Was sind KI-Agenten — und warum sind sie so mächtig?
Ein KI-Agent ist mehr als ein Chatbot. Während ein klassisches KI-Modell auf eine Frage antwortet und dann wartet, handelt ein autonomer KI-Agent selbstständig: Er plant mehrstufige Aufgaben, nutzt Tools und APIs, trifft Entscheidungen — und führt diese ohne menschliche Bestätigung bei jedem Schritt aus.
Praktische Beispiele: Ein Coding Agent, der eigenständig Code schreibt, testet und in ein Repository pusht. Ein Sales-Agent, der CRM-Einträge aktualisiert, E-Mails verfasst und Kalendertermine bucht. Ein IT-Ops-Agent, der Tickets auswertet, Systeme prüft und Patches einspielt. Diese Systeme sind produktiv — aber sie sind auch eine fundamental neue Kategorie von Sicherheitsrisiken.
Warum klassische IAM-Systeme versagen
Identity and Access Management (IAM) wurde für Menschen entwickelt: Ein Mitarbeiter meldet sich an, erhält Zugriff auf definierte Ressourcen, arbeitet — und meldet sich ab. KI-Agenten brechen dieses Modell an jedem einzelnen Punkt.
Menschen melden sich ab. Agenten laufen 24/7 — oft mit dauerhaften, nie ablaufenden API-Keys. Ein kompromittierter Token eines KI-Agenten gibt Angreifern unbegrenzten Zugang, ohne dass jemand es bemerkt.
Weil Agenten vielfältige Aufgaben übernehmen sollen, werden sie oft mit breiten Berechtigungen ausgestattet — 'damit es funktioniert'. Das Ergebnis: Ein einzelner Coding Agent hat Lese- und Schreibzugriff auf sämtliche Repositories, Deployment-Pipelines und manchmal sogar Produktionsdatenbanken.
MFA funktioniert bei Menschen. Bei Agenten muss Authentifizierung anders gelöst werden: über Zertifikate, kurzlebige Tokens oder Workload Identities. Die meisten Unternehmen nutzen heute schlicht API-Keys — im schlechtesten Fall im Klartext in einer .env-Datei.
Ein Agent ruft einen anderen Agenten auf, der wiederum ein externes Tool nutzt. Wer trägt hier die Verantwortung? Klassisches IAM kann diese verschachtelten Vertrauensbeziehungen nicht abbilden — und schon gar nicht überwachen.
Fazit: Security-Teams müssen KI-Agenten als eine eigene Klasse von Identitäten begreifen — mit eigenen Richtlinien, eigenen Kontrollen und einer eigenen Bedrohungsmodellierung.
Non-Human Identities (NHI): Das blinde Fleck im Identity Management
Non-Human Identities (NHI) sind Service-Accounts, API-Keys, OAuth-Tokens, Zertifikate und eben KI-Agenten — alles, was sich im Namen einer Maschine oder eines Prozesses authentifiziert. In modernen Unternehmen übersteigen NHIs die menschlichen Identitäten zahlenmäßig längst — oft im Verhältnis 10:1 oder mehr.
Das Problem: Während menschliche Identitäten in Active Directory oder Entra ID sorgfältig verwaltet werden, existieren NHIs oft unkontrolliert. API-Keys werden erstellt, vergessen, nie rotiert. Tokens mit Admin-Rechten schlummern in alten CI/CD-Konfigurationen. Wenn ein Angreifer einen solchen Token kompromittiert, hat er dauerhaften, hochprivilegierten Zugang — ohne Alarm zu schlagen.
Die NHI-Sicherheit ist eines der am schnellsten wachsenden Segmente in der Cybersecurity — aus gutem Grund. Angriffe über kompromittierte Service-Accounts und API-Keys sind für Angreifer besonders attraktiv: Sie erzeugen kaum Anomalien, da die Aktivität wie normaler Maschinenbetrieb aussieht.
Prompt Injection: Der unsichtbare Angriff auf KI-Agenten
Prompt Injection ist der gefährlichste und gleichzeitig am wenigsten verstandene Angriffsvektor auf KI-Agenten. Das Prinzip: Ein Angreifer versteckt bösartige Anweisungen in Inhalten, die ein Agent verarbeitet — und bringt ihn so dazu, Dinge zu tun, die er nicht tun sollte.
