KI-Agenten-Governance-Lücke: Warum Frameworks strukturell versagen

Am 3. April 2026 hat die Cloud Security Alliance mit ihrer Research Note "The AI Agent Governance Gap: What CISOs Need Now" etwas offiziell gemacht, was viele Sicherheitsverantwortliche bereits ahnten: Die grossen Governance-Frameworks für Künstliche Intelligenz – NIST AI RMF 1.0, ISO 42001, der EU AI Act – wurden konzipiert, bevor autonome KI-Agenten zur betrieblichen Realität wurden. Sie regeln Modelle, Trainingsdaten und Entscheidungslogik. Was sie nicht regeln: Agent-Identität, Tool-Ketten, Audit-Trails über mehrere autonome Akteure hinweg. Das ist keine kleine Lücke. Es ist eine strukturelle.

Was bedeutet die Governance-Lücke konkret?

Die Governance-Lücke bezeichnet den Umstand, dass bestehende KI-Regelwerke für statische, von Menschen ausgelöste KI-Anwendungen entworfen wurden – nicht für Systeme, die eigenständig Aufgaben planen, Tools aufrufen, mit anderen Agenten kommunizieren und Entscheidungen ohne unmittelbare menschliche Freigabe treffen. Ein Sprachmodell, das eine Anfrage beantwortet, ist etwas fundamental anderes als ein Agent, der eigenständig auf zehn Systeme zugreift, Zahlungen auslöst oder Verträge vorbereitet. Für Letzteres fehlen in den etablierten Frameworks schlicht die Kategorien.

Der 2026 CISO AI Risk Report, eine Befragung von 235 Sicherheitsverantwortlichen grosser Unternehmen, zeigt das Ausmass: 92% haben keine vollständige Sicht auf ihre Agent-Identitäten, 95% bezweifeln, dass sie einen kompromittierten Agenten überhaupt erkennen und eindämmen könnten, und nur 16% geben an, den Zugriff von KI-Systemen auf Kernsysteme wirksam zu steuern. Parallel dazu bestätigt die CSA State of AI Cybersecurity 2026-Studie mit über 1'500 befragten Sicherheitsverantwortlichen, dass 92% besorgt über Agent-Sicherheit sind – die Governance-Praxis hinkt der Sorge weit hinterher.

Warum sind NIST AI RMF, ISO 42001 und EU AI Act strukturell unzureichend?

Drei Beispiele verdeutlichen die Lücke. Erstens: Identität. Klassische Frameworks gehen von einer klaren Zuordnung Mensch-System aus. Ein Agent, der im Namen eines Nutzers, aber mit eigener Handlungslogik operiert und dabei weitere Sub-Agenten beauftragt, sprengt dieses Modell. Zweitens: Tool-Ketten. Wenn ein Agent über das Model Context Protocol oder Agent-to-Agent-Protokolle auf Dutzende externe Werkzeuge zugreift, existiert in keinem der etablierten Regelwerke eine Vorgabe, wie diese Kette abgesichert und geprüft werden muss. Drittens: Audit-Trails. Compliance verlangt Nachvollziehbarkeit – doch wenn ein Agent in Millisekunden mehrere Systeme durchläuft, reichen klassische Logging-Ansätze nicht aus, um forensisch rekonstruierbare Handlungsketten zu erzeugen.

Die NIST CAISI RFI vom 8. Januar 2026 (Federal Register Docket NIST-2025-0035) war die erste formale US-Regierungsinitiative, die sich gezielt mit Cybersicherheitskontrollen für autonome KI-Agentensysteme befasst. Am 17. Februar 2026 folgte die NIST AI Agent Standards Initiative mit einem Drei-Säulen-Ansatz: industriegeführte Standards, Open-Source-Interoperabilität über MCP- und A2A-Protokolle sowie Forschung zu Agent-Authentifizierung und -Identität. Die ersten Ergebnisse – ein AI Agent Interoperability Profile – werden für das vierte Quartal 2026 erwartet. Konkrete SP 800-53-Overlays für Agenten liegen noch weiter in der Zukunft.

Was zeigt die OWASP Agentic Top 10?

Während staatliche und normative Gremien noch an Grundlagenarbeit sitzen, hat die Praxis bereits ein operativ nutzbares Werkzeug hervorgebracht: die OWASP Agentic Top 10, veröffentlicht am 10. Dezember 2025. Sie gilt aktuell als das am stärksten handlungsorientierte agenten-spezifische Sicherheitsframework und benennt konkrete Risikokategorien: Goal Hijacking (Zweckentfremdung der Agentenziele), Schwachstellen in der Lieferkette von Agentenkomponenten, unerwartete Codeausführung, Memory- und Context-Poisoning, unsichere Kommunikation zwischen Agenten sowie das Verhalten sogenannter Rogue Agents, die sich von ihrer ursprünglichen Aufgabenstellung lösen. Für Schweizer Unternehmen, die auf finale Standards nicht warten können, ist dies aktuell die belastbarste Referenz für ein Bedrohungsmodell.

