Agenten sind der letzte Schritt, nicht der erste
In den meisten Produktvorstellungen, die wir dieses Jahr gesehen haben, gibt es die Folie mit den Agenten. Eine KI, die Aufgaben übernimmt, Tickets schließt, Maßnahmen umsetzt, Vorfälle bearbeitet. Es ist die Folie, bei der alle im Raum aufmerksam werden, und es ist die Folie, die als erste gezeigt wird.
Das ist die falsche Reihenfolge. Sie macht den teuersten Schritt zum ersten.
Warum Handeln der teuerste Anfang ist
Ein Agent, der handelt, braucht drei Dinge, bevor er irgendjemandem Arbeit abnimmt: eine belastbare Datengrundlage, eine Freigabestrecke und jemanden, der die Verantwortung trägt. Fehlt eines davon, verschiebt er Arbeit, statt sie zu erledigen.
Die Datengrundlage. Ein Agent, der auf einem lückenhaften Bestand arbeitet, vervielfacht die Lücke. Wenn das Asset-Verzeichnis die Hälfte der Systeme nicht kennt, schließt er Maßnahmen für eine Hälfte und meldet Vollzug. Der Fehler ist danach schwerer zu finden als vorher, weil er jetzt aussieht wie erledigte Arbeit.
Ein Beispiel. Ein Agent bekommt die Aufgabe, für alle Server die Prüfung der Protokollierung nachzuhalten. Er liest das Asset-Verzeichnis, findet achtzig Systeme, arbeitet sie ab und meldet achtzig erledigte Prüfungen. Im Haus stehen hundertzehn. Die dreißig fehlenden waren nie im Verzeichnis, weil sie aus einer Übernahme stammen und nie erfasst wurden. Vorher war das eine bekannte Lücke. Jetzt ist es ein grüner Bericht über achtzig Systeme, und niemand sucht mehr.
Die Freigabestrecke. Sobald ein Agent handeln darf, braucht jede Handlung mit Folgen eine Freigabe, einzeln oder als vorab erteilter Auftrag, den jemand verantwortet. Damit landet die Last wieder bei denselben zwei Leuten, die vorher überlastet waren. Automatisiert wurde die Produktion, der Engpass steht unverändert dahinter.
Die Verantwortung. Wenn ein Agent eine Maßnahme als umgesetzt markiert und das Audit ergibt später etwas anderes, ist die Frage nicht technisch. Sie lautet, wer das behauptet hat.
Keines dieser drei Probleme löst sich dadurch, dass das Modell besser wird.
Die Reihenfolge, die Arbeit abnimmt
KI kann in einem ISMS drei Dinge tun: ableiten, fragen, handeln. Die drei bauen aufeinander auf. Jeder Schritt setzt voraus, was der vorige liefert, und keiner ersetzt ihn: Wer später Agenten handeln lässt, leitet weiter ab und fragt weiter. Sie unterscheiden sich darin, wie viel Vertrauen sie voraussetzen und wie viel Arbeit sie einsparen.
Ableiten
Der unscheinbarste Schritt und der wirksamste. Unterlagen und Organisationsangaben gehen hinein, und daraus entstehen die Gegenstände eines ISMS: Systeme, Dienstleister, Risiken, Maßnahmen, die Bindung an die Anforderungen des Katalogs, am Ende Richtlinien.
Das läuft in sechs Stufen, und die Reihenfolge ist zwingend, weil jede auf dem Ergebnis der vorigen steht. Aus einem gescannten Vertrag wird zuerst lesbarer Text, daraus werden Gegenstände. Zu den Gegenständen kommen Risiken, zu den Risiken Maßnahmen, die Maßnahmen werden an Anforderungen gebunden. Erst am Ende entsteht ein Richtlinientext. Wer in der Mitte einsteigt, hat die Bindung an das eigene Haus verloren, und genau das passiert bei Musterrichtlinien von der Stange.
Dieser Schritt kommt zuerst, weil seine Vertrauensschwelle niedrig ist. Jede Stufe erzeugt Vorschläge. Ein Mensch nimmt sie an, einzeln oder je Stufe, und lehnt ab, was nicht passt. Ohne Annahme gelangt nichts in den Bestand. Wer beim Start eines Laufs die automatische Übernahme wählt, nimmt damit alle Vorschläge dieses Laufs unter seinem Namen an.
