KI kennt kein Organigramm

– das Rollenmodell hat ausgedient

Rollenbasierte Zugriffskontrolle stammt aus einer langsameren Arbeitswelt – feste Teams, klare Stellenprofile, vorhersehbare Workflows. Mit dem Aufstieg autonomer KI-Agenten wird dieses Modell nicht nur unzeitgemäß, es wird zum Sicherheitsrisiko. Wer Zugriffe weiterhin nach Job-Beschreibungen vergibt, verliert die Kontrolle über die Systeme, die er einsetzt.

Wenn ein einzelner KI-Agent innerhalb von Minuten E-Mails zusammenfasst, interne Systeme aktualisiert und operative Prozesse anstößt, stellt sich die Frage, welche Rolle dieser Agent eigentlich hat? Welche Stellenbeschreibung passt auf ihn? Spätestens an diesen Fragen merken Sicherheitsverantwortliche, dass das klassische Identity- und Access-Management an seine Grenzen stößt.

Agenten – autonome KI-Systeme, die Aufgaben im Auftrag von Menschen oder Anwendungen ausführen – übernehmen heute Tätigkeiten, die sich nicht in starre Stellenbeschreibungen pressen lassen. Ihr Einsatz in Unternehmen wächst rapide, und ein erheblicher Teil davon findet außerhalb der formalen Sichtbarkeit und Kontrolle der Sicherheitsorganisation statt.

Das Rollenmodell ist Geschichte

Role-Based Access Control wurde für eine Arbeitswelt entwickelt, in der der Zugriffsbedarf von Mitarbeitern zuverlässig abbildbar war. Agentenbasierte KI hat diese Logik jedoch außer Kraft gesetzt. Sie hat den Begriff des „Nutzers“ neu definiert und auch die Geschwindigkeit, in der sich der Zugriffsbedarf verändert und dramatisch erhöht.

KI-Agenten gehören allerdings keiner Rolle an. Sie verhalten sich nicht wie Mitarbeiter. KI-Agenten wechseln zwischen Aufgaben, Datenquellen und Workflows – gesteuert von Anweisungen, nicht von Stellenbeschreibungen. Ein einzelner Agent fasst Postfächer zusammen, aktualisiert interne Systeme und löst operative Prozesse aus, alles innerhalb von Minuten.

Hinzu kommt, dass Agenten den Zugriffsbedarf vervielfachen. Statt einer Identität pro Mitarbeiter agieren parallel viele Agenten als „Nutzer“, und zwar jeder mit eigenen Berechtigungen. Der Access-Footprint wächst dadurch rapide – und mit ihm die Wahrscheinlichkeit von überprivilegierten Konten.

In dieser Umgebung sind statische Privilegien nicht nur unzeitgemäß, sondern auch gefährlich. Jede dauerhaft vergebene Berechtigung wird zur Angriffsfläche für einen kompromittierten Agenten. Angreifer experimentieren bereits längst damit, Agenten-Anweisungen zu kapern und ganze Kill Chains über manipulierte KI-Komponenten auszuführen.

Zero Access by Default

Die Antwort liegt in einem Mindset-Wechsel. Niemand – weder der Mensch noch der Agent – startet mit Standardrechten. Der Tag beginnt bei null. Jede Berechtigung wird in Echtzeit vergeben, und nur in dem Moment, in dem sie tatsächlich gebraucht wird.

Die folgenden vier Prinzipien sind dafür entscheidend:

• Just-in-Time: Zugriff entsteht mit der Aufgabe – und endet, wenn die Aufgabe abgeschlossen ist.
• Szenariobasiert: Berechtigungen aktivieren sich unter klar definierten Bedingungen, beispielsweise wenn ein zugewiesenes Ticket geöffnet ist. Ändert sich das Szenario, verfällt der Zugriff wieder.
• Kontinuierlich bewertet: Identität, Geräteposition, Verhalten, Standort, Agentenaktivität und Policy-Kontext werden bei jeder Anfrage neu geprüft. Die Entscheidung kann sich von Sekunde zu Sekunde ändern, sobald sich das Risiko ändert.
• Zero Access by Default: Keine feststehenden Privilegien. Kein „für alle Fälle“. Keine Berechtigungen, die seit fünf Jahren mitlaufen, weil sie damals praktisch waren.

