Ein KI-Agent nimmt ein Ziel entgegen, plant die Schritte selbst und greift dabei in echte Systeme ein: Postfach, CRM, ERP. Wie weit er handeln darf, ist die eigentliche Frage. Das OWASP GenAI Security Project führt „Excessive Agency“, also zu weit reichende Handlungsfähigkeit, in seiner Top 10 für 2026 auf Platz drei. KI-Agenten im Unternehmen brauchen deshalb beides: einen klaren Auftrag und technisch gezogene Grenzen.
Kurzfassung
- Ein KI-Agent ist ein Softwaresystem, das mehrstufige Abläufe selbst plant und über Schnittstellen in Systeme wie CRM oder ERP eingreift.
- Das OWASP GenAI Security Project stuft zu weit reichende Handlungsfähigkeit von KI in seiner Top 10 vom September 2026 auf Platz drei ein.
- Das betrifft Mittelstandsbetriebe mit wiederkehrender Backoffice-Arbeit, die Angebote, Posteingang oder Wissensfragen an einen Agenten übergeben wollen.
Was ist ein KI-Agent?
Ein KI-Agent ist ein Softwaresystem, das ein Ziel entgegennimmt und selbst entscheidet, wie es dieses Ziel erreicht. Es plant die nötigen Schritte, ruft Werkzeuge und Datenquellen auf, wertet Zwischenergebnisse aus und handelt weiter, bis die Aufgabe abgeschlossen ist oder eine menschliche Freigabe nötig wird. Entscheidend ist die Eigenständigkeit in der Planung: Der Agent wartet nicht nach jedem Schritt auf eine Anweisung.
Vier Bausteine tragen jeden Agenten. Ein Sprachmodell (LLM) liest Eingaben und plant. Werkzeuge und APIs geben ihm Zugriff auf deine Systeme. Ein Kurzzeitgedächtnis hält den Kontext über alle Schritte, und bei Bedarf liefert eine Vektordatenbank als Langzeitgedächtnis Passagen aus internen Dokumenten (RAG).
Der Agent arbeitet in einer Schleife aus Denken und Handeln, in der Forschung ReAct genannt (Reason und Act). Am Beispiel eines Posteingangs:
- Ziel. „Sortiere die neuen Mails von heute nach Anliegen und Dringlichkeit.“
- Planung. Das Modell legt fest, welche Daten es braucht: Mails, Anhänge, Kundenstatus aus dem CRM.
- Werkzeugaufruf. Es ruft die Mail-Schnittstelle und das CRM auf.
- Zwischenbewertung. Reicht die Information für eine Einordnung, oder fehlt etwas?
- Handlung. Kategorie setzen, an die zuständige Person weiterleiten, Grenzfälle mit Zusammenfassung eskalieren.
- Protokoll. Jeder Schritt landet im Audit-Log.
KI-Agent, Chatbot und Automatisierung
Die drei Begriffe werden oft austauschbar verwendet, lösen aber verschiedene Probleme. Ein Chatbot beantwortet eine Frage und bleibt dabei passiv. Eine klassische Automatisierung, etwa ein Regel-Workflow oder Robotic Process Automation (RPA), arbeitet eine feste Kette ab und bricht ab, sobald eine Eingabe vom erwarteten Format abweicht. Ein Agent versteht unstrukturierte Eingaben und entscheidet im Kontext.
| Eigenschaft | Chatbot | Automatisierung und RPA | KI-Agent |
|---|---|---|---|
| Reagiert auf | Einzeleingabe | Festen Auslöser | Ziel |
| Planung | Keine | Feste Reihenfolge | Eigenständig |
| Eingabedaten | Text | Strukturiert | Strukturiert und unstrukturiert |
| Mehrstufige Abläufe | Nein | Nur als starre Sequenz | Ja, adaptiv |
| Zugriff auf Systeme | Selten | Oft über Bildschirm | Direkt über APIs |
| Verhalten bei Varianz | Bricht ab oder rät | Bricht ab | Geht mit Varianz um |
Die praktische Folge: Eine Mail-Klassifizierung mit RPA scheitert, sobald Kunden frei formulieren. Umgekehrt braucht eine Datenbanktransaktion nach festen Regeln keinen Agenten, dort ist klassische Automatisierung billiger und verlässlicher. Wie Agenten sich in eine breitere KI-Prozessautomatisierung einfügen, beschreibt der Leitfaden dazu.
Bei der Architektur reicht für den Einstieg fast immer ein Single-Agent: ein Agent, ein abgegrenzter Ablauf, eine feste Menge Werkzeuge. Multi-Agent-Systeme, in denen ein Orchestrator Teilaufgaben an spezialisierte Agenten verteilt, können mehr, sind aber deutlich schwerer zu testen und zu debuggen. Der übliche Erstaufbau ist ein Single-Agent mit RAG-Zugriff auf interne Dokumente und ein oder zwei Schnittstellen zu CRM oder ERP.
