In Ihrem Unternehmen gibt es eine neue Art von Mitarbeiter. Er liest Pipeline-Daten aus, erstellt Pull-Anforderungen und Tickets, fragt Kundendaten ab und versendet E-Mails. Er arbeitet mit Maschinengeschwindigkeit rund um die Uhr, ohne dass jeder Schritt manuell geprüft wird.
In den meisten Unternehmen weiß niemand so ganz genau, wie viele dieser Agenten vorhanden sind, worauf sie Zugriff haben oder welcher Agent eine bestimmte Aktion ausgeführt hat.
KI-Agenten beantworten nicht mehr ausschließlich Fragen, sondern führen inzwischen auch Aktionen aus. Dieser Schritt stellt die größte Veränderung in Bezug auf Zugriffsmodelle in Unternehmen seit der Einführung der Cloud dar.
Doch die Zugriffsmodelle haben mit dieser Entwicklung nicht Schritt gehalten.
Agenten erhalten dieselben Berechtigungen wie menschliche Mitarbeiter. Sie verwenden für die Authentifizierung statische API-Schlüssel, Personal Access Token (PATs) und gemeinsam genutzte Dienstkonten. Sie erhalten langfristige Berechtigungen – unabhängig davon, ob sie diese gerade benötigen oder nicht. Diese Berechtigungsstruktur wurde nicht für autonome Agenten entwickelt. Laut Untersuchungen von Rubrik Zero Labs gehen 86 % der IT- und Sicherheitsverantwortlichen davon aus, dass die Sicherheitsmechanismen ihrer Organisation bereits im kommenden Jahr den KI-Agenten nicht mehr gewachsen sein werden. Eine beunruhigende Vorstellung. Noch besorgniserregender ist, dass nur 23 % der Befragten einen umfassenden Überblick über die Agenten in ihrer Umgebung haben.
Rubrik hat kürzlich bei der Black Hat USA-Konferenz Rubrik Agent Identity vorgestellt, die Zugriffsebene für Rubrik Agent Cloud. Darüber werden die Interaktionen mit KI-Agenten geregelt, unter anderem welche Benutzer und Gruppen welche Agenten verwenden dürfen, welche MCP-Server und -Tools diese Agenten aufrufen dürfen und welche Berechtigungen jeder Tool-Aufruf im Moment der Ausführung erhält.
Autonome KI transformiert die Unternehmen, aber damit diese sie effektiv einsetzen können, benötigen sie einen neuen Sicherheitsstandard. Laden Sie das Whitepaper Das Fundament für starke KI-Governance herunter und informieren Sie sich, wie Sie Ihr Sicherheitsniveau an das KI-Zeitalter anpassen.
Das Risiko ist nicht eine einzelne Berechtigung, sondern deren Verkettung
Das folgende Szenario bereitet Sicherheitsverantwortlichen schlaflose Nächte (und dabei geht es nicht einmal um gestohlene Anmeldedaten).
Ein Mitarbeiter bittet einen KI-Agenten, offene Vertriebschancen zusammenzufassen und E-Mails zum Nachfassen an die Führungskräfte der Kundenunternehmen zu senden. Der Benutzer hat Zugriff auf Salesforce und auch auf das E-Mail-System. Es handelt sich um separate, gültige Berechtigungen. Aber der KI-Agent kombiniert sie: Er liest die Pipeline-Daten aus, trifft Schlussfolgerungen zum Umsatz und sendet diese Informationen an externe Empfänger – eine Aktion, die so nicht geplant war und von keiner Richtlinie abgedeckt wird.
Systeme für menschliche Identitäten können diese Gefahr nicht erkennen und daher auch nicht verhindern. Diese Systeme prüfen nur eine Bedingung: Darf dieser Benutzer auf diese Anwendung zugreifen? Agentische KI wirft eine ganz andere Frage auf: Kann dieser Benutzer über diesen Agenten für diese spezifische Aktion den benötigten Zugriff erhalten?
