Der Einsatz K\u00fcnstlicher Intelligenz in Rath\u00e4usern, Stadtwerken und kommunalen Unternehmen geht l\u00e4ngst \u00fcber Textgenerierung und Chatbots hinaus. Immer mehr Verwaltungen, Eigenbetriebe und kommunale IT-Dienstleister pr\u00fcfen oder nutzen bereits sogenannte KI-Agenten, die eigenst\u00e4ndig auf Systeme zugreifen, Daten verarbeiten und Aktionen ausl\u00f6sen. Dass dieses Potenzial ein erhebliches Sicherheitsrisiko mitbringt, zeigt ein Vorfall aus dem vergangenen Jahr. Der US-Unternehmer Jason Lemkin testete einen KI-Coding-Agenten der Plattform Replit f\u00fcr die Entwicklung einer Anwendung. Obwohl er dem System ausdr\u00fccklich untersagt hatte, \u00c4nderungen vorzunehmen, l\u00f6schte der Agent eine komplette Produktionsdatenbank mit mehr als 2.400 Datens\u00e4tzen. Anschlie\u00dfend versuchte die KI, den Datenverlust zu verschleiern. Der Fall wurde in der IT-Sicherheitsbranche breit diskutiert.<\/p>\n\n\n\n
Jaber Kakar, Bereichsleiter Informationssicherheit bei der ML Gruppe<\/a>, beschreibt die Verschiebung so: Solange KI nur antworte, stehe die Qualit\u00e4t der Antwort im Vordergrund. Sobald KI handele, komme die Sicherheit der daraus folgenden Aktion hinzu. Die ML Gruppe, seit \u00fcber 35 Jahren exklusiver Bildungspartner der Bundeswehr und mit mehr als 400 Experten einer der f\u00fchrenden Bildungsdienstleister f\u00fcr Gro\u00dforganisationen, ber\u00e4t Unternehmen und \u00f6ffentliche Auftraggeber auch beim sicheren Einsatz von KI.<\/p>\n\n\n\n Der Unterschied zwischen einem klassischen Chatbot und einem KI-Agenten liegt im Handlungsspielraum. Ein Chatbot erzeugt auf eine Frage einen Text oder eine Empfehlung. Was damit geschieht, entscheidet der Mensch. Ein KI-Agent verfolgt dagegen ein vorgegebenes Ziel eigenst\u00e4ndig, greift daf\u00fcr auf Daten und Werkzeuge zu und f\u00fchrt Aktionen aus. Im kommunalen Umfeld hei\u00dft das etwa: automatisierte St\u00f6rungsbearbeitung im Netzbetrieb eines Stadtwerks, Ticket-Priorisierung in der IT, Abfragen an Fachverfahren in der Verwaltung oder die Vorbereitung von Beschlussvorlagen. In einer Kernverwaltung greift ein solcher Agent unter Umst\u00e4nden auf Melde-, Sozial- oder Ausl\u00e4nderdaten zu, im Stadtwerk auf Netzbetriebssysteme und Kundendatenbanken. Hat ein solcher Agent Zugriff auf produktive Systeme und die entsprechenden Berechtigungen, haben Fehler unmittelbare Konsequenzen.<\/p>\n\n\n\n Die internationale Sicherheitsgemeinschaft hat das erkannt. Im Mai 2026 ver\u00f6ffentlichten sechs nationale Cybersicherheitsbeh\u00f6rden unter Federf\u00fchrung der US-Beh\u00f6rde CISA das gemeinsame Leitliniendokument \u201eCareful Adoption of Agentic AI Services“. CISA, NSA, die britische, australische, kanadische und neuseel\u00e4ndische Cybersicherheitsbeh\u00f6rde forderten darin, KI-Agenten wie privilegierte Identit\u00e4ten zu behandeln und deren Zugriffe strikt nach dem Least-Privilege-Prinzip zu begrenzen. Es war die erste koordinierte multinationale Sicherheitsempfehlung, die sich gezielt an Betreiber agentischer KI-Systeme richtete, ausdr\u00fccklich auch an Betreiber kritischer Infrastruktur.