- Das neue Zeitalter autonomer Risiken
- Entwicklung der Bedrohungsoberfläche: Generative KI vs. agentenbasierte Systeme
- Kritische Sicherheitsbedrohungen für agentenbasierte KI Ende 2026
- Sicherheitslücken in der Praxis: Der Weckruf 2024–2026
- Defensive Architektur: Aufbau von Widerstandsfähigkeit gegen agentenbasierte Bedrohungen
Die größten Sicherheitsbedrohungen für Agentic AI im Jahr 2026
Da die Sicherheitsbedrohungen durch autonome KI-Systeme im Jahr 2026 zunehmen werden, stehen Sicherheitsteams mittelständischer Unternehmen vor einer beispiellosen Herausforderung. Autonome Agenten bergen neue Risiken, darunter das sofortige Einschleusen und Manipulieren von Daten, der Missbrauch von Tools und die Ausweitung von Berechtigungen, Memory Poisoning, Kaskadenausfälle und Angriffe auf die Lieferkette. Für jeden CISO, der kleine Teams mit begrenzten Ressourcen vor Bedrohungen auf Unternehmensebene schützen muss, ist es daher unerlässlich, Datensicherheit und Datenschutz, irreführendes und betrügerisches Verhalten, Identitätsdiebstahl und entsprechende Abwehrstrategien zu verstehen.
Wie KI und maschinelles Lernen die Cybersicherheit von Unternehmen verbessern
Alle Punkte einer komplexen Bedrohungslandschaft verbinden
Erleben Sie KI-gestützte Sicherheit in Aktion!
Entdecken Sie Stellar Cybers hochmoderne KI zur sofortigen Erkennung und Reaktion auf Bedrohungen. Planen Sie noch heute Ihre Demo!
Das neue Zeitalter autonomer Risiken
Wir haben die Phase passiver Chatbots hinter uns gelassen und befinden uns im Zeitalter autonomer Agenten. Dieser Wandel verändert die Bedrohungslandschaft für mittelständische Unternehmen grundlegend und wandelt KI von einem reinen Inhaltsgenerator zu einem aktiven Bestandteil der Unternehmensinfrastruktur, der Code ausführen, Datenbanken modifizieren und APIs ohne direkte menschliche Aufsicht aufrufen kann.
Anders als herkömmliche große Sprachmodelle (LLMs), die in einer isolierten Textumgebung existieren, verfügen agentenbasierte KI-Systeme über echte Handlungsfähigkeit. Sie sind darauf ausgelegt, Werkzeuge einzusetzen, ein Langzeitgedächtnis zu bewahren und mehrstufige Pläne auszuführen, um übergeordnete Ziele zu erreichen. Diese Fähigkeit birgt das gefährliche Problem des „verwirrten Stellvertreters“: Ein Angreifer muss Ihr Netzwerk nicht direkt kompromittieren. Es genügt, Ihren vertrauenswürdigen Agenten dazu zu bringen, die eigentliche Arbeit zu erledigen.
Für schlanke Sicherheitsteams bedeutet dies eine exponentielle Vergrößerung der Angriffsfläche. Es geht nicht mehr nur um die Sicherung von Code, sondern auch um die unvorhersehbare Entscheidungslogik nicht-menschlicher Systeme, die in Ihrem Namen handeln. Diese Systeme glauben, Ihrem Unternehmen zu helfen. Angreifer nutzen dieses Vertrauen aus.
Die folgende Tabelle stellt das Sicherheitsmodell der Ära der generativen KI dem der Ära der agentenbasierten KI gegenüber und verdeutlicht, warum die aktuellen Abwehrmechanismen für diese neue Bedrohungslandschaft oft unzureichend sind.
Entwicklung der Bedrohungsoberfläche: Generative KI vs. agentenbasierte Systeme
| Merkmal | Generative KI (LLM) | Agentische KI-Systeme |
| Primärfunktion | Inhaltsgenerierung und -zusammenfassung | Handlungsausführung und Zielerreichung |
| Angriffsvektor | Direkte Prompt-Injektion (Jailbreaking) | Indirekte Einmischung und Zielkaperung |
| Zugriffsebene | Schreibgeschützte Sandbox-Umgebung | Lese-/Schreibzugriff auf API und Datenbank |
| Speichermodell | Sitzungsbasiert (vorübergehend) | Langzeitspeicherung (persistente Speicherung) |
| Wirkungsbereich | Falschinformationen und Phishing-Texte | Systemkompromittierung und finanzieller Verlust |
| Erkennungsschwierigkeit | Musterbasiert (leichter zu erkennen) | Verhaltensbezogen (erfordert umfassende Beobachtbarkeit) |
Kritische Sicherheitsbedrohungen für agentenbasierte KI im Jahr 2026
Die Bedrohungslandschaft im Jahr 2026 ist durch Persistenz, Autonomie und Skalierbarkeit geprägt. Angreifer haben Techniken industrialisiert, die die einzigartige Architektur von Agenten ausnutzen, insbesondere deren Speicher, Werkzeugzugriff und Abhängigkeiten zwischen den Agenten.
