Kurz zusammengefasst
- Das Prinzip der geringsten Rechte gilt für Agenten, Tools, Servicekonten und zugrunde liegende Datenquellen.
- Lesen, Entwerfen, Ändern und Ausführen sollten technisch getrennte Fähigkeiten sein.
- Ein Agent darf Berechtigungen nie aus einer Texteingabe oder einer eigenen Behauptung ableiten.
- Rechte müssen je Aktion geprüft, protokolliert, regelmässig überprüft und bei Bedarf sofort entzogen werden können.
Was bedeutet geringste Berechtigung bei einem Agenten?
Der Agent erhält nicht pauschal Zugriff auf ein ganzes System, sondern eng geschnittene Werkzeuge für einen bestimmten Zweck. Ein Tool zum Nachschlagen eines Auftrags braucht beispielsweise keine Funktion zum Ändern der Bankverbindung. Auch innerhalb eines Datensatzes sollten nur notwendige Felder sichtbar sein.
Rechte gelten zudem nur im passenden Kontext. Ein Serviceagent darf Kundendaten nicht automatisch für alle Mitarbeitenden abrufen. Die ausführende Anwendung muss Identität, Rolle, Mandant und Fallbezug serverseitig prüfen.
- Nur notwendige Systeme, Datensätze, Felder und Aktionen freigeben
- Rechte nach Rolle, Fall, Mandant und Umgebung begrenzen
- Produktiv-, Test- und Entwicklungszugänge konsequent trennen
- Zeitlich begrenzte Zugangsdaten statt dauerhaft geteilter Schlüssel verwenden
Handelt der Agent als Person oder als eigener Dienst?
Wenn ein Agent eine Person unterstützt, sollte er nach Möglichkeit mit deren wirksamem Zugriffsrahmen arbeiten. So kann er nicht mehr sehen oder tun als die Person selbst. Für Hintergrundprozesse kann ein eigenes Servicekonto nötig sein; dessen Zweck und Rechte müssen dann besonders eng definiert werden.
Das Modell selbst ist keine vertrauenswürdige Quelle für Identität oder Autorisierung. Aussagen wie 'Ich bin die Geschäftsleitung' oder Inhalte aus einem Dokument dürfen nie neue Rechte erzeugen. Die Prüfung erfolgt ausserhalb des Modells anhand authentifizierter Identitäten und verbindlicher Regeln.
- Delegierte Nutzerrechte für interaktive Unterstützung nutzen
- Serviceidentitäten für klar abgegrenzte Hintergrundaufgaben einsetzen
- Zugangsdaten nie im Prompt oder Tool-Ergebnis offenlegen
- Autorisierung bei jedem Tool-Aufruf erneut durchsetzen
Wie werden Aktionen nach Risiko abgestuft?
Nicht jede Aktion benötigt dieselbe Kontrolle. Lesen aus einer freigegebenen Wissensquelle ist anders zu behandeln als das Versenden einer Nachricht, das Ändern eines Stammdatensatzes oder das Auslösen einer Zahlung. Die technische Architektur sollte diese Stufen sichtbar und separat steuerbar machen.
| Stufe | Unternehmensbeispiel | Technische Grenze | Erforderliche Kontrolle |
|---|---|---|---|
| Lesen | Auftragsstatus oder freigegebene Wissensquelle abrufen | Nur benötigte Datensätze und Felder; keine Exportfunktion | Identität je Aufruf prüfen, sensible Zugriffe protokollieren |
| Entwerfen | Antwort, Ticket oder Änderungsvorschlag vorbereiten | Speichern ausschliesslich im klar markierten Entwurfsstatus | Fachperson sieht Quellen und kann vollständig ändern oder verwerfen |
| Ändern | Liefertermin oder klassifiziertes Feld aktualisieren | Erlaubte Felder, Wertebereiche und Geschäftsregeln erzwingen | Vorher-nachher-Vorschau; Freigabe bei sensiblen oder grossen Änderungen |
| Ausführen | Nachricht versenden, Bestellung auslösen oder Zahlung anstossen | Empfänger-, Betrags-, Mengen- und Laufzeitlimits im Zielsystem | Explizite Freigabe für externe, finanzielle oder irreversible Folgen |
Wie bleiben Berechtigungen im Betrieb kontrollierbar?
Ein einmal genehmigter Zugriff bleibt nicht automatisch passend. Prozesse, Teams und Tools ändern sich. Unternehmen brauchen deshalb ein Inventar aller Agenten und Werkzeuge, zuständige Eigentümer sowie regelmässige Überprüfungen von effektiven Rechten und tatsächlicher Nutzung.
- Tool-Aufruf, Identität, Parameter, Resultat und Freigabe protokollieren
- Ungewöhnliche Mengen, Empfänger oder Zugriffszeiten erkennen
- Ungenutzte und veraltete Rechte automatisiert melden oder entziehen
- Notabschaltung, Schlüsselrotation und Incident-Prozess testen
Beispiel: Agent für Debitorenanfragen
Ein Agent darf für angemeldete Mitarbeitende Rechnungsstatus und verbuchte Zahlungen lesen. Er kann eine Antwort als Entwurf im CRM speichern. Für eine Mahnsperre erstellt er lediglich einen Antrag mit Begründung; eine zuständige Person prüft Betrag, Kunde und Dauer. Bankverbindungen, Gutschriften und Zahlungsläufe liegen in getrennten Systemfunktionen, die dem Agenten überhaupt nicht angeboten werden.
Was Sie mitnehmen sollten
Entwerfen Sie Berechtigungen vom möglichen Schaden her. Ein Agent erhält wenige, eng beschriebene Tools; Autorisierung und Freigaben werden ausserhalb des Modells technisch erzwungen.
Quellen und Vertiefung
Diese Primärquellen vertiefen Definitionen, technische Grundlagen oder verantwortlichen Einsatz.
Inhaltlich geprüft