Agent Permission Gateway — KI-Agenten mit Least-Privilege absichern
Ein self-hosted Kontrolllayer zwischen KI-Agenten und ihren Werkzeugen: enge Rechte pro Tool, kurzlebige Just-in-Time-Tokens, Autorisierung pro Schritt, ein Human-in-the-Loop-Gate vor irreversiblen Aktionen und ein manipulationssicheres Audit-Log. Demo-Referenzarchitektur, kein zertifiziertes Produkt.
Mal ehrlich: Die meisten KI-Agenten laufen heute mit einem geteilten Admin-API-Key und der Hoffnung, dass die Anweisung „sei vorsichtig" reicht. Tut sie nicht.
Der Replit-Vorfall — eine gelöschte Produktionsdatenbank trotz gegenteiliger Anweisung — und EchoLeak (CVE-2025-32711, Zero-Click-Datenabfluss aus M365 Copilot) zeigen, was passiert, wenn ein Agent mehr darf, als er sollte.
Diese Demo zeigt, wie ein Gateway dazwischen die Frage „Welche Rechte hat die KI?" technisch beantwortbar macht — nicht per Prompt, sondern per Berechtigung.
So läuft eine abgesicherte Tool-Aktion
Jeder Tool-Aufruf eines Agenten durchläuft Identitätsprüfung, kurzlebiges Token und Autorisierung pro Schritt — bei irreversiblen Aktionen zusätzlich eine menschliche Freigabe. Alles landet im unveränderlichen Audit-Log.
Vorher vs. Nachher
| Aspekt | Vorher | Nachher |
|---|---|---|
| Zugang | geteilter Admin-Key für alles | eigene, enge Credentials pro Agent |
| Irreversible Aktion | läuft ungeprüft durch | Freigabe-Gate, Mensch entscheidet |
| Token | dauerhaft gültig | Just-in-Time, kurzlebig |
| Autorisierung | nur am Start geprüft (TOCTOU) | pro Schritt geprüft |
| Nachvollziehbarkeit | verstreute Logs | ein unveränderliches Audit-Log |
| Prompt Injection | „sei vorsichtig" im Prompt | externe Inhalte = Daten, nicht Befehle |
Die Herausforderung
Sobald ein Agent echte Aufgaben übernimmt, wird seine Berechtigung zum eigentlichen Risiko — nicht seine Halluzination. Die OWASP Top 10 for Agentic Applications (Dezember 2025) benennen das direkt: ASI03 Identity & Privilege Abuse, ASI02 Tool Misuse und ASI10 Rogue Agents.
In der Praxis fehlt den meisten Setups (a) eine eigene Identität pro Agent, (b) eng geschnittene Rechte pro Werkzeug, (c) eine Freigabe vor irreversiblen Aktionen und (d) ein lückenloses Protokoll, wer was veranlasst hat. Stattdessen: ein geteilter Generalschlüssel und gut gemeinte Prompts.
Die dokumentierten Eskalations-Muster sind konkret: Delegationsketten reichen das volle Rechte-Set weiter statt nur das Nötige; gecachte Tokens werden über Nutzer hinweg wiederverwendet; Autorisierung passiert nur am Start, nicht pro Schritt (TOCTOU). Und fast jeder reale Vorfall ist ein Confused Deputy: Niemand hackt den Agenten — man überredet ihn über eine in Daten versteckte Anweisung.
Unsere Lösung
Ein Gateway, das zwischen Agent und Werkzeugen sitzt und jede Tool-Nutzung erzwingt statt erbittet — self-hosted für volle Datensouveränität. Vier Bausteine:
1. Identität & Scope pro Agent. Jeder Agent bekommt eine eigene Identität und einen Satz eng geschnittener Rechte — read-only, wo Lesen reicht; konkrete Ressource statt Wildcard. Kein geteilter Generalschlüssel.
2. Just-in-Time-Tokens. Rechte werden pro Aufgabe kurzlebig ausgestellt und verfallen — kein Dauer-Token, das ewig gültig bleibt.
3. Human-in-the-Loop-Gate. Irreversible Aktionen (Geld bewegen, Daten löschen, extern kommunizieren) laufen nicht durch, sondern in eine Slack-/Teams-Freigabe. Der Mensch entscheidet, der Workflow dokumentiert.
4. Tamper-evident Audit-Log. Jeder Schritt schreibt unveränderlich mit — Agent-Identität, Tool, Input, Output, Zeitstempel, Mensch-Override. „Wer hat das freigegeben?" wird zum Datenbankeintrag.
Ehrliche Einordnung: Das Gateway ersetzt keine vollständige IAM-/SIEM-Strategie und ist kein zertifiziertes Sicherheitsprodukt. Es macht Least-Privilege für Agenten nachvollziehbar, erzwingbar und auditierbar — den Rahmen setzt weiterhin ein Sicherheitsverantwortlicher.
Hauptmerkmale
Per-Tool-Scoping
Read-only vs. write, konkrete Ressource statt Wildcard. Ein rechnungslesender Agent hat kein Löschrecht — die OWASP-Empfehlung, nur die minimal nötigen Werkzeuge fein abgestuft zu vergeben, technisch erzwungen.
