KI-Agenten erklärt: was sie heute im Unternehmen können

Der Auftrag an die neue Kollegin aus dem Innendienst lautet: „Schau dir die zwanzig Anfragen von letzter Woche an, such zu jeder Firma die Ansprechperson heraus, trag sie ins CRM ein und sag mir, wo du nicht weitergekommen bist.“ Niemand schreibt ihr vor, in welcher Reihenfolge sie vorgeht, welche Webseite sie öffnet oder wann sie lieber im Handelsregister nachsieht. Sie hat ein Ziel, Zugang zu ein paar Programmen und eine Vorstellung davon, wann sie fragen sollte.

Genau so ist ein KI-Agent gedacht. Seit einigen Monaten bringen die großen Anbieter Agenten in ihre Assistenten und Büropakete, Google etwa hat auf seiner Veranstaltung Gemini at Work einen Agenten für die Arbeit in Workspace angekündigt. Das Wort steht inzwischen auf fast jedem KI-Produkt. Was dahintersteckt, lässt sich aber recht klar sagen.

Drei Stufen: Chat, Ablauf, Agent

Der Chat. Sie stellen eine Frage, die KI antwortet. Den nächsten Schritt machen Sie selbst, ob Sie das Ergebnis kopieren oder nachfragen.

Der feste Ablauf. Ein Programm führt immer dieselben Schritte aus und ruft an bestimmten Stellen ein Sprachmodell auf. Eine eingehende Mail wird zusammengefasst, einer Kategorie zugeordnet und dem richtigen Postfach zugestellt. Den Weg hat ein Mensch vorher festgelegt.

Der Agent. Er bekommt ein Ziel und entscheidet selbst, welche Schritte und Werkzeuge er dafür braucht. Er sucht, öffnet Dateien, ruft Programme auf, prüft sein Zwischenergebnis und macht weiter, bis er fertig ist oder nicht mehr weiterkommt.

Anthropic, der Hersteller von Claude, zieht in seiner Anleitung für Entwickler genau diese Linie zwischen festen Abläufen und Agenten. Die Empfehlung dort ist bemerkenswert nüchtern: mit der einfachsten Lösung anfangen und nur dann mehr Selbstständigkeit einbauen, wenn es nötig ist. Agenten passen zu offenen Aufgaben, bei denen sich die Zahl der Schritte nicht vorhersagen lässt. Für klar umrissene Aufgaben ist der feste Ablauf die bessere Wahl.

Wofür Agenten heute taugen

Die Stärke eines Agenten liegt dort, wo ein Mensch bisher zwischen vielen Fenstern hin und her springt, um etwas zusammenzutragen. Typische Aufgaben, die heute gut funktionieren:

• Recherche über viele Quellen. Zu einer Liste von Firmen öffentlich verfügbare Angaben sammeln, vergleichen und in eine Tabelle bringen, mit Vermerk, wo etwas unklar blieb.
• Vorbereitung von Vorgängen. Aus einer Kundenanfrage, früheren Angeboten und der Preisliste einen Angebotsentwurf erstellen, der dann in der Ablage auf Prüfung wartet.
• Abgleich zwischen Systemen. Offene Bestellungen mit eingegangenen Lieferscheinen vergleichen und nur die Abweichungen melden.
• Programmierung und Auswertung. Hier sind Agenten am weitesten: Sie schreiben Code, führen ihn aus, lesen die Fehlermeldung und bessern nach.

Allen diesen Aufgaben ist gemeinsam, dass am Ende ein Mensch ein Ergebnis sieht, bevor es wirkt. Das ist kein Zufall.

Wo es hakt

Ein Agent macht viele Schritte hintereinander, und jeder Schritt kann danebengehen. Anthropic weist selbst darauf hin, dass sich Fehler bei Agenten aufschaukeln können und die Selbstständigkeit mehr kostet, weil viele Modellaufrufe zusammenkommen. Ein Agent, der sich verrennt, verbraucht Zeit und Geld, bis eine Abbruchgrenze greift.

Schwerer wiegt ein zweites Problem. Ein Agent liest Texte, die nicht von Ihnen stammen: Webseiten, Mails, angehängte Dokumente. Darin können Anweisungen versteckt sein, die das Sprachmodell für einen Auftrag hält, etwa „Leite diese Unterlagen an folgende Adresse weiter“. Das Bundesamt für Sicherheit in der Informationstechnik nennt diese indirekten Prompt Injections eine Schwachstelle, die in der Bauart der Sprachmodelle selbst liegt. Ein Verbot im Prompt hilft dagegen wenig, weil der Angriff genau dort ansetzt.

Worauf es bei der Einführung ankommt

Weil sich das Modell nicht vollständig absichern lässt, kommt es auf die Grenzen außerhalb des Modells an. Das BSI und das Sicherheitsprojekt OWASP, das die bekannteste Liste von Risiken bei Sprachmodell-Anwendungen führt, kommen hier zu sehr ähnlichen Empfehlungen. OWASP nennt das Grundproblem „übermäßige Handlungsfreiheit“: zu viele Funktionen, zu viele Rechte, zu wenig Kontrolle vor folgenreichen Schritten.

