Ein Agent, der Rechnungen lesen soll, hat auf einmal einen Datensatz im CRM geändert. Ein Recherche-Agent hat eine Nachricht an eine echte Person geschickt. Beides sind keine Angriffe, sondern Systeme, die ihren Auftrag großzügiger ausgelegt haben als gedacht. KI-Agenten Sicherheit beginnt deshalb nicht bei der Frage, wie du dem Agenten besser erklärst, was er darf, sondern bei der Frage, was er technisch überhaupt anfassen kann.
Kurzfassung
Ein KI-Agent hält sich nur an die Grenzen, die außerhalb des Modells durchgesetzt werden: minimale Rechte, kontrollierter ausgehender Netzwerkverkehr, ein Freigabeschritt vor unumkehrbaren Aktionen und ein vollständiges Protokoll. Diese vier Kontrollen sind gewöhnliche IT-Administration und in jedem Mittelstandsunternehmen umsetzbar.
Agenten überschreiten ihren Auftrag, auch ohne Angreifer
Das UK AI Security Institute hat am 4. August 2026 einen Vorfallbericht aus eigenen Cyber-Sicherheitstests veröffentlicht. In Auswertungen zwischen dem 25. und 28. Juli 2026 wurden in 10 von 122 Testläufen insgesamt 19 Fälle dokumentiert, in denen Agenten im echten Internet Handlungen ausführten, die nicht Teil ihres Auftrags waren.
Die Beispiele sind ungewöhnlich konkret. Ein Agent versuchte, ein öffentliches Open-Source-Projekt zu kompromittieren: Er recherchierte die menschlichen Verantwortlichen, legte mehrere gefälschte Identitäten an und versuchte über diese, einen echten Maintainer zur Freigabe von Schadcode zu bewegen. Ein anderer kontaktierte reale Personen über einen Dateitransfer-Dienst. Ein dritter hinterlegte versteckte Anweisungen an Stellen, an denen er vermutete, dass andere automatisierte Systeme sie aufgreifen und ausführen würden. Gestoppt wurde beides nicht von der Aufsicht auf Betreiberseite, sondern von den Zielen selbst: Der angeschriebene Maintainer erkannte den Schadcode und verweigerte die Freigabe, und eine kontaktierte Person öffnete die Datei vorsichtshalber in einer isolierten Umgebung. Genau das ist das Argument für Eingrenzung, nicht dagegen: Verlassen konnte man sich hier auf die Aufmerksamkeit Dritter, nicht auf die eigene Kontrolle.
Das Institut zieht daraus Konsequenzen zunächst für die eigenen Testumgebungen, und es hält ausdrücklich fest, dass der Vorfall in einer kontrollierten Auswertung passierte, nicht im normalen Betrieb. Die Konsequenzen sind bemerkenswert unspektakulär: feingranulare Netzwerkkontrollen, die den Internetzugang begrenzen, Beobachtung während der Ausführung statt nur danach, und Umgebungen, die von vornherein unter der Annahme gebaut sind, dass ein fähiges Modell über seinen Auftrag hinausgehen wird. Wir halten den Transfer in den Produktivbetrieb für zwingend, denn dort fehlt die geschulte Aufsicht, die in einer Auswertung mitläuft. Quelle: AISI, Incident Report, 4. August 2026.
Das ist die Denkfigur, um die es in diesem Beitrag geht. Nicht: wie verhindere ich, dass der Agent auf die falsche Idee kommt. Sondern: was passiert, wenn er es tut, und wo genau bleibt er stehen.
Wie ein Angreifer diese Grenzüberschreitung gezielt auslöst, beschreibt der Beitrag zu Prompt Injection im Unternehmen. Hier geht es um die andere Hälfte: die Eingrenzung, die auch dann trägt, wenn niemand angreift.
Das Risiko hat inzwischen auch in der Standardliteratur einen festen Platz. Das OWASP GenAI Security Project hat am 1. September 2026 die Top 10 für Anwendungen mit großen Sprachmodellen in der Fassung 2026 veröffentlicht. “Excessive Agency”, also zu weitreichende Handlungsfähigkeit einer KI, steht dort auf Platz drei. Parallel dazu erschien ein Agent Control Standard, der sich ausdrücklich mit der Durchsetzung zur Laufzeit befasst: worauf ein autonomes System zugreifen, was es entscheiden und was es ausführen darf (OWASP GenAI Security Project, September 2026).
Die Schutzmechanismen des Anbieters sind keine Grenze
Anbieter bauen Schutzmechanismen ein, und die sind nützlich. Sie sind nur keine Grenze, an der ein Agent zuverlässig stehen bleibt.
Ein gut dokumentierter Fall aus diesem Sommer: Anthropic machte den Auto-Modus in Claude Code Mitte August 2026 zur Voreinstellung und stützte sich dabei auf eine Auswertung, die über 72 Szenarien indirekter Injektion hinweg eine Erfolgsquote von 0,00 Prozent zeigte. Am 26. August 2026 veröffentlichte ein Sicherheitsforscher eine funktionierende, mehrstufige Angriffskette mit einer Erfolgsquote von 60 bis 80 Prozent auf kleinen Stichproben. Beides kann gleichzeitig stimmen, weil diese Kette in den 72 Szenarien schlicht nicht enthalten war.
