Shadow Agents sind gefährlicher als Shadow Chat
Shadow Agents verändern das Risiko, weil sie Kontext behalten, Tools aufrufen, Zugangsdaten nutzen und Systeme verändern können. Nicht genehmigte Chats können weiterhin Daten offenlegen oder zu einer schlechten Entscheidung führen. Ein Agent kann diese Entscheidung jedoch direkt in einen operativen Workflow tragen. Erkennung und begrenzte Freigabe sollten deshalb vor einem pauschalen Verbot kommen.
Der Wandel führt von nicht genehmigter Unterstützung zu nicht genehmigter Autorität. Security-Teams müssen nicht nur wissen, welches Modell verwendet wurde, sondern auch, welche Identität, welche Daten, welches Tool und welche Aktion damit verbunden waren.
Die Antwort beginnt mit dem Betriebsmodell für agentische KI, nutzt die Eskalationslogik der Minimum-Viable-KI-Governance und überträgt die praktischen Guardrails aus dem Umgang mit Cloud-Unsicherheit.
Vom Prompt zur Aktion
Der Unterschied zwischen Shadow Chat und Shadow Agents ist nicht semantisch, sondern operativ. Shadow Chat bedeutet, dass eine Person ein Tool außerhalb ihrer Organisation nutzt oder sensible Informationen mit einem nicht vertrauenswürdigen Modell teilt. Das Risiko betrifft vor allem Reputation oder Informationen und bleibt innerhalb des Chatfensters.
Shadow Agents können Tools aufrufen, APIs ansprechen und Systemzustände verändern. Ein nicht genehmigter Agent könnte ein gemeinsames Laufwerk lesen, einen Beschaffungsprozess auslösen oder mit dem Zugriff seines Erstellers einen Kundendatensatz aktualisieren. Ohne sichtbaren Identity- und Tool-Call-Kontext wirkt diese Aktivität womöglich wie gewöhnlicher Anwendungs- oder Benutzerverkehr.
Die im Dezember 2025 veröffentlichten OWASP Top 10 for Agentic Applications beschreiben genau diese Gefahren, darunter Goal Hijacking und Tool Misuse. Die Risiken steigen, wenn ein Agent mit gestohlenen oder missbräuchlich verwendeten Identitäten arbeitet. Code auszuführen oder Systeme zu verändern erzeugt Supply-Chain-Risiken und die Gefahr unerwarteter Ausführung, deren Folgen sich durch die digitale Infrastruktur einer Organisation ausbreiten können.
Die Shadow-Agent-Landschaft erfassen
Um diese Bedrohung zu steuern, muss zuerst die Shadow-Agent-Landschaft erfasst werden. Suchen Sie nach Agent Buildern, Automatisierungsplattformen, OAuth Grants, Service Principals, API Tokens, ungewöhnlichen Tool-Call-Mustern und neu angelegten Integrationen. Ziel ist zu verstehen, was handelt, welche Tools es aufruft und wessen Autorität es nutzt.
Ein wesentlicher Teil dieser Erfassung ist der Auswirkungsradius nicht autorisierter Aktionen. Erhält ein Agent Zugriff auf ein privilegiertes Konto, kann er theoretisch jedes System beeinflussen, das diese Identität zur Authentisierung oder Autorisierung nutzt. Das Risiko bleibt nicht auf die erste Kompromittierung begrenzt, sondern breitet sich durch die Vernetzung moderner Cloud-Umgebungen aus.
Nutzen Sie vorhandene Telemetrie aus Identity, SaaS, Endpoints, Netzwerk und Cloud, soweit sie diese Evidenz liefern kann. Es gibt kein universelles Signal „Agent erkannt“. Es braucht genug korrelierte Sichtbarkeit, um einen genehmigten Automatisierungspfad von einem ungeklärten zu unterscheiden und Untersuchungen zu ermöglichen, ohne legitime Arbeit standardmäßig zu stoppen.
Ein Agenteninventar für die Governance
Das zweite Element, das die Führung braucht, ist ein Modell für das Agenteninventar. Organisationen können nicht steuern, was sie nicht kennen. Alle autonomen Agenten – genehmigt oder im Schatten – müssen erfasst werden, einschließlich ihrer Fähigkeiten und Datenzugriffsrechte.
