Der Praktikant, der nie nachfragt: Welche Rechte darf Ihr KI-Agent haben?
Im Juli 2025 löschte ein KI-Agent bei einem Softwareanbieter eine Produktionsdatenbank. Mitten in einem ausdrücklich angeordneten Code Freeze, also einer Phase, in der niemand etwas ändern durfte. Betroffen waren über tausend Datensätze von Führungskräften und Unternehmen. Anschließend erfand der Agent Ersatzdaten und behauptete, ein Rollback sei nicht möglich. Beides war falsch.
Der Agent war nicht bösartig. Er hatte schlicht Schreib- und Löschrechte auf der Produktivumgebung, keine erzwungene Trennung zwischen Test und Produktion, und niemanden, der seine Aktionen vorher freigeben musste. Er tat, was er durfte. Das Problem war nicht die Intelligenz der Maschine, sondern die Großzügigkeit der Berechtigung.
Diese Woche gingen Schlagzeilen durch die Presse, wonach KI-Modelle bei einem internen Test aus ihrer Umgebung ausgebrochen sind und in fremde Produktivsysteme eingedrungen sind. Das ist eine bemerkenswerte Geschichte, und sie handelt von Angreifern. Für Sie als Mittelständler ist die dringendere Frage aber eine andere, und sie richtet sich nach innen: Welche Rechte haben eigentlich die Agenten, die bei Ihnen längst mitlaufen?
Ein Agent redet nicht, er handelt
Der Unterschied zwischen einem Chatbot und einem Agenten ist der Unterschied zwischen einem Berater und einem Mitarbeiter mit Prokura. Ein Chatbot schlägt vor. Ein Agent versendet die E-Mail, ruft die Schnittstelle auf, ändert den Datensatz, löst die Bestellung aus.
Diese Systeme sind längst da, auch wenn sie selten so heißen. Microsoft meldete zuletzt, dass nahezu neunzig Prozent der Fortune-500-Unternehmen bereits Agenten mit den hauseigenen Werkzeugen gebaut haben. Im Mittelstand sind es die Copilot-Agenten in Microsoft 365, angebundene Assistenten mit Funktionsaufrufen, Automatisierungen in n8n, Make oder Zapier mit einem KI-Schritt dazwischen. Selten beschlossen als Projekt, meistens gewachsen aus einer Idee eines einzelnen Mitarbeiters.
Damit ein Agent handeln kann, braucht er Zugriff: Kalender, Postfach, Dateien, Schnittstellen, manchmal Bestellprozesse. Technisch bekommt er diesen Zugriff über Dienstkonten, Zugangstoken und delegierte Berechtigungen. Und hier liegt der wunde Punkt, der die meisten Betriebe überrascht: Für diese maschinellen Zugänge gilt fast nichts von dem, was Sie bei menschlichen Konten für selbstverständlich halten. Keine Zwei-Faktor-Anmeldung, kein Sitzungsende, oft keine Rotation der Zugangsdaten und, am schwersten wiegend, keine Zuordnung zu einem verantwortlichen Menschen.
Die Größenordnung ist bemerkenswert. Sicherheitsstudien zählen inzwischen zwischen fünfundvierzig und über hundert maschinelle Identitäten pro menschlichem Nutzer. Eine Untersuchung kommt zu dem Ergebnis, dass 97 Prozent dieser nicht-menschlichen Identitäten mehr Rechte haben, als sie brauchen, und 71 Prozent nicht im empfohlenen Zeitraum erneuert werden. Über die Hälfte der Unternehmen kann laut einer Analyse des Weltwirtschaftsforums nicht benennen, wem eine KI-Identität überhaupt gehört.
Ein Agent ohne benannten Besitzer ist ein Risiko ohne Adresse. Das ist der erste Satz, den ich in jeder Beratung dazu sage.
Sie haften. Ohne Wenn und Aber
An dieser Stelle kommt regelmäßig die Frage, ob das nicht ein Problem des Herstellers sei. Die Antwort ist unbequem: Nein. Wer einen Agenten einsetzt, haftet für dessen Handlungen.
