Was sind KI‑Agenten?

Ein KI‑Agent ist eine Software, die ein Ziel entgegennimmt, die Schritte dorthin selbst plant, Tools wie einen Kalender, ein Ticketsystem oder eine Datenbank nutzt, das Ergebnis prüft und weiterarbeitet, bis die Aufgabe erledigt ist oder ein Mensch entscheiden muss. Ein Chatbot dagegen wartet nach jeder Antwort darauf, dass Sie den nächsten Schritt vorgeben.

Was ein KI‑Agent ist: eine Schleife aus Planen, Handeln und Prüfen

Ein KI‑Agent arbeitet in einer Schleife: Ziel lesen, planen, über ein Tool handeln, das Ergebnis ansehen, dann erneut planen oder aufhören. Vier Teile machen diese Schleife möglich.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) beschreibt einen KI‑Agenten auf seiner Themenseite als ein „unter Umständen mit mehr Zugriffsrechten angereichertes Software-System, das auf Basis von Eingaben in einem sogenannten Großen Sprachmodell eigenständig Aktionen ausführt“.

Anthropic zieht in Building effective agents (Dezember 2024, englisch) die Grenze zum Workflow: Systeme, in denen Modelle und Tools über vorab festgelegte Codepfade orchestriert werden, nennt das Unternehmen Workflows. Als Agenten gelten Systeme, in denen das Modell seinen Ablauf und seine Tool‑Nutzung selbst steuert. Entscheidend ist also der Pfad: Steht er vorher fest, ist es ein Workflow; wählt das System ihn unterwegs, ist es ein Agent.

KI‑Agent, Chatbot, Workflow-Automatisierung, KI‑Assistent: die Unterschiede

Die vier unterscheiden sich darin, wer das Ziel setzt, wer den nächsten Schritt wählt und was passiert, wenn etwas Unerwartetes auftaucht.

Zwei weitere Begriffe werden oft damit vermischt. Ein Sprachmodell (Large Language Model, LLM) wie GPT, Claude oder Gemini liest und schreibt Text. Der Agent ist das System um das Modell herum, denn das Modell allein kann weder einen Kalender lesen noch ein Ticket anlegen. Ein KI‑Assistent ist ein Chatbot, der auf Bitte einer Person in deren Konten handelt; ein Agent dagegen kann auch nach Zeitplan oder per Auslöser laufen.

Workflow-Automatisierung behält trotzdem ihren Platz: Ein fester Ablauf ist günstiger, schneller und leichter zu prüfen als ein Agent, deshalb bleibt er für eine Aufgabe mit bekanntem Pfad die bessere Wahl. Anthropic rät im selben Text, die einfachste Lösung zu suchen und agentische Systeme erst einzusetzen, wenn einfachere Lösungen nicht ausreichen.

Wie ein KI‑Agent arbeitet: eine Aufgabe, Schritt für Schritt

So sieht eine Ausführung aus, vom Ziel bis zum Protokoll. Die Aufgabe ist absichtlich unspektakulär: Die Jira-Warteschlange des Teams muss aufgeräumt werden.

1. ZielEine IT‑Leiterin schreibt @support-⁠specialist, dem Support-Agenten ihres Teams: „Finde Support-Tickets, die seit 14 Tagen nicht aktualisiert wurden, entwirf für jedes eine Antwort und schließ die erledigten. Frag mich, bevor du etwas schließt.“
2. PlanDer Agent zerlegt das Ziel: die liegen gebliebenen Tickets auflisten, jedes lesen, einschätzen, ob es erledigt ist, eine Antwort entwerfen, die Schließungen zur Freigabe sammeln.
3. Tool‑AufrufJiraEr fragt in Jira die Tickets ab, die seit 14 Tagen nicht aktualisiert wurden, und bekommt 23 zurück.
4. Tool‑Aufruf, wiederholtJira, 23‑malFür jedes Ticket liest er den Verlauf und den letzten Kommentar. Neun wirken erledigt; bei vierzehn steht eine Rückmeldung des Erstellers aus.
5. PrüfungBei einem Ticket geht es im letzten Kommentar um einen Sicherheitsvorfall. Der Agent markiert dieses Ticket, statt eine Antwort zu entwerfen, denn im Ziel stand nichts von Vorfällen.
6. Freigabe durch einen Menschender Agent wartetEr legt die neun vorgeschlagenen Schließungen mit den Antwortentwürfen vor und wartet. Die IT‑Leiterin gibt acht frei.
7. HandelnJiraDer Agent postet die Antworten und schließt acht Tickets.
8. ProtokollAgent ActivityDie Ausführung wird festgehalten: was sie ausgelöst hat, welche Tools der Agent aufgerufen hat, was er gelesen und gepostet hat und was die Modellaufrufe gekostet haben.

Schritt sechs macht den Rest vertretbar. Das BSI rät allen, die einen Agenten nutzen, zu genau diesem Kontrollpunkt: wo verfügbar, wichtige Aktionen erst nach Bestätigung ausführen lassen, besonders solche mit finanziellen oder persönlichen Konsequenzen.

