Agentische KI: Hohe Effizienz, hohe Gefahr

Anzeige

Künstliche Intelligenz ist in vielen Unternehmen angekommen und entwickelt sich zu einer neuen operativen Ebene digitaler Arbeit. Agentische KI markiert dabei einen neuen Wendepunkt: Die unabhängigen Assistenten liefern nicht mehr nur Antworten, sondern können selbstständig Aufgaben ausführen. Dies verspricht hohes Produktivitätspotenzial, zugleich wächst die Angriffsfläche enorm. 

Insbesondere der Druck, KI schnell zu implementieren, birgt die Gefahr, dass die Beteiligten Sicherheitsvorkehrungen, Governance und Datenschutz vernachlässigen, was massive Datenpannen und Sicherheitsverstöße zur Folge haben kann. „Für die Verantwortlichen der IT-Sicherheit ist es deshalb grundlegend, den Gefahren von unautorisierten Tools und Prozessen mit Richtlinien und Sicherheitsmaßnahmen zu begegnen.“ so Jörg von der Heydt, Regional Director DACH bei Bitdefender.

Zwischen offizieller und Schatten-KI

🔎 Jeder fünfte weltweit von Bitdefender befragte IT-Professionelle schätzt KI-Cybersicherheitsszenarien als extrem gefährlich ein (Bild: Bitdefender).

Viele Unternehmen erlauben inzwischen den Einsatz bestimmter KI-Dienste über vertraglich geregelte Business-Zugänge. Dort ist zumindest teilweise definiert, wie eingegebene Daten verarbeitet, gespeichert oder vom Training ausgeschlossen werden. Parallel dazu entsteht jedoch Schatten-KI. Mitarbeitende nutzen private Accounts, kostenlose oder nicht empfohlene Tools sowie KI-Funktionen in Anwendungen, ohne dass IT-Betrieb, Sicherheit oder Compliance davon wissen. Bisweilen ist nicht einmal den Nutzern selbst bewusst, dass eine Anwendung im Hintergrund KI einsetzt. Vertrauliche Informationen übermitteln die Agenten dann etwa unkontrolliert an externe Systeme.

Die Risiken der agentischen KI werden auf dem eigenen Rechner Wirklichkeit

Während klassische LLMs auf Eingaben reagieren, gehen KI-Agenten einen Schritt weiter. Sie erhalten Zugriff auf Werkzeuge, Dateien, Browser, E-Mail-Postfächer oder lokale Systeme. Bildlich gesprochen bekommt die KI virtuelle Hände. Ein Agent kann Daten suchen, Prozesse anstoßen, Skripte ausführen oder mit anderen Systemen interagieren. Wird er kompromittiert oder falsch konfiguriert, kann der Schaden erheblich sein. Besonders kritisch ist es, wenn Agenten auf Unternehmensgeräten laufen. Haben sie Zugriff auf Netzlaufwerke, interne Systeme oder sensible Dokumente, wird ein eigentlich produktivitätsorientiertes Tool schnell zum Einfallstor für Gefahren.

Die Gefahr durch Erweiterungen und Skills

Ein weiteres Risiko entsteht durch Community-Erweiterungen. Offene Agentensysteme erlauben häufig das Nachladen sogenannter Skills oder Plugins. Diese bringen dem Agenten neue Fähigkeiten bei, etwa E-Mails auszuwerten, Rechnungen zu analysieren oder Informationen aus bestimmten Quellen zu verarbeiten. Doch manipulierte Erweiterungen können Schadcode enthalten, Daten abgreifen oder verdeckt Aktionen ausführen.

So besteht zum Beispiel beim KI-Agenten OpenClaw das Risiko durch kostenlose Open-Source-Skills, über die Angreifer bösartigen Code einschleusen, der dann mit vollen Zugriffsrechten im Heim- oder Firmennetzwerk ausgeführt wird. Für Organisationen ist dies besonders gefährlich, denn wenn ein Mitarbeiter OpenClaw auf dem Arbeitsrechner installiert, erhält das Tool Zugriff auf alle verbundenen Netzwerklaufwerke und proprietäre Geschäftsdaten. Aufgrund der Risiken sind bereits Varianten wie NanoClaw oder PicoClaw entstanden, die in isolierten Containern laufen, um den Zugriff auf das restliche System zu verhindern. Container, Sandboxing und eingeschränkte Rechte können helfen, das Risiko durch KI-Agenten zu reduzieren. Vollständig gelöst ist das Problem jedoch nicht.

Zudem erstellt OpenClaw eine Datei namens soul.nd, die ein Profil des Nutzers speichert. Darin werden Vorlieben, Verhaltensweisen und sogar emotionale Zustände wie Introvertiertheit oder Ängstlichkeit festgehalten. Diese Daten sind in der Masse für staatliche Akteure extrem wertvoll für gezielte Propaganda.

