Autor: Salman Dolatpanah Gortlar
Stand: Oktober 2026
Generative KI beantwortete zunächst vor allem Fragen. Die nächste Entwicklungsstufe geht deutlich weiter: AI Agents können Ziele entgegennehmen, Aufgaben planen, Werkzeuge aufrufen, Daten aus mehreren Quellen kombinieren und anschließend eigenständig Aktionen ausführen. Genau diese Fähigkeit macht Agentic AI für Unternehmen so interessant – und sicherheitstechnisch anspruchsvoller als einen klassischen Chatbot.
NIST beschreibt Agentic AI als Systeme, die autonom Entscheidungen treffen, aus Interaktionen lernen und dynamisch mit Nutzern, Software und realen Umgebungen interagieren können. 2026 beschäftigt sich NIST deshalb nicht nur mit Modellqualität, sondern explizit mit Identität, Autorisierung, Interoperabilität und Sicherheitsstandards für Agenten.
Was unterscheidet einen AI Agent von einem Chatbot?
Ein Chatbot verarbeitet typischerweise eine Eingabe und erzeugt eine Antwort. Ein Agent kann dagegen einen mehrstufigen Prozess durchführen. Ein einfacher Unternehmensagent könnte beispielsweise eine Kundenanfrage lesen, Daten aus einem CRM abrufen, einen Vertragsstatus prüfen, einen Antwortentwurf erstellen und – sofern erlaubt – ein Ticket aktualisieren.
Der entscheidende Unterschied ist Handlungsfähigkeit. Sobald ein KI-System Werkzeuge aufrufen oder Veränderungen an echten Systemen durchführen kann, wird aus einer falschen Antwort ein potenziell falscher Vorgang.
Warum Unternehmen 2026 auf Agentic AI setzen
Agenten eignen sich besonders für Prozesse, bei denen Informationen aus mehreren Systemen zusammengeführt werden müssen. Beispiele sind:
- IT-Support und Ticket-Triage,
- Analyse von Monitoring- oder Security-Events,
- Zusammenfassung und Klassifizierung von Dokumenten,
- Onboarding-Workflows,
- Recherche und Reporting,
- Unterstützung bei Softwareentwicklung und Tests,
- Vorbereitung wiederkehrender Finance- oder Compliance-Aufgaben.
Der wirtschaftliche Vorteil liegt weniger darin, einen Menschen vollständig zu ersetzen. Interessanter ist häufig, dass ein Agent mehrere Systeme verbindet und Routinearbeit vorbereitet, während ein Mensch kritische Entscheidungen freigibt.
Das neue Sicherheitsproblem: Ein Agent besitzt Autorität
NIST hebt 2026 ausdrücklich hervor, dass Agenten neue Risiken erzeugen, weil Modellentscheidungen mit realer Softwarefunktionalität kombiniert werden. Ein Agent kann nicht nur Text lesen, sondern möglicherweise E-Mails senden, Dateien ändern, APIs aufrufen oder Datenbanken abfragen.
Damit wird eine alte Security-Frage wieder zentral: Wer darf was, unter welchen Bedingungen und mit welchem Nachweis? Für Agenten gilt dasselbe Least-Privilege-Prinzip wie für Benutzer und Service Accounts – nur konsequenter.
Prompt Injection wird bei Agenten gefährlicher
Bei einer indirekten Prompt Injection kann ein Agent manipulierte Inhalte aus einer externen Quelle aufnehmen – etwa aus einer Webseite, einem Dokument oder einer E-Mail – und diese irrtümlich als Anweisung interpretieren. Wenn derselbe Agent gleichzeitig privilegierte Tools besitzt, kann aus manipuliertem Text eine unerwünschte Aktion werden.
NIST nennt genau diese Kombination aus adversarial data und Tool-Funktionalität als wichtiges Risiko. Schutzmaßnahmen müssen deshalb nicht nur am Sprachmodell ansetzen, sondern an der gesamten Architektur.
Identity und Authorization für Agents
Ein sicherer Agent sollte eine eigene, nachvollziehbare Identität haben. Es ist problematisch, wenn zehn verschiedene Automationen alle unter demselben hochprivilegierten Benutzerkonto arbeiten. Besser ist eine eindeutige technische Identität mit eng begrenzten Rechten.
NIST arbeitet 2026 an einem eigenen Projekt rund um Agent Identity and Authorization. Im Mittelpunkt stehen Fragen wie Identifikation, Autorisierung, Auditierbarkeit, Non-Repudiation und die Begrenzung von Agentenrechten.
Least Privilege muss auf einzelne Aufgaben heruntergebrochen werden
Ein Agent, der Rechnungen analysieren soll, benötigt nicht automatisch das Recht, Zahlungen freizugeben. Ein Security-Agent, der Firewall-Logs auswertet, sollte nicht automatisch Firewall-Regeln ändern dürfen. Ein Coding-Agent, der Pull Requests erstellt, braucht nicht zwingend direkte Produktionsrechte.
