KI-Agenten, die in Ihrer Software arbeiten, innerhalb Ihrer Grenzen

Ein KI-Agent ist ein Ablauf, der je nach vorliegendem Fall zwischen festgelegten Schritten und Werkzeugen wählt. In n8n arbeitet zum Beispiel der AI-Agent-Knoten mit einem Chat-Modell und mindestens einem Werkzeug, und der Agent entscheidet, welche Werkzeuge er aufruft. Diese Wahl ist der Unterschied zu einer festen Automatisierung, die jedes Mal dieselben Schritte durchläuft.

Die meisten nützlichen Agenten in einem KMU erledigen eine Aufgabe: Sie bekommen eine Anfrage, ein Dokument oder eine Frage, wählen die nötigen Werkzeuge, bereiten ein Ergebnis vor und übergeben es an einen Menschen. Sie sind keine digitalen Kollegen mit allgemeiner Verantwortung. Der Nutzen entsteht durch die Grenzen, nicht durch Autonomie, denn einen engen Agenten kann man testen und ihm vertrauen. Unsere Schritt-für-Schritt-Anleitung zeigt einen solchen Agenten: einen KI-Agenten mit n8n erstellen, der Anfragen sortiert und eine Antwort zur Freigabe vorbereitet.

Ein Agent braucht Zugriff auf die Systeme, mit denen er arbeitet: das Postfach, das CRM, den Kalender, die Ablage. Dieser Zugriff läuft über Schnittstellen oder über MCP-Server. Das Model Context Protocol ist ein offener Standard, um KI-Anwendungen mit Werkzeugen und Daten zu verbinden, seit Dezember 2025 unter dem Dach der Linux Foundation weiterentwickelt. Unser Artikel zu MCP-Servern im Unternehmen erklärt Host, Client und Server und die Rechteregeln, die dazugehören.

Das Protokoll entscheidet nicht, was ein Agent darf. Die MCP-Spezifikation macht die Autorisierung optional, und ein Werkzeug mit dem Hinweis „nur lesend“ ist nur so verlässlich wie der Server dahinter. Die echten Grenzen sind die Zugangsdaten, die Sie jedem Werkzeug geben, die Werkzeuge, die Sie erlauben, und die Freigaben im Host.

Zwei Schutzmaßnahmen schützen Sie, und beide sind nötig. Die erste begrenzt, was möglich ist: zuerst Lesezugriff, Schreibzugriff nur, wo die Aufgabe ihn braucht, und eigene Konten mit engen Rechten. Die zweite begrenzt, was tatsächlich passiert: Jede Aktion, die sendet, ändert oder löscht, wartet auf einen Menschen. OWASP nennt genau diese beiden Maßnahmen gegen die sogenannte übermäßige Handlungsfähigkeit.

Die Freigabe muss vor der Aktion stehen. Eine Prüfung nach dem Versand einer E-Mail kann nur bestätigen, was schon passiert ist. In n8n führt eine Prüfung direkt am Werkzeug das Werkzeug erst aus, wenn ein Mensch genau diesen Inhalt freigibt. Eine Zeitüberschreitung darf nie als Freigabe gelten. Unser Artikel zu Entwurf plus Freigabe erklärt, wie Sie festlegen, wer was freigibt.

Agenten, die E-Mails, Webseiten oder Dateien lesen, können durch deren Inhalt manipuliert werden; das Risiko heißt indirekte Prompt-Injection. Eine Anweisung an den Agenten, vorsichtig zu sein, schützt Sie nicht; Rechte und Freigaben schützen Sie.

Folgt fast jeder Fall denselben Schritten, ist ein fester Ablauf günstiger zu bauen, leichter zu testen und leichter zu überwachen als ein Agent. Braucht die Aufgabe ein Urteil, das niemand aufschreiben kann, liefert es auch ein Agent nicht. Agenten lohnen sich, wo die Fälle sich unterscheiden und die Wahl zwischen wenigen klar beschriebenen Werkzeugen einen Nutzen bringt. Unser Artikel zu KI-Agent, Automatisierung oder Chatbot hilft bei der Entscheidung.

1. Wählen Sie eine Aufgabe, bei der Ihr Team zwischen mehreren Programmen wechselt.
2. Schreiben Sie auf, welche Werkzeuge der Agent nutzen darf und welche Aktionen immer eine Freigabe brauchen.
3. Bauen Sie mit Testdaten und engen Zugangsdaten.
4. Testen Sie Werkzeugwahl, Freigabe, Ablehnung, Zeitüberschreitung, Doppelungen und manipulative Eingaben und halten Sie die Ergebnisse fest.
5. Starten Sie mit Überwachung und wiederholen Sie die Tests nach jeder Änderung an Modell, Anweisung oder Werkzeugen.

Unsere Seite zu KI-Agenten beschreibt, wie ein erstes Projekt mit uns abläuft.