KI-Agenten zur Laufzeit absichern: Was eine gültige Anmeldung nicht regelt

Warum reicht eine gültige Anmeldung nicht?

KI-Agenten arbeiten nicht nur mit Text. Coding-Agenten wie Claude Code von Anthropic oder Codex von OpenAI lesen Dateien, führen Befehle aus, rufen Schnittstellen auf und ändern Code. Sie tun das mit den Rechten der Person, die sie gestartet hat, oft auf deren Arbeitsplatzrechner.

Die Anmeldung beantwortet nur eine Frage: Darf dieser Zugang das grundsätzlich? Ob eine einzelne Aktion zur Aufgabe passt, beantwortet sie nicht. Ein Agent kann korrekt angemeldet sein, ein freigegebenes Werkzeug nutzen und trotzdem etwas tun, das niemand wollte: eine Datei mit Zugangsdaten auslesen, ein Verzeichnis löschen oder Daten an eine fremde Adresse schicken, etwa weil eine präparierte Webseite ihm das nahegelegt hat.

Was ist Laufzeitschutz?

Laufzeitschutz setzt an der Stelle an, an der ein Agent ein Werkzeug aufruft. Vor jeder Ausführung prüft er:

Frage	Beispiel
Wer handelt?	welcher Agent, für welche Person
Was soll passieren?	Befehl ausführen, Datei lesen, Schnittstelle aufrufen
Worauf zielt die Aktion?	Verzeichnis, System, Adresse im Netz
Passt das zur Aufgabe?	Code für Projekt A ändern, nicht Zugangsdaten von Projekt B lesen

Je nach Regel wird der Aufruf erlaubt, gesperrt oder gemeldet. Jede Entscheidung wird protokolliert, damit sich später nachvollziehen lässt, was ein Agent getan hat und warum. Als Bezugsrahmen für Risiken dienen etwa die Sammlungen von OWASP zu generativer KI und MITRE ATLAS.

Wie arbeitet Kontext?

Kontext ist eine Sicherheitsplattform für KI-Agenten der CoBrowser Technology GmbH aus München, gegründet von Jens Ernstberger und Michel Osswald. Im September 2026 hat das Unternehmen eine Finanzierung von 4 Mio. US-Dollar bekannt gegeben, angeführt von 42CAP, mit a16z CSX und dem High-Tech Gründerfonds.

Nach Angaben des Anbieters:

• Agenten finden: Kontext erkennt KI-Agenten auf Arbeitsplatzrechnern und zeigt, worauf sie zugreifen können.
• Regeln zur Laufzeit: Für Claude Code und Codex prüft Kontext jeden Werkzeugaufruf vor der Ausführung, über Schnittstellen, die diese Agenten dafür anbieten. Weitere Agenten erkennt es, ohne sie zu steuern.
• Erst beobachten, dann sperren: Im Beobachtungsmodus zeigt Kontext, was gesperrt würde. Sperren lässt es sich einschalten, wenn die Regeln passen.
• Protokoll und Übersicht: Jede Entscheidung wird festgehalten, dazu kommen eine Risikobewertung und eine Übersicht über die Kosten der Agenten.
• Betrieb: Ein Programm auf dem Rechner prüft die Aufrufe lokal; es steht unter der MIT-Lizenz auf GitHub. Verwaltung und Übersicht laufen in einem Dienst des Anbieters. Unterstützt wird derzeit macOS.
• Preise: eine kostenlose Stufe, eine Stufe für Teams und ein Angebot für große Organisationen, veröffentlicht auf der Website.

Wo der Dienst betrieben wird und welche Nachweise vorliegen, nennt der Anbieter auf Anfrage.

Was sollten Häuser vor dem Einsatz von Agenten klären?

1. Bestand kennen: Welche Agenten laufen bereits auf Rechnern im Haus, oft ohne zentrale Freigabe? Das ist dieselbe Frage wie bei Schatten-IT.
2. Aufgaben festlegen: Wofür dürfen Agenten eingesetzt werden, und wofür nicht?
3. Zugriffe begrenzen: Agenten nur in Verzeichnissen und Systemen arbeiten lassen, die die Aufgabe braucht; Zugangsdaten nicht im Klartext ablegen.
4. Regeln erst beobachten: Regeln zunächst nur melden lassen und an der Praxis ausrichten.
5. Protokoll auswerten: Wer liest das Protokoll, und was passiert bei einem Treffer? Das gehört in das Informationssicherheits-Management, siehe Audit-Logs und Nachvollziehbarkeit.
6. Datenschutz prüfen: Welche Inhalte der Aufrufe gehen an einen Dienst außerhalb des Rechners, und wo wird er betrieben?

Wie ist das bei basebox?

basebox ist eine KI-Plattform, kein Laufzeitschutz für Agenten auf Arbeitsplatzrechnern. Beides ergänzt sich: Wer in der IT Coding-Agenten einsetzt, sichert diese gesondert ab; das übrige Haus arbeitet in basebox.

In basebox gelten für Zugriffe auf Systeme feste Regeln. Konnektoren lesen mit den Rechten der Person, die fragt, ohne gemeinsames Dienstkonto, und standardmäßig nur lesend; schreibende Zugriffe gibt es nur nach Abstimmung. Ihr Administrator legt je App fest, welche Konnektoren sie nutzen darf, und jeder Aufruf eines Konnektors steht im Audit-Log. Ab November 2026 bearbeiten Abläufe aus dem App Builder Aufgaben selbstständig; schreibende Aktionen wie Weiterleiten erst nach Freigabe durch einen Menschen.

Hinweis: Die Angaben zu Kontext geben den Stand unserer Recherche am 15. Oktober 2026 wieder und stützen sich auf die Angaben des Anbieters. Für den eigenen Einsatz prüfen Sie Funktionen, Betrieb und Verträge beim Anbieter.