KI-Agenten-Sicherheit dominiert jetzt die Seed-Finanzierung im Bereich Cybersecurity – Warum Sie das beunruhigen sollte

Risikokapital bestätigt nun, was Security-Verantwortliche intern seit über einem Jahr diskutieren: Agentic AI ist inzwischen die größte neue Angriffsfläche, die Unternehmen schützen müssen – und der Markt bewertet das entsprechend. Laut dem „Q2 2026 Insights“-Bericht von DataTribe war AI- und Agentensicherheit im letzten Quartal die größte Einzelkategorie bei Seed-Investments im Cybersecurity-Bereich und machte etwa ein Viertel aller Deals aus. Fast jeder Dollar in dieser Kategorie floss gezielt in die Absicherung von agentic AI-Systemen, nicht in die breiteren Software-Stacks, auf denen diese Agenten laufen.

Dieses Investitionsmuster ist kein Hype, sondern eine direkte Reaktion auf eine konkrete, messbare Lücke: autonome AI-Agenten, die eigenständig Sub-Agenten erzeugen und aktive Zugangsdaten weitergeben – ohne Identitätsprüfung, ohne Begrenzung, ohne Audit-Trail. Die Forscher von DataTribe fanden heraus, dass etwa ein Viertel der eingesetzten AI-Agenten genau dazu in der Lage ist. Ein Agent, der beispielsweise ein Dokument zusammenfasst oder ein Ticket priorisiert, kann ohne menschliches Zutun einen zweiten Agenten erzeugen und ihm funktionierende Zugangsdaten übergeben – Zugangsdaten, die nie für diesen Zweck ausgegeben, begrenzt oder protokolliert wurden.

Der Bericht quantifiziert auch, welche Kontrolle tatsächlich einen Unterschied macht. Die Begrenzung von Agentenrechten auf das Prinzip des Least-Privilege-Zugriffs senkte die Rate von Sicherheitsvorfällen von mehr als zwei Dritteln der Deployments auf unter 20 % – die größte Risikoreduktion aller von DataTribe gemessenen Kontrollen. Das ist kein marginaler Fortschritt, sondern der Unterschied zwischen agentic AI als kontrollierbarem Risiko und einer offenen Tür.

All das geschieht nicht isoliert. DataTribes Bericht verweist zudem auf CrowdStrike-Daten, die für 2026 die schnellste Breakout-Zeit – also die Zeitspanne zwischen Erstkompromittierung und lateraler Bewegung – mit 27 Sekunden angeben. Der Verizon Data Breach Investigations Report 2025 zeigt zudem, dass die Ausnutzung von Edge- und VPN-Geräten um das Siebenfache gestiegen ist. Zusammengenommen beschreiben diese Zahlen eine Umgebung, in der Angreifer schneller und über mehr Einstiegspunkte als je zuvor agieren – genau in dem Moment, in dem Unternehmen neuen, unzureichend kontrollierten Identitäten – AI-Agenten und deren Sub-Agenten – die Schlüssel zu sensiblen Inhalten übergeben. Für jedes Unternehmen, das ein AI-Governance-Programm auf Basis von Kiteworks Secure Data Exchange aufbaut oder prüft, wie sich diese Lücke schließen lässt, ist dieser Bericht Pflichtlektüre.

Wichtige Erkenntnisse

1. Investoren adressieren ein reales, messbares Problem. AI- und Agentensicherheit machten im Q2 2026 rund 25 % aller Seed-Investments im Cybersecurity-Bereich aus – die größte Einzelkategorie –, weil das zugrundeliegende Risiko inzwischen messbar und nicht mehr nur theoretisch ist.
2. Sub-Agenten sind der blinde Fleck. Rund ein Viertel der eingesetzten AI-Agenten kann Sub-Agenten erzeugen und ihnen aktive Zugangsdaten übergeben – ohne Identitätsprüfung, Begrenzung oder Audit-Trail. So entstehen Identitäten, die kein Security-Team bereitgestellt oder überwacht hat.
3. Least-Privilege-Zugriff ist die effektivste Kontrollmaßnahme. Die Begrenzung von Agentenrechten senkte die Vorfallrate von mehr als zwei Dritteln auf unter 20 % – die größte Risikoreduktion aller im Bericht gemessenen Kontrollen.
4. Angreifer sind schneller als die meisten Detection-Stacks. Laut CrowdStrike-Daten im Bericht liegt die schnellste Breakout-Zeit 2026 bei 27 Sekunden zwischen Erstkompromittierung und lateraler Bewegung.
5. Alte Schwachstellen verstärken neue Risiken. Die DBIR-Daten von Verizon 2025 zeigen, dass die Ausnutzung von Edge- und VPN-Geräten um das Siebenfache gestiegen ist – und damit die Einstiegspunkte für Angreifer, um unkontrollierte Agentenidentitäten zu erreichen, deutlich zunehmen.

