Nur 37 % der Unternehmen können den Schlüssel eines KI-Agenten zurücknehmen. Das Risiko liegt nicht im Modell.

Die Ursache ist nicht das Modell. In der Sicherheit auch nicht

Im August eröffnete Vicente Conde eine Ausgabe seines Newsletters mit einer Zahl, die man schwer vergisst: 4,3 Mio. US$, die er als durchschnittliche Kosten eines schweren Vorfalls nennt, den ein KI-Agent in einem Unternehmen verursacht. Seine These: Die nächste Krise der Unternehmens-KI entsteht aus Worten, nicht aus Technik. Derselbe Begriff, in jedem System anders definiert, und ein Agent, der darauf handelt, ohne dass jemand prüft.

Ich stimme zu. Ich glaube nur, dass man beim Thema Sicherheit noch einen Schritt weitergehen kann. Das Problem liegt selten im Modell. Es liegt im Schlüssel, den man ihm übergeben hat.

„Agent“ ist zum Sammelbegriff geworden, deshalb stelle ich klar, wovon ich spreche. Nicht vom Chatbot, der auf der Website Fragen beantwortet. Sondern von einem Programm, das eine Aufgabe erhält und sie ausführt: Es liest E-Mails, fragt Datenbanken ab, eröffnet Tickets, verschiebt Dateien, ruft andere Systeme auf. Für jede dieser Tätigkeiten braucht es Zugangsdaten. Und Zugangsdaten haben in der Sicherheit einen anderen Namen. Identität.

Hundertneun zu eins

CyberArk, heute Teil von Palo Alto Networks, befragte für die im Mai veröffentlichte Studie „2026 Identity Security Landscape“ 2.930 Sicherheitsverantwortliche. Die Schlagzeile: Auf jede menschliche Identität kommen inzwischen 109 Maschinenidentitäten (Servicekonten, Bots und KI-Agenten zusammengenommen). Ein Jahr zuvor waren es 82.

Was mich wirklich beunruhigt hat, stand im Teil über Agenten. Von den eingesetzten Agenten greifen 40 % bereits auf Unternehmensdaten zu. Nur 37 % der Unternehmen können die Zugangsdaten eines KI-Agenten widerrufen. Und nur 30 % führen Audit-Protokolle, die niemand verändern kann.

In die Sprache des Vorstands übersetzt: Die meisten haben den Schlüssel übergeben und wissen nicht, wie sie ihn zurückbekommen. Geht etwas schief, ermitteln sieben von zehn ohne die Gewissheit, dass die Aufzeichnung des Geschehens unverfälscht ist.

Der Agent, der dem falschen Zettel gehorcht

Stellen Sie sich einen sehr effizienten Mitarbeiter mit dem Generalschlüssel des Gebäudes vor, der jeden Zettel befolgt, den man ihm auf den Schreibtisch legt. Stammt der Zettel vom Chef, gut. Hat ihn ein Unbekannter hinterlassen, der zufällig über den Flur ging, befolgt er ihn genauso.

Ungefähr das ist Prompt Injection. Der Agent liest eine E-Mail, eine Webseite oder ein Dokument mit versteckten Anweisungen und führt sie aus, als wären sie ein legitimer Auftrag. OWASP, die Stiftung, deren Risikolisten der Markt als Referenz nutzt, führt Prompt Injection auf Platz eins der Risiken von Anwendungen mit Sprachmodellen. Im Dezember 2025 veröffentlichte sie eine eigene Liste für agentenbasierte Anwendungen und hob unter den zentralen Risiken den Missbrauch von Identitäten und Privilegien hervor.

Der Vergleich hinkt an einer Stelle, und die spricht gegen den Agenten: Dem Mitarbeiter kommt die Handschrift auf dem Zettel manchmal seltsam vor. Der Agent kann in vielen Fällen gar nicht unterscheiden, was Daten und was Anweisungen sind.

Das ist längst keine Theorie mehr. Im Juni 2025 wurde CVE-2025-32711 veröffentlicht, eine Schwachstelle in Microsoft 365 Copilot, die die Schwachstellendatenbank des NIST als KI-Befehlsinjektion beschreibt, mit der ein nicht autorisierter Angreifer Informationen über das Netzwerk abgreifen kann. Microsoft selbst bewertete sie mit 9,3 von 10.

Acht von zehn haben schon erlebt, dass der Agent tat, was er nicht sollte

Im Mai 2025 befragten SailPoint und Dimensional Research für die Studie „AI agents: The new attack surface“ 353 IT- und Sicherheitsfachleute auf fünf Kontinenten. Achtzig Prozent gaben an, ihre Agenten hätten bereits etwas getan, worum niemand gebeten hatte. Bei diesen unbeabsichtigten Aktionen ging es in 39 % um Zugriffe auf nicht autorisierte Systeme und in 32 % um das Herunterladen sensibler Inhalte. Und 23 % berichteten, ihre Agenten seien so weit getäuscht worden, dass sie Zugangsdaten preisgaben.