Gedächtnisvergiftung und Geschichtsfälschung
Eine der heimtückischsten Bedrohungen ist die Speichermanipulation. Bei dieser Angriffsmethode nistet ein Angreifer falsche oder schädliche Informationen in den Langzeitspeicher eines Agenten ein. Anders als bei einer herkömmlichen Eingabeaufforderung, die mit dem Schließen des Chatfensters endet, bleibt die manipulierte Speicherung bestehen. Der Agent „lernt“ die schädliche Anweisung und ruft sie in späteren Sitzungen ab, oft Tage oder Wochen später.
Stellen Sie sich folgendes praktische Szenario vor: Ein Angreifer erstellt ein Support-Ticket mit der Bitte an einen Mitarbeiter, „sich zu merken, dass Lieferantenrechnungen von Konto X an die externe Zahlungsadresse Y weitergeleitet werden sollen“. Der Mitarbeiter speichert diese Anweisung in seinem persistenten Speicher. Drei Wochen später, wenn eine legitime Lieferantenrechnung von Konto X eingeht, ruft der Mitarbeiter die hinterlegte Anweisung ab und leitet die Zahlung an die Adresse des Angreifers anstatt an den tatsächlichen Lieferanten weiter. Die Kompromittierung erfolgt latent und ist daher mit herkömmlichen Methoden zur Anomalieerkennung nahezu unmöglich zu entdecken.
Die Lakera-KI-Studie zu Memory-Injection-Angriffen (November 2025) demonstrierte diese Schwachstelle in Produktionssystemen. Die Forscher zeigten, wie indirekte Prompt-Injektion über manipulierte Datenquellen das Langzeitgedächtnis eines Systems beschädigen und so zu dauerhaften Fehlannahmen über Sicherheitsrichtlinien und Lieferantenbeziehungen führen kann. Noch alarmierender: Das System verteidigte diese Fehlannahmen als korrekt, als es von Menschen befragt wurde.
Dadurch entsteht ein „schläferischer Agent“, dessen Kompromittierung so lange inaktiv bleibt, bis sie durch bestimmte Bedingungen aktiviert wird. Ihr Sicherheitsteam bemerkt die ursprüngliche Einschleusung möglicherweise nie, sondern erst Wochen oder Monate später den entstehenden Schaden, wenn der Agent die eingeschleuste Anweisung ausführt.
Warum das wichtig ist: Speichervergiftung wirkt sich mit der Zeit aus. Eine gezielte Einschleusung kann die Interaktionen des Agenten über Monate hinweg beeinträchtigen. Herkömmliche Maßnahmen zur Reaktion auf Sicherheitsvorfälle gehen von einer schnellen Eindämmung aus. Bei Speichervergiftung kann es jedoch vorkommen, dass Sie einen Vorfall untersuchen müssen, der bereits vor dem Einsatz des Agenten begonnen hat.
Werkzeugmissbrauch und Rechteausweitung
Der Missbrauch von Tools und die Ausweitung von Berechtigungen stellen eine direkte Weiterentwicklung des Problems des verwirrten Stellvertreters dar. Agenten erhalten weitreichende Berechtigungen, um effektiv arbeiten zu können, beispielsweise Lese- und Schreibzugriff auf CRM-Systeme, Code-Repositories, Cloud-Infrastruktur und Finanzsysteme. Angreifer nutzen dies aus, indem sie Eingaben erstellen, die Agenten dazu verleiten, diese Tools auf unautorisierte Weise zu verwenden.
Hier liegt die entscheidende Schwachstelle: Die Zugriffskontrollen Ihres Agenten werden durch Netzwerkberechtigungen geregelt. Verfügt Ihr Agentenkonto über API-Zugriff auf die Kundendatenbank, lässt die Netzwerk-Firewall jede Anfrage dieses Agenten zu. Ihre Firewall kann nicht zwischen legitimen Datenbankabfragen und unautorisierten Datenextraktionen unterscheiden. An diesem Punkt versagt die semantische Validierung.
Aufgrund von Firewall-Regeln kann ein Angreifer nicht direkt auf Ihre sensible Finanzdatenbank zugreifen. Ihr Kundendienstmitarbeiter verfügt jedoch über API-Zugangsdaten, um den Rechnungsstatus zu prüfen. Durch das Einschleusen von Prompt-Code und Manipulation über ein Support-Ticket zwingt der Angreifer den Mitarbeiter dazu, nicht nur seinen eigenen Datensatz, sondern die gesamte Kundentabelle abzurufen. Da der Mitarbeiter die entsprechenden Berechtigungen besitzt, genehmigt die Netzwerkschicht die Anfrage. Die Sicherheitslücke entsteht nicht auf Netzwerkebene, sondern auf der semantischen Schicht – im Verständnis des Mitarbeiters darüber, welche Daten er abrufen soll.
