Agentic KI-Governance-Lücke wird zum Compliance-Problem

Unternehmen geben KI-Agents die Möglichkeit, auf vertrauliche Daten zuzugreifen und zu handeln, bevor sie die entsprechenden Kontrollen zur Steuerung dieses Zugriffs aufgebaut haben. Ein Bericht einer Arbeitsrechtskanzlei, eine Universitätsstudie, eine Wertpapieraufsichtsbehörde, ein Anbieter von Gesundheitsdaten und ein Cloud-Bedrohungsteam haben innerhalb weniger Tage jeweils Erkenntnisse veröffentlicht, die alle dieselbe Lücke beschreiben. Die Technologie entwickelt sich von der Empfehlung zum Handeln, doch der Nachweis, dass jemand überwacht, was sie tut, hält nicht Schritt.

Dieser Beitrag fasst diese Aspekte für diejenigen zusammen, die sich künftig verantworten müssen: den CISO und den Chief Compliance Officer. Die Argumentation ist einfach. Ein KI-Agent, der eine Patientenakte lesen, eine Datei ändern oder ein Cloud-Modell aufrufen kann, ist eine Identität mit Privilegien. Die Steuerung ähnelt der Verwaltung jeder anderen privilegierten Identität im zero trust-Modell: mit einer Richtlinie, die den Zugriff begrenzt, und einem Nachweis, was tatsächlich passiert ist. Im Folgenden erläutern wir, was die neuesten Erkenntnisse sagen, wo die Risiken liegen und wie eine belastbare Position aussieht.

Wichtige Erkenntnisse

1. Der Einsatz überholt die Governance.

Laut einer Kanzlei, die sich auf Gartner-Zahlen beruft, wird die Einführung von Agents stark ansteigen, während nur wenige Unternehmen glauben, ihre Governance sei angemessen.

2. Agents machen aus KI Empfehlungen mit Handlungsfähigkeit.

Sobald ein Assistent handeln kann, verschiebt sich die Kontrollfrage von der Qualität der Ergebnisse hin zu Zugriff und Verantwortlichkeit.

3. Offenlegung ist dürftig.

Eine MIT-Studie fand heraus, dass die meisten KI-Unternehmen wenig über die von ihnen verursachten Risiken sagen, sodass Unternehmen ihre eigene Sorgfaltspflicht leisten müssen.

4. Aufsichtsbehörden prüfen jetzt KI-Aussagen.

Der Leiter der SEC-Durchsetzung hat angekündigt, übertriebene Aussagen zu KI-Fähigkeiten zu prüfen – Behauptungen müssen also durch Nachweise belegt sein.

5. Das Prinzip der minimalen Rechte ist die pragmatische Lösung.

Googles eigener Ratschlag zu gestohlenen KI-Zugangsdaten: Jede Berechtigung verweigern, die nicht ausdrücklich erforderlich ist.

Was die neuesten Erkenntnisse zur Governance-Lücke sagen

Beginnen wir mit den Zahlen, die das Problem einrahmen. Der Bericht von Littler Mendelson zu agentischer KI am Arbeitsplatz besagt, dass die Technologie „Arbeitsplatz-KI von Empfehlungen zum Handeln weiterentwickelt“. Laut Gartner CIO und Technology Executive Survey 2026 soll der Einsatz von KI-Agents von 17 Prozent im Jahr 2026 auf über 60 Prozent innerhalb von zwei Jahren steigen. Mindestens 15 Prozent der täglichen Arbeitsentscheidungen sollen dann autonom durch agentische KI getroffen werden.