In SecondStack, einer Plattform für KI‑Agenten im Unternehmen, gehört diese Ausführung zu @support-⁠specialist. Das ist ein Fachagent, den die IT‑Leiterin für diese Rolle eingestellt hat; sie ist seine Verantwortliche. Er liest Jira über den Zugriff, den sie ihm gegeben hat, und läuft auf dem Budget seines Kostenträgers, also des Teams, das ihn finanziert. ControlTower, die Admin‑Konsole, ist auf die fünf Dinge ausgerichtet, die ein Agent braucht: Verantwortlicher, Zugriff, Budget, Protokoll und Pause. Dort speichert Agent Activity den Gesprächsverlauf der Ausführung und zeigt eine Zeile pro Modellaufruf, sodass ein Admin die Ausführung Aufruf für Aufruf nachvollziehen kann; die Verantwortliche sieht jede Ausführung im Activity‑Tab des Agenten. Die Verantwortliche oder ein Admin kann den Agenten jederzeit pausieren.

Ein Agent ist so sicher wie der Kontrollpunkt, den Sie ihm geben, und das Protokoll, das er hinterlässt.

Beispiele für KI‑Agenten im Unternehmen

Agenten lohnen sich vor allem für wiederkehrende Arbeit mit klaren Eingaben und einer festen Ansprechperson für Rückfragen.

Die meisten Unternehmen stehen damit noch am Anfang. Der Bitkom hat am 14. September 2026 eine Befragung von 603 Unternehmen ab 20 Beschäftigten veröffentlicht. Bitkom-Präsident Ralf Wintergerst sieht KI‑Agenten heute etwa dort, wo KI insgesamt vor drei Jahren stand.

Was ein Unternehmen braucht, bevor KI‑Agenten selbst handeln

Fünf Dinge müssen vor der ersten Ausführung feststehen, und jedes davon beantwortet eine Frage, die spätestens im ersten Review gestellt wird.

1. VerantwortlicherEine Person oder ein Team steht für den Agenten ein, so wie eine Führungskraft für einen neuen Mitarbeitenden einsteht. Sonst gehört der Agent, der am Montagmorgen etwas Falsches postet, niemandem.
2. Begrenzter ZugriffDer Agent greift nur auf die Konten und Dateien zu, die er für seine Aufgabe braucht; das BSI nennt das „Berechtigungen bewusst vergeben“.
3. BudgetEin Agent in der Schleife verbraucht Token, ohne dass jemand zusieht. Ein Budget pro Agent oder Team, mit einer Warnung, sobald ein festgelegter Anteil verbraucht ist, macht aus der überraschenden Rechnung eine Benachrichtigung.
4. ProtokollDas Protokoll hält fest, was die Ausführung ausgelöst hat, was der Agent gelesen und wohin er etwas geschickt hat und was das gekostet hat. Passwörter und Schlüssel stehen nicht darin. Ein Prüfer oder der Verantwortliche liest es im Nachhinein.
5. PauseWenn etwas nicht stimmt, pausiert der Verantwortliche oder ein Admin den Agenten zuerst und sucht die Ursache danach.

Grenzen und Risiken

Agenten können auf eine Weise scheitern, die es bei Chatbots nicht gibt, denn Agenten handeln. Vor dem ersten Einsatz sollten Sie vier Grenzen kennen.

Fehler pflanzen sich fort. Eine falsche Annahme in Schritt zwei wird zur falschen Handlung in Schritt sieben. Ein eng gefasstes Ziel und ein Kontrollpunkt vor jedem unumkehrbaren Schritt sind die Gegenmittel.

Prompt-Injection. Inhalte, die der Agent liest, können Anweisungen enthalten. Das BSI beschreibt den Angriff über versteckte Befehle in Webseiten, Dokumenten und E‑Mails, die der Agent als echte Anweisungen ausführen kann. OWASP führt ihn als LLM01:2025 in seinen Top 10 für LLM-Anwendungen (englisch) und hält fest, dass die Auswirkung vom Handlungsspielraum des Systems abhängt, bis hin zur Ausführung beliebiger Befehle in verbundenen Systemen. BSI und OWASP nennen unter ihren Schutzmaßnahmen auch die beiden von oben: Rechte begrenzen und privilegierte Aktionen von einem Menschen freigeben lassen.

Kosten. Ein Agent, der in der Schleife neu plant, macht pro Aufgabe viele Modellaufrufe. Budgets und ein Protokoll pro Aufruf machen das sichtbar.

Datenabfluss. Alles, was der Agent liest, kann in einem Prompt an einen KI‑Anbieter landen. Maskiert ein Gateway personenbezogene Daten und Zugangsdaten nach den Regeln, die Sie festlegen, bleibt der Agent nützlich, und es gelangen nicht mehr Daten nach außen als nötig. Die Tools, die ein Agent aufruft, stellt ein MCP‑Gateway (englisch) unter dieselbe Art von Regeln.

KI‑Agenten und agentische KI

Agentische KI (englisch: agentic AI) ist der Oberbegriff für Systeme, die Ziele mit einem gewissen Maß an Autonomie verfolgen; ein KI‑Agent ist ein konkretes System dieser Art, das Sie einsetzen und dem Sie einen Namen geben. Anbieter verwenden beide Begriffe oft gleichbedeutend. Stellen Sie deshalb die praktischen Fragen: Welche Ziele nimmt das System entgegen, welche Tools darf es aufrufen, wer ist verantwortlich und welches Protokoll hinterlässt es?