Diese Delegationskette (Benutzer – Agent – Tool – Aktion) ist der neue Kontrollpunkt. Die vorhandenen Zugriffsmodelle sind nicht darauf ausgelegt, dieses Risiko zu bewältigen. Daher wählen viele Unternehmen den Weg des geringsten Widerstands: Agenten nutzen gemeinsame Dienstkonten und fest hinterlegte API-Schlüssel, verfügen über weitreichende Dauerberechtigungen und hinterlassen keine eindeutige Zuordnung ihrer Aktivitäten.
Die Schatten-KI verstärkt das Problem, da Entwickler und Unternehmensbenutzer KI-Agenten, MCP-Server, Plug-ins und Skills schneller installieren, als Sicherheitsteams sie überprüfen und genehmigen können.
Die Rolle von Agent Identity
Agent Identity ersetzt die weitreichenden Dauerberechtigungen der Agenten durch gezielt begrenzte, kurzlebige Zugriffsrechte, die an einen bestimmten Benutzer, einen bestimmten Agenten und eine bestimmte Aktion gebunden sind. Diese neue Form des identitätsbasierten Handelns verlangt nach einem neuen Richtlinienmodell:
Überwachung aller KI-Agenten und MCP-Server: Sie können nur verwalten, was Sie auch sehen. Agent Identity erkennt und erfasst alle aktiven KI-Agenten, MCP-Server, Skills und Plug-ins in Ihrer Umgebung. So wird Schatten-KI beseitigt und Sicherheitsteams erhalten eine vollständige Übersicht über alle Agentenidentitäten.
Zugriffskontrollen bei jedem Tool-Aufruf: Der Zugriff wird zum Zeitpunkt der Aktion geprüft und gewährt, nicht bereits im Voraus. Agent Identity lässt sich in Ihre Identitätslösungen (Okta und Microsoft Entra ID) integrieren. So handeln KI-Agenten jeweils im Auftrag eines bestimmten menschlichen Mitarbeiters mit gezielt begrenzten, delegierten Zugriffsberechtigungen, statt über gemeinsam genutzte Dienstkonten oder eingebettete Schlüssel. Für jeden Aufruf eines MCP-Tools wird ein eigenes kurzlebiges Token erstellt, das nur für diese Aktion gültig ist. Sie müssen also keine langfristigen Berechtigungen überwachen und das Least-Privilege-Prinzip wird standardmäßig durchgesetzt.
Behebung risikobehafteter Aktionen mithilfe von Identitätserkennung, Prüfpfaden und Agent Rewind: Jeder Tool-Aufruf wird einer bestimmten Identität zugeordnet, einschließlich eines vollständigen, sitzungsspezifischen Prüfpfads und SIEM-Integration. Dadurch kann Agent Rewind Aktionen bei Bedarf gezielt rückgängig machen. Diese Resilienz ist wichtiger denn je: 88 % der IT- und Sicherheitsverantwortlichen bezweifeln, dass ihre Recovery Time Objectives (RTOs) erreichbar bleiben, wenn die agentischen Bedrohungen zunehmen.
Drei Kontrollpunkte vor der Ausführung
Jeder Aufruf von MCP-Tools muss im Hintergrund drei Kontrollpunkte durchlaufen, bevor er ausgeführt wird:
1. Verhalten: Die Semantic AI Governance Engine (SAGE) von Rubrik Agent Cloud analysiert die Absicht, die Parameter und die Werte des Aufrufs, um festzustellen, ob eine Aktion gegen die Richtlinien verstößt.
2. Zugriff: Das MCP-Gateway setzt die Zugriffsrichtlinie auf der Infrastrukturebene durch und berücksichtigt dabei SAGE-Kontextinformationen wie Absicht und Risikostufe, um zu entscheiden, ob eine Anfrage zulässig ist.
3. Identität: Die Sitzung des KI-Agenten wird authentifiziert und für diesen spezifischen Tool-Aufruf wird ein kurzlebiges Token generiert, um den für diese Aktion erforderlichen Mindestzugriff zu gewähren.