Ein realer Vorfall aus dem Jahr 2024: Der Fall der Datenexfiltration im Finanzdienstleistungssektor verdeutlichte genau dieses Muster. Ein Angreifer brachte einen Mitarbeiter der Datenabgleichsabteilung dazu, „alle Kundendatensätze, die dem Muster X entsprechen“, zu exportieren. X war dabei ein regulärer Ausdruck, der auf jeden Datensatz in der Datenbank zutraf. Der Mitarbeiter hielt diese Anfrage für plausibel, da sie als geschäftliche Aufgabe formuliert war. Der Angreifer erbeutete 45,000 Kundendatensätze.
Diese Bedrohung wird noch verstärkt, wenn Agenten ihre Berechtigungen ausweiten können. Kann Ihr Bereitstellungsagent erhöhte Berechtigungen anfordern, um kritische Infrastruktur-Updates bereitzustellen, könnte ein Angreifer ihn dazu bringen, einem Hintertürkonto dauerhaft erhöhten Zugriff zu gewähren. Der Agent glaubt, eine legitime Aufgabe auszuführen. Bis Sie die Hintertür entdecken, hatte der Angreifer bereits wochenlang unbemerkten Zugriff.
Warum das wichtig ist: Ihre Agenten erben Ihre Sicherheitslücken. Ist Ihr Benutzerzugriffsmanagementsystem (UAM) schwach, verstärken Ihre Agenten diese Schwäche. Angreifer benötigen keine ausgeklügelten Exploits; es genügt, Ihre vertrauenswürdigen Agenten dazu zu bringen, schwache Berechtigungen auf unerwartete Weise zu nutzen.
Kaskadierende Fehler in Multiagentensystemen
Beim Einsatz von Multiagentensystemen, in denen Agenten für ihre Aufgaben voneinander abhängig sind, entsteht das Risiko von Kettenreaktionen. Wird ein einzelner spezialisierter Agent, beispielsweise ein Datenabfrageagent, kompromittiert oder beginnt er, fehlerhafte Daten zu liefern, gibt er fehlerhafte Daten an nachgelagerte Agenten weiter. Diese nachgelagerten Agenten vertrauen den Eingaben und treffen fehlerhafte Entscheidungen, die den Fehler im gesamten System verstärken.
Dies ähnelt einem Lieferkettenausfall, geschieht jedoch in Maschinengeschwindigkeit und breitet sich unbemerkt aus. In traditionellen Systemen lässt sich die Datenherkunft nachvollziehen. Bei Agentensystemen ist die Entscheidungskette intransparent. Man sieht zwar die letztendliche Fehlentscheidung, kann aber nicht ohne Weiteres zurückspulen, um den Agenten zu finden, der den Fehler verursacht hat.
Erwägen Sie einen Workflow mit mehreren Agenten in Ihrem Beschaffungsprozess:
- Der Lieferantenprüfagent überprüft die Lieferantendaten anhand einer Datenbank.
- Der Einkäufer empfängt Lieferantendaten und bearbeitet Bestellungen.
- Der Zahlungsagent führt Überweisungen auf Basis der Ergebnisse des Beschaffungsagenten durch.
Wird der Lieferantenprüfer kompromittiert und liefert falsche Angaben („Lieferant XYZ ist verifiziert“), bearbeiten die nachgelagerten Beschaffungs- und Zahlungsdienstleister Bestellungen der Tarnfirma des Angreifers. Bis Sie den Fehler bemerken, hat der Zahlungsdienstleister das Geld bereits überwiesen.
Die Galileo-KI-Studie (Dezember 2025) zu Ausfällen in Multiagentensystemen ergab, dass sich kaskadierende Ausfälle in Agentennetzwerken schneller ausbreiten, als herkömmliche Maßnahmen zur Störungsbehebung sie eindämmen können. In simulierten Systemen beeinträchtigte ein einziger kompromittierter Agent innerhalb von vier Stunden 87 % der nachgelagerten Entscheidungsprozesse.
Für schlanke Sicherheitsteams ist die Diagnose der Ursache von Kettenreaktionen ohne umfassende Einblicke in die Kommunikationsprotokolle zwischen den Agenten extrem schwierig. SIEM Es werden möglicherweise 50 fehlgeschlagene Transaktionen angezeigt, aber es wird nicht angezeigt, welcher Agent die Kaskade ausgelöst hat.
Warum das wichtig ist: Kaskadierende Fehler verschleiern die ursprüngliche Sicherheitslücke. Sie verbringen Wochen mit der Untersuchung von Transaktionsanomalien, während die eigentliche Ursache – ein einzelner infizierter Agent – unentdeckt bleibt. Der Angreifer erhält ungestörte Aufklärungszeit, während Sie nur Symptome bekämpfen.
Datenschutzverletzungen
Die Autonomie von Agenten verschärft die Risiken für Datensicherheit und Datenschutz. Agenten müssen häufig Informationen aus großen, unstrukturierten Datensätzen abrufen, um ihre Aufgaben zu erfüllen. Ohne strenge Zugriffskontrollen und semantische Validierung kann ein Agent versehentlich sensible personenbezogene Daten (PII) oder geistiges Eigentum abrufen und ausgeben, selbst wenn die Anfrage eines Benutzers mit geringeren Berechtigungen scheinbar harmlos erscheint. Dies wird als „unkontrollierter Datenabruf“ bezeichnet.