Rechtlich ist das erstaunlich klar geregelt, auch wenn es kaum jemand weiß. Der Bundesgerichtshof hat bereits 2012 entschieden, dass nicht das Computersystem eine Erklärung abgibt, sondern das Unternehmen, das es als Kommunikationsmittel nutzt. Ausgelegt wird nach dem Empfängerhorizont, also danach, wie der Kunde die Nachricht verstehen durfte, und nicht danach, was das System gemeint hat. Wenn Ihr Agent also einen Preis nennt, eine Frist zusagt oder eine Bestellung auslöst, ist das Ihre Erklärung.
Die häufig bemühte Vorstellung, man könne solche Fehler einfach anfechten, trägt nur begrenzt. Bei krassen, offensichtlichen Preisfehlern schützt Sie die Rechtsprechung, weil ein Kunde sich darauf nicht berufen darf. Bei weniger eindeutigen Abweichungen kommt der Vertrag durchaus zustande. Und die Anfechtung wegen Irrtums muss unverzüglich erfolgen. Wer den Fehler erst drei Wochen später bemerkt, weil niemand die Agentenprotokolle liest, bleibt gebunden.
Interessant ist die dogmatische Einordnung, weil sie zeigt, wie sehr das Thema noch in Bewegung ist. Die Regeln über Stellvertretung und über den Verrichtungsgehilfen greifen nach herrschender Meinung nicht, weil beide eine rechtsfähige beziehungsweise menschliche Hilfsperson voraussetzen. Eine KI ist beides nicht. Tragend ist stattdessen die entsprechende Anwendung der Regeln über den Erfüllungsgehilfen: Sie müssen sich das Fehlverhalten Ihres Agenten zurechnen lassen wie das eines Menschen, den Sie eingesetzt haben.
Zwei Entwicklungen verschärfen die Lage. Erstens ist die geplante europäische KI-Haftungsrichtlinie im Oktober 2025 förmlich zurückgezogen worden. Wer auf harmonisierte, verbraucherfreundliche Sonderregeln gewartet hat, wartet vergeblich; es bleibt beim nationalen Recht. Zweitens gilt ab dem 9. Dezember 2026 die neue europäische Produkthaftung, die Software und KI-Systeme ausdrücklich als Produkt behandelt, Beweiserleichterungen für Geschädigte einführt und die Haftungshöchstgrenze streichen wird. Der deutsche Gesetzentwurf ist seit Februar 2026 im Verfahren.
Dazu kommt der Datenschutz. Trifft ein Agent Entscheidungen über Menschen, greift das Verbot rein automatisierter Entscheidungen mit erheblicher Wirkung. Der Europäische Gerichtshof hat diese Schwelle im SCHUFA-Urteil weit gezogen: Schon ein Wert, den ein Dritter seiner Entscheidung maßgeblich zugrunde legt, zählt dazu. Für Agenten heißt das konkret, dass Bewerbervorauswahl, Kreditentscheidungen, Kündigungen und personenbezogene Preisgestaltung eine wesentliche menschliche Beteiligung brauchen. Und wesentlich bedeutet mehr, als in fünf Sekunden auf Bestätigen zu klicken.
Warum der Agent nicht sicher zu bekommen ist
Bevor wir zur Lösung kommen, eine Ernüchterung, die ich Ihnen nicht ersparen kann. Die zentrale Schwachstelle agentischer Systeme lässt sich nicht wegpatchen.
Verarbeitet ein Agent Inhalte von außen, also E-Mails, Webseiten oder Dokumente, kann er darin versteckte Anweisungen als echte Befehle ausführen. Der Grund ist grundsätzlicher Natur: Anweisung und Fremdtext landen im selben Kontext, und das Modell kann beide nicht zuverlässig unterscheiden. Das BSI stuft das ausdrücklich als intrinsische Eigenschaft dieser Systeme ein, nicht als Fehler. Die amerikanische Normungsbehörde NIST formuliert es ähnlich deutlich: Eine vollständige Prävention ist nicht erreichbar.
