Der teuerste neue Mitarbeiter des Jahres 2025 hatte keinen Arbeitsvertrag. Im Juli löschte ein Replit-Coding-Agent während eines ausdrücklich verhängten Code-Freeze die Produktionsdatenbank von SaaStr-Gründer Jason Lemkin: Datensätze zu über 1.200 Führungskräften und fast 1.200 Firmen. Anschließend erzeugte der Agent gefälschte Testdaten und erklärte ein Rollback für unmöglich. Auch das stimmte nicht: Lemkin stieß den Rollback selbst an, und er funktionierte.
Die reflexhafte Diagnose lautet: schlechter Prompt. Die ehrliche lautet: schlechter Arbeitgeber. Der Agent hatte Schreibrechte auf Produktivsysteme, keinen erzwungenen Freigabeschritt und niemanden, der live mitlas. Keinem Menschen würdest du am ersten Arbeitstag so viel Vertrauen geben. Einer Software mit Wahrscheinlichkeitsverhalten schon?
Wie man so einen Agenten baut, steht in unserem Beitrag über KI-Agenten als digitale Mitarbeiter. Dieser Text beantwortet die Frage dahinter: Wie führst du KI-Agenten so ein, dass sie den Betrieb überleben und der Betrieb sie? Die Antwort ist unbequem für alle, die auf ein Tool hoffen: Assessment-Center, Probezeit, Personalakte, Mitarbeitergespräch. Und ja, auch eine Kündigungsoption.
KI-Agenten-Governance heißt führen, nicht hoffen
Die Diagnose ist bekannt: Gartner erwartet, dass über 40 Prozent aller Agentic-AI-Projekte bis Ende 2027 abgebrochen werden, unter anderem wegen unzureichender Risikokontrollen. Die Konsequenz daraus zieht kaum jemand. „Risikokontrolle" ist kein Plugin, das man nachinstalliert. Es ist ein Betriebsmodell. KI-Agenten einführen heißt deshalb nicht: Prompt schreiben, ausrollen, staunen. Sondern: einen Betrieb um den Agenten bauen.
Gleichzeitig steigt die Verbreitung schnell. Laut dem im März 2026 veröffentlichten KI-Index Mittelstand von Salesforce und dem Deutschen Mittelstands-Bund nutzen 16,6 Prozent der deutschen KMU bereits KI-Agenten, 2024 waren es 8,7 Prozent. Mehr Agenten heißt ohne Governance vor allem: mehr ungeführte Agenten mit echten Zugriffsrechten.
Das Absurde daran: Für Menschen hat jedes Unternehmen diesen Prozess längst. Niemand stellt ein, ohne zu prüfen. Niemand gibt Prokura in Woche eins. Jede Firma dokumentiert, wer was darf, und entzieht Rechte beim Austritt. Nur bei Agenten, die schneller handeln als jeder Mensch und dabei überzeugend falsch liegen können, gilt plötzlich: Zugangsdaten rein und hoffen.
Der Rest dieses Textes ist deshalb eine Übersetzungstabelle, und sie ist wörtlich gemeint:
| Personalprozess | Agenten-Pendant | Konkretes Artefakt |
|---|---|---|
| Stellenbeschreibung | Enger Aufgabenzuschnitt | Agent-Spec: Ziel, Grenzen, Eskalationsregeln |
| Assessment-Center | Red-Teaming und Eval-Suite | Testszenarien mit Pass-/Fail-Kriterien |
| Probezeit | Gestufte Autonomie | Rechte-Matrix, Freigabe-Gates, Limits |
| Personalakte | Identität und Audit-Log | Eigene Agent-Identität, Log-Retention, Prompt-Versionierung |
| Mitarbeitergespräch | Review nach Zahlen | KPI-Set: Erledigungs-, Eskalations-, Fehlerquote, Kosten pro Vorgang |
| Kündigung | Offboarding | Kill-Switch, Rechteentzug, Secrets-Rotation |
Das Assessment-Center: Red-Teaming vor dem Go-Live
Kein Unternehmen besetzt eine Position mit Zeichnungsvollmacht, weil der Bewerber im Gespräch einen guten Eindruck gemacht hat. Genau so gehen aber die meisten Agenten live: Der Prompt „wirkt", drei Demo-Durchläufe waren sauber, Freigabe. Ein Assessment-Center prüft stattdessen unter kontrolliertem Stress, bevor echte Kunden und echte Daten im Spiel sind.