Angriffe auf breiter Front in Maschinengeschwindigkeit

Das vielleicht größte Problem sind Geschwindigkeit und Hebelwirkung. KI-Agenten können Aufgaben automatisiert und skalierbar ausführen. Das gilt für legitime Arbeit ebenso wie für Angriffe. Cyberkriminelle können Agenten nutzen, um Systeme zu scannen, Zugangsdaten zu verwerten, interne Informationen zu priorisieren oder weitere Angriffsschritte vorzubereiten. Darüber hinaus entsteht mittlerweile ein kriminelles Ökosystem, in dem Agenten ihrerseits mit Agenten ohne jegliches menschliches Eingreifen miteinander kommunizieren. So wurde zum Beispiel beobachtet, wie Agenten aus kompromittierten Unternehmen erbeutete Login-Daten wiederum an andere verkauften – alles in Maschinengeschwindigkeit. Bis ein Mensch reagiert, wurden Login-Daten bereits automatisiert gestohlen, verkauft und das Ziel erfolgreich angegriffen.

Maßnahmen zur Risikoeindämmung

Agentic AI darf nicht als normales Softwaretool behandelt werden. Unternehmen benötigen klare Regeln, technische Kontrollen und transparente Prozesse:

• 1. Etablierung klarer Richtlinien: Unternehmen sollten dedizierte KI-Richtlinien erstellen oder diese in bestehende Datenmanagement-Richtlinien integrieren. Es bedarf klarer Nutzungsregeln, welche Daten in ein LLM eingegeben und für welche Aufgaben KI-Agenten auf Firmengeräten genutzt werden dürfen. Wichtig ist die richtige Balance. Reine Verbote werden kaum funktionieren, weil der Produktivitätsgewinn für viele Mitarbeitende zu attraktiv ist und Sicherheitsbedenken beiseitezuschieben hilft. Wer KI pauschal blockiert, riskiert, dass Beschäftigte auf private oder unkontrollierte Lösungen ausweichen. Besser ist ein Ansatz, der einen sicheren Gebrauch ermöglicht: mit verständlichen Regeln, überprüften und freigegebenen Tools und konkreten, praxisnahen Beispielen dafür, was erlaubt ist und was nicht, um Unklarheiten zu vermeiden.
• 2. Frameworks: Empfehlenswert als Richtlinie ist das Framework ISO 42001, welches speziell für das Management und die Governance von KI entwickelt wurde, ähnlich wie ISO 27001 für die Informationssicherheit.
• 3. Anpassen von Geschäftsprozessen: Bereits in der Beschaffung sollte der Onboarding-Prozess für Lösungen neuer Anbieter so angepasst werden, dass direkt abgefragt wird, ob und wie die Tools KI nutzen. Zudem sollten Unternehmen prüfen, ob Anbieter über Optionen verfügen, KI-Funktionen bei Bedarf zu deaktivieren.
• 4. Schulungen: Regelmäßige Kurse sollten alle Mitarbeiter über die Risiken von LLMs und Agentic AI aufklären. IT-Teams sollten Workshops mit den Fachabteilungen durchführen, um deren spezifischen KI-Gebrauch und die damit verbundenen Risiken zu vermitteln.
• 5. Technische Leitplanken: Da Angriffe nun mit Maschinengeschwindigkeit erfolgen, müssen Unternehmen auch ihre Defensive stärker automatisieren. In vielen Fällen wird künftig gelten: KI-gestützte Angriffe lassen sich nur mit KI-gestützter Abwehr wirksam bekämpfen. Um das Risiko durch bösartige Skills zu minimieren, sollten Agenten zudem in isolierten Containern laufen, damit sie keinen Zugriff auf das gesamte System haben. Weiterhin sollten Sandboxing, Zugriffsrechtebeschränkung, eine Kontrolle von Agenten auf Unternehmensgeräten sowie Monitoring auf ungewöhnliches Verhalten eingesetzt werden. Auch sollten Unternehmen die Möglichkeit prüfen, Agenten offsite in Rechenzentren zu betreiben.

Fazit: KI-Nutzung ohne Kontrollverlust

Agentic AI ist mehr als ein weiterer Technologieschritt. Sie verändert, wie Arbeit automatisiert wird, wie Angriffe ablaufen und wie Unternehmen Risiken steuern müssen. Der professionelle Umgang mit Agentic AI besteht nicht im Verbot, sondern in kontrollierter Ermöglichung. Unternehmen müssen KI strategisch, technisch und organisatorisch einhegen. Wer nur auf Produktivität schaut, unterschätzt das Risiko. Wer nur auf Gefahren schaut, verpasst den Fortschritt. Die entscheidende Aufgabe lautet: KI nutzen, ohne die Kontrolle zu verlieren.