<\/p>\n\n\n\n Im Juni 2026 folgte eine gemeinsame Warnung der Five-Eyes-Geheimdienstallianz, die weit \u00fcber agentische KI hinausging. Die Beh\u00f6rden erkl\u00e4rten, sogenannte Frontier-KI-Modelle ver\u00e4nderten die Bedrohungslage grundlegend und schneller als erwartet. Das Zeitfenster zwischen der Entdeckung einer Sicherheitsl\u00fccke und ihrer Ausnutzung werde durch KI drastisch verk\u00fcrzt.<\/p>\n\n\n\n Parallel dazu ver\u00f6ffentlichte die IT-Sicherheitsorganisation OWASP im Dezember 2025 erstmals eine eigene Top-10-Liste f\u00fcr agentische KI-Anwendungen. Mehr als 100 Fachleute hatten daran mitgearbeitet. Die OWASP-Liste katalogisiert die zehn kritischsten Sicherheitsrisiken, die entstehen, wenn KI-Systeme eigenst\u00e4ndig planen, auf Werkzeuge zugreifen, Entscheidungen treffen und mit anderen Agenten kommunizieren.<\/p>\n\n\n\n F\u00fcr Verwaltungen, Stadtwerke und kommunale Unternehmen sind vor allem vier der dort benannten Risiken relevant. Erstens: Manipulierte Inhalte oder Anweisungen, die das Verhalten eines Agenten gezielt ver\u00e4ndern. Zweitens: Der Missbrauch von Werkzeugen, auf die ein Agent zugreift, f\u00fcr andere als die vorgesehenen Zwecke. Drittens: Zu weitreichende Zugriffsrechte, die einem Agenten Zugang zu Daten oder Funktionen verschaffen, die er f\u00fcr seine eigentliche Aufgabe nicht braucht. Viertens: Fehler, die sich \u00fcber mehrere vernetzte Systeme fortsetzen, weil ein Agent falsche Informationen oder Aktionen an nachgelagerte Prozesse weitergibt.<\/p>\n\n\n\n Das Risiko eines KI-Agenten h\u00e4ngt deshalb nicht allein von der Leistungsf\u00e4higkeit des zugrundeliegenden Modells ab. Entscheidend sei, so Kakar, worauf der Agent zugreifen und was er dort ausl\u00f6sen k\u00f6nne. Berechtigungen, Zugriffsm\u00f6glichkeiten und Autonomie m\u00fcssten bereits vor dem produktiven Einsatz begrenzt werden.<\/p>\n\n\n\n Kakar empfiehlt sechs Schutzma\u00dfnahmen. Ein zentrales Inventar aller aktiven KI-Agenten verschaffe \u00dcberblick dar\u00fcber, wer verantwortlich sei und welche Zugriffe best\u00fcnden. Die konsequente Vergabe nur der tats\u00e4chlich ben\u00f6tigten Rechte verhindere, dass ein Agent auf Daten oder Funktionen zugreife, die \u00fcber seine Aufgabe hinausgingen. Technische Leitplanken, sogenannte Guardrails, setzten Grenzen f\u00fcr das Verhalten eines Agenten, etwa durch Aktionslimits oder Freigabeschwellen. F\u00fcr kritische oder nicht r\u00fcckg\u00e4ngig zu machende Aktionen empfehle sich eine menschliche Freigabe, ein Human-in-the-loop. Logging und Monitoring machten nachvollziehbar, welche Werkzeuge ein Agent aufgerufen, auf welche Daten er zugegriffen und welche Aktionen er ausgef\u00fchrt habe. Und f\u00fcr den Fall, dass ein Agent unerwartet handele, geh\u00f6re ein Notfallplan in die bestehende Incident Response, einschlie\u00dflich der M\u00f6glichkeit, einen Agenten sofort zu deaktivieren.