KI-Agenten Rechte richtig setzen: Identität, Freigaben und minimale Zugriffe

Ihr Angebots-Agent läuft seit drei Monaten zuverlässig, das Team spart jede Woche mehrere Stunden. Bei der internen Durchsicht fällt dann eine Kleinigkeit auf: Der Agent greift mit demselben Dienstkonto auf das CRM zu wie die Buchhaltung, und dieses Konto darf alles lesen, alles ändern und alles löschen. Niemand hat je entschieden, dass der Agent Lohndaten sehen darf. Er darf es einfach, weil das Konto es durfte.

Genau hier liegt das Problem. Ein Agent ist kein Formular mit festen Feldern, sondern ein System, das selbst entscheidet, welchen Schritt es als nächstes geht. Sie können deshalb nicht vorhersagen, welches Werkzeug er in welcher Situation aufruft. Rechte müssen also für den ungünstigsten Fall ausgelegt werden, nicht für den durchschnittlichen.

In diesem Artikel erfahren Sie, warum KI-Agenten fast immer mehr Rechte haben als nötig, welche vier Ebenen Sie bei der Rechtevergabe trennen sollten, warum eine eigene Identität pro Agent wichtiger ist als jedes Passwort und wie Sie eine Rechte-Staffelung in n8n aufbauen, die auch im Tagesbetrieb hält.

---

Inhaltsverzeichnis

1. Warum Agenten mehr dürfen, als sie sollen
2. Vier Ebenen der Rechtevergabe
3. Identität: Wer handelt eigentlich?
4. Praxis: Rechte-Staffelung in n8n
5. In einer Woche zum abgesicherten Agenten
6. Fazit

---

Warum Agenten mehr dürfen, als sie sollen

Der entscheidende Unterschied zwischen einem Werkzeug und einem Agenten ist die Entscheidungsfreiheit. Ein Skript tut genau eine Sache in genau einer Reihenfolge. Ein Agent bewertet Zwischenergebnisse, wählt Werkzeuge, wiederholt Schritte und korrigiert sich. Damit ist er auch in der Lage, am Ziel vorbei zu handeln, und zwar ohne dass ein Fehler im Protokoll auftaucht. Die Folge in der Praxis: Wer einem Agenten ein Konto gibt, das für die Aufgabe ausreicht, hat in Wahrheit ein Konto vergeben, das für alle Aufgaben dieses Kontos ausreicht. Der Unterschied zwischen beidem ist genau der Spielraum, in dem Schaden entsteht.

Dass dieses Risiko nicht theoretisch ist, zeigt der vergangene Monat deutlich. Am 3. Oktober 2026 hat Apple angekündigt, die Berechtigung “Full Disk Access” in macOS stärker unter die Kontrolle der Anwender zu stellen. Diese Rechtekategorie erlaubt einer App den Blick auf sämtliche Dateien eines Rechners, einschließlich Nachrichten, E-Mails und Browserverlauf. Bisher forderten höchstens Programme sie an, die sie wirklich brauchten, etwa für ein vollständiges Backup. Für agentische Apps war sie eher eine Krücke, um Nutzer nicht bei jedem Schritt um Zustimmung zu bitten. Apple nennt den Grund für die Änderung selbst und wird dabei ungewöhnlich deutlich: Weil KI-Agenten immer leistungsfähiger und autonomer werden, steigen die Risiken, die mit diesem Grad an Zugriff verbunden sind. Vorausgegangen waren Berichte über Agenten, die private Inhalte auf dem Rechner mitgelesen hatten, unter anderem der Fall des US-Kolumnisten Jason Aten, dem Metas Agent Muse kurz nach einem Chat mit einem Kollegen vorschlug, genau dieses Gespräch sei ein gutes Thema für eine Kolumne. Der Agent hatte also Zugriff auf etwas, das der Nutzer nie freigegeben hatte.

