Bei KI-Agenten werde ich neugierig, weil sie dieses herrlich gefährliche Versprechen mitbringen: „Ich kümmere mich darum.“
Ein Chatbot, der dir eine Frage beantwortet, ist das eine. Ein KI-Agent, der Aufgaben plant, Daten abruft, Tools benutzt, Workflows anstößt, Tickets bearbeitet, Code analysiert oder vielleicht sogar Änderungen in Systemen ausführt, ist etwas ganz anderes.
Das ist nicht mehr der Praktikant mit Notizblock. Das ist eher der neue Kollege mit Schlüsselkarte, Firmenlaptop und viel Motivation.
Schön, wenn er hilft. Schwierig, wenn niemand weiß, was er darf.
KI-Agenten verlassen gerade die Spielwiese. Sie werden produktiv. Und damit brauchen sie das, was wir bei SaaS, Cloud und Microsoft 365 längst gelernt haben: Governance.
Also klare Regeln, saubere Berechtigungen, nachvollziehbare Aktionen, Security-Integration und jemanden, der mitdenkt, bevor der digitale Kollege den Serverraum umdekoriert.
Viele Unternehmen haben KI-Agenten bisher wie ein Innovationsprojekt behandelt. Ein bisschen ausprobieren, ein paar Prompts testen, ein internes Demo bauen, vielleicht eine schicke Präsentation für den nächsten Strategie-Termin.
Das ist völlig okay. So fängt Innovation an.
Aber jetzt kommt der nächste Schritt: Agenten sollen echte Aufgaben übernehmen. Nicht nur „Schreib mir eine Zusammenfassung“, sondern zum Beispiel:
Ein Vertriebs-Agent prüft CRM-Daten, erstellt Follow-ups und schlägt nächste Schritte vor.
Ein Support-Agent analysiert Tickets, zieht Informationen aus Wissensdatenbanken und bereitet Antworten vor.
Ein IT-Agent schaut in Logs, erkennt Auffälligkeiten und erstellt Handlungsempfehlungen.
Ein Security-Agent korreliert Warnungen aus verschiedenen Tools und priorisiert Vorfälle.
Ein Entwicklungs-Agent analysiert Code, öffnet Pull Requests oder dokumentiert Änderungen.
Das bringt enorme Entlastung.
Aber produktiv heißt: Der Agent arbeitet mit echten Daten, echten Systemen, echten Rechten und echten Konsequenzen.
Der wichtigste Perspektivwechsel lautet: KI-Agenten sollten nicht wie ein einzelnes Tool betrachtet werden. Sie sind eine neue Anwendungsklasse.
Und zwar eine, die nicht nur Informationen anzeigt, sondern handelt.
Bei SaaS-Anwendungen fragt heute niemand mehr ernsthaft: „Brauchen wir da Berechtigungskonzepte?“ Natürlich brauchen wir die. Wir sprechen über Rollen, Rechte, Single Sign-on, MFA, Datenklassifizierung, Audit-Logs, Lifecycle Management, Kostenkontrolle und Verantwortlichkeiten.
Bei KI-Agenten sollten wir diese Learnings von Anfang an mitdenken. Nur mit einer zusätzlichen Prise Nervenkitzel.
Agenten arbeiten oft nicht linear. Sie planen Zwischenschritte, rufen Tools auf, springen zwischen Systemen, warten auf Antworten, starten erneut, verarbeiten Dateien und treffen Entscheidungen innerhalb eines gesetzten Rahmens. Sie wirken dabei wie ein fleißiger Kollege oder wie ein Praktikant auf Espresso.
Darum reicht es nicht, einfach „KI freizuschalten“. Unternehmen brauchen Plattformgrenzen.
Also Antworten auf Fragen wie:
Wer darf Agenten erstellen?
Welche Daten dürfen Agenten lesen?
Welche Aktionen dürfen sie ausführen?
Welche Tools dürfen sie nutzen?
Wann muss ein Mensch zustimmen?
Wo werden Aktionen protokolliert?
Wie werden Kosten sichtbar?
