Der Agent Security Gap: Warum 54 % der Unternehmen bereits einen KI-Agenten-Vorfall erlebt haben

Autonome KI-Agenten im Einsatz – und die Sicherheitsarchitektur schläft noch

KI-Agenten sind längst kein Zukunftsszenario mehr. In immer mehr Unternehmen führen sie eigenständig Geschäftsprozesse aus, greifen auf interne Systeme zu, verarbeiten sensible Daten und treffen operative Entscheidungen – ohne jeden menschlichen Eingriff im Einzelschritt. Was in der Innovationsabteilung als Effizienzgewinn gefeiert wird, offenbart beim genauen Hinschauen eine strukturelle Sicherheitslücke, die in ihrer Tragweite unterschätzt wird: den sogenannten Agent Security Gap.

Eine aktuelle Befragung von 107 Unternehmen durch VentureBeat Pulse Research zeichnet ein nüchternes Bild. Mehr als die Hälfte der befragten Organisationen – konkret 54 Prozent – hat bereits einen bestätigten Sicherheitsvorfall mit KI-Agenten erlebt oder war knapp davor. 18 Prozent berichten von einem tatsächlich eingetretenen Incident, 36 Prozent von einem Beinahe-Vorfall, der noch rechtzeitig abgefangen wurde. Nur 42 Prozent melden bislang keine derartigen Ereignisse. Die KI-Agentenarchitektur der Unternehmen wächst schneller als das Sicherheitsnetz, das sie umgibt.

Das Identitätsproblem: Geteilte Credentials als Einfallstor

Der strukturelle Kern des Problems liegt im Bereich der Agent Identity. Nur rund ein Drittel der befragten Unternehmen (32 Prozent) vergibt jedem KI-Agenten eine eigene, eng definierte Identität mit skalierten Berechtigungen – das sogenannte Scoped Identity-Modell. Fast die Hälfte (48 Prozent) gibt an, dass zwar manche Agenten eigene Identitäten besitzen, viele jedoch weiterhin gemeinsame Credentials nutzen. Weitere 32 Prozent setzen mehrheitlich auf geteilte API-Keys oder geliehene Service-Account-Zugangsdaten menschlicher Nutzer.

Die Konsequenz ist gravierend: Wenn Agenten Zugangsdaten teilen, überträgt ein einziger kompromittierter oder überprivilegierter Agent seine Reichweite auf das gesamte verknüpfte System. Der Blast Radius – also das Schadensausmaß bei einem Kontrollverlust – wächst proportional zur Anzahl der schlecht abgegrenzten Agenten. Hinzu kommt: Bei einem Vorfall lässt sich forensisch nicht mehr sauber nachvollziehen, welcher Agent welche Aktion ausgeführt hat. Attribution, die Grundvoraussetzung jeder Incident Response, wird praktisch unmöglich.

Die Daten bestätigen diesen Zusammenhang empirisch: In Unternehmen mit Credential-Sharing irgendwo in der Agenten-Flotte lag die Incident-oder-Beinahe-Vorfall-Rate bei 63,5 Prozent. Dort, wo jeder Agent eine eigene Scoped Identity besitzt, sank diese Rate auf 40,9 Prozent – ein Unterschied von 23 Prozentpunkten, der sich nicht wegdiskutieren lässt.

„Das Non-Human Identity Problem ist das größte ungelöste Strukturproblem im Enterprise-Agent-Einsatz heute. Solange Agenten Identitäten teilen, teilen sie auch Risiken – und das exponentiell."

Beobachten ja, isolieren nein: Die Containment-Lücke

Auf der Ebene der technischen Kontrollen zeigt sich ein weiteres Muster: Monitoring und Enforcement sind verbreitet, Containment nicht. Rund 47 Prozent der Unternehmen überwachen die Aktivitäten ihrer Agenten durch Logging, weitere 49 Prozent setzen auf Runtime Enforcement mit skalierten Berechtigungen. Doch nur 30 Prozent isolieren ihre risikoreichsten Agenten in Sandboxes – die einzige Maßnahme, die im Ernstfall den Blast Radius tatsächlich begrenzt.

Besonders aufschlussreich ist die Größenkorrelation: Mit wachsender Unternehmensgröße steigt zwar die Incident-Rate (von 49 Prozent im Mittelstand auf 63 Prozent bei größeren Enterprises), gleichzeitig sinkt jedoch die Sandbox-Isolationsrate von 35 auf 20 Prozent. Ausgerechnet die Organisationen, die die meisten Agenten über die meisten Systeme betreiben, haben am wenigsten von der einzigen Kontrolle im Einsatz, die im Fehlerfall den Schaden begrenzt.

