Hintergrund
Ein neuer Identitätstyp, ohne Arbeitsvertrag
Aus Sicht der Identitätsplattform ist ein KI-Agent einfach eine weitere Identität: Er hat Konten, Tokens und Zugriffe, und er handelt in Ihren Systemen. Der Unterschied ist das Tempo. Agenten werden in Minuten angelegt, beliebig kopiert, arbeiten rund um die Uhr – und haben kein Austrittsdatum, das die Zugriffe automatisch schließt.
Die meisten Organisationen können heute vier grundlegende Fragen nicht beantworten: Welche KI-Agenten haben wir? Wer ist für sie verantwortlich? Was können sie erreichen? Und wie hoch ist das Risiko? Es sind genau die Fragen, die IGA seit Jahren für Mitarbeitende und Servicekonten beantwortet – sie müssen nur an einen neuen Identitätstyp gestellt werden.
Prinzipien
Fünf IGA-Disziplinen, die auch für KI-Agenten gelten
- Eigentümerschaft: Jeder Agent hat einen benannten, verantwortlichen Eigentümer – keine herrenlosen Agenten.
- Lebenszyklus: Agenten werden über einen kontrollierten Prozess angelegt, geändert und stillgelegt, wie beim On- und Offboarding von Mitarbeitenden.
- Minimale Zugriffe: Der Agent bekommt nur die Zugriffe, die die Aufgabe erfordert – kein breites Servicekonto, weil es am einfachsten ist.
- Rezertifizierung: Zugriffe werden in festen Intervallen überprüft und mit dem abgeglichen, was der Agent tatsächlich nutzt.
- Nachvollziehbarkeit: Worauf der Agent Zugriff bekommen hat und warum, lässt sich dokumentieren, und kritische Aktionen erfordern menschliche Freigabe.
Die Anbieter reagieren bereits
Unsere beiden Produktpartner haben die Herausforderung angenommen. Omada hat im Juni 2026 Omada Agent Governance vorgestellt – eine Lösung, die KI-Agenten und nicht-menschliche Identitäten über Cloud-Plattformen hinweg findet, Eigentümerschaft zuweist, Zugriffe mit der tatsächlichen Nutzung abgleicht und die Dokumentation gegenüber Rahmenwerken wie der EU-KI-Verordnung, NIST AI RMF und ISO 42001 unterstützt.
Pointsharp geht die Aufgabe von der Zugriffsseite an: KI-Agenten werden als gesteuerte Identitäten mit Eigentümer, Lebenszyklus, Genehmigungsflows und minimalen Zugriffen behandelt, und Zugriffsrichtlinien werden durchgesetzt, bevor der Agent Anwendungen, APIs und MCP-Server erreicht. Kritische Aktionen bleiben unter menschlicher Kontrolle, mit Freigabeschritten und vollständigem Protokoll.
Die Richtung ist am Markt eindeutig: KI-Agenten sollen nicht in einem separaten Werkzeug daneben gesteuert werden – sie gehören in dieselbe Identity Governance wie der Rest der Organisation.
Wo sollten Sie anfangen?
Nicht mit einem neuen Produkt. Beginnen Sie mit dem Überblick: Welche Agenten und Servicekonten existieren bereits in Ihrer Umgebung, wem gehören sie, und welche Zugriffe haben sie? Für die meisten ist die Antwort unangenehm unklar, und das gilt in der Regel auch für die klassischen nicht-menschlichen Identitäten, die seit Jahren unter dem Radar fliegen.
Haben Sie bereits eine IGA-Plattform, ist das Fundament gelegt: Dieselben Prozesse für Eigentümerschaft, Genehmigung und Rezertifizierung lassen sich auf Agenten ausweiten. Haben Sie keine, sind die KI-Agenten ein weiterer Grund, die Identity Governance jetzt in Ordnung zu bringen – denn die Zahl der Identitäten wächst nur in eine Richtung.
Ist Ihre Identitätsplattform bereit für KI-Agenten?
Wir helfen, Ihre Identitäten zu erfassen – Menschen, Servicekonten und Agenten – und einen Governance-Plan aufzustellen, der trägt. Starten Sie mit einem IAM Maturity Assessment.
