05.09.2025 AI Engineering 5 Minuten Lesezeit

Agent Governance: Identitäten für die nicht-menschliche Belegschaft

Agenten handeln — also brauchen sie verwaltete Identitäten. Dieser Artikel definiert Agenten-Identität, betrachtet Microsoft Entra Agent ID und das MCP-Autorisierungsmodell und beschreibt Least Privilege an der Tool-Grenze, delegationsbewusste Audit-Trails und die Entdeckung von Schatten-Agenten — einschließlich der Grenzen jeder Kontrolle und der Control Planes, die wir als Nächstes erwarten.

Agenten sind Mitarbeiter ohne Ausweis

Autonome Agenten eröffnen heute Pull Requests, triagieren Tickets und rufen interne APIs auf. Sie handeln — also halten sie Berechtigungen. Die meisten Organisationen betreiben sie dennoch mit geliehenen Zugangsdaten: dem OAuth-Token eines Entwicklers, einem geteilten Service-Konto, einem API-Schlüssel in einer Umgebungsvariablen. Der Akteur ist neu; das Identitätsmodell ist es nicht. Diese Lücke ist das Governance-Problem des Spätjahrs 2025.

Das Ausmaß ist messbar. CyberArks Identity Security Landscape 2025 zählt 82 Maschinenidentitäten pro menschlicher Identität und erwartet, dass KI 2025 zum größten Erzeuger neuer privilegierter Identitäten wird. Gartner prognostiziert, dass bis 2028 25 Prozent der Sicherheitsvorfälle in Unternehmen auf den Missbrauch von KI-Agenten zurückzuführen sein werden. Beide Zahlen entstanden vor den meisten produktiven Agenten-Deployments. Die Kurve zeigt in eine Richtung.

Nicht vertrauenswürdige Eingabe — Daten, keine Instruktionen. 1/4

Eine Identität für jeden nicht-menschlichen Akteur

Eine Agenten-Identität ist ein Verzeichnisobjekt, das vier Fragen beantwortet: Wer hat den Agenten erstellt, in wessen Auftrag handelt er, was darf er, und wann war er zuletzt aktiv. Sie ist kein Service-Konto. Ein Service-Konto repräsentiert eine feste Arbeitslast; eine Agenten-Identität repräsentiert einen delegierten Akteur, dessen Verhalten mit seinen Instruktionen variiert.

Microsoft lieferte am 19. Mai 2025 die erste breit verfügbare Umsetzung. Entra Agent ID, auf der Build als Public Preview angekündigt, weist jedem in Copilot Studio oder Azure AI Foundry erstellten Agenten automatisch eine Verzeichnisidentität zu. Die Agenten erscheinen im Entra Admin Center unter dem Anwendungstyp Agent ID (Preview). Die Preview liefert Inventar und Sichtbarkeit. Conditional Access, Mehrfaktor-Durchsetzung und Least-Privilege-Rollen für Agenten sind angekündigt, aber noch nicht allgemein verfügbar.

Identität allein ändert wenig. Der Wert entsteht, wenn Lebenszyklusprozesse daran anknüpfen: ein Verantwortlicher, der für den Agenten einsteht, ein Ablaufdatum, ein Review-Zyklus und Deprovisionierung, wenn das verantwortliche Team sich auflöst. Ein Agent ohne verantwortlichen Menschen ist kein Asset, sondern ein unbeaufsichtigter Prozess mit Zugangsdaten.

Least Privilege an der Tool-Grenze

Für einen Agenten materialisieren sich Berechtigungen an der Tool-Grenze, nicht in einer Rollendefinition. Die Revision des Model Context Protocol vom 18. Juni 2025 formalisiert das: MCP-Server agieren als OAuth-2.1-Resource-Server, Clients müssen Resource Indicators nach RFC 8707 senden, damit jedes Token an genau einen Server gebunden ist, und Token-Passthrough zwischen Servern ist ausdrücklich verboten. Die praktische Konsequenz: ein eng begrenztes, kurzlebiges Token pro Tool statt eines breiten Tokens pro Agent.

Begrenzte Tokens begrenzen den Schadensradius; den Missbrauch legitimer Berechtigungen verhindern sie nicht. Ein per Prompt Injection manipulierter Agent mit Lesezugriff auf ein Postfach liest das Postfach. Least Privilege für Agenten braucht deshalb eine zweite Achse: aufgabenbezogene Grants, die mit Abschluss der Aufgabe verfallen, und menschliche Bestätigung für irreversible Aktionen. Wir behandeln jeden stehenden Tool-Zugriff als Verbindlichkeit, bis er zeitlich begrenzt ist.

