148 Aufgaben, 16 Agenten, ein Angebot: Wie KI-Agenten sicher zusammenarbeiten
Eine Ausschreibung über 2,4 Millionen Euro, Abgabe morgen früh. Früher hieß das: Nachtschicht für das halbe Team. Heute kann ein Team aus KI-Agenten den Großteil dieser Arbeit übernehmen – wenn man es richtig baut. Das Modell ist dabei der kleinste Teil des Problems.
Inhalt
Das Wichtigste in Kürze
- Ein einzelner Agent stößt bei großen Aufgaben schnell an Grenzen. Agenten-Teams teilen die Arbeit wie ein gutes Projektteam: ein Koordinator, mehrere Spezialisten.
- Agenten greifen nie direkt auf Ihre Systeme zu, sondern über ein Werkzeug-Gateway, das Rechte prüft, protokolliert und Limits setzt.
- Jeder Agent bekommt nur die Rechte, die seine Aufgabe braucht – und kritische Aktionen wie Rabatte oder Kundenversand bleiben bei einem Menschen.
- Ein lückenloses Audit-Protokoll macht aus einer Blackbox ein nachvollziehbares System – für die IT, den Datenschutz und das Management.
Vom Chatbot zum Agenten-Team
Ein Chatbot beantwortet Fragen. Ein Agent erledigt Aufgaben: Er plant Schritte, ruft Werkzeuge auf, liest und schreibt Daten, prüft Zwischenergebnisse und korrigiert sich. Das ist ein großer Schritt – aber bei wirklich umfangreichen Aufträgen stößt auch ein einzelner Agent an Grenzen. Der Kontext wird zu groß, die Aufgaben zu verschieden, die Fehlersuche zu schwierig.
Die Lösung ist dieselbe wie bei Menschen: Arbeitsteilung. Ein Koordinator zerlegt den Auftrag, Spezialisten übernehmen Teilaufgaben, und am Ende wird das Ergebnis zusammengeführt und geprüft. Jeder Spezialist hat einen klaren Auftrag, eigene Werkzeuge und eigene Rechte. Das macht das System nicht nur leistungsfähiger, sondern vor allem kontrollierbarer.
Das Beispiel: eine Ausschreibung über Nacht
Nehmen wir einen typischen Fall aus dem Mittelstand: Ein Unternehmen der Pumpentechnik soll bis zum nächsten Morgen auf eine öffentliche Ausschreibung antworten. Dafür braucht es die Kundenhistorie aus dem CRM, Preise und Lieferzeiten aus dem ERP, Referenzprojekte und Zertifikate aus der Dokumentenablage, eine rechtliche Prüfung der Vertragsbedingungen und am Ende ein sauber formatiertes Angebot.
Im Beispiel zerfällt der Auftrag in fünf Arbeitsbereiche und schließlich in 148 Einzelaufgaben. 16 Agenten arbeiten sie parallel ab. Zweimal wird es spannend: Der Kalkulations-Agent versucht, auf Gehaltsdaten zuzugreifen – und wird gestoppt. Und ein Rabatt von 12 Prozent landet nicht automatisch im Angebot, sondern wartet auf die Freigabe der Vertriebsleitung. Genau diese beiden Momente entscheiden darüber, ob ein Agenten-System im Unternehmen akzeptiert wird.
Die Architektur: fünf Schichten
Ein Agenten-Team, das mit echten Unternehmensdaten arbeitet, braucht eine klare Struktur. Bewährt hat sich ein Aufbau in fünf Schichten, bei dem jede Schicht eine eindeutige Verantwortung hat.
- Mensch: gibt Ziel, Frist und Qualitätskriterien vor und entscheidet bei definierten Ausnahmen.
- Koordinator: zerlegt den Auftrag, verteilt Aufgaben, überwacht den Fortschritt und prüft die Teilergebnisse gegen die Vorgaben.
- Spezialisten: bearbeiten jeweils einen fachlichen Bereich mit genau dafür passenden Werkzeugen und Anweisungen.
- Kontrolle: ein Werkzeug-Gateway, über das jeder Zugriff läuft – mit Rechteprüfung, Protokoll, Limits und Kostenkontrolle.
- Systeme: CRM, ERP, Datenbanken, Dokumentenablage, E-Mail – unverändert, angebunden über definierte Schnittstellen.
Der wichtigste Baustein ist die vierte Schicht. Für die Anbindung von Werkzeugen hat sich mit dem Model Context Protocol (MCP) ein offener Standard etabliert: Jedes System wird einmal als Werkzeug beschrieben und kann dann von verschiedenen Agenten und Modellen genutzt werden. Entscheidend ist aber nicht das Protokoll, sondern dass zwischen Agent und System immer eine Kontrollinstanz sitzt.