Dr. Maik Bunzel, Gründer und Geschäftsführer von mabucon.eu, beobachtet dieses Muster auch im Mittelstand: Unternehmen unterschätzen systematisch, dass KI-Agenten nicht nur Prozessautomatisierer sind, sondern aktive Akteure mit Systemzugang. Die Frage sei nicht mehr ob ein Agent Zugriff auf kritische Ressourcen erhält, sondern unter welchen Bedingungen – und was passiert, wenn diese Bedingungen verletzt werden.

Provider-native Sicherheit: Bequem, aber nicht ausreichend

Was die eingesetzten Sicherheitswerkzeuge angeht, offenbart die Studie eine gefährliche Bequemlichkeit. Das Sicherheits-Stack der meisten Unternehmen ist provider-nativ: Guardrails von OpenAI (51 Prozent), Cloud-Sicherheitskontrollen von Google und Microsoft sowie managed-agent Controls von Anthropic dominieren das Bild. Dedizierte, agentenspezifische Sicherheitslösungen unabhängiger Anbieter spielen kaum eine Rolle.

Die Zufriedenheit mit diesen geliehenen Sicherheitsarchitekturen ist bemerkenswert hoch – im Durchschnitt 4,2 von 5 Punkten. Gleichzeitig plant eine klare Mehrheit der Unternehmen, ihr Security-Tooling innerhalb des nächsten Jahres zu wechseln. Man ist zufrieden mit Werkzeugen, die man bereits auf dem Weg raus ist zu ersetzen. Nur ein Drittel glaubt, dass die eigenen KI-Abwehrmaßnahmen mit KI-gestützten Angreifern mithalten können – ein ernüchterndes Signal.

Das Sicherheitsbudget, das auf agentenspezifische Maßnahmen entfällt, bleibt ein kleines Segment des gesamten IT-Security-Budgets. Die Investitionsbereitschaft steht in keinem Verhältnis zur operativen Bedeutung, die KI-Agenten in kritischen Geschäftsprozessen bereits besitzen.

Was Unternehmen jetzt strukturell verändern müssen

Die Implikationen für Organisationen, die KI-Agenten produktiv einsetzen oder einzuführen planen, sind klar und konkret:

• Agent Identity als Architekturprinzip: Jeder Agent benötigt eine eigene, eng begrenzte digitale Identität mit dem Prinzip der minimalen Rechtevergabe (Least Privilege). Das ist keine optionale Best Practice, sondern strukturelle Grundvoraussetzung.
• Sandbox-Isolierung für Hochrisiko-Agenten: Agenten mit Zugriff auf kritische Systeme, Finanzdaten oder externe Schnittstellen müssen in isolierten Laufzeitumgebungen operieren, die den Blast Radius bei Kompromittierung begrenzen.
• Purpose-built Agent Security statt Provider-Defaults: Die Guardrails der Modellprovider wurden nicht für komplexe Multi-Agent-Architekturen mit heterogerem Systemzugang entwickelt. Mittelfristig brauchen Unternehmen eine dedizierte Sicherheitsschicht für ihre Agenten-Infrastruktur.
• Forensik-Fähigkeit als Planungsgröße: Bevor Agenten in Produktion gehen, muss die Frage beantwortet sein: Können wir im Nachhinein rekonstruieren, welcher Agent welche Aktion mit welchen Credentials ausgeführt hat? Wenn nicht, ist die Architektur noch nicht produktionsreif.
• Security-Budget neu kalibrieren: Der Anteil des Sicherheitsbudgets für Agenten-spezifische Maßnahmen muss proportional zur operativen Abhängigkeit von diesen Systemen wachsen.

Ausblick: Das Fenster zur Intervention schließt sich

Die Daten zeigen: Die meisten Unternehmen befinden sich in einem Zwischenstadium. Sie haben KI-Agenten produktiv im Einsatz, aber die Governance-Strukturen sind noch nicht mitgewachsen. Dieses Fenster – in dem Vorfälle häufiger Beinahe-Misses als tatsächliche Breaches sind – ist eine strategische Gelegenheit, nicht eine Entwarnung.

Dr. Maik Bunzel, Gründer und Geschäftsführer von mabucon.eu, sieht hier eine der wichtigsten Weichenstellungen für die nächste Phase der Enterprise-KI: Der Übergang von experimentellen Agentenpiloten zu skalierbaren, governance-reifen Agenten-Architekturen erfordert, dass Sicherheit nicht nachgerüstet, sondern von Anfang an mitdesignt wird. Unternehmen, die das jetzt angehen, schaffen nicht nur Sicherheit – sie schaffen die Voraussetzung, KI-Agenten überhaupt in geschäftskritischen Kontexten vertrauenswürdig einzusetzen.

Der Agent Security Gap ist real, messbar – und schließbar. Aber nur, wenn Unternehmen aufhören, ihn als Technologieproblem ihrer Anbieter zu behandeln, und anfangen, ihn als strategische Führungsaufgabe zu begreifen.