Warum Investoren massiv auf AI-Agentensicherheit setzen

Seed-Investments sind ein Frühindikator. Gründer und ihre Investoren sind am nächsten an den Problemen, die Unternehmen bald treffen werden – und aktuell konzentrieren sie sich auf eine These: Agentic AI hat ein Identitäts- und Zugriffsproblem geschaffen, das bestehende Security-Tools nicht abdecken. Ein Viertel aller Cybersecurity-Seed-Deals in einem Quartal in eine Kategorie zu investieren, ist eine deutliche Kapitalbündelung – und zeigt, wohin die „Smart Money“-Erwartung für die nächsten Jahre im Bereich Enterprise Security geht.

Dies ist nicht die erste Finanzierungswelle für AI-Security, aber eine reifere. Frühere Zyklen finanzierten AI-gestützte Detection und AI-unterstützte SOC-Tools – also AI zur Verteidigung der Infrastruktur. In dieser Runde geht es gezielt darum, die AI-Agenten selbst und die von ihnen geschaffenen nicht-menschlichen Identitäten als eigenständige Assets abzusichern, die eigene Governance benötigen. Dieser Unterschied ist entscheidend für die Ausrichtung eigener AI Data Governance-Programme. Wenn Risikokapital Agentenidentitäten als eigenständige Risikokategorie mit dedizierten Tools behandelt, sollten interne Security- und Compliance-Teams das ebenfalls tun – und nicht einfach als Teil eines allgemeinen „AI-Risikos“ abhandeln.

Für CISOs und Compliance-Verantwortliche bedeutet das praktisch: Agentic AI-Security ist kein aufkommendes Thema mehr, das man aus der Distanz beobachten kann. Der Markt behandelt sie als aktive, klar definierte Risikokategorie mit eigener Ökonomie, eigenen Anbietern und – laut DataTribe – eigenen messbaren Kontrollen. Wer abwartet, bis AI-Governance-Tools für Agenten ausgereift sind, trägt in der Zwischenzeit ein messbares Vorfallrisiko – obwohl der Bericht zeigt, wie stark sich dieses Risiko bereits jetzt reduzieren lässt.

Das Sub-Agenten-Problem: Zugangsdaten ohne Verifizierung

Die auffälligste Erkenntnis im DataTribe-Bericht ist nicht das allgemeine Risiko durch AI-Agenten – das ist längst bekannt –, sondern der konkrete Mechanismus, durch den etwa ein Viertel der eingesetzten Agenten Risiken einführt: unbeaufsichtigte Sub-Agenten-Erstellung in Kombination mit der Weitergabe von Zugangsdaten.

Ein repräsentatives, hypothetisches Beispiel: Ein Unternehmen setzt einen AI-Agenten für eine definierte Aufgabe ein – etwa die Zusammenfassung eines Vertrags, die Priorisierung eines Support-Tickets oder die Abstimmung einer Tabelle. Im Verlauf seiner Aufgabe entscheidet der Agent, dass er Unterstützung benötigt, und erzeugt einen zweiten, spezialisierteren Agenten für einen Teilaspekt. Damit der Sub-Agent seine Aufgabe erledigen kann, gibt der Hauptagent funktionierende Zugangsdaten weiter: einen API-Key, ein Session-Token, ein (un)begrenztes Berechtigungsset für zugrundeliegende Systeme und Inhalte. Kein Mensch genehmigt diese Übergabe. Kein Identity Provider prüft, wer oder was der Sub-Agent ist. Kein Audit-Log hält fest, dass die Übergabe überhaupt stattgefunden hat.

Das Ergebnis ist eine nicht-menschliche Identität, die vor einer Stunde noch nicht existierte, nie über standardisierte IAM-Prozesse bereitgestellt wurde und nun Zugriff auf sensible Inhalte hat – für das Security-Team unsichtbar, bis etwas schiefgeht. Das ist die praktische, operative Form von „Shadow AI“: nicht Mitarbeiter, die heimlich nicht genehmigte Chatbots nutzen, sondern genehmigte Agenten, die stillschweigend nicht genehmigte Sub-Agenten mit echten Zugriffsrechten erzeugen.

