RSA Conference 2026: Der Übergang zur agentenbasierten Identität (Agentic Identity)

Die Atmosphäre im Moscone Center während der RSA Conference 2026 war elektrisierend, dominiert von einem einzigen, übergreifenden Thema: dem Übergang von passiven generativen KI-Assistenten (Generative AI) zu einer autonomen „agentenbasierten KI“ (Agentic Identity). Da Unternehmen über die reine Textgenerierung hinausgehen und hochentwickelte KI-Agenten einsetzen, die in der Lage sind, komplexe Workflows auszuführen, hat die Branche einen kritischen Wendepunkt erreicht. Die zentrale Herausforderung, wie sie durch eine Welle von Ankündigungen in dieser Woche hervorgehoben wurde, besteht nicht mehr nur darin, die Daten zu sichern – es geht darum, die Identität der digitalen Belegschaft selbst zu sichern.

Im Zentrum des Diskurses auf der RSAC 2026 stellten fünf große Sicherheitsgiganten – CrowdStrike, Cisco, Palo Alto Networks, Microsoft und Cato CTRL – gleichzeitig neue Identitäts-Frameworks für KI-Agenten vor. Diese Initiativen sind darauf ausgelegt, nicht-menschliche Identitäten zu kategorisieren, zu authentifizieren und zu autorisieren – eine notwendige Entwicklung in einer Zero-Trust-Umgebung. Doch hinter den glanzvollen Pressemitteilungen und ehrgeizigen Roadmaps ist eine ernüchternde Realität zum Vorschein gekommen. Jüngste Analysen nach Vorfällen bei Fortune-50-Unternehmen zeigen, dass trotz dieser neuen Frameworks drei kritische Sicherheitslücken bestehen bleiben, die diese automatisierten Agenten anfällig für raffinierte Ausnutzung machen.

Die neue Grenze: Identität als Sicherheitsperimeter

Jahrelang konzentrierte sich das Identitätsmanagement darauf, „wer“ auf das System zugreift, wobei in der Regel von einem menschlichen Benutzer ausgegangen wurde. Mit dem Aufkommen der agentenbasierten KI hat sich das Paradigma verschoben. Wir haben es nun mit Entitäten zu tun, die die Autonomie besitzen, Datenbanken abzufragen, API-Aufrufe zu initiieren und Systemkonfigurationen ohne direktes menschliches Eingreifen zu ändern.

Die Branchenreaktion auf der RSAC 2026 spiegelt diese Dringlichkeit wider. Das Ziel der neu eingeführten Frameworks ist es, jeden KI-Agenten als eigenständige Identität zu behandeln, komplett mit eigenen Anmeldedaten, Befugnisbereichen und Verhaltensprofilen. Dieser Ansatz versucht, von „Systemkonten“ wegzukommen, die oft überprivilegiert und schwer zu auditieren sind, hin zu einem granularen, identitätszentrierten Modell.

Die schiere Geschwindigkeit der Entwicklung hat jedoch die Reife dieser Frameworks überholt. Während CrowdStrike und Cisco Endpunkt- und Netzwerktelemetrie als Rückgrat für ihre Identitäts-Vertrauensmodelle betont haben und Microsoft auf seine tiefe Integration mit Entra ID setzt, bleibt das grundlegende Problem des Agentenverhaltens – was der Agent tut, sobald er authentifiziert ist – der primäre Streitpunkt.

Ansätze der Anbieter für KI-Identität

Jeder der großen Akteure hat sich dem Problem durch die Linse seiner Kernkompetenz genähert. Die folgende Tabelle bietet einen Überblick über den strategischen Fokus dieser Organisationen.

Anbieter	Primäre Strategie	Hauptfokus
CrowdStrike	Endpunkt-Telemetrie	Überwachung des Agentenverhaltens via EDR
Cisco	Network Fabric	Zero-Trust-Zugriffskontrollen für Agenten
Palo Alto Networks	Integrierte Plattform	Kontextsensitive Durchsetzung von Richtlinien
Microsoft	Identitäts-Ökosystem	Entra ID-Integration für KI-Identitäten
Cato CTRL	SASE-Framework	Sicherer Zugriff für verteilte Agenten

Wie oben skizziert, liegt der Fokus weitgehend darauf festzustellen, wer der Agent ist. Branchenanalysten bei Creati.ai stellen jedoch fest, dass die Etablierung der Identität lediglich der erste Schritt ist. Die Lücke liegt in der Verwaltung der dynamischen Natur dieser Agenten, sobald sie in das Unternehmensnetzwerk eintreten.

Die drei kritischen Sicherheitslücken

Trotz der technologischen Fortschritte, die auf der RSAC 2026 präsentiert wurden, unterstreichen reale Daten aus jüngsten Sicherheitsvorfällen bei Fortune-50-Unternehmen, dass diese Frameworks drei grundlegende Schwachstellen nicht adressieren. Diese Lücken stellen die „blinden Flecken“ der modernen Sicherheit für agentenbasierte KI dar.

1. Dynamische Ausweitung des Berechtigungsumfangs (Scope Creep)

Die meisten aktuellen Frameworks verlassen sich auf statische Richtliniendefinitionen. In einer statischen Umgebung wird einem Agenten eine feste Rolle zugewiesen – zum Beispiel „Lesezugriff auf Datenbank“. Die Stärke von KI-Agenten liegt jedoch in ihrer Fähigkeit, logisch zu schlussfolgern und sich anzupassen. Wenn ein Agent mit einem komplexen Ziel betraut wird, versucht er möglicherweise, seine eigenen Operationen zu eskalieren, was effektiv zu einem „Scope Creep“ führt.