Audit-Trails mit Delegationskette

Klassische Audit-Logs erfassen Prinzipal, Aktion, Ressource und Zeitstempel. Für Agenten reicht das nicht, denn die interessante Frage lautet: warum. Ein brauchbarer Agenten-Audit-Trail erfasst die Delegationskette — Nutzer zu Agent zu Subagent zu Tool-Aufruf — sowie die auslösende Instruktion und die Modellausgabe, die die Aktion entschieden hat. Ohne diese Kette kann eine Incident-Analyse einen kompromittierten Agenten nicht von einem schlecht instruierten unterscheiden.

OWASPs Leitfaden Agentic AI Threats and Mitigations (Februar 2025) katalogisiert die Fehlermodi, die solche Logs abdecken müssen: Memory Poisoning, Tool-Missbrauch, Privilegien-Kompromittierung und kaskadierende Fehler in Multi-Agent-Systemen. Seien Sie präzise, was ein Trail leistet. Er ist forensisch, nicht präventiv. Er verkürzt Untersuchungen; er verhindert für sich genommen nichts.

Schatten-Agenten aufspüren

Schatten-Agenten sind Agenten, die niemand registriert hat: ein geplantes Skript mit einem LLM-API-Schlüssel, eine No-Code-Automation unter einem persönlichen Konto, eine Browser-Erweiterung, die auf einer angemeldeten Session agiert. Sie folgen dem bekannten Schatten-IT-Muster — jedoch mit Schreibzugriff, mit Autonomie und ohne Eintrag in irgendeinem Verzeichnis.

Die Entdeckung ist unglamourös und funktioniert: Prüfen Sie ausgehenden Verkehr auf Aufrufe bekannter Modell- und Tool-Endpunkte, scannen Sie Repositories und Vaults nach KI-Service-Zugangsdaten, prüfen Sie SaaS-Admin-Konsolen auf aktivierte Automationsfunktionen und gleichen Sie Ausgabendaten mit der Liste freigegebener Anbieter ab. Entra Agent ID automatisiert das nur für Agenten aus Microsofts beiden Buildern; alles andere bleibt im September 2025 eine manuelle Bestandsaufnahme.

Was diese Kontrollen nicht lösen

Governance-Kontrollen ergänzen sich; keine genügt allein. Die Tabelle fasst den ehrlichen Geltungsbereich jeder Kontrolle zusammen, wie er sich Ende 2025 darstellt. Wir nutzen sie, um vor dem Start eines Agenten-Programms Erwartungen zu setzen — denn eine überverkaufte Kontrolle wird zum Befund im nächsten Audit.

Die Tabelle ist zugleich das Argument für Schichtung. Keine einzelne Zeile beherrscht einen Agenten; erst die vier zusammen erzeugen Rechenschaft. Das Restrisiko — ein korrekt identifizierter, minimal berechtigter, vollständig protokollierter Agent, der überzeugend das Falsche tut — ist ein Modellverhaltensproblem. Identitätsinfrastruktur löst es nicht, und Anbieter, die anderes behaupten, verkaufen die falsche Schicht.

Kontrolle	Leistet	Leistet nicht
Agenten-Identität	Inventar, Ownership, Lebenszyklus	Korrektes Verhalten des Agenten
Begrenzte Tool-Tokens	Begrenzter Schadensradius pro Tool	Schutz vor Missbrauch erteilter Berechtigungen
Delegationsbewusster Audit-Trail	Forensik und Rechenschaft	Prävention in Echtzeit
Schatten-Agenten-Entdeckung	Sichtbarkeit unregistrierter Agenten	Abdeckung außerhalb überwachter Kanäle

Die kommenden Control Planes

Die Richtung ist im September 2025 sichtbar. Identitätsanbieter werden Agenten in das Workforce-IAM integrieren: Register, Joiner-Mover-Leaver-Prozesse und Conditional Access für nicht-menschliche Mitarbeiter. Microsoft hat genau diese Entwicklung für Entra angekündigt; die Partnerschaften mit ServiceNow und Workday deuten auf Agenten, die wie Mitarbeitende provisioniert werden. Wir erwarten, dass die großen IAM-Suiten im Laufe von 2026 Agenten-Register als Standardfunktion ausliefern.

Als Nächstes konvergiert die Protokollarbeit. MCP hat die Tool-Autorisierung auf OAuth 2.1 festgelegt. Googles A2A-Protokoll, im Juni 2025 an die Linux Foundation übergeben, adressiert Agent-zu-Agent-Kommunikation und wird dieselbe Identitätsstrenge benötigen. Das offene Problem ist die Delegation: Ein Standard-Token, das die vollständige Kette von Nutzer über Agent bis Tool trägt, existiert noch nicht. Token Exchange nach RFC 8693 ist das wahrscheinliche Substrat.

Unsere Prognose, klar formuliert: Innerhalb von zwei Jahren wird das Deployment eines unregistrierten Agenten so behandelt wie heute das eines unregistrierten Servers — als Richtlinienverstoß, nicht als Versehen. Organisationen, die das Inventar jetzt aufbauen, werden diesen Übergang als langweilig erleben. Langweilig ist das Ziel.