Was ist der häufigste Sicherheitsfehler bei KI-Agenten?

Zu weitreichende Rechte. Laut TechCrunch gelangten Agenten in Indien über offen liegende Zugangsdaten und zu grosszügige Cloud-Rollen auf fremde Systeme. Gib jedem Agenten ein eigenes Konto mit nur den Rechten, die seine Aufgabe braucht, und lass sie ablaufen.

Muss ich einen Vorfall mit einem KI-Agenten dem EDÖB melden?

Ja, wenn der Vorfall eine Datensicherheitsverletzung ist, die voraussichtlich zu einem hohen Risiko für die Betroffenen führt. Die Meldung erfolgt laut EDÖB-Leitfaden zu Art. 24 DSG «so rasch als möglich», ohne dass du die Untersuchung abwarten musst. Ein Protokoll der Agenten-Aktionen hilft, Art und Umfang zu beschreiben.

Darf ein KI-Agent Entscheidungen über Personen allein treffen?

Das revDSG verbietet es nicht grundsätzlich, aber Betroffene können laut EDÖB verlangen, dass eine automatisierte Einzelentscheidung von einer Person überprüft wird. Plane deshalb bei Bewerbungen, Krediten oder Kündigungen einen menschlichen Prüfschritt ein.

Brauche ich Spezialsoftware, um einen KI-Agenten zu überwachen?

Nicht zum Start. Für ein KMU genügen ein eigenes Konto mit knappen Rechten, ein Protokoll ausserhalb des Agenten und ein benannter Ausschalter. Hardware-Wächter wie Nvidias Sentry richten sich an grosse Rechenzentren und Konzerne.

KI-Agenten sicher im Betrieb einsetzen: Rechte, Protokolle, Notbremse

KI-Agenten setzt du sicher ein, wenn jeder Agent nur die Rechte hat, die seine Aufgabe verlangt, jede Aktion in einem Protokoll landet und eine benannte Person ihn jederzeit stoppen kann. Wie schnell das schiefgeht, zeigt ein Fall aus Australien: Ein OpenAI-Agent drang am 18. Juni 2026 in ein Medicare-Statistikportal ein, und OpenAI, das den Vorfall am 11. August selbst bemerkt hatte, informierte die Behörde laut ABC erst am 10. September, also 84 Tage später. Dieser Leitfaden zeigt, welche Kontrollen du als Schweizer Firma brauchst und was das revDSG dazu sagt (Stand 19. Oktober 2026).

Vom Chatbot zum Kollegen mit Schlüsselbund

Ein Chatbot antwortet, ein Agent handelt: Er liest Mails, pflegt das CRM, bereitet Rechnungen vor oder klickt sich selbstständig durch Webseiten. Das Zürcher Start-up Cedric verkauft genau das laut Netzwoche als «KI-Teamkollegen» für KMU, bedienbar über Slack, Telegram oder eine Web-App. Die Daten liegen bei AWS in Paris, die Modelle stammen von Anthropic. Damit ein Agent arbeiten kann, braucht er Zugänge, und jeder Zugang ist ein möglicher Schaden. Der Unterschied zum Chatbot liegt also nicht in der Intelligenz, sondern im Schlüsselbund. Dazu kommt: Ein Chatbot, der sich irrt, liefert eine falsche Antwort, die du prüfen kannst. Ein Agent, der sich irrt, hat die falsche Mail womöglich schon verschickt.

84 Tage, bis jemand Bescheid wusste

Der australische Fall steht nicht allein. Indiens Cybersicherheitsbehörde CERT-In berichtete Mitte Oktober, dass KI-Agenten bei Tests auf Systeme indischer Organisationen gelangt sind. Als Türen dienten laut TechCrunch offen liegende Zugangsdaten in App-Konfigurationen und öffentlichen Code-Archiven sowie zu grosszügige Cloud-Rollen. Die Agenten stammen laut CERT-In von mehreren Modellanbietern und gingen über ihren Auftrag hinaus. Dass die betroffenen Organisationen den Zugriff nicht selbst bemerkten, ist laut TechCrunch der Befund.

Beide Fälle betreffen Agenten von Modellanbietern, nicht Software eines KMU. Die Schwachstellen sind aber dieselben, die in jeder Firma vorkommen: Passwörter im Code, Rollen mit zu vielen Rechten, fehlende Alarme. Das OWASP-Projekt hat dafür am 9. Dezember 2025 eine «Top 10 for Agentic Applications» veröffentlicht. Zu den zehn Risiken zählen gekaperte Agentenziele, der Missbrauch von Werkzeugen sowie Missbrauch von Identität und Rechten.

