Ihre KI-Agenten haben Produktivzugriff. Wer prüft, was sie dürfen?
Sicherheitsprüfung für agentische KI-Systeme: MCP-Anbindungen, Berechtigungen, Prompt-Injection-Angriffsflächen und unbeaufsichtigt auslösbare Aktionen. Ergebnis ist ein schriftlicher Bericht mit priorisierten Maßnahmen. Auf Wunsch setze ich sie anschließend um.
Das Problem: Agenten mit Produktivzugriff, die niemand geprüft hat
KI-Agenten sind in vielen Unternehmen still in den Alltag gerutscht. Ein Assistent im Entwicklungsteam darf Repositories lesen und Pull Requests öffnen. Ein Automatisierungsbot hängt am Ticketsystem und am Postfach. Über das Model Context Protocol sind Datenbanken, Dateiserver und interne APIs angebunden, oft eingerichtet an einem Nachmittag, weil es funktioniert hat.
Was dabei fast nie passiert: eine Bestandsaufnahme, welche Berechtigungen tatsächlich vergeben wurden. Ein Agent, der lesen darf, darf oft auch schreiben. Ein Token, das für einen Test erzeugt wurde, läuft ein Jahr später noch. Und ein Modell, das Inhalte aus E-Mails oder Tickets verarbeitet, folgt Anweisungen, die in diesen Inhalten stehen, auch wenn sie von außen kommen.
Was geprüft wird
Der Audit ist eine Bestandsaufnahme entlang der Wege, auf denen ein Agent tatsächlich Schaden anrichten kann, nicht eine Checkliste gegen ein Framework.
- Berechtigungen: Welche Tokens, Schlüssel und Dienstkonten existieren, was dürfen sie wirklich, und welche davon werden nicht mehr benutzt?
- MCP-Server und Tool-Anbindungen: Herkunft, Aktualisierungsweg und Lieferkette jedes eingebundenen Servers. Ein MCP-Server ist ausführbarer Code mit Zugriff auf Ihre Systeme.
- Prompt Injection: Wo fließen fremde Inhalte (E-Mails, Tickets, Webseiten, Dokumente) in einen Kontext, aus dem heraus der Agent handeln darf?
- Unbeaufsichtigte Aktionen: Was kann ein Agent ohne menschliche Freigabe auslösen: Mails versenden, Daten löschen, deployen, Rechnungen anlegen?
- Protokollierung: Lässt sich im Nachhinein rekonstruieren, welcher Agent wann was getan hat?
- Entwicklungsprozess: Secret-Scanning, Abhängigkeitsprüfung und SBOM in der CI, das Sicherheitsnetz unter KI-generiertem Code.
Was Sie bekommen
Ergebnis ist ein schriftlicher Bericht: gefundene Schwachstellen mit konkreter Angriffsbeschreibung, priorisiert nach tatsächlichem Risiko, jeweils mit einem umsetzbaren Gegenmittel. Kein Score, keine Ampel ohne Begründung.
Auf Wunsch setze ich die Maßnahmen anschließend selbst um: Least-Privilege-Umbau der Zugriffe, Human-in-the-Loop an den kritischen Stellen, Sandboxing der Ausführungsumgebung, Härtung der CI-Pipeline.
Warum das jemand macht, der selbst KI-Systeme baut
Ich betreibe agentische Systeme produktiv: SOAR Security triagiert Sicherheitsmeldungen per KI und isoliert kompromittierte Container automatisch. DORA.KI vergleicht Compliance-Anforderungen semantisch mit vorhandener Dokumentation. Das läuft vollständig lokal, ohne dass ein Dokument das Haus verlässt.
Die Fehler, nach denen ich suche, sind die, die ich beim Bauen selbst umgehen musste. Das ist ein anderer Blick als der einer reinen Prüfstelle, die agentische Systeme nur von außen kennt.
