Welchen Zugang bekommt der KI-Agent?

Ein Zugang kann mehr erlauben als der Auftrag

Im folgenden erfundenen Planungsfall soll ein Agent offene Rückfragen aus einem Projektpostfach sammeln und einen Antwortentwurf im Projektboard ablegen. Er braucht Zugriff auf die betreffenden Nachrichten und einen Ort für den Entwurf. Das allgemeine Benutzerkonto der Projektleitung könnte zusätzlich Personalunterlagen öffnen oder Nachrichten an Kunden versenden. Diese Befugnisse gehören nicht zu seiner Aufgabe.

Eine Anweisung im Gespräch, nur Entwürfe anzulegen, beschreibt das gewünschte Verhalten. Die angebundene Software muss die erlaubten Aktionen auch technisch begrenzen. Fragen Sie beim Anbieter deshalb nach den tatsächlich erteilten Rechten. Welche Postfächer und Projekte sind erreichbar? Lassen sich Lesen, Bearbeiten und Versenden getrennt vergeben? Wenn der Anschluss nur einen sehr breiten Zugriff unterstützt, ist das eine Eigenschaft des Produkts, die Ihre Entscheidung verändern kann.

Wer handelt im System?

Microsoft beschreibt für Entra Agent ID eigene Identitäten für KI-Agenten. Sie sollen unter anderem helfen, deren Aktionen von denen menschlicher Nutzer zu unterscheiden. Die Dokumentation behandelt sowohl eigenständigen Zugriff als auch Aktionen im Auftrag eines Nutzers. Das ist ein konkretes Herstellermodell; daraus folgt keine Pflicht, für jeden Assistenten ein zusätzliches menschliches Benutzerkonto anzulegen.

Für die Auswahl ist die Unterscheidung trotzdem brauchbar. Handelt der Agent mit eigenen Berechtigungen, müssen diese gepflegt werden. Nutzt er delegierte Rechte einer Person, muss erkennbar bleiben, in wessen Auftrag welche Aktion erfolgt. Lassen Sie sich die Zuordnung am gewählten Produkt zeigen. Ein Eintrag im Änderungsverlauf mit dem Namen der Projektleitung allein beantwortet noch nicht, ob diese Person oder der Agent den Termin verschoben hat.

Benennen Sie außerdem eine verantwortliche Person im Team. Eine technische Identität besitzt keine fachliche Zuständigkeit. Im Beispiel entscheidet die Projektleitung, welche Projekte der Agent bearbeiten darf; die Administration setzt die Rechte um. Bei Abwesenheit braucht beides eine Vertretung.

Rechte für die Aufgabe, Erweiterungen mit Anlass

In den Sicherheitsrichtlinien des Model Context Protocol, eines Protokolls zur Anbindung von Werkzeugen, ist die Begrenzung von Berechtigungen ausdrücklich vorgesehen. Die hier geprüfte Fassung vom 25. November 2025 empfiehlt einen knappen Ausgangsumfang und eine Erweiterung für konkret benötigte Operationen. Breite Sammelrechte und vorsorglich angeforderte Berechtigungen werden als problematisch beschrieben. Das gilt für MCP-Implementierungen und belegt nicht, dass jedes Agentenprodukt diese Regeln umsetzt.

Übertragen auf den Planungsfall lässt sich die Freigabe so beschreiben:

1. Nachrichten lesen: nur das benannte Projektpostfach, keine persönlichen Postfächer.
2. Entwürfe ablegen: nur im vorgesehenen Bereich des Projektboards; vorhandene Kundenfreigaben bleiben unberührt.
3. Antworten versenden oder Termine ändern: zunächst nicht erlaubt. Soll diese Aufgabe hinzukommen, werden ihr Nutzen und die benötigten Rechte gesondert geprüft.

Die Freigabe kann länger leben als das Gespräch

Microsoft weist beim Anmeldeprozess von Entra Agent ID darauf hin, dass eine Zustimmung die aufgeführten Zugriffe auch ohne erneute Nachfrage bei jedem Vorgang erlauben kann; konfigurierte Aufgaben können im Hintergrund laufen. Agent oder Berechtigungen lassen sich wieder entfernen beziehungsweise deaktivieren. Welche Stellen dafür zuständig sind, hängt vom Produkt und Ihrer Verwaltung ab.

Planen Sie deshalb eine Abnahme des Abschaltens ein. Der folgende Ablauf ist ein Vorschlag, kein von uns durchgeführter Produkttest: Lassen Sie den Agenten mit ungefährlichen Beispieldaten arbeiten, entziehen Sie anschließend den freigegebenen Zugang und versuchen Sie denselben Zugriff erneut. Dokumentieren Sie, was tatsächlich blockiert wird und welche weiteren Verbindungen bestehen.

Der Anbieter soll auch erklären, was mit bereits gestarteten Aufgaben und zuvor kopierten Daten geschieht. Ein gelöschter Chat ist für diese Fragen kein ausreichender Nachweis. Halten Sie fest, über welche Verwaltungsoberfläche die zuständige Person den Zugang beendet und wer das bei ihrer Abwesenheit übernehmen kann.

Was in die Planung für 2027 gehört

2027 ist hier Ihr Planungshorizont. Wir behaupten weder, dass dann jedes Team Agenten einsetzt, noch dass bis dahin ein einheitlicher Kontenstandard gilt. Die heutigen Dokumentationen liefern bereits konkrete Fragen für die Beschaffung: Identität, erlaubte Datenbereiche, ausführbare Aktionen und Widerruf lassen sich vor einer Einführung klären.

Lassen Sie die Abnahme mit einem tatsächlichen Änderungsprotokoll enden. Darin sollten die handelnde Identität, die betroffene Ressource und die ausgeführte Aktion zu erkennen sein. Die fachlich verantwortliche Person muss daraus etwa ablesen können, welcher Projekttermin geändert wurde. Kann der Anbieter weder die Rechte passend eingrenzen noch die letzte Aktion zuordnen, bleibt im beschriebenen Fall die Nutzung ohne diesen Systemzugang die bessere Wahl.