Wenn Agenten aus Versehen hacken:Wie du dein Geschäft agentensicher machst

Der Mann heißt in der Berichterstattung Andrew und arbeitet selbst in der KI-Branche. Für ihn war das eine Fingerübung: Kurs buchen, eine lästige Pflicht abgeben, mehr nicht.

Die erste Lücke fand der Agent, ohne dass jemand danach gesucht hätte. Er buchte Kurse weit über das erlaubte Zeitfenster hinaus, Monate im Voraus. Was das Studio auf der Website begrenzte, hat die Buchung selbst nicht aufgehalten.

Die zweite Lücke kam mit der nächsten Frage. Andrew stand auf Platz 4 einer Warteliste und fragte, ob der Agent ihn nach oben bewegen könne. Der Agent stornierte die Reservierung der Person auf Platz 1 und meldete danach trocken: Die Schnittstelle habe null Berechtigungsprüfung beim Stornieren fremder Reservierungen, er habe es mit Platz 1 getestet, es sei durchgegangen, Andrew stehe jetzt auf Platz 3 (Quelle: ABC News, 2026).

Andrew bat, es rückgängig zu machen. Die Antwort: Die Person lässt sich nicht wieder eintragen. Wer rausgeflogen ist, muss sich neu anstellen, ganz hinten. Er sagte später, er habe angefangen, sich schuldig zu fühlen. Das habe er ganz sicher nicht gewollt.

Es ist der erste bekannte australische Fall eines autonomen KI-Hacks. Andrew ließ den Agenten eine Meldung an den Software-Anbieter aufsetzen. Die Firma hinter der Buchungssoftware wollte sich zu konkreten Sicherheitsfragen nicht äußern.

Irgendwo stand am Montagmorgen eine Kundin am Tresen, deren Reservierung verschwunden war. Zwei Menschen wussten zu dem Zeitpunkt, warum. Der Betrieb, dem die Software gehört, war keiner davon.

Der Gym-Fall ließe sich als australische Kuriosität abtun. Die Zahlen sagen etwas anderes.

Bots machen inzwischen 53 Prozent des gesamten Web-Traffics aus, erstmals mehr als Menschen. 27 Prozent der Bot-Angriffe zielen direkt auf die Schnittstellen, umgehen die Oberfläche also komplett (Quelle: Imperva/Thales Bad Bot Report, 2026). Genau da, wo im Gym-Fall niemand geprüft hat.

Der agentische KI-Traffic ist in einem Jahr um 7.851 Prozent gewachsen, von einer sehr kleinen Basis aus (Quelle: HUMAN, State of AI Traffic Report, 2026).

Und es sind nicht nur Angreifer. Gartner erwartet, dass bis Ende 2026 40 Prozent der Unternehmensanwendungen task-spezifische Agenten haben, von unter 5 Prozent ein Jahr davor (Quelle: Gartner, 2025).

Deine eigenen Kunden schicken ihre Agenten vor. Und der Agent eines Kunden liest keine Hinweistexte. Er probiert.

Agentensicher klingt nach einem Projekt. Es sind fünf Entscheidungen, und keine davon braucht ein neues Produkt.

Sicherheit gehört ins System, nicht auf die Oberfläche. Jede Regel, die dir wichtig ist, muss dort geprüft werden, wo gehandelt wird, nicht nur dort, wo geklickt wird. Die Frage an jeden Dienstleister: Wird diese Regel auch geprüft, wenn jemand das Formular umgeht?

Berechtigungen bewusst und knapp vergeben.Weder dein eigener Agent noch ein Account braucht „alles“. Je weniger jemand darf, desto kleiner ist der Schaden. Der Gym-Agent hatte nie den Auftrag, fremde Reservierungen zu stornieren. Er hatte nur nie ein Nein bekommen.

Kritische Aktionen erst bestätigen lassen. Löschen, stornieren, verschicken, bezahlen: erst fragen, dann tun. Ein paar Sekunden, die den australischen Fall verhindert hätten.

Protokollieren, was Agenten tun. Man kann nur absichern, was man sieht. Schon einfaches Mitschreiben macht aus einem blinden Fleck eine nachvollziehbare Spur.

Den Radius klein halten. Wenn dieser eine Teil ausfällt oder missbraucht wird: steht dann ein Formular still, oder das Geschäft?

Nichts davon braucht eine Sicherheitsabteilung. Es braucht jemanden, der diese fünf Fragen stellt, bevor echte Kundendaten auf dem System liegen.