Ihr KI-Agent hat die Berechtigung zu handeln. Aber wer hat sie erteilt?
Das Versprechen autonomer KI-Agenten ist einfach: Die Agenten erledigen die Arbeit, damit Ihr Team sie nicht erledigen muss. KI-Agenten überwachen Postfächer, legen Tickets an, veröffentlichen Statusmeldungen und steuern Arbeitsabläufe. Im Hintergrund arbeiten sie rund um die Uhr und tragen die operative Last, die jedes wachsende Unternehmen ausbremst.
Doch über eine Frage spricht in der KI-Branche kaum jemand gern: Wenn Ihr KI-Agent in Ihrem Namen ein GitHub-Issue kommentiert, eine LinkedIn-Nachricht sendet oder eine Datenbankabfrage ausführt, wer hat diese Handlung eigentlich autorisiert?
Nicht im abstrakten Sinn von „wir haben KI eingeführt“. Sondern konkret. Nachvollziehbar. So, dass Ihr Compliance-Team, Ihre IT-Administration und das Kundenunternehmen, dessen Daten betroffen waren, zufrieden wären.
Das ist die Vertrauenslücke im Zentrum des KI-Einsatzes in Unternehmen. Und sie zu schließen ist schwerer, als es aussieht.
Die Bestätigungsfalle
Die meisten Plattformen lösen das Vertrauensproblem auf dem naheliegenden Weg, indem sie um Erlaubnis bitten. Jedes Mal.
Ihr KI-Agent will ein GitHub-Issue kommentieren? Bestätigen. Er will eine Nachfass-E-Mail senden? Bestätigen. Er will ein Statusfeld in Ihrer Projektverwaltung aktualisieren? Bestätigen.
In Demos funktioniert das hervorragend. Im Produktivbetrieb ist es ein Desaster.
Was tatsächlich passiert: Ihre IT-Administration legt zu Recht fest, dass Schreibvorgänge eine Bestätigung erfordern. Dort will niemand, dass KI-Agenten Produktivsysteme ändern, ohne dass ein Mensch beteiligt ist. Das ist verantwortungsvolle Kontrolle.
Dann bittet Ihre Geschäftsführung die KI, „alle fünf offenen Issues mit unserem Zeitplanstatus zu aktualisieren“. Die KI versucht pflichtbewusst, fünf Kommentare zu veröffentlichen. Jeder trifft auf die Bestätigungspflicht. Jeder bleibt stehen. Die KI meldet zurück: „Für jede dieser Aktionen brauche ich eine Bestätigung.“ Die Geschäftsführung wollte nur eine einfache Aufgabe erledigt haben und muss nun fünf einzelne Vorgänge freigeben. Bei der dritten Bestätigung kommt Frust auf. Bei der fünften stellt sich die Frage, warum man überhaupt KI eingeführt hat.
Das ist die Bestätigungsfalle. Strenge Kontrollen machen KI nutzlos. Lockere Kontrollen machen KI gefährlich. Und je nach Lage zwischen beiden umzuschalten, verlangt genau das menschliche Urteil, das Sie eigentlich automatisieren wollten.
Wie ein echtes Berechtigungsmodell aussieht
Die Antwort ist nicht, die Bestätigungsschritte abzuschaffen. Ihre IT-Administration hatte recht, sie einzurichten. Die Antwort ist eine saubere Befugniskette, so wie Organisationen Delegationsfragen schon immer gelöst haben.
Denken Sie daran, wie das mit Mitarbeitenden funktioniert. Wer ein Unternehmen führt, gibt nicht jede E-Mail der Assistenz einzeln frei. Stattdessen gibt es eine dauerhafte Befugnis: „Sie dürfen in meinem Namen Termine vereinbaren, Routineanfragen von Lieferfirmen beantworten und die Projektverwaltung aktualisieren. Sagen Sie aber keine Ausgaben über 5.000 US-Dollar zu, ohne vorher mit mir zu sprechen.“
Die Assistenz kennt ihre Grenzen. Die Unternehmensleitung vertraut darauf, dass die Assistenz innerhalb dieser Grenzen handelt. Und wenn jemand fragt: „Wer hat diesen Termin genehmigt?“, ist die Antwort klar und nachvollziehbar.
