Mobile-Menu

KI-Sicherheit und digitale Identitäten Know Your Agent schafft Vertrauen für autonome KI

Ein Gastbeitrag von Dr. Clemens Brunner 5 min Lesedauer

Anbieter zum Thema

sproof GmbH
cidaas by Widas ID GmbH
FTAPI Software GmbH

Autonome KI Agenten treffen zunehmend eigenständig Entscheidungen und führen geschäftskritische Aktionen aus. Unternehmen benötigen über­prüfbare Identitäten für KI-Agenten, um Sicherheit, Nachvollziehbarkeit und Compliance dauerhaft sicherzustellen.

Autonome KI-Agenten brauchen überprüfbare, kryptografisch gesicherte Identitäten, damit Unternehmen sicher und nachvollziehbar mit ihnen arbeiten können.(Bild: Dall-E / Vogel IT-Medien GmbH / KI-generiert)
Autonome KI-Agenten brauchen überprüfbare, kryptografisch gesicherte Identitäten, damit Unternehmen sicher und nachvollziehbar mit ihnen arbeiten können.
(Bild: Dall-E / Vogel IT-Medien GmbH / KI-generiert)

KI-Agenten entwickeln sich von intelligenten Assistenten zu eigenständig handelnden digitalen Akteuren. Sie analysieren Daten, koordinieren Geschäftsprozesse, kommunizieren mit Kunden, greifen auf Unternehmenssysteme zu oder lösen Transaktionen aus. Frameworks wie das Model Context Protocol (MCP) ermöglichen ihnen, mit Anwendungen und anderen Agenten zu interagieren.

Für Security-Verantwortliche entsteht dadurch eine neue Herausforderung. Klassische Sicherheitskonzepte konzentrieren sich auf Benutzer, Geräte oder Server. KI-Agenten agieren jedoch zunehmend selbstständig und verfügen über eigene Berechtigungen. Entscheidungen können unmittelbare geschäftliche oder sogar rechtliche Konsequenzen haben.

Damit rückt eine zentrale Frage in den Vordergrund. Woher weiß ein Unternehmen, dass ein KI-Agent tatsächlich derjenige ist, für den er sich ausgibt?

Know Your Agent erweitert das Identity Management

Genau an diesem Punkt stößt das etablierte Prinzip Know Your Customer an seine Grenzen. Künftig muss nicht nur die Identität von Personen oder Unternehmen überprüfbar sein, sondern ebenso die Identität autonom handelnder Software. Dieses Konzept lässt sich als Know Your Agent, kurz KYA, beschreiben. Dabei geht es nicht darum, KI-Modelle zu kontrollieren, sondern die Identität eines Agenten kryptographisch nachweisbar zu machen. Nur so lässt sich sicherstellen, dass ein Agent tatsächlich autorisiert ist, eine bestimmte Aktion auszuführen.

Für Unternehmen gewinnt dieser Aspekt zunehmend an Bedeutung. Der Verizon Data Breach Investigations Report zeigt, dass kompromittierte Zugangsdaten weiterhin zu den häufigsten Ursachen erfolgreicher Cyberangriffe zählen. Werden künftig autonome Agenten mit weitreichenden Berechtigungen ausgestattet, erhöht sich das Schadenspotenzial entsprechend. Ohne eine kryptografisch überprüfbare Identität wäre für nachgelagerte Systeme kaum nachvollziehbar, ob die Anfrage tatsächlich von einem autorisierten Agenten stammt. Für Security Teams bedeutet das einen grundlegenden Perspektivwechsel. Die Frage lautet künftig nicht mehr nur, ob ein Agent intelligent genug ist, sondern ob seine Identität jederzeit eindeutig nachweisbar und seine Handlungen nachvollziehbar sind.

Know Your Agent erweitert das Zero Trust Prinzip

Viele Unternehmen verfolgen heute eine Zero-Trust-Strategie. Dabei wird keine Identität grundsätzlich als vertrauenswürdig angesehen. Jede Anfrage muss authentifiziert und autorisiert werden. Dieses Prinzip sollte künftig konsequent auf KI-Agenten ausgeweitet werden. Ein KYA-Ansatz kann beispielsweise folgende Informationen kryptografisch nachweisbar bereitstellen:

  • Welcher Organisation ist ein Agent zugeordnet?
  • Welches Modell oder welche Softwareversion wird verwendet?
  • Welche Berechtigungen bestehen?
  • Sind sicherheitsrelevante Compliance Anforderungen erfüllt?
  • Welche Aktionen darf ein Agent durchführen und welche hat er schon durchgeführt?

Auf dieser Grundlage lassen sich Zugriffsentscheidungen automatisieren, ohne auf implizites Vertrauen angewiesen zu sein. Gleichzeitig entsteht eine belastbare Audit Trail Struktur, die regulatorische Anforderungen und forensische Analysen unterstützt.

eIDAS 2.0 schafft die Grundlage für digitale Vertrauensketten

Mit der überarbeiteten eIDAS Verordnung baut die Europäische Union derzeit eine einheitliche digitale Vertrauensinfrastruktur auf. Kernbestandteil ist die European Digital Identity Wallet, kurz EUDI-Wallet. Sie soll Bürgern und Unternehmen ermöglichen, digitale Identitäten sowie überprüfbare Nachweise europaweit sicher auszutauschen.

