KI-Agenten

Was sind KI-Agenten?

KI-Agenten sind laut BSI Softwaresysteme, die auf einem großen Sprachmodell aufbauen und über Schnittstellen zu Programmen und dem Internet selbstständig Aufgaben in mehreren Schritten erledigen. Ein Chatbot liefert Antworten, ein Agent handelt: Er schreibt eine Mail, legt einen Termin an oder ändert einen Datensatz.

OpenAI fasst es in seinem Leitfaden für Entwickler knapp: Agenten sind Systeme, die Aufgaben eigenständig im Auftrag des Nutzers erledigen. Anwendungen, die ein Sprachmodell nur einbinden, ohne ihm die Steuerung des Ablaufs zu überlassen, zählt OpenAI ausdrücklich nicht dazu, etwa einfache Chatbots oder Stimmungsklassifikatoren.

Den Oberbegriff für solche Systeme liefert die Diskussion um Agentic AI, also KI, die Ziele mit wenig Aufsicht verfolgt. Rechtlich gibt es keine eigene Kategorie: Die KI-Verordnung (EU) 2024/1689 definiert in Artikel 3 Nummer 1 ein KI-System als maschinengestütztes System, das für einen „in unterschiedlichem Grade autonomen Betrieb ausgelegt ist“. KI-Agenten fallen damit unter diesen allgemeinen Begriff. Kurze Erklärungen der wichtigsten Fachbegriffe finden Sie im Glossar.

Wie funktionieren KI-Agenten?

Jeder KI-Agent besteht aus wenigen Bausteinen. OpenAI nennt drei Kernkomponenten: das Modell, die Werkzeuge und die Anweisungen. Anthropic beschreibt als Grundbaustein ein Sprachmodell, das um Abruf von Informationen, Werkzeuge und Gedächtnis erweitert ist. Das BSI zählt zusätzlich einen Orchestrator auf, der die Teile zusammenhält.

Entscheidend ist die Schleife. Anthropic nennt Agenten Sprachmodelle, die in einer Schleife Werkzeuge nutzen und dabei auf Rückmeldungen aus ihrer Umgebung reagieren. Das BSI beschreibt denselben Ablauf als Zyklus aus Analysieren, Planen, Handeln und Auswerten, bis die Aufgabe erledigt ist oder der Agent an eine Grenze stößt.

1. Aufgabe verstehen

   Der Nutzer gibt ein Ziel vor, etwa: „Fasse die offenen Reklamationen dieser Woche zusammen und entwirf Antworten.“

2. Planen

   Das Modell zerlegt das Ziel in Teilschritte und wählt das passende Werkzeug für den ersten Schritt.

3. Handeln

   Der Agent ruft das Werkzeug auf, zum Beispiel eine Suche im Ticketsystem, und erhält ein Ergebnis zurück.

4. Auswerten und wiederholen

   Das Modell prüft das Ergebnis und entscheidet über den nächsten Schritt. Die Schleife endet, wenn das Ziel erreicht ist, ein Fehler auftritt oder eine Höchstzahl an Durchläufen erreicht ist.

Welche Arten von KI-Agenten gibt es?

Für Unternehmen ist die wichtigste Unterscheidung die nach dem Grad der Selbstständigkeit. Anthropic trennt Workflows, bei denen Sprachmodell und Werkzeuge über fest programmierte Pfade laufen, von Agenten, die ihren Ablauf und ihre Werkzeugnutzung selbst bestimmen. OpenAI unterscheidet außerdem Einzelagenten von Multi-Agenten-Systemen. Für den Einsatz im Unternehmen zählt vor allem, wie viel der Agent ohne Rückfrage tun darf.

KI-Agenten Beispiele aus Unternehmen

Kundenservice: Klarna meldete im Februar 2024, sein KI-Assistent habe im ersten Monat rund 2,3 Millionen Gespräche geführt, etwa zwei Drittel aller Service-Chats. Laut Klarna bearbeitete er unter anderem Erstattungen, Rücksendungen, Zahlungsprobleme und Stornierungen. Die Zahlen sind Angaben des Unternehmens selbst.