KI-Agenten brauchen dasselbe Modell. Keine pauschale Autonomie. Keine Freigabe für jede einzelne Aktion. Sondern übertragene Befugnis mit klarem Umfang, klarem Ablaufdatum und einem klaren Prüfpfad.
Drei Grundsätze für Berechtigungen von KI-Agenten
Nachdem wir dieses Problem in Dutzenden von Einsatzszenarien durchgearbeitet haben, sehen wir drei Grundsätze. Sie unterscheiden Kontrolle über KI, die im Produktivbetrieb trägt, von Sicherheit zum Abhaken, die nur in der Demo genügt.
1. Die Einstellungen der IT-Administration sind unantastbar
Ihre IT-Administration legt fest, welche Vorgänge eine Bestätigung erfordern. Diese Konfiguration bildet die Sicherheitslage, die Compliance-Anforderungen und die Risikotoleranz Ihres Unternehmens ab. Kein KI-System sollte diese Einstellungen jemals mit cleverem Code umgehen.
Das klingt selbstverständlich, aber genau das tun die meisten Plattformen für „intelligente Automatisierung“. Sie sehen die Bestätigungspflicht, halten sie für lästig und finden einen Weg drumherum. Vielleicht bündeln sie Freigaben. Vielleicht genehmigen sie Vorgänge mit „geringem Risiko“ automatisch, nach ihrer eigenen Risikobewertung. Vielleicht überspringen sie die Bestätigung bei „vertrauenswürdigen“ Abläufen einfach.
All diese Ansätze haben denselben Fehler: Das Urteil des KI-Anbieters tritt an die Stelle des Urteils Ihrer IT-Administration darüber, was Aufsicht braucht. Die IT-Administration hatte Gründe für die Bestätigungspflicht. Das System sollte diese Gründe respektieren, auch wenn es bequemer wäre, sie zu umgehen.
2. Befugnis muss über Menschen laufen, nicht an ihnen vorbei
Wenn ein KI-Agent einen Bestätigungsschritt überspringt, muss es einen Menschen geben, der genau das ausdrücklich erlaubt hat. Nicht jemanden, der „das System eingerichtet hat“. Nicht jemanden, der „nicht widersprochen hat“. Eine bestimmte Person, die gesagt hat: „Ja, diese Art von Aktion ist freigegeben“, und deren Identität festgehalten ist.
In der Praxis bedeutet das zweierlei:
Dauerfreigaben mit echter Identität. Wenn Ihre Geschäftsführung sagt: „Alle Schreibvorgänge in GitHub sind für die nächsten 30 Tage freigegeben“, wird diese Freigabe mit ihrer verifizierten E-Mail-Adresse, dem genauen Umfang und dem Ablaufdatum gespeichert. Kein anonymer Schalter. Keine Systemeinstellung. Eine nachvollziehbare Entscheidung eines namentlich bekannten Menschen.
Befugnis durch direkte Anfrage. Wenn die Geschäftsführung die KI direkt um eine bestimmte Aktion bittet, ist ihre Identität die Autorisierung. Das System hält fest, wer gefragt hat, worum und wann. Ein separater Bestätigungsschritt ist nicht nötig, denn die Person mit der Befugnis hat die Anweisung gerade selbst gegeben.
3. Die KI muss ihre Befugnis belegen, nicht nur behaupten
An dieser Stelle scheitern die meisten Berechtigungssysteme, und hier zeigen sich die besonderen Herausforderungen bei der Kontrolle über KI.
Mitarbeitende erfinden in der Regel nicht, woher ihre Befugnis stammt. Wenn Ihre Assistenz sagt: „Die Geschäftsführung hat diesen Termin genehmigt“, können Sie das recht leicht prüfen. KI-Agenten, insbesondere große Sprachmodelle, können sich aber mit voller Überzeugung irren. Sie können sich Befugnisse ausdenken, die sie nicht haben. Sie können sich falsch an Freigaben erinnern, die abgelaufen sind. Sie können aus „Die Geschäftsführung hat GitHub-Kommentare freigegeben“ ableiten: „Die Geschäftsführung gibt wahrscheinlich alle GitHub-Vorgänge frei.“
Die Lösung liegt in der Struktur, nicht im Verhalten. Halluzinationen lassen sich nicht beheben, indem man der KI sagt, sie solle sorgfältiger sein. Man behebt sie, indem man einen Nachweis auf kryptografischem Niveau verlangt.
