Ein Entwickler gibt seinen KI-Agenten inzwischen echte Zugangsdaten und erklärt offen, warum. Interessanter als seine Entscheidung ist das Risiko, das er selbst benennt: drei harmlose Zutaten, die zusammen gefährlich werden. Und die entstehen im kleinen Betrieb genauso.
Ein Entwickler hat diese Woche aufgeschrieben, dass er seinen KI-Agenten inzwischen Zugriff auf echte Zugangsdaten gibt, auf Schlüssel und Token, mit denen man an laufende Systeme kommt. Das klingt nach einer Nachricht für Fachleute. Ist es nicht. Denn das Abwägen, das er beschreibt, findet in jedem Betrieb statt, der KI an echte Daten lässt, nur meistens ohne dass es jemand aufschreibt.
Sein Argument ist ein Tauschgeschäft. Ein Agent, der nur Vorschläge machen darf, spart wenig Zeit, weil ein Mensch jeden Schritt selbst ausführen muss. Ein Agent mit Zugriff kann eine Störung untersuchen, Protokolle lesen und eine Korrektur einspielen. Der Gewinn liegt nicht im Schreiben von Text, sondern im Wegfall der Handarbeit dazwischen.
Die Gegenleistung sind Wände. Die Agenten laufen bei ihm in abgeschotteten Containern, jeder mit eigenem Arbeitsstand, getrennt voneinander und vom übrigen System. Nicht Vertrauen ersetzt die Kontrolle, sondern eine Umgebung, in der ein Fehler nur den eigenen Kasten trifft.
Bemerkenswert ist, dass er das Risiko selbst benennt, statt es wegzulassen. Er verweist auf das, was in der Fachwelt als tödliche Dreierkombination bekannt ist, ein Begriff von Simon Willison: Ein System hat Zugriff auf private Daten, es verarbeitet Inhalte, die von außen kommen, und es kann nach draußen kommunizieren. Jede dieser drei Eigenschaften ist für sich harmlos. Zusammen ergeben sie einen Weg, auf dem Daten das Haus verlassen.
Hier schreibt ein einzelner Entwickler über sein eigenes Vorgehen, nicht ein Prüfinstitut über ein geprüftes Verfahren. Seine Umgebung ist eine Entwicklungsumgebung mit Werkzeugen, die ein Handwerksbetrieb nicht hat. Übertragbar ist die Denkweise, nicht der Aufbau. Und die Aussage, dass Modelle in dieser Hinsicht besser geworden seien, ist seine Einschätzung, keine Messung.
Der Fall wirkt weit weg, bis man ihn übersetzt. Private Daten sind bei euch die Kundenliste, die Angebote, die Preise. Fremde Inhalte sind jede eingehende Mail, jedes hochgeladene PDF, jede Website, die ein Assistent für euch zusammenfasst. Der Weg nach draußen ist der Assistent selbst, der ins Netz greift oder eine Antwort verschickt.
Wer ein KI-Postfach einrichtet, das eingehende Anfragen liest und selbst antwortet, hat alle drei Zutaten beisammen, ohne eine Zeile Programmcode geschrieben zu haben. In einer eingehenden Mail kann eine Anweisung stehen, die nicht für den Menschen bestimmt ist, sondern für das Modell.
Das ist kein Grund, nichts zu tun. Es ist ein Grund, die drei Zutaten nicht gleichzeitig zusammenzulassen. Wenn ein Assistent Kundendaten sieht, soll er nichts von außen lesen. Wenn er von außen liest, soll er die Kundendaten nicht sehen. Und wenn beides sein muss, darf er nicht selbst senden, sondern legt einen Entwurf vor, den ein Mensch abschickt.
Neben der technischen Frage steht die rechtliche. Sobald personenbezogene Daten in ein KI-Fenster wandern, gelten Auftragsverarbeitung, Löschfristen und Zweckbindung. Was hier steht, ist eine allgemeine Einordnung und ersetzt weder eine Prüfung eures Falls noch eine Rechtsberatung. Klärt das, bevor der Assistent an echte Vorgänge darf, nicht danach.
Fast alle Unfälle dieser Art beginnen damit, dass ein Zugang alles darf, weil es beim Einrichten schneller ging. Ein Zugang je Zweck kostet einmal zwanzig Minuten mehr und begrenzt jeden späteren Fehler auf eine Ecke. Das gilt für KI genauso wie für die Kasse, das Warenwirtschaftssystem und den Rechner im Lager. Neu ist an KI nur, dass der Zugang jetzt an etwas geht, das eigenständig handelt und dabei Texte liest, die Fremde geschrieben haben.
Mir gefällt, dass hier jemand nicht behauptet, es sei sicher, sondern erklärt, wogegen er absichert. Das ist der Ton, den ich mir bei KI-Werkzeugen häufiger wünschen würde. Wer nur von Produktivität spricht und die Dreierkombination nicht erwähnt, hat entweder nicht nachgedacht oder verkauft.
Für den eigenen Betrieb nehme ich die einfachste Fassung mit: Kundendaten und Außenzugriff nie im selben Fenster, und das Absenden bleibt beim Menschen. Das kostet fast nichts, verhindert die peinlichsten Fälle und lässt trotzdem den Nutzen übrig, wegen dem man KI überhaupt einsetzt.
Quelle: Jake Gold, „I trust my coding agents with production secrets now", September 2026. Der Begriff der tödlichen Dreierkombination stammt von Simon Willison. Der Text ist ein Erfahrungsbericht, keine geprüfte Empfehlung. Rechtliche Hinweise sind allgemeine Einordnung, keine Rechtsberatung. Stand: 07.09.2026.
Welches Modell für welche Aufgabe, welche Tools wirklich zählen und wie du richtig promptest — komplett lesbar, kein Download.
Jetzt gratis lesen →Ich gehe mit dir durch, welche Daten dein Assistent sehen darf, wo der Weg nach draußen endet und an welcher Stelle ein Mensch freigibt. Danach kannst du KI an echte Vorgänge lassen, ohne dass dir dabei unwohl wird.