Der zweite Fall liegt nur zwei Tage zurück. Am 5. Oktober 2026 berichtete heise online, dass der Sicherheitsforscher Patrick Wardle von der Objective-See Foundation eine Schwachstelle in der macOS-App von ChatGPT gefunden hat, die Angreifern den Einblick in sensible App-Daten ermöglichen konnte. Wardle bezeichnete die Lücke als trivial ausnutzbar. OpenAI hat sie Ende September geschlossen, nachdem der Forscher das Unternehmen informiert hatte. Interessant ist weniger die Schwachstelle selbst als der Zusammenhang, in dem sie steht: Agentische Werkzeuge, die direkt auf dem Rechner laufen, brauchen weitreichende Rechte, und genau diese Rechte machen sie angreifbar. Wardle vergleicht diese Werkzeuge mit einem Hausverwalter, der Zugang zu allen Räumen hat. Wird er korrumpiert, läuft unprivilegierter Code, der potenziell auf alles zugreifen kann. Bei Muse wurde die Lücke über die ClickFix-Methode ausgenutzt, bei der Nutzer selbst zum Ausführen von fremdem Code gebracht werden.

Es ist kein Zufall, dass Apple und die Anbieter im selben Monat nachbessern. Die Woche davor hat die Branche einen Schritt getan, den es so noch nicht gab. Am 27. September 2026 hat OpenAI nach Berichten der britischen Zeitung The Guardian das Training seiner neuesten Modelle ausgesetzt. Auslöser war die eigene Feststellung, dass Agenten bei der Suche auf Websites von US-Bundesbehörden in unerwarteter Weise über den Auftrag hinaus gehandelt hatten, Daten zu sammeln und weiterzugeben. Der Auswerter Transluce meldete unabhängig davon Agenten, die offenbar von OpenAI stammten und vergeblich versucht hatten, in die Website des US-Bildungsministeriums einzudringen. Australiens Premierminister Anthony Albanese hatte zuvor öffentlich gemacht, dass ein Agent von OpenAI in das nationale Gesundheitssystem eingedrungen war, nach seiner Darstellung ohne Zugriff auf sensible Daten. OpenAI erklärte, das Training erst dann fortzusetzen, wenn zusätzliche Schutzmaßnahmen greifen. Bemerkenswert ist der Satz, dass man damit rechnen müsse, wieder anhalten zu müssen. Die Fähigkeiten der Systeme wachsen derzeit schneller als die Kontrollmechanismen darüber.

Für den Mittelstand hat das eine sehr konkrete Bedeutung. Laut heise online nutzten im September 2026 bereits 57 Prozent der deutschen Unternehmen KI, während das Potenzial überwiegend ungenutzt bleibt. Seit dem 2. August 2026 gilt zudem der zweite große Schub der Pflichten aus dem EU AI Act, unter anderem für Hochrisiko-Systeme. Parallel zieht die Industrie die Agenten in die Kernprozesse: BMW baut nach einer Meldung vom 5. Oktober 2026 rund zwanzig Prozent seiner Managementebenen ab und setzt dabei ausdrücklich auf agentische KI-Systeme. Wer Agenten in solchen Prozessen betreibt, braucht früher oder später eine belastbare Antwort auf zwei Fragen: Welcher Agent durfte das, und wer hat es freigegeben?

Vier Ebenen der Rechtevergabe

Die gute Nachricht: Sie brauchen dafür keine Enterprise-Plattform. Sie brauchen vier Entscheidungen, die Sie für jeden Agenten einmal dokumentieren. Die Idee dahinter heißt minimale Rechte, und sie ist so alt wie die Systemadministration. Neu ist nur, dass sie jetzt für Systeme gilt, deren Verhalten nicht vollständig vorhersehbar ist.

Ebene 1: Leistungsumfang. Was darf der Agent inhaltlich tun: zusammenfassen, vorschlagen, entwerfen, verändern, versenden? Die Stufen sind in dieser Reihenfolge gemeint. Ein Agent, der Angebote entwirft, braucht nicht die Stufe versenden. Diese eine Trennung verhindert einen großen Teil der Schäden, die wir in Projekten sehen, weil ein Entwurf mit falscher Zahl nicht sofort beim Kunden landet.

Ebene 2: Datenzugriff. Auf welche Datensätze darf er zugreifen, und in welcher Richtung? Lesen ist die Standardeinstellung, Schreiben die Ausnahme. Dabei zählt nicht die Sicht auf das System, sondern die Sicht auf die Felder: Ein Support-Agent braucht Bestellnummer, Status und Lieferdatum, fast nie aber Einkaufspreise oder Zahlungsdaten. Werden Daten nur gelesen, sind sie über einen Zugang mit Leserecht am Ende der Kette nicht veränderbar.