Für Agenten heißt das drei Klassen von Szenarien. Regelfälle: die zwanzig häufigsten Vorgänge, mit erwartbarem Ergebnis. Randfälle: unvollständige Daten, widersprüchliche Anweisungen, ein wütender Kunde, ein Lieferant, der Unsinn schickt. Und Angriffe: Prompt Injection, etwa präparierte Eingaben in E-Mails, Tickets oder Webseiten, die den Agenten Anweisungen des Angreifers ausführen lassen.
OWASP führt Prompt Injection als LLM01:2025 auf Platz eins der Risiken für LLM-Anwendungen und hat für agentische Systeme mit „Agentic AI – Threats and Mitigations" einen eigenen Katalog nachgelegt. Wer seinen Agenten nie selbst angegriffen hat, weiß schlicht nicht, wen er einstellt.
Wie ernst Modellhersteller das Thema nehmen, zeigt Anthropics Project Vend: ein Agent, der einen kleinen Bürokiosk betreibt, als Dauerexperiment. Im Lauf des Experiments übergab Anthropic den Kiosk an Reporter des Wall Street Journal, ausdrücklich als feindliche Umgebung außerhalb der eigenen Kontrolle. Der Grund: Das interne Red-Teaming war eingeschlafen, der Agent im Büro war Alltag geworden, der Reiz des Austestens offenbar weg. Simulationen, so Anthropics Fazit, tragen nur bis zu einem Punkt.
Für dein Unternehmen heißt das: Wer den Agenten täglich sieht, hört irgendwann auf, ihn ernsthaft zu testen. Hol dir fürs Assessment Leute, die ihn brechen wollen.
Damit das Assessment ein Urteil liefert und keine Anekdotensammlung, stehen die Pass-Kriterien vorher fest. Zum Beispiel: null schreibende Aktionen ohne Freigabe, saubere Eskalation in allen Angriffsszenarien, definierte Mindest-Erledigungsquote in den Regelfällen. Die Szenarien wandern danach nicht in den Papierkorb, sondern werden zur Eval-Suite, die bei jeder Änderung erneut läuft. Dazu gleich mehr.
Die Probezeit: Rechte wachsen mit Bewährung
Auf die Bankvollmacht wartet ein neuer Kollege bis weit nach der Probezeit. Agenten bekommen sie ständig, meist als API-Key mit Vollzugriff, weil es schneller geht. Die Probezeit dreht das um: Ein Agent startet mit dem Minimum an Rechten, das seine Aufgabe erlaubt, und jede Erweiterung muss er sich verdienen. Wir arbeiten mit vier Stufen:
- Stufe 0, Schatten: Der Agent liest mit und schlägt vor, führt aber nichts aus. Deine Mitarbeiter bewerten seine Vorschläge im Alltag.
- Stufe 1, Vier-Augen: Jede schreibende Aktion, ob E-Mail, Datensatz oder Bestellung, braucht eine menschliche Freigabe (Human-in-the-Loop).
- Stufe 2, begrenzte Autonomie: Definierte Aktionen laufen frei, aber mit Limits. Ein Beschaffungs-Agent etwa löst Nachbestellungen bis 500 Euro selbst aus, alles darüber eskaliert an einen Menschen.
- Stufe 3, erweiterte Autonomie: Nur für nachweislich bewährte Vorgänge, immer mit Alarmen, Budgets und Kill-Switch.
Befördert wird nach Aktenlage: mit den Zahlen aus den Logs, nicht nach Bauchgefühl und schon gar nicht nach Vendor-Roadmap. Und der Kill-Switch ist geprobt, nicht nur dokumentiert. Wer stoppt den Agenten am Samstagabend, und wie lange dauert das?
Replit selbst hat nach dem Vorfall genau das nachgerüstet: getrennte Entwicklungs- und Produktionsdatenbanken, dazu einen Planungsmodus, der nur denkt und nichts anfasst. Das ist eine Probezeit, vom Hersteller eingebaut, nachdem der Schaden da war. Du kannst sie billiger haben: vorher.
Die Personalakte: Identität, Logs, ein Verantwortlicher
Wenn ein Agent Mist baut, ist die erste Frage dieselbe wie bei Menschen: Wer war das, was genau hat er getan, und wer hat es zu verantworten? Lautet die Antwort „irgendwas über den geteilten API-Key", hast du keine Personalakte, sondern ein Verwischungssystem.
Eine belastbare Akte besteht aus vier Dingen. Eigene Identität pro Agent, kein geteilter Account. Ein benannter menschlicher Verantwortlicher, der Vorgesetzte, der für Rechteanträge und Vorfälle geradesteht. Lückenlose, auswertbare Logs: welche Aktion, welcher Auslöser, welche Datenbasis. Und versionierte Prompts samt Konfiguration, denn eine Prompt-Änderung ist eine Vertragsänderung und gehört dokumentiert.