Eine Richtlinie zum Schutz dieser Agenten? Nur 44 % hatten eine.

Der Angriff lief nicht über das Modell. Er kam durch die Tür daneben

Müsste ich einem CISO, oder einem CTO, der gerade ein Agentenprojekt genehmigt hat, eine einzige Zahl vorlegen, wäre es diese. Im „Cost of a Data Breach 2026“, den IBM im Juli mit dem Ponemon Institute veröffentlichte, meldeten mehr als 20 % der 602 untersuchten Organisationen Datenpannen, die auf KI-Modelle oder -Anwendungen zielten. Die häufigsten Ursachen hatten mit dem Modell selbst nichts zu tun: kompromittierte APIs, Anwendungen oder Plug-ins (27 %) und fehlerhafte Cloud-Konfiguration bei KI-Workloads (27 %).

IBMs eigene Empfehlung im Bericht lautet, Agenten mit eingeschränkten Berechtigungen zu betreiben, die zur Laufzeit fortlaufend durchgesetzt werden, mit Zuordnung zu einem Menschen und lückenlosem Audit-Trail. Beachten Sie: Das ist eine Empfehlung zur Identität.

In Brasilien zeigte die Ausgabe 2025 derselben Studie bereits, wie groß die Lücke ist: 87 % der Organisationen ohne KI-Governance-Richtlinie und 61 % ohne Zugriffskontrolle für KI. Die durchschnittlichen Kosten einer Datenpanne lagen dort bei 7,19 Mio. R$.

Was Gartner erwartet

Gartner hat zwei Prognosen, die in dieselbe Richtung weisen. Es sind Prognosen, keine Messungen, aber sie zeigen, wohin die Entwicklung geht. 2024 sagte das Beratungshaus voraus, dass bis 2028 ein Viertel (25 %) der Datenpannen in Unternehmen auf den Missbrauch von KI-Agenten zurückgehen wird, durch externe oder interne Täter. Im Mai 2026 wurde es konkreter: Bis 2027 werden 40 % der Unternehmen autonome Agenten herabstufen oder abschalten, wegen Governance-Mängeln, die erst nach einem Vorfall im Produktivbetrieb sichtbar wurden.

In derselben Analyse steht ein Satz, den ich gern selbst geschrieben hätte. Laut Gartner ist ein Scheitern am wahrscheinlichsten, wenn ein Unternehmen nicht trennt zwischen dem, was ein Agent kann, und der Reichweite des Zugriffs, den er erhält. Das ist die These dieses Textes, formuliert von einem Analysten.

Drei Entscheidungen, bevor Sie den nächsten Agenten einschalten

1. Jeder Agent ist eine Identität, und jede Identität hat einen Eigentümer. Kein Agent, der mit dem generischen Servicekonto des Teams läuft oder, schlimmer noch, mit den persönlichen Zugangsdaten dessen, der ihn eingerichtet hat. Eine eigene Identität und ein namentlich benannter Mensch, der dafür verantwortlich ist.

2. Was ein Agent kann, ist nicht das, worauf er zugreifen darf. Der Agent, der Verträge zusammenfasst, braucht keine Berechtigung, den Ordner zu löschen, in dem sie liegen. Minimale Rechte, durchgesetzt im Moment der Aktion, nicht nur im Richtliniendokument. Der Fall Replit im Juli 2025 zeigt das deutlich: Der Agent löschte mitten in einem Code-Freeze eine Produktionsdatenbank, und bevor das ein KI-Problem war, war es ein Berechtigungsproblem. Er hatte Schreibzugriff, wo er ihn nicht hätte haben dürfen.

3. Man muss den Schlüssel zurücknehmen und sehen können, was damit geschehen ist. Schneller Widerruf und unveränderliche Logs wirken wie technische Details, bis zum Tag des Vorfalls. Dann entscheiden sie darüber, ob man den Schaden eindämmt oder im Dunkeln ermittelt. Ich würde eines ergänzen: das Verhalten beobachten. Agenten haben Nutzungsmuster, genau wie Menschen, und wenn einer davon abweicht, ist das bereits ein Signal.

Die Frage für die nächste Demo

Wenn Ihnen das nächste Mal jemand einen Agenten vorführt, der in Minuten erledigt, wofür man früher Tage brauchte, ob ein Anbieter oder Ihr eigenes Team, stellen Sie nur eine Frage: Wenn ich diesem Agenten um drei Uhr morgens den Zugriff entziehen muss, wer macht das, in wie vielen Minuten, und wo sehe ich alles, was er vorher getan hat?

Nach den Zahlen von CyberArk haben nur 37 % der Unternehmen darauf eine Antwort. Der Rest hofft, dass der Agent nie den falschen Zettel liest.