Praktisch bedeutet das:
- Read-only standardmäßig bevorzugen,
- Schreibrechte nur für klar definierte Aktionen,
- kritische Aktionen mit Human Approval absichern,
- separate Credentials pro Agent oder Funktion,
- kurzlebige Tokens statt statischer Secrets,
- vollständige Audit Logs für Tool-Aufrufe.
OWASP Top 10 für Agentic Applications 2026
OWASP hat für 2026 eine eigene Top-10-Liste für Agentic Applications veröffentlicht. Der Hintergrund ist klar: Autonome Systeme kombinieren Modellrisiken mit klassischen Software-, Identity- und Supply-Chain-Risiken. Die wichtigste Erkenntnis ist nicht eine einzelne Schwachstelle, sondern die Notwendigkeit mehrerer Schutzschichten.
Unternehmen sollten deshalb Agenten wie produktive Software behandeln: mit Threat Modeling, Security Reviews, Code- und Connector-Prüfungen, klarer Datenklassifizierung und Incident Response.
Warum MCP und Tool-Integrationen kontrolliert werden müssen
Agenten werden häufig über standardisierte Tool- oder Connector-Schnittstellen an andere Systeme angebunden. Das erhöht die Produktivität, vergrößert aber gleichzeitig die Angriffsfläche. Jeder Connector ist eine zusätzliche Vertrauensbeziehung.
Für Unternehmen sind deshalb zentrale Kontrollen sinnvoll: Welche Tools sind freigegeben? Welche Daten dürfen gelesen werden? Welche Aktionen benötigen Zustimmung? Welche externen Server sind erlaubt? Werden Secrets sicher gespeichert? Können Agenten auf produktive Systeme zugreifen?
Sandboxing und kontrollierte Ausführung
Ein Agent, der Code generiert oder unbekannte Dateien verarbeitet, sollte nicht unmittelbar auf dem Produktivsystem arbeiten. Sandboxes, isolierte Laufzeitumgebungen und eingeschränkte Dateisysteme reduzieren die Folgen fehlerhafter oder manipulierter Aktionen.
Das Prinzip ist vergleichbar mit moderner Endpoint- und Container-Security: Man geht nicht davon aus, dass jede Eingabe vertrauenswürdig ist.
Human-in-the-Loop: Wo Menschen weiterhin entscheiden sollten
Autonomie sollte nicht binär betrachtet werden. Zwischen einem reinen Assistenten und vollständig autonomem Betrieb gibt es viele Stufen. Ein sinnvoller Einstieg ist häufig:
- Agent beobachtet und empfiehlt,
- Agent erstellt Entwurf, Mensch bestätigt,
- Agent darf risikoarme Schritte selbst ausführen,
- kritische Aktionen bleiben genehmigungspflichtig.
Mit wachsender Erfahrung kann die Autonomie gezielt erweitert werden. Das reduziert Risiko und schafft gleichzeitig messbare Produktivitätsgewinne.
Logging ist für Agenten wichtiger als bei klassischen Chatbots
Wenn ein Agent eine reale Aktion ausführt, muss später nachvollziehbar sein, warum diese Aktion stattfand. Relevante Informationen sind unter anderem: Benutzerauftrag, verwendete Datenquellen, aufgerufene Tools, Berechtigungen, Resultate und Freigaben.
Ohne diese Telemetrie wird Incident Response schwierig. „Die KI hat es gemacht“ ist keine akzeptable Erklärung für einen produktiven Vorfall.
Ein pragmatisches Einführungsmodell für Unternehmen
Phase 1 – Assistieren: Der Agent recherchiert und erstellt Vorschläge, hat aber keine Schreibrechte.
Phase 2 – Kontrollierte Aktionen: Bestimmte Low-Risk-Aktionen dürfen nach Bestätigung ausgeführt werden.
Phase 3 – Begrenzte Autonomie: Wiederkehrende, gut verstandene Workflows werden innerhalb fester Policies automatisiert.
Phase 4 – Continuous Governance: Logs, Berechtigungen und Fehlerbilder werden kontinuierlich ausgewertet und Policies angepasst.
Fazit: Agentic AI ist vor allem ein Identity- und Governance-Thema
Die spannendste Eigenschaft von AI Agents ist nicht, dass sie besser schreiben können, sondern dass sie handeln. Genau deshalb sollte ihre Einführung nicht nur ein KI-Projekt sein. IT, Security, Identity Management, Datenschutz und Fachabteilung müssen gemeinsam definieren, welche Autorität ein Agent erhält.
Wer 2026 früh klare Identitäten, Least Privilege, Approval Gates, Sandboxing und Auditability einbaut, kann Agentic AI produktiv nutzen, ohne unkontrollierte Automatisierung zu erzeugen.
Quellen und weiterführende Informationen
NIST: Agentic AI
NIST: AI Agent Standards Initiative 2026