Im selben Bericht geben 74 Prozent der Unternehmen an, in zwei Jahren einen moderaten KI-Einsatz zu erwarten, aber nur 13 Prozent glauben, die richtige Governance zu haben. Zudem wird prognostiziert, dass bis Ende 2027 über 40 Prozent der agentischen KI-Projekte abgebrochen werden – Gründe sind Kosten, unklarer geschäftlicher Nutzen und unzureichende Risikokontrollen. Diese Zahlen stammen von Gartner und werden von einer Kanzlei weitergegeben, sind also als Richtwerte zu verstehen. Sie stimmen dennoch mit den Erfahrungen von Sicherheitsteams überein: viel Begeisterung, aber wenig Überblick darüber, was Agents tatsächlich erreichen können.

Die Lücke verdient eine präzise Beschreibung. Es mangelt nicht an KI-Richtlinien – viele Unternehmen haben sie, und gute Data Governance-Praxis fordert ohnehin mehr. Der Unterschied liegt darin, dass eine Richtlinie und eine durchgesetzte Kontrolle nicht dasselbe sind – und Prüfer oder Aufsichtsbehörden nach Letzterem fragen. Littler empfiehlt Unternehmen das Framework Decide, Design, Defend: Entscheiden, was der Agent tun darf. Kontrollen entwerfen, die das durchsetzen. Die Entscheidung mit Nachweisen verteidigen, wenn sie angefochten wird.

Warum ein Agent eine privilegierte Identität ist

Es hilft, die Neuheit beiseitezulassen und einen Agenten in klassischen Sicherheitsbegriffen zu beschreiben. Ein Agent besitzt Zugangsdaten. Er verbindet sich mit Systemen. Er liest, schreibt und sendet. Er handelt auf Anweisungen, die auch aus nicht vertrauenswürdigen Quellen stammen können. All diese Eigenschaften kennzeichnen eine privilegierte Identität – und jede Kontrolle, die Sicherheitsteams für solche Identitäten nutzen, gilt auch hier. Der Agent benötigt einen definierten Geltungsbereich, eine nicht geteilte Authentifizierung, Autorisierungsentscheidungen bei jeder Anfrage und ein Protokoll, das die Aktion im Audit-Log dokumentiert, das Sie auf Anfrage vorlegen können.

Der Unterschied liegt in Geschwindigkeit und Umfang. Ein Mensch mit zu vielen Rechten kann langsam Schaden anrichten. Ein Agent mit zu vielen Rechten kann dies in Sekunden und über Tausende von Datensätzen hinweg tun – und meldet es womöglich niemandem. Deshalb ist die entscheidende Frage nicht, ob das Modell korrekt ist, sondern was der Agent berühren darf und ob Sie rekonstruieren können, was er getan hat. Die Antwort muss vor einem Vorfall vorliegen, denn danach gibt es entweder Beweise – oder nicht.

Darunter liegt ein Transparenzproblem. Teams können keine Agents steuern, von denen sie nichts wissen. Der erste operative Schritt – und Grundlage jedes AI Data Governance-Programms – ist ein Inventar: Welche Agents gibt es, auf welche Daten können sie zugreifen, wer ist verantwortlich und welche Konnektoren werden genutzt? Ohne diese Liste ist jede weitere Kontrolle ein Ratespiel.

Eine Verbindung zu Gesundheitsdaten zeigt die Unsicherheit

Ein aktuelles Beispiel aus dem Gesundheitswesen macht das abstrakte Problem greifbar. Athenahealth hat laut HealthcareInfoSecurity eine Verbindung namens athenaPatient MCP vorgestellt, mit der Patienten Anthropic’s Claude autorisieren können, Laborwerte, Medikamente, Diagnosen, Allergien, Impfungen, Prozeduren und Behandlungspläne aus ihren Akten abzurufen. Zunächst steht dies US-Nutzern von Claude Pro und Max zur Verfügung, die sich mit ihren athenahealth-Patientenportal-Zugangsdaten anmelden. Athenahealth erklärt, dass Patienten den Zugriff jederzeit widerrufen können und geteilte Informationen nur für die Dauer der Sitzung gespeichert werden.