Damit werden die drei Probleme von oben handhabbar. Die Datengrundlage entsteht hier gerade erst. Die Freigabestrecke ist der Annahmeschritt selbst. Und die Verantwortung liegt eindeutig bei dem, der angenommen hat.
Er ist außerdem der Schritt, der den größten Einzelposten in einem ISMS-Projekt angreift, nämlich die Aufnahme des Ist-Zustands.
Fragen
Der zweite Schritt setzt einen belastbaren Bestand voraus, wie ihn der erste Schritt liefert. Ein Antwortsystem ohne Datengrundlage ist ein Chat mit Meinungen.
Liegt die Grundlage vor, verschiebt sich etwas im Alltag. Die Frage „Wie viele offene Maßnahmen hat Standort Nord über der Frist?" wird beantwortbar, ohne dass jemand eine Auswertung baut. Bei uns heißt dieser Teil OdySecure Navigator, er ist live, und er arbeitet über eine feste Menge serverseitig geprüfter Abfragen, derzeit 34.
Der Wert eines solchen Systems liegt in dem, was es verweigert. Seine Datenabfragen antworten nur im Rahmen der Leserechte des Fragenden. Und es unterscheidet zwei Fälle, die oft zusammenfallen: keine Daten und kein Leserecht. Wer diese beiden Fälle zu einer leeren Antwort verschmilzt, erzeugt genau die Art von Nichtaussage, die später als Beleg herhält.
Eine Zahl, die aus einer geprüften Abfrage kommt und ihre Quelle mitbringt, ist etwas anderes als eine Zahl, die ein Modell aus einem Kontextfenster zusammensetzt. Im Audit zählt nur die erste.
Handeln
Erst hier kommen die Agenten, und erst hier stimmt die Rechnung, weil die Voraussetzungen jetzt vorliegen.
Was dafür gebaut sein muss, lässt sich aufzählen. Ein Agent braucht ein eigenes Konto mit eigenen Rollen, damit seine Handlungen von denen eines Menschen unterscheidbar bleiben. Er braucht einen sichtbaren Ausweis, damit niemand eine Agentenhandlung für eine Kollegenhandlung hält. Vorschlagen bleibt der Standard. Wer einem Agenten das Handeln erlaubt, braucht dafür zwei verschiedene berechtigte Menschen. Dazu harte Sperren, die keine Freigabe aufhebt: keine endgültige Schließung von Vorfällen, keine Risikoakzeptanz, keine Selbst-Berechtigung. Und ein Kill-Switch samt ablaufender Zugangsschlüssel.
Bei uns ist dieser Schritt im Test, im eigenen Betrieb. Das ist kein allgemein verfügbares Merkmal.
Warum trotzdem alle mit Agenten anfangen
Der Grund heißt Vorführbarkeit.
Ableiten sieht in einer Demo schlecht aus. Man lädt ein Dokument hoch, wartet, und danach steht eine Liste von Vorschlägen da, die jemand durchsehen muss. Das ist die Arbeit, um die es geht, und es ist langweilig anzusehen.
Ein Agent, der ein Ticket aufmacht, eine Maßnahme zuweist und eine Rückmeldung schreibt, sieht in denselben neunzig Sekunden nach Zukunft aus. Er erzeugt im Raum das Gefühl, dass hier jemand ein Problem gelöst hat.
Deshalb steht die Agenten-Folie vorn, und deshalb steht sie bei den meisten vorn. Sie ist die stärkste Folie im Deck. Über ihren Nutzen im ersten Jahr sagt das nichts.
Ein zweiter Grund kommt dazu. Agenten lassen sich an viele bestehende Werkzeuge anbauen, ohne deren Kern zu ändern. Ableiten meist nicht: Wer aus Unterlagen einen Bestand erzeugen will, braucht ein Datenmodell, das Vorschläge von angenommenen Einträgen unterscheidet, eine Herkunft je Eintrag und den Namen dessen, der ihn angenommen hat. Das ist eine Änderung am Fundament, und wer sie nicht hat, verkauft die Folie, die er bauen kann.
Die Reihenfolge ist keine Ausrede für später
Der übliche Einwand lautet, das sei eine höfliche Art zu sagen, dass die Agenten noch nicht fertig sind. Der Einwand wäre berechtigt, wenn die ersten beiden Schritte nur Vorbereitung wären. Sind sie nicht.
Ableiten ohne die weiteren Schritte kann den größten Posten im Aufbau senken. Fragen ohne Handeln ersetzt einen Teil der wiederkehrenden Auswertungen im Betrieb. Wer beim zweiten Schritt stehen bleibt, kann den Aufwand seines ISMS senken, ohne je einem Agenten eine Handlung erlaubt zu haben.
Umgekehrt gilt das nicht. Wer mit dem dritten Schritt anfängt, ohne geprüften Bestand und ohne eingespielte Freigaben, hat einen Agenten, der auf Lücken arbeitet, und eine Freigabestrecke, die niemand bedienen kann.
Was die umgedrehte Reihenfolge kostet
Für die Seite, die das Budget freigibt, lässt sich das in Positionen schreiben.
Der größte Einzelposten eines ISMS-Aufbaus ist die Aufnahme des Ist-Zustands: Systeme erfassen, Dienstleister sichten, Verträge lesen, Verantwortlichkeiten klären. Sie wird meist in Beratungstagen oder eigener Arbeitszeit bezahlt, und sie fällt an, bevor ein Werkzeug belastbar etwas anzeigen kann.
Wer bei den Agenten anfängt, streicht diesen Posten nicht. Er verschiebt ihn nach vorn, weil der Agent ohne Bestand nichts tun kann, und bezahlt ihn zusätzlich zur Agentenlizenz. Das Ergebnis ist ein Projekt, in dem der teuerste Teil unverändert von Menschen erledigt wird und der sichtbarste Teil eine Lizenz kostet.
Wer beim Ableiten anfängt, greift diesen Posten an. Die Aufnahme wird nicht kostenlos, aber sie verschiebt sich von Erzeugen zu Prüfen, und Prüfen ist in aller Regel die billigere Tätigkeit. Wie viel das spart, hängt davon ab, wie gut die Unterlagen im Haus sind. Eine Zahl dafür nennen wir nicht, weil wir keine haben, die für Ihr Haus gilt.
Die zweite Position ist die Haftung. Eine Handlung, die ein Agent ausgeführt hat, muss jemand verantworten können. Solange nicht geklärt ist, unter welchem Konto sie lief und wer sie freigegeben hat, ist diese Position offen.
Was Sie einen Anbieter fragen sollten
Wenn die Agenten-Folie kommt, sind vier Fragen nützlich.
Woher kommt der Bestand, auf dem der Agent arbeitet? Wenn die Antwort ein Importformat ist, ist die Aufnahme des Ist-Zustands weiterhin Ihr Problem.
Was passiert, wenn der Agent etwas nicht weiß? Erfindet er, fragt er nach, oder weist er eine Lücke aus? Unbrauchbar ist nur die erste Antwort.
Unter welchem Konto handelt der Agent? Handelt er unter dem Konto des Bedieners, unterscheidet das Protokoll beide nicht mehr am Konto. Das Protokoll ist der Grund, warum Sie das Werkzeug kaufen.
Was kann der Agent auch mit Freigabe nicht? Ein Anbieter ohne Liste harter Sperren kann nicht belegen, dass er die Frage beantwortet hat.
Der Satz, der übrig bleibt
Souveränität und Kontrolle sind die Bedingungen, unter denen KI in ein ISMS darf. Der Nutzen entsteht woanders, nämlich beim Ableiten, und er entsteht dort schon heute.
Wer nur über Agenten spricht, hat die Reihenfolge verwechselt und verkauft den teuersten Schritt zuerst.
Die Probe ist einfach. Fragen Sie, was das Werkzeug für Sie tut, wenn Sie keinem Agenten eine einzige Handlung erlauben. Bleibt dann etwas übrig, reden Sie über ein Produkt. Bleibt nichts übrig, reden Sie über eine Folie.
Am ausgelieferten Quelltext von OdySecure und am internen Produktkontext gemessen, Stand 10.10.2026. Beschrieben ist die Fähigkeit der Plattform, keine Zusage über Verfügbarkeit oder Umfang einer einzelnen Installation. Das Handeln durch Agenten ist im Test im eigenen Betrieb und nicht allgemein verfügbar.