KI-Agenten sicher in bestehende Systeme integrieren: MCP, Freigaben und Risiken

Kurz zusammengefasst: KI-Agenten können Informationen aus freigegebenen Unternehmenssystemen verarbeiten, Arbeitsschritte vorbereiten und klar begrenzte Aktionen ausführen. Das Model Context Protocol, kurz MCP, stellt dafür eine standardisierte Verbindung zwischen KI-Anwendungen, Datenquellen und Werkzeugen bereit. Für kleine Unternehmen und den Mittelstand ist jedoch nicht maximale Autonomie entscheidend, sondern ein kontrollierter Prozess mit Minimalberechtigungen, Freigaben, Protokollierung und menschlicher Verantwortung.

KI-Agenten als kontrollierte Prozesskomponente

Ein klassischer Chatbot beantwortet meist eine einzelne Frage auf Grundlage des bereitgestellten Gesprächskontexts. Ein KI-Agent erhält dagegen ein Ziel und kann daraus mehrere Arbeitsschritte ableiten. Er kann beispielsweise Informationen suchen, Daten aus einem System lesen, Ergebnisse vergleichen, einen Entwurf erstellen und anschließend auf eine Freigabe warten.

Der Begriff Agent beschreibt dabei keine selbstständige Unternehmensleitung. Gemeint ist ein Softwaresystem, das ein KI-Modell mit Werkzeugen, Datenquellen und festgelegten Arbeitsabläufen verbindet. Wie weit es handeln darf, wird technisch und organisatorisch bestimmt. Ein Agent sollte deshalb als Teil eines kontrollierten Prozesses betrachtet werden.

Lesen: Informationen aus Dokumenten, Datenbanken oder Geschäftsanwendungen abrufen.
Verarbeiten: Inhalte zusammenfassen, klassifizieren, vergleichen oder in eine vorgegebene Struktur bringen.
Vorbereiten: Entwürfe, Aufgaben, Auswertungen oder Entscheidungsvorlagen erstellen.
Handeln: Eine definierte Aktion auslösen, sofern Berechtigungen und Freigaben dies erlauben.

MCP als standardisierte Verbindung zu Daten und Werkzeugen

Das Model Context Protocol ist ein offener Standard, mit dem KI-Anwendungen an externe Systeme angebunden werden können. Dazu gehören beispielsweise Dateien, Datenbanken, Suchdienste, Kalender, Geschäftsanwendungen und spezialisierte Arbeitsabläufe. Die KI-Anwendung ist dabei der Client; ein MCP-Server stellt bestimmte Daten oder Funktionen kontrolliert zur Verfügung.

Der praktische Vorteil liegt in einer gemeinsamen Schnittstelle. Ein MCP-Server kann gezielt definierte Werkzeuge anbieten, etwa das Lesen einer Kundendatei, das Suchen in einer Wissensdatenbank oder das Erstellen eines Aufgabenentwurfs. Dadurch kann eine KI-Anwendung verschiedene Systeme nach einem einheitlichen Prinzip ansprechen.

MCP ist keine automatische Sicherheitsfreigabe und kein Ersatz für eine saubere Systemarchitektur. Der Standard regelt die Verbindung, aber nicht allein die fachliche Richtigkeit der Daten, die Qualität der Berechtigungen oder die Verantwortung für ausgelöste Aktionen. Diese Punkte müssen zusätzlich gestaltet und geprüft werden.

MCP-Client: die KI-Anwendung oder ein Agent, der Werkzeuge aufruft.
MCP-Server: die kontrollierte Schnittstelle zu Daten oder Funktionen.
Tool: eine konkret definierte Funktion, zum Beispiel Suchen, Lesen oder Erstellen.
Freigabe: eine menschliche oder technische Kontrolle vor einer risikoreichen Aktion.

Ein sicherer Pilot mit Minimalberechtigungen

Ein guter Einstieg ist ein klar abgegrenzter Prozess mit wiederkehrenden Eingaben und einem überprüfbaren Ergebnis. Geeignet sind beispielsweise die Vorsortierung eingehender Anfragen, die Zusammenfassung von Servicefällen, die Aufbereitung von Projektdokumenten oder die Erstellung eines Entwurfs aus vorhandenen Daten.

Der Agent sollte möglichst nicht mit einem allgemeinen Vollzugriff arbeiten. Besser ist eine kleine Zahl präziser Werkzeuge mit eindeutigen Eingaben und Ausgaben. Ein Agent, der E-Mails zusammenfasst, benötigt keinen Versand- oder Löschzugriff. Ein Agent, der eine Bestellung vorbereitet, sollte keine Bestellung ohne Freigabe auslösen.