Wo KI-Agenten im Mittelstand passen
Drei Fragen trennen gute von schlechten Kandidaten. Wie oft kommt der Ablauf vor? Mehrmals täglich oder wöchentlich amortisiert den Aufbau, einmal im Monat kaum. Gibt es unstrukturierte Eingaben wie E-Mails, PDFs oder Freitext, die heute ein Mensch lesen muss? Und lässt sich messen, wann der Agent gut arbeitet, etwa über Durchlaufzeit, Fehlerquote und Eskalationsrate?
Wenig geeignet sind Aufgaben, bei denen jeder Fall kreatives Einzelfallurteil braucht, und Abläufe, die schon heute reibungslos nach festen Regeln laufen. Der häufigste Fehler ist ein zu breiter Zuschnitt. „Alle Kundenanfragen automatisieren“ ist kein Agentenauftrag, „Standardanfragen aus dem Kontaktformular einordnen und mit Vorlage beantworten“ schon. Wie du solche Kandidaten im eigenen Betrieb findest, beschreibt ersten KI-Use-Case finden.
Nicht jeder Agent muss neu gebaut werden. Microsoft bringt mit Copilot Cowork eine eigene Agentenschicht in M365 Copilot, und CRM-Anbieter liefern fertige Agenten wie HubSpot Breeze oder Salesforce Agentforce. Wo diese reichen und wo ein eigener Agent mehr bringt, vergleicht HubSpot Breeze vs. Salesforce Agentforce.
Beispiel: drei Agenten im Backoffice
Im Backoffice erfüllen drei Abläufe die Kriterien besonders häufig von Anfang an. Alle drei haben einen klaren Input, einen klaren Output und einen Punkt, an dem ein Mensch übernimmt.
Angebots-Agent
Der Angebots-Agent liest eine Kundenanfrage, zieht Produktkatalog, Preisregeln und ähnliche frühere Angebote heran und setzt einen Entwurf zusammen. Den Ablauf im Detail zeigt die Seite Angebote automatisieren. Er sendet nichts selbst ab und entscheidet nicht über Rabatte außerhalb festgelegter Grenzen. Voraussetzung sind ein Katalog in strukturierter Form (ERP-Export, CSV, gepflegte Tabelle) und 10 bis 20 frühere Angebote als Vorlage für Aufbau und Stil.
Ein gerechnetes Beispiel aus der KI-ROI-Berechnung, keine Messung aus einem Kundenprojekt: Braucht ein Angebot 3,5 Stunden, davon zwei für Recherche und Zusammenstellen, und schrumpft dieser Block auf 20 bis 30 Minuten, sind das bei 60 Angeboten im Monat rund 100 Stunden. Besteht jedes Angebot aus individuellen Konzepten ohne Standardbausteine, lohnt sich zuerst eine Bibliothek von Angebotsmodulen.
Wissens-Agent
Der Wissens-Agent beantwortet Fragen wie „Was sagt der Rahmenvertrag mit Lieferant X zur Haftung bei Lieferverzug?“ aus deinen eigenen Dokumenten, mit Verweis auf die Fundstelle. Findet er keine passende Stelle, sagt er das, statt eine plausible Antwort zu erfinden. Dafür müssen Handbücher, Verträge und Protokolle digital vorliegen, bei Scans mit sauberer Texterkennung. Vorab gehört festgelegt, welche Dokumente in die Wissensbasis dürfen. Ein üblicher Einstieg sind einige Hundert Dokumente und ein paar Wochen Parallelbetrieb, in denen das Team dieselben Fragen zusätzlich dem Agenten stellt.
Posteingangs-Agent
Der Posteingangs-Agent liest eingehende Mails oder Tickets, ordnet sie Kategorien wie Anfrage, Beschwerde oder Bestellung zu und leitet sie an die richtige Person oder Queue. Bei klar definierten Standardfällen bereitet er eine Antwort vor und legt sie zur Freigabe vor. Er braucht API-Zugriff auf Postfach oder Ticketsystem, direkt oder über Middleware wie n8n, schriftlich definierte Kategorien mit Beispielen und eine Regel für unklare Fälle: Sie landen bei einem Menschen. Viele Helpdesk-Werkzeuge bringen eine einfache Klassifizierung bereits mit, der Agent ist der nächste Ausbauschritt.
Wo ein Agent Grenzen braucht
Agenten überschreiten ihren Auftrag auch ohne Angreifer. Das UK AI Security Institute dokumentierte in Cyber-Sicherheitstests vom 25. bis 28. Juli 2026 in 10 von 122 Testläufen insgesamt 19 Fälle, in denen Agenten im echten Internet Handlungen außerhalb ihres Auftrags ausführten, darunter Kontaktversuche bei realen Personen (AISI, 4. August 2026). Das Institut betont, dass es sich um eine kontrollierte Auswertung handelte. Seine Konsequenzen: feingranulare Netzwerkkontrollen und Umgebungen, die davon ausgehen, dass ein fähiges Modell über den Auftrag hinausgeht.
