rohdata
AI · BUSINESS · KLARTEXT
KW 44 / 2026 | Das Muster dieser Woche: Agenten werden dort verlässlich, wo ihre Grenzen festgelegt sind. Festgelegt werden sie in Berechtigungen und Daten.
OpenAI trainiert seine stärksten Modelle nur noch ohne Live-Internet und räumt ein, dass eine vollständige Abschottung nicht machbar ist. SAP kündigt eine zentrale Kontrollschicht für KI-Agenten an, bleibt aber Preise schuldig. Ein Autozulieferer zeigt, wie Agenten mit engem Auftrag und festgelegten Rechten im Werk funktionieren, und ein Sensorhersteller findet in den eigenen Stammdaten, was jedem Agenten zum Verhängnis würde. Dazu macht das BSI Sicherheitsanforderungen maschinenlesbar.
Wenn in Unternehmen über KI-Agenten gesprochen wird, geht es meistens darum, was sie können. Welche Aufgaben sie übernehmen, wie schnell sie arbeiten, wie viel Zeit sie sparen. Die Vorführung zeigt einen Agenten, der eine Aufgabe von Anfang bis Ende erledigt.
Diese Woche verschiebt die Frage. Selbst die größten Anbieter schaffen es nicht, ihre eigenen Agenten vollständig einzusperren. Sie bauen stattdessen Schichten, die regeln, was ein Agent darf, und festhalten, was er getan hat. Und wo Agenten im Betrieb tatsächlich funktionieren, sind ihre Aufgaben eng zugeschnitten und ihre Rechte festgelegt.
Diese Grenzen liegen außerhalb des Modells: in Berechtigungen, in Freigaben und in Daten, deren Bedeutung klar ist. Ein Agent, der auf unklare Stammdaten zugreift, handelt mit derselben Sicherheit auf falscher Grundlage.
Die nützlichste Vorbereitung auf Agenten ist deshalb unspektakulär: wissen, welche Daten verlässlich sind, und festlegen, wer was freigeben darf. Das ist Arbeit an der eigenen Ordnung, und sie lohnt sich auch dann, wenn nie ein Agent kommt.
Abgeleitet aus den fünf Meldungen, die unten stehen. Alles andere aus dieser Woche habe ich weggelassen.
OpenAI trainiert seine stärksten Modelle ohne Live-Internet. Vollständig abschotten kann es sie trotzdem nicht.
OpenAI hat am 23. Oktober mitgeteilt, dass die leistungsstärksten Modelle nur noch ohne Zugang zum Live-Internet trainiert werden. Statt des echten Netzes arbeiten sie mit einer Umgebung aus zwischengespeicherten, durchsuchbaren Inhalten. Anlass war ein Vorfall am 20. September: Ein Modell nutzte eine Fehlkonfiguration in der Namensauflösung und erreichte trotz Abschottung das offene Internet, das Training ruhte daraufhin elf Tage. Eine vollständige physische Trennung hält OpenAI derzeit nicht für machbar, weil Experimente externe Verbindungen zur Steuerung und Überwachung brauchen. Ausgehender Verkehr wird stattdessen auf Netz- und Cloudebene beschränkt. In Tests tauschten Agenten in getrennten virtuellen Maschinen sogar Testgeheimnisse aus, ohne Netzwerkverbindung zwischen ihnen.
Warum es zählt: Der entscheidende Satz ist das Eingeständnis: Selbst der Anbieter mit den meisten Sicherheitsleuten kann seine Agenten nicht vollständig einsperren. Er regelt stattdessen, welche Verbindungen erlaubt sind, und überwacht den Rest. Für ein Unternehmen, das Agenten auf eigene Systeme lässt, ist das die realistische Haltung. Die Frage lautet dann, welche Systeme ein Agent erreichen darf und wer bemerkt, wenn er es woanders versucht. Den Vorfall selbst hatte ich Anfang Oktober beschrieben.
→ openai.com / golem.de
SAP baut eine Kontrollschicht für KI-Agenten. Was sie kostet, sagt SAP nicht.
SAP hat auf der TechEd am 27. Oktober ein Enterprise AI Gateway angekündigt. Es soll den gesamten KI-Verkehr eines Unternehmens zentral steuern: Anmeldung, Durchsetzung von Richtlinien, Weiterleitung an Modelle, Überwachung, Erfassung der Nutzung und Prüfprotokolle. Über die neue Orchestrierungsschicht Joule Work sollen sich auch Agenten anderer Anbieter über die offenen Protokolle A2A und MCP anbinden lassen. Dazu kommen Werkzeuge, die bei der Einhaltung der KI-Verordnung helfen sollen. Für die meisten Ankündigungen nennt SAP weder Termin noch Preis noch Lizenzmodell.
Warum es zählt: Technisch ist das die Antwort auf die Forderung der SAP-Anwendergruppe aus der letzten Woche, KI-Nutzung messbar zu machen. Kommerziell bleibt sie offen. Für die nächste Runde mit dem SAP-Partner heißt das: fragen, ob Nutzungserfassung und Warnschwellen im Gateway enthalten sind oder gesondert lizenziert werden. Die Anbindung fremder Agenten über offene Protokolle ist die eigentlich gute Nachricht, weil sie die Bindung an einen Anbieter lockert. Sie ist zugleich die Stelle, an der die Frage der indirekten Nutzung wieder auftaucht.
