Agentic AI: Wenn KI-Systeme eigenständig handeln

Agentische KI-Systeme führen Aufgaben nicht mehr nur aus, wenn sie gefragt werden. Sie planen, handeln und korrigieren sich eigenständig. Für IT-Sicherheitsverantwortliche verschiebt das die Risikolandschaft grundlegend.

Was Agentic AI von herkömmlicher KI unterscheidet

Der Begriff „Agentic AI" beschreibt KI-Systeme, die über reine Text- oder Bildgenerierung hinausgehen. Ein agentisches System nimmt ein Ziel entgegen, zerlegt es in Teilaufgaben, führt diese eigenständig aus und passt seinen Kurs an, wenn Hindernisse auftreten. Die drei Kernmerkmale sind: Autonomie (eigenständige Entscheidungen), Werkzeugnutzung (Zugriff auf externe Systeme und APIs) und Persistenz (Aufgaben über längere Zeiträume hinweg verfolgen).

Der Unterschied zu einem Chatbot ist strukturell. Ein Chatbot reagiert auf eine Eingabe und liefert eine Antwort. Der Interaktionszyklus ist damit abgeschlossen. Ein agentisches System hingegen öffnet einen Handlungszyklus: Es liest E-Mails, recherchiert im Web, erstellt Dokumente, verschickt Nachrichten und bucht Termine, ohne dass der Nutzer jeden Einzelschritt autorisiert. Freilich verschiebt sich damit auch die Verantwortung: von reaktiver zu proaktiver KI, die eigenständig Entscheidungsketten auslöst.

Zwei Architekturmodelle im Vergleich

Die aktuelle Marktentwicklung zeigt zwei grundsätzlich verschiedene Ansätze für agentische Systeme:

Fünf Risikokategorien agentischer Systeme

1. Unkontrollierter Systemzugriff

Agenten benötigen weitreichende Berechtigungen, um nützlich zu sein. Ohne granulares Scoping können sie auf Daten zugreifen, die für die jeweilige Aufgabe nicht relevant sind. Das Prinzip der minimalen Rechte (Least Privilege) wird bei agentischen Systemen zur Pflicht.

2. Prompt Injection und Manipulation

Agentische Systeme verarbeiten Inhalte aus externen Quellen (E-Mails, Webseiten, Dokumente). Ein Angreifer kann schädliche Anweisungen in diese Inhalte einbetten, die der Agent als legitime Instruktionen interpretiert. Diese „Indirect Prompt Injection" ist bei autonomen Systemen besonders gefährlich, weil der Nutzer die Ausführung nicht in Echtzeit überwacht.

3. Datenabfluss und Schatten-KI

Agenten, die eigenständig auf Cloud-Dienste zugreifen, können sensible Unternehmensdaten in Umgebungen übertragen, die nicht vom Unternehmen kontrolliert werden. Die Kombination aus agentenbasiertem Zugriff und fehlender Sichtbarkeit erzeugt eine neue Dimension von Schatten-KI.

4. Scraping und Anti-Bot-Bypass

Die jüngste Debatte um Scrapling, ein Tool, das Cloudflare-Turnstile-Captchas automatisiert löst, zeigt, wie agentische Systeme als Multiplikator für Web-Scraping wirken. Die Kombination aus autonomer Orchestrierung und Anti-Bot-Umgehung senkt die Eintritts­hürden für massenhaftes, schwer detektierbares Crawling. Daraus folgen absehbar Konflikte um Terms of Service, Datenbankrechte und DSGVO.

5. Compliance-Lücken durch Geschwindigkeit

Agentische Systeme verbreiten sich schneller als Governance-Zyklen. Der EU AI Act (Art. 50) verlangt ab August 2026 eine vollständige Inventarisierung eingesetzter KI-Systeme. Zumal sich agentische KI nur schwer nachträglich erfassen lässt, riskieren Unternehmen ohne frühzeitige Kontrolle Haftungsfolgen – sowohl regulatorisch als auch zivilrechtlich.

Governance-Framework für agentische KI

Unternehmen, die agentische Systeme produktiv nutzen wollen, benötigen ein strukturiertes Governance-Framework. Die gute Nachricht: Die methodischen Grundlagen existieren bereits. In der Beratungspraxis zeigt sich, dass Organisationen mit einem bestehenden ISMS die Integration agentischer Systeme deutlich schneller umsetzen als Unternehmen ohne etablierte Sicherheitsprozesse.

1. Inventarisierung und Klassifikation: Jedes agentische System – ob lokal oder cloudbasiert – muss in ein KI-Inventar aufgenommen und nach Risikoklasse klassifiziert werden. Ein AIMS nach ISO 42001 liefert den methodischen Rahmen. Gleichwohl reicht eine einmalige Erfassung nicht aus: Agenten ändern sich schneller als klassische Software.
2. Zugriffsmanagement: Agenten müssen denselben Zugriffskontrollprinzipien unterliegen wie menschliche Nutzer: Least Privilege, rollenbasierte Berechtigungen, regelmäßige Rezertifizierung. Zusätzlich brauchen sie Action-Approvals für kritische Operationen – ein Konzept, das OpenClaw inzwischen in seinen Release Notes v2026.2.25 als „Exec-Approval-Bindings" implementiert hat.
3. Mehrschichtige Erkennung: Die Kombination aus CASB, DNS-Filterung, DLP und EDR bildet ein Erkennungsnetz, das sowohl lokale als auch cloudbasierte Agenten erfasst. Entscheidend ist die Korrelation der Signale.
4. Kosten- und Aktionsgrenzen: Budget-Limits (wie bei Perplexity Computer) und Rate-Limits (wie bei OpenClaw v2026.2.25) sind nicht nur Kostenkontrollen, sondern Sicherheitskontrollen. Unkontrollierte Autonomie ist ein Risiko, das sich sowohl in Rechnungen als auch in Sicherheitsvorfällen manifestiert.
5. Regelmäßige Neubewertung: Der KI-Agent-Markt bewegt sich in Wochen. Governance-Frameworks müssen indes agiler sein als klassische ISMS-Review-Zyklen. Quartalsweise Neubewertung der eingesetzten Systeme und ihrer Berechtigungen ist ein Minimum.

Autonomie braucht Architektur

Agentische KI ist keine Zukunftsmusik. OpenClaw, Perplexity Computer und zahlreiche weitere Systeme zeigen, dass KI-Agenten bereits heute auf Firmengeräten und in Cloud-Umgebungen laufen. Die Frage ist nicht, ob Unternehmen agentische KI nutzen werden, sondern ob sie es kontrolliert tun.

Die Antwort liegt in der Kombination aus bestehendem ISMS und spezifischer KI-Governance. Wer die Grundlagen der Informationssicherheit beherrscht – Risikoanalyse, Zugriffskontrolle, Monitoring – und sie auf agentische Systeme ausdehnt, ist besser vorbereitet als die Mehrheit. Denn die größte Bedrohung durch Agentic AI ist nicht die Technologie selbst. Es ist die Governance-Lücke zwischen dem, was möglich ist, und dem, was kontrolliert wird.

---

Weiterführend