Auch Schutzmechanismen der Anbieter ziehen keine verlässliche Grenze. Anthropic ordnete den Auto-Modus von Claude Code im August 2026 nach einer veröffentlichten Angriffskette als Komfortfunktion mit bestmöglichem Klassifikator ein und nannte als eigentliche Grenze die Isolierung auf Betriebssystemebene und die Kontrolle des ausgehenden Netzwerkverkehrs (embracethered.com, 26. August 2026). Wie Angreifer Agenten gezielt umlenken, beschreibt der Beitrag zu Prompt Injection.
Vier Kontrollen außerhalb des Modells tragen die Eingrenzung:
- Eigene Kennung, minimale Rechte. Ein Agent, der Eingangsrechnungen liest, braucht Lesezugriff auf ein Postfach und Schreibzugriff auf eine Zieltabelle, sonst nichts. Läuft er mit dem Zugang einer Sachbearbeiterin, erbt er deren gesamte Rechte. Enge Werkzeuge mit fest definierten Abfragen sind besser als ein allgemeiner Datenbankzugriff, weil sie sich nicht durch Text überreden lassen.
- Positivliste für Netzwerkziele. Der Agent erreicht die Modell-Schnittstelle und die Systeme, die er braucht. Kein offenes Internet, keine Dateitransfer-Dienste.
- Freigabe vor unumkehrbaren Aktionen. Zahlungen, Mails an Kunden, Löschungen und Statusänderungen, die Folgeautomatisierungen auslösen, gehören hinter einen Freigabeschritt.
- Protokoll mit Werkzeugaufrufen. Eingabe, Entscheidung, jeder Werkzeugaufruf mit Parametern und jede ausgehende Verbindung. Erst die Werkzeugaufrufe zeigen, dass ein Agent dreimal eine Abfrage ohne Berechtigung versucht hat.
Diese Kontrollen sind gewöhnliche IT-Administration. Wer Berechtigungen im ERP vergibt und eine Firewall betreibt, hat die Bausteine im Haus. Läuft der Agent auf privater KI-Infrastruktur, liegen Modell, Speicher und Protokolle innerhalb der eigenen Netzgrenze, was die Egress-Kontrolle vereinfacht.
Wann ein Mensch freigeben muss
Die Freigabe ist die Kontrolle, die auch dann noch wirkt, wenn alle anderen versagt haben. Die Leitfrage für jede Aktion des Agenten: Lässt sie sich in fünf Minuten rückgängig machen? Ein Entwurf im Ordner oder ein Eintrag in einer Vorschlagsliste schon, eine Zahlung oder eine versendete Mail nicht. Zwei Dinge machen die Freigabe wirksam: Sie blockiert die Ausführung technisch, und die freigebende Person sieht, was der Agent tun will und worauf er sich stützt. Eine Maske mit „Ausführen? Ja/Nein“ wird nach kurzer Zeit blind durchgeklickt.
Der Rechtsrahmen verschärft das an zwei Stellen. Nach Datenschutzrecht dürfen Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung für eine Person nicht ausschließlich automatisiert fallen, der Agent braucht dafür einen definierten Eskalationspfad. Für jeden Ablauf mit personenbezogenen Daten gehört eine Rechtsgrundlage ins Verzeichnis der Verarbeitungstätigkeiten, bei systematischer Verarbeitung kommt eine Datenschutz-Folgenabschätzung hinzu. Wie die Architektur dahinter aussieht, beschreibt datenschutzkonforme KI.
Nach dem EU AI Act fallen die meisten Backoffice-Agenten nicht unter die Hochrisiko-Kategorie. Artikel 50 verlangt aber, dass Menschen erkennen, wenn sie mit einem KI-System interagieren. Wer einen Agenten im Personalwesen oder bei der Kreditwürdigkeit einsetzt, landet in Anwendungsfeldern, die der AI Act als hochriskant einstuft. Rollen und Verantwortlichkeiten rund um Freigaben ordnet KI-Governance im Unternehmen ein.
Was jetzt zu tun ist
- Wähle einen Ablauf, der mehrmals pro Woche vorkommt, unstrukturierte Eingaben hat und messbare Zielwerte zulässt.
- Schreib auf einer Seite fest: Aufgabe, Datenquellen, Werkzeuge, Netzwerkziele, Aktionen ohne Freigabe, Aktionen mit Freigabe und wer das Protokoll liest.
- Kläre, ob personenbezogene Daten im Spiel sind, und dokumentiere die Rechtsgrundlage, bevor der Agent echte Daten sieht.
- Lege für den Agenten eine eigene Kennung mit minimalen Rechten an und blockiere jede unumkehrbare Aktion hinter einer Freigabe.
- Lass den Agenten einige Wochen parallel zum bisherigen Ablauf laufen und prüfe wöchentlich abgelehnte Zugriffe und ungewöhnliche Werkzeugaufrufe.
- Entscheide danach, ob du den Agenten selbst baust, betreiben lässt oder einen fertigen kaufst. Die drei Wege vergleicht KI-Agent erstellen oder betreiben lassen.
