Unternehmen bauen das Identitatsmanagement fuer KI-Agenten neu auf, nicht fuer Menschen
In einem typischen Unternehmen heute uebertreffen KI-Agenten und andere nicht-menschliche Identitaeten die Konten menschlicher Mitarbeiter um ein Vielfaches — manche Sicherheitsteams berichten von Verhaeltnissen von bis zu 45 zu 1, einige nennen Zahlen naeher an 80 zu 1. Das ist kein hypothetisches Zukunftsproblem. Es ist der aktuelle Zustand der Identitaet in jeder Organisation, die agentische KI auch nur fuer einen Bruchteil ihrer Arbeitsablaeufe eingefuehrt hat, und es offenbart eine strukturelle Schwaeche darin, wie Unternehmen den Zugriff auf ihre Systeme absichern.
Traditionelles Identitats- und Zugriffsmanagement (IAM) wurde um eine einfache, stabile Einheit herum aufgebaut: den menschlichen Mitarbeiter. Eine Person wird eingestellt, erhaelt eine Rolle, bekommt an diese Rolle gebundenen Zugriff und verlaesst irgendwann das Unternehmen, woraufhin der Zugriff widerrufen wird. KI-Agenten brechen jeden Teil dieses Modells. Sie entstehen und verschwinden in Sekunden, repraesentieren oft mehrere Teams oder Arbeitsablaeufe gleichzeitig, werden haeufig von Engineering- oder Produktteams ohne Wissen der IT-Abteilung eingesetzt und handeln mit Maschinengeschwindigkeit ueber weit mehr Systeme, als ein Mensch an einem Tag jemals beruehrt.
Warum dauerhafte Berechtigungen das eigentliche Risiko sind
Der zentrale Fehlermodus ist das, was Sicherheitsteams dauerhafte Berechtigungen nennen — weitreichende, persistente Zugriffsrechte, die einmal gewaehrt und unbegrenzt beibehalten werden, weil eine Ueberpruefung unbequem ist. Fuer einen menschlichen Mitarbeiter sind dauerhafte Berechtigungen bereits ein bekanntes Risiko; Audits foerdern regelmaessig Konten mit Zugriff zutage, an dessen Gewaehrung sich niemand mehr erinnert. Fuer einen KI-Agenten, der kontinuierlich arbeitet und durch Prompt-Injection oder einen kompromittierten Tool-Aufruf manipuliert werden kann, verwandeln dauerhafte Berechtigungen eine einzige ausgenutzte Schwachstelle in eine offene Tuer zu jedem System, das dieser Agent beruehren kann.
Das wird noch verstaerkt durch das, was Praktiker Schatten-KI nennen: Agenten und Automatisierungstools, die ausserhalb formaler Governance eingesetzt werden, oft von Teams, die schnell vorankommen wollen, und die direkten Zugriff auf sensible Daten erhalten, ohne jemals in einem zentralen Identitaetsinventar aufzutauchen. Ein Agent, von dessen Existenz niemand im Sicherheitsteam weiss, kann nicht ueberwacht, gedrosselt oder schnell abgeschaltet werden, wenn etwas schiefgeht.
Was agentisches Identitatsmanagement wirklich erfordert
Sicherheitsanbieter und Unternehmensarchitekten, die auf eine Loesung zusteuern, landen bei ein paar konkreten Praktiken, nicht bei einem einzigen Wunderprodukt:
Kontinuierliche Erkennung. Jeder KI-Agent, die Systeme, mit denen er verbunden ist, und die Berechtigungen, die er derzeit besitzt, muessen in Echtzeit sichtbar sein — nicht vierteljaehrlich geprueft. Agenten, die innerhalb von Minuten erstellt und geloescht werden, machen ein statisches Inventar fast sofort nutzlos.
Kurzlebiger, bedarfsgerechter Zugriff. Statt einen langlebigen API-Schluessel oder Dienstkonto-Zugangsdaten auszustellen, sollten Agenten kurzlebige, eng begrenzte Tokens erhalten, die im Moment der Nutzung generiert und automatisch abgelaufen werden. Das verkleinert das Zeitfenster fuer einen Angreifer, falls Zugangsdaten durchsickern.
Feingranulare Autorisierung. Rollenbasierte Zugriffskontrolle (RBAC), der Standard fuer menschliches IAM, ist zu grobkoernig fuer Agenten, die tausende kleine, kontextabhaengige Entscheidungen treffen. Attributbasierte (ABAC) oder beziehungsbasierte (ReBAC) Zugriffskontrollmodelle lassen Berechtigungen von den spezifischen Daten, der Aufgabe und dem Risikokontext jeder Aktion abhaengen, nicht nur von einem statischen Rollenetikett.
Delegierte, kryptografisch verifizierbare Autoritaet. Wenn ein Agent im Namen eines Nutzers oder eines anderen Systems handelt, muss diese Delegation explizit und nachweisbar sein — typischerweise ueber Standards wie OAuth-2.0-Token-Austausch oder Workload-Identity-Foederation — damit ein kompromittierter Agent nicht stillschweigend eine hoeher privilegierte Identitaet vortaeuschen kann.
Vollstaendige Auditierbarkeit. Jede Aktion, die ein Agent ausfuehrt, muss bis zu einer verifizierbaren Identitaet und einer ununterbrochenen Delegationskette zurueckverfolgbar sein. Wenn ein Vorfall eintritt, muessen Sicherheitsteams innerhalb von Minuten, nicht Tagen, beantworten koennen, welcher Agent das getan hat, in wessen Auftrag und mit welchen Berechtigungen.
Die Anbieterlandschaft ordnet sich noch
Identitaetsanbieter wie SailPoint, Okta und CyberArk haben im vergangenen Jahr alle Tools speziell fuer nicht-menschliche und agentische Identitaeten ausgeliefert oder angekuendigt, meist unter Bezeichnungen wie agentisches IAM oder Identity Fabric. Keines dieser Produkte ersetzt vollstaendig eine menschzentrierte IAM-Implementierung — die meisten Unternehmen betreiben beide Systeme parallel, was selbst Integrations- und Konsistenzrisiken schafft. Die praktische Realitaet fuer die meisten Sicherheitsteams ist derzeit ein Flickenteppich: bestehendes IAM erweitert um agentenspezifische Richtlinien, verschaerftes Geheimnismanagement zur Ausstellung kurzlebiger Zugangsdaten, und neue Ueberwachungsebenen, um anomales Agentenverhalten in Echtzeit zu erkennen.
Was das bedeutet, wenn Sie KI-Agenten einsetzen
Wenn Ihre Organisation KI-Agenten fuer Kundensupport, Code-Unterstuetzung, Datenanalyse oder einen anderen Arbeitsablauf einfuehrt, behandeln Sie Identitaet als Anforderung vom ersten Tag an, nicht als nachtraegliche Anpassung. Bevor ein Agent in Produktion geht, sollte er eine registrierte Identitaet, eine eng begrenzte und zeitlich befristete Zugangsdaten, einen fuer sein Verhalten verantwortlichen Besitzer und Protokollierung haben, die jede Aktion und jedes beruehrte System erfasst. Diesen Schritt zu ueberspringen, um schneller voranzukommen, spart keine Zeit — es verschiebt lediglich die Kosten von der Entwicklung zur Vorfallreaktion, und diese Rechnung kommt meist zum ungeeignetsten Zeitpunkt.