KI-Agenten im Unternehmen: Was sie können und was vorher geklärt sein muss

„Anders als ein Chatbot, der auf Fragen antwortet, handelt ein Agent selbstständig“, schreibt der Branchenverband Bitkom. Das BSI beschreibt einen KI-Agenten als Software, die auf Grundlage eines großen Sprachmodells eigenständig Aktionen ausführt, oft mit zusätzlichen Zugriffsrechten. Stand dieses Beitrags: Oktober 2026.

1. Was KI-Agenten heute können

Ein Agent bekommt eine Aufgabe und arbeitet sie in mehreren Schritten ab. Er sucht Informationen zusammen, öffnet Programme, schreibt Entwürfe und kann je nach Einrichtung auch Mails versenden oder Daten ändern. Die großen Anbieter bauen solche Funktionen inzwischen in ihre Büroprogramme ein. Microsoft bietet zum Beispiel mit Copilot Studio eine Umgebung, in der Unternehmen eigene Agenten ohne Programmierkenntnisse zusammenstellen und in Teams bereitstellen können.

Im Mittelstand ist das noch neu. Nach einer Bitkom-Umfrage vom September 2026 setzen 11 Prozent der Unternehmen, die sich mit KI beschäftigen, bereits KI-Agenten ein, weitere 29 Prozent planen es. Bitkom-Präsident Ralf Wintergerst ordnet ein: „KI-Agenten stehen heute etwa dort, wo Künstliche Intelligenz insgesamt vor drei Jahren stand.“

2. Der Unterschied, auf den es ankommt: Rechte

Ein Chatbot, der eine falsche Antwort gibt, richtet wenig Schaden an, solange ein Mensch sie prüft. Ein Agent, der selbst handelt, braucht Zugriff: auf das Postfach, den Kalender, die Dateiablage, vielleicht die Buchhaltung. Was er dort tut, geschieht mit Ihren Rechten. Deshalb ist die wichtigste Frage bei einem Agenten nicht, was er kann, sondern was er darf.

Das BSI empfiehlt: „Erlauben Sie einem KI-Agenten nur die Zugriffe, die er für seine spezifische Aufgabe wirklich braucht.“ Aktionen mit finanziellen Folgen, etwa Bestellungen oder Zahlungen, sollten vor der Ausführung von einem Menschen geprüft werden.

3. Das neue Risiko: versteckte Befehle

Ein Agent liest Mails, Dokumente und Webseiten. Darin können Anweisungen versteckt sein, die er für Aufträge hält, zum Beispiel als weißer Text auf weißem Hintergrund. Fachleute nennen das Prompt Injection. Das BSI hat im Juni 2026 darauf hingewiesen, dass solche Angriffe vor allem bei agentischen Systemen kritisch werden, weil deren Ausgaben direkt Aktionen auslösen. Mögliche Folgen sind abfließende Daten, unberechtigte Zugriffe oder Schadsoftware.

Wie schnell das praktisch wird, zeigt der frei verfügbare Assistent OpenClaw, der über Chat-Apps gesteuert wird und dafür weitreichende Rechte auf dem Rechner braucht. Im Februar 2026 wurden darin mehr als 60 Sicherheitslücken geschlossen, und auf seinem Marktplatz für Erweiterungen fanden sich Zusätze mit Schadcode. Werkzeuge dieser Art gehören nicht ohne Prüfung auf Firmenrechner.

4. So sieht ein sicherer Start aus

• Eine Aufgabe, nicht alle: Beginnen Sie mit einer klar umrissenen, wiederkehrenden Aufgabe, deren Ergebnis sich leicht prüfen lässt.
• Rechte aufschreiben: Legen Sie fest, worauf der Agent zugreifen darf und worauf nicht. Lesen ist etwas anderes als Ändern oder Versenden.
• Freigabe einbauen: Alles, was das Haus verlässt oder Geld kostet, gibt ein Mensch frei.
• Werkzeuge aus bekannter Quelle: Nutzen Sie Agenten aus den Programmen, für die Sie bereits Verträge und Regeln haben, statt frei verfügbarer Zusätze.
• Schulen: Wer mit dem Agenten arbeitet, sollte wissen, wo seine Grenzen liegen. Das verlangt auch die KI-Verordnung.

Welche Regeln vor dem ersten KI-Einsatz feststehen sollten, steht im Beitrag KI im Unternehmen einführen.

Und dann?

Ich helfe Ihnen, die erste sinnvolle Aufgabe für einen Agenten zu finden, die Rechte festzulegen und den Test so aufzusetzen, dass Sie am Ende wissen, ob er sich lohnt. Wie ich KI-Einführungen begleite, steht auf der Seite KI-Beratung. Für eine einzelne Frage, etwa ob ein bestimmtes Angebot zu Ihrem Unternehmen passt, reicht eine Einzelberatung.