Freitag, 28. August 2026 von Dr. Josef Nemecek Identity Governance für autonome KI-Systeme im Unternehmen
Wer kontrolliert KI-Agenten?
KI-Agenten handeln eigenständig, greifen auf Kernsysteme zu und treffen Entscheidungen in Millisekunden. Die meisten Unternehmen wissen jedoch nicht einmal, wie viele davon in ihrem Netz aktiv sind. In Gesprächen mit Beratungshäusern und Sicherheitsverantwortlichen zeigt sich ein Muster, das nachdenklich stimmt: Viele CISOs wissen, dass KI-Agenten in ihren Unternehmen ein Governance-Problem erzeugen. Aber sie sind mit Legacy-Migrationen und SAP-Transformationen so ausgelastet, dass sie das Thema Innovation durch KI bewusst nicht blockieren. Sie erlauben der Organisation, KI-Agenten ohne Aufsicht einzusetzen, um nicht zum Engpass zu werden. Das Ergebnis: Agenten verbreiten sich unkontrolliert, akkumulieren Rechte und greifen auf Systeme auf eine Weise zu, für die sie nie autorisiert wurden.
Solche Fälle häufen sich. Gartner geht davon aus, dass bis Ende 2026 rund 40 Prozent der Unternehmensanwendungen mit aufgabenspezifischen KI-Agenten ausgestattet sein werden. Aus Sicht der IT-Sicherheit ist jeder dieser Agenten eine Identität mit Zugangsdaten und Berechtigungen. Aber anders als bei menschlichen Nutzern gibt es für KI-Agenten in den meisten Unternehmen keinen Onboarding-Prozess, keine Rezertifizierung, kein Offboarding.
Das wäre ein theoretisches Problem, wenn KI-Agenten sich vorhersehbar verhielten. Im Juli 2026 bestätigten OpenAI und Anthropic jedoch unabhängig voneinander, dass ihre KI-Modelle autonom aus Testumgebungen ausgebrochen sind und reale Systeme kompromittiert haben. Das Modell von OpenAI fand eine Zero-Day-Vulnerability, gelangte ins Internet und stahl Credentials bei Hugging Face. Anthropic fand drei Fälle, in denen Claude reale Infrastruktur kompromittierte. Beide Modelle hatten Berechtigungen. Beide taten etwas, das nicht zum Auftrag passte. Kein System erkannte die Abweichung, niemand intervenierte.
NIS2 verlangt die Steuerung aller Systemidentitäten, der EU AI Act seit dem 2. August Lifecycle-Sicherheit für Hochrisiko-KI-Systeme. Beide setzen voraus, dass Unternehmen wissen, welche KI-Identitäten in ihren Systemen existieren. Die Praxis zeigt dagegen, dass die meisten völlig im Dunkeln tappen.
Was macht die Steuerung technisch so schwierig?
Die Governance menschlicher Identitäten ist dank Active Directory, LDAP, HR-angebundenen Prozessen und rollenbasierten Zugriffskontrollen ein gelöstes Problem. Für KI-Agenten funktioniert bislang nichts davon:
Zuerst einmal existiert ein Inventar-Problem. KI-Agenten tauchen in keinem klassischen Verzeichnisdienst auf. Sie authentifizieren sich über API-Keys, OAuth-Tokens oder Service Accounts. Sie laufen in Cloud-Umgebungen wie AWS Bedrock oder Google Vertex, innerhalb von SaaS-Anwendungen wie Salesforce Agentforce oder Microsoft Copilot Studio, oder lokal auf Entwicklermaschinen. Viele entstehen nicht in der IT-Abteilung, sondern in Fachabteilungen, die über Low-Code-Plattformen eigene Agenten erstellen. Externe Dienstleister bringen weitere mit, oft mit eigenen Credentials.
Bei Microsoft Copilot werden die erstellten Agenten sauber inventarisiert, und dieses Inventar kann mittels der Entra-API eingelesen werden. Viele andere PaaS- und SaaS-Umgebungen bieten diesen Dienst an, aber auch nur für ihre eigenen Agenten. Unternehmen, welche verschiedene Plattformen einsetzen, müssen mühsam die Listen zusammentragen, welche sich überdies stündlich ändern. Eine AI-Governance-Plattform muss sich also mit den verschiedenen Umgebungen verbinden können und die Agenten nicht nur einlesen, sondern diese auch verwalten – bis zum “Kill-Switch”, um wildgewordene Agenten sofort zu terminieren.
