Was ist ein KI-Agent? Einfach erklärt

Ein Chatbot antwortet Ihnen. Ein Agent macht sich an die Arbeit und erledigt etwas.

Dieser eine Unterschied erklärt einen Großteil der Begeisterung für KI-Agenten in diesem Jahr und auch einen Großteil der Nervosität. Agenten finden sich inzwischen in Programmierwerkzeugen, Browsern, Kundendienstsoftware und den Assistenten, für die viele von uns bereits bezahlen. Der Begriff wird für fast alles verwendet, was ein KI-Modell enthält. Deshalb lohnt es sich, genauer hinzusehen: Was ist ein Agent, worin ist er wirklich gut und wann sollten Sie ihm noch nicht vertrauen?

Eine Definition für die Praxis

Ein KI-Agent ist ein System, das ein Sprachmodell nutzt, um auf ein Ziel hinzuarbeiten, indem es seinen nächsten Schritt wählt, mit Werkzeugen handelt und prüft, was geschehen ist – immer wieder, bis es die Aufgabe für erledigt hält.

Drei Dinge müssen vorhanden sein:

• Ein Ziel statt einer einzelnen Frage. „Finde drei Veranstaltungsorte für ein externes Teamtreffen mit 40 Personen für weniger als $5,000“ ist ein Ziel. „Was ist ein guter Veranstaltungsort in Austin?“ ist eine Frage.
• Werkzeuge, mit denen das Modell etwas tun kann: im Web suchen, Dateien öffnen, Code ausführen, ein Formular ausfüllen, eine Nachricht senden.
• Ein Kreislauf. Das Modell plant einen Schritt, führt ihn aus, betrachtet das Ergebnis und wählt anhand dessen den nächsten Schritt.

Nimmt man Werkzeuge und Kreislauf weg, bleibt ein Chatbot. Fügt man sie hinzu, ist das Modell nicht mehr nur ein Schreiber, sondern handelt eher wie ein Ausführender. Dieser Wandel ist der Kern der Sache.

Chatbots, Workflows und Agenten sind nicht dasselbe

Die klarste Abgrenzung, die ich kenne, stammt aus dem Leitfaden von Anthropic zur Entwicklung von Agenten. Er beschreibt Workflows als Systeme, in denen Modelle und Werkzeuge „durch vordefinierte Codepfade orchestriert“ werden, und Agenten als Systeme, in denen das Modell dynamisch „ihre eigenen Prozesse und ihre Werkzeugnutzung“ steuert.

In der Praxis ergeben sich daraus drei Ebenen:

Typ	Wer den nächsten Schritt bestimmt	Beispiel
Chatbot	Sie, nach jeder Antwort	Einen Assistenten bitten, eine Vertragsklausel zu erklären
Workflow	Ein Entwickler, im Voraus	Jedes neue Support-Ticket wird auf dieselbe Weise zusammengefasst, verschlagwortet und weitergeleitet
Agent	Das Modell, während es arbeitet	„Behebe den fehlgeschlagenen Test in diesem Repository.“ Es liest Code, bearbeitet Dateien, führt die Tests erneut aus und wiederholt den Vorgang

Viele Produkte, die als Agenten verkauft werden, sind eigentlich Workflows. Ehrlich gesagt ist das häufig die bessere Lösung. Eine feste Abfolge ist vorhersehbar, günstiger im Betrieb und leicht zu testen. Ein echter Agent rechtfertigt seine zusätzlichen Kosten und Risiken nur, wenn niemand den Weg zum Ziel im Voraus festlegen kann.

Was in einem Agenten steckt

Abgesehen vom Marketing bestehen die meisten Agenten aus denselben vier Teilen.

Ein Modell, das die Denkarbeit übernimmt

Ein großes Sprachmodell liest das Ziel, entscheidet, welches Werkzeug es nutzt, und interpretiert das Ergebnis. Die Modellqualität ist bei Agenten wichtiger als beim Chat. Im Chat kostet eine schwache Antwort eine einzelne Antwort. Bei einem Agenten beeinflusst eine falsche Abzweigung bei Schritt zwei jeden folgenden Schritt.

