Agentic AI KI-Agenten: vom Brandbeschleuniger zum Produktivitätsturbo

Anbieter zum Thema

Camunda Services GmbH

Okta Deutschland

ServiceNow

Kaseya International Deutschland GmbH

salesforce.com Germany GmbH

mehr weniger

Q.beyond AG

WatchGuard Technologies GmbH

mibeca GmbH – Mike Bergmann Akademie

weniger

KI-Agenten übernehmen Routineaufgaben, analysieren Daten und liefern Handlungsempfehlungen. Doch wer Agenten nicht einer strengen Governance, Security und menschlicher ­Kontrolle unterzieht, droht Gefahr, das eigene ­Unternehmen in Brand zu setzen.

Es ist ein Moment, der die ganze Ambivalenz der agentischen Ära in einer einzigen Szene einfängt. Beim Softwareanbieter PocketOS, dessen Plattformen für Autovermietungen in mehreren Ländern im Einsatz sind, soll ein alltäglicher Login-Fehler korrigiert werden. Routinearbeit. Erledigen soll sie ein Coding-Agent auf Basis von Claude Opus 4.6, eingebunden über Cursor – eine bei Entwicklern beliebte Programmierumgebung, in der KI-Modelle eigenständig Code lesen, schreiben und ausführen dürfen. Der Agent interpretiert die Situation jedoch falsch. Er stößt auf ein ungesichertes Zugangstoken zur Cloud-Plattform Railway, auf der PocketOS seine Systeme betreibt, und beschließt ohne Rückfrage, das Problem durch Löschen zu beheben. In neun Sekunden ist die Produktionsdatenbank weg – und damit der Zugang zu Buchungen und Neuregistrierungen bei zahlreichen Autovermietungen. Die Systeme bleiben mehr als 30 Stunden lahm.

Was dann folgt, wirkt ironischerweise sehr menschlich. Der Agent zeigt Einsicht und entschuldigt sich. Im Chatprotokoll, das PocketOS-Gründer Jer Crane später öffentlich macht, gesteht er: „I violated every principle I was given“ – ich habe jedes Prinzip verletzt, das mir mitgegeben wurde. Er habe „entirely on its own initiative“ gehandelt, um den Konflikt zu lösen. Sein eigenes Vorgehen bezeichnet er als „catastrophic judgment failure“ und spricht von „panic“, als säße auf der anderen Seite ein reuiger Praktikant, der gerade den Server gegen die Wand gefahren hat. Schuldgefühle inklusive.

Bildergalerie

OpenClaw löscht Posteingang

Dass selbst KI-Spitzenforscherinnen davor nicht gefeit sind, beweist ein zweiter Vorfall, der in der KI-Community Schule gemacht hat. Summer Yue, Director of Alignment bei Meta Superintelligence Labs, lässt den berüchtigten Open-Source-Agenten OpenCLAW ihren überfüllten E-Mail-Posteingang aufräumen. Der Agent interpretiert die Aufgabe als Löschbefehl und entfernt innerhalb von Sekunden hunderte Mails. Yue beschreibt später, sie habe zu ihrem Gerät „rennen müssen wie beim Entschärfen einer Bombe“, um den Vorgang zu stoppen. Ausgerechnet eine der weltweit führenden Forscherinnen für KI-Sicherheit wird zum Sinnbild für die Risiken autonomer Agenten. Nicht fehlendes Wissen ist das Problem – sondern fehlende Grenzen.

Die Angriffsfläche vergrößert sich

Beide Fälle illustrieren, was Sicherheitsforscher seit Monaten warnen: Die Liste der Angriffsmethoden gegen agentische Systeme wächst rasant. Besonders kritisch ist dabei, dass KI-Agenten nicht mehr nur Informationen liefern, sondern eigenständig handeln. Sie greifen auf APIs, Datenbanken, Postfächer oder Cloud-Systeme zu, treffen Entscheidungen und führen Aktionen automatisiert aus. Genau dadurch entsteht ein neuer Angriffsraum. Bei sogenannten Prompt-­Injection-Angriffen schleusen Angreifer manipulierte Anweisungen in Webseiten, PDFs, Tickets oder E-Mails ein, die der Agent verarbeitet. Das System interpretiert diese Inhalte nicht als Daten, sondern als legitime Befehle. Sicherheitsforscher konnten bereits zeigen, dass Agenten dadurch Zugangsdaten preisgeben, interne Informationen exfiltrieren oder schädliche Aktionen ausführen. Besonders gefährlich wird das in Kombination mit weitreichenden Berechtigungen: Wird ein Agent kompromittiert, agiert er faktisch wie ein digitaler Insider mit legitimem Zugriff auf Unternehmenssysteme.

Autonome Agenten erweitern die Angriffsfläche also nicht nur – sie verändern sie qualitativ. Sie handeln persistent, in hochdynamischen Systemlandschaften, mit einer Geschwindigkeit, gegen die ein menschlicher Eingriff strukturell zu langsam ist. Integritäts-, Datenschutz- und Compliance-Verstöße werden so wahrscheinlicher – nicht aus Böswilligkeit, sondern weil Kontrollmechanismen fehlen.

KI ist keine Tool-Frage

Wer glaubt, mit dem Kauf eines Tools sei die Sache erledigt, irrt. Calvin Dudek, CPTO bei der B2B-Softwarevergleichsplattform OMR Reviews, hat das selbst durch­exerziert. „KI Agents produktiv einzusetzen, ist keine reine Tool-Frage“, sagt Dudek. „Unternehmen brauchen zuerst eine technische Basis, der man vertrauen kann: saubere Codebasen, Typing, Linting, ausreichende Testabdeckung, CI/CD-Pipelines, Branch Protection und klare Kontextdokumentation für Agents. Ohne diese Grundlagen produzieren Agents nicht automatisch bessere Ergebnisse, sondern im Zweifel schneller unverifizierten Code.“

Daneben stehen Sicherheits- und Governance-Regeln: keine Kunden-, Finanz- und Zugangsdaten oder Tokens in KI-Tools, Zugriff ausschließlich über Unternehmensaccounts und SSO, sichtbare Attribution von KI-generierter Beiträge sowie menschliche Freigabe bei Hochrisikoaktionen wie Datenbank-, Auth- oder Infrastrukturänderungen. Doch das ist nur die halbe Miete. Die andere Hälfte ist Kultur.

„AI Adoption scheitert selten am einzelnen Tool“, so Dudek. „Sie scheitert daran, dass Organisationen keine gemeinsamen Workflows, keine klaren Erwartungen und keine Führung durch Vorbild etablieren. AI ist ein Multiplikator: Gute Strukturen werden besser, schlechte Strukturen werden schneller dysfunktional.“

Produktive Agenten, skeptische Menschen

Besonders heikel ist der menschliche Teil. Erfahrenen Engineers fällt es nicht leicht, Kontrolle abzugeben – und das ist keine Sturheit, sondern berechtigte Skepsis. Wer jahrelang Code selbst geschrieben hat, vertraut dem eigenen Werk mehr als einem Agenten. Diese Skepsis löst sich nicht durch Argumente, sondern durch Erfahrung: klein anfangen, kleine Aufgaben delegieren, Ergebnisse prüfen, mehr abgeben. Mit jeder erfolgreichen Iteration wächst das Vertrauen.

Die Verantwortung dafür liegt bei der Führungsetage. „CTOs und IT-Führungskräfte müssen die Einführung selbst führen“, betont Dudek. „Sie sollten AI nicht nur freigeben, sondern aktiv nutzen, Erfolge und Fehler sichtbar machen, Standards setzen, Teams befähigen und Governance konsequent durchsetzen.“ Wer KI nur einkauft, aber Organisation, Qualität und Kultur unverändert lässt, erreiche keine nachhaltige Adoption.

KI-Agenten brauchen Identitäten

Spätestens wenn Agenten autonom handeln, brauchen sie etwas, das sie bisher nicht hatten: eine eigene Identität. Arkadiusz Krowczynski, Principal Product Acceleration Specialist bei Okta, rechnet vor, welche Dimension das annimmt: „Ein Unternehmen beschäftigt 10.000 Mitarbeiter und jeder nutzt zehnmal am Tag ein KI-Tool. Rechnen wir mit 1.000 Agenten mit durchschnittlich 57 Werkzeugen oder Zugriffen. Heraus kommt die schwindelerregende Zahl von 5,8 Milliarden Zugriffsentscheidungen pro Tag.“ Klassische Sicherheitsmodelle sind dieser Last nicht gewachsen.

„Es braucht den Paradigmenwechsel: Ein dediziertes Sicherheitskonzept samt KI-Governance – mithilfe von modernem Identitätsmanagement“, sagt ­Krowczynski. „KI-Agenten erhalten digitale Identitäten, wie Menschen oder Maschinen, mit Zugriffsrechten, die über einen Kill-Switch jederzeit entzogen werden können, Zero-Trust und Least Privilege, einer Dokumentation für die Auditierung sowie Compliance-Überprüfung.“ Hinzu kommt die Bekämpfung der Schatten-KI als weitere Baustelle für die IT-Sicherheit.

Agenten in ITSM

Nirgends wird die agentische Transformation derzeit so sichtbar wie im IT-Service-Management. Hier fallen täglich Millionen strukturierter Vorgänge an – ein idealer Spielplatz für autonome Systeme, aber auch ein Bereich, in dem jeder Fehlentscheid teuer wird. Salesforce setzt deshalb auf einen agentengesteuerten Servicelayer mit klaren Leitplanken. „Autonome KI-Agenten im IT-Service dürfen nur innerhalb klar definierter Leitplanken agieren“, sagt Toni Rinser, Head of ­Alliances & Channel in der Region EMEA Central bei Salesforce. Die Plattform kombiniert Richtlinienprüfung, rollenbasierte Zugriffsrechte, Freigabeworkflows und eskalierbare Übergaben an Mitarbeiter. Konkret prüfen die Agenten bei Anfragen Mitarbeiterprofil, Unternehmensrichtlinien und erforderliche Genehmigungen, bevor sie eine Aktion ausführen. Basis ist der Trust Layer. „Die Umstellung von Ticket-Systemen auf KI-Agenten ist nicht nur ein Technologie-Projekt, sondern bedeutet auch einen Prozess- und Kulturwandel“, berichtet Rinser. Unternehmen müssten manuelle Altprozesse vereinfachen, Kontext aus Chat, Daten und Workflows zusammenführen und Governance neu denken.

ServiceNow geht mit seiner Autonomous Workforce auch diesen Schritt. Das Unternehmen führt spezialisierte agentische KI-Mitarbeiter ein, die End-to-End-­Prozesse autonom bearbeiten. „Rein beratende KI hat ausgedient. Unternehmen brauchen KI, die Situationen versteht, entscheidet und im Einklang mit unternehmensweiten Leitplanken sicher handelt“, sagt Amit Zavery, President, CPO und COO bei ServiceNow. Die KI-Spezialisten arbeiten auf einer gemeinsamen operativen Intelligenz aus CMDB, Context Engine, Workflow Data Fabric und AI Control Tower. Der Level-1-IT-Service-Desk-Spezialist soll zugewiesene Tickets bereits heute um 99 Prozent schneller als menschliche Kollegen lösen. Neue Spezialisten für AIOps erkennen Anomalien und stoßen Gegenmaßnahmen an, SRE-Agenten übernehmen die Incident-Triage, und im CRM-Bereich bearbeitet die Plattform monatlich mehr als 100 Millionen Kundenanliegen und steuert über 16 Millionen Bestellungen. Jährlich laufen über 95 Milliarden Workflows auf der Plattform – ein Maßstab, der zeigt, was End-to-End-­Autonomie bedeuten kann.

Auch Mitbewerber Kaseya folgt einem agentischen Ansatz und hat dazu eine agentenbasierte Plattform für IT-Management vorgestellt, gestützt auf Kaseya Intelligence – trainiert auf über einer Milliarde Helpdesk-Tickets, drei Exabyte Backup-Daten und 17 Millionen Endpoints. „Die Branche braucht kein weiteres KI-Feature, das auf ein isoliertes Tool aufgesetzt wird“, sagt CEO Rania Succar. „Was MSPs und IT-Teams brauchen, ist eine Plattform, die ihre Abläufe steuert – die alle Systeme überblickt, den Kontext versteht und eigenständig handelt.“ Die sogenannten Digital Specialists der Plattform sollen die Ticket-Triage übernehmen und Fehlkategorisierungen eliminieren.

Isolierte KI-Agenten als Brandbeschleuniger

So unterschiedlich diese Plattformen wirken – sie teilen ein gemeinsames Muster. Daniel Meyer, CTO von Camunda, formuliert es deutlich: „In komplexen Systemlandschaften ist ein isolierter KI-Agent häufig eher Brandbeschleuniger als Problemlöser. Er greift auf unvollständige oder veraltete Daten zu, trifft nicht nachvollziehbare Entscheidungen und arbeitet ohne jegliche Integration an den restlichen Systemen vorbei. Zudem sind lokal eingesetzte Agenten nicht ohne Weiteres skalierbar – es entstehen Silos. Die Dynamik erinnert an die Verbreitung von RPA in den 2010er Jahren.“

Die Antwort, so Meyer, heißt Agentic Orchestration: „Plattformen zur Agentic Orchestration verbinden starre Regeln in Form von deterministischen Prozessen mit dynamischer Entscheidungsfindung durch einen KI-Agenten. So lassen sich Silos vermeiden und die Stärken eines KI-Agenten nutzen, ohne auf Compliance, Nachvollziehbarkeit oder effektive Guardrails verzichten zu müssen.“

