Unternehmen bauen Sprachmodelle und autonome Agenten in ihre Kernprozesse ein und werden dadurch schneller. Gleichzeitig entstehen Einstiegspunkte, die es vorher nicht gab. Zwei fallen besonders auf: frei ladbare Skills, deren Herkunft niemand geprüft hat, und kompromittierte Zugangsdaten. Das Muster ist bekannt. Es gleicht der Cloud-Migration der vergangenen Jahre, als Workloads in öffentliche Umgebungen wanderten, bevor jemand ein Sicherheitskonzept dafür hatte.
Skills aus dem Netz, Herkunft unbekannt
Agenten lassen sich über Skills und Erweiterungen ausbauen. Ein großer Teil dieser Bausteine stammt aus offenen Quellen und wird ohne Prüfung geladen. Herkunft und Verhalten sind selten dokumentiert, verdeckte Funktionen fallen deshalb erst im Betrieb auf, wenn überhaupt.
Thomas Boele, bei Check Point als Global Director Solutions Engineering für AI Security zuständig, beschreibt das Problem drastisch: Anwender fügen Skills hinzu, die sich einfach herunterladen lassen, und wissen nicht, was sie sich damit einhandeln. Ein erheblicher Anteil davon sei schädlich oder mit Hintertüren versehen.
Belege dafür gibt es. Die Kampagne Shai Hulud 2.0 kompromittierte über 600 npm-Pakete und rund 25.000 GitHub-Repositories und legte dabei Tausende Entwickler-Zugangsdaten offen, darunter Cloud-Schlüssel und GitHub-Token. Vergleichbare Risiken entstehen über das Model Context Protocol (MCP), das Agenten an externe Werkzeuge und Datenquellen anbindet. Manipulierte MCP-Server und präparierte RAG-Pipelines schleusen Schadlogik oder einen stillen Datenabfluss direkt in den Arbeitsfluss des Agenten ein.
Dazu kommen Agenten, die schlicht außer Kontrolle geraten. Einer mit Zugriff auf Zahlungsfunktionen löst im Fehlerfall Transaktionen an falsche Ziele aus. Ohne definierte Grenzen entsteht der Schaden sofort und ohne Angreifer.
Der andere Klassiker: geklaute Zugangsdaten
Neben Skills bleiben gestohlene Zugangsdaten der häufigste Einstieg. Infostealer greifen auf infizierten Rechnern Passwörter und gültige Session-Tokens ab, gern auch auf privaten Geräten, die nebenbei Zugriff auf Unternehmensdienste haben.
Ein gültiges Token aus Microsoft Entra ID hält eine angemeldete Sitzung befristet offen und tritt damit an die Stelle des zweiten Faktors. Hat das betroffene Konto erhöhte Rechte, reicht die Wirkung bis ins Active Directory. Aus einem Fund am Perimeter wird so ein Weg nach innen.
Daniel Dreier, AVP Exposure Management bei Check Point, betont deshalb einen simplen Prüfschritt: Entscheidend sei nicht, dass ein Credential geleakt ist, sondern ob es noch gültig ist und ob sich damit die Mehrfaktor-Anmeldung über ein Session-Token aushebeln lässt. Der DACH-Report des Herstellers verzeichnet für 2025 einen Anstieg der Angriffe um 124 Prozent, ordnet Deutschland mehr als 80 Prozent der regionalen Vorfälle zu und nennt kompromittierte Zugangsdaten als zentralen Ausgangspunkt für Ransomware.
Ein CVSS-Score sagt wenig über dein Risiko
Ein generischer CVSS-Wert beschreibt eine Schwachstelle losgelöst von deiner Umgebung. Ob sie sich tatsächlich ausnutzen lässt, entscheidet der Kontext. Eine vorgelagerte Firewall oder eine Web Application Firewall fängt manchen Angriff ab, bevor er überhaupt ankommt. Umgekehrt kann eine mittelschwere Lücke in deinem Aufbau die kritischste sein.