Werkzeuge, die er nutzen darf

Werkzeuge sind Funktionen, die der Agent aufrufen kann. Ein Programmieragent könnte „Datei lesen“, „Datei bearbeiten“ und „Tests ausführen“ haben. Ein Rechercheagent könnte „suchen“ und „Seite öffnen“ haben. Jedes Werkzeug wird dem Modell in einfacher Sprache beschrieben. Das Modell fordert seine Nutzung mit einer strukturierten Anfrage an, die die umgebende Software ausführt.

Es entstehen Standards, damit sich Werkzeuge an verschiedene Agenten anschließen lassen. Anthropic stellte im November 2024 das Model Context Protocol als offene Methode vor, KI-Assistenten mit Daten und Diensten zu verbinden; inzwischen wird es breit unterstützt. Am 6. Oktober 2026 kündigten Sierra und Meta das Personal Agent Protocol an, einen auf OAuth basierenden Vorschlag dazu, wie persönliche Agenten sich gegenüber Unternehmen ausweisen und was sie nach der Verbindung tun dürfen. Zu den bei der Einführung genannten Partnern gehörten Shopify, Stripe und Walmart; eine erste Version der Spezifikation wurde für später im Oktober angekündigt.

Gedächtnis

Ein Agent muss sich merken, was er bereits versucht hat. Bei kurzen Aufgaben ist das einfach das laufende Gesprächsprotokoll. Längere Aufgaben brauchen meist Notizen in einer Datei oder Datenbank, weil das Protokoll irgendwann zu lang und unübersichtlich wird, um noch nützlich zu sein.

Schutzvorkehrungen

Gute Agenten arbeiten innerhalb von Grenzen: welche Werkzeuge, Konten und Ordner sie nutzen dürfen, wie viel sie ausgeben dürfen und welche Handlungen zuerst ein Mensch genehmigen muss. Ich würde sagen, Schutzvorkehrungen sind wichtiger als das Modell. Sie sorgen dafür, dass man gefahrlos wegsehen kann.

Worin Agenten heute wirklich gut sind

Agenten glänzen bei Aufgaben mit vielen Schritten, deren Ergebnis sich aber leicht prüfen lässt.

Programmieren mit Tests ist das deutlichste Beispiel. Der Agent bearbeitet Code, führt die Testsuite aus und macht weiter, bis die Tests bestehen. Die Tests sind ein Schiedsrichter, der nicht müde wird.

Auch Recherche mit Quellenangaben funktioniert gut. Ein Agent kann suchen, ein Dutzend Quellen öffnen und eine Zusammenfassung erstellen, in der jede Aussage auf ihren Ursprung verweist. Sie müssen sie weiterhin lesen, beginnen aber mit einem Entwurf statt mit einer leeren Seite.

Datenbereinigung ist eine weitere Stärke: unordentliche Tabellen neu formatieren, zwei Listen abgleichen oder dieselben Felder aus fünfzig PDFs extrahieren. Zehn Zeilen stichprobenartig zu prüfen, geht viel schneller, als alle selbst zu bearbeiten.

Das Muster ist immer gleich. Sie können das Ergebnis schneller überprüfen, als Sie es selbst hätten erstellen können. Wenn das zutrifft, lohnt sich ein Versuch mit einem Agenten. Wenn nicht, seien Sie vorsichtig.

Womit sie noch Schwierigkeiten haben

Kleine Fehler summieren sich

Wenn ein Agent bei Schritt drei etwas falsch liest, baut alles danach auf diesem Fehler auf. Eine Aufgabe von fünf Minuten verzeiht das. Eine Aufgabe von zwei Stunden meist nicht. Deshalb können Agenten, die in einer Demo magisch wirken, bei einer langen, unübersichtlichen Aufgabe vom Kurs abkommen.