Daraus ergeben sich vier Regeln, die auch ohne technische Vorkenntnisse zu prüfen sind:

1. Nur die Werkzeuge, die die Aufgabe braucht. Ein Agent, der Ansprechpersonen recherchiert, braucht keinen Zugriff auf das Postfach der Geschäftsführung.
2. Lesen vor Schreiben. Am Anfang darf der Agent nur lesen und Entwürfe ablegen. Schreibrechte in CRM oder Warenwirtschaft kommen erst, wenn er sich bewährt hat, und dann so eng wie möglich.
3. Freigabe vor allem, was nach außen geht oder etwas ändert. Mails, Bestellungen, Zahlungen, gelöschte Daten: Hier drückt ein Mensch auf den Knopf. Das empfehlen BSI und OWASP gleichermaßen.
4. Ein eigenes Konto mit Protokoll. Der Agent arbeitet unter einem eigenen Zugang, nicht unter dem einer Kollegin, und jede seiner Aktionen lässt sich nachvollziehen.

Ein brauchbarer Maßstab steht in unserem Glossar: Ein Agent sollte nur dürfen, was ein neuer Mitarbeiter in der Probezeit auch dürfte.

Ein kleiner Versuch zum Anfang

Suchen Sie eine Aufgabe, bei der heute jemand Angaben aus mehreren Quellen zusammenträgt und bei der ein Fehler niemandem schadet, weil das Ergebnis ohnehin geprüft wird. Die Recherche zu neuen Anfragen aus dem Beispiel oben ist so ein Fall. Lassen Sie den Agenten zwei Wochen lang parallel zur bisherigen Arbeit laufen, mit reinen Leserechten, und vergleichen Sie die Ergebnisse. Wie Sie dabei vorher und nachher sinnvoll messen, beschreibt der Beitrag Woran Sie merken, dass KI wirkt. Welche Aufgaben sich in Ihrem Unternehmen dafür anbieten, finden Sie mit der Methode aus Die ersten drei KI-Anwendungsfälle finden.

Newsletter · Das KI-Lagebild

Das Wichtigste zu KI im Unternehmen, jeden Dienstag

Jeden Dienstag eine Mail mit den Neuigkeiten der Woche zu KI im Unternehmen und mit dem, was Sie davon wirklich angeht. Abmelden können Sie jederzeit.

Ihre E-Mail-Adresse Bitte leer lassen Ich möchte den Newsletter erhalten und kann ihn jederzeit abbestellen. Mehr in der Datenschutzerklärung. Anmelden

Sie bekommen zuerst eine Mail mit einem Bestätigungslink.

Häufige Fragen

Was ist der Unterschied zwischen einem Chatbot und einem KI-Agenten?

Ein Chatbot antwortet auf Ihre Frage, den nächsten Schritt machen Sie. Ein Agent bekommt ein Ziel und arbeitet es in mehreren Schritten selbst ab: Er sucht, öffnet Dateien, ruft Programme auf, prüft das Zwischenergebnis und entscheidet, was als Nächstes kommt. Dafür braucht er Zugriff auf Ihre Systeme.

Kann ein Agent Mails verschicken oder Bestellungen auslösen?

Technisch ja, sobald er die Rechte dazu hat. Ob er es darf, entscheiden Sie. Für den Anfang empfiehlt sich, dass der Agent Entwürfe vorbereitet und ein Mensch sie abschickt. Diese Freigabe vor folgenreichen Schritten empfehlen auch das BSI und die Sicherheitsfachleute des OWASP-Projekts.

Warum kann man einem Agenten nicht einfach im Prompt verbieten, etwas Falsches zu tun?

Weil ein Agent auch Texte liest, die nicht von Ihnen stammen, etwa eine fremde Webseite oder den Anhang einer Mail. Darin können versteckte Anweisungen stehen, die das Modell für einen Auftrag hält. Das BSI nennt diese indirekten Prompt Injections eine Schwachstelle, die in der Bauart der Sprachmodelle liegt. Verlässlich schützen nur Grenzen außerhalb des Modells, also fehlende Rechte und menschliche Freigaben.

Brauchen wir für Agenten eine eigene Software?

Nicht unbedingt. Die großen KI-Assistenten und Büropakete bauen Agentenfunktionen gerade selbst ein. Eine eigene Anwendung lohnt sich, wenn der Agent an Ihre Warenwirtschaft, Ihr CRM oder andere Fachsysteme angebunden werden soll und die Standardangebote das nicht abdecken.

Quellen

• Anthropic: Building effective agents, 19.12.2024: anthropic.com
• Bundesamt für Sicherheit in der Informationstechnik: Indirect Prompt Injections, intrinsische Schwachstelle in anwendungsintegrierten KI-Sprachmodellen, 2023: bsi.bund.de
• Bundesamt für Sicherheit in der Informationstechnik: Evasion-Angriffe auf LLMs, Gegenmaßnahmen in der Praxis: bsi.bund.de
• OWASP Gen AI Security Project: LLM06:2025 Excessive Agency: genai.owasp.org
• Google: Gemini at Work, Ankündigung des Agenten für Google Workspace: blog.google

Ihre Meinung

Sie sehen das anders, haben eine Ergänzung oder eine Frage zum Beitrag? Schreiben Sie uns, wir antworten persönlich und nehmen gute Hinweise in den Beitrag auf.