KI-Sicherheit im Unternehmen: KI-Agenten und KI-Stack absichern

KI-Sicherheit im Unternehmen heißt heute vor allem: die Zugänge absichern, über die KI-Agenten, Automatisierungen und KI-gebaute Anwendungen arbeiten. Also Admin-Konten, API-Schlüssel und die Software-Pakete, auf denen alles aufbaut. Die wirksamsten Hebel sind phishing-resistente Anmeldung, minimale Rechte für jeden Agenten, ein sauberes Secrets-Management mit geübter Rotation, eine kontrollierte Software-Lieferkette und ein KI-gestütztes Security-Review vor jedem Go-live.

Warum das gerade jetzt dringend ist, hat die Woche um den 21. Oktober 2026 gezeigt. Innerhalb von 24 Stunden kamen Notfall-Patches für zwei kritische PHP-Lücken, die mit KI gefunden wurden, ein Supply-Chain-Angriff auf das verbreitete LLM-Gateway LiteLLM und ein Sicherheitsvorfall beim Hosting-Anbieter Railway, nach dem alle Kunden ihre Secrets erneuern sollten. In diesem Beitrag erfahren Sie:

• was im Oktober 2026 passiert ist und was es mit KI-Stacks zu tun hat,
• warum KI die Angriffslage für den Mittelstand verändert,
• welche sieben Bausteine KI-Agenten, n8n-Workflows und KI-Apps wirklich schützen,
• was ein KI-gestütztes Security-Review leistet und wo es an Grenzen stößt,
• und welche Meldepflichten im Ernstfall gelten.

Was im Oktober 2026 passiert ist

Die folgenden Vorfälle sind öffentlich dokumentiert. Sie stehen hier nicht wegen der Schlagzeilen, sondern weil jeder davon einen anderen Angriffsweg zeigt, der auch Ihr Unternehmen betreffen kann.

Stand: 28.10.2026. Bei PHP2Shell gab es vor dem Patch laut Tenable erst Angriffsversuche. Erfolgreiche Angriffe wurden ab dem 24.10. gemeldet, die US-Behörde CISA hat beide Lücken inzwischen in ihren Katalog aktiv ausgenutzter Schwachstellen aufgenommen. Wer PHP einsetzt, sollte auf 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 aktualisieren. Versionen vor 8.2 bekommen keine regulären Updates mehr.

Warum KI die Angriffslage verändert

Drei Entwicklungen kommen gerade zusammen.

KI findet Lücken schneller, auf beiden Seiten. Schon 2025 hat Googles KI-Agent Big Sleep eine Lücke in SQLite gefunden, bevor Angreifer sie ausnutzen konnten (The Hacker News). PHP2Shell ist das nächste, deutlich größere Beispiel. Dieselben Modelle stehen Angreifern zur Verfügung. Die Zeit zwischen Veröffentlichung einer Lücke und dem ersten Angriff wird kürzer, und das BSI zählte schon im Lagebericht 2025 durchschnittlich 119 neue Schwachstellen pro Tag (BSI).

KI-Schlüssel sind ein eigenes Angriffsziel. API-Schlüssel für Sprachmodelle lassen sich direkt zu Geld machen: Wer sie stiehlt, lässt teure Modelle auf fremde Rechnung laufen. Bei Railway und LiteLLM ging es genau um diese Schlüssel. Ein Unternehmen, das KI-Agenten betreibt, hat damit mehr wertvolle Geheimnisse im Umlauf als noch vor zwei Jahren.

Agenten bekommen echte Rechte. Ein KI-Agent liest E-Mails, legt Datensätze an, ruft Schnittstellen auf. Über Tool Calling und MCP ist er mit vielen Systemen verbunden. Jeder Zugang, den ein Agent hat, ist auch ein Zugang für jemanden, der den Agenten oder seine Schlüssel kompromittiert.

Der Schaden ist real. Nach der Bitkom-Studie Wirtschaftsschutz 2026 entfällt der Großteil der jährlichen Schäden durch Spionage und Sabotage in der deutschen Wirtschaft inzwischen auf Cyberangriffe (Bitkom).

Sieben Bausteine für einen sicheren KI-Stack

Die gute Nachricht: Die meisten Angriffe aus dem Oktober wären mit Maßnahmen abgefangen oder stark begrenzt worden, die kein großes Security-Team brauchen. Die Übersicht vorab:

1. Konten: phishing-resistent anmelden

Die meisten Angriffe beginnen nicht mit einem Zero-Day, sondern mit einem Login. Mehr-Faktor-Authentifizierung senkt das Risiko einer Kontoübernahme laut einer Microsoft-Studie um über 99 % (Microsoft Research). SMS-Codes und Push-Bestätigungen lassen sich aber per Phishing abgreifen. Für die Konten, an denen alles hängt, gehören deshalb Passkeys oder Hardware-Schlüssel wie YubiKeys dazu: Code-Hosting (GitHub, GitLab), Cloud- und Hosting-Konten, Domain und DNS, E-Mail-Admin, Passwort-Manager und die Konten bei den KI-Anbietern.

