Agentic browsers gingen von der Demo in die Produktion über, schneller als Sicherheitsteams reagieren konnten.

Vor zwei Jahren war ein Browser, der eigenständig Formulare ausfüllen, Flüge buchen und mehrstufige Web-Workflows in Ihrem Namen navigieren konnte, noch eine Forschungsdemo. Im Jahr 2026 ist es ein Enterprise-Deployment-Problem. Der Datensicherheitsanbieter Cyberhaven hat herausgefunden, dass 27,7 % der Unternehmen mittlerweile mindestens einen Mitarbeiter haben, der einen agentic Browser in der Produktion einsetzt – gegenüber praktisch null zu Beginn des letzten Jahres. In manchen Organisationen liegt die Adoption bereits bei 10 % der gesamten Belegschaft.

Drei Produkte, drei unterschiedliche Strategien

Die Kategorie hat sich auf drei ernsthafte Anwärter konzentriert, die jeweils eine andere architektonische Wette eingehen. OpenAIs Atlas, das im Oktober 2025 als dediziertes Browser-Produkt eingeführt wurde, setzt auf den „Agent Mode“ – man gibt ihm die Anweisung, Flugpreise nach Tokio zu finden und zu vergleichen, und er öffnet Tabs, navigiert auf Airlineseiten, extrahiert Preise und liefert eine Vergleichstabelle, ohne weitere Eingaben. Perplexitys Comet expandierte im März 2026 ins Enterprise, mit einem Assistant, der In-Page-Recherche und Zusammenfassung sowie autonome mehrstufige Aufgaben übernimmt; IT-Administratoren können ihn per MDM stillschweigend auf eine Flotte verwalteter macOS- und Windows-Geräte ausrollen. The Browser Company's Dia verfolgt einen engeren Ansatz, basierend auf wiederverwendbaren „Skills“, die auf bestimmte Tabs und Seiten zugeschnitten sind, mit einem Gedächtnis, das an diese Skills gebunden ist, nicht an die allgemeine Browser-Historie.

Die Adoptionszahlen sind nicht gleichmäßig verteilt. Cyberhavens Daten zeigen, dass Atlas etwa 62-mal mehr Unternehmens-Downloads hat als Comet – eine Lücke, die vermutlich eher auf OpenAIs bestehende Enterprise-Beziehungen durch ChatGPT zurückzuführen ist als auf einen technischen Vorteil von Atlas selbst. Wenn eine Organisation OpenAI bereits über ChatGPT Enterprise mit ihren Dokumenten und Workflows vertraut, ist die Hinzunahme von Atlas eine viel kleinere Vertrauensentscheidung, als mit einem unbekannten Anbieter von Null zu beginnen.

Das Problem, das keiner wirklich gelöst hat

Agentic Browser lesen und handeln auf Basis aller Inhalte, die auf der Seite vor ihnen stehen – das bedeutet, dass bösartige Inhalte, die in eine Webseite eingebettet sind, den Agenten potenziell manipulieren können, Aktionen auszuführen, die der Benutzer nie beabsichtigt hat. Das ist Prompt Injection, und Cyberhavens Red-Team-Tests haben ergeben, dass dies nach wie vor eine ernsthafte, ungelöste Bedrohung in produktiven agentic Browsern darstellt – einschließlich Atlas. Eine bösartige Seite muss den Browser selbst nicht kompromittieren; sie muss lediglich Anweisungen enthalten, denen der KI-Agent folgt, versteckt in Text, den ein Mensch nicht bemerken würde, den das Modell aber als Teil seines Kontexts liest.

Für einen Agenten mit der Berechtigung, Formulare auszufüllen, E-Mails zu senden oder Dateien zu verschieben, ist das kein theoretisches Risiko. Es ist der Unterschied zwischen einer Browser-Erweiterung, die eine Seite liest, und einer Browser-Erweiterung, die in Ihrem Namen mit Ihren Anmeldedaten handeln kann – und die Branche hat sich noch nicht auf eine zuverlässige Methode geeinigt, vertrauenswürdige Anweisungen von injizierten Anweisungen in beliebigen Webinhalten zu unterscheiden.

Warum Unternehmen trotzdem adoptieren

Die rationale Reaktion auf ein ungelöstes Sicherheitsproblem ist normalerweise abzuwarten. Das passiert hier nicht. Mitarbeiter laden agentic Browser schneller herunter, als IT-Sicherheitsteams Richtlinien dafür schreiben können – das klassische Shadow-IT-Muster, nur dass das betreffende Tool diesmal direkten Schreibzugriff auf alles hat, bei dem der Mitarbeiter eingeloggt ist. Cyberhaven hat separat einen Anstieg von 509 % bei dem verzeichnet, was es „Shadow AI“-Nutzung nennt, und agentic Browser sind einfach der neueste und fähigste Neuzugang in dieser Kategorie.

Security-Anbieter bemühen sich, aufzuholen, statt den Trend ganz zu blockieren – was an sich schon ein Zeichen dafür ist, wie etabliert agentic Browser bereits sind. Cyberhavens eigene Antwort, die 2026 eingeführt wurde, umfasst Tools, um zu erkennen, welche Agenten auf verwalteten und nicht verwalteten Endpunkten laufen, zu rekonstruieren, was diese Agenten während einer Sitzung tatsächlich getan haben, und Laufzeitrichtlinien mithilfe von Data Lineage durchzusetzen, statt einfacher Erlauben-/Verbieten-Listen. Eine eigenständige Browser-Erweiterung erweitert dasselbe Monitoring auf ChromeOS und nicht verwaltete Auftragnehmergeräte – eine Anerkennung, dass das vollständige Blockieren agentic Browser für die meisten Organisationen keine realistische Politik mehr ist.

Was das bedeutet, wenn Sie einen evaluieren

Wenn Ihre Organisation – unabhängig von offiziellen Richtlinien – ohnehin agentic Browser einsetzen wird (und die Adoptionsdaten deuten darauf hin, dass die meisten es bereits tun), ist der praktische Schritt: Sichtbarkeit vor Einschränkung. Wissen Sie, welche Agenten laufen, auf welche Daten sie zugreifen können und wie eine kompromittierte Sitzung in Ihren Logs tatsächlich aussieht, bevor Sie entscheiden, welche Anwendungsfälle Sie genehmigen und welche blockieren. Agentic Browser als binäre Erlauben/Verbieten-Entscheidung zu behandeln, ignoriert, dass Mitarbeiter diese Entscheidung bereits für Sie getroffen haben; die offene Frage ist, ob Sicherheitsteams die Sichtbarkeit dafür bekommen, was diese Entscheidung tatsächlich bewirkt.