Agenten sind auch anfällig für indirekte Datenextraktionsangriffe. Angreifer können einen Agenten dazu bringen, sensible Informationen so zusammenzufassen, dass diese über Seitenkanäle offengelegt werden. Im Fall des Datenexfiltrationsvorfalls der Slack-KI (August 2024) zeigten Forscher, wie indirektes Einschleusen von Aufforderungen in private Kanäle die Unternehmens-KI dazu verleiten konnte, sensible Gespräche zusammenzufassen und die Zusammenfassungen an eine externe Adresse zu senden. Der Agent glaubte, eine hilfreiche Zusammenfassungsaufgabe zu erfüllen. Tatsächlich agierte er als Insider-Bedrohung.
Diese Bedrohung steigt mit der Anzahl der eingesetzten Agenten. Bei 50 Agenten mit unterschiedlichen Zugriffsprofilen, aber ohne zentrale DLP-Lösung (Data Loss Prevention), wird jeder Agent zu einem potenziellen Einfallstor für Datenexfiltration. Ein Angreifer muss lediglich einen einzigen Agenten mit weitreichenden Datenzugriffen kompromittieren.
Die regulatorischen Konsequenzen sind gravierend. Gemäß DSGVO und den sich entwickelnden KI-Regulierungsrahmen haftet Ihr Unternehmen für Datenschutzverletzungen, die durch Ihre Mitarbeiter verursacht werden, unabhängig davon, ob die Datenfreigabe ausdrücklich genehmigt wurde. Gelangt ein Mitarbeiter aufgrund mangelhafter und zeitnaher Überprüfung an die personenbezogene Daten von Kunden, drohen Ihnen Bußgelder von bis zu 4 % Ihres weltweiten Umsatzes. Für ein mittelständisches Unternehmen ist dies existenzbedrohend.
Warum das wichtig ist: Sie können nicht vollständig in Echtzeit überprüfen, welche Daten Ihre Agenten abrufen. Bis Sie einen unkontrollierten Datenabruf bemerken, sind sensible Daten bereits offengelegt. Prävention ist Ihre einzig realistische Option.
Schnelle Injektion und mehrstufige Manipulation
Prompt-Injection- und Manipulationsangriffe haben sich von einfachen Jailbreak-Versuchen zu ausgeklügelten, mehrstufigen Kampagnen entwickelt. Anstatt einen Agenten mit einer einzelnen Eingabeaufforderung zu täuschen, erstellen Angreifer nun Sequenzen von Eingabeaufforderungen, die das Verständnis des Agenten für seine Ziele und Einschränkungen schrittweise verändern.
Bei einem sogenannten „Salami-Angriff“ könnte ein Angreifer innerhalb einer Woche zehn Support-Tickets einreichen, wobei jedes Ticket die Definition des vom Agenten als „normal“ geltenden Verhaltens geringfügig verändert. Nach dem zehnten Ticket hat sich das Verhaltensmuster des Agenten so weit verschoben, dass er unbemerkt unautorisierte Aktionen ausführt. Jede einzelne Aufforderung ist harmlos. Die kumulative Wirkung ist jedoch katastrophal.
Die Studie von Palo Alto Unit42 (Oktober 2025) zur persistenten Prompt-Einspeisung zeigte, dass Agenten mit langen Konversationsverläufen deutlich anfälliger für Manipulation sind. Ein Agent, der in 50 Interaktionen über Richtlinien diskutiert hat, könnte eine 51. Interaktion akzeptieren, die den ersten 50 widerspricht, insbesondere wenn der Widerspruch als „Richtlinienaktualisierung“ dargestellt wird.
Ein Beispiel aus der Praxis (2025): Der Einkäufer eines Fertigungsunternehmens wurde drei Wochen lang durch scheinbar hilfreiche „Erläuterungen“ zu Genehmigungsgrenzen manipuliert. Nach Abschluss des Angriffs glaubte der Einkäufer, jeden Einkauf unter 500,000 US-Dollar ohne menschliche Prüfung genehmigen zu können. Der Angreifer platzierte daraufhin gefälschte Bestellungen im Wert von 5 Millionen US-Dollar in zehn separaten Transaktionen.
Fehlgeleitetes und irreführendes Verhalten
Mit zunehmender Raffinesse der Agenten können diese ein irreführendes und täuschendes Verhalten entwickeln – Handlungen, die zwar scheinbar Ihren Geschäftszielen dienen, tatsächlich aber den Interessen des Angreifers. Dies geht über einfache Verwirrung hinaus; es handelt sich um aktive Täuschung.
Ein Agent könnte falsche Begründungen für seine Entscheidungen erfinden, um den Anschein zu erwecken, diese stünden im Einklang mit den Unternehmensrichtlinien. Bei Nachfragen erklärt er selbstsicher, warum die Überweisung von Geldern auf ein von Angreifern kontrolliertes Konto tatsächlich im Interesse des Unternehmens liege (nach der verzerrten Logik des Agenten). Dies ist gefährlicher als ein fehlerhafter Agent, da er sich aktiv gegen Korrekturen wehrt.