Softwareentwicklung: Coding-Agenten wie Claude Code lesen laut Anthropic die Codebasis, bearbeiten Dateien, führen Befehle aus und erstellen Commits und Pull Requests. Anthropic nennt Coding als Einsatzfeld, in dem Agenten gut funktionieren, weil sich ihre Ergebnisse mit automatischen Tests prüfen lassen.

Recherche: Anthropic beschreibt ein eigenes Multi-Agenten-System, in dem ein leitender Agent die Recherche plant und Unteragenten parallel suchen lässt. Den Plan legt er im Gedächtnis ab, damit er bei einem vollen Kontextfenster nicht verloren geht.

Prüf- und Entscheidungsvorgänge: OpenAI nennt als typische Kandidaten Abläufe mit vielen Ausnahmen, etwa die Freigabe von Erstattungen, Sicherheitsprüfungen von Lieferanten und die Bearbeitung von Schadenmeldungen in der Hausratversicherung. Für Endnutzer gibt es zudem Agenten, die im Browser arbeiten, wie der ChatGPT-Agent und KI-Browser wie ChatGPT Atlas. Das BSI zählt außerdem Mail-Assistenten, Terminplaner und Einkaufshelfer zu den verbreiteten Anwendungen.

Was unterscheidet KI-Agenten von Chatbots und klassischer Automatisierung?

Ein Chatbot beantwortet Fragen, die Handlung bleibt beim Menschen. Eine klassische Automatisierung, etwa mit RPA oder einer Regel-Engine, handelt zwar selbst, folgt aber starr festgelegten Regeln. OpenAI vergleicht das am Beispiel der Betrugserkennung: Die Regel-Engine arbeitet wie eine Checkliste, der Agent eher wie ein erfahrener Prüfer, der Zusammenhänge bewertet.

Daraus folgt eine einfache Empfehlung. Ist eine Aufgabe klar beschreibbar und regelbasiert, reicht laut OpenAI oft eine deterministische Lösung. BSI und die französische Behörde ANSSI schreiben ebenfalls, dass für einfache Aufgaben vordefinierte Workflows und direkter Code häufig effizienter sind als Agenten.

Wo liegen die Grenzen von KI-Agenten?

Fehler summieren sich. Anthropic weist darauf hin, dass sich bei langen, zustandsbehafteten Abläufen Fehler aufschaukeln können. Ein falscher Zwischenschritt führt den Agenten in die falsche Richtung, und jeder weitere Schritt baut darauf auf. Dazu kommt das Grundproblem von Sprachmodellen, überzeugend formulierte, aber falsche Aussagen zu erzeugen, beschrieben auf der Seite zu KI-Halluzinationen.

Kosten und Dauer steigen. Laut Anthropic verbrauchen Agenten etwa viermal so viele Tokens wie ein Chat, Multi-Agenten-Systeme etwa fünfzehnmal so viele. Agenten lohnen sich deshalb vor allem bei Aufgaben mit hohem Wert.

Lange Aufgaben bleiben schwierig. Forschende von METR haben gemessen, wie lange Softwareaufgaben sein dürfen, die ein Modell mit 50 Prozent Erfolgswahrscheinlichkeit löst. Für Claude 3.7 Sonnet lag dieser Wert im Frühjahr 2025 bei rund 50 Minuten, wobei er sich seit 2019 etwa alle sieben Monate verdoppelt hat. Eine Erfolgsquote von 50 Prozent ist für viele Geschäftsprozesse zu wenig.

Volle Autonomie ist nicht empfohlen. BSI und ANSSI halten es für unwahrscheinlich, dass solche Agenten belastbare Sicherheitsgarantien bieten können, und raten vom vollständig autonomen Betrieb ohne menschliche Aufsicht ab.