Die rechtliche Frage ist dabei besonders interessant. Athenahealths Position lautet: „Das bedeutet, dass HIPAA in diesem Use Case nicht anwendbar ist.“ Anwalt Jordan Cohen von Akerman LLP wird zitiert, HIPAA gelte im Allgemeinen nicht mehr, sobald die Daten beim Patienten sind. Rachel Rose verweist auf das texanische Gesetz House Bill 300 mit einer weiter gefassten Definition von „covered entity“ und rät, Psychotherapie-Notizen und 42 CFR Part 2-Daten aus solchen Systemen herauszuhalten. Mit anderen Worten: Experten sind sich uneinig, ob HIPAA-Schutz nach der Autorisierung durch den Patienten noch gilt.

Der Artikel verweist auf eine Pew-Umfrage von August 2026, laut der 34 Prozent der US-Erwachsenen KI-Chatbots für Gesundheitszwecke genutzt haben – das Szenario ist also real. Für Unternehmen, die mit geschützten Gesundheitsdaten arbeiten, ist die Lehre nicht, ob dieser spezielle Konnektor gut oder schlecht ist. Die Lehre ist: Sobald sensible Daten über eine Protokollverbindung an einen KI-Assistenten fließen, wird unklar, wer verantwortlich ist, welche Regeln gelten und welche Nachweise existieren. Compliance-Teams sollten diese Unsicherheit schriftlich klären, bevor Daten übertragen werden, und Hochrisikokategorien ganz heraushalten, bis das geschehen ist. Die HIPAA-Minimalanforderungsregel ist ein nützlicher Referenzpunkt dafür, wie viele Daten eine Verbindung transportieren sollte.

Offenlegung ist dürftig – Sorgfaltspflicht liegt bei Ihnen

Wenn Anbieter ihre Risiken klar offenlegen würden, wäre die Sorgfalt für Unternehmen einfacher. Ein MIT-Bericht mit Daten aus Anfang 2026 legt nahe, dass dies nicht der Fall ist. 62 Prozent der 1.000 größten KI-Unternehmen und 32 Prozent der Top 100 äußern sich nicht zu potenziellen Risiken. Unternehmen, die etwas offenlegen, nennen meist nur fünf Kategorien: Diskriminierung, Waffen und Cyberangriffe, Betrug und Betrugsversuche, Verlust der Privatsphäre sowie Entwertung menschlicher Kreativität.

Finanz- und Versicherungsunternehmen erkennen im Schnitt 2,9 KI-Risiken an, im Vergleich zu 7,1 bei Unternehmen der Informationsbranche. Kaum ein Unternehmen adressiert die Risiken von Multi-Agent-Systemen, obwohl diese im Unternehmen schnell Einzug halten. Peter Slattery vom MIT FutureTech, Mitautor, sagt: „Derzeit haben wir sehr wenig Transparenz darüber.“ Der Artikel weist darauf hin, dass die meisten Daten vor dem Hugging-Face-Vorfall im Juni erhoben wurden, sich das Bild also geändert haben könnte.

Die praktische Folge: Ein Käufer kann sich nicht auf die öffentlichen Risikobeschreibungen eines Modellanbieters verlassen, um eigene Aufsichtsbehörden zufriedenzustellen. Das Unternehmen muss selbst dokumentieren, wie es das Risiko bewertet, was entschieden und welche Kontrollen angewendet wurden. Diese Dokumentation macht aus einer Anbieterbehauptung Ihren Nachweis. Sie gehört in Ihre Supply Chain Risk Management-Akte, neben das Inventar der Agents und Konnektoren.

Aufsichtsbehörden prüfen jetzt die Aussagen

Das Offenlegungsproblem wirkt in beide Richtungen. Am 30. Oktober 2026 erklärte SEC Enforcement Director David Woodcock gegenüber Reuters und Law360 laut Debevoise Data Blog, dass die Behörde Unternehmensangaben zu KI überwacht. Die Durchsetzung richtet sich gegen börsennotierte Unternehmen, deren Aussagen „KI-Fähigkeiten übertreiben“ oder die KI-Nutzung bzw. Risiken in zentralen Geschäftsbereichen nicht offenlegen. Er verwies auf frühere Fälle gegen private Unternehmen wegen übertriebener KI- und Robotikfähigkeiten und erwartet ähnliche Untersuchungen bei börsennotierten Unternehmen.

Die Autoren von Debevoise empfehlen, Investorenunterlagen auf sogenanntes „AI Hushing“ zu überprüfen, KI- und Agentenfähigkeiten präzise zu definieren, Leistungsversprechen mit Nachweisen zu belegen und Risikobewertungen in die Offenlegung einfließen zu lassen. Der gemeinsame Nenner mit der Governance-Lücke ist der Nachweis. Ein Unternehmen, das behauptet, Agents unter Kontrollen zu betreiben, muss Richtlinien, Durchsetzung und Protokolle vorzeigen können. Wer fortschrittliche KI-Fähigkeiten behauptet, braucht Nachweise, die das belegen. Eine unbelegte Aussage wird in beiden Fällen zum Risiko.

Das erinnert an Erfahrungen aus anderen Bereichen der Cybersicherheit, wo die größte Gefahr oft in der Lücke zwischen Darstellung und Realität lag. Dasselbe gilt jetzt für KI-Aussagen.

Gestohlene KI-Zugangsdaten zeigen die Kosten zu weitreichender Rechte

Das letzte Beispiel zeigt am direktesten, was zu weitreichende Berechtigungen kosten. Das Google Threat Intelligence Group und Mandiant analysierten ein Muster namens LLMjacking, bei dem Angreifer gestohlene API-Schlüssel oder offene Modellendpunkte nutzen, um Cloud-KI-Kosten in die Höhe zu treiben, wie BleepingComputer berichtet. Einige Opfer verloren an einem Tag über 100.000 US-Dollar, die Gesamtschäden lagen teils bei 1.000.000 US-Dollar. Angreifer verkaufen Zugänge über sogenannte LLM-Mixer, etwa Jet Night, das unbegrenzten Zugang für 60 US-Dollar pro Monat anbietet.

Google benennt eine Bedrohungsgruppe und eine Schwachstelle in LiteLLM und gibt einen klaren Ratschlag: Unternehmen sollen „alle Berechtigungen verweigern, die nicht ausdrücklich erforderlich sind, einschließlich des Zugriffs auf Cloud-LLM-Dienste“. Der Schaden ist hier Abrechnungsbetrug, nicht Datendiebstahl, und liegt damit auf der Ebene von Identitäten und Zugangsdaten. Das Prinzip bleibt: Zugangsdaten, die KI-Dienste erreichen können, sind wertvoll – je enger der Zugriff, desto weniger profitieren Angreifer.

Für Agents, die mit sensiblen Inhalten arbeiten, gilt dieser Ratschlag mit noch höherem Gewicht. Begrenzen Sie jeden Agenten auf die minimal erforderlichen Daten und Aktionen, wie es Zero Trust Data Protection-Strategien empfehlen, authentifizieren Sie ihn als eigene Identität und protokollieren Sie jede Anfrage.

Bestehende Frameworks gelten bereits für KI

Ein häufiger Fehler ist, auf KI-spezifische Gesetze zu warten. In der Praxis greifen mehrere Frameworks, denen Unternehmen bereits folgen, auch auf KI-Zugriffe. Datenschutzvorschriften regeln, wie geschützte Informationen genutzt und weitergegeben werden. Finanzaufsichtsbehörden behandeln KI inzwischen als Teil der Cyber-Governance, NYDFS Part 500 ist ein Beispiel dafür. Datenschutzregime wie die DSGVO verlangen bereits, wer personenbezogene Daten verarbeitet und auf welcher Grundlage – ein Agent, der personenbezogene Daten verarbeitet, unterliegt denselben Fragen wie jeder andere Auftragsverarbeiter.

Der Punkt ist nicht, dass jedes Framework Agents namentlich erwähnt – die meisten tun das nicht. Entscheidend ist, dass die zugrundeliegenden Pflichten technologieunabhängig sind. Die Pflicht, Zugriff auf das Notwendige zu beschränken, Zugriffe zu protokollieren und erklären zu können, wer was gesehen hat, gilt unabhängig davon, ob der Akteur eine Person, ein Skript oder ein Agent ist. Teams, die ihr Agenten-Inventar auf bestehende Pflichten abbilden, werden feststellen, dass vieles vertraut ist. Neu sind Volumen und Geschwindigkeit, die automatisierte Durchsetzung und Nachweise wichtiger machen als früher.

Es lohnt sich auch, zwei oft vermischte Fragen zu trennen. Erstens: Darf ein Agent eine Aktion ausführen? Das ist eine Richtlinien- und Zugriffsfrage. Zweitens: Kann das Unternehmen im Nachhinein nachweisen, was passiert ist? Das ist eine Nachweisfrage. Governance-Programme, die nur die erste Frage beantworten, sind angreifbar, wenn jemand die zweite stellt – und das erklärte Interesse der SEC an belegbaren KI-Aussagen deutet darauf hin, dass diese Frage aus immer mehr Richtungen kommt.

Was CISO und CCO jetzt tun sollten

Die folgenden Schritte sind danach geordnet, wie schnell sie das Risiko reduzieren – und keiner erfordert eine neue Regulierung.

Beginnen Sie mit einem Inventar. Listen Sie jeden KI-Agenten, Assistenten und Konnektor auf, einschließlich solcher, die eine Fachabteilung ohne Sicherheitsprüfung eingeführt hat. Für jeden erfassen Sie den Verantwortlichen, die erreichbaren Daten, die verwendeten Zugangsdaten und das Freigabedatum. Das ist die Basis für alles Weitere.

Definieren Sie anschließend, was jeder Agent tun darf, und setzen Sie dies am Zugriffspunkt durch. Eine schriftliche Richtlinie ist ein Anfang. Eine durchgesetzte Richtlinie, die bei jeder Anfrage prüft, wer oder was anfragt, um welche Daten es geht und welche Aktion gewünscht ist, ist die Kontrolle. Wenden Sie das Prinzip der minimalen Rechte an und entfernen Sie alles, was nicht ausdrücklich erforderlich ist.

Entscheiden Sie dann, wohin regulierte Daten gelangen dürfen und wohin nicht. Klären Sie HIPAA-ähnliche Unsicherheiten schriftlich für Ihren Kontext. Wo Experten uneins sind, ob der Schutz mit den Daten weitergegeben wird, halten Sie Hochrisikokategorien zurück, bis die Rechtslage geklärt ist.

Testen Sie danach, ob Sie Agentenaktivitäten rekonstruieren können. Wählen Sie einen Agenten aus und fordern Sie einen vollständigen Nachweis darüber an, auf was er im letzten Monat zugegriffen hat, mit welchen Zugangsdaten und unter welcher Richtlinie. Wenn das Tage und mehrere Systeme erfordert, besteht hier die größte Lücke.

Überprüfen Sie abschließend Ihre externen Aussagen. Vergleichen Sie, was Sie Investoren, Kunden und Aufsichtsbehörden über Ihre KI-Fähigkeiten und -Kontrollen mitgeteilt haben, mit den Nachweisen, die dies belegen. Schließen Sie jede Lücke, bevor andere sie finden.

Eine letzte Gewohnheit sollte von Anfang an Teil des Programms sein: Überprüfen Sie das Inventar regelmäßig – quartalsweise oder nach jeder wesentlichen Änderung der Agentennutzung – und dokumentieren Sie die Überprüfung. Der Einsatz von Agents ändert sich schnell, mit neuen Konnektoren und Anwendungsfällen zwischen den Audits. Ein datierter Überprüfungsnachweis zeigt, dass Governance ein lebendiger Prozess ist und gibt CISO und Chief Compliance Officer ein gemeinsames Dokument für den Vorstand, wenn dieser nachfragt, wie das Unternehmen KI-Risiken steuert.

