Der Agent ist authentifiziert. Und jetzt? Von der Identität zur legitimierten Handlung

Damit stellt sich für IAM eine neue Frage: Wie lässt sich sicherstellen, dass ein Agent nicht nur technisch handlungsfähig ist, sondern für die konkrete Aktion auch die erforderliche Berechtigung besitzt?

Eine KI kann im Auftrag eines Menschen eine Transaktion technisch ausführen. Ob sie dazu auch befugt ist, hängt jedoch nicht allein von ihrer Identität ab. Agentische KI verschiebt damit die Kontrollfrage: Neben dem Zugriff auf eine Ressource muss geprüft werden, ob die konkrete Handlung durch einen Auftrag gedeckt und innerhalb definierter Grenzen autorisiert ist. Für Identity and Access Management (IAM) und Access Control rücken Identität, Delegation und Autorisierung als zusammenhängende Kontrollaufgabe in den Mittelpunkt.

Wenn Auftraggeber und handelnder Akteur auseinanderfallen

Bei klassischen digitalen Interaktionen authentifiziert sich in der Regel die Person, die anschließend innerhalb ihrer Berechtigungen handelt. Bei agentischen Transaktionen können Auftraggeber und ausführender Akteur auseinanderfallen. Zwischen dem ursprünglichen Auftrag und seiner Ausführung liegt damit ein delegiertes Mandat. Entscheidend ist, wer die Befugnis erteilt hat, welche Aufgaben sie umfasst und wo ihre Grenzen liegen. Ein Agent handelt nicht mit uneingeschränkter Berechtigung, sondern innerhalb des ihm übertragenen Handlungsspielraums. Die IAM-Frage erweitert sich damit von „Wer darf auf eine Ressource zugreifen?“ zu „Wer darf in wessen Auftrag welche Handlung ausführen?“ Das betrifft auch Customer Identity and Access Management (CIAM) und Partner-IAM. Wenn digitale Akteure im Namen von Kunden oder Partnern handeln, muss ihre delegierte Autorität ebenso kontrollierbar sein wie ihre Identität. Andernfalls lässt sich nicht zuverlässig beurteilen, ob eine Aktion tatsächlich vom ursprünglichen Auftrag gedeckt ist.

Authentisierung ist keine Autorisierung

Authentisierung und Autorisierung erfüllen unterschiedliche Aufgaben. Die Authentisierung bestätigt die behauptete Identität des handelnden Akteurs. Die Autorisierung entscheidet, ob dieser eine bestimmte Aktion unter den gegebenen Bedingungen ausführen darf. Die erfolgreiche Authentisierung eines Agenten reicht deshalb nicht aus, um eine Transaktion freizugeben. Ebenso wenig darf ein Agent automatisch sämtliche Berechtigungen des Menschen oder der Organisation übernehmen, in deren Auftrag er handelt. Die Delegation muss vielmehr einen definierten Handlungsspielraum festlegen, innerhalb dessen der Agent tätig werden darf. Für die Autorisierung-Entscheidung zählt zudem der Kontext. Dieselbe Handlung kann je nach den gegebenen Bedingungen unterschiedlich zu bewerten sein. Eine Access-Control-Architektur muss daher Identität und delegierte Befugnisse mit den relevanten Kontextinformationen und den geltenden Richtlinien zusammenführen.

Fünf Voraussetzungen für vertrauenswürdige Agentenhandlungen

Eine vertrauenswürdige agentische Transaktion setzt das Zusammenspiel von fünf Faktoren voraus:

1. Identität: Welcher digitale Akteur handelt?
2. Delegation: In wessen Auftrag handelt er und welche Befugnisse umfasst sein Mandat?
3. Kontext: Unter welchen Bedingungen findet die Handlung statt?
4. Richtlinie (Policy): Nach welchen Regeln wird über die Zulässigkeit der Aktion entschieden?
5. Nachweis: Auf welcher Grundlage wurde die Handlung autorisiert und ausgeführt?

Keiner dieser Faktoren reicht für sich allein aus. Erst ihr Zusammenspiel ermöglicht es, eine konkrete Aktion anhand des übertragenen Mandats, der jeweiligen Bedingungen und der geltenden Richtlinien zu bewerten. Der Nachweis hält nachvollziehbar fest, auf welcher Grundlage die Entscheidung getroffen wurde.

KI im IAM ist nicht dasselbe wie IAM für KI

KI kann IAM-Prozesse unterstützen, indem sie Muster erkennt, Risiken bewertet, privilegierte Berechtigungen sichtbar macht oder Berichte vorbereitet. Davon zu unterscheiden ist die Absicherung von KI-Agenten, die selbstständig Aktionen ausführen. Hier muss geprüft werden, ob die konkrete Handlung durch die delegierten Befugnisse gedeckt ist. KI kann Risikosignale bündeln und Entscheidungen vorbereiten. Sie ersetzt jedoch nicht die Autorisierungslogik, die anhand definierter Richtlinien entscheidet, ob eine Aktion zulässig ist. Gerade bei kritischen Zugriffen und Transaktionen müssen Berechtigungsentscheidungen richtlinienbasiert und reproduzierbar bleiben. KI berät. IAM entscheidet.

Autorisierung muss nachvollziehbar bleiben

Auch nach einer Freigabe muss sich nachvollziehen lassen, warum eine agentische Handlung zulässig war. Ein Logeintrag, der lediglich bestätigt, dass ein Agent authentifiziert wurde, reicht dafür nicht aus. Der Nachweis muss erkennen lassen, welcher Agent in wessen Auftrag, mit welchem Berechtigungsumfang und unter welchen Bedingungen gehandelt hat. Ebenso muss sich rekonstruieren lassen, welche Richtlinien der Autorisierungsentscheidung zugrunde liegen. Policy Enforcement und Auditability sind deshalb Bestandteile der Autorisierungsarchitektur, nicht bloß nachgelagerte Funktionen für Compliance oder Dokumentation. Policy Enforcement stellt sicher, dass die festgelegten Regeln bei der Entscheidung über eine konkrete Aktion angewendet werden. Auditability ermöglicht es, die Entscheidung und die daraus folgende Handlung im Nachhinein nachzuvollziehen. Ohne diese Verbindung lässt sich möglicherweise feststellen, welcher Agent aktiv war. Ob seine Handlung innerhalb der delegierten Befugnisse lag und weshalb sie zugelassen wurde, bleibt dagegen offen.

Handlungsfähigkeit an überprüfbare Autorität binden

Agentische KI verändert die Beziehung zwischen Identität, Auftrag und Handlung. Für IAM und Access Control bedeutet das, nicht nur den Zugriff auf Ressourcen zu kontrollieren, sondern auch die Legitimität der konkreten Aktion zu prüfen. Identität, Delegation, Kontext und Policy müssen dafür zusammenwirken; der Nachweis muss die Autorisierungsentscheidung nachvollziehbar machen. Entscheidend ist nicht, KI-Agenten pauschal mehr oder weniger Autonomie einzuräumen, sondern ihre Handlungsfähigkeit an überprüfbare Autorität zu binden. So bleibt kontrollierbar, wer in wessen Auftrag mit welchen Befugnissen handelt.