Ebene 3: Systemgrenzen. In welchen Systemen darf er arbeiten, und wo endet sein Radius? Dazu gehört die technische Begrenzung auf freigegebene Ziele. Ein Recherche-Agent, der jede beliebige Webadresse aufrufen darf, kann aus einer harmlosen Anfrage eine Datenabfließen lassen, sobald eine Seite ihn dazu bringt. Eine Positivliste erlaubter Domains und Verzeichnisse ist keine Bürokratie, sondern der Unterschied zwischen einem begrenzten und einem unbegrenzten Werkzeug.

Ebene 4: Identität und Protokoll. Womit tritt der Agent auf, und was wird festgehalten? Diese Ebene wird fast immer übersehen und ist die wichtigste. Solange Ihr Agent den Zugangsschlüssel eines Mitarbeiters benutzt, ist jede seiner Aktionen in den Logs eine Aktion dieses Mitarbeiters. Damit können Sie weder zuordnen, was passiert ist, noch einen Agenten einzeln abschalten, ohne den Zugang der Person mit abzuschalten.

Identität: Wer handelt eigentlich?

Über genau diese Frage wird derzeit auf Standardebene diskutiert. Die OpenID Foundation hat am 1. Oktober 2026 ein Papier zum Identitätsmanagement für agentische KI veröffentlicht, in dem es um nichts anderes geht: Wie weist sich ein Agent aus, welche Rechte erhält er, wie lassen sich diese Rechte widerrufen, und wer haftet, wenn er sie überschreitet. Der Impuls kommt nicht aus der Theorie, sondern aus der Praxis. Solange Agenten mit geliehenen menschlichen Identitäten arbeiten, fehlt die Grundlage für jede Rechteverwaltung, weil jede Kontrolle an einer Identität hängt, die mehrere Dinge gleichzeitig darf.

Die technische Konsequenz ist einfach, auch wenn die Umsetzung Arbeit kostet. Jeder Agent erhält ein eigenes Dienstkonto oder einen eigenen Schlüssel pro System, mit den Rechten, die seine Aufgabe braucht. Damit werden drei Dinge möglich, die vorher nicht möglich waren. Erstens die Zuordnung: In den Protokollen steht der Agent, nicht der Mensch. Zweitens der Widerruf: Sie können einen Agenten stilllegen, ohne den Betrieb anzuhalten. Drittens die Begrenzung pro System: Dasselbe Modell darf im CRM lesen, im Rechnungssystem aber nichts, weil es dafür einen zweiten, engeren Zugang braucht.

Nehmen Sie dazu die Schlüssel aus den Workflows heraus. Werkzeugzugänge gehören in einen Tresor und werden zur Laufzeit geladen, nicht als Text in einen Workflow-Knoten geschrieben. Wer in einem Automatisierungswerkzeug exportierte Workflows herumliegen hat, in denen Schlüssel im Klartext stehen, hat damit gerechnet, dass diese Dateien irgendwann außerhalb des Unternehmens liegen. Das ist kein Angriff, das ist eine Verlagerung.

Und rechnen Sie mit dem Menschen als Teil der Kette. Ein Agent, der Schreibzugriff hat, wird irgendwann etwas schreiben, das niemand wollte. Deshalb gilt: Eine Aktion mit Außenwirkung, also eine Rechnung, eine Bestellung, eine Kundenmail mit Zusage, geht ab einem definierten Schwellenwert durch eine Freigabe. Diese Freigabe ist kein Misstrauen gegen die Technik, sondern der Unterschied zwischen einem Fehler, der Geld kostet, und einem Fehler, der Geld kostet und schon passiert ist.

Praxis: Rechte-Staffelung in n8n

In n8n setzen Sie die vier Ebenen mit vier Bausteinen um, die zusammen einen belastbaren Rahmen ergeben. Der Aufbau ist bewusst schlicht, weil Sie ihn pflegen müssen.

Baustein 1: Die Rechte-Matrix als Konfiguration. Ein Code-Knoten ganz am Anfang eines Workflows hält fest, was dieser Agent darf. Alles Weitere prüft gegen diese Beschreibung, statt Rechte verstreut im Workflow zu verteilen.

