Passwortmanager für Unternehmen werden still zu Identitätsvermittlern für KI-Agenten

1Password brachte Agentic AI Security am 22. April 2025 innerhalb seiner Extended Access Management-Plattform heraus, speziell gebaut, um Identitäten, Zugangsdaten und Zugriff autonomer KI-Agenten zu verwalten, nicht von menschlichen Mitarbeitern. Nur drei Wochen später holte Microsoft KI-Agenten in seinen eigenen Identitäts-Stack, mit einer öffentlichen Vorschau von Entra Agent ID für Agenten, die in Azure AI Foundry und Copilot Studio gebaut werden, wobei jeder Agent eine eindeutige Objekt-ID innerhalb des Tenants erhält. Keines der beiden Unternehmen reagierte auf eine Hypothese. CyberArks Identity Security Landscape Report 2025, veröffentlicht im selben April, zählte 82 Maschinenidentitäten auf jede menschliche Identität im durchschnittlichen Unternehmen — und ein großer Teil der neuesten davon sind KI-Agenten mit dauerhaftem Zugriff auf interne Werkzeuge.

Diese Verschiebung ist wichtig, weil Identitäts- und Zugangsdaten-Tools nie um die tatsächlichen Anforderungen von KI-Agenten herum gebaut wurden. Ein Passwortmanager geht von einem Menschen aus, einer Login-Sitzung, gelegentlicher manueller Neuauthentifizierung und einer vorhersehbaren Anzahl Konten pro Person. Ein KI-Agent kann alle paar Sekunden eine neue Sitzung starten, in einer einzigen Aufgabe ein Dutzend APIs aufrufen und sich in parallele Instanzen vervielfachen, die alle gleichzeitig Zugangsdaten benötigen. Die Anpassung menschlicher Identitätsinfrastruktur an dieses Muster ist inzwischen eine echte Produktkategorie, kein Forschungsproblem mehr.

Was tatsächlich auf den Markt kommt

1Passwords Ansatz konzentriert sich darauf, Agenten eigene Identitäten zu geben, damit sie nicht länger menschliche Konten teilen oder imitieren — ein Problem, das häufiger ist, als es klingt: Bei vielen frühen Agenten-Einführungen wurde dem Agenten einfach eine Kopie der Login-Daten eines Mitarbeiters übergeben. Stattdessen bietet 1Password ein Software Development Kit (SDK), mit dem Entwicklungsteams programmatisch API-Schlüssel mit begrenztem Umfang für einen Agenten ausstellen können, sodass der Agent nur das spezifische Geheimnis erhält, das für eine bestimmte Aufgabe nötig ist, nicht den gesamten Tresor einer Person. Eine separate Funktion namens Secure Agentic Autofill, seit dem 8. Oktober 2025 im Early Access über eine Integration mit Browserbase verfügbar, erlaubt einem Agenten, sich bei einem Webdienst anzumelden, ohne dass die Zugangsdaten jemals dem eigenen Kontext des Agenten offengelegt werden: Das automatische Ausfüllen passiert auf Browserebene, unsichtbar für das Modell.

Microsoft wählte mit Entra Agent ID einen anderen Ansatzpunkt: Agenten- und menschliche Identität unter einer einzigen Verwaltungskonsole vereinen, statt ein paralleles System zu bauen. Seit der Vorschau im Mai 2025 hat Microsoft agentenspezifische Schutzschichten hinzugefügt, die kein Äquivalent in der menschlichen Identität haben — Abwehr gegen Prompt-Injection, Blockierung unautorisierten Zugriffs auf Model-Context-Protocol-Verbindungen (MCP) und Erkennung von Schatten-KI (Shadow AI), um Agenten zu finden, die außerhalb der Sichtbarkeit der IT operieren. Diese Vorschau ist inzwischen auch mit Agent 365 verbunden, Microsofts breiterem Dashboard zur Agentenverwaltung, und behandelt die Agentenidentität als einen Baustein in einer größeren operativen Steuerungsebene, nicht als isolierte Tresorfunktion.

