¹

Probier den Ausschalter aus, bevor du ihn brauchst. Wer den Zugang eines Agenten sperren will und dabei merkt, dass er mit einem gemeinsamen Schlüssel läuft, den auch drei andere Abläufe nutzen, schaltet im Ernstfall mehr ab als gewollt. Mit einem eigenen Zugang je Agent (Frage 2) ist der Ausschalter ein Klick.

Was die KI-Verordnung zusätzlich verlangt

Der Bauplan ist eine Empfehlung der Anbieter. Eine Pflicht gibt es für Agenten trotzdem schon: Artikel 50 der KI-Verordnung verlangt seit dem 2. August 2026, dass Menschen erfahren, wenn sie mit einer KI interagieren.³

Die Leitlinien der EU-Kommission dazu werden für Agenten konkret: Agenten, die etwa Buchungen vornehmen, Korrespondenz führen, verhandeln oder einkaufen, sollen so gebaut sein, dass sie offenlegen, dass sie künstlich sind — und in wessen Namen sie handeln.⁴ Reine Maschine-zu-Maschine-Aufrufe zwischen Agenten, deren Ergebnisse keinen Menschen erreichen sollen, fallen nicht darunter.⁴

Das passt zur zweiten Frage des Bauplans: Wer nachvollziehen kann, in wessen Auftrag ein Agent handelt, kann es auch dem Gegenüber sagen. Mehr zur Kennzeichnung im Beitrag KI kennzeichnen.

Und für die Haftung gilt, was das OLG Hamm für Chatbots entschieden hat: Wer ein System einsetzt und seinen Rahmen bestimmt, dem werden seine Aussagen zugerechnet.⁵ Ein Agent, der Bestellungen auslöst, dürfte kaum anders behandelt werden — ein Urteil dazu kenne ich aber nicht. Einzelheiten im Beitrag Wenn dein Chatbot etwas Falsches sagt, hast du es gesagt.

Meine Einordnung

Der Bauplan sagt nichts, was ein vorsichtiger IT-Verantwortlicher nicht schon wüsste. Sein Wert liegt darin, dass es jetzt aufgeschrieben ist und zwölf Anbieter es unterschreiben. Wenn du einen Dienstleister für einen Agenten beauftragst, hast du damit eine Liste, an der du ihn messen kannst.

Was ich nicht tun würde: mit einem neuen Sicherheitsprodukt anfangen. Die Mitteilung denkt in anderen Größenordnungen: Sie zitiert eine Gartner-Prognose, nach der ein großes Unternehmen der „Fortune 500" bis 2028 im Schnitt über 150.000 Agenten im Einsatz haben werde.¹ Ein Betrieb mit fünf Agenten braucht zuerst eine Liste und eigene Zugänge.