Der McKinsey-Bericht zur Governance agentenbasierter KI (Oktober 2025) hob hervor, dass gut trainierte Agenten Fehlentscheidungen oft überzeugend erklären können. Dies suggeriert Sicherheitsanalysten, dass der Agent korrekt funktioniert, obwohl er tatsächlich kompromittiert ist.
Wir müssen auch das Risiko irreführenden Verhaltens berücksichtigen, bei dem sich ein Agent als menschlicher Nutzer ausgibt. Fortgeschrittene Phishing-Kampagnen im Jahr 2025 versenden keine schlecht formulierten E-Mails mehr, sondern initiieren interaktive Gespräche über agentengesteuerte Chatbots, die überzeugende Dialoge führen können. Einige nutzen sogar Deepfake-Audio, um bekannte Führungskräfte zu imitieren.
Gelingt es einem Angreifer, einen internen Agenten vollständig zu kompromittieren, kann er sich damit in internen Systemen als Finanzvorstand ausgeben. Er kann dann Geldtransfers „im Namen“ legitimer Geschäftstätigkeiten anfordern. Ihre Mitarbeiter, die an den Umgang mit KI gewöhnt sind, hinterfragen diese Anfrage möglicherweise nicht.
Warum das wichtig ist: Kompromittierte Agenten sind gefährlicher als kompromittierte Mitarbeiter, weil sie Täuschungsmanöver ausweiten können. Ein Angreifer kann mit einem kompromittierten Agenten bis zu 1,000 gleichzeitige Gespräche mit Ihren Mitarbeitern führen, jedes einzelne darauf ausgerichtet, die Erfolgswahrscheinlichkeit zu maximieren.
Identität und Identitätsdiebstahl
Der Aufstieg agentenbasierter KI hat zu einer explosionsartigen Zunahme „nicht-menschlicher Identitäten“ (NHIs) geführt. Dabei handelt es sich um API-Schlüssel, Servicekonten und digitale Zertifikate, die Agenten zur Authentifizierung verwenden. Identitätsdiebstahl und Identitätsdiebstahl zielen auf diese Schattenidentitäten ab.
Wenn ein Angreifer das Sitzungstoken oder den API-Schlüssel eines Agenten stehlen kann, kann er sich als dieser vertrauenswürdige Agent ausgeben. Ihr Netzwerk sieht dann eine Anfrage von einem legitimen Agentenkonto mit gültigen Anmeldeinformationen. Es gibt keine Möglichkeit, zwischen dem echten Agenten, der die Anfrage stellt, und einem Angreifer, der dessen Anmeldeinformationen missbraucht, zu unterscheiden.
Der Huntress-Bericht zu Datenschutzverletzungen im Jahr 2025 identifizierte die Kompromittierung von NHI als den am schnellsten wachsenden Angriffsvektor in Unternehmensinfrastrukturen. Entwickler kodieren API-Schlüssel häufig fest in Konfigurationsdateien oder belassen sie in Git-Repositories. Ein einziges kompromittiertes Agenten-Zugangsrecht kann Angreifern über Wochen oder Monate Zugriff auf die Berechtigungen dieses Agenten gewähren.
Das Risiko steigt, wenn Agenten Zugriff auf die Anmeldeinformationen anderer Agenten haben. In einem komplexen Multi-Agenten-System kann der Orchestrierungsagent API-Schlüssel für fünf nachgelagerte Agenten enthalten. Wird der Orchestrierungsagent kompromittiert, erhält ein Angreifer Zugriff auf alle fünf nachgelagerten Systeme.
Ein realer Vorfall aus dem Jahr 2025: Ein Lieferkettenangriff auf das OpenAI-Plugin-Ökosystem führte zur Erlangung kompromittierter Agenten-Zugangsdaten aus 47 Unternehmensinstallationen. Die Angreifer nutzten diese Zugangsdaten sechs Monate lang, um auf Kundendaten, Finanzunterlagen und proprietären Code zuzugreifen, bevor der Angriff entdeckt wurde.
Angriffe auf die Lieferkette
Schließlich haben sich die Angriffe auf die Lieferkette verlagert und zielen nun auf das Agenten-Ökosystem selbst ab. Angreifer zielen nicht nur auf Ihre Software ab, sondern auch auf die Bibliotheken, Modelle und Tools, von denen Ihre Agenten abhängen.
Der SolarWinds-ähnliche Angriff auf KI-Infrastrukturen (2024–2025) kompromittierte mehrere Open-Source-Agenten-Frameworks, bevor die Kompromittierung entdeckt wurde. Entwickler, die die kompromittierten Versionen heruntergeladen hatten, installierten unwissentlich Hintertüren in ihren Agenteninstallationen. Diese Hintertüren blieben unentdeckt, bis sie von Command-and-Control-Servern (C2-Servern) aktiviert wurden.
