Agentic AI – Die ‚mitarbeitende KI‘ braucht smarte Infrastruktur

Agentic AI verändert gerade grundlegend, wie Software mit unternehmerischer IT interagiert: Sie handelt eigenständig, greift auf Daten zu und trifft Entscheidungen. Was nach Effizienz klingt, birgt aus forensischer Sicht ein massives Risiko. Denn je tiefer diese Systeme in unsere Infrastruktur eingebunden sind, desto größer wird die Angriffsfläche. Und desto schwieriger wird es, Kontrolle und im Schadensfall Nachvollziehbarkeit zu gewährleisten. Wir bringen hier gerne unsere bescheidene Perspektive zu Gefahren den Risiken des Einsatzes von Agentic AI im Business. Um es vorweg zu nehmen: die Technologie ist langfristig nur in vollständig kontrollierten, abgeschotteten Umgebungen zu verantworten.

Ein Kollege hatte jüngst einen Fall auf dem Tisch, der zunächst unspektakulär wirkte. Ein Unternehmen stellte fest, dass sich Daten innerhalb der eigenen Systeme ungewöhnlich bewegten. Keine typischen Hinweise auf einen externen Angriff, keine kompromittierten Accounts, keine klaren Spuren. Logs wirkten sauber, Zugriffe sahen legitim aus. Je länger man analysierte, desto klarer wurde: Hier hatte kein klassischer Angreifer gearbeitet. Die Aktivitäten bewegten sich im Rahmen dessen, was das System ‚durfte‘. Prozesse liefen regulär, Befehle wirkten plausibel, Datenflüsse waren technisch erklärbar – aber in ihrer Gesamtheit ergaben sie ein Bild, das so nie vorgesehen war. Was die Kollegen beobachten durften, war/ist genau das Szenario, das mit dem Aufkommen von Agentic AI zur neuen Realität wird. Gefahren durch fakrisch mitarbeitende und Entscheidungen treffende KI.

Agentic AU – vom Werkzeug zum Akteur

Zugegeben, es klingt für uns etwas ‚offtopic‘, weil vorbeugende Maßnahmen etwas für Datenschutzbeauftragte und/oder IT’ler im Unternehmen sind. Was sich gerade vor unseren Augen entwickelt, ist allerdings keine normale Software-Einführun mehr, wie man es früher verstand. Wir reden von KI-Systemen, wie sie heute von Unternehmen wie OpenAI oder Anthropic vorangetrieben werden und sich gerade unter dem Begriff ‚Agentic AI‘ einen Namen machen. Agentic steht selbstredend für ‚Agent‘ ud damit KI, die eigene Entscheidungen treffen kann in einem gewissen Korridor. Die dies aber teils autark tut. Mit allen absehbarenund unabsehbaren Folgen. Oder anders: Diese ‚Tools‘ sind nicht mehr nur Werkzeuge im eigentlichen Sinne. Sie agieren zunehmend eigenständig.

Agentic AI kann je nach Erlaubnissen auf Dateisysteme zugreifen, Code ausführen, Prozesse anstoßen und Entscheidungen treffen. Oft geschieht das ohne, dass jeder einzelne Schritt explizit kontrolliert oder nachvollzogen wird. Genau das macht diese Systeme so leistungsfähig. Und gleichzeitig so riskant. Dabei reden wir vor allem von gehackten Systemen oder Infrastruktur, die dann viel zu viel Schaden anrichten kann. Aus unserer Sicht beginnt hier eine neue Kategorie von Sicherheitsfragen. Nicht mehr ‚Wer hat Zugriff?‘ – sondern: ‚Was passiert, wenn ein System selbst handelt oder über Schadcode aufgefordert wird?‘ Das Zauberwort lautet hier ‚Prompt Injection‘, also die ‚Injektion‘ von Befehslzeilen mit Befehlen die im Rahmen der Agentic AI Befugnisse extrem schädlich sein können.

