KI Agent Sicherheitsrisiken: Die Lage 2026 für IT-Leiter

Micha, Consultant für KI-Infrastruktur und Security bei Pexon Consulting | 9 Min. Lesezeit | 11.09.2026

TL;DR: KI Agent Sicherheitsrisiken in fünf Sätzen

KI-Agenten führen Aktionen aus, nicht nur Konversationen: Damit werden Prompt Injection, Tool-Missbrauch und Datenexfiltration zu operativen Risiken. 48 Prozent der Security-Verantwortlichen sehen agentische KI 2026 als Angriffsvektor Nummer eins. Die OWASP Agentic Top 10 liefern den Prüfrahmen. Pexon Consulting (80 Mitarbeiter, Deutschland, 14 AI Agents in Produktion) auditiert Agent-Umgebungen genau dagegen.

Was KI-Agenten von anderen KI-Tools unterscheidet

Ein Chatbot, der eine falsche Antwort gibt, ist peinlich. Ein Agent, der mit denselben falschen Annahmen eine SQL-Abfrage ausführt, ein Ticket schließt oder eine Überweisung vorbereitet, ist ein Sicherheitsvorfall. Genau diese Verschiebung von „was die KI sagt“ zu „was die KI tut“ macht das Thema für IT-Leiter neu.

KI-Agenten kombinieren drei Eigenschaften, die es in klassischer Software so nicht gibt: Autonomie (sie entscheiden selbst über Zwischenschritte), Werkzeugzugriff (Bash, APIs, Datenbanken, E-Mail) und persistenten Speicher (sie merken sich Kontext über Sitzungen hinweg). Jede dieser Eigenschaften ist einzeln beherrschbar. In Kombination entsteht eine Angriffsfläche, für die die OWASP im Dezember 2025 im Rahmen ihres OWASP GenAI Security Project eine eigene Top-10-Liste für Agentic Applications veröffentlicht hat, erarbeitet mit über 100 Security-Researchern und referenziert von Microsoft, NVIDIA und AWS.

Das Problem ist dabei längst nicht mehr theoretisch. In einer aktuellen Branchenumfrage stufen 48 Prozent der Security-Verantwortlichen agentische KI als Angriffsvektor Nummer eins für 2026 ein, noch vor Ransomware und Deepfakes.

Das Problem: Die Vorfälle sind schon da

Wer das für Zukunftsmusik hält, sollte auf die CVE-Datenbank schauen. Zwischen 2025 und 2026 gab es kritische Lücken mit CVSS-Scores von 9,3 bis 9,4 in ServiceNow, Langflow und Microsoft-Copilot-Plattformen. Drei Fälle zeigen das Muster:

Auffällig an allen drei Fällen: Kein einziger brauchte eine Schwachstelle im Sprachmodell selbst. Angegriffen wurde immer das Drumherum, also Berechtigungen, Datenquellen und fehlende Kontrollen. Das ist eine gute Nachricht, denn genau dieses Drumherum können Unternehmen selbst absichern.

KI Agent Sicherheitsrisiken im Einzelnen

Aus den OWASP-Kategorien und unseren eigenen Projekten sehen wir vier Risikoklassen, die in der Praxis dominieren. Prüfraster wie die OWASP-Liste oder das AEGIS Framework helfen bei der Systematik, ersetzen aber keine Umsetzung.

Prompt Injection und Goal Hijacking. Anweisungen verstecken sich in E-Mails, Dokumenten oder Webseiten, die der Agent verarbeitet. Das ist das Agent-Pendant zum Phishing: Der Köder zielt auf die Maschine statt auf den Menschen, und der Agent übernimmt fremde Ziele, ohne dass ein Mensch etwas eingibt. Das bleibt laut OWASP-Auswertung vom Juni 2026 die häufigste Ursache für Sicherheitsvorfälle in produktiven Agent-Systemen.

