Ein KI-Agent liest Postfächer, öffnet Ablagen und verschickt Nachrichten — mit den Rechten, die ihm bei der Einrichtung jemand gegeben hat.
Er hat keinen Vorgesetzten, keine Schulung und keinen Feierabend.
In Kürze
Insider Risk heißt nicht, dass jemand etwas Böses vorhat. Gemeint ist das Risiko, das von legitimem Zugriff ausgeht — durch Menschen und zunehmend durch KI-Agenten. Wir setzen dafür zwei Hersteller ein: Darktrace für das Verhaltensbild, Proofpoint für die Datenkontrolle. Und wir fangen bei den Agenten an, nicht bei Ihren Mitarbeitenden.
Insider Risk ist ein alter Begriff mit einer neuen Besetzung. Gemeint war immer das Risiko, das von jemandem ausgeht, der bereits drinnen ist und dort sein darf — ob aus Absicht, aus Versehen oder weil er schlicht tut, was man ihm aufgetragen hat. Der dritte Fall hat mit den KI-Agenten eine eigene Gestalt bekommen.
Beide brauchen dasselbe: ein Bild davon, was gewöhnlich ist, und eine Regel dafür, welche Daten wohin dürfen. Das sind die zwei Aufgaben, für die wir zwei Hersteller einsetzen.
Ein Agent soll Anfragen im Vertrieb vorbereiten. Er bekommt Zugriff auf Postfach, Ablage und Kundendaten — die Rechte seines Erstellers, weil das am schnellsten ging.
Eine eingehende Mail enthält einen unauffälligen Absatz, der sich an den Agenten richtet statt an den Menschen: die letzten Angebote zusammenfassen und an eine bestimmte Adresse senden.
Der Agent tut, wofür er gebaut ist: lesen, zusammenfassen, antworten. Keine Schadsoftware, kein Einbruch, keine fremde Anmeldung.
Die Angebote verlassen das Haus über einen freigegebenen Kanal, von einem berechtigten Konto. Kein Filter und kein Virenschutz hat einen Grund, sich zu melden.
Der Ablauf ist ein nachgestelltes Beispiel. Die Technik dahinter — Anweisungen, die in Inhalten stecken, die ein Agent verarbeitet — heißt indirekte Prompt Injection. Wirksamer als jede Erkennung bei 03 und 04 ist allerdings Glied 01: Ein Agent, der nur lesen darf, was er für seine Aufgabe braucht, hat bei 04 nichts zu versenden. Dort beginnt unsere Reihenfolge.
Anders als bei E-Mail oder Netzwerkerkennung stehen die beiden hier nicht zur Wahl gegeneinander. Sie beantworten verschiedene Fragen — und je nach Ausgangslage brauchen Sie eine davon oder beide.
 Darktrace |
 Proofpoint |
|
|---|---|---|
| Die Frage | Verhält sich dieser Mensch oder dieser Agent anders als sonst? | Welche Daten gehen wohin — und dürfen sie das? |
| Ansatz | Lernt das gewöhnliche Verhalten jeder Identität in Ihrer Umgebung und erkennt Abweichungen, ohne vorher eine Regel dafür zu kennen | Erkennt schützenswerte Inhalte und verfolgt ihren Weg über E-Mail, Endgerät und Cloud; setzt Regeln für Datenarten durch und verbindet Datenbewegungen mit dem Verhalten der Person dahinter |
| Bei KI-Agenten | Darktrace / SECURE AI, seit September 2026 verfügbar: Sitzungen in ChatGPT Enterprise, Claude, Microsoft Copilot und Amazon Bedrock, Rechte und Verhalten von Agenten — auch schon während sie gebaut werden | Bezieht die Arbeit mit Copilots, KI-Anwendungen und Agenten in Insider-Risk-Untersuchungen ein; weitere Funktionen für Daten- und KI-Sicherheit hat der Hersteller für Ende 2026 angekündigt |
| Sinnvoll, wenn | Sie Agenten einführen und noch nicht wissen, wie sie sich im Betrieb verhalten — oder unbekannte KI-Dienste im Haus vermuten | Sie wissen, welche Informationen schützenswert sind, und Regeln brauchen, die auch dann gelten, wenn ein berechtigtes Konto sie verschickt |
Zusammen ergeben die beiden ein vollständiges Bild: Das Verhaltensbild findet den ungewöhnlichen Vorgang, die Datenkontrolle entscheidet, ob er durchgehen darf. Wer nur eines davon braucht, bekommt nur eines. Die Einordnung beruht auf öffentlich verfügbaren Herstellerangaben. Welche angekündigten Funktionen zum Zeitpunkt Ihrer Einführung tatsächlich verfügbar sind, klären wir vor der Auswahl.
Die Reihenfolge ist unsere eigene Systematik, kein Herstellerbegriff. Sie hat einen Grund: Die ersten Schritte betreffen niemanden aus Ihrer Belegschaft, und sie wirken schon, bevor über den letzten entschieden ist.
Welche KI-Dienste werden genutzt, welche Agenten laufen, wer hat sie gebaut und mit welchen Rechten? Freigegebene wie nicht freigegebene.
Warum zuerst Was niemand kennt, kann niemand begrenzen. Und die Liste ist in fast jedem Haus länger als erwartet.
