KI-Agenten sind autonome Softwaresysteme, die eigenständig planen, Entscheidungen treffen und externe Tools aufrufen. Sie interagieren mit APIs, Datenbanken und Geschäftsanwendungen – oft ohne direkte menschliche Überwachung. In SAP-Landschaften können solche Agenten beispielsweise Rechnungen verarbeiten, Bestellungen auslösen oder Verkaufsberichte analysieren.
Die Gefahr: Viele Unternehmen setzen KI-Agenten ein, ohne die Sicherheitsmechanismen entsprechend anzupassen. Ein Agent, der Kundenfeedback zusammenfassen soll, erhält oft Zugriff auf das gesamte CRM-System – inklusive Verträge, Finanzdaten und personenbezogenen Informationen. Diese Diskrepanz zwischen den gewährten Berechtigungen und dem erforderlichen Zugriff stellt ein erhebliches Sicherheitsrisiko dar. Ein kompromittierter Agent kann zum Einfallstor für den weitreichenden Zugriff auf sensible Geschäftsdaten werden.
KI-Agenten in SAP-Landschaften benötigen klare Zugriffskontrollen und Berechtigungskonzepte, um Daten zu schützen.
Das Least-Privilege-Prinzip begrenzt die Autonomie von KI-Agenten auf das für ihre Aufgaben notwendige Minimum.
Robuste Governance-Konzepte ermöglichen die sichere Integration von KI-Agenten.
Die Funktionstrennung (Segregation of Duties = SoD) muss künftig auch für autonome Agenten gelten, die in kritischen Geschäftsprozessen agieren.
Ein zentrales Identitätsregister für Non-Human Identities schafft Transparenz und ermöglicht eine revisionssichere Dokumentation.
KI-Agenten verbinden sich mit verschiedenen Systemen innerhalb der SAP-Landschaft: APIs, Datenbanken, Cloud-Dienste und sogar andere Agenten. Jede dieser Verbindungen weist eigene Schwachstellen auf. Angreifer können den Agenten selbst manipulieren oder das Tool attackieren, mit dem er verbunden ist. Im Gegensatz zu System-Accounts, die ihre zugewiesene Funktion ausführen, können KI-Agenten unvorhersehbar handeln. Diese Unvorhersehbarkeit erschwert klassische Sicherheitsmaßnahmen.
Agentische Automatisierung bedeutet, dass KI-Agenten handeln, ohne explizite Anweisungen von einem Menschen zu erhalten. Sie können sich mit anderen Agenten verbinden, sodass sie miteinander arbeiten. Jede dieser Agenten-Aktionen bietet eine Angriffsmöglichkeit – und einen Verstärkungsvektor, falls es dem Angreifer gelingen sollte, einen Agenten zu kompromittieren.
Bei einem Prompt-Injection-Angriff füttert der Angreifer den KI-Agenten mit schädlichen Eingaben, die ihn zu unbeabsichtigtem Verhalten veranlassen. Der Agent kann angewiesen werden, Sicherheitsrichtlinien zu ignorieren, Daten preiszugeben oder Tools zu missbrauchen. Besonders gefährlich: Indirekte Prompt Injection versteckt den bösartigen Prompt in einer Datenquelle, die der Agent aufruft.
Das Prinzip der geringsten Rechte (Least Privilege) ist ein bewährter Sicherheitsansatz: Jedes System oder jeder Agent erhält nur die Berechtigungen, die für seine Aufgaben unbedingt erforderlich sind. Für KI-Agenten bedeutet das eine konsequente Einschränkung auf definierte Datensätze, Ordner und Funktionen. Es geht darum, für jeden Agenten einen klar abgegrenzten Aufgabenbereich festzulegen und seine Berechtigungen entsprechend zu beschränken. Dadurch kann auch ein fehlerhaft oder missbräuchlich agierender Agent nur auf die Daten zugreifen, die er für seine spezifische Funktion benötigt.
Statt einem Agenten pauschalen Systemzugriff zu gewähren, sollten Unternehmen folgende Kontrollen einrichten:
Datensatzspezifische Berechtigungen: Der Agent sieht nur die Tabellen und Felder, die er verarbeiten soll.
Zeitlich begrenzte Zugriffsrechte: Berechtigungen gelten nur für die Dauer einer spezifischen Aufgabe.
Kontextbasierte Autorisierung: Der Zugriff hängt von Rolle, Zeitpunkt und Aufgabenkontext ab.