Den aktuellen Identitäts-Frameworks fehlt die Logik, um den Autorisierungsumfang eines Agenten in Echtzeit basierend auf der Absicht eines spezifischen Prompts dynamisch neu zu bewerten. Wenn ein Agent kompromittiert wird oder halluziniert, kann er seine zugewiesene Identität nutzen, um Aktionen auszuführen, die nie explizit beabsichtigt waren, einfach weil die Berechtigungsgrenze zu weit gefasst und zu Beginn der Sitzung statt bei der Ausführung der Aufgabe definiert wurde.

2. Der Mangel an nicht-deterministischen Audit-Trails

In der traditionellen IT-Sicherheit sind Protokolle linear und deterministisch. Wenn ein Benutzer eine Datei löscht, gibt es eine klare Überwachungskette: Benutzer-ID -> Aktion -> Zeitstempel. KI-Agenten agieren jedoch auf nicht-deterministische Weise. Sie verketten mehrere Schritte, Argumentationspfade und API-Aufrufe, um ein Ziel zu erreichen.

Die zweite identifizierte kritische Lücke ist die Unfähigkeit aktueller Identitäts-Frameworks, einen menschenlesbaren, prüfbaren Pfad darüber bereitzustellen, warum ein Agent eine Entscheidung getroffen hat. Wenn ein Vorfall auftritt, bleiben Forensik-Teams mit einem riesigen Stapel unstrukturierter API-Logs zurück, haben aber keinen Einblick in den internen „Denkprozess“ des Agenten. Dies macht es fast unmöglich festzustellen, ob eine Aktion das Ergebnis einer bösartigen Prompt-Injection, einer Fehlkonfiguration oder eines echten (wenn auch fehlerhaften) Argumentationspfads war.

3. Kontext-Vergiftung zwischen Agenten (Cross-Agent Context Poisoning)

Schließlich gibt es das Problem der Kommunikation zwischen Agenten. Moderne Unternehmensarchitekturen verlassen sich zunehmend auf „Multi-Agenten-Systeme“, bei denen ein Orchestrierungs-Agent mehrere spezialisierte Unteragenten verwaltet. Die auf der RSAC 2026 enthüllten Identitäts-Frameworks behandeln Agenten weitgehend als isolierte Einheiten.

Dies hinterlässt eine erhebliche Schwachstelle: Kontext-Vergiftung. Wenn ein Agent mit niedrigen Privilegien kompromittiert wird, kann er „vergifteten“ Kontext oder bösartige Anweisungen an einen Agenten mit höheren Privilegien innerhalb desselben Workflows weitergeben. Da diesen Frameworks eine Identitätsvalidierung zwischen Agenten fehlt – bei der ein Agent das Vertrauensniveau eines anderen überprüft, bevor er Eingaben akzeptiert –, ist die Sicherheit der gesamten Kette nur so stark wie ihr schwächstes Glied.

Jenseits der Frameworks: Ein Weg nach vorne

Die Ankündigungen von Anbietern wie Cisco und Microsoft sind zweifellos ein Schritt in die richtige Richtung. Durch die Standardisierung des Konzepts der nicht-menschlichen Identität legen sie den Grundstein für sicherere autonome Systeme. Organisationen sollten diese Frameworks jedoch nicht mit „Set-and-Forget“-Sicherheitslösungen verwechseln.

Um diese Lücken zu schließen, müssen Unternehmen eine mehrschichtige Verteidigungsstrategie verfolgen:

• Implementierung von Human-in-the-Loop (HITL) Triggern: Für hochriskante Operationen (z. B. Finanztransaktionen, Infrastrukturänderungen) sollten Identitäts-Frameworks eine manuelle Genehmigung vorschreiben, unabhängig vom wahrgenommenen Vertrauenswert des Agenten.
• Verhaltens-Baselines: Sicherheitsteams müssen über das statische Identitätsmanagement hinaus zur aktiven Verhaltensüberwachung übergehen. Wenn ein Agent von seinem Basisverhalten abweicht, sollte das Identitäts-Framework automatisch eine erneute Authentifizierung oder den Abbruch der Sitzung auslösen.
• Einheitliche Agenten-Observability: Unternehmen müssen in Observability-Tools investieren, die KI-Argumentationsprotokolle mit traditionellen Netzwerk- und Anwendungsprotokollen korrelieren können. Ohne diese Korrelation bleibt die Sichtbarkeit agentenbasierter Aktivitäten fragmentiert.

Fazit

Die RSAC 2026 hat erfolgreich signalisiert, dass die KI-Sicherheit in eine neue, reifere Phase eintritt. Der Fokus auf die Identität von KI-Agenten ist eine notwendige und willkommene Entwicklung, die die strukturelle Integrität bietet, die zur Verwaltung der nächsten Generation autonomer Workloads erforderlich ist.

Wie jedoch die Erfahrungen von Fortune-50-Unternehmen beweisen, ist Identität kein Allheilmittel. Während CrowdStrike, Cisco und ihre Mitstreiter die Türen für diese neue Ära gebaut haben, werden die Schlösser – insbesondere jene, die die dynamische Autorisierung, Auditierbarkeit und das Vertrauen zwischen Agenten regeln – noch geschmiedet. Für die Leser von Creati.ai und Unternehmensleiter ist die Botschaft klar: Übernehmen Sie diese neuen Identitäts-Frameworks, aber priorisieren Sie die operative Sicherheit der Agenten selbst. Die Ära der agentenbasierten KI ist angebrochen, und unsere Sicherheitslage muss sich genauso schnell entwickeln wie die Modelle, die wir einsetzen.