Ergänzend zeigen technische Untersuchungen, wie real diese Risiken bereits sind: Sicherheitsforscher haben Anfang 2026 rund 8'000 MCP-Server identifiziert, die ohne Authentifizierung öffentlich im Internet erreichbar waren, und innerhalb von 60 Tagen mehr als 30 Schwachstellen im MCP-Ökosystem dokumentiert. Das ist kein theoretisches Risiko, sondern eine unmittelbar ausnutzbare Angriffsfläche.

Wie hoch ist der wirtschaftliche Schaden bereits heute?

Eine gemeinsame Erhebung von EY und dem AIUC-1-Konsortium vom März 2026 liefert erste belastbare Zahlen zu den finanziellen Folgen unzureichender Agenten-Governance: Nur 38% der befragten Unternehmen überwachen KI-Datenverkehr durchgängig, lediglich 17% überwachen die Interaktion zwischen Agenten überhaupt. Bei Unternehmen mit über einer Milliarde Dollar Umsatz meldeten 64% Verluste von über einer Million Dollar durch KI-Systemausfälle im Jahr 2025. 80% der Befragten dokumentierten riskantes Agentenverhalten – von unautorisiertem Zugriff bis zu Datenexposition.

Der Cisco/Splunk CISO Report vom Februar 2026, eine Befragung von 650 Sicherheitsverantwortlichen, unterstreicht die Dringlichkeit: 86% befürchten, dass agentische KI die Angriffsfläche für Social Engineering vergrössert, 82% sorgen sich um schnellere und hartnäckigere adversariale Angriffe. Gleichzeitig prognostiziert Gartner, dass bis Ende 2026 40% der Unternehmensanwendungen aufgabenspezifische KI-Agenten enthalten werden – gegenüber unter 5% im Jahr 2025. Die Governance-Lücke wächst also nicht linear, sondern parallel zu einer sich schnell beschleunigenden Verbreitung.

Was bedeutet das für Schweizer KMU?

Für Schweizer Unternehmen kommen zur globalen Governance-Lücke drei spezifische regulatorische Ebenen hinzu. Erstens: die extraterritoriale Reichweite des EU AI Act nach Artikel 2(1)(c). Auch Schweizer KMU ohne Niederlassung in der EU sind betroffen, sobald die Ergebnisse ihrer KI-Systeme im EU-Markt verwendet werden. Zweitens: das revidierte Datenschutzgesetz (revDSG), seit September 2023 in Kraft, schafft eigenständige Pflichten für automatisierte Einzelentscheidungen – unabhängig von DSGVO oder EU AI Act. Ein Agent, der automatisiert Kreditentscheide vorbereitet oder Bewerbungen vorselektiert, fällt direkt unter diese Bestimmungen. Drittens: regulierte Institute müssen die FINMA-Guidance 08/2024 zur Data Governance bei ausgelagerter KI beachten, sobald Agenten Aufgaben übernehmen, die vormals von internen Teams oder klassischen Dienstleistern erledigt wurden.

Positiv: Die Schweiz baut parallel Unterstützungsstrukturen auf. Die Swiss AI Roadmap 2026 von Martel-Innovate sieht Digital Innovation Hubs (EDIHs) für KMU, regulatorische Sandboxes, KI-taugliche Datenrahmenwerke, das Swiss AI Centre, das AI Innovation Programme des Kantons Zürich sowie Innosuisse-Förderung zwischen CHF 100'000 und 1 Million vor. Diese Strukturen ersetzen keine eigene Governance-Arbeit, senken aber die Einstiegshürde erheblich. Wer den Aufbau einer belastbaren Agenten-Governance systematisch angehen will, findet praxisnahe Orientierung etwa im Beitrag zu KI-Agenten als Standard-Feature und der Frage, warum die Governance-Lücke jetzt geschlossen werden muss.

Sofortmassnahmen: Was Schweizer Unternehmen jetzt umsetzen sollten

Die CSA empfiehlt sechs konkrete Sofortmassnahmen, die keine finalen Standards voraussetzen und mit vorhandenen Sicherheitsteams umsetzbar sind:

1. Agent-Inventar erstellen: Alle produktiven Agenten erfassen – mit Identität, Berechtigungen, verwendeten Tools, Datenquellen, verantwortlichem Owner und zugehörigem Geschäftsprozess.
2. Least-Privilege konsequent umsetzen: Agent-Zugangsdaten zeitlich befristet, just-in-time vergeben und strikt auf den notwendigen Funktionsumfang beschränken.
3. Agent-zu-Agent-Verkehr überwachen: Bestehende SIEM- und UEBA-Systeme erweitern, um Tool-Aufrufe, API-Anfragen und Datenzugriffe zwischen Agenten sichtbar zu machen.
4. OWASP Agentic Top 10 als Basis-Bedrohungsmodell einführen und in bestehende Risikoprozesse integrieren.
5. Das NCCoE-Konzeptpapier als architektonischen Leitfaden nutzen: OAuth 2.0, Zero-Trust-Prinzipien nach SP 800-207 und Digital-Identity-Vorgaben nach SP 800-63-4 auf Agentenszenarien anwenden.
6. Agenten-spezifische Incident-Response-Verfahren definieren: Zugangsdaten sofort widerrufbar machen, Isolation vom Tool-Ökosystem vorbereiten, Handlungsketten forensisch rekonstruierbar gestalten.