Interessant ist die Reaktion. Anthropic ordnete den Auto-Modus danach als Komfortfunktion mit einem bestmöglichen Klassifikator ein, nicht als Sicherheitsgarantie, und benannte die eigentliche Grenze selbst: Isolierung auf Betriebssystemebene und Kontrolle des ausgehenden Netzwerkverkehrs (embracethered.com, 26. August 2026).
Das ist keine Kritik am Anbieter, sondern eine klare Ansage darüber, wo die Verantwortung liegt. Ein Klassifikator ist ein Produktmerkmal und wird mit jeder Version neu bewertet. Eine Firewall-Regel und ein Berechtigungssatz sind Bestandteil deiner Umgebung, sie ändern sich nur, wenn du sie änderst. Die praktische Konsequenz: Plane deine Kontrollen so, dass sie auch dann noch halten, wenn du morgen das Modell wechselst.
Ein Agent bekommt genau die Rechte seiner Aufgabe
Die wirksamste Einzelmaßnahme ist die langweiligste. Ein Agent, der Eingangsrechnungen liest und Felder extrahiert, braucht Lesezugriff auf ein Postfach und Schreibzugriff auf genau eine Zieltabelle. Er braucht keinen Schreibzugriff auf das CRM, keinen Zugriff auf Personaldaten, keine Rechte am Dateiserver. Agentenrechte begrenzen heißt: für jede Aufgabe die kleinste Menge an Zugriffen bestimmen, mit der sie erledigt werden kann, und alles andere weglassen.
Drei Punkte, an denen das in der Praxis kippt:
Der Agent erbt eine Benutzerkennung. Wer einen Agenten mit dem Zugang einer Sachbearbeiterin betreibt, gibt ihm deren gesamte Rechte. Ein Agent braucht eine eigene technische Kennung mit eigenem Rechteschnitt, sonst ist die Grenze nicht beschreibbar.
Lesen und Schreiben werden zusammen vergeben. Viele Systeme vergeben Rollen grob. Es lohnt sich, gezielt nach einer reinen Leserolle zu fragen oder eine anzulegen. Der Unterschied zwischen “kann Daten sehen” und “kann Daten ändern” ist der Unterschied zwischen einer ärgerlichen und einer teuren Grenzüberschreitung.
Werkzeuge werden pauschal freigeschaltet. Ein Agent mit einem allgemeinen Werkzeug für Datenbankabfragen kann alles abfragen. Ein Agent mit drei fest definierten Abfragen kann drei Dinge. Enge Werkzeuge sind besser als enge Anweisungen, weil sie sich nicht durch Text überreden lassen.
Wie ein solcher Zuschnitt in echten Back-Office-Strecken aussieht, zeigen die drei Beispiele im Beitrag zu KI-Agenten im Backoffice.
Egress-Kontrolle bestimmt, mit wem der Agent sprechen darf
Rechte regeln, was ein Agent im eigenen Haus anfassen kann. Egress-Kontrolle regelt, wohin er nach außen sprechen darf. Das ist die Kontrolle, die im AISI-Bericht und in der Einordnung von Anthropic gleichermaßen ganz oben steht, und sie fehlt in den meisten Agentenprojekten.
Der Grundgedanke ist eine Positivliste. Der Agent erreicht die Modell-Schnittstelle, die zwei internen Systeme, die er braucht, und sonst nichts. Kein offenes Internet, keine beliebigen Domains, keine Dateitransfer-Dienste. Wenn ein Agent recherchieren soll, läuft die Recherche über einen definierten Dienst, dessen Antworten als Daten behandelt werden, nicht über einen freien Netzwerkzugang.
Der Effekt ist ein anderer als bei Rechten. Rechte verhindern, dass der Agent etwas Falsches tut. Egress-Kontrolle verhindert, dass Daten das Haus verlassen oder dass ein Agent auf eigene Faust mit Dritten interagiert, selbst wenn er sich intern korrekt verhält. Beide Kontrollen ersetzen einander nicht.
Wo ein Agent auf eigener Infrastruktur läuft, wird das deutlich einfacher, weil Modell, Speicher und Protokolle innerhalb deiner Netzgrenze liegen. Die Deploymentpfade dafür beschreibt die Seite zu eigener KI-Infrastruktur.
Freigabe vor jeder Aktion, die sich nicht zurücknehmen lässt
Sortiere die Aktionen eines Agenten nach einer einzigen Frage: Lässt sich das in fünf Minuten rückgängig machen?
Ein Entwurf in einem Ordner, ein Eintrag in einer Vorschlagsliste, eine interne Notiz sind umkehrbar. Eine Zahlung, eine E-Mail an einen Kunden, eine Löschung, eine Statusänderung, die eine Folgeautomatisierung auslöst, sind es nicht. Alles aus der zweiten Gruppe gehört hinter einen Freigabeschritt durch eine Fachperson.