Für jeden Ablauf gehören ein fachlicher Eigentümer, ein definiertes Ziel, zulässige Datenquellen, ein Fehlerweg und ein Protokoll dazu. Besonders bei personenbezogenen, finanziellen, rechtlichen oder sicherheitsrelevanten Inhalten müssen Datenflüsse und Aufbewahrung nachvollziehbar sein. Die Ergebnisse sollten abhängig vom Risiko stichprobenartig oder vollständig geprüft werden, bevor der Prozess in größerem Umfang eingesetzt wird.

Prozess auswählen und Ziel messbar beschreiben.
Datenquellen und zulässige Werkzeuge festlegen.
Berechtigungen auf das notwendige Minimum beschränken.
Testfälle mit normalen, fehlerhaften und manipulierten Eingaben durchführen.
Freigaben, Protokollierung und Rückfallverfahren einrichten.

Apps und Integrationen fachlich einordnen

Eine Geschäftsanwendung kann einen Agenten im Hintergrund einsetzen oder eine Oberfläche für den Zugriff auf einen Agenten bereitstellen. Aus der Bezeichnung App lässt sich jedoch noch nicht ableiten, welche Fähigkeiten oder Risiken tatsächlich bestehen. Entscheidend sind die angebundenen Datenquellen, die verfügbaren Werkzeuge und die möglichen Aktionen.

Für ein kleines Unternehmen kann das bedeuten, dass ein Mitarbeiter eine Frage zu einem Projekt stellt und der Agent freigegebene Dokumente, Aufgaben und Statusinformationen zusammenführt. In einer anderen Anwendung kann der Agent einen Entwurf für eine Antwort erzeugen, die der Mitarbeiter vor dem Versand prüft. Der Nutzen entsteht durch einen definierten Prozess und die kontrollierte Verbindung vorhandener Systeme, nicht durch die App-Bezeichnung allein.

Apps und MCP-Server aus unbekannten Quellen sollten wie fremde Software behandelt werden. Vor der Nutzung sind Herkunft, Wartung, Berechtigungsumfang, Authentifizierung, Protokollierung und Datenverarbeitung zu prüfen. Ein attraktiver Funktionsumfang rechtfertigt keinen unklaren Zugriff auf interne Daten.

Nur freigegebene Apps und Server in der Unternehmensumgebung zulassen.
Anmeldungen, Tokens und Geheimnisse getrennt verwalten.
Zugriffe je Benutzer, Rolle und Zweck begrenzen.
Änderungen an Integrationen versionieren und regelmäßig überprüfen.

Risiken: Kontrolle vor maximaler Autonomie

Ein KI-Agent kann plausible, aber falsche Ergebnisse erzeugen. Zusätzlich können manipulierte Inhalte aus E-Mails, Dokumenten oder Webseiten seine Arbeitsweise beeinflussen. Bei indirekten Prompt-Injection-Angriffen steckt die schädliche Anweisung nicht in der direkten Benutzereingabe, sondern in einem verarbeiteten Inhalt.

Ein weiteres Risiko ist übermäßige Handlungsfähigkeit. Zu viele Werkzeuge, zu weitgehende Berechtigungen oder fehlende Freigaben können dazu führen, dass ein Fehler unmittelbar in einem Zielsystem wirksam wird. Mögliche Folgen sind falsche Datenänderungen, unerwünschte Nachrichten, Datenabfluss oder die Löschung von Informationen.

Sicherheitskontrollen dürfen deshalb nicht allein dem Sprachmodell überlassen werden. Berechtigungen müssen im Zielsystem durchgesetzt werden. Hochwirksame Aktionen brauchen eine bestätigte Freigabe. Protokolle, Überwachung und Begrenzungen für Häufigkeit und Umfang helfen, Fehler früh zu erkennen und Schäden zu begrenzen.

Für Unternehmen in der Europäischen Union ist zusätzlich zu prüfen, ob und welche Anforderungen des jeweils anwendbaren Rechts gelten. Der AI Act, Verordnung (EU) 2024/1689, enthält in Artikel 50 unter anderem Transparenzpflichten für bestimmte KI-Systeme: Je nach Fall müssen betroffene Personen darüber informiert werden, dass sie mit einem KI-System interagieren, künstlich erzeugte oder manipulierte Inhalte müssen gekennzeichnet werden oder der Einsatz muss offengelegt werden. Ob diese Anforderungen auf einen konkreten Agenten, dessen Betreiberrolle und den jeweiligen Anwendungsfall zutreffen, hängt unter anderem von Systemfunktion, Inhalt, Zweck und Einsatzkontext ab. Die rechtliche Einordnung sollte daher anhand des konkreten Systems geprüft werden. Eine technische Integration ersetzt keine Datenschutz-, Compliance- oder Rechtsprüfung.