Eine kontextbezogene Validierung prüft deshalb aktiv, ob ein Angriff unter den gegebenen Bedingungen funktioniert, und bildet dafür wechselnde Angriffsmuster nach. Nach Herstellerangaben umfasst der Bestand solcher Testszenarien inzwischen rund 5.500 Fälle. Das Prinzip entspricht einem dauerhaften Red Teaming statt einer Momentaufnahme im Jahresbericht.
Guardrails statt Verbote
Für KI-Anwendungen greift dieselbe Logik vor dem Go-live. Modelle und Agenten werden auf Angriffspfade geprüft, darunter Prompt Injection, Jailbreaks und Modellmanipulation. Einmalig reicht dafür nicht, weil laufend neue Techniken dazukommen.
Fred Streefland, EMEA CISO bei Check Point, greift für Guardrails zu einem Bild aus dem Straßenverkehr: Bremsen machen ein Auto nicht langsamer, sie machen es überhaupt erst schnell. Übertragen heißt das, verbindliche Grenzen bremsen Mitarbeiter nicht aus, sondern erlauben den produktiven Einsatz, ohne dass jemand Aktionen außerhalb des freigegebenen Rahmens auslöst.
Dazu gehört auch, den Umgang mit Sprachmodellen im Unternehmen einzurahmen. Freigegebene Dienste statt beliebiger Tools, Richtlinien für zulässige Eingaben und Ausgaben, und eine zentrale Übersicht darüber, was tatsächlich genutzt wird. Schatten-KI verliert damit an Spielraum, ohne dass man Teams das Experimentieren komplett verbieten muss.
Laufzeitschutz und eine Instanz, die das Modell bewertet
Zur Laufzeit werden Eingaben, Ausgaben und der gesamte Datenfluss überwacht, einschließlich der Inhalte aus RAG-Pipelines und Anbindungen über MCP-Server. Genau dort zeigen manipulierte Skills ihr Verhalten, weil es sich vorher nicht ablesen lässt. Wichtig ist dabei die Latenz: Ein Schutz, der den Betrieb spürbar verlangsamt, wird über kurz oder lang abgeschaltet.
Darüber liegt eine Bewertungsschicht. Sprachmodelle liefern auf dieselbe Anfrage unterschiedliche Antworten, Vorhersagbarkeit braucht deshalb eine Kontrollinstanz. Diese Schicht prüft auf Halluzinationen, verborgene Verzerrungen und unerwünschtes Verhalten, bevor Agenten autonom handeln und auf andere Systeme zugreifen.
Der Mensch bleibt in der Schleife
Erkennen ist nicht beheben. Von der Ticket-Erstellung bis zur Beseitigung vergehen häufig 60 Tage und mehr, und ein Neustart eines geschäftskritischen Systems scheidet im laufenden Betrieb oft schlicht aus. Praktikabel sind Maßnahmen, die nachweislich nichts kaputt machen, etwa das Umstellen einer Schutzfunktion von "detect" auf "prevent", Anpassungen an IDS und IPS oder gesetzte Registry-Schlüssel. Ist "prevent" wegen eines aktiven Dienstes riskant, greift zunächst "detect".
Bei der Autonomie der Agenten gilt eine Abstufung von der Beobachtung über die Orientierung und die Entscheidung bis zur Handlung. Richtlinien und gewünschtes Ergebnis legt der Mensch fest. Ohne vorherige Freigabe handeln Agenten nur in zeitkritischen Fällen, etwa bei einer global verteilten Bedrohung, in der eine Rückfrage zu lange dauern würde. Sonst schaut jemand im Security Operations Center drauf.
Was du mitnehmen solltest
Die Empfehlungen kommen von einem Hersteller, der die passenden Produkte verkauft. Der Kern trägt trotzdem, auch ohne Produktnamen: Prüf, was du an Skills und MCP-Servern in deine Agenten lädst, so wie du auch nicht jedes npm-Paket blind installierst. Behandle Session-Tokens als das, was sie sind, nämlich ein Ersatz für den zweiten Faktor. Und gib Agenten mit Zugriff auf Geld, Kundendaten oder Produktionssysteme klare Grenzen, bevor du sie loslässt. Sicherheit nachträglich einzuziehen ist teurer und bleibt lückenhaft, weil sich grundlegende Architekturentscheidungen kaum zurückdrehen lassen.