Traditionelle Access Controls basieren auf der Annahme, dass Identitäten bewusst, durch Menschen, in einem definierten Workflow bereitgestellt werden. Das Erzeugen von Sub-Agenten bricht diese Annahme komplett. Die zu steuernde Identität entsteht dynamisch, mit Maschinengeschwindigkeit, oft in mehreren Schichten, und übernimmt die Zugriffsrechte des Hauptagenten – die meist breiter sind als für die eigentliche Aufgabe des Sub-Agenten nötig.

Least-Privilege-Zugriff senkt Vorfallrate um zwei Drittel

Wenn das Sub-Agenten-Problem der alarmierendste Datenpunkt des Berichts ist, dann ist die Least-Privilege-Erkenntnis die handlungsrelevanteste. DataTribe fand heraus, dass die Begrenzung von Agentenrechten auf das Prinzip des Least-Privilege-Zugriffs die Rate von Sicherheitsvorfällen von mehr als zwei Dritteln der Deployments auf unter 20 % senkte – die größte Risikoreduktion aller gemessenen Kontrollen.

Das ist bemerkenswert, weil Least-Privilege kein neues Konzept ist. Es ist eines der ältesten Prinzipien der Sicherheitsarchitektur, hier angewandt auf eine völlig neue Art von Identität. Die Erkenntnis bestätigt, was Praktiker lange vermutet, aber selten in diesem Umfang quantifiziert gesehen haben: Die wichtigste Kontrolle für agentic AI-Risiken ist nicht bessere Erkennung oder schnellere Reaktion, sondern die Begrenzung dessen, was ein Agent – und jeder von ihm erzeugte Sub-Agent – überhaupt berühren darf.

Least-Privilege für Agentenidentitäten in der Praxis umzusetzen, erfordert die Fähigkeit, RBAC und ABAC genau an dem Punkt durchzusetzen, an dem ein Agent tatsächlich Inhalte anfordert – nicht nur am Systemperimeter. Perimeter-Kontrollen helfen nicht, wenn der Agent bereits im System ist und das Risiko darin besteht, was er – und was er delegiert – im Inneren tut. Governance muss auf die Request-Ebene verschoben werden: Jedes Mal, wenn ein Agent oder Sub-Agent eine bestimmte Datei, einen Datensatz oder ein Dataset anfordert, muss diese Anfrage gegen definierte Richtlinien geprüft, entsprechend begrenzt und protokolliert werden.

Genau diese Grenze adressieren der Secure MCP Server von Kiteworks und Kiteworks Compliant AI: Zugriffsentscheidungen pro Anfrage – sowohl für Menschen als auch für Agenten, die mit sensiblen Inhalten interagieren – unter einer einheitlichen Kiteworks Control Plane statt einem Flickenteppich aus Ad-hoc-Berechtigungen. Governance ist hier nicht etwas, das nachträglich auf bisher unkontrollierte Agenten aufgesetzt wird – es ist dieselbe Content-Access-Policy, die Kiteworks für menschliche Anwender anwendet, konsistent erweitert auf Agenten- und Sub-Agenten-Anfragen.

27 Sekunden: Wie schnell Breakouts heute ablaufen

DataTribes Bericht verortet die Agenten-Identitätsproblematik in einem größeren Geschwindigkeitsproblem. Laut CrowdStrike-Daten im Bericht liegt die schnellste Breakout-Zeit 2026 – also die Zeit zwischen Erstkompromittierung und lateraler Bewegung – bei 27 Sekunden. Diese Zahl sollte die Sichtweise von Security-Teams auf Reaktionszeiten als Kontrollmaßnahme grundlegend verändern.

Siebenundzwanzig Sekunden reichen nicht, damit ein Analyst einen Alarm prüft, einen False Positive ausschließt und Gegenmaßnahmen einleitet. Es reicht kaum für automatisierte Response-Tools – sofern diese überhaupt das richtige Signal erfassen. Wenn Breakout-Zeiten so kurz sind, übernehmen Prävention und Zugriffsbeschränkung die Rolle, die früher Detection und Response hatten. Wird eine überprivilegierte Agentenidentität kompromittiert, ist der Schaden im 27-Sekunden-Fenster bereits vorprogrammiert – nicht erst, wenn jemand bemerkt, dass etwas nicht stimmt.