Warum die Prüfkriterien aktuell sind
Für die Sicherheit agentischer KI gibt es noch keinen etablierten Standard, an dem man eine Prüfung abarbeiten könnte. Was heute als gute Praxis gilt, entsteht gerade erst: in Fachgremien, in denen Leute aus Wirtschaft, Forschung und Behörden ihre Erfahrungen zusammentragen und daraus Handlungsleitfäden erarbeiten.
In einem solchen Fachgremium zur Sicherheit generativer KI arbeite ich mit. Der praktische Effekt für Sie: Die Kriterien dieses Audits stammen nicht aus einer Checkliste von vorgestern, sondern aus dem, worüber aktuell fachlich gestritten wird, meist Jahre bevor es in Ausschreibungen und Prüfkataloge wandert.
Aus der Praxis
SOAR Security: KI-Triage mit automatischer Isolation
Ein produktives agentisches System, das Wazuh-Sicherheitsmeldungen per lokalem LLM bewertet und kompromittierte Container eigenständig vom Netz nimmt. Genau die Konstellation, um die es bei diesem Audit geht: ein Agent, der ohne Rückfrage in die Infrastruktur eingreifen darf, und der deshalb von Anfang an mit engen Berechtigungen, protokollierten Aktionen und einem Menschen an den kritischen Entscheidungen gebaut wurde.
Häufige Fragen
Was ist das Model Context Protocol und warum ist es sicherheitsrelevant?
Das Model Context Protocol (MCP) ist ein offener Standard, über den KI-Modelle an externe Werkzeuge und Datenquellen angebunden werden: Datenbanken, Dateisysteme, APIs, Ticketsysteme. Sicherheitsrelevant ist es, weil ein MCP-Server ausführbarer Code mit echten Zugriffsrechten auf Ihre Systeme ist. Wer ihn einbindet, vertraut seiner Herkunft, seinem Aktualisierungsweg und seiner Berechtigungsdefinition, meist ohne das je geprüft zu haben.
Was ist Prompt Injection konkret?
Ein Angreifer platziert Anweisungen in Inhalten, die Ihr KI-Agent ohnehin verarbeitet, etwa in einer E-Mail, einem Support-Ticket oder einem Dokument. Das Modell unterscheidet nicht zuverlässig zwischen "Daten, die ich analysieren soll" und "Anweisungen, denen ich folgen soll". Hat der Agent Schreibrechte, kann eine so eingeschleuste Anweisung reale Aktionen auslösen. Die Abwehr liegt weniger im Modell als in der Begrenzung dessen, was der Agent überhaupt tun darf.
Wie lange dauert ein Audit?
Das hängt davon ab, wie viele Agenten, Anbindungen und Teams beteiligt sind. Den zeitlichen Rahmen kläre ich vorab im Erstgespräch, sobald ich weiß, wie groß die Landschaft tatsächlich ist. Sie bekommen den Umfang schriftlich, bevor die Prüfung beginnt.
Müssen wir dafür Zugriff auf unsere Produktivsysteme geben?
Nicht zwingend. Ein großer Teil der Prüfung läuft über Konfiguration, Berechtigungsdefinitionen und Architekturdokumentation. Wo ein Blick ins laufende System nötig ist, geschieht das lesend und begleitet durch Ihr Team.
Gilt das auch, wenn wir nur ChatGPT oder Claude im Browser nutzen?
Dann ist das Risiko deutlich kleiner, weil kein Agent eigenständig in Ihren Systemen handelt. Relevant wird es, sobald Modelle über Schnittstellen an interne Daten oder Werkzeuge angebunden sind, spätestens dann, wenn jemand im Team anfängt, Automatisierungen zu bauen.
Nächster Schritt
Erstgespräch: 30 Minuten, kostenlos.
Schildern Sie kurz Ihre Ausgangslage. Sie bekommen eine ehrliche Einschätzung, ob und wie sich das lohnt.
Termin anfragen →