Vage Ziele

„Verbessere unser Onboarding“ gibt einem Agenten keinen Anhaltspunkt, wann er aufhören soll. Ohne klare Definition, wann die Aufgabe erledigt ist, hören Agenten entweder zu früh auf oder machen lange weiter, nachdem sie hätten stoppen sollen.

Handlungen, die sich nicht rückgängig machen lassen

Lesen lässt sich leicht rückgängig machen. Eine E-Mail senden, eine Datei löschen oder etwas kaufen nicht. Je mehr ein Agent in der realen Welt verändern kann, desto teurer wird ein einzelnes Missverständnis.

Sicherheit

Agenten lesen Dinge, die Fremde geschrieben haben: Webseiten, E-Mails, gemeinsam genutzte Dokumente. Manche dieser Inhalte können versteckte Anweisungen enthalten, die den Agenten kapern sollen. Das nennt man Prompt Injection, und das OWASP Gen AI Security Project stuft es als größtes Risiko für Anwendungen auf Basis von Sprachmodellen ein. Das Problem ist nicht gelöst.

Agenten im offenen Web

Der Oktober 2026 lieferte ein anschauliches Beispiel, das ich ausführlich in unserem Artikel über den Wikimedia-Vorfall mit Agenten behandle. Anfang Oktober erklärte die Wikimedia Foundation, dass Agenten, die ihrer Ansicht nach von OpenAI betrieben wurden, ihre Wikis ohne die normalerweise für Bots nötige Zustimmung der Community bearbeitet hatten. Fast alle waren Testbearbeitungen in Sandbox-Bereichen, einige betrafen jedoch die Konfiguration eines Zitierwerkzeugs und wurden von Wikimedia als „potenziell bösartig“ bezeichnet. Die Agenten sendeten außerdem Millionen automatisierter Anfragen an öffentliche APIs von Wikimedia und Hunderttausende Abfragen an den Wikidata Query Service. Laut Wikimedia könnte dieser Datenverkehr zu einem teilweisen Ausfall dieses Dienstes im Mai beigetragen haben. Wikimedia fand keine Hinweise darauf, dass seine Systeme oder Daten kompromittiert wurden.

Ein Satz von Selena Deckelmann von Wikimedia ist mir im Gedächtnis geblieben: „Wikipedia wurde für Menschen entwickelt.“ Das gilt für den größten Teil des Webs. Wer einen Agenten betreibt, ist dafür verantwortlich, wie er sich dort verhält, und die Werkzeuge, um das gut zu gewährleisten, sind noch nicht ausgereift.

Erwartungen und Realität bei der Arbeit

Analysten erwarten eine schnelle Verbreitung von Agenten. Im August 2025 prognostizierte Gartner, dass bis 2026 40% der Unternehmensanwendungen aufgabenspezifische KI-Agenten enthalten würden, gegenüber weniger als 5% im Jahr 2025.

Unternehmensbefragungen zeichnen ein vorsichtigeres Bild. Die meisten Unternehmen sagen, dass sie mit Agenten experimentieren. Weitaus weniger geben an, einen Agenten in großem Maßstab mit klarer Aufsicht zu betreiben. Diese Lücke untersuche ich in warum KI-Agenten in der Pilotphase stecken bleiben. Meiner Ansicht nach hat sie weniger mit der Modellqualität zu tun als mit den unspektakulären Aufgaben: Agenten mit den richtigen Systemen verbinden, festlegen, wer was genehmigt, und messen, ob die Ergebnisse tatsächlich besser sind als zuvor. Wo KI Routinearbeit übernimmt, zeigen sich die ersten Auswirkungen bei der Einstellung für Berufseinstiegsstellen.

Wie Sie einen Agenten ausprobieren, ohne es zu bereuen

Wenn Sie experimentieren möchten, beseitigen diese Gewohnheiten den Großteil des Risikos.