Just-in-Time-Credentials
Kurzlebige, aufgaben-gebundene Tokens aus einem Secrets-Manager statt fest verdrahteter Keys. Läuft die Aufgabe ab, verfällt das Recht — ein gekapertes Token ist schnell wertlos.
Human-in-the-Loop-Gate
Konfigurierbare Schwellen (Betrag, Aktionstyp, Datenklasse) lösen eine menschliche Freigabe in Slack oder Teams aus, bevor eine irreversible Aktion ausgeführt wird. Der Replit-Fall wäre damit ein Nicht-Ereignis gewesen.
Unveränderliches Protokoll
Append-only Audit-Log mit Agent-Identität, Tool, Payload-Hash, Override und Zeitstempel. Die Attributionslücke — wer hat eigentlich gehandelt, mit wessen Rechten — wird zum nachschlagbaren Eintrag.
Ergebnisse
Möglicher Aufbau, kein fertiges Produkt
Die dargestellten Zahlen sind Zielwerte und Erwartungswerte für einen möglichen Aufbau – basierend auf Branchen-Benchmarks, öffentlichen Studien zu vergleichbaren Setups und unseren eigenen Tests mit echtem Stack. Es handelt sich nicht um gemessene Ergebnisse aus einem konkreten Kundenprojekt; tatsächliche Werte hängen von Unternehmensgröße, Prozessreife und Integrationstiefe ab. Wir bieten diesen Aufbau nicht als fertiges Produkt an. Wir helfen Teams, Prozesse zu konzipieren, zu automatisieren und intern zu betreiben – über Architektur-Beratung, Workshops und Implementierungs-Unterstützung mit n8n. Für regulierte Drittsysteme mit Zertifizierungs- oder Lizenzanforderungen (z. B. KIS, gematik, DATEV-zertifiziert) ergänzen wir uns mit spezialisierten Partnern.
Aus „der Agent hat einen Admin-Key und wir hoffen das Beste" wird „jeder Agent hat nur die Rechte für seine Aufgabe, irreversible Aktionen brauchen eine Freigabe, und alles ist protokolliert". Demo-Werte, illustrativ.
Integrationen
Nahtlose Anbindung an Ihre bestehende Infrastruktur
n8n (self-hosted)
OrchestrierungZentrale Gateway-Engine: Policy-Prüfung, Token-Ausstellung, Freigabe-Gates und Audit-Log
Make / Zapier
Agenten-AnbindungBestehende KI-Workflows werden per Webhook über das Gateway geführt
Vault / Secrets-Manager
JIT-CredentialsStellt kurzlebige, aufgaben-gebundene Tokens aus statt fest verdrahteter Keys
Policy-Engine (OPA)
BerechtigungEntscheidet pro Schritt, ob eine Tool-Aktion erlaubt ist — Least-Privilege als Code
Slack / Teams
Freigabe-GateMenschliche Freigabe für irreversible Aktionen, direkt im Chat
PostgreSQL
Audit-LogUnveränderliches Protokoll aller Agenten-Schritte und Freigaben
Sicherheit & Compliance
Enterprise-ready mit höchsten Sicherheitsstandards
Datensouveränität durch Self-Hosting
Das gesamte Gateway läuft self-hosted (n8n) im eigenen Rechenzentrum oder EU-Hosting. Agenten-Credentials und Audit-Daten verlassen nie das Haus.
Least-Privilege erzwungen
Rechte werden pro Tool fein abgestuft und kurzlebig vergeben. Ein Agent kann technisch nur das, wofür er gerade autorisiert ist — nicht, was sein geteilter Key zufällig erlauben würde.
Externe Inhalte als Daten behandelt
Alles, was der Agent aus E-Mails, Dokumenten, Webseiten oder Tickets liest, wird als Daten behandelt, nicht als Befehl — die Grundabwehr gegen indirekte Prompt Injection wie bei EchoLeak.
Unveränderlicher Audit-Trail
Jeder Agenten-Schritt und jede Freigabe wird append-only mit Zeitstempel, Identität und Payload-Hash protokolliert — nachvollziehbar bei Vorfällen und Streitigkeiten.
Technologie-Stack
Häufige Fragen
Ähnliche Showcases
EU AI Act Compliance Cockpit – Pflichten automatisiert nachweisen
EU AI Act und DSGVO selbst automatisieren: zentrales KI-Register, unveränderlicher Audit-Trail, Human-in-the-Loop-Gate für automatisierte Entscheidungen und automatische Art.-50-Transparenzhinweise. Fristen-sicher statt Excel-Liste.
DSGVO-Auskunftsersuchen automatisieren: die Multi-Agent-Crew (Art. 15)
Auskunftsersuchen nach Art. 15 DSGVO in Tagen statt Wochen: ein Multi-Agenten-System durchsucht parallel CRM, Postfächer, Tickets und Dateien, schwärzt Dritt-Daten automatisch, der Datenschutzbeauftragte gibt frei. Self-hosted, fristen-sicher, auditierbar.
Engpassdiagnose – als eigenständiges Tool
Schnell prüfen, wo in Ihren Abläufen Zeit und Geld verloren gehen: die Engpassdiagnose gibt es auch als eigenes Tool unter engpassdiagnose.de.