Auf den Punkt: KI-Agenten mit weitreichenden Zugriffsrechten auf SAP, Salesforce und ServiceNow benötigen denselben Identity-Lifecycle aus Provisionierung, Rezertifizierung und Deprovisioning wie menschliche Mitarbeiter, um Kontrollverlust über Kernsysteme zu vermeiden.
KI-Agenten greifen bereits eigenständig auf SAP-, Salesforce- und ServiceNow-Systeme zu, häufig mit weitreichenden Berechtigungen und ohne klare Governance. Unternehmen, die diese Agenten nicht wie Mitarbeiter führen, riskieren den Kontrollverlust über ihre Kernsysteme.
KI-Agenten sind in vielen Unternehmen längst produktiv im Einsatz und interagieren eigenständig mit zentralen Geschäftsanwendungen wie SAP, Salesforce und ServiceNow. Dabei erhalten sie teils weitreichende Zugriffsrechte, die sie zum Ausführen ihrer Aufgaben benötigen. Anders als bei menschlichen Mitarbeitern fehlt diesen Agenten jedoch häufig ein definierter Governance-Rahmen, der ihre Berechtigungen über den gesamten Lebenszyklus hinweg regelt, überwacht und bei Bedarf entzieht.
Für CISOs bedeutet das eine neue Kategorie von Identitäten, die klassische Identity-and-Access-Management-Prozesse nicht abdecken. Ein KI-Agent, der einmal mit umfassenden Rechten ausgestattet wurde, bleibt oft dauerhaft aktiv, selbst wenn sich sein Aufgabenbereich ändert oder er nicht mehr benötigt wird. Fehlende Offboarding-Prozesse für Agenten erhöhen die Angriffsfläche in Kernsystemen, die geschäftskritische Daten und Prozesse enthalten.
Die Forderung lautet daher, KI-Agenten denselben Lifecycle-Ansatz zukommen zu lassen, der für menschliche Mitarbeiter etabliert ist: Provisionierung mit minimal notwendigen Rechten, regelmäßige Rezertifizierung der Berechtigungen, Überwachung der tatsächlichen Nutzung und ein geregeltes Deprovisioning, sobald ein Agent ausgemustert oder umfunktioniert wird. Ohne diese Kontrollen entsteht in SAP-, Salesforce- und ServiceNow-Umgebungen eine wachsende Zahl nicht überwachter, hochprivilegierter Identitäten.
Für die Sicherheitsverantwortlichen in DACH-Unternehmen ergibt sich daraus die Notwendigkeit, bestehende Identity-Governance-Programme um eine eigene Kategorie für Non-Human Identities beziehungsweise KI-Agenten zu erweitern. Dazu gehört, Agenten-Konten im gleichen Detailgrad wie privilegierte Nutzerkonten zu inventarisieren, Zugriffsrechte an konkrete Geschäftsprozesse zu koppeln und Verantwortlichkeiten für die laufende Pflege dieser Identitäten klar zuzuordnen.
Quelle: www.security-insider.de · Erschienen 17. August 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.8.3.