KI-Agenten brauchen begrenzte Vollmachten

Max Imbiel, Field CISO DACH, Cloudflare

Zugriffskontrolle konzentrierte sich bislang auf den Menschen und von der IT festgelegten Maschinenaccounts. Bei menschlichen Nutzern waren Berechtigungen an eine authentifizierte Identität gebunden und die Anmeldung galt als Nachweis dafür, dass ein legitimer Nutzer handelt.

Autonome KI-Agenten stellen dieses Modell jedoch infrage. Sie agieren eigenständig, allerdings im Auftrag eines Dritten, ihre Anfragen lassen sich technisch dabei kaum von denen eines Anwenders unterscheiden. Damit verliert die Identität des Nutzers ihre steuernde Funktion. An Bedeutung gewinnt jetzt die Vollmacht, unter der ein Agent handelt, zusammen mit dem Auftrag, der die Reichweite bestimmt. Für Sicherheitsverantwortliche verschiebt sich die zentrale Aufgabe von der Authentifizierung eines Nutzers hin zur Überprüfung einer delegierten Berechtigung.

Verwandt: Nvidia will ausbrechende KI-Agenten per Hardware stoppen · KI-Agenten erbeuten 600.000 Kreditkartendaten

Etablierte Verfahren der Identitäts- und Zugriffsverwaltung kontrollieren den Nutzer zum Zeitpunkt der Anmeldung und leiten seine Rechte aus der bestätigten Identität ab. Die anschließende Sitzung gilt damit bis zum Ende als vertrauenswürdig. Bei Agenten reicht dieses Vorgehen nicht mehr aus, da sie über längere Zeiträume eigenständig, sprich ohne menschliches Zutun, operieren und sich ihr Handlungsauftrag nicht aus einem einzelnen Anmeldevorgang ableiten lässt.

Hinzu kommt die begrenzte Aussagekraft der Signale, anhand derer sich automatisierter Verkehr bisher vom menschlichen unterscheiden ließ. IP-Bereiche teilen sich zahlreiche Dienste, darüber hinaus wechseln sie häufig. Hinzu kommt, dass sich User-Agent-Strings beliebig fälschen lassen. Keines dieser Merkmale belegt den Auftraggeber eines Agenten oder die Legitimität seines Auftrags.

Bereits bei menschlichen Identitäten ist das problematisch, wie aktuelle Auswertungen zeigen. Cloudflare schützt mit seinem globalen Netzwerk rund 25 Prozent aller Webseiten (vgl. W3Techs). Das Unternehmen hat die erfolgreichen Anmeldungen auf Webseiten im kostenlosen Tarif zwischen September und November 2024 ausgewertet. Bei rund 41 Prozent dieser Anmeldungen kamen Passwörter zum Einsatz, die bereits aus Datenlecks bekannt waren.

Dem RSA ID IQ Report 2026 zufolge waren innerhalb von drei Jahren 75 Prozent der deutschen Unternehmen von einem identitätsbezogenen Sicherheitsvorfall betroffen. Der einmalige Anmeldenachweis ist somit bereits für Anwender nicht mehr verlässlich, geschweige denn für delegiert handelnde Agenten.

Überprüfbare Herkunft durch signierte Anfragen

Belastbarkeit gewinnt die Zugriffskontrolle erst durch einen kryptografischen Herkunftsnachweis. Das Verfahren Web Bot Auth stützt sich dafür auf HTTP Message Signatures nach RFC 9421: Der Betreiber eines Agenten signiert seine Anfragen mit einem privaten Schlüssel und hinterlegt den dazugehörigen öffentlichen Schlüssel an einer definierten Adresse, sodass die empfangende Seite die Signatur prüfen kann.

Die Anbieter setzen das unterschiedlich um. OpenAI weist den Verkehr seines ChatGPT-Agenten über Web Bot Auth aus. Google bezeichnet seine Unterstützung für das Verfahren als experimentell. AWS nutzt mit Signature Version 4 einen eigenen Ansatz zur Signierung von Anfragen, der sich von Web Bot Auth unterscheidet. An die Stelle fälschbarer Merkmale tritt ein Nachweis, der sich unabhängig von IP-Bereich und User-Agent verifizieren lässt.

Die Signatur weist zunächst den Betreiber eines Agenten aus. Für die Zugriffskontrolle zählt jedoch die Verknüpfung mit einem Verantwortlichen. Neuere Ansätze weisen daher jedem Konto eine stabile Kennung zu und dehnen diese Identität auf einzelne Agenten aus. Eine Organisation, die eine Anfrage empfängt, erkennt damit den Auftraggeber, der den zugreifenden Agenten autorisiert hat. So lässt sich jeder einzelne Zugriff auf die Person oder Organisation zurückführen, die ihn veranlasst hat.

Delegationsketten und die Grenzen des Mandats

Eine überprüfbare Identität benennt den Handelnden, sie sagt jedoch noch nichts über den Umfang seiner Befugnis aus. Ein Agent handelt auf Basis einer vom Auftraggeber erteilten Vollmacht, die strikt eingegrenzt sein muss. Maßgeblich sind drei Eigenschaften: der Umfang der erlaubten Handlungen, die zeitliche Befristung der Vollmacht und die Möglichkeit, sie einzeln zu entziehen, ohne den Zugang des Auftraggebers selbst anzutasten.

