Stell dir vor, du stellst eine neue Person ein. Am ersten Tag gibst du ihr nicht den Generalschlüssel zum Büro, vollen Zugang zu allen Konten und freie Hand über alle Systeme. Du führst sie ein, zeigst ihr, was sie braucht, und baust Vertrauen auf.

Mit KI-Agenten läuft das gerade oft anders. Ein KI-Agent, der unter einem Benutzer- oder Servicekonto arbeitet, erbt automatisch dessen Zugriffsrechte. Wer die Kontrolle behalten will, muss diese Berechtigungen bewusst einrichten. Genau dort setzen diese Woche gleich drei Meldungen an.

Exeon Analytics: Verhalten von KI-Agenten sichtbar machen

Das Zürcher Cybersecurity-Unternehmen Exeon Analytics hat am 28. Oktober 2026 «Exeon Agent Guard» vorgestellt. Die Lösung soll laut Anbieter genehmigte und sogenannte Schatten-KI-Anwendungen überwachen und ungewöhnliche Aktivitäten von KI-Agenten erkennen, bevor Daten abfliessen. Schatten-KI bezeichnet dabei KI-Tools, die Mitarbeitende nutzen, ohne dass die IT-Abteilung es weiss oder genehmigt hat.

Das adressierte Kernproblem: Ein KI-Agent, der über ein Benutzer- oder Servicekonto arbeitet, übernimmt dessen Berechtigungen. Das kann laut Anbieter zu unbeabsichtigten Handlungen, Datenabfluss oder bösartiger Manipulation führen. Die Lösung setze auf vorhandene Datenquellen auf und benötige keine zusätzliche Software-Agenten-Installation.

CEO Gregor Erismann beschreibt das Ziel so: «Exeon Agent Guard zeigt auf, was KI-Agenten tun und erkennt unerwartetes Verhalten.» (Quelle: Netzwoche, 28.10.2026; Herstellerangabe)

Für einen Betrieb heisst das: Sichtbarkeit kommt vor Steuerung. Wer nicht weiss, was seine KI-Agenten tun, kann ihr Verhalten nicht einschätzen. Der erste Schritt ist oft kein Sicherheitsprodukt, sondern ein klares Bild davon, welche KI-Tools im Betrieb überhaupt aktiv sind.

Autorisierter Sicherheitstest: Cathedral bei Anthropic

Das Sicherheits-Startup Cathedral hat im Rahmen von Anthropics Bug-Bounty-Programm, einem bezahlten und autorisierten Sicherheitstest, mit KI-Agenten Zugang zu internen Systemen von Anthropic gefunden. Der Einstieg erfolgte über externe Verwaltungs- und Vertriebssoftware von Drittanbietern, also nicht über einen direkten Angriff auf Anthropics Kernsysteme.

Zugänglich waren laut Bericht Meeting-Transkripte, Gehaltsdaten, Stellenangebote, Slack-Nachrichten sowie Kontaktdaten von Kunden und Partnern. Geschützt blieben Chats mit Claude, der Quellcode und die Modellgewichte. Anthropic schloss die Zugänge noch am selben Tag und informierte US-Bundesbehörden.

Wichtig für die Einordnung: Es handelte sich um einen beauftragten Test, keinen kriminellen Angriff. Umstritten bleibt das Ausmass. Cathedral nennt «unter zwölf Stunden» für den Zugang, Anthropics eigene Angaben sprechen von mehreren Tagen und davon, dass der Weg über die Drittanbieter-Software erst nach mehrtägigen Fehlversuchen gefunden wurde. Wie lange der Zugang tatsächlich bestand, ist strittig. (Quelle: THE DECODER, 28.10.2026)

Für einen Betrieb heisst das: Der Eintrittspunkt war nicht ein gesichertes Kernsystem, sondern Software am Rand, über die Mitarbeitende den Alltag organisieren. Solche Randstellen werden bei der Einführung von KI-Agenten oft übersehen. Wer KI-Agenten auf Firmendaten ansetzt, sollte die angebundenen Drittanbieter-Tools mit einbeziehen.

PipesHub 1.0.0: Leserechte als Standard

Das quelloffene Projekt PipesHub hat Version 1.0.0 veröffentlicht. Es ist eine selbst hostbare Alternative zu kommerziellen Unternehmenssuchen wie Glean (Lizenz: Apache 2.0, verfügbar auf GitHub). PipesHub verbindet Firmenwissen aus Slack, Jira, GitHub und Microsoft 365 über mehr als 50 Konnektoren.

Das Kernprinzip nennen die Entwickler «Permission-Aware Search»: Nutzer und KI-Assistenten sehen ausschliesslich die Daten, auf die sie Zugriffsrechte haben. Version 1.0.0 verschärft die Zugriffskontrollen weiter: Agenten sind auf ihr Toolset beschränkt, löschende Operationen brauchen ausdrückliche Freigabe, und SQL-Abfragen laufen standardmässig im Lesemodus. (Quelle: Heise Online, 28.10.2026)

Für einen Betrieb heisst das: Lese- statt Schreibrechte als Standard ist keine Einschränkung, sondern ein sinnvoller Ausgangspunkt. Ein Agent, der Daten lesen und zusammenfassen darf, braucht keine Berechtigung zum Löschen. Wer das so einrichtet, hat einen grossen Teil der Kontrolle von Anfang an.

Was das zusammen bedeutet

Drei Meldungen, ein gemeinsames Muster: KI-Agenten handeln mit geliehenen Berechtigungen. Die Kontrolle liegt bei denjenigen, die definieren, unter welchem Konto ein Agent läuft, was er sehen und tun darf, und wer auffälliges Verhalten bemerkt.

Ehrlich gesagt: Für viele kleine Betriebe im Berner Oberland sind KI-Agenten heute noch kein Tagesgeschäft. Wer noch keine solchen Systeme einsetzt, muss nichts überstürzen. Wer damit anfängt oder es ernsthaft erwägt, tut gut daran, die Berechtigungsfrage zuerst zu klären. Oft ist dabei der grösste Gewinn kein neues Sicherheitsprodukt, sondern saubere Berechtigungen, die ein Betrieb ohnehin braucht. Dafür braucht es uns nicht zwingend.

Welche Frage zu KI-Agenten beschäftigt dich bei dir im Betrieb am meisten?

Erstgespräch vereinbaren

Quellen:
– Exeon-Lösung erkennt auffälliges Verhalten von KI-Agenten (Netzwoche, 28.10.2026)
– KI-Agenten hacken Anthropic: Start-up findet über Drittanbieter-Software Zugang zu Slack und Gehaltsdaten (THE DECODER, 28.10.2026)
– KI-Agenten an der kurzen Leine: PipesHub durchsucht das Firmenwissen (Heise, 28.10.2026)