Das Identity & Access Management (IAM) wurde für menschliche Identitäten konzipiert. KI-Agenten arbeiten jedoch meist mit Servicekonten oder geerbten Benutzeranmeldungen – ohne die Einschränkungen, die für menschliche Nutzer gelten. Non-Human Identities wie KI-Agenten, Bots und Skripte übersteigen in vielen Organisationen bereits die Anzahl der menschlichen Konten. Sie wachsen exponentiell durch den zunehmenden Einsatz von KI-Services. Klassische Berechtigungskonzepte und Prozesse reichen für diese dynamischen, kontextsensitiven Identitäten nicht mehr aus.
Ein KI-Agent, der Transaktionen in SAP-Systemen ausführt, sollte nur die Aktionen erlauben, zu denen der auslösende Benutzer autorisiert ist. Der Agent muss im Kontext des Benutzers handeln und dessen Zugriffsrechte übernehmen. Das bedeutet: Wenn ein Regionalmanager nur Verkaufszahlen seiner Region sehen darf, muss auch der Agent diese Einschränkung respektieren. Er darf nicht dazu gebracht werden, Informationen aus anderen Regionen preiszugeben.
Ein tragfähiges KI-Governance-Framework für SAP-Landschaften besteht aus vier Kernkomponenten:
Zentrales Identitätsregister für Agenten
Unternehmen benötigen eine vollständige Übersicht aller KI-Agenten, die auf Unternehmensdaten zugreifen. Das Register erfasst für jeden Agenten den Einsatzzweck, die verbundenen Systeme, die Berechtigungen und die verantwortlichen Personen. Ohne ein solches Verzeichnis wissen IT- und Security-Teams nicht, wie viele Agenten im Unternehmen aktiv sind, auf welche Daten sie zugreifen oder mit welchen externen Diensten sie verbunden sind.
Lifecycle-Management für Agenten-Identitäten
KI-Agenten müssen wie menschliche Mitarbeiter einen definierten Lebenszyklus durchlaufen: Erstellung, Anpassung und Außerbetriebnahme. Wichtige Attribute wie Einsatzzweck, Modelltyp und Trainingsdaten werden dabei zur Grundlage einer sicheren Rechtevergabe.
Funktionstrennung für autonome Systeme
Die Funktionstrennung (Segregation of Duties, SoD) muss konsequent auch für autonome Agenten gelten. Ein Agent, der einen Produktkatalog durchsucht, sollte nicht derselbe sein, der Bestellungen auslöst. Ein Agent, der nur Katalogdaten lesen kann, ist nicht in der Lage, versehentlich Bestellungen auszuführen. Solche SoD-Regeln müssen in die Berechtigungskonzepte für SAP-Umgebungen integriert werden. So entsteht ein dynamisches Kontrollsystem, das alle Arten von Identitäten einschließt.
Umfassende Audit-Trails
Jeder Datenzugriff, jeder Download, jede Übertragung und jede Freigabe durch einen KI-Agenten muss protokolliert werden. Diese Audit-Trails unterstützen die Compliance-Dokumentation gemäß den gesetzlichen Bestimmungen wie DSGVO, EU AI Act und branchenspezifischen Regularien.
Der EU AI Act gilt seit August 2026 für Hochrisikosysteme und verlangt dokumentierte KI-Governance, Daten-Nachvollziehbarkeit und menschliche Aufsicht. Bei Verstößen drohen Unternehmen Strafen in Höhe von bis zu 7 % ihres weltweiten Jahresumsatzes. Für SAP-Anwenderunternehmen bedeutet das: Sie müssen nachweisen können, wie ihre KI-Agenten mit personenbezogenen und geschäftskritischen Daten umgehen. Ein lückenloser Audit-Trail ist dabei unverzichtbar.
Die DSGVO verlangt eine dokumentierte Rechtsgrundlage für jede Verarbeitung personenbezogener Daten – auch durch automatisierte Agenten. Unternehmen in regulierten Branchen, zum Beispiel Finanzdienstleistungen oder das Gesundheitswesen, müssen zusätzliche Anforderungen erfüllen.
In historisch gewachsenen SAP-Landschaften sind Identitäten, Benutzer und Rollen oft in verschiedenen Systemen verteilt. Single Sign-On funktioniert punktuell, aber nicht ganzheitlich. Was fehlt, ist ein zentraler Blick auf die Identitäten über sämtliche Systeme hinweg. Damit SAP Joule und andere KI-Dienste systemübergreifend funktionieren, benötigen sie Kontext bezüglich der User, ihrer Rollen und Berechtigungen.
Merkmale einer KI-fähigen Berechtigungsstruktur:
SAP-Systeme verwenden dieselbe Identität über alle verbundenen Anwendungen.
KI-Agenten erkennen Benutzer systemübergreifend korrekt.
Rollen, Berechtigungen und Kontexte sind konsistent definiert.
