Die Verantwortlichkeitslücke bei autonomer KI: 

KI-Agenten sind nicht länger experimentell. Sie führen bereits Handelsgeschäfte durch, modifizieren die Infrastruktur, fragen sensible Daten ab und agieren unternehmensweit, oft mit nur geringem menschlichen Eingriff. Was sich geändert hat, ist nicht nur die Automatisierung, sondern die Handlungsfähigkeit.

Die Handlungsfähigkeit verändert alles in Bezug auf Identität, Zugang und Verantwortlichkeit.
Diese Systeme führen nicht nur Anweisungen aus, sie entscheiden, welche Aktionen ausgeführt werden sollen, delegieren Befugnisse und arbeiten kontinuierlich, anstatt nur bei Bedarf. Sie starten Tools, APIs und Systeme eigenständig und handeln dabei häufig im Auftrag von Benutzern, Teams oder anderen Rechnern. Dadurch schaffen sie Unklarheiten in Bezug auf Absicht, Autorität und Verantwortung.

Die meisten Unternehmen regeln den Zugriff nach wie vor mithilfe von Identitätsmodellen, die in den letzten zwei Jahrzehnten entwickelt wurden: Modelle, die für menschliche Benutzer und nicht für Maschinen konzipiert sind. Infolgedessen laufen Unternehmen Gefahr, autonome Agenten einzusetzen, ohne grundlegende Fragen zur Rechenschaftspflicht zuverlässig beantworten zu können.

Diese Fragen werden nicht nur von Wirtschaftsprüfern, Aufsichtsbehörden und Ihrem Vorstand gestellt. Unternehmen laufen Gefahr, dass ihre Kunden die getätigten Transaktionen anfechten. Diese Fragen treten in verschiedenen Formen auf:

• Wer hat die vollständige Transaktion autorisiert?
• Wer ist für den Gesamtprozess verantwortlich und hat gegebenenfalls die Zustimmung zur Laufzeit erteilt?
• Haben sich alle Agenten und Personen mithilfe der stärksten verfügbaren Authentifizierungsmethode authentifiziert?
• Wozu genau war der Agent konfiguriert und hat er ausschließlich diese Aufgabe ausgeführt?
• Hat der Agent nach dieser Transaktion seine Berechtigungen verloren?
• Können Sie einen Prüfpfad vorlegen, der die lückenlose Nachvollziehbarkeit der gesamten Transaktion gewährleistet?
• Können wir die Autorität des Agenten sofort und überall widerrufen?

Wenn Sie diese Fragen nicht beantworten können, verfügen Sie nicht über die erforderlichen Kontrollmechanismen, um fehlgeschlagene Audits und Rufschädigung zu vermeiden.

Traditionelles IAM basiert im Wesentlichen auf der Idee, dass der Zugriff im Voraus geplant, bekannten Identitäten zugewiesen, periodisch bewertet und bei der Anmeldung durchgesetzt werden kann. Dieser Ansatz funktioniert, wenn das Verhalten vorhersehbar und begrenzt ist. Das traditionelle IAM setzt drei Dinge voraus:

1. Identitäten sind menschliche oder statische Maschinen.
2. Der Zugriff erfolgt sitzungsbasiert und wird gemäß einem periodischen Lebenszyklus bereitgestellt.
3. Durch die Authentifizierung wird die Sitzung entsperrt und die Autorisierung ist weitgehend grob strukturiert, während der Zugriff auf der Grundlage allgemeiner Attribute gewährt wird, wie beispielsweise der Rolle oder Abteilung eines Benutzers.

Die agentische KI stellt alle drei dieser Annahmen in Frage. Autonome Agenten sind nicht deterministisch, arbeiten mit Maschinengeschwindigkeit und agieren kontinuierlich über APIs, Tools und Umgebungen hinweg. In diesem Modell ist die Identität weder ein stabiles Benutzerkonto noch ein langlebiger Service Principal. Sie kann flüchtig und speziell für eine bestimmte Funktion, einen Workflow oder sogar eine einzelne Transaktion entwickelt und dann sofort nach der Ausführung widerrufen werden.