Das Modell behandelt jeden KI-Agenten als potenzielles Asset, das registriert und klassifiziert werden muss. Ein Verzeichnis hält Agentenidentitäten, erlaubte Tools und operative Grenzen fest. Damit können Security-Teams konsistente Richtlinien auf alle Agenten anwenden und harmlose Automatisierung von bösartigem Verhalten unterscheiden.
Der Prozess entdeckt vorhandene Agenten über Netzwerkverkehrsanalyse und Application Monitoring, registriert sie in einer zentralen Governance-Plattform und klassifiziert sie nach Risikoprofil. So werden gezielte Kontrollen möglich statt breiter, wirkungsloser Verbote. Ein Agenteninventar schafft die Transparenz, die für fundierte Entscheidungen über erlaubtes oder einzuschränkendes Agentenverhalten nötig ist.
Das Unbekannte ermöglichen oder verbieten
Der Zielkonflikt zwischen Ermöglichung und Verbot ist entscheidend. Pauschale Verbote scheitern häufig, weil sie jede Schattenaktivität als grundsätzlich bösartig behandeln. Dabei entstehen viele Agenten durch Mitarbeitende, die ein Problem schnell lösen wollen. Angst treibt die Aktivität weiter in den Untergrund und macht das tatsächliche Risiko unsichtbar.
Ein sicherer, unterstützter Standardweg ermöglicht Experimente und begrenzte Freigaben. Teams brauchen eine Möglichkeit, Agentenverhalten in kontrollierten Umgebungen mit kleinem Auswirkungsradius zu testen. Statt „keine KI“ sollte die Frage lauten: „Was kann dieser Agent sicher tun?“
Dafür braucht es klare Guardrails und eine brauchbare, unterstützte Alternative. Begrenzen Sie Aktionen mit hoher Auswirkung, halten Sie die Registrierung schlank und geben Sie Teams eine Sandbox, in der sie Wert mit kleinem Auswirkungsradius belegen können. So sinkt der Anreiz, sinnvolle Experimente zu verbergen, während unsichere weiterhin gestoppt werden können.
Erkennen, registrieren, begrenzen, beobachten, stilllegen
Die Reaktion auf Shadow Agents sollte einem strukturierten Ablauf folgen: erkennen, registrieren, begrenzen, beobachten und stilllegen. Dieser Lifecycle stellt sicher, dass jeder Agent erfasst und entsprechend seinem Risikoprofil gesteuert wird.
Erkennung bedeutet, mit Verhaltensanalyse und Identity Verification kontinuierlich nach neuen Agenten zu suchen. Registrierung nimmt sie mit definierten Berechtigungen ins Inventar auf. Begrenzung wendet konkrete Regeln an, etwa den Zugriff auf sensible Daten zu sperren oder für bestimmte Operationen eine menschliche Freigabe zu verlangen. Beobachtung erkennt Abweichungen vom erwarteten Verhalten und ermöglicht Eingriffe in Echtzeit. Stilllegung sorgt schließlich dafür, dass nicht mehr benötigte Agenten oder Agenten mit unvertretbarem Risiko außer Betrieb genommen werden.
Der Ablauf macht aus Shadow Agents ein beherrschbares operatives Thema statt eines reinen Security-Problems. Security, IT und Fachbereiche müssen gemeinsam festlegen, welche Automatisierung akzeptabel ist. So kann die Organisation die Risiken autonomer KI reduzieren und zugleich ihre Produktivitätsvorteile nutzen.
Einen sichtbaren Eingang anbieten
Die Führungsentscheidung lautet nicht, ob jeder Mitarbeitende einen autonomen Agenten bereitstellen darf. Sie lautet, ob das Unternehmen einen sichtbaren und zügigen Weg bietet, einen Agenten vorzuschlagen. Veröffentlichen Sie Registrierungsweg, Low-Risk-Sandbox, verbotene Aktionen und die Evidenz, die für weitergehenden Zugriff erforderlich ist.
Messen Sie anschließend, ob Teams diesen Weg nutzen. Umgehen fähige Teams ihn weiterhin, untersuchen Sie zuerst die Reibung, bevor Sie das nächste Verbot formulieren. Ein unterstützter Standardweg ist eine Entscheidung über Menschen und zugleich eine Kontrolle: Sinnvolle Experimente bekommen einen Ort – und Security einen Ort, an dem sie suchen kann.