Delegierte Vollmacht tritt in zwei Ausprägungen auf. Ein Agent kann im Auftrag eines einzelnen Endnutzers handeln und dessen persönliche Berechtigung tragen oder er wird von einem Betreiber für dessen eigene Zwecke gesteuert und tritt mit der Berechtigung einer Organisation auf. Für die empfangende Seite ist diese Unterscheidung wesentlich, da sich Reichweite und Haftung der Vollmacht in beiden Fällen unterscheiden.

Ein endnutzergesteuerter Agent reicht nur so weit wie die Rechte der Person, die ihn beauftragt, während ein betreibergesteuerter Agent an die Zusagen und Grenzen seiner Organisation gebunden bleibt.

Die Delegation verläuft in vielen Fällen mehrstufig: Ein Nutzer beauftragt einen Agenten, dieser ruft weitere Dienste auf, die ihrerseits im Rahmen des ursprünglichen Auftrags handeln. Für die Zugriffskontrolle entsteht daraus die Anforderung, über die Identität eines Agenten hinaus die Reichweite des Mandats zu prüfen, unter dem er auftritt. Eine Berechtigung, die dem Prinzip minimaler Rechte folgt, begrenzt den möglichen Schaden bei einer Kompromittierung des Agenten oder bei einer Aktion außerhalb seines Auftrags.

Unbegrenzte oder dauerhaft gültige Vollmachten bewirken das Gegenteil. Ein solcher Agent fungiert damit als kritisches Einfallstor mit kaum kontrollierbarem Missbrauchspotenzial. Vollmachten an einen festen Zweck und eine strenge Laufzeit zu knüpfen, rückt damit ins Zentrum der Zugriffskontrolle.

Laufende Überwachung des Agentenverhaltens

Eine erteilte Vollmacht legt den Rahmen fest, das Risiko entsteht jedoch im laufenden Betrieb. Die Rechte eines Agenten bleiben stabil, seine Aufgaben und sein Verhalten verändern sich. Die Zugriffskontrolle endet daher nicht mit der Vergabe einer Berechtigung. Sie verlangt einen fortlaufenden Abgleich des tatsächlichen Verhaltens mit dem erteilten Mandat.

Ein solcher Abgleich stützt sich auf beobachtende Merkmale des Zugriffs. Aufschlussreich sind das Volumen der Anfragen, ihre Ziele und ihr zeitlicher Verlauf sowie die Frage, ob eine Handlung zum bekannten Aufgabenprofil des Agenten passt. Die Identität benennt den autorisierten Akteur, das Verhalten zeigt, ob sein Handeln innerhalb des Mandats bleibt. Erst beide zusammen ergeben eine belastbare Entscheidung.

Bei einer hohen Anzahl von Agenten lässt sich diese Beobachtung nicht manuell leisten. Erforderlich ist eine automatisierte Erkennung von Abweichungen und eine hinterlegte Reaktion, die bei einem Verstoß den Zugriff drosselt oder die betroffene Vollmacht aussetzt. Grundlage bleibt ein belastbares Verzeichnis aller nichtmenschlichen Identitäten, das erteilte Rechte und beobachtetes Verhalten zusammenführt.

Das Spannungsfeld aus Dezentralität, Anonymität und Nachvollziehbarkeit

Eine verlässliche Zugriffskontrolle für Agenten kollidiert mit der grundlegenden Architektur des Internets. Ein System lässt sich dezentral, anonym und nachvollziehbar auslegen, doch gleichzeitig erreichbar sind immer nur zwei dieser drei Eigenschaften. Die aktuellen Voreinstellungen des Webs bevorzugen Dezentralität und Anonymität und nehmen dafür eine geringe Nachvollziehbarkeit in Kauf.

Für autonome Agenten wird diese Prioritätensetzung zum Problem. Ohne Nachvollziehbarkeit lässt sich der Auftraggeber eines Zugriffs nicht bestimmen und die Verantwortung für das Handeln des Agenten bleibt ungeklärt. Anonymität behält jedoch ihre Berechtigung, etwa zum Schutz der Privatsphäre. Verfahren wie Privacy Pass nach RFC 9576 und RFC 9578 arbeiten mit anonymen Nachweisen.

Der Client bestätigt damit eine bestandene Prüfung, ohne eine dauerhafte Kennung preiszugeben. Ergänzende Protokolle sollen es einem Client gestatten, eine belastbare Historie bei einem Dienst zu belegen, ohne seine Identität offenzulegen.

Gleichzeitig birgt eine ausgebaute Infrastruktur anonymer Nachweise ein Risiko. Sie ließe sich darauf ausweiten, bestimmte Geräteeigenschaften oder Betriebssysteme vorauszusetzen und könnte ältere Geräte sowie weniger verbreitete Plattformen vom Zugang ausschließen. Für Sicherheitsverantwortliche bedeutet das: Nachvollziehbarkeit für Agenten muss bewusst hergestellt werden, ohne legitime anonyme Nutzer zu verdrängen.

