Okta Agent SSO: KI-Agenten-Identität ohne Zusatzkosten
Auf den Punkt
Okta hat im August 2026 Agent SSO lanciert: KI-Agenten erhalten eigenständige Identitäten mit kurzlebigen Tokens statt statischer API-Keys – kostenlos für bestehende SSO-Kunden. Das löst ein zentrales Sicherheitsproblem, schliesst aber die Governance-Lücke nicht automatisch. Schweizer Unternehmen brauchen weiterhin eigene Access-Policies und Audit-Prozesse.
Was Okta Agent SSO konkret ändert
Am 26. August 2026 hat Okta Agent SSO allgemein verfügbar gemacht: Unternehmen können KI-Agenten ab sofort als eigenständige, verwaltbare Identitäten registrieren – nicht mehr als anonyme Prozesse, die sich hinter statischen API-Keys oder weitreichend berechtigten OAuth-Tokens verstecken. Für Kunden auf bestehenden Core-SSO-Plänen entstehen dabei keine Zusatzkosten. Das ist bemerkenswert, weil Identity- und Access-Management für autonome Systeme bislang eine teure Speziallösung oder ein ungelöstes Risiko war.
40%
Unternehmen mit über 1 Mrd. Umsatz, die 2026 KI-Agenten im grossen Stil produktiv einsetzen (2025 waren es 27%, McKinsey)
Das strukturelle Problem: Warum statische API-Keys nicht mehr reichen
KI-Agenten brauchen Zugriff auf CRM, ERP, Dokumentenarchive und interne Tools, um tatsächlich Arbeit zu erledigen. Bisher wurde dieser Zugriff meist über statische API-Keys oder breit geschnittene OAuth-Tokens gelöst – Berechtigungen, die selten ablaufen, kaum granular steuerbar sind und im Schadensfall schwer zurückzuverfolgen. Diese Governance-Lücke bei KI-Agenten ist kein theoretisches Risiko, sondern der Grund, warum viele Sicherheitsverantwortliche beim Thema Agenten-Rollout zögern.
Wie Agent SSO in der Praxis funktioniert
- Jeder KI-Agent erhält eine eigenständige, von Nutzerkonten unterscheidbare Identität
- Kurzlebige Tokens werden nur ausgestellt, wenn der Agent im Namen eines Nutzers aktiv handelt
- Zugriffsrichtlinien lassen sich granular pro Agent, System und Aktion definieren
- Jede Agent-Aktion erzeugt einen nachvollziehbaren Audit-Trail
- Keine Zusatzkosten für Unternehmen mit bestehendem Okta-SSO-Plan
- Partner-Ökosystem bereits aktiv: Anthropic, OpenAI, Salesforce, Asana, Atlassian, Canva, Figma, Datadog, Glean, Miro und Monday.com
Was das für Schweizer Unternehmen bedeutet: revDSG und Art. 716a OR
Das revDSG verlangt in Art. 21 bei automatisierten Entscheidungen – wozu auch Handlungen von KI-Agenten zählen können – dass Unternehmen Auskunft über Logik und Tragweite geben können. Eine Identität pro Agent statt eines geteilten API-Keys macht genau das möglich: Jede Aktion lässt sich einem konkreten Agenten, einem Zeitpunkt und einem Kontext zuordnen. Das deckt sich mit dem, was wir in unserem Beitrag zur Kontroll-Schicht für Enterprise-KI-Agenten als zentrale technische Voraussetzung für nachvollziehbare Governance beschrieben haben.
Auch Art. 716a OR spielt hier hinein: Der Verwaltungsrat muss die oberste Aufsicht über die Geschäftsführung ausüben – bei autonomen Systemen mit weitreichenden Systemzugriffen ist das ohne technische Kontrollmechanismen kaum glaubwürdig zu erfüllen. Für Unternehmen, die KI-Funktionen auslagern, kommt die FINMA-Guidance 08/2024 dazu: Ausgelagerte KI muss unter interner Governance-Kontrolle bleiben, mit dokumentierten Zugriffs- und Änderungsrechten – ein Anforderungsprofil, das eine Identity-pro-Agent-Architektur strukturell unterstützt.
Regulatorischer Kontext: EU AI Act und die Schweiz
Seit dem 2. August 2026 gelten die Transparenzpflichten nach Art. 50 des EU AI Act, während das Hochrisiko-Regime erst 2027 respektive 2028 greift. Schweizer Unternehmen mit EU-Bezug oder EU-Kundschaft sind davon indirekt betroffen – unabhängig davon bleibt das revDSG die massgebliche Grundlage für den Umgang mit automatisierten Entscheidungen im Inland.
