KI-Agenten

Ein Chatbot beantwortet eine Frage und wartet auf die nächste. Ein KI-Agent bekommt ein Ziel, etwa eine Anfrage zu bearbeiten oder einen Bericht zusammenzustellen, und arbeitet es in einer Schleife ab: Er plant den nächsten Schritt, ruft ein Werkzeug auf, liest das Ergebnis und entscheidet, wie es weitergeht. Werkzeuge sind Funktionen anderer Systeme, etwa eine Suche im CRM oder der Versand einer Mail. Anthropic beschreibt Agenten knapp als Sprachmodelle, die in einer Schleife Werkzeuge nutzen und sich an den Rückmeldungen ihrer Umgebung orientieren.

Der Begriff Agent stammt aus der KI-Forschung, wo er seit Langem ein System bezeichnet, das seine Umgebung wahrnimmt und in ihr handelt. Seit 2024 ist „Agentic AI“ ein Schlagwort, das unter anderem der KI-Forscher Andrew Ng bekannt gemacht hat. Im Markt wird der Begriff weit gedehnt: Gartner warnt vor „Agent Washing“, also vor Assistenten, Chatbots und RPA-Produkten, die ohne nennenswerte Agentenfähigkeiten neu etikettiert werden.

Für Führungskräfte zählt ein Unterschied: Ein Agent handelt in echten Systemen. Er legt Datensätze an, schreibt Nachrichten und ändert Einträge. Damit wirft jeder Agent Fragen auf, die keine Technikfragen sind: Welche Rechte bekommt er, wer prüft seine Ergebnisse, und was darf ein Durchlauf kosten?

So arbeitet ein KI-Agent im Kern.

Jeder Agent besteht aus wenigen Bausteinen. OpenAI nennt in seinem Leitfaden zum Bau von Agenten drei: das Modell, das plant und entscheidet, die Werkzeuge, mit denen es Daten holt oder Aktionen auslöst, und die Anweisungen, die Ziel, Regeln und Grenzen festlegen.

Der Ablauf ist eine Schleife. Der Agent zerlegt das Ziel in Teilschritte und wählt den nächsten. Er erzeugt einen Werkzeugaufruf, die Anwendung führt ihn aus und gibt das Ergebnis zurück. Das Modell liest es und entscheidet: weiter, anders weiter oder fertig. Diese Rückmeldung aus der Umgebung ist der Kern, denn an ihr erkennt der Agent, ob ein Schritt funktioniert hat.

Gedächtnis gibt es in zwei Formen. Das Kurzzeitgedächtnis ist das Kontextfenster, also alles, was das Modell in einem Durchlauf vor sich hat. Das Langzeitgedächtnis liegt außerhalb des Modells, etwa in einer Datenbank oder in Notizdateien, die der Agent liest und schreibt.

Weil die Schleife offen ist, braucht sie Abbruchbedingungen: eine Höchstzahl an Schritten, ein Kostenlimit oder die Rückgabe an einen Menschen, wenn der Agent nicht weiterkommt.

Chatbot, Workflow, Agent: Der Unterschied liegt in der Steuerung.

Anthropic unterscheidet in seinem Beitrag „Building effective agents“ vom Dezember 2024 zwei Arten von Systemen. In Workflows bestimmen vorab festgelegte Codepfade, wann welches Modell und welches Werkzeug arbeitet. In Agenten steuert das Modell seinen Ablauf und die Nutzung der Werkzeuge selbst. Beide zählt Anthropic zu den agentischen Systemen, aber nur die zweite Art heißt Agent.

Ein Chatbot steht noch eine Stufe davor. Er antwortet im Dialog und handelt nicht in anderen Systemen. Auch ein Chatbot mit einzelnen angebundenen Funktionen ist eher ein Assistent, solange jede Aktion auf eine einzelne Eingabe folgt und kein eigener Plan dahintersteht.

Workflows werden oft unterschätzt: Sie sind vorhersehbar, günstiger und leichter zu prüfen. Ein Agent ist sinnvoll, wenn sich vorher nicht sagen lässt, wie viele und welche Schritte nötig sind. Anthropic rät, mit der einfachsten Lösung zu beginnen und Komplexität nur zu ergänzen, wenn sie das Ergebnis nachweisbar verbessert. Für viele Aufgaben reicht ein Workflow.

MCP verbindet Werkzeuge, A2A verbindet Agenten.

Ein Agent ist nur so nützlich wie seine Werkzeuge. Die technische Grundlage heißt Tool Use oder Function Calling: Das Modell erzeugt statt einer Textantwort einen strukturierten Aufruf, den die Anwendung ausführt. Welche Werkzeuge es gibt, erfährt das Modell aus deren Beschreibungen; wie klar sie sind und wie gründlich die Werkzeuge getestet wurden, bestimmt die Qualität des Agenten.

Für die Anbindung gibt es zwei offene Standards. Das Model Context Protocol (MCP) regelt, wie ein Agent Werkzeuge und Datenquellen nutzt. Anthropic hat es im November 2024 veröffentlicht und im Dezember 2025 an die Agentic AI Foundation unter dem Dach der Linux Foundation übergeben; die aktuelle Fassung der Spezifikation stammt vom 28. Juli 2026. Das Agent2Agent-Protokoll (A2A) regelt dagegen, wie Agenten einander Aufgaben übergeben. Google hat es im April 2025 vorgestellt, seit Juni 2025 liegt es bei der Linux Foundation, die erste stabile Fassung 1.0 erschien im März 2026. Jeder Agent beschreibt seine Fähigkeiten dort in einer sogenannten Agent Card.