Datenexfiltration über legitime Kanäle. Der Agent darf E-Mails senden, Tickets kommentieren oder Webhooks aufrufen. Jeder dieser Kanäle wird zum Exfiltrationsweg, wenn die Eingabeseite kompromittiert ist. ShareLeak und ForcedLeak funktionierten genau so.

Kontrollverlust durch Autonomie und Speicher. Multi-Agenten-Systeme reichen Fehler untereinander weiter (die OWASP nennt das Cascading Failures), und Gedächtnisvergiftung pflanzt manipulierte Fakten in den persistenten Speicher, wo sie alle Folgeentscheidungen beeinflussen.

Shadow AI. Fachabteilungen bauen eigene Agenten mit No-Code-Tools oder Agent-Frameworks, ohne dass IT oder Security davon wissen. Ohne Inventar gibt es keine Governance, und ohne Governance gilt jede der drei anderen Risikoklassen unbeaufsichtigt. Das kennen Sie vermutlich aus der SaaS-Welt, nur dass ein unbekannter Agent nicht bloß Daten speichert, sondern selbstständig handelt. Die Dunkelziffer ist erfahrungsgemäß deutlich höher, als die meisten IT-Leiter schätzen.

Schutzmaßnahmen, die wirklich greifen

Unsere klare Empfehlung: Fangen Sie nicht beim Modell an, sondern bei den Rechten. Die wirksamsten Maßnahmen sind unspektakulär und stammen aus dem klassischen Security-Handwerk, angepasst auf Agenten:

1) Least Agency statt Vollzugriff. Ein Agent bekommt genau die Werkzeuge, die sein Auftrag braucht, keine Reserve „für später“. Ein Recherche-Agent braucht kein Schreibrecht auf das CRM.

2) Eigenes Identitätsmanagement für Agenten. Jeder Agent läuft unter eigener, kurzlebiger Identität statt unter dem Konto seines Nutzers. Nur so lassen sich Aktionen im Audit-Trail zuordnen und im Zweifel gezielt sperren.

3) Egress kontrollieren. Ausgehende Verbindungen laufen über eine Allowlist mit Ablaufdaten und Ownership. Die 5-Dollar-Lektion von ForcedLeak: Eine Allowlist ohne Lifecycle ist nur eine Liste.

# Beispiel: Egress-Policy fuer einen Agent-Workload (Kubernetes NetworkPolicy)
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: agent-egress-allowlist
spec:
  podSelector:
    matchLabels:
      app: research-agent
  policyTypes: ["Egress"]
  egress:
    - to:
        - namespaceSelector:
            matchLabels:
              name: internal-apis   # nur interne Ziele, kein offenes Internet
      ports:
        - port: 443

4) Audit-Trails und Verhaltens-Baselines. Jede Tool-Ausführung wird geloggt und gegen eine Baseline geprüft. Ein Buchhaltungs-Agent, der plötzlich 400 Dateien pro Minute liest, ist ein Alarm, kein Fleißwunder. Wichtig dabei: Das Log muss die Entscheidungskette enthalten, also welcher Input zu welcher Tool-Aktion geführt hat. Nur dann lässt sich nach einem Vorfall rekonstruieren, ob eine Injection, eine Fehlkonfiguration oder ein legitimer Auftrag die Ursache war.

5) Human-in-the-Loop an den teuren Stellen. Nicht jede Aktion braucht Freigabe, sonst ist der Agent wertlos. Aber unumkehrbare oder außenwirksame Schritte (Geld bewegen, Daten löschen, Mails an Externe) laufen über ein Approval-Gate. In unseren Projekten hat sich eine einfache Faustregel bewährt: Alles, was man einem neuen Werkstudenten nicht ohne Rückfrage erlauben würde, bekommt auch der Agent nicht ohne Rückfrage.

6) Sandboxing für Codeausführung. Agenten, die Code ausführen, laufen in Containern oder VMs ohne Produktions-Secrets. Anthropic hat dafür im September 2026 mit dem Claude-Code-Release eine OS-Level-Sandbox nachgeliefert, die Dateisystem und Netzwerk begrenzt; für eigene Stacks gilt dasselbe Prinzip mit Bordmitteln. Wie das konkret mit MCP und Tool Permissions zusammenspielt, haben wir im Beitrag zu LLM Agent Sandboxing ausführlich beschrieben.