Die künstliche Intelligenz arbeitet sicher, kontextbezogen und skalierbar.
Der Zero-Trust-Ansatz geht davon aus, dass kein Gerät und kein Agent standardmäßig vertrauenswürdig ist. Jede Zugriffsanfrage muss authentifiziert und autorisiert werden. Multi-Faktor-Authentifizierung (MFA) und kontinuierliche Überwachung helfen bei der Abwehr von Bedrohungen.
Bei der Eingabevalidierung werden Prompts anhand vordefinierter Regeln überprüft, bevor sie an den KI-Agenten weitergeleitet werden. Diese Vorgehensweise schützt vor Prompt-Injection-Angriffen. Prompt Hardening gibt dem Agenten strenge, begrenzte Anweisungen, die wenig Raum für Fehlinterpretationen lassen.
Die Aufteilung von Netzwerken in einzelne Segmente begrenzt die Bewegungsfreiheit von KI-Agenten. Wenn ein Agent Code ausführen kann, sollte er dies in einer Sandbox-Umgebung tun. Strenge Laufzeitkontrollen verhindern, dass ein kompromittierter Agent sich lateral im Netzwerk bewegt.
Ein funktionierendes Governance-Modell für KI-Agenten in SAP-Landschaften umfasst diese Elemente:
Agentenverzeichnis
Verpflichtende Sicherheitsüberprüfung, bevor ein Agent auf sensible Daten zugreifen darf. Das Verzeichnis dokumentiert Einsatzzweck, Datenquellen, Berechtigungen und Verantwortlichkeiten.
Granulare Zugriffskontrollen
Jeder Agent erhält nur das Minimum an Berechtigungen für seine spezifische Aufgabe. Es werden zeitlich begrenzte Tokens statt dauerhafter Zugangsdaten verwendet.
Schutz vor Datenverlust
Richtlinien blockieren die Übertragung sensibler Daten an externe KI-Dienste ohne Autorisierung. Die Datenherkunft wird lückenlos dokumentiert.
Menschliche Aufsicht
Für risikoreiche Agentenaktionen wie Finanztransaktionen oder externe Kommunikation ist eine menschliche Freigabe erforderlich.
Die Einführung von KI-Agenten in SAP-Landschaften beschleunigt sich. Gleichzeitig wachsen die regulatorischen Anforderungen durch den EU AI Act und die DSGVO. Unternehmen, die jetzt eine datenorientierte Agenten-Governance etablieren, ermöglichen KI-Innovation und schützen gleichzeitig sensible Informationen. Der erste Schritt ist Transparenz. Unternehmen müssen wissen, wie viele KI-Agenten in Ihrer Umgebung aktiv sind und auf welche Daten sie zugreifen können. Der zweite Schritt ist Kontrolle. Dafür sorgen klare Berechtigungskonzepte, Least-Privilege-Prinzipien und lückenlose Audit-Trails.
Non-Human Identities sind digitale Identitäten von KI-Agenten, Bots, Skripten oder Modulen, die selbstständig mit Systemen interagieren. In vielen Organisationen übersteigt ihre Zahl bereits die Anzahl der menschlichen Identitäten. IBsolution unterstützt Unternehmen dabei, Non-Human Identities in bestehende Governance-Strukturen zu integrieren.
Das klassische Identity & Access Management (IAM) wurde für menschliche Nutzer konzipiert. KI-Agenten agieren jedoch autonom und können unvorhersehbares Verhalten zeigen. Daher ist es erforderlich, bestehende IAM-Konzepte um agentenspezifische Kontrollen wie kontextbasierte Autorisierung und zeitlich begrenzte Zugriffsrechte zu erweitern.
Ein kompromittierter KI-Agent übernimmt alle ihm zugewiesenen Berechtigungen. Angreifer können Daten entwenden, Transaktionen auslösen oder sich lateral im Netzwerk bewegen. Das Least-Privilege-Prinzip und die Mikrosegmentierung begrenzen den Schaden durch kompromittierte Agenten.
Das Least-Privilege-Prinzip beschränkt jeden Agenten auf die minimalen Berechtigungen, die er für seine Aufgabe benötigt. Aus Sicherheitsgründen sollte dieses Prinzip fester Bestandteil in SAP-Berechtigungskonzepten sein.
Damit SAP Joule systemübergreifend arbeiten kann, benötigt die KI konsistente Informationen zu Benutzern, Rollen und Berechtigungen. Voraussetzung dafür ist eine SAP-Systemlandschaft, in der Identity Provider, Trust-Beziehungen und Zugriffsmodelle sauber aufeinander abgestimmt sind.