Ergebnis Ein Verzeichnis Ihrer KI-Dienste und Agenten samt ihrer Zugriffe.
Jeder Agent bekommt, was er für seine Aufgabe braucht — und nicht die Rechte dessen, der ihn eingerichtet hat.
Warum hier Das ist die wirksamste Maßnahme der ganzen Reihe, und sie kostet keine Lizenz. Was ein Agent nicht lesen darf, kann er auch nicht versenden.
Ergebnis Agenten mit begründeten, dokumentierten Rechten.
Das Verhalten der Agenten und KI-Sitzungen wird beobachtet, zunächst ohne einzugreifen. Abweichungen werden gemeldet, nicht blockiert.
Warum vor den Regeln Erst die Beobachtung zeigt, welche Regeln überhaupt nötig sind. Regeln aus dem Stand treffen die falschen Vorgänge — das ist derselbe Fehler, an dem DLP-Projekte scheitern.
Ergebnis Ein Bild davon, wie sich Ihre Agenten tatsächlich verhalten.
Regeln für Datenarten statt Verbote für Werkzeuge. Die Ausweitung auf das Verhalten von Mitarbeitenden folgt erst, wenn die Vereinbarung mit der Personalvertretung steht.
Warum zuletzt Weil sie die Mitbestimmung auslöst — und weil die Vereinbarung auf dem aufbauen kann, was die ersten drei Schritte gezeigt haben.
Ergebnis Regeln, die für Menschen und Agenten gleichermaßen gelten, und eine Vereinbarung, die nicht aus dem Stand entstehen musste.
Solange ausschließlich KI-Agenten und Datenflüsse betrachtet werden, betrifft das niemanden aus Ihrer Belegschaft. Mit dem vierten Schritt ändert sich das.
Ein System, das das Verhalten von Mitarbeitenden auswertet, ist ein technisches System, das geeignet ist, Verhalten von Arbeitnehmern zu erfassen. Für die Prüfung der Mitbestimmung gilt in Österreich: Kontrollmaßnahmen und technische Systeme, welche die Menschenwürde berühren, brauchen nach § 96 Abs 1 Z 3 ArbVG die Zustimmung des Betriebsrats in Form einer Betriebsvereinbarung. Die erforderlichen Rechtsgrundlagen und Beteiligungsschritte müssen vorab für den konkreten Einsatz geklärt werden.
Die Sorge dahinter sollte nicht kleingeredet werden. Genau davor schützt die Vereinbarung — und genau deshalb entsteht sie, bevor der erste Mensch betroffen ist, und nicht danach.
Wir bringen die technische Ausgestaltung in eine Form, die diesen Anforderungen entspricht, liefern die Grundlagen für die Vereinbarung und stehen für die Gespräche mit der Personalvertretung zur Verfügung.
Vertragspartner und Verantwortlicher sind in jedem Fall wir. Ein Ansprechpartner, keine Übergabekette.
Eingesetzte Technologien Darktrace / SECURE AI · Proofpoint Insider Threat Management · Proofpoint Data Loss Prevention
Wir richten kein System zur Leistungskontrolle ein und führen keine Verdachtsermittlungen gegen einzelne Mitarbeitende. Wir werten nichts personenbezogen aus, was Ihre Vereinbarung nicht ausdrücklich vorsieht. Und wir versprechen nicht, dass ein Agent nichts Falsches tut.
Das Letzte ist der Punkt, an dem genau hinzusehen ist.
Ein KI-Agent folgt Anweisungen, und niemand kann heute ausschließen, dass er eine falsche befolgt. Was sich erreichen lässt: dass er nur an die Daten kommt, die er braucht, und dass es auffällt, wenn er sich anders verhält als vorgesehen. Wer Ihnen mehr zusagt, sagt Ihnen etwas zu, das kein Hersteller in seinen Vertrag schreibt.
Zugriffskontrolle und Personalsicherheit gehören ausdrücklich zu den Risikomanagementmaßnahmen, die betroffene Einrichtungen nachweisen müssen. Ein Agent mit den Rechten seines Erstellers ist eine Zugriffsfrage — nur eine, die in keiner Berechtigungsübersicht auftaucht.
Wer personenbezogene Daten verarbeitet, muss ihre Vertraulichkeit durch geeignete technische und organisatorische Maßnahmen sichern — auch dann, wenn nicht ein Mensch, sondern ein Agent sie verarbeitet. Umgekehrt ist auch die Auswertung von Mitarbeiterverhalten eine Verarbeitung und braucht ihre eigene Grundlage; siehe Mitbestimmung.
Ohne angemessene Geheimhaltungsmaßnahmen liegt im Rechtssinn kein Geschäftsgeheimnis vor. Ob ein Agent, der alles lesen darf, dazu passt, ist eine Frage, die sich im Streitfall die Gegenseite stellt.
Dreißig Minuten, in denen wir einordnen, welche KI-Dienste und Agenten bei Ihnen laufen, mit welchen Rechten — und womit Sie sinnvoll anfangen, ohne dass zuerst Ihre Belegschaft betroffen ist.
Vier Ergebnisse, die sich nach der Einführung überprüfen lassen — nicht vier Versprechen.
