8 von 10 Unternehmen bringen KI-Agenten ohne Basiskontrollen in Produktion. Das Go-Live-Gate fehlt.

Die Demo lief makellos. Der Agent las die Anfrage, durchsuchte die Dokumente, formulierte die Antwort, versandte die E-Mail. Der Raum applaudierte. Jemand sagte: „Lass uns das nächste Woche live schalten."

Die Frage, die niemand im Raum stellte: Was kann dieser Agent am Montagmorgen um 9:14 Uhr tun, wenn er eine Anfrage erhält, die während der Tests niemand gesehen hat?

Das ist nicht rhetorisch. Es ist die eine Frage, die eine Demo von einem Produktionssystem trennt. Und laut den Daten aus 2026 ist es eine Frage, die die meisten Organisationen vor dem Go-Live nicht beantwortet haben.

Die Zahlen: die Lücke zwischen Zuversicht und Realität

Der Bericht State of AI Agent Security 2026 hat genau diesen Moment gemessen — was im Unternehmen existiert, bevor ein Agent Zugriff auf echte Systeme erhält.

Übersetzt: Ein erheblicher Teil der Agentenflotte gelangt routinemäßig ohne angemessene Kontrollen in Produktion. Aufschlussreicher ist, woraus diese Kontrollen konkret bestehen. Auf die Frage, was vor dem Go-Live eines Agenten vorhanden ist, antworteten die Organisationen wie folgt — keine einzige Kontrolle wird von auch nur 40 % von ihnen eingesetzt:

• Benannte Person, verantwortlich für das Verhalten des Agenten — 37,8 %
• Sicherheitsprüfung durch IT oder CISO — 35 %
• Ein Plan, wie der Agent sensible Daten verarbeitet — 33 %
• Datenzugriffskontrollen speziell für diesen Agenten — 32 %
• Definierter Umfang dessen, worauf der Agent zugreifen darf — 30,5 %

Lesen Sie die letzte Zeile noch einmal. Weniger als ein Drittel der Organisationen hat vor dem Go-Live ausdrücklich definiert, worauf der Agent zugreifen darf.

Der Bericht nennt das „die sich weitende Lücke zwischen Zuversicht und Realität": Die Agentenflotten haben sich seit Dezember 2025 etwa verdoppelt, das Vertrauen in die Sicherheit ist gestiegen, doch Monitoring-Abdeckung, Verantwortungsstrukturen und Pre-Deployment-Kontrollen haben sich kaum bewegt.

Die Kosten sind bereits sichtbar. IBMs Bericht Cost of a Data Breach 2026 zeigt, dass etwa eine von fünf Organisationen eine Verletzung ihrer KI-Modelle oder -Anwendungen gemeldet hat — und 92 % davon verfügten nicht über angemessene KI-Zugriffskontrollen.

Der Unterschied zwischen „läuft in der Demo" und „produktionsreif"

Ein Agent ist produktionsreif, wenn drei Dinge gleichzeitig zutreffen: seine Berechtigungen sind auf das Nötigste begrenzt, ein Mensch kann ihn mitten in einer Aktion stoppen, und jede Aktion wird dort protokolliert, wo tatsächlich jemand hinsieht. Fehlt eines der drei, ist der Agent nicht bereit. Egal wie gut die Demo lief.

Ein demo-reifer Agent bewältigt die Szenarien, die man ihm beim Testen gezeigt hat. Ein produktionsreifer Agent hat dokumentierte Berechtigungsgrenzen, einen funktionierenden Kill Switch und ein Monitoring, das ihn dabei erwischen würde, wenn er außerhalb seines vorgesehenen Rahmens handelt — auch in Szenarien, an die niemand zum Testen gedacht hat.

Ein Agent, der eine Demo besteht, kann in Produktion die falsche E-Mail an den falschen Kunden senden oder eine API so lange aufrufen, bis ein Monatsbudget aufgebraucht ist. Nicht weil er schlecht gebaut ist, sondern weil die Realität Fälle enthält, die kein Test berührt hat.

Das Go-Live-Gate: Was vorher gelten muss

Das ist kein Richtliniendokument. Es ist eine Liste überprüfbarer technischer Bedingungen, die erfüllt sein müssen, bevor der Agent Schreibrechte erhält.

