Warum einheitliche Governance bei KI-Agenten scheitert und was stattdessen funktioniert
Während Unternehmen zunehmend von statischen Chatbots auf Basis großer Sprachmodelle (Large Language Models, LLMs) zu vollständig dynamischen, autonomen KI-Agenten wechseln, stoßen klassische Compliance- und Governance-Frameworks an ihre Grenzen. Gartner prognostiziert, dass bis 2027 rund 40 % der Unternehmen ihre autonomen KI-Agenten zurückstufen oder ganz abschalten werden. Der Grund liegt nicht in einem Versagen der Technologie, sondern in unzureichender Governance. Verantwortlich dafür ist laut Shiva Varma, Senior Director Analyst bei Gartner, die sogenannte „binäre Governance“: Agenten werden dabei entweder komplett abgeriegelt oder uneingeschränkt als vertrauenswürdig behandelt – ein Mittelweg fehlt.
Die zentrale Erkenntnis lautet, dass sich KI-Agenten nicht einheitlich steuern lassen. Derzeit schwanken die meisten Organisationen zwischen zwei grundlegend fehlerhaften Extremen: einem vollständigen Verbot auf Unternehmensebene und einem digitalen Wildwuchs ohne Regeln. Doch selbst wenn die IT sämtliche externen KI-Tools untersagt, entsteht weiterhin Schatten-KI. Denn Entwickler beispielsweise wollen bauen und Probleme lösen – wirkt Governance zu bürokratisch, umgehen sie die Kontrollen und greifen zu ungeprüften Werkzeugen, um voranzukommen. Ein pauschales Verbot beseitigt das Risiko also nicht, es verlagert es lediglich in den Untergrund.
Das eigentliche Problem ist damit nicht der Einsatz von KI-Agenten: Es sind starre Kontrollmechanismen aus dem Industriezeitalter, die auf Software in Maschinengeschwindigkeit treffen – in der irrigen Erwartung, dass das funktioniert.
Agentenbasierte Entwicklungsumgebungen richtig steuern
Echte Kontrolle bedeutet, sämtliche Softwarebestandteile eines Agenten wirksam zu verwalten. Viele Teams betrachten diese Agenten fälschlicherweise als „Magie“ und übersehen dabei die gängigen Komponenten, die Funktionsweise und Sicherheit bestimmen.
Jeder autonome KI-Agent basiert auf einem klar erkennbaren Stack: einem Foundation-Model, Servern für das Model-Context-Protocol (MCP), die ihn mit Unternehmensdaten und externen Systemen verbinden, Plug-ins zur Erweiterung seiner Fähigkeiten sowie Skill-Dateien, die sein Verhalten festlegen. Jede dieser Komponenten ist im Kern ein Software-Artefakt und bringt damit ein eigenes Lieferketten-Risiko mit sich. IT-Verantwortliche sollten deshalb Folgendes beachten:
- KI-Agenten sind keine Magie: Sie beruhen auf einem Standard-Setup aus Modell, MCPs, Tools, Plug-ins und Skills.
- MCP-Server können ein Risiko darstellen: Sie verbinden Agenten mit Unternehmensdaten und lassen sich wie jede andere Software herunterladen. Bleiben sie ungeprüft, können sie Angreifern den Weg in interne System öffnen. So zeigt aktuelle Forschung von JFrog Security Research genau diese Software-Lieferketten-Risiken innerhalb von mcp-run-python auf, darunter eine Server-Side-Request-Forgery-Schwachstelle (CVE-2026-25904) und eine fehlende Isolierung (CVE-2026-25905), die zu einer vollständigen Übernahme des MCP führen kann.
- Plug-ins erhöhen das Risiko zusätzlich: Unterschiedliche Agenten benötigen unterschiedliche Plugins (ein OpenAI-Plugin funktioniert etwa nicht in Microsoft Copilot) – Unternehmen jonglieren daher oft mit zahlreichen Varianten, wobei ein einziges schadhaftes Plug-in sensible Daten abgreifen könnte.
- Skills bestimmen das Verhalten von Agenten: Diese Instruktionsdateien legen fest, wie ein Agent arbeitet. Da Entwickler sie häufig aus Community-Quellen beziehen, kann ein manipulierter Skill die Arbeitsweise eines Agenten unbemerkt verändern.
Die Rolle eines „System of Record“ bei proportionaler KI-Governance
Der Wettlauf um die Einführung von KI-Agenten im Unternehmen lässt sich mit einer binären Denkweise nicht gewinnen. Monolithische, schwerfällige Freigabeprozesse über sämtliche Workflows hinweg ersticken Innovation, während eine Armee unbeaufsichtigter Agenten ein systemisches Desaster heraufbeschwört.