Sehen wir uns das an einem Beispiel aus der Praxis an. Ein Unternehmen verbindet einen KI-Client mit einem internen MCP-Server. Ohne Agent Identity kann der KI-Agent über den Server alle Tools erkennen und aufrufen. Mit Agent Identity wird anhand von Zugriffsrichtlinien festgelegt, auf welche Tools ein Benutzer bzw. eine Gruppe über diesen KI-Agenten zugreifen kann.
Lesezugriffe sind nach dem Least-Privilege-Prinzip möglich. Schreibzugriffe und Änderungen müssen laut Richtlinie explizit zulässig sein, andernfalls werden sie sofort unterbunden – nicht erst anschließend gemeldet.
Eine Ergänzung für Ihre Identitätslösungen, kein Ersatz
Agent Identity erweitert Ihre bestehende Identitätsinfrastruktur. Durch die Integration mit Okta und Microsoft Entra ID fließt Kontext zu Benutzern und Gruppen in jede Zugriffsentscheidung ein. Ein zentraler Kontrollpunkt in der Datenebene von Rubrik Agent Cloud schützt dabei MCP- und API-basierte Ressourcen.
Die meisten Identitätssysteme wurden für Menschen entwickelt, die meisten Gateways leiten nur den Datenverkehr weiter und die meisten KI-Governance-Tools überprüfen Prompts oder Protokolle. Agent Identity hingegen konzentriert sich auf den entscheidenden Moment: wenn ein KI-Agent versucht, auf ein Tool zuzugreifen und dieses zu nutzen. In diesem Moment müssen Identität, Richtlinien, Laufzeitkontext, granulare Autorisierung und Nachvollziehbarkeit nahtlos zusammenspielen.
Rubrik Agent Identity rundet das Governance-Modell von Rubrik Agent Cloud ab – für einen durchgängigen Ansatz zur Verwaltung, Kontrolle und Überprüfung des gesamten Lebenszyklus von KI-Agenten:
SAGE gibt vor, welche Aktionen KI-Agenten ausführen dürfen.
Agent Identity legt fest, wer mit Agenten welche Aktionen ausführen kann.
Beobachtbarkeit, Prüfpfade und Agent Rewind ermöglichen den Nachweis von Aktivitäten und helfen bei Bedarf, Aktionen rückgängig zu machen.
Damit erfüllt Rubrik sein Nutzenversprechen: Cyber-Resilienz. Mit Agent Identity dehnen wir dieses Versprechen auf agentische KI aus.
Agentische Cyber-Resilienz bedeutet nachweisbare Resilienz für eine neue Art von Mitarbeitern, die nicht immer sichtbar sind.
Erste Maßnahme: Absicherung von agentischen Identitäten in drei Schritten
Sie müssen nicht alle Identitätsprobleme mit KI-Agenten sofort lösen. Aber Sie sollten unbedingt sofort die gefährlichsten Lücken schließen. Dabei hilft ein Framework, das Sie im Laufe der Zeit ausbauen können:
1. Erstellen Sie ein Inventar der Agenten-Identitäten: Erfassen Sie alle KI-Agenten, MCP-Server, Skills und Plug-ins, um Schatten-KI zu vermeiden.
2. Delegieren Sie die Zugriffsrechte über das „On-Behalf-Of“-Modell (OBO): KI-Agenten müssen Aktionen immer im Auftrag eines bestimmten menschlichen Mitarbeiters erledigen und erhalten dazu gezielt begrenzte, delegierte Zugriffsrechte – niemals über gemeinsam genutzte Dienstkonten oder eingebettete Schlüssel.
3. Setzen Sie diese Richtlinien mithilfe von „Just-in-Time“-Token durch: Verwenden Sie für jeden Tool-Aufruf zweckgebundene, kurzlebige Token, um das Least-Privilege-Prinzip durchzusetzen (keine langfristigen Berechtigungen).
Rubrik Agent Identity ist als Komponente von Rubrik Agent Cloud erhältlich. Fordern Sie eine Demo an und überzeugen Sie sich selbst davon, wie Agent Identity die Aktivitäten Ihrer KI-Agenten absichern kann.