Das Kernproblem: Es gibt heute keine zuverlässige technische Lösung, die Prompt Injection vollständig verhindert. Die Verteidigung muss auf mehreren Ebenen ansetzen: Rechtebeschränkung, Input-Sanitization, Human-in-the-Loop für kritische Aktionen und umfassendes Monitoring.
Zero Trust für KI-Agenten: Ein neues Denkmodell
Zero Trust heißt: Vertraue niemandem, verifiziere alles — und das gilt für KI-Agenten in besonderem Maße. Die Herausforderung: Agenten müssen autonom agieren, aber gleichzeitig in einem streng kontrollierten Rahmen operieren.
- Jeder Agent hat eine eindeutige, verifizierbare Identität
- Minimale Berechtigungen — keine pauschalen Admin-Rechte
- Kurzlebige Tokens statt dauerhafter API-Keys
- Jede Aktion wird geloggt und ist nachvollziehbar
- Kritische Aktionen erfordern menschliche Bestätigung
- Kontinuierliches Monitoring auf Anomalien
- Unbegrenzte Lese-/Schreibrechte auf alle Systeme
- Eigene Berechtigungen selbst erhöhen können
- Andere Agenten ohne Überprüfung aufrufen
- Externe URLs ohne Allowlist aufrufen
- Aktionen ausführen, ohne diese zu loggen
- Produktionssysteme ohne Change-Prozess verändern
Das Ziel ist nicht, KI-Agenten zu verhindern — sie sind ein echter Produktivitätsgewinn. Das Ziel ist, sie in einen kontrollierten Betriebsrahmen einzubetten, der mit dem bestehenden Sicherheitskonzept kompatibel ist. Zero Trust für Agenten ist kein Produkt, das man kaufen kann — es ist eine Designentscheidung, die von Anfang an mitgedacht werden muss.
Konkrete Maßnahmen — wo Sie jetzt anfangen sollten
Agentic AI Security ist kein Zukunftsthema — es ist ein Gegenwartsthema. Diese sechs Maßnahmen sollten prioritär angegangen werden:
Inventarisierung aller KI-Agenten und NHIs
Sie können nicht schützen, was Sie nicht kennen. Erstellen Sie ein vollständiges Inventar aller KI-gestützten Systeme, Service-Accounts, API-Keys und automatisierten Workflows — inklusive der Drittanbieter-Tools, die Ihre Mitarbeitenden im Alltag nutzen.
Least Privilege konsequent auf Agenten anwenden
Jeder KI-Agent erhält exakt die Berechtigungen, die er für seine spezifische Aufgabe benötigt — nicht mehr. Agenten, die E-Mails lesen sollen, dürfen keine Dateien löschen. Coding Agents brauchen keinen Zugriff auf Produktionsdatenbanken.
Input-Validierung gegen Prompt Injection
Alle Daten, die ein KI-Agent aus externen Quellen empfängt — Webseiten, E-Mails, Dokumente, API-Antworten — müssen als potenziell feindlich behandelt werden. Prompt-Injection-Angriffe verstecken sich in harmlosen Inhalten.
Vollständige Auditierbarkeit aller Agenten-Aktionen
Was ein KI-Agent getan hat, muss vollständig nachvollziehbar sein — für Compliance, Incident Response und das Erkennen von Anomalien. Agenten, die keine Logs schreiben, sind ein blinder Fleck im Security-Monitoring.
Sichere Secrets-Verwaltung
API-Keys, Tokens und Credentials, die Agenten nutzen, dürfen niemals im Klartext in Code, Konfigurationsdateien oder Umgebungsvariablen liegen. Kompromittierte Secrets sind einer der häufigsten Angriffsvektoren auf KI-Systeme.
Sandboxing und Netzwerksegmentierung
KI-Agenten sollten in isolierten Umgebungen laufen, die keinen direkten Zugriff auf kritische Systeme haben. Wenn ein Agent kompromittiert wird, darf er keinen lateralen Bewegungsspielraum haben.
Agentic AI eingeführt — aber Sicherheit noch nicht mitgedacht?
Viele Unternehmen haben bereits KI-Agenten im Einsatz — über Copilot, n8n, Make, Zapier oder eigene Entwicklungen. Wir helfen Ihnen, die Sicherheitslage dieser Systeme zu bewerten und konkrete Verbesserungen zu implementieren.
Jetzt KI-Sicherheitscheck anfragen