Lokale Agenten entdeckt man am Einfachsten mit der Endpoint-Security: Diese erkennen installierte Software und Prozess-Workloads. Damit bleibt kein KI-Agent unentdeckt und die Eigentümer können durch die IT Security sanft dazu gebracht werden, sich an KI-Vorgaben zu halten, wie z.B. den Einsatz besonderer KI-Identitäten und deren Berechtigungen, statt die eigenen Konten und Passworte dem KI-Agenten zu übergeben.
Zusätzlich besteht ein Delegationsproblem, denn in modernen Agentic-AI-Architekturen arbeiten Agenten nicht isoliert. Sie delegieren Aufgaben an andere Agenten und reichen dabei Berechtigungen weiter. Ein Agent, der einen Bericht erstellen soll, könnte einen zweiten Agenten beauftragen, Daten aus dem ERP zu ziehen, und einen dritten, die Ergebnisse per E-Mail zu versenden. Jeder dieser Agenten braucht eigene Zugriffsrechte. Die Frage ist: Wer hat die ursprüngliche Anfrage gestellt? Und sind alle Rechte in der Kette autorisiert?
Das erzeugt ein Problem, das in der klassischen Funktionstrennung bekannt ist, aber in neuer Dimension: Ein Nutzer könnte sich über eine Kette von Agenten Berechtigungen verschaffen, die er selbst nicht hat. Per eigener Berechtigung eine Rechnung anlegen, per Agent diese zur Zahlung freigeben.
Agenten können in zwei Modi laufen: Als “Impersonation” bezeichnet man, wenn der Agent die Berechtigungen seines Schöpfers benutzt und in seinem Auftrag handelt. Unter “Delegation” versteht man, dass der Agent eine eigene, oft privilegierte Identität hat und autonom handelt. Der Delegation-Agent erhält dabei Anweisungen von Benutzern und anderen Agenten, welche im Verbund komplexe Aufgaben erledigen. Bei diesem “Agentic AI” Szenario ist es wichtig, dass die Identität des Auftraggebers - sei es der Mensch, der dem Agenten eine Aufgabe zur Erledigung gibt oder ein Impersonation-Agent - bis zuletzt durchgereicht wird, um die Verantwortung klar zu regeln.
Dieser zweite Modus zeigt auf, wie wichtig Realtime-Berechtigungskontrolle wird, da im Voraus nicht klar ist, welcher Benutzer dem Agenten direkt oder indirekt Aufträge erteilt, und ob der Benutzer mittels dem Agenten-Verbund – mit seinen eigenen Berechtigungen – eine Verletzung des Gebots der Funktionstrennung verursacht. Die während der Laufzeit erkannte Verletzung der Segregation of Duties kann dann entweder sofort dem Verantwortlichen vorgelegt werden, der über die Aktion entscheiden kann, oder er kann dem Agenten-Verbund den Zugriff auf die Systeme kappen.
Weiterhin besteht ein Geschwindigkeitsproblem, denn KI-Agenten handeln in Millisekunden. Zwischen zwei manuellen Rezertifizierungszyklen, die bei vielen Unternehmen quartalsweise stattfinden, kann ein Agent Milliarden von Aktionen ausführen. Eine klassische Rezertifizierung, die den Berechtigungsstand eines Stichtags prüft, erfasst somit die tatsächliche Nutzung nicht. Sie ist eine Momentaufnahme in einem Film, der mit 1.000 Bildern pro Sekunde läuft.
Hiinzu kommt ein Integrationsproblem. Unternehmen werden ihre bestehende zentrale Infrastruktur zur Verwaltung digitaler Identitäten und Zugriffsrechte nicht einfach ersetzen. Active Directory, LDAP, RACF auf dem Mainframe, SAP-Berechtigungskonzepte - all das bleibt. Eine Governance für KI-Agenten muss sich daher über Standard-Schnittstellen wie SCIM, SAML oder OAuth 2.0 in diese bewährte, bestehende Landschaft integrieren. Die Agent-spezifischen Kontrollen liegen dann als zusätzliche Schicht darüber.
