KI-Agenten als neue Insider: Warum Unternehmen Berechtigungen laufend überwachen müssen

Kurz gesagt: Ein KI-Agent muss nicht bösartig sein, um ein Sicherheitsrisiko zu werden. Es reicht, wenn er mehr Daten, Werkzeuge oder Handlungsspielraum besitzt, als seine konkrete Aufgabe erfordert.

Was bedeutet „Agentic Insider“?

Microsoft verwendet den Begriff „Agentic Insider“, um auf eine neue Risikoklasse in Unternehmen aufmerksam zu machen: KI-Agenten werden zu aktiven Teilnehmern von Geschäftsprozessen. Sie können je nach Einsatz E-Mails lesen, Dateien durchsuchen, Anwendungen aufrufen, Ausgaben prüfen oder Änderungen in anderen Systemen anstoßen.

Das bedeutet nicht, dass ein Agent automatisch ein Angreifer ist. Das Risiko entsteht vielmehr aus der Kombination von drei Eigenschaften: Ein Agent arbeitet mit einem Modell, er erhält Zugriff auf Daten und Werkzeuge, und er kann je nach Gestaltung selbstständig mehrere Schritte nacheinander ausführen.

Wenn sich der Kontext während der Ausführung ändert oder eine Eingabe manipuliert wird, kann ein Agent eine Handlung wählen, die zwar zum allgemeinen Ziel passt, aber nicht zur Sicherheits- oder Geschäftslogik des Unternehmens.

Warum klassische Berechtigungen nicht ausreichen

Bei menschlichen Anwendern werden Zugänge häufig über Rollen, Gruppen und einzelne Freigaben verwaltet. Bei Agenten reicht diese statische Sicht allein nicht aus. Ein Agent kann innerhalb weniger Sekunden viele Datenquellen ansprechen und mehrere Aktionen ausführen.

Ein Konto mit weitreichenden Rechten bleibt deshalb auch dann riskant, wenn der Agent im Normalbetrieb nur einen kleinen Teil davon nutzt. Zusätzlich muss geprüft werden, ob ein Agent während einer konkreten Aufgabe lesen, schreiben, löschen, veröffentlichen oder externe Kommunikation auslösen darf.

Eine sichere Architektur trennt daher die Intelligenz des Modells von der Autorität über die Aktion. Das Modell kann einen Vorschlag machen. Eine unabhängige Kontrollschicht muss entscheiden, ob dieser Vorschlag im aktuellen Kontext erlaubt ist.

Vier Kontrollfragen für Unternehmen

1. Welche Agenten existieren? Für jeden Agenten sollten Zweck, Eigentümer, eingesetztes Modell, Laufzeitumgebung und verbundene Werkzeuge dokumentiert sein.
2. Welche Rechte werden wirklich benötigt? Leserechte sollten nicht automatisch Schreib- oder Löschrechte einschließen. Berechtigungen müssen zur konkreten Aufgabe passen und zeitlich begrenzt werden können.
3. Welche Aktionen benötigen eine Freigabe? Finanzielle Vorgänge, Veröffentlichungen, externe Nachrichten, Rechteänderungen und Löschungen sollten nicht ohne einen nachvollziehbaren Kontrollpunkt möglich sein.
4. Wie wird ein Fehlverhalten erkannt und beendet? Werkzeugaufrufe, Datenzugriffe und ungewöhnliche Abläufe müssen protokolliert werden. Zusätzlich braucht es abgestufte Reaktionen – von einer Einschränkung bis zum sofortigen Stoppen.

Microsofts Vorschlag: kontinuierliche Überwachung

Microsoft beschreibt mit Project Perception ein System, das Agenten im Unternehmen identifizieren, ihre Aktivitäten bewerten und ihre Handlungsmöglichkeiten dynamisch an das aktuelle Risiko anpassen soll. Dazu gehören laut Microsoft Signale aus Identität, Daten, Cloud, Endgeräten, Netzwerken und Laufzeitumgebungen.

Der Ansatz ist als Unternehmensankündigung einzuordnen. Er zeigt eine Richtung, in die sich die Sicherheitsarchitektur für Agenten entwickelt: weg von einer einmaligen Freigabe und hin zu einer laufenden Bewertung von Identität, Kontext, Aktion und Risiko.

Die zentrale Idee ist auch unabhängig von einem konkreten Microsoft-Produkt sinnvoll: Ein Agent sollte nicht dauerhaft dieselben Rechte besitzen, wenn sich Aufgabe, Datenquelle oder Risikolage verändert.

Was Unternehmen schon heute umsetzen können

• Agenten inventarisieren: Auch Test-Agenten, Automatisierungen, Bots in SaaS-Plattformen und selbst erstellte Integrationen erfassen.
• Separate Identitäten verwenden: Keine gemeinsam genutzten Administratorkonten für Agenten einsetzen. Besitzer, Zweck und Verantwortlichkeit müssen nachvollziehbar sein.
• Werkzeuge begrenzen: Ein Agent sollte nur die Funktionen sehen, die er für seine Aufgabe benötigt. Nicht benötigte Schreib-, Lösch- und Administrationsfunktionen bleiben deaktiviert.
• Schreibzugriffe schützen: Kritische Änderungen zunächst als Vorschlag vorbereiten und durch eine Person oder ein nachgelagertes Regelwerk freigeben lassen.
• Protokollierung und Stopps einplanen: Entscheidungen, Werkzeugaufrufe, Datenzugriffe und abgelehnte Aktionen müssen nachvollziehbar sein. Ein Not-Aus darf nicht vom Agenten selbst abhängen.
• Prompt Injection mitdenken: Externe Inhalte, E-Mails und Dokumente dürfen nicht automatisch als vertrauenswürdige Anweisungen behandelt werden.

Warum das auch kleine Unternehmen betrifft

Das Thema ist nicht auf große Konzerne oder eigene KI-Forschungsabteilungen beschränkt. Viele kleinere Unternehmen nutzen bereits Automatisierungen in Microsoft 365, CRM-Systemen, Helpdesks, Marketingplattformen oder Cloud-Diensten.

Die entscheidende Frage lautet nicht, ob ein Unternehmen selbst ein komplexes Modell trainiert. Entscheidend ist, ob ein externer Dienst oder eine interne Automatisierung auf Unternehmensdaten zugreifen und Aktionen auslösen kann. Auch ein scheinbar kleiner Workflow kann problematisch werden, wenn er mit zu vielen Rechten ausgestattet ist oder keine Protokolle hinterlässt.

Fazit: Vertrauen braucht technische Grenzen

KI-Agenten werden in Unternehmen nützlicher, wenn sie mehr dürfen. Genau dadurch steigt aber auch die Verantwortung für Identitäten, Berechtigungen, Datenzugriffe und Freigaben.

Die wichtigste Lehre aus der aktuellen Debatte ist deshalb nicht, dass Unternehmen auf Agenten verzichten müssen. Sie sollten Agenten so bauen und betreiben, dass das Modell nicht selbst seine Autorität festlegt. Minimale Rechte, getrennte Identitäten, laufende Überwachung, nachvollziehbare Protokolle und menschliche Freigaben schaffen die Grundlage dafür, KI produktiv und kontrollierbar einzusetzen.