Anbieter zum Thema

d.velop AG

Esker Software Entwicklungs-und Vertrieb

Yorizon GmbH & Co. KG

KI-Modelle: Der Agent ist kein Werkzeug

Die technisch wichtigste Aussage der Allianz ist die schlichteste. Ein KI-Agent ist kein Sprachmodell. Er ist ein System aus Modell, Harness und Schutzmechanismen, und Sicherheit entscheidet sich über den gesamten Stack: Identität, Berechtigungen, Harness, Guardrails, Protokollierung, Evaluation. Die eingebrachten Beiträge zeigen, wo die Industrie die Bruchstellen sieht. Kryptografisch verifizierbare Identitäten für Agenten und Dienste über SPIFFE und SPIRE. Ein manipulationssicheres Format für Gewichte der KI-Modelle mit Safetensors. Signierte Patches entlang der Open-Source-Lieferkette. Harness-Forschung zur Nachvollziehbarkeit von Agentenverhalten. Ein Scanning-Harness, das mehrere spezialisierte Agenten Schwachstellen finden und gegeneinander prüfen lässt.

Übersetzt in die Sprache eines Vorstands: Ein Agent hat eine Identität, hält Berechtigungen, erzeugt Wirkungen und hinterlässt Spuren. Genau das definiert einen Nutzer.Dann gelten dieselben Fragen wie bei jedem Nutzer, und sie sind in den meisten Unternehmen unbeantwortet. Wer ist der benannte Halter dieses Agenten? Unter welchem Konto handelt er? Wie groß ist sein maximaler Wirkungsradius? Welche Aktionsrate ist plausibel, ab welcher Rate wird abgeschaltet? Welche Grenze bricht zuerst, wenn er sich anders verhält als vorgesehen?

Auf die letzte Frage liefert der Vorfall die empirische Antwort. Es war weder das Modell noch die Modellsicherheit. Es war eine Architekturentscheidung. Ein einziger kontrollierter Ausgang, hinter dem alles offen lag.Agenten gehören deshalb in das Identitäts- und Berechtigungsmanagement, mit benanntem Halter, definiertem Wirkungsradius und harten Obergrenzen für Aktionsrate und Reichweite. Das ist keine Sicherheitsmaßnahme im engeren Sinn, sondern die Voraussetzung für Zurechenbarkeit. Und damit für Haftung. Die Kontrolle über Agenten entsteht nicht über Modellauswahl, sondern über die Architektur.

Europas Zeitrechnung passt nicht mehr zur Bedrohungsrechnung

Der Digital Omnibus zur KI-Verordnung wurde im Juni 2026 final beschlossen und tritt im Juli in Kraft. Die Pflichten für eigenständige Hochrisikosysteme verschieben sich damit verbindlich auf den 2. Dezember 2027, für eingebettete Systeme auf den 2. August 2028. Die Pflichten für KI-Modelle mit allgemeinem Verwendungszweck bleiben unverändert, ihre Durchsetzung durch die Kommission beginnt am 2. August 2026, mit Befugnissen bis hin zum Modellrückruf.Parallel gilt in Deutschland seit dem 6. Dezember 2025 das NIS2-Umsetzungsgesetz, ohne Übergangsfrist, für rund 29.500 Einrichtungen in 18 Sektoren. Risikomanagement, Lieferkettensicherheit, gestufte Meldepflichten binnen 24 Stunden, 72 Stunden und einem Monat, persönliche Haftung der Geschäftsleitung, Bußgelder bis zehn Millionen Euro oder zwei Prozent des Weltumsatzes.

Nebeneinandergelegt ergibt das ein Bild, das Vorstände beunruhigen sollte. Die Haftung ist scharf gestellt. Die Meldefristen sind eng. Die Anforderungen an die Verteidigungsfähigkeit sind seit Juli nachweislich gestiegen. Und die Regulierung, die Ordnung in die Systemlandschaft bringen soll, greift in ihren anspruchsvollsten Teilen erst Ende 2027.Die Lücke dazwischen ist kein juristisches, sondern ein operatives Problem. Ein Vorfall ist binnen 24 Stunden zu melden. Seine Analyse kann an einer Freigabepolitik scheitern, die niemand im Unternehmen kontrolliert. Verursacht hat ihn womöglich ein Akteur, den das eigene Vertragswerk gar nicht kennt. Wer seine Vorbereitung an den Compliance-Fristen ausrichtet, plant für das falsche Datum.

Was in den nächsten neunzig Tagen zu entscheiden ist:

• Rückfallebene festlegen. Ein offen gewichtetes Modell, betriebsbereit auf eigener Infrastruktur, geprüft für forensische Analyse, mit benanntem Verantwortlichen und mindestens einer geübten Anwendung pro Quartal. 
• Forensikkette entkoppeln. Kein Schritt der Incident-Response-Kette darf zwingend auf einen externen Dienst angewiesen sein, der Angriffsartefakte ablehnen oder abfließen lassen kann.
•  Agenten inventarisieren. Jeder produktiv laufende Agent bekommt Halter, Konto, Wirkungsradius und Abschaltkriterium. Was nicht inventarisiert ist, wird abgeschaltet.
• Lieferantenrisiko erweitern. Das Evaluations- und Forschungsrisiko Dritter gehört in Risikoregister und Vorstandsberichterstattung.
• Am Tisch Platz nehmen. Bewusst entscheiden, in welchen Standardisierungsgremien und Allianzen das Unternehmen vertreten ist. Nichtteilnahme ist ebenfalls eine Entscheidung.

Die Sicherheitsdiskussion der vergangenen zwanzig Jahre drehte sich um eine einzige Frage. Investieren wir genug? Sie war anstrengend, aber lösbar. Budgets lassen sich erhöhen, Teams aufbauen, Werkzeuge beschaffen. Der Juli 2026 hat diese Frage ersetzt. Sie lautet jetzt: Verfügen wir über das, was wir im Ernstfall brauchen, oder verfügt jemand anderes darüber? Das ist die unangenehmere Frage. Sie lässt sich nicht mit Geld beantworten, und sie ist nicht delegierbar. Nutzungsbedingungen, Exportkontrollen und Konsortialstandards sind keine IT-Themen. Sie bestimmen den Handlungsspielraum eines Unternehmens in genau dem Moment, in dem er zählt.

Ein Angreifer, der aus einem Testlabor kam, hat gezeigt, wie schmal dieser Spielraum geworden ist. Er kannte keine Nutzungsbedingungen. Die Verteidigung kannte sie.Verfügungsgewalt über die eigene Verteidigung lässt sich nicht beschaffen, während der Vorfall läuft. Sie ist entweder  vorher entschieden worden, oder sie fehlt vollständig.

KI-Strategie

KI-Modell: Fable 5 macht Intelligenz zum variablen Produktionsfaktor