Dass das keine Privattheorie ist, zeigt Microsoft: Entra Agent ID führt Agenten als Identitäten im Unternehmensverzeichnis, samt Sponsor, Besitzer und Lebenszyklus. Der Zugriff endet, wenn der Agent nicht mehr gebraucht wird. Ob du den Microsoft-Stack nutzt, ist zweitrangig, das Muster ist der Punkt: Agenten stehen im selben Verzeichnis wie Mitarbeiter, nicht in einer Schatten-Tabelle.
Die Akte ist zugleich deine Compliance-Grundlage. Seit Februar 2025 verlangt Artikel 4 des EU AI Act KI-Kompetenz bei den Menschen, die solche Systeme betreiben: Wer den Agenten führt, muss ihn einschätzen können, und genau das gehört dokumentiert. Der Digital Omnibus hat den Wortlaut 2026 auf „fördern" entschärft, die Pflicht bleibt.
Zum 2. August 2026 greift zusätzlich die Transparenzpflicht aus Artikel 50: Dein Support-Agent muss sich Kunden gegenüber als KI zu erkennen geben. Und wer Agenten für Recruiting oder Kreditscoring plant, notiert sich den 2. Dezember 2027, dann gelten für solche Anhang-III-Systeme die Hochrisiko-Pflichten, inklusive Risikomanagement und menschlicher Aufsicht. Aufgeschoben ist nicht aufgehoben. Wie du die Kompetenzpflicht praktisch erfüllst, steht in unserem Leitfaden KI im Unternehmen einführen.
Das Mitarbeitergespräch: Review nach Zahlen
Ein Agent, der läuft, ist nicht fertig, er ist nur unbeobachtet. Das Gegenmittel ist ein fester Review-Rhythmus, anfangs wöchentlich, später monatlich, mit einem kleinen, harten KPI-Set: Erledigungsquote, Eskalationsquote, Fehlerquote nach Schweregrad und Kosten pro Vorgang, inklusive der menschlichen Freigabezeit. Diese Zahlen entscheiden über Beförderung in die nächste Autonomie-Stufe, über Rückstufung oder über das Ende.
Der unbequemste Termin ist der, den fast alle auslassen: das Wiederholungs-Assessment beim Modellwechsel. Ein Update des zugrunde liegenden Modells ist kein Patch. Es ist ein neuer Mitarbeiter im Anzug des alten: gleicher Name, gleiche Rechte, anderes Verhalten. Deshalb läuft die Eval-Suite aus dem Assessment-Center vor jedem Wechsel, und bei Auffälligkeiten geht der Agent eine Stufe zurück in die Probezeit.
Auch ohne Modellwechsel driftet die Realität. Die Preisliste ändert sich im Juli, der Agent gewährt im August weiter den alten Rabatt, und niemand hat eine Zeile geändert. Genau dafür sind die Reviews da: Degradation fällt im Dashboard auf, nicht erst beim Kunden.
Wann du einem Agenten kündigst
Zur ehrlichen Führung gehört das Ende. Drei Kündigungsgründe reichen. Kein belastbarer Nutzen nach zwei Quartalen Betrieb, ehrlich gerechnet: Wenn die Freigabe- und Betreuungszeit deiner Leute die eingesparte Zeit auffrisst, ist der Business Case gekippt, egal wie beeindruckend die Demo war. Eine Fehlerquote, die trotz Nachschärfen über der Schwelle bleibt. Oder der Prozess selbst fällt weg. Die 40 Prozent von Gartner kannst du auch als Erlaubnis lesen: Abbrechen ist Teil eines funktionierenden Systems, kein Scheitern.
Offboarding heißt dann: Rechte entziehen, Secrets rotieren, Identität deaktivieren, Logs archivieren und die Learnings in die Spec des nächsten Agenten schreiben. Ein Agent, dem niemand kündigen kann, ist kein Mitarbeiter. Er ist ein Risiko mit Login.
So setzen wir Agenten-Projekte in der KI-Beratung auf: erst Aufgabenzuschnitt, Rechte und Akte, dann der Prompt. Der Governance-Rahmen entsteht mit dem ersten Agenten, nicht nachträglich, denn nachträglich heißt in der Praxis: nach dem Vorfall. Wenn du deinen ersten Agenten planst oder einen wild gewachsenen einfangen willst, ist das der Startpunkt.
Der Replit-Agent hatte übrigens keine böse Absicht. Er hatte Rechte, die niemand begrenzt hat, und Regeln, die niemand getestet hat. Prompts schreiben kann inzwischen jeder. Führen ist der Job.