Bei einem durchgängigen agentischen Ablauf erfolgt die Protokollierung vieler Agenten einmal, wobei jeder eine bestimmte Aktivität ausführt. Es erfolgt keine „Anmeldung“. Sie könnten tausende Entscheidungen pro Stunde treffen, oft im Namen von Benutzern, Systemen oder anderen Agenten. Sie verfügen über eine eigene Identität und interagieren miteinander in durchgängigen Transaktionsabläufen, die Vertrauensgrenzen überschreiten.

Wenn Unternehmen menschliche IAM-Muster auf Agenten anwenden, treten vier systemische Fehler auf:

• Übermäßige Berechtigungen ohne Transparenz: Agenten erhalten dauerhafte Zugriffsrechte, da das Entziehen und erneute Erteilen von Berechtigungen die Innovation verlangsamt. Dieser Zugriff verfällt nur selten.
• Unsichtbare Delegierung:
  Viele Agenten verwenden Benutzer-Token wieder, anstatt delegierte Befugnisse zu erhalten. Diese Methode beseitigt die Prüfungstrennung und verlagert die Verantwortung auf Personen, die diese Maßnahme nie genehmigt haben.
• Keine Durchsetzung, wo Aktionen stattfinden: Es mögen zwar Richtlinien existieren, aber die tatsächlichen Aktionen (wie API-Aufrufe, Datenzugriffe und Konfigurationsänderungen) erfolgen oft ohne Echtzeitkontrolle.
• Keine Verantwortlichkeit, wenn etwas schiefgeht: Nach einem Vorfall können Teams nicht zuverlässig rekonstruieren, was passiert ist, warum und mit wessen Befugnis.

Dieses Problem ist keine Tool-Lücke, sondern eine Governance-Lücke, die geschlossen werden muss.

Der grundlegende Fehler von Unternehmen besteht darin, die Identität von Agenten als ein reines Zugangsproblem zu behandeln. Zugangsdaten sind wichtig, aber in agentischen Systemen sind sie mehr als eine einzelne Anmeldung, die Vertrauen für alles Folgende schafft. 

Stattdessen arbeiten Agenten kontinuierlich, starten mehrere Tools, wechseln zwischen Systemen und führen im Laufe der Zeit viele unabhängige Aktionen aus. Das bedeutet, dass Identität und Autorisierung nicht zu Beginn einer Sitzung „einmal“ gesetzt werden können. Sie müssen während des gesamten Workflows validiert und durchgesetzt werden.

Die agentische KI erfordert eine Umstellung von der Zugriffskontrolle zur Berechtigungskontrolle. Das bedeutet:

• Jeder Benutzer, der an einem agentischen Ablauf beteiligt ist, muss streng authentifiziert werden, um die Integritäts- und Verantwortlichkeitsgarantie zu gewährleisten.
• Jeder Agent muss über eine erstklassige, überprüfbare Identität verfügen.
• Jede Handlung muss mit expliziter Absicht und Zustimmung verbunden sein.
• Jede Erlaubnis muss beschränkt, zeitlich begrenzt und widerrufbar sein.
• Jede Autorisierungsentscheidung muss im Nachhinein nachweisbar sein.

Hier geht es nicht darum, die KI zu verlangsamen, sondern darum, die Autonomie sicher zu gestalten. Während die Authentifizierung eine Hauptanforderung für jedes System bleibt, muss die Autorisierung zu einem erstklassigen Akteur in einem Zugriffsverwaltungssystem werden. Dies hat schwerwiegende Folgen für die Implementierung von IAM-Programmen.  