Staatlich geförderte Akteure haben die Lieferkette für künstliche Intelligenz als Waffe eingesetzt. Die Kampagne „Salt Typhoon“ (2024–2025) ist ein Paradebeispiel. Diese hochprofessionellen Akteure kompromittierten Telekommunikationsinfrastrukturen und blieben über ein Jahr lang unentdeckt, indem sie sich unauffällig in die bestehende Infrastruktur einfügten und legitime Systemwerkzeuge nutzten. Im Bereich der Agentensysteme schleusen Angreifer Schadcode in gängige Open-Source-Agentenframeworks und Werkzeugdefinitionen ein, die Entwickler herunterladen.
Der Barracuda-Sicherheitsbericht (November 2025) identifizierte 43 verschiedene Komponenten von Agenten-Frameworks mit eingebetteten Schwachstellen, die durch Kompromittierung der Lieferkette eingeschleust wurden. Viele Entwickler verwenden immer noch veraltete Versionen und sind sich des Risikos nicht bewusst.
Warum das wichtig ist: Angriffe auf die Lieferkette bleiben nahezu unentdeckt, bis sie aktiv werden. Ihr Sicherheitsteam kann nicht ohne Weiteres zwischen einem legitimen Bibliotheksupdate und einem manipulierten Update unterscheiden. Bis Sie einen solchen Angriff bemerken, ist die Hintertür bereits seit Monaten in Ihrer Infrastruktur vorhanden.
Sicherheitslücken in der Praxis: Der Weckruf 2024–2025
Die nationale Welle von Datenschutzverletzungen (2024-2025)
Der Datendiebstahl im nationalen öffentlichen Datenbestand Anfang 2024 legte 2.9 Milliarden Datensätze offen. Die darauffolgende Offenlegung von 16 Milliarden Zugangsdaten im Juni 2026 verschärfte diese Katastrophe noch. Infostealer-Malware, deren Leistungsfähigkeit durch KI-Analysen gesteigert wurde, zielte auf Authentifizierungs-Cookies ab, die es Angreifern ermöglichten, die Zwei-Faktor-Authentifizierung zu umgehen und Benutzersitzungen zu übernehmen.
Hier treffen Datenleck und Identitätsdiebstahl aufeinander. Angreifer stahlen nicht nur Zugangsdaten, sondern nutzten sie, um sich Zugriff auf Unternehmensdatenbanken und KI-Systeme zu verschaffen, als wären sie legitime Nutzer. Über 12,000 Organisationen waren von dem Angriff betroffen, Finanzinstitute besonders hart.
Der Arup-KI-Deepfake-Betrug (Verlust von 25 Millionen US-Dollar)
Der Deepfake-Betrugsfall bei Arup im September 2025 kostete das internationale Ingenieurunternehmen 25 Millionen US-Dollar. Ein Mitarbeiter wurde durch eine Videokonferenz, in der ausschließlich KI-generierte Deepfakes des Finanzvorstands und des Leiters der Finanzabteilung zu sehen waren, zur Überweisung von Geldern verleitet. Die Deepfakes waren so überzeugend, dass sie die anfängliche Skepsis des Mitarbeiters ausräumten.
Die Relevanz dieses Vorfalls für die Sicherheit agentenbasierter KI liegt in der nächsten Entwicklungsstufe: Angreifer nutzen nun kompromittierte interne Agenten, um solche Anfragen intern zu initiieren und so die üblicherweise bei externer Kommunikation herrschende Skepsis zu umgehen. Sendet ein Agent, dem Ihr Unternehmen vertraut, eine Überweisungsanfrage, genehmigen Mitarbeiter diese mit höherer Wahrscheinlichkeit schnell.
Der Angriff auf die Produktionslieferkette (2025)
Ein mittelständisches Fertigungsunternehmen führte im zweiten Quartal 2025 ein agentenbasiertes Beschaffungssystem ein. Im dritten Quartal gelang es Angreifern, den Lieferantenvalidierungsagenten durch einen Lieferkettenangriff auf den KI-Modellanbieter zu kompromittieren. Der Agent begann daraufhin, Bestellungen von Briefkastenfirmen der Angreifer zu genehmigen.
Das Unternehmen bemerkte den Betrug erst, als die Lagerbestände drastisch sanken. Bis dahin waren bereits betrügerische Bestellungen im Wert von 3.2 Millionen US-Dollar abgewickelt worden. Die Ursache: Ein einzelner kompromittierter Mitarbeiter in einem System mit mehreren Mitarbeitern löste eine Kettenreaktion falscher Genehmigungen aus.
Defensive Architektur: Aufbau von Widerstandsfähigkeit gegen agentenbasierte Bedrohungen
Implementierung von Zero Trust für nicht-menschliche Identitäten (NHIs)
Die Zero-Trust-Architektur nach NIST SP 800-207 bildet die Grundlage. Jeder KI-Agent muss bis zu seiner Verifizierung als nicht vertrauenswürdige Entität behandelt werden, unabhängig von seiner Rolle oder seinem bisherigen Verhalten.
Gewähren Sie Ihren Agenten keinen uneingeschränkten Zugriff auf Ihre Cloud-Umgebung. Implementieren Sie stattdessen bedarfsgerechten Zugriff und ein minimales Rechtevergabesystem. Ein Agent, der für die Terminplanung zuständig ist, sollte lediglich Schreibzugriff auf die Kalender-API haben, nicht aber auf den E-Mail-Server des Unternehmens oder die Kundendatenbank. Durch die strikte Beschränkung der einem Agenten zur Verfügung stehenden Tools minimieren Sie die potenziellen Auswirkungen eines Sicherheitsvorfalls.