Was wir bewusst nicht empfehlen: einen Guardrail-Layer kaufen und die Hausaufgaben darunter liegen lassen. Ein Produkt, das Prompts filtert, ersetzt weder Least Agency noch Identitätsmanagement. Es ergänzt sie, in dieser Reihenfolge.

Rechtlich ist das keine Kür mehr: EU AI Act

Ab dem 2. Dezember 2027 gelten die Pflichten des EU AI Act für Hochrisiko-Systeme nach Anhang III (per Digital-Omnibus verschoben), mit Bußgeldern bis 15 Millionen Euro oder 3 Prozent des Weltjahresumsatzes. Nicht jeder KI-Agent ist ein Hochrisiko-System. Aber ein Agent, der Personalentscheidungen vorbereitet, Kreditwürdigkeit bewertet oder kritische Infrastruktur steuert, fällt schnell in diese Klasse, und dann sind Risikomanagement, Protokollierung und menschliche Aufsicht Gesetzespflicht statt Best Practice.

Wir raten davon ab, die Einstufung nebenbei zu erledigen. In unseren Projekten ist die AI-Act-Klassifizierung der Agenten-Landschaft regelmäßig der Punkt, an dem aus „haben wir im Griff“ ein konkreter Maßnahmenplan wird. Die gute Nachricht: Wer die Schutzmaßnahmen aus dem vorigen Abschnitt umsetzt, hat den Großteil der technischen AI-Act-Anforderungen bereits erfüllt.

Häufig gestellte Fragen

Was kostet ein Security-Audit für KI-Agenten?

Deutlich weniger als ein Vorfall. Ein fokussiertes Audit über Agent-Inventar, Berechtigungen und Tool-Zugriffe ist als Festpreis-Paket in wenigen Tagen machbar. Der Umfang hängt von der Zahl der Agent-Umgebungen ab; den Zuschnitt zeigt unsere Security-Audit-Seite.

Sind KI-Agenten gefährlicher als klassische Chatbots?

Ja, strukturell. Ein Chatbot kann falsche Texte erzeugen, ein Agent kann falsche Aktionen ausführen. Dieselbe Prompt Injection, die beim Chatbot eine seltsame Antwort produziert, löst beim Agenten eine E-Mail, eine Buchung oder einen API-Call aus.

Reicht es, ein sicheres Modell wie Claude zu verwenden?

Nein. Die dokumentierten Vorfälle von 2025 und 2026 nutzten fast ausnahmslos Schwächen in Berechtigungen, Datenquellen und fehlender Kontrolle, nicht im Modell. Modellwahl ist ein Baustein, Governance der größere.

Wie erkenne ich Shadow AI im Unternehmen?

Über Inventarisierung: Netzwerk-Monitoring auf API-Endpunkte der großen Modellanbieter, Software-Inventar auf Agent-Frameworks und eine offene Meldeleitlinie statt Verboten. Verbote treiben die Nutzung nur tiefer in den Schatten.

Was ist der erste sinnvolle Schritt, wenn wir schon Agenten im Einsatz haben?

Ein Ist-Stand: Welche Agenten laufen, mit welchen Rechten, mit welchen Tool-Zugriffen, mit welchem Logging? Erst danach lohnt die Diskussion über Frameworks und Guardrails. Ohne Inventar bleibt jede Maßnahme Stückwerk.

Nächster Schritt

Wenn bei Ihnen bereits Agenten laufen, ob mit Claude, Copilot oder eigenem Stack, dann ist die wichtigste Frage nicht, ob die Technologie sicher sein kann. Sondern ob Ihre konkrete Umgebung es heute ist. Das lässt sich prüfen, bevor es jemand anderes tut.

Verwandte Themen