Die Adoptionskurve beschleunigt sich – die Kontrolle hinkt hinterher
Eine Deloitte/Cohere-IDC-Erhebung zeigt, wie schnell sich der Einsatz von KI-Agenten gerade verschiebt: Der Anteil der Unternehmen, die vorgefertigte oder Drittanbieter-Agenten nutzen, soll von aktuell 13% innerhalb von zwölf Monaten auf 67% steigen. Bei intern entwickelten Agenten ist der erwartete Sprung von 5% auf 44% ähnlich steil. Gleichzeitig zeigt dieselbe Studie: Die meisten Unternehmen setzen zwar Agenten ein, verstehen aber die Anforderungen an souveräne, kontrollierbare KI noch unzureichend.
Die Governance-Lücke schliesst sich nicht von allein
Tooling ersetzt keine Governance-Entscheidung
Gartner beziffert die Ausfallquote bei Agenten-Projekten auf über 40% und identifiziert eine strukturelle Governance-Lücke im Verhältnis von 8 zu 1 zwischen eingesetzten Agenten und tatsächlich kontrollierten Berechtigungen. Bis Ende 2026 dürften zudem 60% der Agenten-Initiativen ohne KI-taugliche Datenbasis wieder eingestellt werden. Agent SSO löst das Identitätsproblem – nicht automatisch die Frage, wer welche Policy definiert, überwacht und verantwortet.
Der pragmatische erste Schritt
Für Schweizer KMU bedeutet die Lancierung von Agent SSO vor allem eines: Der Zeitpunkt, um die eigene Zugriffsarchitektur für KI-Agenten zu überdenken, ist jetzt – bevor der nächste Agent produktiv geschaltet wird, nicht danach. Wie eine vergleichbare Kontroll-Schicht auf Plattformebene aussehen kann, zeigt auch unser Beitrag zu Amazon Bedrock AgentCore als Production-Plattform für KI-Agenten. Welche Kombination aus Identity-Layer, Policy-Framework und Audit-Prozess für dein Unternehmen die richtige ist, hängt von deiner bestehenden Systemlandschaft und deinem Risikoprofil ab – das ist der Punkt, an dem sich ein Gespräch lohnt, bevor die Entscheidung fällt.
Häufige Fragen
- Was ist Okta Agent SSO?
- Agent SSO ist eine seit August 2026 allgemein verfügbare Okta-Funktion, mit der Unternehmen KI-Agenten als eigenständige Identitäten registrieren und über kurzlebige Tokens sowie granulare Zugriffsrichtlinien steuern können – als Alternative zu statischen API-Keys oder breit berechtigten OAuth-Tokens.
- Kostet Agent SSO für bestehende Okta-Kunden extra?
- Nein. Laut Okta ist Agent SSO für Kunden auf bestehenden Core-SSO-Plänen ohne Zusatzkosten enthalten.
- Ersetzt Agent SSO klassische API-Key-Verwaltung vollständig?
- Agent SSO adressiert das Identitäts- und Token-Problem für Agenten, die im Namen von Nutzern handeln. Es ist ein wichtiger Baustein, ersetzt aber nicht die übergeordnete Governance-Arbeit: Policy-Definition, Verantwortlichkeiten und Monitoring bleiben Aufgabe des Unternehmens.
- Ist Agent SSO automatisch revDSG-konform?
- Die Technologie schafft die Voraussetzung für Nachvollziehbarkeit, die Art. 21 revDSG bei automatisierten Entscheidungen verlangt – etwa durch Audit-Trails pro Agent. Die revDSG-Konformität selbst hängt jedoch davon ab, wie die Zugriffsrichtlinien konkret ausgestaltet und dokumentiert werden.
- Welche Unternehmen arbeiten bereits mit Agent SSO?
- Zum Marktstart wurden unter anderem Anthropic, OpenAI, Salesforce, Asana, Atlassian, Canva, Figma, Datadog, Glean, Miro und Monday.com als Partner genannt.
- Löst Agent SSO das strukturelle Governance-Problem bei KI-Agenten?
- Nein, nicht vollständig. Gartner-Daten zeigen eine Governance-Lücke von 8 zu 1 zwischen eingesetzten Agenten und kontrollierten Berechtigungen sowie eine Projektausfallquote von über 40%. Agent SSO liefert die technische Infrastruktur, ersetzt aber nicht die organisatorische Entscheidung über Policies und Verantwortlichkeiten.
Quellen
Möchten Sie dieses Thema für Ihr Unternehmen vertiefen?
Kapazität prüfen