Wie verhindern wir, dass sensible Daten in falsche Kanäle laufen?
Und wer ist verantwortlich, wenn ein Agent Mist baut?
Kleiner Tipp: „Der Prompt war schuld“ ist kein belastbares Governance-Modell.
Ein häufiger Denkfehler ist: Wir sichern einfach den Zugang zum KI-Tool ab, und dann passt das schon.
Leider nein.
Bei klassischen Anwendungen ist der Rand klarer. User meldet sich an, App zeigt Daten, App führt definierte Funktionen aus. Easy.
Bei Agenten ist die Welt beweglicher. Ein Agent kann Daten aus einem System holen, über ein zweites System anreichern, über eine API eine Aktion vorbereiten und über ein drittes Tool eine Ausgabe erzeugen.
Wenn Governance nur am Eingangstor steht, winkt der Agent freundlich und nimmt anschließend den Lieferanteneingang.
Gute Governance muss deshalb durchgehend wirken. Identität, Datenzugriff, API-Nutzung, Modellzugriff und Protokollierung gehören zusammen. Der Agent darf nicht mehr sehen oder tun, als die zugrunde liegenden Regeln erlauben.
Das klingt technisch, ist im Kern aber simpel:
Ein Agent braucht keinen Generalschlüssel, sondern einen klar beschrifteten Schlüsselbund – und zwar nur für die Türen, durch die er wirklich gehen muss.
Eine der wichtigsten Fragen bei produktiven Agenten lautet: Handelt der Agent als eigener technischer Akteur oder im Namen eines Menschen?
Das ist nicht nur eine akademische Frage für Menschen mit Architekturdiagrammen und akkurat sortierten Stiften. Es ist entscheidend für Audit, Verantwortung und Berechtigung.
Wenn ein Agent im Namen von Lisa aus dem Vertrieb arbeitet, sollten die Systeme erkennen können: Diese Aktion wurde durch einen Agenten ausgelöst, aber im Kontext von Lisa. Dann gelten Lisas Berechtigungen. Nicht mehr. Nicht weniger.
Wenn ein Agent autonom als System-Agent arbeitet, braucht er eine eigene Identität mit eigenen Rechten. Auch hier gilt: so wenig wie möglich, so viel wie nötig.
Das Prinzip dahinter ist alt, heute aber wieder sehr modern: Least Privilege.
Oder auf Deutsch: Gib dem Agenten nicht den Werkzeugkoffer vom Hausmeister, wenn er nur einen Schraubendreher braucht.
AI-Agenten sind gut darin, Informationen zu verbinden. Eben darin liegt ja ihr Nutzen. Aber auch ihr Risiko.
Ein Agent, der Daten aus CRM, E-Mail, SharePoint, Ticketsystem, ERP und Wissensdatenbank zusammenführt, kann sehr hilfreich sein. Er kann aber auch unbeabsichtigt Informationen kombinieren, die organisatorisch getrennt bleiben sollten.
Das Problem ist nicht zwingend böse Absicht. Oft reicht schon ein zu großzügiger Zugriff.
Beispiel: Ein Support-Agent soll Kundenanfragen beantworten. Dafür braucht er Zugriff auf Produktdokumentationen, freigegebene Kundendaten und frühere Supportfälle. Er braucht aber nicht automatisch Zugriff auf interne HR-Dokumente, Finanzpläne oder vertrauliche Vertragsverhandlungen.
Ja, das klingt selbstverständlich. In der Praxis entstehen solche Lücken aber schnell, wenn Agenten „erst mal zum Testen“ breite Rechte bekommen und später niemand mehr aufräumt.
Das ist wie der berühmte temporäre Admin-Zugang. Temporär seit 2021.
Bei produktiven Agenten reicht es nicht, am Ende nur das Ergebnis zu sehen.
Du musst nachvollziehen können, was auf dem Weg passiert ist. Welche Daten wurden gelesen? Welche Tools wurden aufgerufen? Welche Entscheidungen wurden getroffen? Wo wurde eine menschliche Freigabe eingeholt? Wo ist der Agent vielleicht in eine Schleife geraten? Und warum hat er ausgerechnet diesen einen Weg gewählt?