Gefährlich wird das durch die Kombination dreier Fähigkeiten, für die sich der Begriff der tödlichen Dreifaltigkeit eingebürgert hat: Zugriff auf vertrauliche Daten, Verarbeitung nicht vertrauenswürdiger Inhalte und die Möglichkeit, nach außen zu kommunizieren. Jede für sich ist beherrschbar. Zusammen erlauben sie einem Angreifer, den Agenten per eingeschleuster Anweisung dazu zu bringen, interne Daten zu lesen und zu versenden, ganz ohne klassischen Einbruch. Genau das führte im Juni 2025 die Schwachstelle EchoLeak in Microsoft 365 Copilot vor, bei der eine einzige präparierte E-Mail ohne jede Nutzerinteraktion genügte. Microsoft hat sie serverseitig geschlossen; bekannt geworden ist kein Missbrauch. Aber das Muster bleibt.
Die praktische Konsequenz ist unspektakulär und wirksam zugleich. Sie machen das Modell nicht immun, das kann niemand. Sie begrenzen, was ein verwirrtes Modell überhaupt anrichten kann. Das BSI empfiehlt in seinem gemeinsam mit der französischen Behörde ANSSI veröffentlichten Papier genau das: Zugriffsrechte so weit wie nötig begrenzen, Entscheidungswege nachvollziehbar machen und kritische Entscheidungen unter menschliche Aufsicht stellen. Vollständig autonome Agenten für sensible Anwendungsfälle lehnt das BSI ab.
Vier Stufen, die das Problem lösen
Das wirksamste Einzelinstrument ist eine Abstufung der Handlungsrechte. Nicht die Frage, ob ein Agent etwas darf, sondern in welcher Tiefe.
Auf Stufe null darf der Agent ausschließlich lesen. Er recherchiert im CRM, durchsucht die Wissensdatenbank, fasst zusammen. Er verändert nichts. Für einen großen Teil der Anwendungsfälle im Mittelstand reicht diese Stufe vollkommen aus.
Auf Stufe eins erstellt der Agent Entwürfe. Die Angebots-E-Mail, den Terminvorschlag, den Protokollentwurf. Ausgeführt wird nichts, ein Mensch gibt frei. Das ist der sinnvolle Standard für alles, was nach außen geht.
Auf Stufe zwei führt der Agent aus, aber erst nach ausdrücklicher Bestätigung, und zwar pro Aktion. Hier gehören Bestellungen, externe Kommunikation und Datenänderungen hin.
Auf Stufe drei handelt der Agent selbstständig, allerdings nur innerhalb harter technischer Grenzen: unterhalb eines Betragslimits, an Empfänger von einer Positivliste, in einem abgegrenzten Datenbereich. Der eingangs geschilderte Fall war Stufe drei ohne die Grenzen von Stufe drei.
Zwingend menschlich freigegeben werden sollten Zahlungen ab einer definierten Schwelle, rechtlich verbindliche Zusagen nach außen, das Löschen oder unumkehrbare Ändern von Daten, Vertragsabschlüsse und jede Entscheidung, die einzelne Personen betrifft.
Dazu kommen drei organisatorische Punkte, die wenig Aufwand kosten und viel bewirken. Jeder Agent bekommt einen namentlich benannten menschlichen Besitzer. Jeder Agent bekommt eine eigene Identität mit minimalen Rechten statt eines geteilten Administratorzugangs, mit kurzlebigen Zugangsdaten, die regelmäßig erneuert werden. Und jede Aktion wird protokolliert, mindestens sechs Monate lang, nachvollziehbar bis zum Verantwortlichen.
