AI Agent Security bedeutet, dass Agenten nur die Daten, Tools und Aktionen nutzen dürfen, die für ihre Aufgabe freigegeben sind.
Redaktion: mAItflow · Herausgeber: Masterplan Tech Solutions GmbH · Aktualisiert: 2026-08-26
Sicherheit entscheidet, ob AI Agents Pilotspielzeug bleiben oder produktiv eingesetzt werden können.
Ein KI-Agent ist Software, die nicht vertrauenswürdige Inhalte liest und anschließend handelt. Keine der beiden Hälften ist neu; die Kombination verändert das Bedrohungsmodell.
Zu weite Zugriffe. Agenten werden meist an das angebunden, was die Demo beeindruckend macht, und der Umfang wird danach selten eingeengt. Ein einziger überberechtigter Agent macht aus jeder Schwäche in der Promptverarbeitung einen Zugriff auf alles, was er erreicht.
Anweisungen, die als Inhalt ankommen. Der Agent liest Dokumente, E-Mails und Webseiten. Alles darin kann so formuliert sein, dass es wie eine Anweisung aussieht.
Nicht zuordenbare Aktionen. Läuft ein Agent unter geteilten oder menschlichen Zugangsdaten, kann das Protokoll nicht unterscheiden, was der Agent und was die Person getan hat.
Unprotokollierte Seiteneffekte. Lesen ist folgenlos. Senden, veröffentlichen, schreiben und löschen sind es nicht — und genau diese Aktionen fehlen am ehesten in einem allgemeinen Anwendungsprotokoll.
Prompt Injection ist Text in Inhalten, die der Agent liest — ein PDF, eine Termineinladung, eine Webseite, eine CRM-Notiz — so verfasst, dass das Modell ihn als Anweisung statt als Material behandelt. Dafür ist kein Zugriff auf Ihre Systeme nötig; es genügt, dass etwas, das der Agent liest, von jemand anderem verfasst wurde.
Naheliegend wäre, das Modell darauf zu trainieren, solche Anweisungen zu ignorieren. Das senkt die Rate; es beseitigt die Angriffsklasse nicht. Eine Maßnahme, die meistens wirkt, ist keine Kontrolle für eine Aktion, die nicht rückgängig zu machen ist.
Wirksam sind architektonische Maßnahmen: abgerufene Inhalte grundsätzlich als nicht vertrauenswürdig behandeln; den Agenten so eng fassen, dass eine erfolgreiche Injection wenig erreicht; unwiderrufliche und nach außen wirkende Aktionen hinter eine menschliche Freigabe legen, sodass der schlimmste Ausgang ein abgelehnter Vorschlag statt einer versendeten E-Mail ist; und alles protokollieren, damit eine Injection nachträglich erkennbar bleibt.
Geben Sie dem Agenten eine eigene Identität. Ein Agent, der unter den Zugangsdaten eines Menschen arbeitet, ist in jedem nachgelagerten Protokoll von dieser Person nicht zu unterscheiden. Das zerstört die Zuordnung und macht jede Vorfallanalyse zur Vermutung.
Rechte je Workflow vergeben, nicht je Plattform. Was ein Agent für Meeting-Zusammenfassungen braucht und was ein CRM-schreibender Agent braucht, hat kaum Überschneidung — beiden die Vereinigungsmenge zu geben ist der Weg, wie ein Rechtemodell zur Zierde wird.
Lesen und Schreiben ausdrücklich trennen. Der meiste Nutzen liegt im Lesen und Entwerfen, das meiste Risiko im Schreiben und Senden. Beides als ein Recht zu behandeln verschenkt eine einfache und große Risikominderung.
Den Umfang regelmäßig prüfen. Agentenrechte wachsen an: Ein Konnektor, der für einen Workflow ergänzt wurde, steht allen anderen offen, bis ihn jemand entfernt.
Ein brauchbares Agentenprotokoll beantwortet Monate später: welcher Agent gehandelt hat, in wessen Auftrag, welche Daten er gelesen hat, welche externe Aktion er ausgeführt hat, was er erzeugt hat und wer freigegeben hat. Weniger reicht weder für eine Prüfung noch für eine Vorfallanalyse.
Das ist nicht nur gute Praxis. Verarbeitet ein Agent personenbezogene Daten, macht die DSGVO mehreres davon zur Pflicht der einsetzenden Organisation: Artikel 5 verlangt Datenminimierung, Artikel 30 ein Verzeichnis von Verarbeitungstätigkeiten, Artikel 32 dem Risiko angemessene Sicherheit. Ist ein hohes Risiko für Personen wahrscheinlich, verlangt Artikel 35 eine Datenschutz-Folgenabschätzung — und diese Pflicht trifft die einsetzende Organisation, nicht den Plattformanbieter.
Die Aufbewahrungsdauer zählt so viel wie der Inhalt. Ein Protokoll, das nach sieben Tagen überschrieben wird, kann eine Frage aus dem nächsten Quartal nicht beantworten — und dann werden solche Fragen gestellt.
Alle Links am 26. August 2026 geprüft. Preisangaben sind Listenpreise der Anbieter zu diesem Stichtag und ändern sich; maßgeblich ist die jeweilige Anbieterseite.
Setzen Sie auf Rechte, Audit und europäische Datenkontrolle.