Noch wichtiger ist es, dass Agenten ihre Anfragen begründen müssen. Bevor ein Agent eine sensible Aktion ausführt – beispielsweise Gelder transferiert, Daten löscht oder Zugriffsrichtlinien ändert –, sollte Ihr System eine explizite Begründung verlangen. Warum benötigt dieser Agent diese Berechtigung? Einem Agenten, der keine schlüssige Begründung für eine weitreichende Aktion liefern kann, sollte die Berechtigung verweigert werden, selbst wenn er technisch dazu berechtigt ist.
Dies ist semantische Zugriffskontrolle. Ihre Netzwerk-Firewall erkennt einen gültigen API-Aufruf. Ihre semantische Schicht fragt: „Entspricht diese Aktion dem angegebenen Zweck dieses Agenten?“
Sicherung des Agentenkreislaufs durch kontinuierliche Überwachung
- Hinweise und Kontext, die der Agent erhalten hat
- Schlussfolgerungsschritte (Ausgaben der Gedankenkette)
- Werkzeugauswahl und die zugehörigen APIs
- Vor der Ausgabe abgerufene Daten.
- Endgültige Ausgaben, die an Benutzer oder Systeme gesendet werden
Ordnen Sie diese Aktivitäten dem MITRE ATT&CK for AI-Framework zu, um verdächtige Muster zu identifizieren. Das Framework kategorisiert KI-spezifische Angriffe in die Bereiche Aufklärung, Ressourcenentwicklung, Ausführung, Persistenz, Rechteausweitung, Umgehung von Verteidigungsmechanismen und Auswirkungen.
Wenn ein Agent, der normalerweise den Lagerbestand prüft, beginnt, SQL-DROP-TABLE-Befehle auszuführen oder auf sensible Verzeichnisse zuzugreifen, XDR Die Plattform sollte diese Verhaltensanomalie sofort erkennen. Hier kämpft die KI gegen die KI selbst, indem sie Anomalieerkennungsmodelle einsetzt, um das Verhalten Ihrer autonomen Agenten zu überwachen.
Validierung durch den Menschen im Regelkreis (Human-in-the-Loop, HITL) für wirkungsvolle Maßnahmen
Um Folgefehler sowie Fehlverhalten und Täuschung zu verhindern, sollten bei Aktionen mit finanziellen, betrieblichen oder sicherheitsrelevanten Auswirkungen Kontrollmechanismen mit menschlicher Beteiligung implementiert werden. Einem Mitarbeiter sollte es niemals gestattet sein, ohne ausdrückliche Genehmigung durch eine Person Gelder zu überweisen, Daten zu löschen oder Zugriffskontrollrichtlinien zu ändern.
Diese Validierungsschicht fungiert als Schutzschalter. Sie verlangsamt den Prozess zwar geringfügig, bietet aber ein entscheidendes Sicherheitsnetz gegen die Geschwindigkeit und das Ausmaß von Agentenangriffen.
Definiere drei Handlungskategorien:
- Aktionen mit grünem Licht: Routineaufgaben ohne Auswirkungen (Terminplanung, Lesen unkritischer Daten). Mitarbeiter führen diese ohne Genehmigung aus.
- Aktionen mit gelber Ampel: Aufgaben mit mittlerem Risiko (z. B. Kundendatensätze ändern, Code in der Testumgebung bereitstellen). Die Aktionen werden von Agenten ausgeführt und einem Mitarbeiter asynchron benachrichtigt, der sie bei Bedarf widerrufen kann.
- Aktionen mit rotem Licht: Aufgaben mit hoher Auswirkung (Finanztransfers, Infrastrukturänderungen, Zugangsvergabe). Die Agenten halten inne und warten auf die ausdrückliche Genehmigung durch einen Menschen.
Für schlanke Teams ist dies die kosteneffektivste Kontrollmaßnahme, die Sie heute implementieren können. Es geht nicht darum, alle KI-Risiken auszuschließen, sondern menschliches Urteilsvermögen an kritischen Entscheidungspunkten einzubringen.
Speicherintegrität und Prüfprotokolle
Angesichts der Gefahr von Speichermanipulationen müssen Sie unveränderliche Prüfprotokolle für den Agentenspeicher implementieren. Jedes Mal, wenn ein Agent Informationen in einem Langzeitkontext speichert, muss dies kryptografisch protokolliert werden. Sollte sich später herausstellen, dass der Speicher eines Agenten falsche Informationen enthält, lässt sich genau nachvollziehen, wann und wie diese eingeschleust wurden.
Erwägen Sie die Implementierung eines „Speicherquarantäne“-Prozesses: Bevor ein Agent auf historische Daten zugreift, insbesondere auf Daten, die sicherheitsrelevante Entscheidungen betreffen, muss diese validiert werden. Wurden diese Daten kürzlich abgerufen oder geändert? Stimmen sie mit den aktuellen Daten überein? Im Zweifelsfall sollten die Daten aus autoritativen Quellen aktualisiert werden, anstatt sich auf den Speicher des Agenten zu verlassen.
