KI-Agenten im Unternehmen: MCP, Einsatz und Risiken für KMU

Was ein KI-Agent ist und was nicht

Einen festen Begriff gibt es nicht; die EU-Kommission weist darauf hin, dass „KI-Agent“ uneinheitlich verwendet wird. Einig ist man sich im Kern: Ein Agent nimmt Eingaben aus seiner Umgebung auf und führt auf dieser Grundlage Aktionen aus. Das BSI beschreibt ihn als Software-System, das auf Basis von Eingaben in einem großen Sprachmodell eigenständig Aktionen ausführt. Anthropic unterscheidet zwei Bauformen: Bei Workflows laufen Sprachmodell und Werkzeuge entlang fest programmierter Pfade. Bei Agenten steuert das Modell selbst, welche Schritte es geht und welche Werkzeuge es nutzt.

• Modell: Ein Sprachmodell versteht die Aufgabe, plant den nächsten Schritt und formuliert das Ergebnis.
• Werkzeuge: Definierte Funktionen, etwa „Kunde suchen“, „Kalender lesen“ oder „Vorgang anlegen“. Nur darüber erreicht der Agent Ihre Systeme.
• Ziel: Ein klar umrissener Auftrag, zum Beispiel „Anfrage einordnen und Antwortentwurf mit Auftragsdaten erstellen“.
• Schleife: Das Modell ruft ein Werkzeug auf, bekommt das Ergebnis zurück und entscheidet neu, bis die Aufgabe erledigt ist oder eine Abbruchbedingung greift, etwa eine Höchstzahl an Durchläufen.

Was ein Agent nicht ist: ein digitaler Mitarbeiter, dem man ein Postfach überlässt. Das Modell kann Aufgaben falsch verstehen und Fehler über mehrere Schritte weitertragen. Anthropic nennt genau das als Preis der Autonomie: höhere Kosten und das Risiko, dass sich Fehler aufschaukeln. Ein Agent ist deshalb nur so verlässlich wie die Regeln, Rechte und Prüfungen, die um ihn herum gebaut sind.

Chatbot, Workflow, Agent: der Unterschied

Bitkom grenzt in seiner Befragung 2026 knapp ab: Anders als ein Chatbot, der lediglich auf Fragen antwortet, erledigt ein KI-Agent Aufgaben selbstständig, zum Beispiel indem er Preisvergleiche recherchiert und Angebote einholt. Dazwischen liegt der Workflow, in dem KI einzelne Schritte übernimmt.

Wenn Ihr Ablauf feste Schritte hat, ist die Workflow-Automatisierung meist der bessere Start. Ein Agent lohnt sich dort, wo sich kein fester Pfad vorab festlegen lässt.

Wie Agenten handeln: Function Calling und Tool Use

Technisch beruhen Agenten auf einer Funktion, die die großen Anbieter Function Calling oder Tool Use nennen. Der Ablauf ist laut den Dokumentationen von OpenAI und Anthropic im Kern gleich: Ihre Anwendung beschreibt dem Modell die verfügbaren Werkzeuge mit Name, Beschreibung und einem JSON-Schema für die Parameter. Das Modell entscheidet, ob es ein Werkzeug braucht, und liefert einen strukturierten Aufruf zurück. Ausgeführt wird dieser Aufruf von Ihrer Anwendung, nicht vom Modell. Das Ergebnis geht an das Modell zurück, das dann antwortet oder das nächste Werkzeug aufruft.

MCP: das Model Context Protocol erklärt

MCP soll vereinheitlichen, wie KI-Anwendungen fremde Systeme anbinden. Anthropic hat MCP am 25. November 2024 als offenen Standard vorgestellt, zusammen mit Spezifikation, SDKs und fertigen Servern, unter anderem für Google Drive, Slack, GitHub und Postgres. Am 9. Dezember 2025 hat Anthropic MCP an die neu gegründete Agentic AI Foundation (AAIF) übergeben, einen Fonds unter dem Dach der Linux Foundation. Gegründet haben ihn Anthropic, Block und OpenAI; Startprojekte sind MCP, das Agenten-Framework goose von Block und AGENTS.md von OpenAI. Nach Angaben von Anthropic nutzten zu diesem Zeitpunkt unter anderem ChatGPT, Cursor, Gemini, Microsoft Copilot und Visual Studio Code das Protokoll.

