Ein Agent, der nur antwortet, ist ein Chatbot. Ein Agent, der selbstständig ein Angebot verschickt, eine Bestellung anlegt oder eine Rechnung freigibt, ist etwas anderes. Ab diesem Moment trägt er Verantwortung — und diese Verantwortung bleibt bei dir.
Trotzdem sehe ich in der Praxis, dass die Aufmerksamkeit vor allem dem Prompt gilt. Je schöner die Anweisung, desto besser sollte der Agent arbeiten. Das ist die falsche Reihenfolge. Ein Agent wird nicht durch einen besseren Prompt zuverlässig, sondern durch Grenzen, die auch dann gelten, wenn dem Agenten etwas anderes einfällt als dir.
In diesem Artikel erkläre ich, wie du das praktisch regelst.
Was sich ändert, sobald ein Agent etwas tun darf
Solange ein Agent nur Text produziert, ist ein Fehler ärgerlich. Sobald er handeln darf, ist ein Fehler ein Vorfall: eine Mail an den falschen Kunden, eine doppelte Bestellung, eine Kreditkarte, die belastet wird.
Tatsächlich ändern sich drei Dinge gleichzeitig:
- Der Agent bekommt Zugriff auf Systeme, die bisher nur Menschen offenstanden
- Der Agent bekommt Geschwindigkeit, Fehler wiederholen sich also schneller, als du sie bemerken kannst
- Der Agent bekommt Kontext von außen, und dieser Kontext kann manipuliert sein
Das letzte ist der Punkt, der am häufigsten vergessen wird. Alles, was dein Agent liest — eine Mail, eine Webseite, ein hochgeladenes Dokument, eine CRM-Notiz — kann eine Anweisung enthalten. Das nennt man Prompt Injection, und du blockierst es nicht mit einem strengeren System-Prompt.
Vier Arten von Kontrolle
Kontrolle ist keine einzelne Einstellung. Ich denke in vier Schichten.
1. Was darf er tun?
Fang beim Tool an: Welche Systeme darf der Agent aufrufen und mit welchen Rechten? Nutze dafür ein separates Konto mit so wenigen Rechten wie nötig. Kein Admin-Konto, „weil es einfach funktioniert“.
Unterscheide außerdem zwischen Lesen und Schreiben. Ein Agent, der lesen darf, ist schon nützlich. Schreiben — senden, buchen, bezahlen — ist ein zweiter Schritt, und der verdient eigene Hürden.
2. Was darf er sehen?
Je weniger Kontext du mitgibst, desto weniger kann schiefgehen. Geht es um eine Frage zu einer Bestellung, dann gib genau diese eine Bestellung mit, nicht die ganze Kundendatenbank. Das ist nicht nur sicherer, es ist auch günstiger.
3. Was darf er kosten?
Ein Agent, der in einer Schleife festhängt, verbraucht Tokens ohne Ergebnis. Setz ein Maximum pro Aufgabe und pro Tag. Darauf komme ich in einem separaten Artikel zurück, aber es gehört hierher: Ein Agent ohne Budgetgrenze ist ein Agent ohne Bremse.
4. Wer gibt frei?
Die wichtigste Frage. Nicht jede Aktion muss über einen Menschen laufen, aber bestimme pro Aktion, welche Auswirkung sie hat:
- Niedrig — Entwurf erstellen, Daten nachschlagen, zusammenfassen: automatisch durch
- Mittel — Mail an einen Kunden, Bestellung anlegen: automatisch, aber mit Kontrolle im Nachhinein
- Hoch — Zahlungen, Verträge, Löschen, Rechte ändern: immer ein Mensch, der freigibt
Das letzte nennt man Human-in-the-Loop, und es ist kein Zeichen von Schwäche. Es ist der Unterschied zwischen einem Pilotprojekt und etwas, das du laufen lassen kannst, wenn du nicht hinter deinem Bildschirm sitzt.
Der Kill Switch
Jeder Agent, der selbstständig läuft, sollte einen Stopp haben, den du ohne technische Kenntnisse drücken kannst. Nicht indem du einen Container stoppst, sondern einen Knopf im Workflow: keine neuen Aufgaben mehr verarbeiten.
Wichtiges Detail: Dieser Knopf muss auch dann wirklich funktionieren, wenn der Agent gerade arbeitet. Teste ihn einmal im Monat, so wie du einen Rauchmelder testest. Ein Notstopp, den du nie benutzt hast, ist eine Annahme.
Große Anbieter bauen das inzwischen standardmäßig ein. CrowdStrike kündigte Anfang November einen Kill Switch für Agents an, und Plattformen wie n8n kannst du mit einem einfachen Schalter im Workflow dasselbe machen lassen.
Logging: der Beweis hinterher
Du kannst einen Agenten nicht nur am Endergebnis beurteilen. Du willst wissen, welche Schritte er gegangen ist, welche Tools er aufgerufen hat, welchen Kontext er genutzt hat und was das gekostet hat.
Logge also pro Aufgabe: den Input, den gewählten Weg, die Tool-Aufrufe, das Ergebnis und die Kosten. Das ist nicht nur für den Fall, dass etwas schiefgeht. Es ist auch die einzige Möglichkeit zu sehen, wo dein Agent unnötige Arbeit macht — und damit, wo du ihn verbessern kannst.
So fängst du an, ohne dich selbst festzusetzen
Die Versuchung ist, groß anzufangen, weil es geht. Ich würde es umdrehen:
- Wähle eine Aufgabe mit einem klaren Endergebnis
- Lass den Agenten zuerst nur lesen und Entwürfe machen
- Füge Schreibrechte erst hinzu, wenn du die Entwürfe eine Woche kontrolliert hast
- Setz ein Budget und einen Kill Switch, bevor er das erste Mal in Produktion geht
- Erweitere erst, wenn du die Logs verstehst
Wer so arbeitet, hält die Verantwortung dort, wo sie hingehört: beim Menschen. Und genau deshalb funktioniert es.
Bereit loszulegen?
Hast du schon einen Agenten laufen, oder willst du einen bauen, weißt aber nicht, wo die Grenzen liegen sollen? Melde dich, und ich schaue kostenlos mit dir durch, was sicher zu automatisieren ist — und was noch nicht.
Quelle: https://boomkamponline.nl/blog/2026/11/ai-agent-guardrails/