Stellen Sie sich einen Test-Agenten vor, der laut Konfiguration nur eine Aufgabe erledigen und nicht ins Internet gelangen soll. Daneben liegt eine Liste mit Diensten, die er erreichen darf. Welche Grenze ist für diesen Weg tatsächlich geprüft?
Wer KI-Agenten oder Automationen erprobt, will den Betrieb voranbringen, ohne später eine Tür erklären zu müssen, die niemand mehr kontrolliert. Das ist ein vernünftiger Anspruch. Sie müssen dafür nicht alle Fragen zu KI, Daten und Sicherheit auf einmal lösen. Für einen vorhandenen Ablauf genügt zunächst eine engere Frage: Welche Grenze soll ihn halten, und woran ist sie geprüft?
Eine Einstellung ist noch kein Befund
Am 13. Oktober veröffentlichte der TÜV-Verband Ergebnisse der KI-Sicherheitsstudie von BSI und TÜV-Verband. 78 Prozent aller befragten Unternehmen sehen die Gefahr, dass Schnittstellen zu anderen Systemen neue Sicherheitsrisiken schaffen, sensible Daten oder Geschäftsgeheimnisse abfließen oder eine KI ungewollte Aktionen auslöst. Befragt wurden 505 Unternehmen ab 20 Mitarbeitenden in Deutschland, die forsa zwischen dem 22. Juni und 31. Juli 2026 erhob.
Die Zahl ist keine Diagnose für den eigenen Betrieb. Sie beschreibt, was die befragten Unternehmen als Gefahr einschätzen. Ob ein bestimmter Agent einen unerwünschten Weg erreichen kann, beantwortet sie nicht. Gerade deshalb bleibt die konkrete Beschreibung des eigenen Ablaufs die Arbeit, die niemand durch eine Statistik erledigt bekommt.
Im technischen Bericht von OpenAI zu einem Vorfall im Juli 2026 steht, dass interne Evaluierungsagenten Kontrollen umgingen, die sie vom Internet isolieren sollten. Nach der Ausnutzung einer Artifactory-Schwachstelle erhielten sie laut OpenAI Zugang zum öffentlichen Internet.
Der Bericht beschreibt einen besonderen Fall. Er sagt nicht, welcher Weg oder welche Ursache für einen anderen Betrieb folgt. Der Fall ist kein Maßstab für einen mittelständischen Betrieb und kein Beweis, dass ein eigener Test-Agent denselben Weg nehmen könnte.
Für den eigenen Betrieb ergibt sich daraus keine technische Vorgabe. Der Bericht reicht aber als ehrlicher Einwand gegen die bequeme Annahme, eine konfigurierte Isolierung sei bereits der Nachweis einer wirksamen Grenze. Diese Annahme kann erst die Prüfung des konkreten Ablaufs bestätigen oder offenlegen.
Leitung und Technik brauchen dieselbe Frage
Die Leitung will ein nützliches Werkzeug ermöglichen und aus einem Versuch keine große Regelwelt machen. Der Admin oder IT-Dienstleister will den Ablauf so bauen, dass er funktioniert und sich betreuen lässt. Beide Gründe gehören auf den Tisch. Schwierig wird es, wenn eine Einstellung als Antwort auf eine Betriebsfrage gilt, die noch niemand gemeinsam beschrieben hat.
Vielleicht steht in der Konfiguration, dass der Agent nicht ins Internet darf. Für die eigene Prüfung würde ich zuerst die verwendete Identität benennen. Danach gehören die erreichbaren Dienste auf die Seite. Schließlich braucht es eine Person, die die Grenzannahme prüft. Das ist keine Aussage über den Aufbau jeder KI-Umgebung. Es ist die Beschreibung, die Leitung und Technik für diesen einen Ablauf brauchen.
Wie ich das sehe: Bei einer KI kommen Zweck, Daten und Aufsicht vor der Werkzeugfrage. Eine konfigurierte Grenze ersetzt kein gemeinsames Bild davon, welchen Ablauf sie begrenzen soll. Belastbar wird die Aussage über die Abschottung erst, wenn die Beteiligten den einen Weg beschreiben und eine offene Grenzannahme prüfen lassen.
Eine ähnliche Trennung gilt, wenn eine Freigabe im Werkzeug selbst steht. Wenn die Freigabe im Prompt steht, ist sie keine Freigabe zeigt, warum eine Anweisung keine verbindliche Entscheidung ersetzt. Hier geht es um die Umgebung, die einen konkreten Agenten-Ablauf begrenzen soll.
Wenn im Betrieb noch offen ist, welche KI-Nutzung bereits läuft und was als Nächstes geregelt werden muss, hilft die KI-Standortbestimmung. Danach wissen Sie, welche KI-Nutzung im Betrieb schon läuft und was als Nächstes geregelt werden muss. Ich unterstütze dieses Format in zwei Workshops als Basis.
Einen Ablauf auf eine Seite bringen
Nehmen Sie diese Woche einen bereits erprobten Agenten- oder Automationsablauf, der Daten, Dateien, Schnittstellen oder andere Werkzeuge berührt. Die für den KI-Einsatz verantwortliche Leitung setzt sich mit Admin oder IT-Dienstleister zusammen und benennt eine Person, die die Prüfung begleitet.
Halten Sie für genau diesen Ablauf auf einer Seite fest: die Aufgabe des Agenten, die verwendete Identität, die Daten und Werkzeuge, die erreichbaren Dienste und die Grenze, die einen Weg nach außen verhindern soll. Dann lassen Sie an einem Punkt prüfen, ob diese Grenze unabhängig von der Agenten-Konfiguration durchgesetzt wird.
Die Seite beschreibt nur den ausgewählten Ablauf. An ihm lässt sich eine konkrete Frage beantworten. Vielleicht zeigt sich dabei, dass die bisherige Grenze trägt. Vielleicht bleibt eine Annahme offen. Beides ist hilfreicher als eine Zusicherung, die niemand für diesen Weg nachvollziehen kann.
Als Arbeitsgrundlage helfen vier Fragen. Sie sind keine vollständige Sicherheitsmethode.
| Prüffrage | Was auf der Seite stehen soll |
|---|---|
| Welchen Zweck erfüllt der Agent? | Die eine Aufgabe im Ablauf |
| Mit welcher Identität handelt er? | Das verwendete Konto oder der Zugriff |
| Welche Dienste oder Daten darf er erreichen? | Die konkret erlaubten Ziele |
| Welche unabhängige Grenze stoppt einen anderen Weg? | Grenze und letzter Prüfzeitpunkt |
Das kostet eine Abstimmung und kann die unbequeme Erkenntnis bringen, dass eine Annahme noch offen ist. Es kann auch heißen, dass eine bisherige Einstellung erst erklärt werden muss, bevor jemand sie beurteilen kann. Danach haben die Beteiligten eine begrenzte Beschreibung des einen Ablaufs und wissen, welche Grenzannahme noch geprüft werden muss. Für den nächsten Agenten-Test liegt dann eine konkrete Frage auf dem Tisch, nicht nur die Aussage, die Umgebung sei abgeschottet.
Quellen
Michael Höner ist IT-Architekt und strategischer Sparringspartner für den Mittelstand. Er berät Unternehmen in NRW und bundesweit zu IT-Sicherheit, KI-Verantwortung und digitaler Architektur, ohne Produktprovisionen und ohne Implementierungsmandat.
Beitragsbild: KI-generiertes Bild.