Auch die KI-Anbieter selbst setzen darauf. OpenAI verlangt für den Zugang zu seinen stärksten Cyber-Funktionen inzwischen einen hardware-gestützten Passkey (OpenAI). Anthropic verlangt phishing-resistente MFA für Organisationen in seinem Cyber-Verifizierungsprogramm (Help Net Security).

2. Software-Lieferkette: nicht alles sofort installieren

Ein Supply-Chain-Angriff trifft Sie nicht über Ihren eigenen Code, sondern über ein Paket, dem Sie vertrauen. Bei LiteLLM war die manipulierte Version weniger als zwei Stunden auf PyPI. Betroffen war, wer genau in diesem Fenster neu installiert oder ein Container-Image mit dem Tag latest gezogen hat. Wer auf eine feste Version gepinnt war, war nicht betroffen.

Daraus folgen drei einfache Regeln:

• Versionen pinnen und Lockfiles einchecken. Keine latest-Tags in Produktion, auch nicht bei Docker-Images.
• Abhängigkeiten automatisch überwachen. GitHub Dependabot meldet bekannte Lücken und erkennt seit 2026 auch Schadcode in npm- und PyPI-Paketen (GitHub). Sicherheitsupdates sollten innerhalb von Tagen eingespielt werden, nicht im nächsten Quartal.
• Neuen Releases kurz Zeit geben. Dependabot wartet inzwischen standardmäßig einige Tage, bevor es reguläre Versions-Updates vorschlägt (GitHub). Manipulierte Pakete fallen meist innerhalb von Stunden auf. Sicherheitsupdates sind davon ausgenommen und kommen sofort.

3. Secrets: verwalten, markieren, rotieren können

Secrets sind alle Geheimnisse, mit denen sich Systeme gegenseitig ausweisen: API-Schlüssel, Datenbank-Passwörter, Tokens. Gutes Secrets-Management hat vier Teile:

• Ein Ort. Secrets liegen im Secret-Manager der Plattform oder in einem Tresor, nie im Code, in einer Excel-Liste oder in einem Chat-Verlauf mit einem KI-Assistenten.
• Richtig markiert. Bei Vercel waren im April genau die Variablen betroffen, die nicht als „sensitiv“ markiert waren. Die Markierung kostet einen Klick.
• Ein Inventar. Eine Liste, welcher Schlüssel in welchem System, Workflow und Agenten steckt, und wer ihn erneuern kann.
• Geübte Rotation. Nach dem Railway-Vorfall mussten Kunden alle Variablen austauschen. Wer das noch nie gemacht hat, braucht dafür Tage und produziert dabei Ausfälle. Planen Sie die Rotation einmal im Jahr bewusst durch.

4. Minimale Rechte für KI-Agenten, n8n und MCP

Das Prinzip „Least Privilege“ ist alt, wird bei KI-Agenten aber besonders wichtig. Ein Agent, der Rechnungen klassifiziert, braucht Lesezugriff auf das Postfach und Schreibzugriff auf genau einen Ordner, nicht die Admin-Rechte des Kontos, mit dem er eingerichtet wurde. Konkret bedeutet das:

• Ein Zugang pro Agent und Workflow. Kein gemeinsamer Admin-Schlüssel für alle KI-Automatisierungen. Dann können Sie im Ernstfall einen Zugang sperren, ohne alles lahmzulegen.
• Nur die nötigen Scopes. Lesen statt Schreiben, eine Tabelle statt der ganzen Datenbank. Bei MCP-Servern heißt das: Werkzeuge bewusst freigeben, statt alles anzubieten, was die Schnittstelle kann. Wie wir MCP-Server dafür aufbauen, zeigt der Beitrag MCP-Server erstellen.
• Limits bei KI-Anbietern. Budgetgrenzen und getrennte Projekte pro Anwendung. Ein gestohlener Schlüssel kann dann nur begrenzten Schaden anrichten.
• Menschliche Freigabe für kritische Aktionen. Zahlungen, Löschungen oder E-Mails an Kunden laufen über eine Bestätigung, nicht vollautomatisch.