• Rollen: Der Host ist die KI-Anwendung, etwa ein Chat-Programm oder eine Entwicklungsumgebung. Darin verbindet sich ein Client mit einem MCP-Server, der den Zugang zu einem System bereitstellt, zum Beispiel zu einer Auftragsdatenbank.
• Bausteine: Ein Server bietet Werkzeuge (Funktionen, die das Modell ausführen lassen kann), Ressourcen (Daten und Kontext) und Prompts (Vorlagen für Nutzer) an.
• Technik: Die Nachrichten sind JSON-RPC. Lokale Server laufen über die Standardein- und -ausgabe eines Prozesses (stdio), entfernte Server über Streamable HTTP.
• Version: Aktuell ist die Spezifikation 2026-07-28. Sie hat das Protokoll zustandslos gemacht: Jede Anfrage trägt ihre Protokollversion selbst mit, ein Verbindungsaufbau mit Handshake entfällt.

Der praktische Nutzen für ein KMU: Ein MCP-Server für Ihr internes System wird einmal gebaut, prüft Anmeldung und Rechte zentral und kann dann von verschiedenen KI-Anwendungen genutzt werden. Sicherheit liefert das Protokoll aber nicht automatisch. Die Spezifikation sagt selbst, dass MCP seine Sicherheitsprinzipien nicht auf Protokollebene durchsetzen kann. Sie verlangt, dass die KI-Anwendung vor jedem Werkzeugaufruf die ausdrückliche Zustimmung der Nutzer einholt, und behandelt Werkzeugbeschreibungen als nicht vertrauenswürdig, solange sie nicht von einem vertrauenswürdigen Server stammen. Fremde MCP-Server gehören deshalb vor dem Einsatz geprüft wie jede andere Software.

Realistische Einsatzfelder im KMU

Agenten sind in deutschen Unternehmen noch die Ausnahme. In der Bitkom-Befragung vom Sommer 2026 setzen 11 Prozent der Unternehmen, die KI nutzen oder deren Einsatz planen oder diskutieren, bereits KI-Agenten ein. 29 Prozent planen den Einsatz, 31 Prozent diskutieren ihn, für 24 Prozent ist das Thema derzeit keins. Befragt wurden Unternehmen ab 20 Beschäftigten. Bitkom-Präsident Ralf Wintergerst ordnet ein: „KI-Agenten stehen heute etwa dort, wo Künstliche Intelligenz insgesamt vor drei Jahren stand.“ Für Betriebe unter 20 Beschäftigten weist die Befragung keine Werte aus.

• Posteingang vorsortieren: Der Agent erkennt Anliegen und Dringlichkeit, sucht Kunde und Auftrag im CRM und legt einen Antwortentwurf ab, den ein Mensch prüft und sendet.
• Termin- und Auftragsannahme: Fehlende Angaben nachfragen, freie Zeiten im Kalender prüfen, Termine vorschlagen. Eingetragen wird erst nach Bestätigung.
• Statusabfragen: Lieferstatus aus der Warenwirtschaft lesen und bei Abweichungen einen Vorgang in vorher festgelegten Feldern anlegen.
• Recherche und Vergleich: Angebote oder Datenblätter aus freigegebenen Quellen zusammentragen und als Tabelle vorlegen. Die Auswahl trifft ein Mensch.

Gut geeignet sind solche Fälle, wenn die nötigen Schnittstellen vorhanden sind, Fehler sich vor der Wirkung abfangen lassen und der Agent zunächst nur lesen und Entwürfe machen kann. Weitere Beispiele stehen im Beitrag KI-Automatisierung im KMU: 6 Anwendungsfälle.

Die drei großen Risiken

Prompt Injection: Anweisungen in fremden Inhalten

Prompt Injection steht in der aktuellen OWASP Top 10 for LLM Applications (Ausgabe 2025) an erster Stelle. Gefährlich für Agenten ist vor allem die indirekte Variante: Die Anweisung steckt nicht in Ihrer Eingabe, sondern in einer Mail, einem Dokument oder einer Webseite, die der Agent liest. Das BSI nennt als Beispiel eine manipulierte E-Mail, die einen Agenten dazu bringt, alle künftigen Mails weiterzuleiten. Der Kern des Problems: Ein Sprachmodell kann laut BSI allein nicht zwischen Nutzeranweisung, Systemanweisung, externen Anweisungen und Daten unterscheiden. Bereits 2023 wies das BSI darauf hin, dass keine zuverlässige Gegenmaßnahme das Problem vollständig beseitigt; auch OWASP hält es für unklar, ob es einen sicheren Schutz gibt.

Zu weit gefasste Rechte

OWASP führt „Excessive Agency“ als eigenes Risiko und nennt drei Ursachen: zu viele Funktionen, zu weite Berechtigungen und zu viel Autonomie bei folgenreichen Aktionen. Die OWASP Top 10 for Agentic Applications vom Dezember 2025 zeigen das an einem einfachen Fall: Ein Agent, der Mails nur zusammenfassen soll, kann ohne Bestätigung Mails löschen oder versenden. Kommt eine Prompt Injection hinzu, entscheiden die Rechte über den Schaden.