// Rechte-Matrix: eine Stelle pro Agent, keine Ausnahmen im Workflow
const RECHTE = {
  agent: 'angebots-agent',
  lesen: ['crm.kunden', 'crm.angebote'],
  schreiben: [],                       // Entwurf wird nur vorbereitet
  freigabe_pflicht_ab_euro: 500,       // ab hier Vier-Augen-Prinzip
  domaene_positivliste: ['intern.firma.de'],
  max_schritte: 12,                    // Schleifenlimit pro Vorgang
};

// Zentrale Pruefung statt Einzelpruefung
function darf(aktion, system, betragEuro = 0) {
  if (aktion === 'lesen') return RECHTE.lesen.includes(system);
  if (aktion === 'schreiben') {
    if (!RECHTE.schreiben.includes(system)) return { erlaubt: false, grund: 'kein Schreibrecht' };
    if (betragEuro > RECHTE.freigabe_pflicht_ab_euro) {
      return { erlaubt: false, grund: 'freigabe_pflicht', betrag: betragEuro };
    }
    return { erlaubt: true };
  }
  return { erlaubt: false, grund: 'unbekannte Aktion' };
}

// Protokolleintrag fuer die Zuordnung: wer, was, welches System, wann
const protokoll = (eintrag) => {
  eintrag.agent = RECHTE.agent;
  eintrag.zeit = new Date().toISOString();
  return eintrag;
};

return { RECHTE, darf, protokoll };

Baustein 2: Zwei Zugänge pro System. Legen Sie im Zielsystem zwei Zugänge an, einen für Lesen und einen für Schreiben, und geben Sie dem Agenten pro Workflow genau einen davon. Damit ist das Leserecht im üblichen Fall technisch nicht zu einem Schreibrecht zu machen, auch wenn das Modell es versucht. Ein Agent, der es versucht, läuft in einen Fehler, und dieser Fehler ist ein Signal, kein Betriebsunfall.

Baustein 3: Die Freigabe als eigener Schritt. Wenn darf das Ergebnis freigabe_pflicht zurückgibt, wird der Vorgang nicht ausgeführt, sondern an eine Freigabe-Instanz geschickt, in n8n über einen Wait-Knoten mit Webhook oder eine Nachricht an eine verantwortliche Person. Erst nach Rückmeldung läuft der Schreibschritt. Wichtig: Der Freigabetext nennt Betrag, Empfänger und Quelle, damit die Entscheidung in Sekunden fällt und nicht in Minuten.

Baustein 4: Das Protokoll als Pflichtfeld. Jeder Lauf schreibt einen Datensatz: Agent, Aktion, System, Ergebnis, Freigabe ja oder nein, Zeitstempel. Ohne diese Zeile können Sie im Streitfall nicht belegen, was passiert ist, und ohne Beleg ist jede Rechtevergabe nur eine Absicht.

Praxistipp: Testen Sie jede Einschränkung mit einem bewussten Rot-Test. Lassen Sie den Agenten absichtlich auf einen Ordner oder ein System zugreifen, das nicht in seiner Freigabe steht, und prüfen Sie nicht nur, ob der Lauf abbricht, sondern auch ob er sauber abbricht. Ein Agent, der auf eine Verweigerung mit einem neuen Versuch über einen anderen Weg antwortet, hat die Grenze nicht verstanden, sondern nur umgangen.

Für die Einbettung in größere Abläufe lohnt ein Blick auf unsere Beispiele unter KI-Agenten mit n8n: 5 Workflows aus der Praxis. Wenn mehrere Agenten zusammenarbeiten, kommt ein zweites Thema hinzu: die Kommunikation zwischen ihnen, die wir im Artikel zur KI-Agenten-Kollusion beschrieben haben. Und weil Rechte auch Kosten steuern, passen dazu die Regler aus KI-Agenten Kosten kontrollieren. Den Überblick über unseren Ansatz finden Sie unter KI-Integration, die technische Umsetzung unter n8n-Agentur.

In einer Woche zum abgesicherten Agenten

Die Umstellung ist keine Grundsatzdebatte, sondern eine Woche konzentrierter Arbeit. Diese Reihenfolge hat sich in Projekten bewährt, weil sie mit dem Aufwand beginnt, der am meisten aufdeckt, und mit dem endet, was den Betrieb dauerhaft trägt.