Das am 5. Februar 2026 veröffentlichte NCCoE-Konzeptpapier "Accelerating the Adoption of Software and AI Agent Identity and Authorization" ist dabei besonders relevant: Es überträgt etablierte Standards – OAuth 2.0, das Zero-Trust-Modell nach SP 800-207 und die Digital Identity Guidelines nach SP 800-63-4 – erstmals systematisch auf Agentenszenarien. Es handelt sich noch um ein Konzeptpapier, keine verabschiedete Richtlinie. Für Unternehmen, die heute handeln müssen, bietet es dennoch die derzeit solideste architektonische Grundlage.

Welche Frameworks helfen bei der praktischen Umsetzung?

Über die Sofortmassnahmen hinaus hat die Cloud Security Alliance drei Werkzeuge entwickelt, die sich für eine strukturierte Agenten-Governance eignen. Die AI Controls Matrix (AICM) umfasst 18 Sicherheitsdomänen mit über 240 Kontrollzielen entlang des gesamten KI-Lebenszyklus und eignet sich als Grundgerüst für interne Audits. Das Capabilities-Based Risk Assessment (CBRA) bewertet Agenten multiplikativ über vier Dimensionen – Systemkritikalität, Grad der Autonomie, Zugriffsberechtigungen und Wirkungsradius – und liefert damit eine priorisierbare Risikokennzahl statt einer reinen Checkliste. MAESTRO schliesslich ist ein Bedrohungsmodellierungsansatz speziell für Multi-Agenten-Architekturen und adressiert Szenarien wie die Kompromittierung eines Orchestrator-Agenten, die Übernahme einzelner Sub-Agenten oder die Vergiftung des gesamten Tool-Ökosystems.

Wer bei der Auswahl eines Anbieters für den Aufbau oder Betrieb von KI-Agenten steht, sollte diese Governance-Fähigkeiten von Anfang an als Auswahlkriterium behandeln – nicht als nachträgliche Ergänzung. Ein strukturierter Evaluationsrahmen dafür findet sich im Beitrag zur Auswahl von KI-Agenten-Anbietern für Schweizer KMU. Ebenso entscheidend ist die Datenbasis, auf der Agenten operieren: Governance ohne saubere Datengrundlage bleibt Theorie, wie der Beitrag zur Data Governance für KI-Agenten im Detail zeigt.

Führungsebene: Kompetenz statt Kontrollillusion

Die Governance-Lücke ist letztlich auch eine Führungsfrage. Wenn Agenten zunehmend operative und teils strategische Entscheidungen vorbereiten oder treffen, reicht es nicht, Governance an IT- oder Compliance-Abteilungen zu delegieren und die Sache damit für erledigt zu halten. Verwaltungsräte und Geschäftsleitungen müssen selbst verstehen, wo Autonomie endet und Aufsichtspflicht beginnt. Diese Kompetenzfrage auf Führungsebene wird auch im Gespräch zur KI-Kompetenz in der Führungsetage und der Zukunft autonomer Geschäftsentscheidungen vertieft.

Das White House National AI Legislative Framework vom 20. März 2026 verfolgt für die USA bewusst einen leichten, sektorbasierten Ansatz und etabliert autonome Agenten explizit nicht als eigene Regulierungskategorie – überlässt die Anwendung bestehender Befugnisse aber Aufsichtsbehörden wie OCC, FFIEC, FDA, CISA und SEC. Für Schweizer Unternehmen mit US-Bezug bedeutet das: Auch dort ist keine kurzfristige, agenten-spezifische Klarheit zu erwarten. Die Konsequenz für alle Jurisdiktionen ist dieselbe – wer auf finale, verbindliche Standards wartet, wartet auf unbestimmte Zeit, während die Angriffsfläche und die Zahl produktiver Agenten weiter wächst.

Fazit

Die Bestätigung durch NIST und CSA im April 2026 macht deutlich: Die Governance-Lücke bei KI-Agenten ist kein vorübergehendes Regelungsdefizit, das sich mit der nächsten Framework-Version schliesst, sondern eine strukturelle Folge davon, dass Agenten anders funktionieren als die KI-Systeme, für die bestehende Regelwerke entworfen wurden. Schweizer KMU, die heute Agenten produktiv einsetzen oder deren Einsatz planen, sollten die Wartezeit auf finale Standards nicht als Aufschub verstehen. Agent-Inventar, Least-Privilege, Monitoring und ein agenten-spezifisches Bedrohungsmodell lassen sich mit vorhandenen Ressourcen umsetzen – und schaffen genau die Sichtbarkeit, die heute 92% der Unternehmen fehlt.