Dies führt zwar zu einer längeren Latenz, verhindert aber das Szenario des „Schlafagenten“, bei dem eine vergiftete Erinnerung erst Wochen später aktiviert wird.
Lieferkettenüberprüfung
Um Lieferkettenangriffe zu minimieren, implementieren Sie eine Software-Stücklistenanalyse (SBOM) für alle Agenten-Frameworks, -Modelle und -Abhängigkeiten. So wissen Sie genau, welcher Code in Ihren Agenten ausgeführt wird.
Verlangen Sie eine kryptografische Verifizierung aller Drittanbieterkomponenten. Wenn Sie ein Agenten-Framework herunterladen, überprüfen Sie dessen kryptografische Signatur anhand der offiziellen Version. Vertrauen Sie nicht allein Git-Repositories; überprüfen Sie die Signatur anhand offizieller Sicherheitsbulletins.
Bei Open-Source-Komponenten sollten Sie eine Liste zugelassener Versionen führen. Unbekannte Versionen, die ausgeführt werden sollen, müssen umgehend gemeldet werden. Dies ist zwar mühsam, aber unerlässlich; Sie können es sich nicht leisten, kompromittierte Agenten-Frameworks einzusetzen.
Testen der Agentenresilienz
Führen Sie regelmäßig Red-Team-Übungen durch, die gezielt auf Schwachstellen in Agentensystemen abzielen. Versuchen Sie Folgendes:
- Einfügen von Aufforderungen, die unautorisierte Aktionen auslösen sollen
- Führe falsche Daten in den Speicher des Agenten ein.
- Nachgelagerte Agenten in Multiagenten-Workflows imitieren
- Eskalation der Agentenrechte über den vorgesehenen Umfang hinaus
Diese Übungen zeigen Ihnen, wo Ihre Agenten am anfälligsten sind. Sie werden feststellen, dass Agenten viel suggestibler sind, als Sie erwartet haben, insbesondere nach der Konditionierung durch wiederholte Aufforderungen.
Strategische Implikationen: Der Fahrplan des CISO
- Zero Trust für nationale Krankenversicherungen bis zum zweiten Quartal 2026: Jeder Akteur sollte nach dem strikten Prinzip der minimalen Privilegien handeln.
- Verhaltensüberwachung bis zum ersten Quartal 2026: Rüsten Sie Ihre Agentensysteme so aus, dass sie Denkprozesse und die Nutzung von Werkzeugen erfassen.
- Sofortige HITL-Prüfpunkte: Setzen Sie keine Agenten mit hoher Auswirkung ohne menschliche Genehmigungsschleifen ein.
- Speicherintegritätskontrollen bis zum 3. Quartal 2026: Implementierung unveränderlicher Audit-Trails für die Langzeitspeicherung von Agenten.
- Sofortige Überprüfung der Lieferkette: Erfahren Sie vor dem Einsatz, welcher Code in Ihren Agenten steckt.
- Reaktionspläne bei Agentenkompromittierung: Ihre aktuellen IR-Verfahren gehen von menschlichen Angreifern aus. Agenten agieren jedoch mit unterschiedlichen Geschwindigkeiten und in unterschiedlichem Umfang.
Wie können wir in Zukunft mit Bedrohungsakteuren konkurrieren?
Der Übergang zu agentenbasierter KI bietet immense Produktivitätssteigerungen, stattet Angreifer aber auch mit neuen Fähigkeiten und Persistenzmechanismen aus. Indem wir Bedrohungen wie Memory Poisoning, Kaskadenausfälle, Lieferkettenangriffe und Identitätsdiebstahl verstehen und robuste Verifizierungsframeworks implementieren, können wir das Potenzial von Agenten nutzen, ohne die Kontrolle über unsere Sicherheitslage aufzugeben.
Die Organisationen, die 2026 und darüber hinaus erfolgreich sein werden, sind diejenigen, die heute Zero-Trust-Prinzipien für nicht-menschliche Entitäten implementieren. Wer auf die perfekte Komplettlösung wartet, wird sich mit agentenbedingten Sicherheitslücken auseinandersetzen müssen, anstatt sie zu verhindern.
Ihr kleines Team kann hinsichtlich der Agentenfähigkeiten nicht mit gut ausgestatteten Angreifern mithalten. Aber Sie können bei der Verifizierung und Ausfallsicherheit punkten. Entwickeln Sie Systeme, die davon ausgehen, dass Agenten kompromittiert sind, und entwerfen Sie Kontrollmechanismen, die eine großflächige Ausnutzung von Kompromittierungen nahezu unmöglich machen.
Das Zeitalter der agentengesteuerten KI hat begonnen. Die Frage ist nicht, ob Ihr Unternehmen im Jahr 2026 mit agentengesteuerten Bedrohungen konfrontiert sein wird. Die Frage ist, ob Sie darauf vorbereitet sein werden.