Wenn unsere KI-Agenten einen Bestätigungsschritt überspringen, müssen sie einen Befugnisnachweis vorlegen, der die konkrete Quelle der Freigabe nennt: „Dauerfreigabe erteilt von sarah@company.com am 15. März 2026, Umfang: github:add_issue_comment, gültig bis 14. April 2026.“ Diesen Nachweis erzeugt das System, nicht die KI. Die KI kann ihn nicht fälschen, weil sie den Datenspeicher, in dem die Freigaben liegen, nicht kontrolliert.
Bei direkten Anfragen enthält der Nachweis die verifizierte Identität der absendenden Person und die konkrete Nachricht, die die Anfrage darstellt. Die KI verweist auf eine echte E-Mail, eine echte Person, einen echten Zeitstempel.
Kann die KI keinen gültigen Nachweis vorlegen, greift der Bestätigungsschritt wie gewohnt. Kein Nachweis, keine Ausnahme. Punkt.
So sieht das in der Praxis aus
Szenario 1: Die pauschale Freigabe. Ihre Geschäftsführung schreibt der KI: „Bis Monatsende dürfen Sie GitHub-Issues anlegen und kommentieren, ohne mich zu fragen.“ Das System speichert das als Dauerfreigabe, beschränkt auf Schreibvorgänge in GitHub, gültig bis Monatsende, erteilt über die verifizierte E-Mail-Adresse der Geschäftsführung. Wenn die KI in den nächsten 30 Tagen ein GitHub-Issue kommentieren muss, legt sie diese Dauerfreigabe als Nachweis vor, und der Vorgang wird ausgeführt. Die Bestätigungseinstellung der IT-Administration bleibt bestehen. Das Prüfprotokoll zeigt jede übersprungene Bestätigung, wer sie autorisiert hat und wann.
Szenario 2: Die direkte Anfrage. Die Geschäftsführung schreibt per E-Mail: „Bitte bei Issue #42 vermerken, dass wir für Donnerstag im Plan liegen.“ Die KI legt den Kommentar an. Eine Dauerfreigabe ist nicht nötig, denn die Geschäftsführung hat genau diese Aktion direkt angefordert. Der Nachweis verweist auf die E-Mail der Geschäftsführung samt Nachrichten-ID und bildet so eine überprüfbare Befugniskette.
Szenario 3: Der Anstoß von außen. Ein Kundenunternehmen fragt per E-Mail nach dem Projektstand. Die KI will GitHub prüfen und eine Zusammenfassung veröffentlichen. Aber das Kundenunternehmen hat keine Schreibvorgänge in GitHub autorisiert, und keine Dauerfreigabe deckt diesen Fall ab. Der Bestätigungsschritt greift wie gewohnt. Die KI meldet, dass sie vor dem nächsten Schritt eine Freigabe braucht. Das System arbeitet genau so, wie die IT-Administration es vorgesehen hat.
Szenario 4: Die abgelaufene Freigabe. Die Geschäftsführung hat vor zwei Wochen eine pauschale Freigabe für 7 Tage erteilt. Die KI versucht, sie zu nutzen. Das System prüft das Ablaufdatum, stellt fest, dass die Freigabe abgelaufen ist, und blockiert den Vorgang. Die KI fordert eine neue Freigabe an. Befugnis besteht nicht stillschweigend fort.
Warum das Ablaufdatum wichtiger ist, als Sie denken
Dauerfreigaben sollten immer ablaufen. Immer.
Länger als 180 Tage lassen wir keine zu, und selbst dann räumt das System automatisch auf. Wenn die Unternehmensleitung sagt: „Das ist für immer freigegeben“, begrenzt das System die Freigabe auf 180 Tage und markiert sie zur Verlängerung.
Der Grund: Die Lage im Unternehmen ändert sich. Wer im März pauschalen GitHub-Zugriff freigegeben hat, will dieselbe Freigabe im September vielleicht nicht mehr, wenn das Projekt abgeschlossen ist, sich das Team verändert hat und sich die Sicherheitslage verschoben hat. Freigaben ohne Ablaufdatum werden zu unsichtbaren Risiken: Geisterberechtigungen, an deren Erteilung sich niemand erinnert, die KI-Agenten aber bereitwillig nutzen.
Kurzlebige Freigaben schaffen außerdem natürliche Prüfpunkte. Jedes Mal, wenn eine Freigabe abläuft und verlängert werden muss, kann die erteilende Person neu überlegen: Ist das noch angemessen? Hat sich der Umfang geändert? Sollten wir die Befugnis enger oder weiter fassen?
So handhaben gut geführte Organisationen auch die Delegation an Menschen. Wer im Praktikum ist, bekommt keine dauerhafte Zeichnungsbefugnis. Es gibt einen festgelegten Umfang für einen festgelegten Zeitraum, und vor einer Verlängerung wird geprüft.
Der größere Zusammenhang: Kontrolle über KI ist Organisationsgestaltung
Die Frage nach KI-Berechtigungen ist in Wahrheit eine Frage der Vertrauensarchitektur einer Organisation. Wie fließt Befugnis in Ihrem Unternehmen? Wer darf was an wen delegieren? Wie prüfen Sie diese Delegation im Nachhinein?
Jahrzehntelang haben Organigramme, Freigabeprozesse und gewachsene Normen diese Fragen beantwortet. KI-Agenten passen in keinen dieser Rahmen sauber hinein. Es sind keine Mitarbeitenden. Es sind keine Softwarefunktionen. Es sind eigenständig handelnde Akteure, die in Ihre bestehende Vertrauenshierarchie eingebunden werden müssen.
Richtig machen werden es die Unternehmen, die die Kontrolle über KI als Teil ihrer Organisationsgestaltung behandeln, nicht als separates Sicherheitshäkchen. Berechtigungsmodelle, Prüfpfade, Delegationsketten, Ablaufregeln: Das sind keine technischen Umsetzungsdetails. Auf ihnen beruht ein vertrauenswürdiger KI-Einsatz.
Womit Sie beginnen
Wenn Sie KI-Plattformen für Ihr Unternehmen prüfen, stellen Sie diese Fragen:
Kann Ihre IT-Administration festlegen, welche Vorgänge eine Bestätigung durch einen Menschen erfordern? Lautet die Antwort „Das regeln wir automatisch“, suchen Sie weiter.
Kann die Unternehmensleitung der KI eine dauerhafte Befugnis mit festgelegtem Umfang und Ablaufdatum erteilen? Lautet die Antwort „Alles braucht eine Einzelfreigabe“ oder „Nichts braucht eine Freigabe“, suchen Sie weiter.
Erzeugt das System einen Prüfpfad, der zeigt, wer jede übersprungene Bestätigung autorisiert hat? Lautet die Antwort „Wir protokollieren alles“, kann der Anbieter Ihnen aber für eine bestimmte Aktion nicht die konkrete Befugniskette zeigen, suchen Sie weiter.
Kann die KI ihre eigene Befugnis erfinden? Bitten Sie den Anbieter, technisch zu erklären, was die KI daran hindert, eine Freigabe zu behaupten, die es nicht gibt. Kommt in der Antwort „Wir weisen die KI an, ehrlich zu sein“ vor, suchen Sie weiter.
Das sind keine Randfälle. Es sind die Grundanforderungen für den Einsatz von KI-Agenten überall dort, wo Vertrauen, Compliance und Verantwortlichkeit zählen. Also in jedem Geschäftsumfeld, auf das es ankommt.
Bei Outermind ist die übertragene Bestätigungsbefugnis fester Bestandteil der Arbeitsweise unserer KI-Agenten. Die IT-Administration bestimmt die Bestätigungsschritte. Die Unternehmensleitung bestimmt die Befugnis. Die KI weist ihre Berechtigung vor jeder Aktion nach. Wenn Sie eine Strategie für den KI-Einsatz im Betrieb entwickeln und sehen möchten, wie Kontrolle im Produktivbetrieb aussieht, zeigen wir es Ihnen gern.