Das verschärft das Sub-Agenten-Zugangsproblem: In einer Umgebung, in der Breakout in unter 30 Sekunden erfolgt, ist ein unkontrolliertes, nicht verifiziertes Sub-Agenten-Credential praktisch ein vorinstallierter Pfad für laterale Bewegung. Die Audit-Trail-Lücke verschärft das Problem: Wenn eine kompromittierte Agentenidentität nie protokolliert wurde, wissen Security-Teams oft erst nach dem Schaden, dass sie existiert hat.

Edge- und VPN-Exploits um das Siebenfache gestiegen: Die alten Risiken bleiben

Es wäre ein Fehler, DataTribes Bericht als Beleg dafür zu sehen, dass agentic AI klassische Angriffsvektoren ersetzt hat. Der Bericht verweist auch auf DBIR-Daten von Verizon 2025, wonach die Ausnutzung von Edge- und VPN-Geräten um das Siebenfache gestiegen ist – ein klares Zeichen, dass die altbekannten Einstiegspunkte für Angreifer weiterhin bestehen und sich sogar verschärfen.

Die Kombination beider Trends ist das Problem, nicht einer allein. Edge-Geräte und VPN-Konzentratoren sind oft das erste Einfallstor ins Netzwerk; Agentenidentitäten mit breiten, unkontrollierten Zugriffsrechten sind zunehmend das, was Angreifer im Inneren vorfinden. Ein siebenfacher Anstieg bei Edge- und VPN-Exploits bedeutet: Mehr Angreifer überwinden den Perimeter. Ein Viertel der eingesetzten Agenten erzeugt unkontrollierte Sub-Agenten-Credentials – das heißt: Was Angreifer nach dem Perimeter vorfinden, ist immer häufiger ungesichert. Zusammen mit einer 27-Sekunden-Breakout-Zeit ergibt sich ein Bild, in dem alte Schwachstellen Angreifer schneller ins Haus lassen – und neue ihnen freie Bewegung ermöglichen, ohne dass es jemand bemerkt.

Unternehmen, die stark in zero trust architecture auf Netzwerkebene investiert haben, aber die gleiche „never trust, always verify“-Disziplin nicht auf Agenten- und Sub-Agenten-Identitäten ausweiten, sind de facto nur halb fertig. Zero trust-Prinzipien gelten für jede Identität, die Zugriff auf Ressourcen verlangt – egal ob Mensch oder Maschine. Agentic AI ist davon nicht ausgenommen, nur weil sie schneller agiert als die um sie herum gebauten Governance-Prozesse.

Wie Kiteworks Agenten-Zugriffe auf Inhalte steuert

Die Erkenntnisse aus DataTribes Bericht decken sich exakt mit dem Risiko nicht-menschlicher Identitäten, das Kiteworks Secure Data Exchange adressiert: Agenten und Sub-Agenten, die auf sensible Inhalte zugreifen, sie bewegen oder bearbeiten – ohne Verifizierung, Begrenzung oder nachvollziehbare Protokollierung.

Kiteworks Secure MCP Server und Kiteworks Compliant AI wenden pro Anfrage RBAC- und ABAC-Richtlinien genau an dem Punkt an, an dem ein Agent – oder ein von ihm erzeugter Sub-Agent – Inhalte anfordert. Sie verlassen sich nicht auf Perimeter-Kontrollen oder statische Einmal-Provisionierung. Jede Anfrage wird vor der Freigabe gegen definierte Richtlinien geprüft – das schließt die von DataTribe identifizierte Scoping-Lücke gezielt. Jede Anfrage wird zudem in einem einheitlichen Audit-Trail erfasst, sodass Security- und Compliance-Teams eine zentrale Übersicht darüber haben, welche Identität – Mensch oder Agent – wann auf welche Inhalte mit welcher Berechtigung zugegriffen hat, statt fragmentierter Logs in verschiedenen Systemen.

Diese Governance erfolgt über die Kiteworks Control Plane als konsistente Schicht für menschliche Anwender und AI-Agenten – nicht als nachträglich angefügte Einzelrichtlinien. Diese Konsistenz ist entscheidend, weil das von DataTribe beschriebene Sub-Agenten-Problem letztlich ein Governance-Kontinuitätsproblem ist: Die Zugriffsrechte eines Agenten müssen von Anfang an korrekt begrenzt werden, und jeder von ihm erzeugte Sub-Agent muss diese Disziplin automatisch übernehmen – statt standardmäßig breite Rechte zu erhalten, weil es noch keine Richtlinie gibt.