Keine pauschalen Administratorrechte für Agenten.
Schreib-, Versand-, Zahlungs- und Löschaktionen gesondert absichern.
Eingaben und Ausgaben validieren; externe Inhalte als nicht vertrauenswürdig behandeln.
Protokollieren, wer welchen Agenten mit welchen Rechten genutzt hat.
Bei hohem Risiko eine menschliche Freigabe als verbindlichen Prozessschritt vorsehen.

Ein pragmatischer Einführungsweg

Für kleine Unternehmen und den Mittelstand ist ein begrenzter Pilot meist sinnvoller als ein unternehmensweiter Agent mit unklarer Aufgabenbeschreibung. Zuerst wird ein Prozess mit überschaubarem Risiko dokumentiert. Danach werden Datenquellen, Rollen, Werkzeuge und Freigabepunkte festgelegt.

Im Test sollten auch absichtlich falsche, widersprüchliche und manipulierte Inhalte vorkommen. Wichtig ist nicht nur, ob der Agent im Normalfall funktioniert, sondern ob er bei Unsicherheit stoppt, keine unzulässigen Daten verwendet und keine Aktion ohne Berechtigung ausführt.

Nach dem Pilotbetrieb werden Treffer, Fehler, Bearbeitungszeit, Nacharbeit und Sicherheitsereignisse bewertet. Erst wenn diese Kriterien nachvollziehbar erfüllt sind, sollte der Anwendungsbereich erweitert werden. Die Verantwortung bleibt beim Unternehmen und seinen benannten Prozessverantwortlichen.

Mit Lesen und Entwürfen beginnen, nicht mit irreversiblen Aktionen.
Erfolg anhand von Qualität, Nacharbeit, Sicherheit und Nachvollziehbarkeit bewerten.
Änderungen an Modell, App, MCP-Server oder Berechtigungen erneut testen.
Ein Abschalt- und Wiederanlaufverfahren dokumentieren.

Beispiel aus der Praxis

Beispiel: Ein mittelständischer technischer Dienstleister erhält täglich Anfragen per E-Mail und über ein Ticketsystem. Ein interner Agent darf die freigegebenen Ticketdaten und technische Wissensartikel lesen. Er ordnet neue Vorgänge einer Kategorie zu, erkennt fehlende Angaben und erstellt einen Antwortentwurf. Der Versand bleibt beim zuständigen Mitarbeiter. Der Agent darf keine Tickets löschen, keine Priorität endgültig ändern und keine externen Empfänger anschreiben. Jeder Entwurf enthält die verwendeten Vorgänge und Wissensartikel als nachvollziehbare Referenz. Bei widersprüchlichen Angaben markiert der Agent den Vorgang zur manuellen Prüfung. Dieser Ablauf nutzt Automatisierung, ohne die fachliche Verantwortung oder die Kommunikationshoheit an das System zu übertragen.

Chancen für Unternehmen

Routineanfragen vorsortieren und fehlende Informationen sichtbar machen.
Unternehmenswissen aus freigegebenen Dokumenten schneller auffindbar machen.
Projekt-, Service- oder Vertriebsinformationen für Besprechungen zusammenführen.
Entwürfe für E-Mails, Aufgaben, Berichte und Entscheidungsvorlagen erstellen.
Mehrere Anwendungen über definierte Werkzeuge verbinden, ohne für jede Kombination eine individuelle Bedienlogik zu entwickeln.
Mitarbeiter bei wiederkehrenden Analysen unterstützen, während Freigaben und fachliche Entscheidungen beim Unternehmen bleiben.

Grenzen und Prüfpunkte

Ein Agent garantiert keine sachlich richtigen Ergebnisse; Ergebnisse müssen passend zum Risiko geprüft werden.
MCP standardisiert Verbindungen, löst aber weder Datenschutz, Berechtigungsdesign noch fachliche Datenqualität automatisch.
Externe Inhalte können manipulative Anweisungen enthalten und müssen als potenziell nicht vertrauenswürdig behandelt werden.
Zu umfangreiche Werkzeuge oder Rechte vergrößern die mögliche Schadenswirkung eines Fehlers.
Produktive Schreib-, Versand-, Zahlungs- oder Löschaktionen sollten nur mit klarer Autorisierung, Protokollierung und gegebenenfalls menschlicher Freigabe möglich sein.
Die rechtliche Bewertung hängt vom konkreten Einsatz ab; Datenschutz, Geheimhaltung, Aufbewahrung, Transparenzpflichten nach dem jeweils anwendbaren Recht und insbesondere der konkrete Anwendungsbezug des AI Acts sind separat zu prüfen.
Die Verfügbarkeit, Qualität und Sicherheitslage einzelner Apps, Modelle und MCP-Server kann sich ändern. Integrationen benötigen daher laufende Pflege und erneute Tests.