Auch wenn die Verordnung primär auf natürliche und juristische Personen abzielt, entstehen gleichzeitig technische Standards für kryptografisch signierte und maschinenlesbare Nachweise. Diese Infrastruktur eröffnet die Möglichkeit, künftig auch autonome Software Agenten mit überprüfbaren Identitäten auszustatten. Für Unternehmen eröffnet dies die Möglichkeit, Identitäten von KI-Agenten interoperabel und standardisiert nachzuweisen, statt auf proprietäre Lösungen einzelner Anbieter angewiesen zu sein.

Kryptografische Nachweise stärken Sicherheit und Compliance

Ein zentrales Element moderner Vertrauensinfrastrukturen sind Verifiable Credentials. Sie ermöglichen es, Eigenschaften einer Identität kryptographisch zu bestätigen, ohne dabei unnötige Informationen preiszugeben.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Für autonome KI Agenten eröffnet dies neue Möglichkeiten. Ein Agent kann beispielsweise nachweisen, dass er für ein bestimmtes Unternehmen arbeitet, nur definierte Aufgaben ausführen darf oder bestimmte Sicherheitsrichtlinien erfüllt. Der Empfänger kann diese Angaben unmittelbar kryptografisch prüfen, ohne auf zentrale Datenbanken oder proprietäre Identitätsdienste angewiesen zu sein.

Gerade im Kontext der europäischen Regulierung gewinnt dieser Ansatz an Bedeutung. Die Anforderungen aus eIDAS 2.0, der NIS2 Richtlinie sowie dem EU AI Act erhöhen die Bedeutung nachvollziehbarer Identitäten und überprüfbarer Verantwortlichkeiten. Das Bundesamt für Sicherheit in der Informationstechnik weist in seinen Empfehlungen zur KI Sicherheit ebenfalls darauf hin, dass Transparenz, Authentizität und Integrität wesentliche Voraussetzungen für den vertrauenswürdigen Einsatz von KI sind.

Agentic E-Commerce und PSD3: Wenn KI bezahlt

Die Diskussion über überprüfbare Identitäten für Maschinen gewinnt insbesondere im Finanzsektor eine neue Dimension. Mit dem Aufkommen des Agentic E-Commerce übernehmen autonome KI-Agenten bereits heute zunehmend eigenständig kommerzielle Aufgaben – von der Produktauswahl über die Bestellabwicklung bis hin zur Initiierung von Zahlungen. Damit entstehen grundlegende Fragen hinsichtlich Sicherheit, Vertrauen und regulatorischer Compliance.

Die kommenden europäischen Regelwerke PSD3 und die Payment Services Regulation (PSR) verschärfen die Anforderungen an die starke Kundenauthentifizierung (SCA), die Autorisierung von Transaktionen sowie die Haftung bei Betrugsfällen. Wie kann ein Zahlungsdienstleister oder eine Bank verlässlich nachweisen, dass eine von einem autonomen KI-Agenten – also ohne unmittelbare menschliche Beteiligung (human out of the loop) – initiierte Transaktion legitim und autorisiert ist?

Genau hier setzt das Konzept Know Your Agent (KYA) an. Führende Akteure der Zahlungsbranche entwickeln bereits entsprechende Lösungen. Visa arbeitet mit dem Trusted Agent Protocol an einem Rahmenwerk für vertrauenswürdige KI-Agenten, während Mastercard mit Agent Pay und speziellen Agentic Tokens Konzepte vorantreibt, die die Identität eines KI-Agenten kryptografisch mit definierten Zahlungsberechtigungen und Transaktionslimits verknüpfen. KYA entwickelt sich damit von einem reinen Security-Konzept zu einer zentralen Voraussetzung für den sicheren Einsatz autonomer KI im Zahlungsverkehr.

Sicherheit beginnt mit überprüfbarer Identität

Für Unternehmen bedeutet dies, die Einführung autonomer KI Agenten nicht ausschließlich als Automatisierungsprojekt zu betrachten. Ebenso wichtig ist der Aufbau einer belastbaren Vertrauensarchitektur. Dazu gehören insbesondere folgende Maßnahmen:

  • Identitäten von KI-Agenten kryptographisch absichern.
  • Nachweise über Berechtigungen maschinenlesbar bereitstellen.
  • Zugriffe nach dem Zero Trust Prinzip kontinuierlich überprüfen.
  • Vollständige Nachvollziehbarkeit aller Agentenaktionen sicherstellen.
  • Europäische Standards wie eIDAS 2.0 und EUDI frühzeitig in die Sicherheitsstrategie integrieren.

Über den Autor: Dr. Clemens Brunner ist Co-Founder des österreichischen RegTech-Unternehmens sproof GmbH. Er verfügt über mehr als 20 Jahre Erfahrung in den Bereichen IT-Sicherheit, Kryptographie, digitale Identitäten und elektronische Vertrauensdienste. Sein Fokus liegt auf dezentralen Vertrauenssystemen und vertrauenswürdigem Identitäts­manage­ment. Mit sproof treibt Brunner die Entwicklung interoperabler Lösungen auf Basis von eIDAS 2.0, Verifiable Credentials und der EUDI-Wallet voran.

(ID:50978693)

Weiterführende Inhalte