Viele Unternehmen versuchen, das Risiko der Agenten zu verringern, indem sie Governance-Kontrollen nur fragmentiert einführen. Jedes Fragment löst einen Teil des Problems, aber niemand kann beweisen, wer was autorisiert hat, unter welchen Bedingungen und mit welchen Zugangsdaten. Zu diesen Fragmenten gehören:

• Identitätsplattformen, die Benutzer verstehen, aber keine Maschinen
• Passwortplattformen, die Anmeldeinformationen ausstellen, aber keinen Kontext haben
• Richtlinienmodule, die von der Laufzeitdurchsetzung getrennt sind

Keines dieser Elemente allein kann Agenten kontrollieren. Echte Governance entsteht nur dann, wenn Identität, Richtlinien und Zugangsdaten innerhalb einer einzigen Steuerungsebene funktionieren – wo die Identität die Frage nach dem Wer und Warum beantwortet und Zugangsdaten die Frage nach dem Was und wie lange beantworten. Sie lassen sich über einen Anwendungsfall hinweg miteinander verknüpfen, um Integrität und Nachvollziehbarkeit zu gewährleisten.

Hier gestaltet sich die Kombination aus IBM Verify + HashiCorp Vault als einzigartig leistungsfähig. Gemeinsam schließen sie die Lücke zwischen Identitätskontext und Berechtigungsprüfung– indem sie Absichten, Richtlinien und Genehmigungen mit den tatsächlichen Passwörtern und Tokens verknüpfen, die Agenten zur Laufzeit verwenden. Anstatt Identität und Passwörter als getrennte Bereiche zu behandeln, schaffen Verify und Vault eine einheitliche Kontrollebene zur Steuerung der Agentenautorität mit echter Durchsetzung, nicht nur mit Dokumentation.

IBM Verify regelt, wer ein Benutzer und wer ein Agent ist, wozu ein Agent die Genehmigung hat und unter welchen Bedingungen Benutzer und Agenten Genehmigungen erhalten.  

Hashicorp Vault speichert und vermittelt Passwörter sicher, generiert dynamische Anmeldedaten auf Abruf, setzt TTLs, Verlängerungen und Widerrufe durch und bietet eine zentrale Richtlinien- und Audit-Protokollierung. Daher benötigen Agenten niemals festgelegte Zugangsdaten, die fest in Code oder Workflows einprogrammiert sind.

Zusammen schaffen sie etwas, was Unternehmen bei KI-Agenten bisher nicht konnten: Eine nachweisbare Kontrolle ohne menschliche Engpässe.

Die Regulierungsbehörden sind bereits aktiv. Prüfer geben sich mit dem herkömmlichen Ansatz des Identitäts- und Lebenszyklusmanagements nicht mehr zufrieden, sondern suchen nun nach Auswertungen der Laufzeitprozesse. Sie fordern:

• Eindeutige Agentenidentitäten mit starken Zugriffskontrollen
• Entwürfe, die sowohl die menschliche als auch die maschinelle Identität berücksichtigen
• Vollständige, durchgängige Audit-Trails
• Klare Prozesse für bedarfsgerechten und ausreichenden Zugriff mit Widerrufsrechten

Angreifer handeln schneller als die Verteidiger – sie nehmen KI-Agenten gezielt ins Visier, gerade weil diese wahrscheinlich mit erweiterten Berechtigungen und unter geringer Aufsicht arbeiten.

Die agentische KI befindet sich nicht auf dem Weg. Sie ist bereits angekommen. Die Frage ist nicht mehr, ob Agenten geschäftskritische Aktionen ausführen, sondern ob Unternehmen nachweisen können, dass diese Aktionen autorisiert, beschränkt und rechenschaftspflichtig erfolgt sind.

Unternehmen, die jetzt in eine bewusste Governance investieren, sind optimal vorbereitet: standardmäßig überprüfbar, widerstandsfähig gegenüber kritischen Prüfungen und in der Lage, bedenkenlose Autonomie bereitzustellen. Auf diese Weise verwandeln Sie agentische KI von einem Risiko in einen dauerhaften Vorteil.