Identity- und Access-Management für KI-Agenten
Identity- und Access-Management für KI-Agenten regelt, welche digitale Identität ein selbstständig handelndes KI-Programm bekommt und auf welche Daten und Systeme es zugreifen darf. Es überträgt die Regeln, die Firmen für Mitarbeiterkonten nutzen, auf Software, die eigenständig Aufgaben erledigt.
In Unternehmen hat jeder Mitarbeiter ein Benutzerkonto mit Passwort. Und jedes Konto darf nur bestimmte Dinge: Die Buchhaltung sieht Rechnungen, aber nicht die Personalakten. Diese Verwaltung von Konten und Rechten nennt man Identity- und Access-Management, kurz IAM. Seit einiger Zeit arbeiten in Firmen aber nicht mehr nur Menschen, sondern auch Programme, die Aufgaben eigenständig erledigen. Solche Programme heißen KI-Agenten: Sie bekommen ein Ziel, planen die nötigen Schritte selbst und greifen dabei auf E-Mails, Datenbanken oder Online-Dienste zu. Identity- und Access-Management für KI-Agenten bedeutet, dass auch diese Programme ein eigenes Konto mit klar begrenzten Rechten erhalten.
Warum ein Agent kein normales Benutzerkonto sein darf
In der Praxis nehmen Entwickler oft eine Abkürzung. Der Agent bekommt einfach die Zugangsdaten eines Menschen und handelt in dessen Namen. Das ist bequem, aber gefährlich. Denn hinterher lässt sich nicht mehr unterscheiden, ob eine Überweisung von der Mitarbeiterin kam oder von ihrem Assistenzprogramm. Und der Agent erbt sämtliche Rechte dieser Person, auch die, die er nie brauchen würde.
Dazu kommt ein Größenproblem. Ein Mensch arbeitet acht Stunden am Tag und klickt vielleicht ein paar hundert Mal. Ein Agent kann rund um die Uhr laufen und tausende Anfragen pro Minute stellen. Wenn er sich verrennt oder manipuliert wird, richtet er in Minuten Schaden an, für den ein Mensch Wochen bräuchte. Schon heute gibt es in vielen Firmen deutlich mehr solcher Maschinenkonten als menschliche Nutzer.
Es gibt außerdem eine Angriffsform, die es bei Menschen so nicht gibt. Sie heißt Prompt Injection: In einer Webseite oder E-Mail stehen versteckte Anweisungen, die der Agent für eine echte Aufgabe hält. Er befolgt sie dann brav. Eng gesetzte Rechte sind die einzige verlässliche Bremse, wenn das passiert. Ein Agent, der nur lesen darf, kann auch nach einer erfolgreichen Manipulation nichts löschen.
Ausweis, Erlaubnis und Protokoll
Der erste Baustein ist die Identität. Der Agent bekommt kein Passwort, sondern ein kryptografisches Zertifikat oder einen Schlüssel. Das ist eine sehr lange Zahlenfolge, die sich praktisch nicht erraten lässt. Damit weist er sich gegenüber jedem System aus, das er nutzen will. Wichtig ist, dass diese Identität dem Agenten gehört und nicht seinem Auftraggeber.
Der zweite Baustein sind die Rechte. Üblich ist das Prinzip der geringsten Rechte: Der Agent bekommt exakt die Erlaubnisse, die seine Aufgabe verlangt, und keine einzige mehr. Ein Agent, der Termine koordiniert, darf den Kalender lesen und schreiben, aber nicht das Gehaltssystem öffnen. Häufig sind die Zugangsdaten zusätzlich zeitlich befristet und gelten nur wenige Minuten. Läuft der Schlüssel ab, ist er für einen Angreifer wertlos.
Der dritte Baustein ist die Nachvollziehbarkeit. Jede Aktion wird protokolliert, zusammen mit der Frage, in wessen Auftrag der Agent gehandelt hat. Fachleute nennen diese Kette aus Mensch, Agent und Aktion Delegation. Für besonders heikle Schritte, etwa Zahlungen über einer bestimmten Summe, muss ein Mensch zusätzlich zustimmen. Und es braucht einen Notausschalter, der die Identität eines Agenten sofort ungültig macht.
Vom Firmennetz bis zum Einkaufsassistenten
Am sichtbarsten ist das Thema in Unternehmen. Wenn eine Firma einen KI-Assistenten an ihre internen Dokumente anschließt, entscheidet die Rechteverwaltung, wer welche Antworten bekommt. Ohne saubere Grenzen zitiert der Assistent einem Praktikanten die Kündigungspläne der Geschäftsführung. Anbieter von Identitätssoftware wie Microsoft, Okta oder Ping Identity haben deshalb eigene Produkte für Agenten-Identitäten auf den Markt gebracht.
Auch im Alltag taucht das Prinzip auf, meist unbemerkt. Wenn du einer App erlaubst, deinen Kalender zu lesen, aber nicht deine Kontakte, ist das dieselbe Idee in klein. Bei Einkaufs- oder Reiseassistenten, die selbstständig buchen sollen, wird die Frage konkreter: Wie viel Geld darf das Programm ausgeben, bevor es nachfragen muss?
In den Nachrichten begegnet dir der Begriff oft im Zusammenhang mit Sicherheitsvorfällen und Regulierung. Ein verbreiteter Irrtum ist, dass ein sicheres Sprachmodell auch einen sicheren Agenten ergibt. Das stimmt nicht. Das Modell entscheidet, was der Agent tun will, das Zugriffsmanagement entscheidet, was er tatsächlich darf. Erst die zweite Ebene begrenzt den möglichen Schaden.