Warum sich das von der Sicherung menschlicher Logins unterscheidet

Die Sicherheit menschlicher Identität läuft über relativ langsame Feedback-Schleifen: Onboarding, periodische Zugriffsüberprüfungen, Offboarding beim Ausscheiden aus dem Unternehmen. Die Identität eines Agenten muss dagegen in Schleifen laufen, die in Sekunden gemessen werden. Ein Agent, der in einer einzigen Aufgabe einen CRM-Datensatz lesen, in ein Ticketsystem schreiben und eine Abrechnungs-API aufrufen muss, braucht alle drei begrenzten Zugangsdaten ausgestellt, genutzt und idealerweise abgelaufen, bevor die nächste Aufgabe beginnt — nicht unbegrenzt im Tresor aufbewahrt wie die gespeicherten Logins eines Menschen. Das ist ein grundlegend anderer Lebenszyklus, und deshalb bauen Anbieter separate Ausstellungs- und Widerrufspfade für Agenten, statt einfach ein “Agent”-Kästchen zu einem bestehenden menschlichen Kontotyp hinzuzufügen.

Auch die Audit-Anforderung unterscheidet sich in der Art, nicht nur im Umfang. Wenn ein menschlicher Mitarbeiter etwas Ungewöhnliches mit einer Zugangsdaten macht, gibt es eine Person, die man fragen kann. Wenn ein Agent das tut, wird die Frage, ob die Aufgabendefinition des Agenten, der Umfang seiner Zugangsdaten oder eine eingeschleuste Anweisung das Verhalten verursacht hat — weshalb Microsoft die Abwehr gegen Prompt-Injection direkt in sein Identitätsprodukt eingebaut hat, statt sie einer separaten Sicherheitsschicht zu überlassen.

Was das jetzt für Sicherheits- und IT-Teams bedeutet

• Prüfen Sie, was tatsächlich fest im Code steht. Bevor Sie das Angebot eines Identitätsanbieters für Agenten bewerten, finden Sie heraus, wie viele Ihrer aktuellen Agenten-Einsätze fest codierte Geheimnisse oder geborgte menschliche Zugangsdaten verwenden — 1Passwords eigenes Marketing zielt genau auf diese Praxis, weil sie immer noch sehr verbreitet ist, und es ist die einfachste Sache, die Sie unabhängig vom gewählten Anbieter beheben können.
• Fordern Sie begrenzte Ausstellung, nicht nur ein Dashboard. Eine einheitliche Sicht auf Agentenidentitäten (womit Entra Agent ID und ähnliche Tools werben) ist nützlich für die Übersicht, aber die schwieriger zu erreichende Fähigkeit ist, ob die Plattform eine auf eine Aufgabe begrenzte Zugangsdaten ausstellen und automatisch ablaufen lassen kann. Bitten Sie Anbieter, genau diesen Ablauf zu demonstrieren, nicht nur die Verwaltungskonsole.
• Betrachten Sie das Verhältnis von 82 zu 1 als Untergrenze, nicht als Obergrenze. CyberArks Zahl wurde über Maschinenidentitäten im Allgemeinen gemessen, einschließlich Service-Konten und API-Schlüssel, die der aktuellen Agenten-Welle vorausgehen. Während sich Agenten-Einsätze in Ihrer Organisation ausweiten, erwarten Sie, dass das Verhältnis nicht-menschlicher zu menschlichen Identitäten schneller wächst, als Ihr aktueller Zugriffsüberprüfungsprozess es zu bewältigen ausgelegt war.
• Trennen Sie “der Agent kann sich einloggen” von “der Agent sollte sich unbeaufsichtigt einloggen”. Funktionen wie Secure Agentic Autofill lösen das Problem der Offenlegung von Zugangsdaten, beantworten aber nicht die Governance-Frage, welche Aufgaben ein Agent ohne menschliche Aufsicht ausführen darf. Diese Richtlinienentscheidung liegt bei Ihrem Team, nicht bei Ihrem Identitätsanbieter.

Die praktische Schlussfolgerung ist, dass das Tresormodell selbst unter Ihnen umgebaut wird, unabhängig davon, ob Sie bewusst ein “KI-Agenten-Identität”-Produkt eingeführt haben oder nicht. Wenn Ihre Organisation heute Agenten gegen Produktionssysteme laufen lässt, gehen Sie davon aus, dass jeder Zugangsdatenpfad, den sie nutzen, für einen Menschen entworfen wurde, und beginnen Sie, ihn zu begrenztem, überprüfbarem und kurzlebigem Zugriff zu migrieren, bevor Ihr Audit-Team — oder ein Angreifer — diese Lücke zuerst findet.