Rechte: wenig, kurz, getrennt

Das wirksamste Mittel ist unspektakulär. Gib dem Agenten ein eigenes Konto statt deines Zugangs, beschränke es auf eine Aufgabe und lass Berechtigungen ablaufen. Dazu gehört die Hygiene, die du von Mitarbeitenden kennst: Zugangsdaten gehören in einen Passwort-Tresor statt in Konfigurationsdateien oder Code-Archive, und Cloud-Rollen werden regelmässig auf Überschüsse geprüft. Genau daran scheiterten die Organisationen in Indien. Prüfe die Rechte eines Agenten im selben Rhythmus wie die deiner Leute. Lesen ist dabei nicht schreiben: OpenAI hält in der Hilfe zu seinen «Dots» fest, dass die Erlaubnis zum Lesen von Informationen nicht automatisch die Erlaubnis einschliesst, sie zu ändern oder Nachrichten zu senden.

Auch Betriebssysteme reagieren. Apple kündigte am 2. Oktober 2026 strengere Kontrollen für den «Full Disk Access» in macOS an: Die Freigabe soll nur noch nach sehr expliziter Nutzeraktion möglich sein. Details und Termin nannte Apple nicht, als Grund aber die wachsende Autonomie von KI-Agenten. Konkret heisst das: Ein einziges Häkchen kann einem Agenten alle Dateien öffnen. Setz es nie aus Bequemlichkeit.

Protokoll und Notbremse

Microsoft-Chef Satya Nadella forderte am 10. Oktober auf X, ein Modell von Anfang an als möglicherweise kompromittiert zu behandeln. Seine Bausteine laut TechCrunch: Kontrollen ausserhalb des Modells, fälschungssichere und lesbare Protokolle wichtiger Aktionen und eine befugte Person, die ein Modell mitten in der Aufgabe pausieren oder abschalten kann.

Was gehört ins Protokoll? Mindestens der Auftrag, die gelesenen Daten, die ausgelöste Aktion und wer sie freigegeben hat. Das Protokoll muss ausserhalb des Agenten liegen, sonst kann ein fehlerhafter oder getäuschter Agent seine Spuren selbst verwischen. Sinnvoll ist zudem ein Alarm bei Auffälligem, etwa wenn ein Agent plötzlich deutlich mehr Anfragen stellt als üblich.

Nvidia treibt das Prinzip in die Hardware. Der Wächter «Sentry» auf BlueField-4-Chips soll Agenten, die ihre Grenzen verlassen, laut Nvidia in Millisekunden isolieren; über 100 Organisationen arbeiten laut Nvidia mit Technologien der Plattform. Für ein KMU ist das überdimensioniert. Das Prinzip gilt trotzdem: Der Wächter sitzt ausserhalb des Agenten, und der Ausschalter ist ein Mensch mit Namen.

Was das revDSG für Agenten bedeutet

Eine eigene KI-Regel gibt es in der Schweiz nicht. Das Datenschutzgesetz gilt seit 1. September 2023 und ist laut EDÖB technologieneutral formuliert, es erfasst also auch Agenten, die Personendaten verarbeiten. Drei Punkte betreffen den Betrieb direkt:

Meldung bei Pannen: Führt eine Datensicherheitsverletzung voraussichtlich zu einem hohen Risiko für die Betroffenen, meldest du sie dem EDÖB «so rasch als möglich» (Art. 24 DSG, Leitfaden vom 6. Februar 2025). Ohne Protokoll kannst du Art, Zeitpunkt und Umfang nicht beschreiben.
Menschliche Prüfung: Betroffene können laut EDÖB verlangen, dass eine automatisierte Einzelentscheidung von einer Person überprüft wird. Wer Bewerbungen oder Kreditanträge von einem Agenten vorsortieren lässt, braucht diesen Prüfweg.
Kritische Infrastruktur: Betreiber, zum Beispiel kantonale und kommunale Verwaltungen, melden Cyberangriffe seit 1. April 2025 innert 24 Stunden an das Bundesamt für Cybersicherheit (BACS).

Das ist keine Rechtsberatung. Bei grossen Mengen an Personendaten lohnt sich der Gang zur Datenschutzberatung.

Checkliste: In sieben Schritten zum kontrollierten Agenten

Aufgabe eng fassen: ein Agent, eine wiederkehrende Aufgabe, ein messbares Ziel.
Eigene Identität vergeben: eigenes Konto oder eigener API-Schlüssel, nie der Zugang einer Mitarbeiterin.
Mit Lesen starten: Schreiben, Senden und Löschen erst freischalten, wenn zwei Testwochen sauber waren.
Unumkehrbares freigeben lassen: Zahlungen, Kundenmails und Löschungen nur nach menschlicher Bestätigung.
Protokoll einschalten: jede Aktion mit Zeit, Ziel und Auftrag speichern, und zwar ausserhalb des Agenten.
Ausschalter benennen: eine Person mit Stellvertretung, den Ernstfall einmal pro Quartal üben.
Kosten deckeln: Agenten werden zunehmend nach Nutzung abgerechnet. Bei Microsoft laufen Cowork, Code und Autopilot über Nutzungsabrechnung, und Admins können Ausgabenrichtlinien per API verwalten sowie Credit-Anfragen über Freigabeprozesse leiten. Lege auch bei anderen Anbietern eine Monatsobergrenze fest.