Ein kompromittierter KI-Agent verliert nicht seine Rechte, er behält sie. Thomas Tschersich, Chief Security Officer der Deutschen Telekom, warnt: Wer einen produktiven KI-Agenten übernimmt, bekommt einen digitalen Akteur mit vollem Zugang und vollem Vertrauen im Haus — nur die Loyalität hat sich geändert, und das Unternehmen merkt es oft nicht.
Der Nutzen eines KI-Agenten entsteht erst durch Handlungsrechte: Ein Agent, der nur Berichte schreibt, bringt wenig Effizienzgewinn — erst wenn er E-Mails beantwortet, Daten verschiebt oder Entscheidungen trifft, wird er wertvoll. Genau das macht ihn auch riskant. Wird ein solcher Agent kompromittiert, hat der Angreifer laut Tschersich „nicht nur Zugang zu Informationen", sondern einen digitalen Akteur, der weiterhin alle Rechte und alles Vertrauen genießt, aber jetzt für die andere Seite arbeitet: „Wie in einem Spionagefilm behält der Agent sein Cover, seinen Zugang, seine Befugnisse. Nur seine Loyalität hat sich geändert. Und das Unternehmen merkt es nicht."
Dahinter steht laut Tschersich eine „Identitätskrise bei KI-Agenten": Unternehmen haben über Jahrzehnte gelernt, menschliche Identitäten zu managen — bei KI-Agenten stehen viele wieder bei null und wissen oft nicht einmal, wie viele Agenten überhaupt aktiv sind.
Tschersich nennt als Beispiel den Fall EchoLeak — eine reale, 2025 bekannt gewordene Schwachstelle in Microsoft 365 Copilot, die wir unabhängig verifiziert haben.
Von Aim Security entdeckt, als LLM Scope Violation eingestuft, die indirekte Prompt-Injection ermöglichte. Microsoft schloss sie im Juni-2025-Patchday.
Als kritisch eingestuft. Die Lücke erforderte keinerlei Aktion des Nutzers, um ausgenutzt zu werden.
Eine präparierte E-Mail genügte. Copilot verarbeitete Outlook- und SharePoint-Inhalte ohne Vertrauensgrenzen, interpretierte versteckte Anweisungen und begann automatisiert, Daten zu extrahieren.
Keine Hinweise auf aktive Ausnutzung in freier Wildbahn. Der Fall zeigt aber exemplarisch das strukturelle Risiko, das Tschersich beschreibt.
Tschersichs Forderung: Für KI-Agenten dieselben Prinzipien anwenden wie für menschliche Mitarbeiter.
Jeder Agent braucht eine eindeutige digitale Identität, bevor er produktiv wird — bei der Telekom über Magenta Security Mobile.ID, auch für Bots und KI-Agenten.
Was darf dieser Agent, und was explizit nicht? Ohne klare Rollendefinition lässt sich kompromittiertes Verhalten kaum von normalem unterscheiden.
Zugriff ausschließlich auf das, was für die konkrete Aufgabe erforderlich ist — je mehr Rechte, desto größer sowohl Nutzen als auch Risiko im Kompromittierungsfall.
Laufende Überwachung des tatsächlichen Verhaltens, nicht nur der beabsichtigten Funktion — die Grundlage für jede Anomalie-Erkennung.
Wird ein Agent nicht mehr gebraucht, müssen alle Zugänge vollständig entzogen werden — sonst bleiben verwaiste, ungenutzte Rechte im System bestehen.
Die Telekom setzt diese Prinzipien im eigenen Mobilfunknetz um: ein Multi-Agent-System mit klaren Zuständigkeiten und eingebauten Prüfmechanismen, das das Netz in Echtzeit überwacht.
Über die fünf Grundprinzipien hinaus geht Tschersich noch einen Schritt weiter.
Für jeden produktiven Agenten braucht es laut Tschersich einen zweiten, „der prüft, nicht nachträglich im Audit, sondern in Echtzeit." Dieser Challenger-Agent behält Handlungen und Entscheidungen des produktiven Agenten ständig im Blick und greift aktiv ein, sobald normwidriges Verhalten auftritt — ungewöhnliche Datenzugriffe, Kommunikation mit unbekannten Systemen, Entscheidungen außerhalb definierter Parameter. Ein Mensch kann das bei der Geschwindigkeit, mit der Agenten arbeiten, nicht leisten.
NIS2 und der AI Act setzen laut Tschersich wichtige Leitplanken, weil viele Unternehmen erst handeln, wenn sie müssen. Aber: „Policies stoppen keine Angreifer, Operations schon." Ein Zertifikat an der Wand bedeutet nicht, dass Agenten sicher sind — es bedeutet, dass ein Prozess dokumentiert wurde. Echter Schutz entsteht im laufenden Betrieb: tägliche Überwachung, schnelle Reaktion, konsequentes Rechtemanagement.
Seine nüchterne Einschätzung zur Verbreitung: KI-Agenten sind bereits Mainstream, aber kaum ein Unternehmen hat den Überblick, welche KI-Tools tatsächlich im Einsatz sind. „Shadow AI ist das neue Shadow IT." Die meisten Unternehmen haben weder Transparenz über ihre Agenten-Landschaft noch die Prozesse, um sie zu steuern.
Die Werkzeuge existieren, die Konzepte sind klar. Was in den meisten Unternehmen fehlt, ist schlicht die Entscheidung, sie umzusetzen.
Das Doppelagenten-Bild trifft den Kern des Problems präzise: KI-Agenten sind nicht einfach Software, sie sind digitale Akteure mit echten Rechten und echtem Vertrauen im Unternehmen. Genau deshalb greifen klassische IT-Sicherheitskonzepte, die auf statische Systeme ausgelegt sind, hier zu kurz.
Besonders relevant für den Mittelstand: Man braucht keinen Telekom-Konzern, um diese Prinzipien anzuwenden. Onboarding, Rollen, Rechte, Monitoring, Offboarding lassen sich auch für einen einzelnen automatisierten Workflow durchdenken, bevor er produktiv geht — die Frage ist nur, ob man es tut, bevor etwas passiert, oder erst danach.
Für uns bei AGREEMENT bleibt die Lehre unmittelbar: Wer KI-Agenten in Marketing- oder Automatisierungs-Workflows einsetzt, sollte sich dieselben fünf Fragen stellen, die Tschersich für jedes Unternehmen fordert. Effizienzgewinn und Sicherheit sind kein Widerspruch, sondern zwei Seiten derselben Entscheidung.
Quellen: DIGITAL X Magazin — Damit der Agent nicht zum Doppelagenten wird (Interview mit Thomas Tschersich) · The Hacker News — Zero-Click AI Vulnerability Exposes Microsoft 365 Copilot Data · Cato Networks — Breaking down EchoLeak. Stand: 15.08.2026.
Welches Modell für welche Aufgabe, welche Tools wirklich zählen und wie du richtig promptest — komplett lesbar, kein Download.
Jetzt gratis lesen →Ich helfe dir, KI-Agenten in deinem Marketing sicher und kontrolliert einzusetzen — mit Blick auf Effizienz und Risiko gleichermaßen. Lass uns reden.