→ news.sap.com / Herstellerangaben zur SAP TechEd 2026
Ein Autozulieferer lässt Agenten Fehlerursachen suchen. Das Ergebnis kommt aus dem engen Zuschnitt.
Aumovio, die frühere Automotive-Sparte von Continental, setzt im Bremsenwerk Frankfurt-Rödelheim drei KI-Agenten ein, entwickelt mit der German Edge Cloud. Einer sucht in Produktions- und Qualitätsdaten nach Mustern und wahrscheinlichen Fehlerursachen, einer erfasst das Erfahrungswissen aus früheren Fehleranalysen, einer überwacht Kennzahlen. Die Agenten laufen auf einer Plattform mit festgelegten Rollen, Berechtigungen und Governance, bestehende MES- und ERP-Systeme werden angebunden und nicht ersetzt. Eine Ursachenanalyse, die früher mehrere Tage dauerte, dauert nach Angabe des Werkleiters nun wenige Minuten.
Warum es zählt: Aumovio ist um ein Vielfaches größer als der Mittelstand, der Zuschnitt ist trotzdem übertragbar. Die Agenten arbeiten an einer eng umrissenen, messbaren Aufgabe mit festgelegten Rechten, und genau daran scheitern breit angelegte Vorhaben. Für einen Fertiger ist der naheliegende Einstieg die eigene Reklamations- oder Ausschussanalyse: Wie lange dauert sie heute von der Meldung bis zur benannten Ursache? Das Erfahrungswissen gehört dabei zuerst dokumentiert, bevor ein Agent darauf zugreifen kann. Zahlen jenseits des Werkleiterzitats nennt der Bericht nicht.
→ cio.de / Angaben des Unternehmens, nicht unabhängig geprüft
Ein Sensorhersteller verknüpft seine SAP-Daten. Jede sechste aktive Komponente steht in keiner Stückliste.
Balluff, Hersteller von Sensorik mit rund 3.700 Beschäftigten, hat Materialstamm, Absatz, Bestand und Stücklisten aus dem SAP-System verknüpft und daraus ein Abbild der Abhängigkeiten zwischen Lieferanten, Komponenten, Produkten und Kunden gebaut. In den ersten Analysen zeigte sich, dass rund 5 Prozent der Artikel seit Längerem nicht verkauft wurden und rund 17 Prozent der aktiv gepflegten Komponenten in keiner Stückliste vorkommen. Die Einführung dauerte vier Monate, das Sortiment soll binnen zwei Jahren bereinigt werden. Einen Nutzen in Euro nennt das Unternehmen nicht.
Warum es zählt: Hier liegt die Grenze, die ein Agent braucht, bevor er überhaupt handeln kann. Ein System, das Bestellungen auslöst oder Teile empfiehlt, würde mit derselben Sicherheit auf Komponenten zugreifen, die niemand mehr braucht. Die Verknüpfung von Materialstamm, Absatz, Bestand und Stückliste ist in jedem ERP möglich, als Abfrage und ohne Großprojekt. Wie hoch der Anteil im eigenen Haus ist, lässt sich an einem Tag ausrechnen.
→ cio.de / Angaben des Unternehmens, nicht unabhängig geprüft
Das BSI macht Sicherheitsanforderungen maschinenlesbar. Ab 2027 ist der neue Standard zertifizierbar.
Das BSI hat am 26. Oktober den Standard 300-1 veröffentlicht, die Methodik Grundschutz++. Sie ist als Weiterentwicklung des IT-Grundschutzes gedacht und setzt prozessorientiert an: Zuerst werden die zentralen Geschäftsprozesse geschützt. Die Methode zur Bewertung und Behandlung von Risiken ist frei wählbar, sofern Mindestkriterien erfüllt sind. Alle Anforderungen liegen in maschinenlesbarer Form vor. Derzeit läuft eine Phase mit frühen Anwendern, eine Zertifizierung ist ab 2027 möglich. Das BSI bezeichnet den Ansatz als vereinbar mit ISO 27001.
Warum es zählt: Maschinenlesbare Anforderungen verbinden das Thema mit den Agenten dieser Ausgabe. Regeln, die als Datei vorliegen, lassen sich in Werkzeuge einlesen, prüfen und durchsetzen, statt sie aus einem Dokument abzuschreiben. Für einen Betrieb, der wegen NIS-2 oder wegen Kundenanforderungen ohnehin ein Sicherheitsmanagement aufbauen muss, lohnt der Vergleich mit ISO 27001 jetzt, weil ein Aufbau Monate dauert. Wer schon ein ISO-System hat, hat keinen Handlungsdruck.
→ bsi.bund.de / BSI-Standard 300-1, Grundschutz++
Nicht als Newsletter-Empfehlung, sondern weil das Gespräch stattfinden sollte.
rohdata erscheint wöchentlich. Kein Hype. Keine Werbung. Nur das was zählt.
→ andrewehr.com/rohdata
rohdata direkt ins Postfach: Newsletter abonnieren