Der wahre Test ist der Fehlerfall

Wie gut ein Zugriffsmodell letztendlich funktioniert, zeigt sich nicht im Normalbetrieb. Es wird erst offensichtlich, wenn etwas schiefgeht. Und in einer agentenbasierten Umgebung ist der Fehlerfall unausweichlich. Irgendwann wird ein Agent fehlkonfiguriert sein. Ein Prompt wird schlecht formuliert. Ein Workflow verhält sich anders als erwartet. Die entscheidende Frage ist nicht, ob das passiert, sondern wie weit der Schaden reicht.

Im statischen Modell hat der Agent einen breiten Zugriff als Ausgangslage. Ein einzelner Fehler eskaliert schnell. Bemerkt das Sicherheitsteam die Anomalie, ist der Schaden längst angerichtet – und die Aufarbeitung beginnt mit der unangenehmen Frage, warum der Zugriff überhaupt existierte und wie lange er bereits ausgenutzt wurde.

Im Zero-Access-Modell verläuft dieselbe Situation grundlegend anders. Die Berechtigungen sind minimal, zeitlich begrenzt und werden laufend neu bewertet. Unerwartetes Verhalten findet kaum Angriffsfläche. Es gibt weniger schlafende Privilegien, weniger Eskalationspfade – der Schaden ist „by design“ eingegrenzt.

Auch die Untersuchung eines Fehlerfalls ändert sich grundlegend. Statt jahrelang gewachsene Zugriffsketten zu entwirren, fokussiert sich das Sicherheitsteam auf eine zentrale Frage: Was war in genau diesem Moment und unter welchen Bedingungen erlaubt? Diese Klarheit zählt, wenn Geschwindigkeit über das Ausmaß eines Vorfalls entscheidet.

Dynamischer Zugriff verhindert, dass kompromittierte Agenten, Modell-Drift oder unvorhersehbares KI-Verhalten zu vollständigen Sicherheitsvorfällen eskalieren. Es ist ein Mindset-Wechsel, nicht nur ein Tooling-Wechsel – und je früher Organisationen ihn vollziehen, desto besser können sie die eingesetzten Systeme kontrollieren.

Vier Bausteine für die Umsetzung

Zugriff dynamisch zu denken, ist der erste Schritt. Ihn dynamisch umzusetzen, verlangt Engineering-Investitionen, Echtzeit-Entscheidungen und eine enge Abstimmung zwischen Security, Produkt und Entwicklung. Vier Bereiche sind dabei zentral.

1. Kontinuierliche Sichtbarkeit: Die meisten Organisationen können heute nicht zuverlässig beantworten, welche Agenten ihre Entwicklerteams gebaut haben und auf welche Systeme diese zugreifen. Diese Lücke muss geschlossen werden.
2. Risikobasierte Echtzeit-Entscheidungen: Zugriffsentscheidungen müssen Identitätssignale, Verhalten, Geräteposition, Agentenaktivität und Policy-Kontext in Echtzeit zusammenführen. Quartalsweise Reviews und langlebige Berechtigungen sind in einer Welt, in der sich Risiken im Sekundentakt verschieben, irrelevant.
3. Dynamische, attributbasierte Policies: Agenten und Menschen fragen Berechtigungen unvorhersehbar an. Nur eine dynamische Policy-Engine kann mit der nötigen Präzision freigeben oder blockieren.
4. Maschinelle Geschwindigkeit: Durchsetzung, Entzug und Neubewertung müssen automatisiert ablaufen. Ein menschliches Governance-Komitee, das ein automatisiertes Ökosystem überwachen soll, ist wie ein „Schiedsrichter“, der auf dem Fahrrad ein Formel-1-Rennen kontrollieren will.

Ein Mindset, kein Werkzeug

Dynamischer Zugriff ist in der Arbeitswellt von heute keine Option mehr. Agentenbasierte KI hat die Art, wie Arbeit im Unternehmen entsteht, bereits verändert. Organisationen, die weiterhin auf statische Modelle setzen, verlieren die Kontrolle über die eingesetzten Systeme. Agenten vervielfachen sich, handeln in Maschinengeschwindigkeit und stellen Anforderungen, die mit alten Mitteln nicht mehr beherrschbar sind.

Wer den Schritt zu echtzeit- und risikobasiertem Zugriff geht – Just-in-Time, szenariobasiert, kontinuierlich bewertet – gewinnt ein Modell, das mit menschlichem und maschinellem Verhalten Schritt hält. Der Übergang ist anspruchsvoll, aber die Alternative ist deutlich teurer. Für die moderne Arbeitswelt gilt: Zugriff ist kein Dauerzustand, sondern eine tägliche Entscheidung.