KI-Agenten gefährden die Datensicherheit – so lässt sich das Problem beheben.

Die heute in den meisten Unternehmen angewandten Strategien zur Datensicherheit wurden für eine Welt entwickelt, in der der Mensch die primäre Identität darstellte. Ein Benutzer authentifiziert sich in einem System und greift basierend auf Autorisierungskontrollen auf Daten zu. Jede sinnvolle Kontrolle über mehrere Domänen hinweg, einschließlich DLP, DSPMIAM, ITDR und CASB basieren auf dieser Prämisse.

Diese Welt wurde durch Agenten völlig auf den Kopf gestellt. Agentenbasierte Arbeitsabläufe, die zunehmend autonom ablaufen, werden von Unternehmen massenhaft eingesetzt.

• Entwickler, die Coding-Agenten auf ihren Laptops ausführen.
• Finanzteams nutzen Agenten zur Analyse firmeneigener Daten in Snowflake.
• Marketingteams, die mit Kundendaten in CRM-Systemen arbeiten.
• Und vielleicht sogar eine selbstentwickelte, öffentlich zugängliche Anwendung, die mit dem Branding Ihres Unternehmens versehen ist und Entscheidungen trifft, für die es keine Nachvollziehbarkeit gibt.

Dies unterscheidet sich grundlegend von Chatbots mit direkter Antwortfunktion. Agenten sind autonome und teilautonome Systeme, die Ihre sensiblen Daten lesen, Tools aufrufen, APIs nutzen und Aktionen ausführen können. Ihr bisheriges Vorgehen ist nicht für diese Systeme ausgelegt. Im Folgenden beschreiben wir die auftretenden Probleme und geben Lösungsvorschläge.

Wie Agenten traditionelle Kontrollmechanismen umgehen

1. Identitäten sind gleich Menschen‍

Ihre IAM- und ITDR-Architektur basiert auf menschlichen Identitäten. SSO, MFA, Benutzerrollen, Provisionierung usw. – all dies ist auf den Menschen ausgerichtet. Agenten hingegen sind schneller als Menschen und arbeiten in einem viel größeren Umfang. Sie sind rund um die Uhr aktiv, in Spitzenzeiten, und führen Tausende von API-Aufrufen durch, wobei sie oft Berechtigungen des Benutzers übernehmen, der sie erstellt hat. Für herkömmliche ITDR-Tools erscheinen Agenten wie kompromittierte Konten. Das Signal-Rausch-Verhältnis ist extrem schlecht.

2. Sensible Daten befinden sich in Systemen, und wir kontrollieren die Systeme.‍

DSPM und DLP wurden entwickelt, um ruhende Daten in bekannten Systemen zu erkennen und zu schützen. Agenten stellen eine neue Fehlerquelle dar: Sie rufen sensible Daten aus einem System ab, speichern sie im Kontext, transformieren sie und verarbeiten sie an anderer Stelle. Die Datenbewegungen entsprechen nicht mehr den Vorgaben von DLP. Sie werden vielmehr systematisch analysiert. und handelten aufIhre Anforderungen an die Datensichtbarkeit sollten Ihnen Kontext zu den Aktionen des Agenten liefern, nicht zum Dateistatus.

3. Perimeterbasierte Verteidigung. ‍

Das Scannen von Eingabeaufforderungen und Antworten ist wichtig, doch das eigentliche Risiko eines Agenten besteht viel früher. Es liegt in den Berechtigungen. Der Tool-Aufruf, auf den der Agent Zugriff hat, ohne dass man es wusste, der Konnektor, der ihm Schreibzugriff auf eine öffentliche Wissensdatenbank gewährt, der Abruf aus einem Vektorspeicher, der nie bereinigt wurde. Es geht auch darum, wie der Agent entwickelt wurde und welche Absicht hinter seinen Aktionen steht.

4. Sichtbarkeit und Governance sind gleich.‍

Tabellen mit genehmigten KI-Anwendungsfällen sind die neue Schatten-IT. Die Anzahl der Anwender in großen Unternehmen wächst rasant, da Low-Code-Plattformen auch Nicht-Entwicklern zugänglich gemacht werden. Statische, manuell erstellte Inventarlisten können da nicht mithalten. Governance muss kontinuierlich und maschinell erfolgen, sonst verkommt sie zu reiner Formsache.

Die neue Strategie: entdecken, steuern, schützen, bestätigen

Entdecken

Die Erkennung von Agenten ist schwieriger als bei Cloud-Workloads oder SaaS-Anwendungen. Agenten befinden sich an vielen Orten, die von herkömmlichen Erkennungsmethoden nicht erreicht werden:

• Native Agent-Plattformen (Copilot Studio, Agentforce, Bedrock Agents, Foundry Agents)
• Selbstgehostete Agentendienste über AWS, Azure und GCP
• Endpoint-Agenten, z. B. Claude Code, Cursor oder CodeEx, laufen auf Entwickler-Laptops und verwenden häufig Anmeldeinformationen, die bis in die Produktionsumgebung gelangen.
• Browserbasierte öffentliche KI-Tools, die sich mit MCP-Servern und Tool-Registries verbinden, die bisher nur wenige Sicherheitsteams geprüft haben.

Eine effektive Erkennung muss diese Anwendungsfälle berücksichtigen und dabei native Plattform-APIs, Netzwerktelemetrie, OAuth-Signale, protokollbasierte Erkennung und Endpunktzuordnung nutzen. Wenn Ihre Agentenliste nur die von Ihrem Entwicklerteam selbst gemeldeten Agenten umfasst, haben Sie wahrscheinlich nur die Spitze des Eisbergs entdeckt.