Observability ist bei Agenten die Taschenlampe im Keller.
Ohne Protokollierung und Monitoring entsteht eine Blackbox. Und Blackboxen sind in Unternehmen selten beliebt, außer bei Zauberern oder Flugzeugen.
Für IT-Entscheider bedeutet das: Agenten brauchen Logs, Events, Metriken und idealerweise Integration in bestehende Security- und Monitoring-Werkzeuge. Wenn ein Agent ungewöhnlich viele Daten abruft, neue externe Ziele kontaktiert oder plötzlich Aktionen außerhalb seines üblichen Musters ausführt, sollte das auffallen.
Und zwar nicht erst nach drei Wochen im Excel-Export. Sondern zeitnah.
Ein gutes Zeichen am Markt ist: Die großen Anbieter bewegen sich genau in diese Richtung. KI- und Agentenplattformen werden zunehmend mit Security-, Compliance-, DLP-, SIEM-, Identity- und Observability-Werkzeugen verbunden.
Das ist praktisch, denn so braucht dein Unternehmen keine komplett neue Schattenwelt für KI-Sicherheit. Stattdessen bekommst du direkt Anschluss an das, was schon funktioniert.
Wenn Claude, Copilot, Agentforce oder andere KI-Systeme produktiv genutzt werden, müssen Security-Teams sehen können, was passiert. Sie brauchen Richtlinien, Warnungen, Auswertungen, Zugriffskontrollen und Auditierbarkeit.
KI darf nicht der neue Sonderfall werden, der isoliert nebenher läuft, weil „das gerade innovativ ist“.
Innovation ist großartig. Aber Innovation ohne Governance ist einfach nur Chaos mit besserem Branding.
Produktive Agenten brauchen klare Grenzen. Besonders wichtig sind dabei Tools, Netzwerke und externe Verbindungen.
Ein Agent, der Webzugriff hat, Dateien lesen kann, Skripte ausführen darf und mit APIs verbunden ist, kann unglaublich nützlich sein. Aber er hat damit auch eine große Angriffsfläche.
Prompt Injection, fehlerhafte Tool-Aufrufe, zu breite Netzwerkerlaubnisse oder unklare Secrets-Verwaltung machen aus einem cleveren Assistenten ein Sicherheitsrisiko.
Darum braucht es harte Leitplanken:
Welche Tools sind aktiv?
Welche externen Ziele dürfen kontaktiert werden?
Welche Aktionen brauchen Freigabe?
Wo liegen Zugangsdaten?
Wie werden Secrets geschützt?
Wie wird verhindert, dass ein Agent sensible Informationen nach außen trägt?
Das ist nicht paranoid. Das ist professionell.
Schließlich bekommt auch ein netter Kollege nicht automatisch den Generalschlüssel für alle Standorte, nur weil er freundlich fragt.
Ein häufiger Irrtum lautet: Wenn Agenten autonom arbeiten, braucht es keine Menschen mehr im Prozess.
Doch. Gerade dann!
Der Punkt ist nicht, jeden kleinen Schritt manuell abzunicken. Dann hätten wir nur eine sehr teure Klickmaschine gebaut.
Der Punkt ist, sinnvolle Freigabepunkte zu definieren.
Ein Agent darf Daten analysieren, eine Empfehlung schreiben und einen Änderungsvorschlag vorbereiten. Aber bevor er produktive Systeme verändert, Kundendaten exportiert, Verträge verschickt oder Berechtigungen anpasst, sollte ein Mensch draufschauen.
Nicht aus Misstrauen gegenüber KI, sondern aus gesundem Menschenverstand.
Wir lassen ja auch keinen neuen Mitarbeitenden am ersten Tag allein das Firewall-Regelwerk umbauen. Selbst wenn er sagt, er habe da „ein gutes Gefühl“.
KI-Agenten sind auch eine Kostenfrage.