Ein einfacher Test für Agenten-Governance

Eine nützliche Übung für Sicherheits- oder Compliance-Teams ist es, einen einzelnen Agenten, Assistenten oder Konnektor auszuwählen und fünf einfache Fragen dazu zu beantworten: Wer hat ihn genehmigt? Auf welche Daten kann er zugreifen? Unter wessen Identität agiert er? Was hat er im letzten Monat getan? Und wen würden Sie kontaktieren, wenn etwas schiefgeht? Das sind die Fragen, die ein Prüfer, ein Auditor oder ein Incident Responder stellen wird – unabhängig davon, welches Modell hinter dem Agenten steht.

Die meisten Unternehmen stellen fest, dass die ersten beiden Antworten leicht fallen, die letzten drei jedoch nicht. Genehmigung und Umfang sind meist zu Beginn dokumentiert. Identität, Aktivitätsnachweise und Verantwortlichkeit verwässern sich, wenn ein Pilotprojekt zur Abhängigkeit wird. Die von Littler weitergegebenen Gartner-Zahlen erwarten, dass Agents mindestens 15 Prozent der täglichen Entscheidungen autonom treffen – die Lücke zwischen Genehmigung und tatsächlicher Nutzung wird also größer, wenn niemand die Verantwortung übernimmt. Behandeln Sie die Übung als wiederkehrende Kontrolle, nicht als einmaliges Audit, und halten Sie die Antworten so fest, dass Sie sie einem Prüfer vorlegen könnten.

Wie Kiteworks Governance für KI-Zugriffe unterstützt

Der Teil des Problems, bei dem KI auf sensible Inhalte wie Dateien, E-Mails und Datensätze zugreift, ist der Bereich, in dem Governance am häufigsten versagt – weil der Zugriff über eine Verbindung erfolgt, die außerhalb der normalen Kontrollen liegt. Der Kiteworks Secure MCP Server prüft jede Agenten-Anfrage anhand rollen- und attributbasierter Zugriffskontrollen und protokolliert die Agentenaktivitäten in einem zentralen Audit-Log. Compliant AI setzt Governance auf Datenebene um, prüft authentifizierte Identität, Richtlinie und Verschlüsselung, bevor Inhalte freigegeben werden, und arbeitet mit MCP-kompatiblen KI-Modellen. So erhält das Compliance-Team eine zentrale Anlaufstelle für die Frage, auf welche Daten ein Agent zugegriffen hat.

Dies unterstützt die oben beschriebenen Aufgaben, ersetzt sie aber nicht. Eine Plattform kann Richtlinien durchsetzen und Nachweise liefern – aber das Inventar der Agents, die Risikobewertung und die Aussagen gegenüber Aufsichtsbehörden bleiben in der Verantwortung Ihres Unternehmens. Prüfer entscheiden, ob eine Kontrolle den Anforderungen genügt.

Erfahren Sie mehr über die Steuerung von KI-Zugriffen auf sensible Inhalte mit prüfbereiten Nachweisen – vereinbaren Sie jetzt eine individuelle Demo.

Weitere Ressourcen

• Blog-Beitrag
  Zero‑Trust-Strategien für erschwinglichen KI-Datenschutz
• Blog-Beitrag
  Wie 77 % der Unternehmen bei der KI-Datensicherheit scheitern
• eBook
  AI Governance Gap: Warum 91 % der kleinen Unternehmen 2025 russisches Roulette mit Datensicherheit spielen
• Blog-Beitrag
  Für Ihre Daten gibt es kein „–dangerously-skip-permissions“
• Blog-Beitrag
  Aufsichtsbehörden fragen nicht mehr, ob Sie eine KI-Richtlinie haben. Sie wollen den Nachweis, dass sie funktioniert.