Regieren

Discovery ist eine Liste, Governance hingegen gewährleistet Rechenschaftspflicht.

Für jeden Agenten benötigen Sie drei Dinge: ein klares Verständnis der Absicht. (Wozu wurde dieser Erreger entwickelt?), ein genaues Bild seines Explosionsradius (Auf welche Daten und Systeme kann es mit seinen Werkzeugen und Berechtigungen tatsächlich zugreifen?) und ein Risiko Dabei werden Haltung, Verhalten, Autonomiegrad und die Offenlegung sensibler Daten in eine quantifizierbare Kennzahl umgewandelt, auf deren Grundlage ein Sicherheitsverantwortlicher handeln kann.

Die wichtigste Frage zur Steuerung ist eine, die heute fast niemand beantworten kann: Angesichts all dessen, worauf dieser Agent Zugriff hat, ist sein tatsächliches Verhalten mit seiner erklärten Absicht vereinbar? Ein Agent, der zur Zusammenfassung von Support-Tickets entwickelt wurde, sollte nicht den M&A-Ordner lesen. Die Tatsache, dass dies heutzutage schwer zu erkennen ist, verdeutlicht, warum die Agentenverwaltung kontinuierlich und datenbasiert erfolgen muss und nicht auf eine statische Zugriffsprüfung zu einem einzelnen Zeitpunkt beschränkt sein darf.

Schützen

Wie lässt sich Bedrohungen in Echtzeit abwehren? Wie lassen sich schädliche Aktionen blockieren? Die Überprüfung von Abfragen und Antworten ist entscheidend, aber allein nicht ausreichend. Effektiver Agentenschutz erfordert die Durchsetzung von Richtlinien innerhalb des Systems. die Schleife:

• Blockieren Sie einen Toolaufruf, bevor er ausgeführt wird, wenn er gegen die Datenresidenz verstoßen würde.
• Sensible Inhalte sollten geschwärzt werden, bevor sie ein Drittanbietermodell erreichen.
• Stoppen Sie einen Agenten, der plötzlich auf Daten außerhalb seines Zweckbereichs zugreift.
• Erkennung von in abgerufenen Inhalten eingebetteten Prompt-Injection-Maßnahmen, nicht nur von Benutzereingaben

Die technischen Anforderungen sind hoch, da die schwerwiegendsten Agentenfehler nicht wie Angriffe aussehen. Sie wirken, als würde der Agent exakt seine Anweisungen befolgen und dabei auf Daten zugreifen, auf die er eigentlich keinen Zugriff haben sollte. Der Schutzmechanismus befindet sich zwischen Agent und Daten. Er ist nah genug am Geschehen, um durchzugreifen, und gleichzeitig intelligent genug, um legitime Arbeitsabläufe nicht zu beeinträchtigen.

Bestätigen

Der letzte Schritt wird an Bedeutung gewinnen, sobald die KI-Regulierung ausgereift ist. Im Mittelpunkt steht die Frage: Woher wissen Sie, ob Ihre Kontrollmaßnahmen tatsächlich funktioniert haben?‍

Validierung bedeutet, die eigenen Agenten automatisiert und in großem Umfang einem Red-Team-Test zu unterziehen. Dabei werden sie mit gezielten Angriffen, Jailbreaks, Datenexfiltrationsversuchen und nicht richtlinienkonformen Tool-Aufrufen geprüft, um Beweise für die Wirksamkeit der Schutzmechanismen zu erbringen. Ohne diese Ebene haben Sie zwar eine Vorstellung von Ihrer Sicherheitslage, aber keine Beweise. Mit Validierungsnachweisen verfügen Sie über etwas, worauf sich Vorstand, Auditor oder Aufsichtsbehörde verlassen können.

Die Zukunft der Datensicherheit

Die Absicherung von KI-Agenten kann nicht auf dem Status quo oder einer Technologiearchitektur aus der Zeit vor der KI basieren. Es bedarf einer grundlegenden Neugestaltung der Funktionsweise von Datensicherheit und Identitätssicherheit sowie einer neuen, bisher nicht existierenden Laufzeitschicht für Agenten.

Das ist das Prinzip, auf dem Cyera aufbaut. KI-Sicherheitslösung Die Lösung vereint bereits die Erkennung und Verwaltung von KI-Assets und -Agenten mit einer Schutzebene für die Schnittstellen zwischen Modellen, Agenten und Daten. Beide basieren auf demselben Datengraphen und derselben Plattform, die auch unser DSPM und DLP unterstützen. Dadurch lässt sich jeder Agent auf jeder Plattform direkt mit den sensiblen Daten in seinem Wirkungsbereich verknüpfen, wobei menschliche, maschinelle und agentenspezifische Identitäten berücksichtigt werden.

Damit die agentenbasierte Unternehmensvision sich durchsetzen kann, muss die Sicherheit mit ihr skalieren. Die Unternehmen, denen dies gelingt, werden nicht diejenigen mit dem ausgefeiltesten Modell sein. Sie werden diejenigen sein, die für jeden Agenten in ihrer Umgebung auf Abruf eine einfache Frage beantworten können: Welche Daten haben Sie berührt, warum und war dies zulässig?‍

Wenn Ihre aktuelle Strategie diese Frage nicht beantworten kann, ist sie bereits gescheitert. Die gute Nachricht: Die neue Strategie wird bereits entwickelt, und Sie haben noch Zeit, sie umzusetzen.

‍