Um KI sicher zu skalieren, brauchen Organisationen einen mehrschichtigen Ansatz zur Steuerung und Absicherung ihrer Softwarekomponenten, inklusive Paketen, Binaries, MCPs, Skills und Abhängigkeiten. Mit einem sogenannten „System of Record“ können Unternehmen eingehende Komponenten kuratieren, alles vor der Nutzung scannen, Richtlinien an der Grenze durchsetzen und jederzeit sofort zurückrollen. Wird die nächste Schwachstelle bekannt, lässt sich die Frage „Sind wir betroffen?“ so in Minuten statt in Tagen beantworten.
KI-Agenten bringen allerdings noch ein grundlegend anderes Problem mit sich, indem sie eine breitere und deutlich schnelllebigere Angriffsfläche liefern. Da hochgradig autonome Agenten hunderte Entscheidungen pro Minute treffen können, lassen sie sich mit klassischen passiven Registries und manuellen Freigabeprozessen schlicht nicht absichern. Für Aufgaben mit geringer Autonomie mögen diese Methoden noch ausreichen, doch KI-Agenten erfordern eine dynamische Durchsetzung von Richtlinien zur Laufzeit, nicht nur bei der Aufnahme.
Hochgradig autonome Agenten bewegen sich in einer anderen Größenordnung als andere Systeme. Wenn ein Agent im Minutentakt hunderte Entscheidungen trifft, Tool-Aufrufe verkettet, auf Daten zugreift und Code ausführt, sind statische Aufnahme-Richtlinien überfordert. Nötig ist stattdessen eine dynamische Durchsetzung zur Laufzeit, die auffälliges Verhalten sofort erkennt und eingreift, bevor sich ein Schaden ausbreitet. Sie wirkt wie ein Schutzschalter, der den Zugriff auf einen kompromittierten Skill kappt, einen nicht-vertrauenswürdigen Datenkontext trennt oder einen einzelnen Tool-Aufruf stoppt, sobald etwas schiefläuft, statt auf eine manuelle Prüfung zu warten, die dem Tempo der Agenten zwangsläufig immer hinterherläuft.
Das Ende der Einheitslösung zur KI-Überwachung
Beim Übergang von statischen Chatbots zu hochgradig autonomen Agenten führt eine starre, für alle gleiche Governance zwangsläufig ins Scheitern. Das Zeitfenster, um dieser Entwicklung zuvorzukommen, schließt sich zusehends, und der Governance-Rückstand wächst mit jedem weiteren Agenten. Sicherheits- und Engineering-Verantwortliche können daher schon heute vier Schritte gehen, um ihre Unternehmenssysteme abzusichern:
- Bestandsaufnahme des Ist-Zustands: Die meisten Unternehmen können ihre KI-Agenten nicht vollständig erfassen, geschweige denn die MCP-Server, Plug-ins und Skill-Dateien dahinter. Bevor man etwas steuern kann, muss man jedoch wissen, was überhaupt zu steuern ist.
- KI-Komponenten als Software-Artefakte behandeln: MCP-Server, Skill-Dateien und Plug-ins sind keine Konfiguration, sondern Code – mit denselben Lieferketten-Risiken wie jede Open-Source-Abhängigkeit. Daher sind dieselben Prüfungen, Scans und Herkunftsverfolgungen anzuwenden wie bei jeder sonstigen Drittanbieter-Bibliothek.
- Agenten nach Autonomiegrad klassifizieren und Kontrollen entsprechend abstimmen: Was „hochgradig autonom“ für eine Organisation bedeutet, ist individuell zu definieren. Auf dieser Erkenntnis sollte man ein gestuftes Richtlinien-Framework aufbauen: Hochgradig autonome Agenten brauchen Durchsetzung zur Laufzeit, nicht nur Prüfungen bei der Aufnahme. Es empfiehlt sich, bei den sensibelsten Systemen zu beginnen und sich „nach außen“ vorzuarbeiten.
- Governance so schnell machen, dass sich ein Umgehen gar nicht erst lohnt: Schatten-KI ist keine Frage von Auflehnung, sondern von Reibung. Dauert die Freigabe eines MCP-Servers zwei Wochen, weichen Entwickler eben aus. Skalieren lässt sich nur mit einem Modell, das automatisiert scannt und Richtlinien klar durchsetzt, schnell genug für das reale Tempo der KI-Entwicklung!
Wer KI sicher skaliert, tut das weder mit den strengsten Kontrollen noch mit der offensten Kultur. Entscheidend ist eine Governance, die sich am tatsächlichen Risiko jedes einzelnen Agenten orientiert, getragen von einem System of Record, das Richtlinien überall durchsetzt, jede Komponente sichtbar macht und im richtigen Moment handlungsfähig bleibt.
vielleicht interessieren Sie auch die folgenden aktuellen <kes>-Beiträge: