Wenn Zugriff die Governance überholt: Insider-Risiko der Agenten-Ära

Unternehmen übergeben KI-Agenten die Schlüssel zu ihren sensibelsten Inhalten schneller, als irgendjemand Regeln dafür aufstellt, wie diese Schlüssel verwendet werden dürfen. Diese Lücke zwischen dem Tempo der Einführung und der Reife der Governance wird still und leise zum prägenden Sicherheitsproblem des Jahres 2026 – und Sicherheitsverantwortliche sagen das inzwischen selbst.

Agentenzugriff ist jetzt die größte Bedrohung

In einer Studie, die Sapio Research im Juni 2026 im Auftrag von Exabeam durchgeführt und am 16. September 2026 veröffentlicht hat – The Agentic Insider: From Monitoring to Understanding, eine Befragung von 600 Entscheidern aus Sicherheit und Finanzen in sieben Ländern –, nannten 48 % der Sicherheitsverantwortlichen KI-Agenten mit übermäßigem, kompromittiertem oder unbeabsichtigtem Zugriff als die größte Einzelbedrohung für ihre Organisation. Damit liegt der Agentenzugriff vor externen Angreifern (28 %) und deutlich vor kompromittierten und böswilligen Insidern (je 12 %). Zum ersten Mal steht in einer Bedrohungskategorie, die Sicherheitsteams seit Jahren verfolgen, ein Infrastrukturproblem vor einem Gegner.

Was tatsächlich als „Agent“ zählt

Entscheidend ist, wie die Studie ihren Gegenstand definiert. Die Autoren unterscheiden sorgfältig zwischen „zielgerichteten, autonomen Systemen, die auf Unternehmensressourcen zugreifen und mit begrenztem menschlichem Eingreifen Aktionen ausführen können“, und „dialogorientierten Chatbots“. In dieser Unterscheidung steckt das ganze Problem im Kleinen. Ein Chatbot antwortet in einem Chatfenster; ein Agent handelt – er liest ein Vertragsarchiv, ruft einen Kundendatensatz ab, verfasst und versendet eine Nachricht, aktualisiert ein führendes System –, und zwar konstruktionsbedingt mit begrenztem menschlichem Eingreifen. Wie Gabrielle Hempel von Exabeam in einer ergänzenden Analyse schreibt, kann bei einem Agenten alles stimmen – „gültige Identität, autorisierter Zugriff, erwartete Tools, kein Angreifer“ – und dennoch ein Vorfall entstehen. Je mehr Autonomie eine Organisation einem Agenten einräumt – und genau darin liegt der wirtschaftliche Grund für seinen Einsatz –, desto unrealistischer wird es, ihn dadurch zu steuern, dass man für jede Aufgabe im Voraus festlegt, worauf er zugreifen darf.

Warum manuelles Zuschneiden von Rechten scheitert

In genau diese Falle laufen die meisten Organisationen. Die naheliegende Reaktion auf „der Agent hat zu viel Zugriff“ ist, seinen Zugriffsbereich einzuschränken: engere Rollen, strengere Dienstkonten, Berechtigungsprüfungen je Agent. Das funktioniert beim ersten Agenten. Beim fünfzigsten funktioniert es nicht mehr – und erst recht nicht, wenn sich die Aufgabe desselben Agenten stündlich ändert oder wenn der Datenbestand, den er erreichen muss, E-Mail, Dateifreigaben, CRM-Datensätze und strukturierte Daten umfasst, die niemand mit Blick auf Agenten inventarisiert hat. Manuelles Zuschneiden setzt eine feste, aufzählbare Menge von Ressourcen und eine feste, aufzählbare Menge von Aufgaben voraus. Agentische KI verletzt beide Annahmen fortlaufend.

Überwachen ist nicht dasselbe wie Verstehen

Die Daten von Exabeam zeigen, welche Belastung daraus entsteht – selbst dort, wo Governance nicht vernachlässigt wurde. 60 % der Sicherheitsverantwortlichen haben eigene Tools für KI-Sicherheit oder KI-Governance eingeführt, und 56 % haben bestehende SIEM- und Erkennungsplattformen auf Agenten ausgeweitet. Doch 27 % nennen weiterhin fehlenden Verhaltenskontext und mangelnde Korrelation als ihre größte Lücke bei der Überwachung. Steve Wilson, Chief AI and Product Officer von Exabeam, stellt fest: „Organisationen machen bei der Überwachung von KI-Agenten spürbare Fortschritte, aber Aktivität zu überwachen ist nicht dasselbe, wie Verhalten zu verstehen.“ Überwachung zeigt Ihnen, was ein Agent getan hat, nachdem er es getan hat. Sie sagt Ihnen nicht im Voraus, ob er es überhaupt hätte tun dürfen.

Das Budgetproblem hinter dem Sicherheitsproblem

Eine zweite Einschränkung verschärft die erste: Geld. 55 % der Sicherheitsverantwortlichen geben an, eine Sicherheitsinitiative verschoben oder verkleinert zu haben, weil sie das Risiko nicht in finanziellen Größen darstellen konnten, die ihr CFO akzeptiert hätte – obwohl 93 % berichten, dass Sicherheit und Finanzen bei der Risikobereitschaft weitgehend übereinstimmen, und 81 % sagen, ihr CFO verstehe Cybersicherheitsrisiken in groben Zügen. Die Lücke liegt nicht im Vertrauen, sondern in der Übersetzung. „CFOs stellen selten infrage, ob ein Cybersicherheitsrisiko real ist“, sagt Mike Byron, CFO von Exabeam; schwieriger sei es, „zu verstehen, wie eine Investition das Risiko in messbaren geschäftlichen Größen senkt“. Ein Governance-Modell, das auf konkrete, protokollierte Entscheidungen verweisen kann – dieser Identität wurden diese Daten für diesen Zweck an diesem Datum verweigert –, lässt sich weit leichter in ein Budgetgespräch übersetzen als ein Überwachungs-Dashboard.

Die fehlende Ebene: Richtlinien, die bei jeder Anfrage entscheiden

Fügt man diese Teile zusammen, zeichnet sich eine praktikable Antwort ab. Sie liegt weder in einer besseren Überwachung von Agenten, nachdem sie gehandelt haben, noch in einer größeren Tabelle von Berechtigungen je Agent, die festgelegt werden, bevor sie handeln. Sie liegt in einer Richtlinienebene, die direkt am Zugriffspunkt ansetzt und bei jeder Anfrage prüft, ob diese Daten für diesen Zweck von dieser Identität – Mensch oder Agent – verwendet werden dürfen, bevor sich irgendetwas bewegt. Diese Entscheidung muss dynamisch fallen, anhand der Attribute der Daten, der Identität und der angeforderten Aktion, statt einmal im Voraus für eine Rolle festgelegt zu werden, die zwangsläufig veraltet. Und jede Entscheidung, ob Erlaubnis oder Ablehnung, muss protokolliert werden, damit die Aufzeichnung der Durchsetzung zugleich den Nachweis liefert, den Auditoren und CFOs gleichermaßen brauchen.

In diese Richtung hat Kiteworks seine Data Policy Engine entwickelt. Sie prüft Daten, Identität und angeforderte Aktion in Echtzeit gegen Richtlinien, setzt eine Vorgabe durch – blockieren, nur ansehen, Begründung erforderlich oder erlauben – und protokolliert jede Entscheidung in einem unveränderlichen Audit-Trail. Für Agenten beschreibt Kiteworks denselben Kontrollpunkt, der greift, bevor eine KI-Anfrage Daten berührt: Identitätsprüfung, attributbasierte Richtlinienbewertung und Audit-Protokollierung, wobei die Identität des Agenten auf den Menschen zurückgeführt wird, der ihn autorisiert hat. Das Unternehmen selbst formuliert es unmissverständlich: KI-Agenten „üben keinerlei eigenständiges ethisches Urteilsvermögen aus. Sie greifen auf alle Daten zu, von denen sie nicht ausdrücklich abgehalten werden.“

Das ist kein Grund, den Einsatz von Agenten zu bremsen. Es ist ein Grund, Zugriff nicht länger als etwas zu behandeln, das einmal entschieden wird, sondern als etwas, das jedes Mal neu entschieden wird.

Wenn Sie klären möchten, wie eine Richtliniengrenze für Agenten in Ihrer eigenen Umgebung aussehen sollte, schreiben Sie an sales@kiteworks.com oder beginnen Sie ein Gespräch. Dafür brauchen Sie weder Claude noch eine MCP-Einrichtung. Sehen Sie sich den Agentenkatalog und die unterstützten Assistenten an.