Warum Zugriff immer ein Risiko bleibt

In der digitalen Forensik gilt ein Grundsatz, den wir immer wieder bestätigt sehen: Alles, worauf zugegriffen werden kann, wird früher oder später auch genutzt – beabsichtigt oder unbeabsichtigt. Wenn im Rahmen der Agentic AI Ansätze eine KI tief in Systeme integriert ist, mit APIs arbeitet, Tokens nutzt oder lokale Verzeichnisse einsehen kann, entsteht eine Komplexität, die kaum noch vollständig kontrollierbar ist. Denn diese Systeme sind nicht deterministisch. Sie kombinieren Kontext, interpretieren Situationen und generieren daraus eigenständig Handlungen. Das führt zu einem entscheidenden Punkt: Aktivitäten lassen sich jetzt nicht mehr vollständig durchschauen geschweige denn langfristig vorhersagen.

Die unsichtbare Angriffsfläche

Klassische Angriffe hinterlassen Spuren. Sie sind oft laut, auffällig oder zumindest rekonstruierbar. Agentische Systeme hingegen bewegen sich innerhalb legitimer Prozesse. Sie erzeugen keinen ‚falschen‘ Traffic, sondern ‚plausiblen‘. Sie handeln nicht außerhalb des Systems, sondern innerhalb seiner Logik. Für die Forensik bedeutet das eine neue Dimension von Unsicherheit. Denn plötzlich verschwimmen die Grenzen zwischen normalem Verhalten und sicherheitsrelevanten Ereignissen. War es ein Mensch? War es ein System? War es gewollt? Schwierig.

Ein besonders kritischer Punkt ist der Einsatz solcher Systeme in offenen Cloud-Umgebungen. So komfortabel und skalierbar diese Modelle sind. Sie bringen einen grundlegenden Nachteil mit sich: den Verlust von Kontrolle. Daten verlassen die eigene Infrastruktur, Verarbeitung findet auf fremder Hardware statt, und selbst bei höchsten Sicherheitsstandards bleibt ein Teil der Prozesse intransparent. Aus unserer Sicht entsteht hier ein strukturelles Problem. Im Ernstfall zählt nicht, was theoretisch abgesichert ist, sondern eben was praktisch nachvollziehbar und dokumentierbar ist. Die Lösung: eigenständige Hardware, die komplett entkoppelt ist.

Ergo: Isolation kein Luxus, sondern Voraussetzung ist

Wir sind keine hauptberuflichen Datenschützer. Dennoch wagen wir uns vor und geben zu bedenken – wenn Unternehmen Agentic AI sinnvoll und verantwortungsvoll einsetzen wollen, führt aus unserer Sicht kein Weg an einer klaren Architekturentscheidung vorbei: Isolation und eigene Hardware. Abstrakt gesprochen – und wir gehen hier bewusst nicht ins Detail – Agentic AI sollte stets auf eigener Hardware oder in strikt abgeschotteten Serverumgebungen betrieben werden. Nur dort besteht die Möglichkeit, Datenflüsse zu kontrollieren, Zugriffe präzise zu steuern und im Ernstfall lückenlos zu analysieren.

Fakt: Alles andere bleibt ein Kompromiss – und Kompromisse sind im Bereich Datenschutz und IT-Forensik selten eine gute Idee.

Eine entscheidende Frage, die sich unternehmerische Entscheider stellen sollten im Kontext Agentic AI lautet aus unserer Sicht: Was passiert, wenn diese Systeme mehr sehen, als sie sollten? In Umgebungen zu viele Optionen haben? Genau das wird in ZUkunft wenn wir nicht aufpassen kein Ausnahmefall, sondern eine logische Konsequenz ihrer Funktionsweise sein. Abschottung bzw. Ausdifferenzierung tut Not.

Agentc AI: Fortschritt braucht Kontrolle

Die Agentic AI ist zweifellos eine der spannendsten technologischen Entwicklungen unserer Zeit. Open Claw und Claude Code – um nur zwei relevante zu nennen – deren Potenzial ist enorm. Doch genau deshalb müssen wir uns ebenso klar mit den Risiken auseinandersetzen. Mehr Autonomie bedeutet mehr Verantwortung. Mehr Zugriff bedeutet mehr Angriffsfläche. Und mehr Intransparenz bedeutet weniger Kontrolle. Ergo: Agentic AI nur in Umgebungen, in denen die vollständige Kontrolle über Daten, Prozesse und Infrastruktur gewährleistet ist. Alles andere ist kein technologischer Fortschritt – sondern ein Risiko, dessen Tragweite viele heute noch unterschätzen.