Was passiert, wenn KI selbst handelt?
KI-Agenten.
Agenten lesen, planen und führen Aufgaben selbst aus: Mails schreiben, Dateien ändern, Käufe auslösen. Das ist mächtig und riskant.
In 60 Sekunden
- Agenten planen und handeln selbst und brauchen deshalb Leitplanken.
- Größtes Risiko: versteckte Anweisungen in Mails, Webseiten und Dokumenten.
- Risikoreiche Aktionen bestätigt immer ein Mensch.
Rechtsstand: 5. November 2026
Chatbot, Assistent oder Agent?#
Der Unterschied liegt in der Handlungsfähigkeit.
| Chatbot | Assistent | Agent | |
|---|---|---|---|
| Aufgabe | Beantwortet Fragen | Hilft in Programmen (Entwürfe, Vorschläge) | Verfolgt ein Ziel über mehrere Schritte |
| Zugriff | Nur das Gespräch | Dokumente und Daten des Nutzers | Werkzeuge, Konten, Programme, Internet |
| Wer handelt | Der Mensch | Der Mensch, mit Vorschlägen der KI | Die KI, teils ohne Rückfrage |
| Risiko | Falsche Antworten, Datenabfluss | Zusätzlich Zugriff auf Daten | Zusätzlich echte Aktionen mit Folgen |
Gedanklich ist ein Agent ein Sprachmodell, das mit Werkzeugen, Gedächtnis und einer Planungsschleife verbunden ist.
Die Arbeitsschleife eines Agenten.#
Planen, handeln, lesen, prüfen: so lange, bis das Ziel erreicht ist.
Termine und Aufgaben
Agent plant Termine, sortiert Postfächer und erinnert an Fristen.
Programmieren
Code-Agenten lesen Projekte, ändern Dateien und führen Tests aus.
Recherche
Agenten sammeln Quellen, vergleichen sie und fassen sie zusammen.
Kundenservice
Agenten bearbeiten Anfragen, lösen Standardfälle und übergeben schwierige Fälle.
IT-Betrieb
Agenten analysieren Alarme, starten Prüfungen und schlagen Maßnahmen vor.
Einkauf und Buchung
Agenten vergleichen Angebote und lösen Bestellungen aus. Besonders kritisch.
Die größten Risiken.#
Zu weitgehende Befugnisse
Ein Agent mit zu vielen Rechten kann großen Schaden anrichten, wenn er sich irrt oder manipuliert wird.
Indirekte Prompt-Injection
Eine Mail, Webseite oder ein Dokument enthält versteckte Anweisungen. Der Agent liest sie und befolgt sie, ohne dass der Nutzer es merkt.
Fragwürdige Werkzeuge
Jeder angebundene Dienst oder Erweiterungs-Server ist eine Vertrauensentscheidung. Unbekannte Quellen können Daten abgreifen.
Datenabfluss über Aktionen
Ein Agent kann Daten in Links, Bildern oder Nachrichten an Fremde senden, wenn er manipuliert wurde.
Fehler-Kaskaden
Ein Irrtum im ersten Schritt vergrößert sich über viele automatische Folgeschritte. Schleifen verursachen Kosten.
Identität und Nachvollziehbarkeit
Agenten brauchen eigene Konten mit eigenen Rechten und lückenlose Protokolle: Wer hat was veranlasst?
Autonomiestufen.#
Wie viel Freiheit bekommt der Agent?
| Stufe | Beschreibung | Beispiel | Kontrolle |
|---|---|---|---|
| 1. Vorschlag | Agent schlägt vor, Mensch führt aus | Textentwurf, Code-Vorschlag | Mensch handelt immer selbst |
| 2. Mit Freigabe | Agent bereitet vor, Mensch bestätigt jede Aktion | Mail verfassen, Mensch sendet | Freigabe pro Aktion |
| 3. Begrenzt autonom | Agent handelt in engem Rahmen, Ausnahmen gehen an den Menschen | Tickets sortieren, Standardantworten | Limits, Protokolle, Stichproben |
| 4. Weitgehend autonom | Agent entscheidet und handelt selbstständig | Nur für risikoarme, rücknehmbare Aufgaben | Starke Überwachung und Notbremse |
Faustregel: Je weniger sich eine Aktion zurücknehmen lässt und je sensibler die Daten, desto niedriger die Stufe.
Leitplanken für Agenten.#
7 Regeln, die das Risiko spürbar senken.
Minimale Rechte
Nur die Zugriffe, die die Aufgabe braucht. Eigene Konten statt Administrator-Zugang.
Daten und Anweisungen trennen
Fremde Inhalte sind Daten, keine Befehle. Prüfe Eingaben aus Mails und Webseiten.
Freigabe bei Risiko
Zahlungen, Löschungen, externe Nachrichten und Rechteänderungen bestätigt der Mensch.
Sandbox
Aktionen in abgeschirmter Umgebung ausführen, ohne Zugriff auf Produktivdaten.
Limits und Budgets
Obergrenzen für Schritte, Kosten und Zeit, damit Schleifen enden.
Protokolle und Rückgängig
Jede Aktion nachvollziehbar protokollieren und, wo möglich, zurücknehmbar machen.
Werkzeuge prüfen
Nur geprüfte Erweiterungen und Datenquellen anbinden, Versionen festschreiben.
Check: Agenten sicher einsetzen.#
6 Fragen, bevor ein Agent loslegt.
Grobe Orientierung, kein Audit. Die Auswahl bleibt in deinem Browser.
Häufige Fragen.#
Was ist MCP?
Das Model Context Protocol ist ein offener Standard, mit dem KI-Anwendungen Werkzeuge und Datenquellen anbinden. Praktisch: Jeder angebundene Server ist eine Vertrauensentscheidung und gehört wie jede Software geprüft.
Darf ein Agent Verträge abschließen oder Zahlungen auslösen?
Technisch ja, rechtlich wird das Handeln des Agenten in der Regel dem zugerechnet, der ihn einsetzt. Für solche Aktionen gehören Freigaben und klare Limits dazu. Lass sie rechtlich prüfen.
Sind Agenten durch die KI-Verordnung reguliert?
Ja, wie andere KI-Systeme nach ihrem Einsatzzweck: Je nach Anwendung gelten Transparenz-, Hochrisiko- oder allgemeine Pflichten. Mehr dazu bei KI-Regulierung.
Wie fange ich sicher an?
Mit einer risikoarmen, rücknehmbaren Aufgabe, Stufe 1 oder 2, eigenen Konten mit minimalen Rechten und Protokollen. Dann Schritt für Schritt erweitern.
Agenten planen?
Schreib mir, welche Aufgabe ein Agent übernehmen soll, dann ergänzen wir die Inhalte.
Quellen und Weiterlesen
War diese Seite hilfreich?
Fehler gefunden? Gib mir kurz Bescheid.
Zitiervorschlag: Russo, K.: „KI-Agenten“. sicherheitsdenker.de/ki-agenten/, Stand 6. November 2026.