5. Plattformen und eigene Server

Große Plattformen wie Microsoft, Google, Cloudflare, Vercel oder Supabase investieren in Sicherheit, was ein mittelständisches Unternehmen nie aufbringen kann. Für die meisten Anwendungen ist ein etablierter Managed-Dienst deshalb sicherer als ein selbst betriebener Server. Dass auch diese Anbieter angegriffen werden, zeigen Vercel und Railway. Der Unterschied: Sie veröffentlichen Vorfälle, beheben sie schnell und geben klare Handlungsanweisungen.

Wenn Sie eigene Server betreiben, etwa für ein lokales Sprachmodell oder einen selbst gehosteten n8n-Server, gelten Mindeststandards: keine offenen Admin-Ports im Internet, Zugang nur per SSH-Schlüssel und über ein VPN wie Tailscale, eine Firewall, die nur das Nötigste durchlässt, und automatische Sicherheitsupdates. Auch die Werkzeuge dafür brauchen Pflege. Tailscale hat 2026 bereits 17 Sicherheitsmeldungen veröffentlicht (Tailscale).

6. KI-gestütztes Security-Review vor jedem Go-live

Dieselben Modelle, mit denen Angreifer Lücken suchen, können Sie für die Verteidigung einsetzen. Ein KI-gestütztes Security-Review geht über klassische Scanner hinaus: Ein Agent liest den Code im Zusammenhang, verfolgt Datenflüsse und Berechtigungen und findet Logikfehler, die kein Muster-Scan erkennt. Ein Beispiel ist das Open-Source-Werkzeug deepsec von Vercel Labs. Es sucht zuerst Kandidaten per Muster, lässt dann einen Agenten jede Stelle untersuchen, priorisiert die Funde und prüft sie ein zweites Mal gegen.

Die Anbieter öffnen dafür eigene Programme für geprüfte Verteidiger, etwa OpenAI Daybreak und das Cyber Verification Program von Anthropic. Sie geben verifizierten Sicherheitsteams Zugriff mit weniger Ablehnungen bei sicherheitskritischen Analysen. TAISC ist für Daybreak Blue freigeschaltet, die erste Stufe des OpenAI-Programms.

Wie sich ein KI-Review von anderen Prüfungen unterscheidet:

Ein KI-Review ersetzt keinen Penetrationstest, wenn Sie ihn nachweisen müssen. Es sorgt aber dafür, dass ein Pentest nicht an offensichtlichen Lücken hängen bleibt. Bei KI-gebauten Anwendungen kommen typische Schwachstellen dazu, etwa fehlende Row Level Security. Die prüfen wir mit einer eigenen Checkliste, beschrieben in Vibe Coding in Produktion bringen und Lovable-App production-ready machen.

7. Notfallplan und Meldepflichten

Wenn ein Anbieter wie Railway Sie auffordert, alle Secrets zu erneuern, sollte niemand erst überlegen müssen, wo diese liegen. Ein Notfallplan auf einer Seite reicht: Wer entscheidet, wer rotiert welche Schlüssel in welcher Reihenfolge, wo liegen die Logs, wer informiert Kunden.

Dazu kommen gesetzliche Fristen. Bei Datenschutzverletzungen gilt nach DSGVO eine Meldefrist von 72 Stunden an die Aufsichtsbehörde. Seit dem 6. Dezember 2025 ist das deutsche NIS2-Umsetzungsgesetz in Kraft, das nach Schätzungen rund 29.500 Unternehmen betrifft, in vielen Sektoren schon ab 50 Mitarbeitenden. Und seit dem 11. September 2026 müssen Hersteller von Produkten mit digitalen Elementen nach dem EU Cyber Resilience Act aktiv ausgenutzte Schwachstellen innerhalb von 24 Stunden melden (Jones Day). Ob und wie diese Pflichten für Sie gelten, klären Sie im Zweifel mit Ihrer Rechtsberatung.

Wie sicher ist Ihr KI-Stack?

So gehen wir bei TAISC vor

Security gehört bei uns ab der ersten Zeile Code ins Projekt, nicht in die Woche vor dem Launch. Jede Anwendung, die wir bauen, läuft vor dem Go-live durch ein KI-gestütztes Security-Review. Agenten und Automatisierungen bekommen eigene Zugänge mit minimalen Rechten, und Secrets liegen im Secret-Manager der jeweiligen Plattform.

Ein großer Teil unserer Prüfungen betrifft Anwendungen, die Unternehmen selbst mit KI gebaut haben. Beim Security-Check eines selbst gebauten Intranets haben wir unter anderem einen Secret-Scan über die gesamte Versionshistorie, Rollentests und eine Prüfung des internen KI-Assistenten auf Prompt Injection durchgeführt. Beim Security-Audit einer Lovable-App haben wir vor dem Go-live zwei kritische Lücken gefunden und nachgehärtet, statt neu zu bauen.