Eine Einschränkung ist wichtig: Die Kiteworks-Kontrollen adressieren gezielt die Governance von Agentenidentitäten und Content-Zugriff – also das Credential-Handover- und Scoping-Risiko, das dieser Bericht quantifiziert. Sie adressieren nicht die Edge- oder VPN-Exploits, die CrowdStrike und Verizon für den Netzwerkperimeter beschreiben. Um das gesamte von DataTribe beschriebene Risiko abzudecken, braucht es beides: Perimeter-Kontrollen, um Angreifer draußen zu halten, und Content-Layer-Governance wie Kiteworks Secure Content Access, damit unkontrollierte Agentenidentitäten nicht das Erste sind, was Angreifer im Inneren vorfinden.

Bedeutung für Ihre AI-Governance-Roadmap

Die Q2 2026-Daten von DataTribe liefern Security- und Compliance-Verantwortlichen einen seltenen Vorteil: eine quantifizierte Priorisierung, wo das knappe AI-Governance-Budget zuerst eingesetzt werden sollte. Die Begrenzung von Agenten- und Sub-Agenten-Identitäten auf Least-Privilege brachte die stärkste gemessene Reduktion von Vorfällen aller im Bericht untersuchten Kontrollen. Das sollte für jedes Unternehmen, das AI-Agenten für sensible Inhalte einsetzt oder plant, ganz oben auf der Agenda stehen – noch vor allgemeinen „AI-Policy“-Initiativen, die das eigentliche Problem nicht adressieren.

Konkret bedeutet das für Teams beim Aufbau ihrer Roadmap: Erstens, erfassen Sie, welche eingesetzten Agenten Sub-Agenten erzeugen können, und behandeln Sie diese Fähigkeit als eigene Risikokategorie mit eigenen Kontrollen – statt davon auszugehen, dass bestehende Agenten-Governance ausreicht. Zweitens, stellen Sie sicher, dass jeder Sub-Agenten-Erstellungsvorgang eine Identitätsprüfung und gezielte Credential-Ausgabe auslöst – keine Übernahme unkontrollierter Rechte vom Hauptagenten – und dass das Ereignis protokolliert wird. Drittens, prüfen Sie, ob Ihr aktuelles Data Governance-Framework Richtlinien auf der Content-Access-Ebene für Agentenidentitäten durchsetzt – oder nur für menschliche Anwender. Denn laut DataTribe konzentrieren sich Vorfälle genau auf diese Lücke.

Vergessen Sie schließlich nicht die Netzwerk-Layer-Erkenntnisse angesichts der Agenten-Identitäts-Schlagzeilen: Ein siebenfacher Anstieg bei Edge- und VPN-Exploits kombiniert mit einer 27-Sekunden-Breakout-Zeit bedeutet, dass Perimeter-Härtung und Content-Layer-Governance Hand in Hand gehen müssen – auf derselben Zeitschiene und aus demselben Budget. Wer agentic AI-Security nur als Perimeter- oder nur als Content-Governance-Thema behandelt, übersieht das sich potenzierende Risiko, das DataTribes Bericht tatsächlich beschreibt.

Erfahren Sie mehr über die Steuerung von AI-Agenten- und Sub-Agenten-Zugriffen auf sensible Inhalte mit richtlinienbasierter Zugriffskontrolle pro Anfrage und einheitlicher Audit-Protokollierung – vereinbaren Sie jetzt eine individuelle Demo.

Weitere Ressourcen

• Blogbeitrag
  Zero‑Trust-Strategien für erschwinglichen AI-Datenschutz
• Blogbeitrag
  Wie 77 % der Unternehmen bei der AI-Datensicherheit scheitern
• eBook
  AI Governance Gap: Warum 91 % der kleinen Unternehmen 2025 russisches Roulette mit Datensicherheit spielen
• Blogbeitrag
  Für Ihre Daten gibt es kein „–dangerously-skip-permissions“
• Blogbeitrag
  Regulierungsbehörden wollen nicht mehr wissen, ob Sie eine AI-Policy haben. Sie wollen den Nachweis, dass sie funktioniert.