Kosten durch Schleifen

Cloud-Modelle rechnen nach verarbeiteten Tokens ab. Bei Agenten zählen laut Anthropic-Dokumentation auch die Werkzeugbeschreibungen, die Aufrufe und jedes Werkzeugergebnis mit, und in ihrem Beispiel schickt die zweite Anfrage den bisherigen Verlauf erneut mit. Lange Schleifen werden dadurch schnell teuer. Die OWASP Top 10 for Agentic Applications nennen als typisches Fehlerbild einen Agenten, der wiederholt teure Schnittstellen aufruft, bis Dienste ausfallen oder die Rechnung sprunghaft steigt. Verwandt ist das Risiko „Unbounded Consumption“ der LLM-Liste: unkontrollierter Verbrauch bis hin zu finanziellen Schäden.

Schutzmaßnahmen, die in jedes Agentenprojekt gehören

Die Empfehlungen von OWASP, BSI und MCP-Spezifikation decken sich weitgehend. Zusammen begrenzen sie den möglichen Schaden:

• Minimale Rechte: nur die Werkzeuge, die die Aufgabe braucht, eng geschnitten, mit eigenem technischen Benutzer. Lesend statt schreibend, wo es reicht; der Zusammenfasser bekommt keine Sende- oder Löschrechte.
• Freigaben: Aktionen mit Folgen, etwa Versand, Buchung oder Löschung, warten auf die Bestätigung eines Menschen, idealerweise mit Vorschau, was passieren wird.
• Protokolle: jeden Werkzeugaufruf mit Zeitpunkt, Parametern und Ergebnis festhalten und regelmäßig prüfen.
• Sandbox und Netzgrenzen: Code und Werkzeuge isoliert ausführen, ausgehende Verbindungen nur zu freigegebenen Zielen erlauben.
• Budgets und Abbruchbedingungen: Höchstzahl an Schritten je Aufgabe, Token- oder Kostenlimits je Tag, automatische Drosselung bei Überschreitung.
• Fremde Inhalte als Daten markieren: Mails und Dokumente klar vom eigentlichen Auftrag trennen, so wie es der Basisschutz des BSI vom September 2026 beschreibt.
• Tests: vor dem Start mit echten, anonymisierten Fällen und gezielten Angriffsversuchen, nach jeder Änderung an Modell, Prompt oder Werkzeug erneut.

Genau so baue ich KI-Agenten für Unternehmen: Start im Vorschlagsmodus, Rechte im Code statt im Prompt, Protokolle und Kostenlimits von Anfang an.

Rechtlicher Rahmen in Kürze

Für den EU AI Act sind Agenten laut AI Act Service Desk der EU-Kommission keine eigene Kategorie: Die Regeln für KI-Systeme und KI-Modelle mit allgemeinem Verwendungszweck gelten auch für sie. Spricht ein Agent mit Menschen oder erzeugt er Inhalte, greifen seit dem 2. August 2026 die Transparenzpflichten nach Art. 50. Wird er in einem Hochrisiko-Bereich nach Anhang III eingesetzt, etwa bei der Bewerberauswahl, gelten nach dem Digitalen Omnibus zur KI die zusätzlichen Pflichten ab dem 2. Dezember 2027, für KI in Produkten nach den EU-Produktvorschriften des Anhangs I ab dem 2. August 2028. Die vollständige Zeitleiste steht im Beitrag EU AI Act für KMU.

Mindestens so wichtig ist Art. 22 DSGVO: Niemand muss sich einer ausschließlich automatisierten Entscheidung unterwerfen, die ihm gegenüber rechtliche Wirkung entfaltet oder ihn in ähnlicher Weise erheblich beeinträchtigt. Der Europäische Gerichtshof versteht das als grundsätzliches Verbot, von dem nur die Fälle des Art. 22 Abs. 2 abweichen: Vertrag, Rechtsvorschrift, ausdrückliche Einwilligung. Die Datenschutzkonferenz nennt ein Beispiel, das fast wörtlich auf Agenten passt: Eine KI-Anwendung, die Bewerbungen auswertet und selbstständig zu Vorstellungsgesprächen einlädt, verstößt gegen Art. 22 Abs. 1. Eine nur formale Beteiligung eines Menschen reicht laut DSK nicht. Was sonst für Tarife, Verträge und Datenflüsse gilt, steht im Leitfaden zu KI und DSGVO.