Wenn Agenten lange laufen, viele Modellaufrufe machen, Daten verarbeiten, externe Tools nutzen oder Workflows mehrfach wiederholen, entstehen Kosten. Mal sichtbar, mal weniger sichtbar. Und wer Cloud kennt, weiß: „weniger sichtbar“ ist kein gutes Zeichen.
Darum gehört auch FinOps zur Agenten-Governance.
Welche Agenten laufen produktiv?
Wie oft werden sie genutzt?
Welche Modelle verwenden sie?
Welche Workflows sind teuer?
Wo gibt es Schleifen oder unnötige Wiederholungen?
Welche Teams verursachen welche Kosten?
Gibt es Budgets, Limits und Reports?
Sonst passiert mit Agenten das, was in der Cloud schon oft passiert ist: Alle freuen sich über die neue Freiheit, bis die Rechnung kommt und plötzlich sehr viele Menschen ganz still auf ihre Tastatur schauen.
KI-Agenten sind kein reines Technikthema. Sie betreffen Prozesse, Verantwortung, Risiko, Kosten, Compliance und Zusammenarbeit.
Deshalb sollten IT-Entscheider das Thema nicht erst dann auf die Agenda setzen, wenn der erste Fachbereich schon fünf Agenten produktiv nutzt, drei davon niemandem gehören und einer „Test_final“ heißt.
Jetzt ist der richtige Zeitpunkt, um Leitplanken zu bauen.
Gute Governance ist Ermöglicher, denn sie sorgt dafür, dass mehr sicher möglich ist.
Genau wie bei Cloud und SaaS: Wer klare Regeln hat, kann schneller skalieren, weil nicht jede Entscheidung wieder bei null beginnt.
Der erste Schritt ist ein ehrlicher Überblick. Welche KI-Tools und Agenten werden bereits genutzt? In welchen Fachbereichen? Mit welchen Daten? Mit welchen Rechten? Über welche Plattformen?
Danach braucht es klare Kategorien. Ein Agent, der Texte zusammenfasst, ist anders zu bewerten als ein Agent, der Änderungen in Produktivsystemen ausführen kann. Nicht jeder Use Case braucht das gleiche Sicherheitsniveau. Aber jeder produktive Use Case braucht ein bewusstes Sicherheitsniveau.
Wichtig sind außerdem Standards für Identität, Berechtigungen, Datenzugriff, Logging, Freigaben, Tool-Nutzung und Kostenkontrolle. Diese Standards sollten nicht irgendwo in einem 80-seitigen PDF wohnen, das nur bei Audits geöffnet wird. Sie müssen praktisch anwendbar sein.
Und ja: Es braucht technische Umsetzung und Verantwortung. Wer betreibt den Agenten? Wer prüft seine Rechte? Wer bewertet Risiken? Wer reagiert bei Auffälligkeiten? Wer entscheidet, wann ein Agent produktiv gehen darf?
Agenten sind kein digitales Haustier ohne Namensschild. Sie brauchen einen Besitzer.
Die gute Nachricht: Unternehmen müssen das Rad nicht neu erfinden.
Viele Prinzipien kennen wir aus Cloud, SaaS und Microsoft 365 bereits:
Identität sauber verwalten.
Rechte begrenzen.
Daten klassifizieren.
Zugriffe protokollieren.
Security integrieren.
Kosten sichtbar machen.
Verantwortlichkeiten klären.
Prozesse regelmäßig überprüfen.
Neu ist vor allem, dass Agenten aktiver handeln als klassische Software. Deshalb müssen die Leitplanken konsequenter sein.
KI-Agenten können enorme Mehrwerte schaffen. Sie können Teams entlasten, Prozesse beschleunigen und Wissen besser nutzbar machen. Aber sie brauchen einen Rahmen, der zum Unternehmen passt.
Denn am Ende wollen wir keine KI, die heimlich macht, was sie will. Wir wollen digitale Unterstützung, die zuverlässig hilft, nachvollziehbar arbeitet und sicher in unsere IT-Landschaft passt.
Oder bildlich: Der Agent darf gerne Kaffee kochen. Aber bitte nicht gleich die ganze Küche renovieren.