Die Linux Foundation fasst die Arbeitsteilung so zusammen: A2A für die Abstimmung zwischen Agenten, MCP für den Zugriff auf interne Werkzeuge und Daten. Stand aller Angaben: 5. November 2026.

Mehrere Agenten sind kein Qualitätsversprechen.

In einem Multi-Agenten-System teilen sich mehrere spezialisierte Agenten eine Aufgabe. Verbreitet ist ein Muster mit Steuerung: Ein leitender Agent zerlegt die Aufgabe, gibt Teile an Spezialisten weiter und führt die Ergebnisse zusammen. OpenAI nennt das Manager-Muster, Anthropic spricht von Orchestrator und Workern.

Der Nutzen ist real, aber begrenzt. Anthropic berichtet aus dem Bau seines eigenen Recherchesystems, dass sich mehrere Agenten für Aufgaben eignen, die sich gut parallelisieren lassen, deren Informationen nicht in ein einzelnes Kontextfenster passen oder die viele komplexe Werkzeuge brauchen. Schlecht geeignet sind Aufgaben, bei denen alle Agenten denselben Kontext brauchen oder stark voneinander abhängen. Die meisten Programmieraufgaben zählt Anthropic dazu.

Die Kosten steigen deutlich. Nach Angaben von Anthropic verbrauchen Agenten etwa viermal so viele Token wie ein Chat, Multi-Agenten-Systeme etwa fünfzehnmal so viele. Hinzu kommt: Jede Übergabe ist eine Stelle, an der ein Fehler weiterwandert. Der nächste Agent behandelt ein falsches Zwischenergebnis als Tatsache.

Ein einzelner Agent mit guten Werkzeugen ist deshalb meist der bessere Anfang. Mehrere Agenten lohnen sich erst, wenn ein einzelner die Aufgabe nachweisbar nicht mehr überblickt.

Mit jedem Recht wächst das Risiko.

Die größte Schwachstelle von Agenten heißt Prompt Injection. Ein Sprachmodell unterscheidet nicht zuverlässig zwischen den Anweisungen seines Auftraggebers und Text, den es unterwegs liest. Steht in einer Mail, einem Dokument oder auf einer Webseite eine versteckte Anweisung, kann der Agent ihr folgen. Der Entwickler Simon Willison beschreibt eine besonders gefährliche Kombination, die er „lethal trifecta“ nennt: Zugriff auf private Daten, Kontakt mit nicht vertrauenswürdigen Inhalten und die Möglichkeit, nach außen zu kommunizieren. Ein Agent, der alle drei vereint, kann Daten abfließen lassen.

Das zweite Risiko sind zu weite Rechte. Die OWASP-Liste der zehn größten Risiken für Anwendungen mit Sprachmodellen führt es als „Excessive Agency“: Ein Agent hat mehr Werkzeuge oder Rechte, als seine Aufgabe braucht. Im Dezember 2025 hat OWASP eine eigene Liste für agentische Anwendungen veröffentlicht, mit Risiken wie missbrauchten Werkzeugen, manipuliertem Gedächtnis und Fehlern, die sich über mehrere Agenten fortpflanzen.

Hinzu kommen Fehlerketten und Kosten. Ein früher Fehlschritt lenkt alle folgenden in die falsche Richtung, und eine Schleife ohne Grenze läuft weiter, bis jemand sie stoppt. Gegen all das helfen dieselben Mittel: kleinste nötige Rechte, getrennte Werkzeuge für Lesen und Schreiben, ein Protokoll jedes Aufrufs, feste Grenzen für Schritte und Kosten und ein Abschalter.

Wann ein Agent sinnvoll ist und woran man eine gute Umsetzung erkennt.

Zwei Fragen klären den Einsatz. Die erste: Steht der Ablauf vorher fest? Dann reicht ein Workflow oder RPA, also eine Automatisierung nach festen Regeln. Die zweite, wenn die Schritte offen sind: Lässt sich das Ergebnis prüfen? Nur dann passt ein KI-Agent mit begrenzten Rechten. Lässt es sich nicht prüfen, ist zuerst der Prüfweg zu klären, bevor ein Agent arbeitet.

Gartner erwartet in einer Pressemitteilung vom 25. Juni 2025, dass mehr als 40 Prozent der Agentic-AI-Projekte bis Ende 2027 eingestellt werden, wegen steigender Kosten, unklaren Nutzens oder unzureichender Risikokontrollen.

Eine gute Umsetzung erkennt man an wenigen Merkmalen. Der Agent hat eine klar umrissene Aufgabe und nur die Rechte, die sie braucht. Folgenreiche Aktionen wie Versenden oder Löschen laufen erst nach Bestätigung durch einen Menschen; wie solche Freigaben aufgebaut sind, ohne zum bloßen Häkchen zu werden, beschreibt die Fachseite KI-Automatisierung. Vor dem Einsatz wurde der Agent in einer abgeschotteten Testumgebung erprobt. Jeder Aufruf steht mit seinen Kosten im Protokoll, und es ist festgelegt, wer den Agenten betreut und abschaltet. Wie Rechte und Zugänge unternehmensweit geregelt werden, gehört zur KI-Governance.

Die Grenze des Begriffs

Ein KI-Agent ist kein selbstständiger Mitarbeiter: Er handelt nur mit den Werkzeugen und Rechten, die für ihn eingerichtet wurden, und kann sich dabei überzeugend irren. Abzugrenzen ist er vom Chatbot, der nur antwortet, vom Workflow, dessen Ablauf vorab festgelegt ist, und von RPA, die feste Klickfolgen nach Regeln ausführt. Wie viel Spielraum eine Automatisierung bekommt und wo ein Mensch freigibt, entscheidet das Unternehmen, nicht der Agent.