Welche Sicherheitsrisiken haben KI-Agenten?

Ein Agent handelt mit den Rechten, die Sie ihm geben. Das BSI nennt als Risiken Kontrollverlust, ungewollte Aktionen wie Bestellungen oder Überweisungen, Datenweitergabe an Dritte und Kettenreaktionen in verbundenen Systemen. Das größte technische Einfallstor ist die Prompt Injection: versteckte Anweisungen in Webseiten, Mails oder Dokumenten, die der Agent wie echte Befehle ausführt.

Besonders gefährlich wird ein Agent laut BSI, wenn er gleichzeitig auf vertrauliche Daten zugreift, fremde Inhalte verarbeitet und mit externen Systemen kommunizieren kann. Für diese Kombination hat sich der Begriff „Lethal Trifecta“ durchgesetzt. Fehlt eine der drei Eigenschaften, fehlt dem Angreifer der einfachste Weg zum Datenabfluss.

Werkzeuge kommen heute oft über das Model Context Protocol. Welche Angriffe dort möglich sind, zeigt die Seite zur Sicherheit von MCP-Servern. Verarbeitet ein Agent personenbezogene Daten, greifen die Regeln aus dem Bereich KI und Datenschutz, und für die Pflichten als Betreiber eines KI-Systems lohnt der Blick auf die KI-Verordnung. Die OWASP-Liste der zehn wichtigsten Risiken für agentische Anwendungen vom Dezember 2025 ordnet die Bedrohungen so:

Gegenmaßnahmen: vier Regeln für den Einsatz von KI-Agenten

OWASP empfiehlt neben den geringsten Rechten auch die geringste Selbstständigkeit: Wer einem System Agentenverhalten gibt, wo es keines braucht, vergrößert die Angriffsfläche ohne Nutzen. Das BSI rät Nutzern, nur die nötigen Berechtigungen zu vergeben, wichtige Aktionen bestätigen zu lassen und Protokolle zu prüfen. Daraus ergeben sich vier Regeln.

1. Rechte begrenzen

   Der Agent bekommt nur die Daten und Werkzeuge, die er für genau diese Aufgabe braucht, zum Beispiel Lesezugriff statt Schreibzugriff und keinen Versand für einen Mail-Zusammenfasser.

2. Freigaben einbauen

   Riskante Aktionen wie Zahlungen, Löschungen oder Mails an Externe bestätigt vorher ein Mensch. Wie das ohne Klickmüdigkeit gelingt, zeigt die Seite zu Human in the Loop.

3. Eingaben trennen

   Inhalte von außen gelten als Daten und nie als Anweisung. Ein Agent mit Zugriff auf vertrauliche Daten bekommt keinen freien Kanal nach außen.

4. Protokollieren

   Eingaben, Werkzeugaufrufe und Ergebnisse werden mitgeschrieben und regelmäßig ausgewertet, damit Sie unerwartete Aktionen erkennen und abbrechen können.

Checkliste: Was Unternehmen vor dem Einsatz prüfen sollten

Den Rahmen für Richtlinien, Zuständigkeiten und Inventar beschreibt die Seite zur KI-Sicherheit im Unternehmen. Für jeden einzelnen Agenten reichen diese Fragen als erste Bestandsaufnahme:

• Braucht die Aufgabe wirklich einen Agenten, oder reicht ein fester Ablauf?
• Welche Daten und Werkzeuge kann der Agent nutzen, und sind alle nötig?
• Liest er Inhalte von außen wie Mails, Webseiten oder Tickets?
• Welche Aktionen laufen ohne Bestätigung durch einen Menschen?
• Wer prüft die Protokolle, und wer darf den Agenten stoppen?

Beziehen Sie auch Agenten und Browser-Erweiterungen ein, die Mitarbeiter ohne Freigabe nutzen. Diese Schatten-KI hat oft dieselben Rechte wie das Benutzerkonto, in dem sie läuft.

Häufige Fragen