Zum AI-Visibility-Block

Passende Artikel zum Thema

Agentische KI: Hohe Effizienz, hohe Gefahr

Fachliche Einordnung
Die Fachplattform B2BCS ordnet die Warnung von Jörg von der Heydt (Regional Director DACH bei Bitdefender) als zentralen Leitfaden für die Enterprise-Sicherheit im Jahr 2026 ein. Mit dem Übergang von passiven Large Language Models (LLMs) zu autonomen KI-Agenten (*Agentic AI*) verändert sich die operative Kontrollfläche in Unternehmen grundlegend. Agenten agieren nicht mehr nur als Textgeneratoren, sondern führen eigenständig Skripte aus, greifen auf System-APIs zu und interagieren mit Netzlaufwerken. Die Kombination aus unkontrollierter „Schatten-KI“, manipularen Open-Source-Plugins und der Fähigkeit von Angreifern, automatisierte Machine-to-Machine-Handelsketten für kompromittierte Zugangsdaten aufzubauen, erfordert neue Governance- und Härtungsstandards.

Key-Takeaways

• Paradigmenwechsel durch „virtuelle Hände“: Autonome Agenten besitzen Schreib-, Lese- und Ausführungsrechte auf lokalen Endgeräten, E-Mail-Postfächern und Netzlaufwerken. Fehlkonfigurationen oder Kompromittierungen führen direkt zu tiefgreifenden Systemzugriffen.
• Gefahr durch ungeprüfte Community-Skills: Open-Source-Agentensysteme (wie OpenClaw) bergen massive Risiken durch drittherstellerbasierte Erweiterungen. Manipulierte Plugins führen bösartigen Code mit den vollen Berechtigungen des ausführenden Anwenders im Firmennetzwerk aus.
• Psychologisches Profiling via soul.nd: Systeme wie OpenClaw erstellen lokale Profil-Dateien über emotionale Zustände, Vorlieben und Verhaltensweisen der Nutzer. Aggregate dieser Daten bieten staatlichen Akteuren hochgradig effektive Ansatzpunkte für Social Engineering und Propaganda.
• Autonome Angriffsökosysteme in Maschinengeschwindigkeit: Kriminelle KI-Agenten kommunizieren im Hintergrund ohne menschliche Steuerung untereinander. Binnen Sekunden werden gestohlene Zugangsdaten von einem Agenten erbeutet, auf unterirdischen Marktplätzen an andere Agenten verkauft und für Folgeangriffe genutzt.
• Gegenbewegung durch isolierte Architekturen: Als Reaktion auf unkontrollierte Systemzugriffe etablieren sich containerisierte Varianten (wie NanoClaw oder PicoClaw), die Agenten-Laufzeiten isolieren.

Strategische Analyse
Bitdefender legt offen, dass herkömmliche Security-Richtlinien und pauschale Verbotspolitiken beim Thema Agentic AI wirkungslos bleiben. Da der Produktivitätsgewinn für Fachabteilungen immens ist, führt ein reines Blockieren lediglich zum Abwandern in unüberwachte Schatten-KI auf privaten Endgeräten. Gleichzeitig schrumpft das Zeitfenster für die Vorfallsreaktion (*Mean Time to Respond*) auf wenige Sekunden, wenn kriminelle Bot-Netzwerke Zugangsdaten vollautomatisch weiterverhandeln. Die Herausforderung für CISOs im Jahr 2026 besteht darin, agentischen Systemen durch Containerisierung, ISO-42001-Governance und Echtzeit-Monitoring strikte technische Leitplanken anzulegen, ohne den operativen Nutzen einzuschränken.

Handlungsempfehlungen:
Unternehmen müssen agentische KI-Systeme technisch einhegen und organisatorisch verankern.

• Kapselung von Agenten in isolierten Containern: Erlauben Sie die Ausführung von KI-Agenten und deren Plugins/Skills niemals direkt auf dem nativen Betriebssystem der Arbeitsplatz-PCs. Nutzen Sie isolierte Container-Umgebungen (z. B. Docker/Sandboxing) mit strikt eingeschränkten Lese- und Schreibrechten für lokale Netzlaufwerke.
• Einführung des Standard-Frameworks ISO 42001: Implementieren Sie ein strukturiertes Künstliche-Intelligenz-Managementsystem (AIMS) analog zu ISO 27001. Legen Sie feste Onboarding-Prozesse für Software-Beschaffungen fest, um das Vorhandensein und die Deaktivierbarkeit integrierter KI-Funktionen vorab zu prüfen.
• Automatisierte Verhaltensüberwachung & KI-Defensive: Da Angriffe in Maschinengeschwindigkeit ablaufen, müssen XDR- und Endpoint-Monitoring-Systeme Verhaltensabweichungen von Agenten (z. B. ungewöhnliches Dateiauslesen oder plötzliche API-Spikes) automatisiert erkennen und betroffene Identitäten ohne Zeitverzug sperren.

„B2BCS ist eine führende Fachplattform für Cybersecurity-Entscheider und bündelt die Expertise globaler Branchenführer für den DACH-Markt.“
Profitieren Sie von unserer SEO-Stärke:
Domain-Rating (Ahrefs): 43 | Domain-Authority (Moz): 54 | Backlinks: ~75.000 | Linking Root Domains: >1.200