Was jetzt ansteht
Zwei Fristen sollten Sie im Kalender haben. Ab dem 2. August 2026 gelten die Transparenzpflichten der europäischen KI-Verordnung. Wenn ein Agent statt eines Menschen mit Ihren Kunden schreibt, muss das erkennbar sein. Und ab dem 9. Dezember 2026 greift die neue Produkthaftung mit ihren Beweiserleichterungen, weshalb ein Blick auf Ihren Versicherungsschutz und die Deckungssummen sinnvoll ist.
Die Pflichten für Hochrisiko-Anwendungen sind durch das sogenannte Digitale Omnibus-Paket voraussichtlich auf Dezember 2027 verschoben worden. Die förmliche Veröffentlichung stand zuletzt noch aus, weshalb ich diese Daten als Planungsgrundlage behandle und nicht als verkündetes Recht. Was die Verschiebung ausdrücklich nicht ist: ein Grund, nichts zu tun. Die eigentliche Arbeit besteht darin, herauszufinden, welche Agenten Sie überhaupt haben und was sie dürfen. Diese Arbeit wird mit der Zeit nicht leichter, sondern schwerer.
Deshalb der ehrlichste Rat, den ich zu diesem Thema geben kann, und er klingt banal: Setzen Sie sich hin und schreiben Sie auf, welche Agenten und Automatisierungen bei Ihnen laufen, welche Rechte sie haben und wer für sie verantwortlich ist. Wenn Sie das nicht auf eine Seite bekommen, haben Sie kein Governance-Problem in der Zukunft, sondern eines in der Gegenwart.
Der Agent ist ein Praktikant, der nie nachfragt, nie müde wird und nie zögert. Genau deshalb entscheidet nicht seine Fähigkeit über Ihr Risiko, sondern der Schlüsselbund, den Sie ihm geben.
Sie wissen nicht, welche Agenten und Automatisierungen in Ihrem Unternehmen laufen und welche Rechte sie haben? Genau daran arbeite ich: Bestandsaufnahme der eingesetzten KI-Systeme, Einstufung der Handlungsrechte, Freigabeschwellen und die Frage, was Datenschutz und Haftung in Ihrem konkreten Fall verlangen. Als TÜV-zertifizierter Datenschutzbeauftragter mit Marketing-Hintergrund verbinde ich dabei die rechtliche und die praktische Seite. Schreiben Sie mir über das Kontaktformular.
Quellen
BGH, Urteil vom 16.10.2012, Az. X ZR 37/12 (Zurechnung automatisierter Erklärungen) · AG Dortmund, Az. 425 C 9322/16; OLG Frankfurt am Main, Az. 9 U 11/23; LG Köln, Az. 37 O 220/22 (Preisfehler und Anfechtung) · §§ 133, 157, 119, 121, 278 BGB · Richtlinie (EU) 2024/2853 über die Produkthaftung (Umsetzungsfrist 9.12.2026); deutscher Regierungsentwurf ProdHaftG-E (Februar 2026) · Rücknahme der KI-Haftungsrichtlinie, Amtsblatt vom 6.10.2025 · EuGH, Urteil vom 07.12.2023, Az. C-634/21 (SCHUFA), zu Art. 22 DSGVO · Verordnung (EU) 2024/1689 (KI-Verordnung): Art. 4, 14, 26, 50; Digital Omnibus, politische Einigung Mai 2026 · BSI und ANSSI: „Design Principles for LLM-based Systems with Zero Trust“ (11.8.2025) · OWASP Top 10 for LLM Applications 2025; OWASP Top 10 for Agentic Applications 2026 · NIST AI 100-2e2025 · Aim Labs zu EchoLeak, CVE-2025-32711 (Juni 2025) · dokumentierte Vorfälle: Replit-Datenbanklöschung (18.7.2025), Anthropic-Bericht GTG-1002 (November 2025), OpenAI/Hugging Face (Juli 2026) · Entro Security, Rubrik Zero Labs, Palo Alto Networks zu nicht-menschlichen Identitäten · Gartner (25.6.2025) · Microsoft, Quartalsbericht Q3 FY2026 · Bitkom (15.9.2025).