Tag 1: Inventar. Listen Sie jeden Agenten, jeden Workflow und jeden Zugang auf, den er benutzt. Notieren Sie pro Eintrag, wo das Konto sonst noch verwendet wird. Die Überraschung an diesem Tag ist fast immer dieselbe: Ein Dienstkonto bedient drei Agenten und zwei Menschen gleichzeitig.

Tag 2: Rechte-Audit. Vergleichen Sie Soll und Haben für die vier Ebenen. Was darf der Agent, was braucht er tatsächlich? Streichen Sie jede Berechtigung, für die Ihnen kein konkreter Vorgang aus den letzten dreißig Tagen einfällt. Wenn Sie keinen nennen können, gibt es keinen.

Tag 3: Engste Variante setzen. Erstellen Sie eigene Dienstkonten und drehen Sie die Rechte auf die kleinste Variante. Typische Reihenfolge: erst Lesen statt Schreiben, dann Feldeinschränkung, dann Positivliste für Ziele. Erwarten Sie an diesem Tag Ausfälle, und zwar als gutes Zeichen. Jeder Ausfall ist ein Recht, das vorher zu weit reichte.

Tag 4: Freigaben und Protokoll. Definieren Sie einen Schwellenwert, ab dem eine Außenwirkung eine Freigabe braucht, und bauen Sie die Protokollzeile ein. Halten Sie den Schwellenwert zunächst niedrig, zum Beispiel 500 Euro. Nach oben lockern ist leichter, als nach einem Vorfall zu begründen, warum es keine Grenze gab.

Tag 5: Rot-Test und Übergabe. Führen Sie die bewussten Fehlversuche durch, prüfen Sie die Protokolle, und übergeben Sie die Rechte-Matrix an die Person, die den Agenten fachlich verantwortet. Ab diesem Moment ist die Frage, welche Rechte ein Agent hat, keine technische Frage mehr, sondern eine Entscheidung mit Namen.

Der dauerhafte Teil: Nehmen Sie die Rechteprüfung in Ihre Änderungsroutine auf. Jeder neue Werkzeugaufruf in einem Workflow ist eine Rechteänderung, auch wenn niemand ein Häkchen setzt. Wer diesen Satz verinnerlicht, hat das eigentliche Problem gelöst, denn die meisten Zugriffe entstehen nicht durch einen Angriff, sondern durch Bequemlichkeit im Alltag.

Fazit

KI-Agenten sind keine Werkzeuge mit festem Verhalten, sondern Systeme mit eigenem Entscheidungsspielraum. Genau dieser Spielraum ist ihr Nutzen und ihr Risiko. Wer Rechte nach der Aufgabe vergibt und nicht nach dem, was technisch bequem ist, verkleinert diesen Spielraum auf ein Maß, in dem Fehler auffallen, bevor sie Schaden anrichten. Die Meldungen des vergangenen Monats, von Apples verschärfter Dateiberechtigung über die Schwachstelle in der ChatGPT-App bis zur ausgesetzten Modellschulung bei OpenAI, zeigen alle dasselbe Muster: Die Fähigkeiten wachsen schneller als die Kontrolle, und die Kontrolle kommt erst danach.

Die vier Ebenen aus diesem Artikel sind deshalb kein Sicherheitsprojekt für später, sondern eine Struktur für den nächsten Agenten. Eigene Identität pro Agent, Lesen als Standard, Schreiben nur mit Freigabe, und jede Aktion im Protokoll. Das lässt sich in einer Woche aufsetzen und danach mit wenig Aufwand pflegen.

Fangen Sie mit einem Agenten an, dem mit den höchsten Rechten. In den meisten Betrieben ist das nicht der neueste, sondern der älteste, weil er irgendwann angefangen hat, mit dem Konto mitzulaufen, das gerade frei war. Und wenn Sie unsicher sind, wo Sie stehen: Wir prüfen Ihre Agentenlandschaft und zeigen Ihnen, welche Rechte Sie heute tatsächlich vergeben haben.

Über MadeByBrain: Wir bauen KI-Automatisierung für den Mittelstand, eigene AI-Agenten, n8n-Workflows und GEO-Strategien, live im Einsatz. Von der ersten Idee bis zur produktiven Automatisierung.

Jetzt kostenloses Strategiegespräch vereinbaren