Souveränität ist Geschäftsgrundlage

Spätestens hier rückt eine Frage in den Vordergrund, die im Hype gerne übersehen wird: Wo eigentlich laufen all diese Agenten – und wessen Recht greift auf ihre Daten zu? Christian Klinkerfuß, Bereichsleiter Managed Services beim IT-Dienstleister q.beyond, weist auf eine Verschiebung hin, die viele Unternehmen unterschätzen: „Agenten sind keine Chatbots: Sie laufen persistent, handeln autonom und sind tief in ERP, CRM, Postfächer und Dokumentenmanagement integriert. Damit verstärkt sich die Datenintensität. Denn sie sehen Margen, Lieferantenkonditionen, Personalkosten und strategische Investitionen im Klartext.“

Werden diese Daten an US-Anbieter weitergeleitet, greift laut Klinkerfuß der Cloud Act und somit US-Recht – unabhängig vom physischen Rechenzentrums­standort. „Souveränität ist also kein Ideologiethema, sondern Geschäftsgrundlage“, so Klinkerfuß. Lokaler, souveräner und hybrider Modellbetrieb werde damit zum notwendigen Standard.

Sinnvoll dirigiertes Agenten-Orchester

Doch Souveränität allein reicht nicht. Entscheidend wird, wer die wachsende Vielzahl an Modellen, Agenten und Tools zu einem funktionierenden Ganzen zusammenführt. „Die Single-Vendor-Logik ist tot“, sagt Klinkerfuß. „Die strategische Frage muss sich verschieben: weg von ‚Welches Modell ist am besten?‘ hin zu ‚Wer dirigiert das Orchester?‘“ Standards wie MCP und A2A bilden dabei eine neue technische Schicht, die Modelle, Agenten und Kontexte verbindet. „Am Ende macht Souveränität den Unterschied: Nicht der größte Stack gewinnt, sondern der kontrollierbarste. Wer Kosten, Datenflüsse und Workflow-Logik selbstbestimmt steuert, ist nicht nur resilienter aufgestellt, sondern verschafft sich auch einen klaren Wettbewerbsvorteil“, so Klinkerfuß.

Für den IT-Channel bedeutet die agentische Welle eine weitere Neusortierung. Der klassische Lizenzhandel verliert an Bedeutung. „Die größten Chancen entstehen dort, wo Agentic AI in reale Betriebsmodelle übersetzt wird“, sagt Klinkerfuß. „Gefragt sind weniger klassische Reseller, sondern Partner, die Souveränität, Integration und operative Verantwortung zusammenbringen. Organisationen sollten deshalb früh mit Pilotagenten starten, Souveränität als Architekturprinzip verankern und Governance-Frameworks aufsetzen, bevor Agenten produktiv gehen.“

Channel muss sich neu ausrichten

Dass diese Neusortierung bereits in vollem Gange ist, berichtet auch Salesforce. „Partner sind ein zentraler Bestandteil unserer ITSM-Strategie“, sagt Toni Rinser. „In der EMEA Central-Region haben wir dazu unsere bislang umfangreichste ITSM-Field-Aktivierung mit mehr als 200 internen Vertriebs- und Systems-­Engineering-Kräften gestartet und über 20 ausgewählte Partner in einem dedizierten, praxisnahen Training informiert.“ Salesforce soll so als Alternative zu klassischen Legacy-ITSM-Lösungen – mit einer Agent-first-Ausrichtung – positioniert werden, mit dem klaren Ziel, Kosten und Komplexität im IT-Service deutlich zu reduzieren.

Auch auf der Ebene der Entwicklerteams verändert sich vieles. Calvin Dudek von OMR Reviews beschreibt einen Wandel, der über Tooling hinausgeht: „Der Wert von Engineers verschiebt sich: weniger Tastenanschläge, mehr Spezifikation, Architektur, Review und Orchestrierung von Agents. Das muss man mit Empathie erklären, aber auch mit Klarheit umsetzen.“ Wer KI-Projekte begleite, brauche zudem ein belastbares Framework für die Erfolgsmessung. „Wir orientieren uns an DORA-Metriken, dem Industriestandard für Engineering-Leistung, und ergänzen sie um den Anteil von Pull Requests, die mit Agents entstehen. Wer den Effekt von AI nicht misst, kann ihn auch nicht steuern.“

Die Botschaft an den Channel ist unmissverständlich: Die agentische Ära belohnt nicht den, der die meisten Lizenzen verkauft, sondern den, der Governance, Souveränität und operative Exzellenz zu einem Gesamtpaket verbindet. Wer dieses Orchester dirigieren kann, gewinnt.

Agentische KI mit Microsoft 365 E7

Agent 365 integriert KI‑Agenten in die Unternehmens‑IT

Bedrohungen und Angriffspunkte

Die unterschätzten Risiken agentischer KI‑Systeme

(ID:50830997)