Zugriffsrechte: Least Privilege für Agenten
Was für Mitarbeitende selbstverständlich ist, gilt für Agenten erst recht: Jeder bekommt genau die Rechte, die seine Aufgabe erfordert. Der Vertriebs-Agent darf Kundendaten lesen und Notizen im CRM anlegen, aber keine Preise ändern. Der Kalkulations-Agent darf Preise lesen, aber nicht auf Personaldaten zugreifen. Kein Agent darf ohne Freigabe etwas an Kunden senden.
| Agent | CRM | ERP · Preise | ERP · Gehälter | Dokumente | |
|---|---|---|---|---|---|
| Vertrieb | schreiben | lesen | – | lesen | Freigabe |
| Kalkulation | lesen | lesen | verweigert | lesen | – |
| Technik | – | lesen | – | lesen | – |
| Recht | lesen | – | – | schreiben | – |
| Dokumentation | lesen | – | – | schreiben | Freigabe |
In der Praxis bewähren sich vier Regeln:
- Eigene Identität je Agent: Jeder Agent hat ein eigenes technisches Konto. So ist jeder Zugriff eindeutig zuzuordnen.
- Lesen und Schreiben trennen: Lesende Zugriffe sind die Regel, schreibende die gut begründete Ausnahme.
- Rechte an die Aufgabe binden: Zugriffe gelten für den konkreten Auftrag und laufen danach ab – nicht dauerhaft.
- Bestehende Rechte übernehmen: Arbeitet ein Agent im Auftrag einer Person, darf er nie mehr sehen als diese Person selbst.
Protokollierung: jeder Schritt nachvollziehbar
Ein Agenten-System, dessen Entscheidungen niemand nachvollziehen kann, wird zu Recht nicht freigegeben. Die Antwort darauf ist ein lückenloses Audit-Protokoll: Jeder Werkzeugaufruf wird mit Zeitpunkt, Agent, Aktion, betroffenen Daten und Ergebnis festgehalten – auch und gerade die verweigerten.
Dieses Protokoll ist mehr als eine Pflichtübung. Es ist das wichtigste Werkzeug für die Fehlersuche („Warum steht dieser Preis im Angebot?“), für die Qualitätssicherung („Welche Quellen hat der Agent genutzt?“) und für die Abstimmung mit Datenschutz und Betriebsrat. Wichtig dabei: Auch das Protokoll enthält Daten und braucht deshalb selbst ein Rechte- und Löschkonzept.
Menschen bleiben in der Entscheidung
Agenten-Teams sollen Arbeit abnehmen, nicht Verantwortung. Deshalb gehört zu jeder Einführung eine klare Festlegung, an welchen Stellen ein Mensch entscheidet. Bewährt haben sich Schwellenwerte statt pauschaler Freigaben:
- Rabatte über einem festgelegten Prozentsatz
- jeder Versand an Kunden, Lieferanten oder Behörden
- Änderungen an Stammdaten wie Preisen oder Konditionen
- Fälle, in denen der Agent selbst unsicher ist oder Quellen sich widersprechen
Gut gebaut, wird die Freigabe zu einem einzigen Klick mit allen nötigen Informationen – nicht zu einem Engpass. Im Beispiel reichen zwei Freigaben am Morgen für ein Angebot, an dem sonst mehrere Personen eine Nacht gearbeitet hätten.
Typische Fehler – und wie Sie sie vermeiden
- Ein Agent für alles: Ein einzelner „Super-Agent“ mit allen Werkzeugen ist schwer zu prüfen und zu begrenzen. Klare Rollen sind besser.
- Direkter Systemzugriff: Ohne Gateway fehlen Rechteprüfung, Protokoll und Limits an zentraler Stelle.
- Keine Evaluation: Ohne Testfälle mit bekannten Ergebnissen weiß niemand, ob eine Änderung das System besser oder schlechter macht.
- Unbegrenzte Kosten: Agenten rufen Modelle oft viele Male pro Aufgabe auf. Budgets und Abbruchkriterien gehören in die Architektur.
- Freigaben als Nachgedanke: Wer menschliche Entscheidungen erst am Ende einbaut, baut den Prozess meist zweimal.
Wo anfangen?
Der Weg zu einem produktiven Agenten-Team ist kein Großprojekt, wenn er in klaren Schritten geht: erst einen Prozess auswählen und die Rollen festlegen, dann Rechte und Protokoll aufsetzen, dann mit echten Fällen testen und Freigabeschwellen justieren. Die technische Grundlage – Gateway, Rechte, Protokoll – entsteht dabei einmal und trägt jeden weiteren Anwendungsfall.
Entscheidend ist, dass Fachbereich, IT und Datenschutz von Anfang an am Tisch sitzen. Dann wird aus der Frage „Dürfen wir das überhaupt?“ die Frage „Welchen Prozess nehmen wir als Nächstes?“.