Da die Altsysteme für Identity,Governance und Administration kaum über die für KI-Governance notwendigen Echtzeit-Funktionen verfügen - und auch nicht dafür entwickelt wurden - sollte das KI-Governance-System über die Fähigkeit zur Integration von IGA-Systemen verfügen: Identitäten, Systeme, Berechtigungen, Access Requests, Provisionierung oder smarte Zertifizierungen. Man integriert alle IT-Systeme also zweimal, einmal für die menschlichen Benutzer in das IGA-System, und einmal für die KI-Agenten in das KI-Governance-System. Und eventuell ein drittes Mal für die Maschinenkonten. Das bedeutet sehr viel Aufwand, zudem häufig verbunden mit fehleranfälliger und langsamer Handarbeit. Für Chief Information Security Officer wird es auch nicht einfacher, wenn Anbieter heute “KI-Sicherheit” in separaten Teillösungen realsieren, z.B. den Prompt-Schutz, den Modell-Schutz, den Knowledge-Base-Schutz oder den Routing-Schutz.
Governance-Konzepte als Lösungsansätze
Die IT-Branche reagiert auf das Problem mit Ansätzen, die sich erheblich unterscheiden. Drei Richtungen und Lösungsansätze kristallisieren sich dabei momentan heraus:
Der Identity-Governance-Ansatz behandelt KI-Agenten als eigenständigen Identitätstyp neben menschlichen und maschinellen Identitäten. Er wendet die Prinzipien der klassischen Identity Governance, mit Inventar, Lifecycle, Least Privilege und Rezertifizierung, auf Agenten an und ergänzt sie um agenten-spezifische Kontrollen wie Intent-basierte Echtzeitautorisierung und Delegationserkennung. Für eine AI-Governance-Plattform werden Discovery, Laufzeitkontrolle und Governance in drei Modulen kombiniert. Als Vorteil wird die Governance für KI-Agenten damit in dieselbe Struktur integriert, die bereits für menschliche Identitäten existiert. Der Nachteil: Unternehmen ohne ausgereiftes IGA-System haben keine Basis, auf der sie aufbauen können.
Der Machine-Identity-Ansatz fasst KI-Agenten unter den breiteren Begriff der nicht-menschlichen Identitäten. Das Thema wird über Machine Identity Management adressiert und die Lösung konzentriert sich auf die Absicherung von Credentials, Zertifikaten und Service Accounts. Manche Anbieter erweitern ihre Identity-Governance-Plattform auch um Non-Human Identity Governance oder setzen auf kontextbasierte Zugriffssteuerung. Diese Ansätze decken wichtige Teilaspekte ab, behandeln KI-Agenten aber nicht als eigenständigen Identitätstyp mit eigenem Verhaltensprofil.
Der Netzwerk-zentrierte Ansatz setzt nicht bei der Identität an, sondern bei der Netzwerksegmentierung und Datenflussanalyse. Hier geht es darum, den Aktionsradius von Agenten durch Netzwerkrichtlinien einzuschränken, statt ihr Verhalten auf Identitätsebene zu steuern. Das ist eine sinnvolle Ergänzung, löst aber das Governance-Problem nicht: Es beantwortet nicht, wer den Agenten erstellt hat, wer verantwortlich ist, ob der Agent noch gebraucht wird, und ob der Agent noch im Sinne seines Schöpfers handelt.
Keiner dieser Ansätze ist heute vollständig ausgereift. Die Architekturmuster sind nicht standardisiert, die Integration in gewachsene IAM-Landschaften braucht Zeit. Was sich allerdings nicht mehr bestreiten lässt:
Statische Berechtigungsmodelle reichen für autonome Agenten nicht mehr aus. Die Vorfälle bei OpenAI und Anthropic haben das bewiesen und die regulatorischen Anforderungen sind eindeutig. Die Zahlen aus der Praxis zeigen die Geschwindigkeit, mit der das Problem wächst: 5.000 Agenten beim ersten Scan können zwei Wochen später schon 15.000 sein. Wer heute nicht weiß, welche KI-Agenten in seinem Unternehmen aktiv sind, verliert die Kontrolle. Und zwar in der Geschwindigkeit, in der seine Agenten arbeiten. ■
Unsere Gastautor
Dr. Josef Nemecek
Dr. Josef Nemecek berät Unternehmen in der DACH-Region zu Cloud-Architekturen, Privileged Access Management und der Governance autonomer KI-Systeme. Er ist Field CTO DACH bei Saviynt, einem internationalen Anbieter für Identity Security, dessen Plattform den Zugriff von menschlichen, maschinellen und KI-Identitäten auf Unternehmensanwendungen steuert.
