KI-Agenten & Sicherheit

Cyber Security im Agentenzeitalter: Was sich ändert, wenn KI selbst handelt

Von Wladimir Neuberger · Aktualisiert

Die kurze Antwort

KI-Agenten verändern Cyber Security, weil sie nicht nur antworten, sondern handeln: Sie lesen fremde Inhalte, rufen Werkzeuge auf und nutzen Zugangsdaten. Angreifer müssen keinen Server mehr knacken, es genügt, den Agenten umzulenken. Wirksam schützen drei Dinge: begrenzte Rechte, geprüfte Anbindungen und menschliche Freigabe bei Aktionen, die sich nicht rückgängig machen lassen.

Was ein Agent anders macht als ein Chatbot

Ein Chatbot beantwortet Fragen. Ein Agent verfolgt ein Ziel: Er plant Schritte, merkt sich Zwischenergebnisse, ruft Werkzeuge auf und handelt dabei mit den Rechten, die ihm jemand gegeben hat. Genau diese Kombination macht ihn nützlich — und angreifbar. Der Schaden eines Fehlers oder Angriffs ist nicht mehr auf eine falsche Antwort begrenzt, sondern reicht so weit wie alles, was der Agent erreichen und auslösen kann.

Die OWASP-Initiative für generative KI hat das aufgegriffen. Nach der Liste der zehn größten Risiken für Anwendungen mit Sprachmodellen (Ausgabe 2025) veröffentlichte sie am 9. Dezember 2025 erstmals eine eigene Liste für agentische Anwendungen. Sie behandelt Systeme, die planen, Speicher nutzen, Werkzeuge aufrufen und mit übertragener Befugnis auf andere Systeme einwirken.

Die Risiken in drei Fragen sortiert

Die Zehn-Punkte-Liste ist nützlich, aber schwer zu merken. Für die Praxis genügt es, drei Fragen zu stellen. Jede entspricht einem Ratgeber in dieser Reihe.

  • Was liest der Agent? Jede Webseite, E-Mail, jedes Dokument und jeder Tool-Rückgabewert kann Anweisungen enthalten, die der Agent für echte Aufträge hält. Das ist Prompt Injection; es steht in der OWASP-Liste für Sprachmodelle an erster Stelle (LLM01:2025).
  • Was darf der Agent? Je mehr Funktionen, Rechte und Eigenständigkeit ein System bekommt, desto größer der Schaden bei Fehlverhalten (LLM06:2025, „Excessive Agency“). In der Agenten-Liste kommen Identitäts- und Rechtemissbrauch sowie die Ausnutzung von Werkzeugen hinzu.
  • Womit ist der Agent verbunden? Werkzeuge, Plug-ins und Schnittstellen werden bei Agenten oft erst zur Laufzeit geladen. Die Agenten-Liste nennt die Lieferkette ausdrücklich als eigenes Risiko — etwa bösartige MCP-Server oder manipulierte Vorlagen.

Drei Grundsätze, die in jedem Projekt gelten

Die folgenden Grundsätze sind unsere Empfehlung aus dem Bau und Betrieb von KI-Agenten, keine Zitate aus den genannten Quellen. Sie lassen sich in jedem Projekt umsetzen, bevor ein Agent produktiv geht.

  • Begrenzte Rechte: Ein Agent bekommt nur die Werkzeuge und Zugriffe, die seine Aufgabe braucht — lesend, wo Lesen genügt, und mit eigenen, eng gefassten Zugangsdaten statt geteilter Administratorkonten.
  • Geprüfte Anbindungen: Jede Schnittstelle, die ein Agent nutzt, wird wie Software von Dritten behandelt: Herkunft prüfen, Versionen festlegen, Zugriff protokollieren.
  • Menschliche Freigabe bei Unumkehrbarem: Löschen, Bezahlen, Versenden an Externe und Änderungen an Zugängen verlangen eine Bestätigung. Die Hürde sitzt in der Anwendung, nicht im Prompt.

Ein Prompt ist keine Sicherheitsgrenze. Was ein Agent nicht darf, muss die Umgebung verhindern — nicht die Anweisung „bitte nicht“.

Wo Sie anfangen

  • Inventar: Welche Agenten laufen bei Ihnen, mit welchen Werkzeugen und welchen Zugangsdaten? Ohne diese Liste lässt sich nichts bewerten.
  • Rechte nachziehen: Für jeden Agenten das Minimum festlegen und alles Übrige entziehen.
  • Protokolle: Jede Werkzeug-Aktion samt Auslöser nachvollziehbar speichern, damit sich im Ernstfall rekonstruieren lässt, was passiert ist.
  • Not-Aus: Es muss einen Weg geben, einen Agenten sofort zu stoppen und seine Zugangsdaten zu sperren.
  • Von außen prüfen lassen: Wo Systeme über das Internet erreichbar sind, zeigt ein Scan, was Angreifer sehen.

Was das für Unternehmen mit Web- und Anlagentechnik heißt

Agenten kommen nicht isoliert: Sie hängen an Websites, Kalendern, CRM-Systemen und manchmal an Anlagen. Wer Agenten einsetzt, erweitert damit die Angriffsfläche seiner bestehenden Systeme. Die klassischen Aufgaben bleiben deshalb bestehen — Updates einspielen, Zugänge absichern, Fernzugriffe schützen — und kommen für die Agenten selbst noch einmal dazu.

Häufige Fragen

Was ist ein KI-Agent im Sinne der Sicherheit?

Ein System, das mit einem Sprachmodell Schritte plant, Werkzeuge aufruft und dabei mit übertragenen Rechten auf andere Systeme einwirkt. Entscheidend ist nicht das Modell, sondern was der Agent erreichen und auslösen darf.

Warum reicht eine gute Anweisung im Prompt nicht aus?

Weil ein Prompt kein Zugriffsschutz ist. Fremde Inhalte können Anweisungen enthalten, die der Agent befolgt. Was er nicht tun darf, muss die Umgebung technisch verhindern, etwa durch begrenzte Rechte und Freigaben.

Welche Liste sollte ich als Grundlage nehmen?

Für Anwendungen mit Sprachmodellen die OWASP Top 10 for LLM Applications (Ausgabe 2025), für Agenten zusätzlich die OWASP Top 10 for Agentic Applications for 2026. Beide sind frei verfügbar.

Brauche ich für den Anfang ein großes Sicherheitsprojekt?

Nein. Ein Inventar der Agenten, minimale Rechte, Protokolle und ein Not-Aus sind der sinnvollste erste Schritt und lassen sich ohne großes Projekt einrichten.

Quellen

Die Einordnung beruht auf den genannten Veröffentlichungen. Prüfen Sie bei Entscheidungen die Originalquelle.

Weiterlesen

Sie möchten wissen, wo Sie stehen?

Ein Basic Scan zeigt, wo Ihre Systeme von außen angreifbar sind — mit Festpreis und Bericht. Oder Sie lassen sich kostenlos vor neuen Lücken warnen.

Sicherheitspakete ansehen Warnungen abonnieren Kontakt aufnehmen