Wenn KI handelt, reicht ein Ausschalter nicht.

Eine falsche Antwort lässt sich berichtigen. Eine versandte Nachricht ist bereits beim Empfänger. Eine gelöschte Datei kann fehlen, bevor jemand merkt, dass etwas schiefgeht. Wer KI Werkzeuge gibt, sollte deshalb zuerst fragen: Was darf dieses System in meinem Namen tatsächlich verändern?

Hier beginnt die Debatte über Agenten. Für diesen Artikel meinen wir damit Systeme, die für einen Auftrag mehrere Schritte planen und Werkzeuge einsetzen können. Der Begriff allein sagt noch wenig über ihr Risiko. Ein System, das Dokumente durchsucht, hat andere Möglichkeiten als eines, das Zahlungen auslösen oder Zugänge ändern darf.

Die Grenze liegt bei der Wirkung

NIST unterscheidet in seiner Arbeit zu Systemen mit Werkzeugzugriff unter anderem Funktion, Schreibzugriff, Schwere möglicher Folgen und Rücknehmbarkeit von Aktionen. Das ist eine hilfreiche Ordnung: Entscheidend ist nicht nur, wie überzeugend ein Modell spricht, sondern was seine Werkzeuge bewirken können. [2]

Unser praktischer Vorschlag beginnt mit drei Stufen. Ein Agent darf Informationen lesen. Er darf eine Änderung vorbereiten. Er darf diese Änderung ausführen. Für jeden Auftrag sollte er nur die nötige Stufe erhalten. Wer eine Rechnung prüfen lässt, muss damit noch keinen allgemeinen Zugriff auf das Bankkonto vergeben.

Ein Auftrag ist kein Generalschlüssel

Ein sinnvoller Auftrag benennt Ziel, Umfang und Grenzen. Welche Daten gehören dazu? Welche Systeme sind erreichbar? Wie lange gelten die Rechte? Welches Budget darf eingesetzt werden? Ein täglicher Rechercheauftrag braucht andere Befugnisse als die einmalige Korrektur eines Dokuments.

Das NCCoE bei NIST veröffentlichte im Februar 2026 ein Konzeptpapier im Entwurfsstatus zu Identität und Autorisierung von Software- und KI-Agenten. Im Mittelpunkt stehen Identifikation, Authentifizierung und Berechtigungen. Das Papier sammelt Beiträge für die weitere Projektplanung; es ist keine abgeschlossene allgemeine Sicherheitsnorm. [1]

Für die Praxis leiten wir daraus eine einfache Frage ab: Kann ich später feststellen, welcher Agent mit welchem Auftrag und welcher Berechtigung gehandelt hat? Ein gemeinsames Konto für Menschen und Automatisierung würde diese Zuordnung erschweren. Individuelle Zugänge helfen nur, wenn ihre Rechte auch begrenzt und widerrufbar sind.

Freigaben müssen verständlich sein

Eine Bestätigung ist wertvoll, wenn sie die konkrete Handlung zeigt: Empfänger, Inhalt, Betrag oder geänderte Dateien. Ein pauschales „Darf ich weitermachen?“ ist für einen folgenreichen Schritt zu wenig. Unsere Empfehlung: Die Person, die freigibt, muss die Wirkung erkennen können.

Bei harmlosen, gut rücknehmbaren Schritten kann ein enger Rahmen genügen. Bei Veröffentlichung, Geld oder Zugangsrechten wäre eine zusätzliche Prüfung sinnvoll. Jede einzelne Kleinigkeit bestätigen zu lassen, kann Aufmerksamkeit verbrauchen. Die Grenzen sollten daher vorab nach der möglichen Wirkung gesetzt werden.

Stoppen und aufräumen gehören zusammen

Ein Ausschalter bleibt wichtig. Er beendet aber zunächst weitere Aktivität. Für bereits ausgelöste Folgen brauchen wir zusätzlich ein Protokoll und einen Plan: Was wurde verändert? Was lässt sich zurücknehmen? Welche Betroffenen müssen informiert werden? Wer übernimmt diese Arbeit?

Unser Maßstab für einen verantwortbaren Einsatz lautet deshalb: begrenzte Rechte, nachvollziehbare Aktionen und eine zuständige Person. Ein Agent kann Arbeit abnehmen. Die Verantwortung für seinen Einsatz verschwindet dadurch nicht.

Das stärkste Gegenargument

Der stärkste Einwand lautet: Zu viele Kontrollen nehmen Agenten genau die Selbstständigkeit, die sie nützlich macht. Das ist berechtigt. Wir sollten Freigaben dort konzentrieren, wo Folgen erheblich oder schwer rücknehmbar sind. Begrenzte Autonomie kann schneller sein als eine unklare Vollmacht, die bei jedem Fehler neu verhandelt werden muss.