1. Umfang technisch definiert, nicht deklarativ. Nicht „der Agent sollte nicht auf das HR-System zugreifen", sondern: Die Verbindung zum HR-System existiert in der Konfiguration des Agenten nicht. Der Unterschied zwischen einer Regel und einer Architektur ist der Unterschied zwischen einer Hoffnung und einer Garantie.
2. Berechtigungen pro Agent, nicht pro Team. Jeder Agent hat eine eigene Identität und eigene Zugangsdaten, unabhängig widerrufbar. Kein gemeinsames Dienstkonto, das von drei Automatisierungen genutzt wird.
3. Ein getesteter Kill Switch — auch mitten in einer Aktion. Die richtige Frage ist nicht „Haben wir einen Stopp-Knopf?", sondern „Funktioniert der Knopf, wenn der Agent mitten in einem Aufruf an ein externes System steckt?" Das sind zwei verschiedene Dinge.
4. Ein definierter Rückfallpfad. Wenn der Agent scheitert, was passiert dann? Lautet die Antwort „eine Fehlermeldung ohne nächsten Schritt", hat das System eine strukturelle Lücke. Der Rückfallpfad wird vor dem Start definiert, nicht nach dem ersten Vorfall.
5. Gestaffelter Rollout, kein einzelner Schalter. Der Agent läuft zunächst auf echtem Traffic, wobei seine Aktionen nur in ein Log geschrieben werden — ohne Wirkung. Dann erhält er einen kleinen Anteil der Anfragen, während der alte Pfad parallel läuft. Die Ausweitung folgt Belegen, nicht Begeisterung.
6. Ein Name auf der Liste. Eine Person, die für das Verhalten des Agenten verantwortlich ist, benannt vor dem Go-Live. Nicht „das IT-Team". Ein Mensch.
7. Logs, die tatsächlich jemand liest. Ein Audit-Trail, den niemand öffnet, ist keine Kontrolle. Es ist ein Archiv.

Warum die Reihenfolge zählt

Governance, die nachträglich auf ein bereits produktives System aufgesetzt wird, kostet eine Größenordnung mehr als Governance, die vor der Skalierung gebaut wurde. In regulierten Umgebungen verzögert Nachrüstung die Produktion um Monate.

Der Grund ist einfach: Zugriffskontrollen, Identität pro Agent und Protokollierung sind keine Funktionen, die man am Ende hinzufügt. Es sind Architekturentscheidungen. Sie zu ändern, nachdem der Agent läuft, bedeutet, die Schichten darunter neu zu bauen.

Der Kontext macht die Frage dringend. Microsoft hat im Oktober den Rollout von Work IQ begonnen, das Copilot und autonome Agenten direkt mit Live-Geschäftsdaten in Dynamics 365 und Power Platform verbindet — und die ausdrückliche Empfehlung in den Rollout-Hinweisen lautet, Agentenberechtigungen und Erfolgskennzahlen vor der Aktivierung auf Produktionsdaten zu entwerfen.

Wie wir bauen

Bei Visual AI Labs ist das Go-Live-Gate kein Prozessschritt, den wir durchführen, wenn Zeit bleibt. Es ist Teil der Architektur, ab der ersten Codezeile.

• Technische Zugriffsgrenzen. Braucht der Agent ein System nicht, existiert die Verbindung nicht — sie ist nicht bloß in einem Dokument untersagt.
• Eine eigene Identität pro Agent. Getrennt, unabhängig widerrufbar, mit auf das Nötigste begrenzten Berechtigungen.
• Ein an realen Szenarien getesteter Kill Switch, bekannt bei mindestens zwei Personen in Ihrer Organisation.
• Vollständige Audit-Trails, bei denen jede Aktion vor der Ausführung protokolliert wird — worauf zugegriffen, was entschieden, was ausgeführt wurde, wann.
• Eskalation vor dem Start definiert, nicht improvisiert nach dem ersten Fall, den der Agent nicht bewältigen konnte.
• Gestaffelter Rollout, mit Parallelbetrieb und evidenzbasierter Ausweitung.

Daten in der EU, DSGVO- und AI-Act-Konformität von Anfang an eingeplant, langfristig wartbarer Code. Wir liefern schnell — ohne die Systeme zu ersetzen, die bei Ihnen bereits funktionieren.

Wenn Sie einen Agenten haben, der bald in Produktion geht

Die Frage ist nicht, ob Ihr System sicher ist. Sie lautet, ob Sie jetzt drei Dinge beantworten können: worauf der Agent zugreifen darf, wer ihn stoppen kann und wo jemand ansieht, was er getan hat.

Lautet eine Antwort „das müsste ich nachsehen", lohnt sich ein Gespräch vor dem Go-Live, nicht danach. Schreiben Sie uns auf der Kontaktseite mit einer kurzen Beschreibung des Agenten und der Systeme, auf die er Zugriff hätte. Wir melden uns mit einer ehrlichen Einschätzung dessen, was wir zuerst prüfen würden.

Schreiben Sie uns auf der Kontaktseite →

Verifizierte Quellen: Gravitee — The State of AI Agent Security 2026 (April 2026); IBM — Cost of a Data Breach Report 2026; AI Agent Store — AI Agents News, Woche vom 13. Okt. 2026 (Microsoft Work IQ); Superblocks — AI Agent Deployment Best Practices 2026; AY — AI Agent Production-Readiness Audit Checklist (2026).