Least Privilege bei KI-Agenten
Mit KI-Agenten hat das alte Prinzip eine neue Dringlichkeit bekommen. Ein Agent, der über das Model Context Protocol an Shop, CMS oder CRM angebunden ist, handelt mit den Rechten des Zugangs, den man ihm gibt. Gleichzeitig lässt sich ein Sprachmodell durch manipulierte Inhalte zu Handlungen verleiten, die niemand beauftragt hat. Diese Angriffsklasse heißt Prompt Injection.
Weil sich Prompt Injection mit heutigen Mitteln nicht zuverlässig verhindern lässt, sind minimale Rechte die wirksamste Gegenmaßnahme. Die Frage lautet nicht nur, ob der Agent sich richtig verhält, sondern auch, was im schlimmsten Fall passieren kann. Least Privilege macht die Antwort auf diese Frage klein.
Konkrete Regeln für KI-Zugänge
- Eigener Zugang pro Agent: Nie den Account eines Menschen oder eines Administrators wiederverwenden. So bleibt nachvollziehbar, wer was getan hat.
- Lesen und Schreiben trennen: Viele Aufgaben brauchen nur Lesezugriff. Schreibrechte gibt es nur, wo sie nötig sind.
- Entwurf statt Live: Wo möglich, schreibt der Agent nur Entwürfe, und ein Mensch gibt frei. Dieses Prinzip heißt Human in the Loop.
- Kurzlebige, widerrufbare Zugänge: Zugriffe über OAuth mit ablaufenden Tokens statt dauerhaft gültiger Schlüssel in Konfigurationsdateien.
- Sensible Daten ausklammern: Tabellen mit personenbezogenen Daten gehören nicht in die Freigaben eines Agenten, der sie nicht braucht.
Least Privilege im Vergleich zu verwandten Prinzipien
Wie man Least Privilege umsetzt
In der Praxis scheitert das Prinzip selten am Willen, sondern an der Bequemlichkeit. Ein Admin-Zugang funktioniert sofort, ein fein zugeschnittener braucht eine Stunde Arbeit. Bewährt hat sich ein schrittweises Vorgehen:
- Aufgabe beschreiben: Was genau soll der Zugang tun? Welche Daten liest er, welche ändert er?
- Rolle anlegen: Eine eigene Gruppe oder Rolle mit genau diesen Rechten, statt Einzelrechte an Benutzer zu hängen.
- Mit Lesen beginnen: Erst lesend testen, dann gezielt Schreibrechte ergänzen, wenn sie gebraucht werden.
- Protokollieren: Zugriffe und Änderungen aufzeichnen, damit Auffälligkeiten sichtbar werden.
- Regelmäßig prüfen: Rechte wachsen mit der Zeit. Einmal im Quartal prüfen, welche noch gebraucht werden.
Ein praktisches Beispiel
Ein Unternehmen verbindet seine TYPO3-Website per MCP mit einem KI-Assistenten, der Meta-Descriptions ergänzen soll. Statt den Assistenten mit einem Administrator-Account zu verbinden, legt das Team eine Backend-Gruppe „KI-Redaktion“ an. Sie darf den Seitenbaum unterhalb von „Leistungen“ lesen, die Seiteneigenschaften bearbeiten und nur in einem einzigen Workspace schreiben. Veröffentlichen darf sie nicht.
Als der Assistent bei einem Test durch eine präparierte Textdatei angewiesen wird, das Impressum zu ändern, scheitert der Versuch an den Rechten: Das Impressum liegt außerhalb seines Seitenbereichs. Selbst wenn er Zugriff gehabt hätte, wäre die Änderung nur ein Entwurf geblieben. Die Details dazu stehen im Beitrag TYPO3 und KI per MCP.
Häufige Fragen
Was bedeutet Least Privilege auf Deutsch?
Prinzip der minimalen Rechte oder Prinzip der geringsten Berechtigung. Gemeint ist immer dasselbe: so wenig Zugriff wie möglich, so viel wie nötig.
Ist Least Privilege gesetzlich vorgeschrieben?
Nicht wörtlich, aber in der Sache. Die DSGVO verlangt geeignete technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten. Eine Zugriffssteuerung nach dem Prinzip der minimalen Rechte gehört in der Praxis dazu, ebenso in Normen wie ISO/IEC 27001.
Reicht Least Privilege als Schutz für KI-Agenten?
Nein, aber es ist die Grundlage. Dazu kommen Freigabeprozesse, Protokollierung und eine sorgfältige Auswahl der Quellen und Werkzeuge, auf die ein Agent zugreift.