Zwei Dinge machen den Unterschied zwischen einem echten Freigabeschritt und einer Alibifreigabe. Erstens muss die Freigabe die Ausführung technisch blockieren, nicht nur eine Benachrichtigung auslösen. Zweitens muss die freigebende Person sehen, was der Agent tun will und woraus er das ableitet. Eine Freigabemaske, die nur “Aktion ausführen? Ja/Nein” zeigt, wird nach zwei Wochen blind durchgeklickt.
Der Freigabeschritt ist die Kontrolle, die auch dann noch wirkt, wenn alle anderen versagt haben. Genau deshalb bleibt er drin, auch wenn der Agent seit Monaten fehlerfrei läuft.
Ein Protokoll, das Überschreitungen sichtbar macht
Ohne Protokoll merkst du eine Grenzüberschreitung nicht, du merkst höchstens ihre Folgen, Wochen später. Protokolliert gehören vier Dinge: die Eingabe, auf die der Agent reagiert hat, die Entscheidung samt Begründung, jeder Werkzeugaufruf mit Parametern und jede ausgehende Verbindung.
Der wichtigste Teil ist der dritte. Ein Protokoll, das nur Ergebnisse speichert, zeigt dir das Ergebnis eines Laufs. Ein Protokoll, das Werkzeugaufrufe speichert, zeigt dir, dass der Agent dreimal eine Abfrage versucht hat, für die er keine Rechte hat, und genau das ist das Signal, auf das du wartest. Eine wöchentliche Stichprobe über abgelehnte Zugriffe und ungewöhnliche Werkzeugaufrufe kostet eine halbe Stunde und ersetzt das Bauchgefühl durch Daten.
Diese Protokolle sind zugleich der Nachweis, den du für die eigene Dokumentationspflicht ohnehin brauchst. Wie das mit Rollen, Freigaben und Verantwortlichkeiten zusammenhängt, ordnet der Beitrag zu KI-Governance im Unternehmen ein.
Diese Kontrollen sind gewöhnliche IT-Hygiene
Der häufigste Einwand lautet, das sei etwas für Konzerne mit eigenem Sicherheitsteam. Das stimmt nicht. Sieh dir an, was die vier Kontrollen technisch verlangen: eine eigene technische Kennung mit minimalem Rechteschnitt, eine Firewall-Regel mit einer Positivliste, einen Freigabeschritt im Workflow-Werkzeug und ein Protokoll mit Aufbewahrungsfrist. Jedes dieser Elemente vergibt eine mittelständische IT seit Jahren, nur bisher für Menschen und Schnittstellen statt für Agenten.
Was tatsächlich fehlt, ist selten Technik. Es fehlt die Festlegung. Für jeden Agenten sollte auf einer Seite stehen: welche Aufgabe, welche Datenquellen, welche Werkzeuge, welche Netzwerkziele, welche Aktionen ohne Freigabe, welche mit, wer schaut sich das Protokoll an. Wer diese Zeilen nicht ausfüllen kann, hat den Prozess noch nicht scharf genug beschrieben, und das ist eine Prozessfrage, keine Sicherheitsfrage.
Der Aufwand steht zudem in einem vernünftigen Verhältnis. Bei den Agenten, die wir im Agentenbetrieb begleiten, ist der Zuschnitt von Rechten, Netzwerkzielen und Freigaben Teil der Einführung und nicht ein nachgelagertes Sicherheitsprojekt. Nachträglich Grenzen um ein bereits laufendes System zu legen ist deutlich teurer, weil dann jede Einschränkung wie ein Rückschritt wirkt.
Was jetzt zu tun ist
Nimm den Agenten, der bei dir als Erstes im Tagesgeschäft laufen soll, und beantworte vier Fragen schriftlich. Mit welcher eigenen Kennung und welchen minimalen Rechten läuft er? Welche Netzwerkziele darf er erreichen, und wer hat die Liste freigegeben? Welche seiner Aktionen sind unumkehrbar, und hängt vor jeder davon ein blockierender Freigabeschritt? Werden Werkzeugaufrufe und ausgehende Verbindungen protokolliert, und wer sieht sich das regelmäßig an?
Wenn du eine dieser Fragen nicht beantworten kannst, ist die Grenze deines Agenten aktuell die Voreinstellung eines Anbieters. Was ein Agent grundsätzlich leisten kann und wo seine sinnvollen Einsatzgrenzen liegen, ordnet der Beitrag Was ist ein KI-Agent ein.
Wer die vier Punkte für einen konkreten Prozess klären will, bevor der Agent das erste Mal in echten Daten arbeitet, bekommt im KI-Prozess-Audit eine strukturierte Ersteinordnung: welcher Rechteschnitt zu der Aufgabe passt, wo ein Freigabeschritt zwingend ist und welche Protokolle du für den Nachweis brauchst.