1. Beginnen Sie mit reinem Lesezugriff. Lassen Sie den Agenten recherchieren, zusammenfassen oder Entwürfe erstellen, bevor er etwas senden, kaufen oder löschen darf.
2. Geben Sie ihm eine kleine Aufgabe, die Sie prüfen können. „Finde fünf aktuelle Artikel über X und liste die Hauptaussage jedes Artikels mit einem Link auf“ ist eine viel bessere erste Aufgabe als „Kümmern Sie sich um meinen Posteingang“.
3. Verlangen Sie eine Genehmigung für alles mit Nebenwirkungen. Die meisten Agentenwerkzeuge können vor dem Senden einer Nachricht oder dem Ändern einer Datei pausieren. Aktivieren Sie das und lassen Sie es eingeschaltet, bis Sie wissen, wie sich der Agent verhält.
4. Verbinden Sie so wenig wie möglich. Geben Sie ihm den einen Ordner oder das eine Konto, das die Aufgabe benötigt. Ein experimenteller Agent und Ihr primäres E-Mail-Konto sind eine schlechte Kombination.
5. Lesen Sie das Protokoll. Gute Agentenwerkzeuge zeigen jeden ausgeführten Schritt. Überfliegen Sie es, zumindest bei den ersten Versuchen.
6. Prüfen Sie das Ergebnis selbst. Wenn ein Agent meldet, dass die Aufgabe erfolgreich war, ist das kein Beweis dafür. Hier gelten dieselben Gewohnheiten wie in unserem Leitfaden zum Prüfen von KI-Antworten.

Wenn der Agent auf etwas aus Ihrer Arbeit zugreifen wird, lesen Sie zuerst wie Sie KI bei der Arbeit nutzen, ohne vertrauliche Daten preiszugeben.

Einige Begriffe, die Ihnen immer wieder begegnen

• Werkzeugnutzung oder Funktionsaufruf: Das Modell fordert die umgebende Software auf, eine bestimmte Funktion mit bestimmten Eingaben auszuführen.
• Kontextfenster: Wie viel Text das Modell gleichzeitig berücksichtigen kann, einschließlich Anweisungen, bisheriger Unterhaltung und Werkzeugergebnissen.
• Mensch in der Schleife: Eine Gestaltung, bei der ein Mensch wichtige Schritte genehmigt oder korrigiert.
• Orchestrierung: Der Code, der den Kreislauf ausführt, Werkzeuge aufruft und Grenzen durchsetzt.
• Multiagentensystem: Mehrere Agenten mit unterschiedlichen Rollen, etwa ein Planer und einige Ausführende, koordinieren sich bei einer Aufgabe.

Was das für Sie bedeutet

Ein KI-Agent ist ein Sprachmodell mit einem Ziel, einer Reihe von Werkzeugen und der Erlaubnis, mehr als einen Schritt auszuführen. Das macht Agenten wirklich nützlich für mehrstufige Aufgaben, die leicht zu prüfen sind, und wirklich riskant für ergebnisoffene Aufgaben mit realen Folgen. Fangen Sie klein an, lassen Sie wichtige Entscheidungen bei einem Menschen und erweitern Sie die Befugnisse des Agenten erst, nachdem er sich bewährt hat.

Auch das zugrunde liegende Modell spielt eine Rolle. Unser Leitfaden zur Auswahl eines KI-Modells erklärt die jeweiligen Vor- und Nachteile.

Quellen

• Anthropic, Wirksame Agenten entwickeln, 19. Dezember 2024
• Anthropic, Einführung des Model Context Protocol, 25. November 2024
• OWASP Gen AI Security Project, LLM01:2025 Prompt Injection
• Gartner, Gartner prognostiziert KI-Agenten für bestimmte Aufgaben in 40% der Unternehmensanwendungen bis 2026, gegenüber weniger als 5% im Jahr 2025, 26. August 2025
• Help Net Security, Eigenmächtige OpenAI-Agenten bearbeiteten Wikipedia ohne Genehmigung und stellten Millionen Anfragen an Wikimedia, 6. Oktober 2026
• The Next Web, Sierra kündigt Personal Agent Protocol an, einen offenen Standard für persönliche KI-Agenten, 6. Oktober 2026