Identität als durchgehende Kontrollschicht

Eine überprüfbare Identität, ob menschlich oder maschinell, verändert den Ansatzpunkt der Kontrolle. Die Entscheidung über einen Zugriff verlagert sich vom einmaligen Eintritt auf die einzelne Anfrage, an die sich eine geprüfte Identität knüpfen lässt. Damit lassen sich Berechtigungen je Identität festlegen und durchsetzen, ohne dass die Anwendung diese Kennung selbst übermitteln muss.

Auf derselben Grundlage lässt sich die Nutzung den handelnden Identitäten zuordnen. Da sich jede Aktion einer Identität zurechnen lässt, sind Protokollierung, Kostenkontrolle und die Begrenzung einzelner Berechtigungen möglich. Bei automatisierten Zugriffen fehlt diese Zurechnung bislang häufig, da ein technischer Schlüssel den handelnden Akteur nicht ausweist. Eine je Identität geführte Zuordnung behebt diesen Mangel und macht den Ressourcenverbrauch autonomer Systeme steuerbar.

Die Sicherheitsarchitektur verschiebt sich daher: Identität wird zur durchgehenden Schicht, die menschliche und maschinelle Akteure gleichermaßen erfasst und jeden Zugriff an eine überprüfbare, nachvollziehbare Berechtigung bindet. Die Kontrolle rückt von der Absicherung eines Netzübergangs zur durchgehenden Bewertung jeder Handlung. Die Gestaltung der Zugriffskontrolle für Agenten richtet sich damit an einer überprüfbaren Identität und einer eindeutigen Vollmacht aus.

Fazit: Zugriffskontrolle für Agenten als strategische Aufgabe

Zugriffskontrolle für KI-Agenten verlangt mehr als eine Erweiterung bestehender Verfahren. Sie beruht auf einer überprüfbaren Identität für maschinelle Akteure, auf begrenzten und entziehbaren Vollmachten sowie auf einer durchgängigen Rückverfolgbarkeit jeder Handlung. Sicherheitsverantwortliche stehen damit vor einer neuen Herausforderung. Ihre Aufgabe verlagert sich von der Abwehr unerwünschter Automatisierung zur geordneten Aufnahme legitimer Agenten.

Daraus ergeben sich drei zentrale Aufgaben: Zunächst müssen Organisationen den Zugang sowie den Umfang für einzelne Agenten festlegen und durch überprüfbare Nachweise absichern. Darüber hinaus gilt es, Vollmachten streng zweckgebunden zu erteilen und regelmäßig zu kontrollieren. Zudem erfordert die Nachvollziehbarkeit der eigenen Dienste eine bewusste Gestaltung, die das Spannungsverhältnis von Anonymität und Rückverfolgbarkeit bewusst austariert.

Die dafür nötigen Bausteine beruhen auf offenen Standards, etwa auf signierten Anfragen nach etablierten Spezifikationen. Diese Grundlage reduziert die Abhängigkeit von einzelnen Anbietern und erlaubt eine Zugriffskontrolle, die über Plattformgrenzen hinweg trägt. Organisationen, die diese Struktur frühzeitig anlegen, gewinnen Steuerungsfähigkeit in einer Umgebung, in der ein zunehmender Teil des Zugriffs von autonomen Systemen ausgeht.

Checkliste für Sicherheitsverantwortliche im Umgang mit KI-Agenten

Häufige Fragen

Jede Frage ist verschlossen. Ein Tippen entriegelt die Antwort.

Was weist eine signierte Anfrage nach?

Sie erlaubt die Prüfung ihrer Herkunft. Der Umfang einer Berechtigung muss zusätzlich geprüft werden.

Was begrenzt eine delegierte Vollmacht?

Ihr Umfang, ihre Laufzeit und die Möglichkeit, sie einzeln zu entziehen.

Warum reicht eine einmalige Anmeldung bei Agenten nicht aus?

Aufgaben und Verhalten ändern sich während des Betriebs. Deshalb fordert der Beitrag einen fortlaufenden Abgleich mit dem Mandat.

Welche Signale helfen bei diesem Abgleich?

Anfragevolumen, Ziele, zeitlicher Verlauf und die Übereinstimmung mit dem bekannten Aufgabenprofil.

Welche Rolle spielen offene Standards?

Sie ermöglichen die Prüfung von Anfragen über Plattformgrenzen hinweg.

Lesetipps der Redaktion

LesetippNvidia will ausbrechende KI-Agenten per Hardware stoppenLesetippKI-Agenten erbeuten 600.000 KreditkartendatenLesetippCopilot kennt alle Freigaben im Tenant, auch die falschen

Mehr aus dem MBF Media Netzwerk

cloudmagazinopenDesk öffnet sich für private Cloud-AnbieterDigital ChiefsKI-Ausgaben steigen, skaliert hat nur jede fünfte FirmaMyBusinessFutureWas die KI-Skepsis der Kundschaft für Firmen heißt

Bildquelle: KI-generiert (Oktober 2026)