Bei TAISC in Karlsruhe entwickeln wir KI-Agenten, Automatisierungen und Individualsoftware und betreiben sie auch. Ob Security-Review vor dem Go-live, Härtung eines bestehenden Systems oder Betrieb mit Updates und Monitoring: Die Formen der Zusammenarbeit finden Sie unter Services.

Häufige Fragen zur KI-Sicherheit im Unternehmen

Was bedeutet KI-Sicherheit im Unternehmen?

KI-Sicherheit umfasst zwei Seiten: den Schutz von KI-Systemen selbst, also KI-Agenten, Automatisierungen und KI-gebaute Anwendungen samt ihrer Zugänge und Schlüssel, und den Einsatz von KI zur Verteidigung, etwa für Security-Reviews. Für die meisten Unternehmen beginnt sie bei Konten, Rechten, Secrets und der Software-Lieferkette.

Was ist ein Supply-Chain-Angriff?

Bei einem Supply-Chain-Angriff manipulieren Angreifer nicht Ihr System direkt, sondern ein Software-Paket oder einen Dienst, den Sie nutzen. Wer die manipulierte Version installiert, holt sich den Schadcode selbst ins Haus. Ein Beispiel ist die manipulierte LiteLLM-Version 1.107.0 vom 21. Oktober 2026, die Zugangsdaten stahl. Feste Versionen, Lockfiles und eine Wartezeit vor neuen Releases senken das Risiko deutlich.

Wie sichere ich KI-Agenten ab?

Geben Sie jedem Agenten eigene Zugangsdaten mit minimalen Rechten, nur für die Systeme und Aktionen, die er wirklich braucht. Legen Sie Budgetgrenzen bei den KI-Anbietern fest, lassen Sie kritische Aktionen wie Zahlungen oder Löschungen von Menschen freigeben und prüfen Sie Agenten mit Zugriff auf externe Inhalte auf Prompt Injection.

Was ist Least Privilege?

Least Privilege, das Prinzip der minimalen Rechte, bedeutet: Jede Person, jedes System und jeder KI-Agent bekommt nur die Berechtigungen, die für die Aufgabe nötig sind. Wird ein Zugang kompromittiert, bleibt der Schaden auf diesen kleinen Bereich begrenzt.

Ersetzt ein KI-Security-Review einen Penetrationstest?

Nein. Ein KI-gestütztes Security-Review findet viele Fehler im Code schnell und günstig und eignet sich vor jedem Go-live. Ein Penetrationstest durch erfahrene Menschen prüft zusätzlich Konfiguration, Infrastruktur und Ketten aus mehreren Schwächen. Bei kritischen Systemen oder regulatorischen Pflichten brauchen Sie beides.

Was sollte ich tun, wenn ein Anbieter mich auffordert, alle Secrets zu rotieren?

Nehmen Sie die Aufforderung ernst und handeln Sie am selben Tag. Erneuern Sie zuerst die Schlüssel mit den weitreichendsten Rechten, etwa Cloud- und Datenbank-Zugänge sowie KI-API-Schlüssel, und prüfen Sie danach die Logs auf ungewöhnliche Nutzung. Ein Inventar, welcher Schlüssel wo verwendet wird, macht diesen Schritt planbar.

Was ist OpenAI Daybreak?

Daybreak ist das Programm von OpenAI für Cyber-Verteidigung. In der Stufe Daybreak Blue erhalten verifizierte Verteidiger Zugriff auf die Cyber-Fähigkeiten der regulären OpenAI-Modelle mit weniger Ablehnungen bei sicherheitskritischen Analysen. Daybreak Red mit speziell trainierten Cyber-Modellen ist separat zu beantragen und nur für ausgewählte Organisationen freigegeben.

Fazit

Die Woche um den 21. Oktober 2026 hat gezeigt, wohin sich die Sicherheitslage bewegt: KI findet Lücken schneller, Angreifer haben es gezielt auf KI-Schlüssel abgesehen, und selbst große Plattformen müssen ihre Kunden um neue Secrets bitten. Für Unternehmen, die KI-Agenten und Automatisierungen einsetzen, ist die Antwort kein großes Security-Programm, sondern Disziplin bei den Grundlagen: phishing-resistente Konten, minimale Rechte für jeden Agenten, Secrets, die sich in Stunden erneuern lassen, eine kontrollierte Lieferkette und ein Security-Review vor jedem Go-live.

Sie setzen KI-Agenten oder Automatisierungen ein und wollen wissen, wo Ihre größten Lücken liegen? Buchen Sie ein unverbindliches Erstgespräch. Wir schauen gemeinsam auf Ihren Stack und priorisieren, was zuerst dran ist.