<\/p>\n\n\n\n In Verwaltungen mit Zugang zu sensiblen personenbezogenen Daten und in Stadtwerken mit Zugriff auf Versorgungsnetze oder KRITIS-relevante Prozesse wiegen die Folgen einer Fehlkonfiguration besonders schwer. Ein Agent, der in einer Ausl\u00e4nderbeh\u00f6rde Vorg\u00e4nge falsch zuordnet, oder ein Agent, der im Netzbetrieb eine St\u00f6rungsmeldung eigenst\u00e4ndig in eine System\u00e4nderung \u00fcbersetzt, betrifft im Zweifel unmittelbar den laufenden Betrieb und die betroffenen B\u00fcrgerinnen und B\u00fcrger.<\/p>\n\n\n\n Technische Schutzma\u00dfnahmen allein reichen nach Kakars Einsch\u00e4tzung allerdings nicht aus. Verantwortliche m\u00fcssten einsch\u00e4tzen, welche Autonomie f\u00fcr einen konkreten Anwendungsfall vertretbar sei, wann menschliche Kontrolle notwendig werde und wie bei einem Vorfall zu reagieren sei. Die ML Gruppe unterst\u00fctzt Unternehmen und \u00f6ffentliche Auftraggeber dabei mit Weiterbildungen zu KI, Informationssicherheit und Cyber Defence. Aus der Zusammenarbeit mit der Bundeswehr, f\u00fcr die die Gruppe unter anderem die kompetenzorientierte Ausbildung von rund 10.000 Soldatinnen und Soldaten getragen hat, bringt sie Erfahrung im Umgang mit sicherheitskritischen Umgebungen mit. (DEKOM, 19.10.2026) ML-Magazin-Artikel hier…<\/a><\/p>\n","protected":false},"excerpt":{"rendered":" Der Einsatz K\u00fcnstlicher Intelligenz in Rath\u00e4usern, Stadtwerken und kommunalen Unternehmen geht l\u00e4ngst \u00fcber Textgenerierung und Chatbots hinaus. Immer mehr Verwaltungen, Eigenbetriebe und kommunale IT-Dienstleister pr\u00fcfen oder nutzen bereits sogenannte KI-Agenten, die eigenst\u00e4ndig auf Systeme zugreifen, Daten verarbeiten und Aktionen ausl\u00f6sen. Dass dieses Potenzial ein erhebliches Sicherheitsrisiko mitbringt, zeigt ein Vorfall aus dem vergangenen Jahr. Der […]<\/p>\n","protected":false},"author":4,"featured_media":0,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[1],"tags":[],"class_list":["post-9640","post","type-post","status-publish","format-standard","hentry","category-allgemein"],"_links":{"self":[{"href":"https:\/\/infosilo.info\/dekom\/wp-json\/wp\/v2\/posts\/9640","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/infosilo.info\/dekom\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/infosilo.info\/dekom\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/infosilo.info\/dekom\/wp-json\/wp\/v2\/users\/4"}],"replies":[{"embeddable":true,"href":"https:\/\/infosilo.info\/dekom\/wp-json\/wp\/v2\/comments?post=9640"}],"version-history":[{"count":1,"href":"https:\/\/infosilo.info\/dekom\/wp-json\/wp\/v2\/posts\/9640\/revisions"}],"predecessor-version":[{"id":9641,"href":"https:\/\/infosilo.info\/dekom\/wp-json\/wp\/v2\/posts\/9640\/revisions\/9641"}],"wp:attachment":[{"href":"https:\/\/infosilo.info\/dekom\/wp-json\/wp\/v2\/media?parent=9640"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/infosilo.info\/dekom\/wp-json\/wp\/v2\/categories?post=9640"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/infosilo.info\/dekom\/wp-json\/wp\/v2\/tags?post=9640"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}