Inhalt
- Wo der Mittelstand 2026 steht
- Was einen Agenten vom Assistenten unterscheidet
- Warum über vier von zehn Vorhaben abgebrochen werden
- Die fünf Risiken, die das BSI benennt
- Fünf Regeln, nach denen wir Agenten bauen
- Drei Aufgaben, die sich im Mittelstand rechnen
- Was ein Agent nicht ist
Im deutschen Mittelstand setzen 16,6 Prozent der Unternehmen KI-Agenten ein. Zwei Jahre zuvor waren es 8,7 Prozent. Die Zahl stammt aus dem KI-Index Mittelstand 2026, für den rund 700 Unternehmen befragt wurden.
Gartner erwartet gleichzeitig, dass bis Ende 2027 über 40 Prozent der Vorhaben mit agentischer KI wieder abgebrochen werden. Beide Zahlen stimmen, und sie widersprechen sich nicht. Sie beschreiben dieselbe Bewegung an zwei Stellen: Es wird viel begonnen, und der Zuschnitt der Aufgabe entscheidet darüber, was davon in Betrieb geht.
Wo der Mittelstand 2026 steht
Der KI-Index Mittelstand 2026 wurde vom Deutschen Mittelstands-Bund gemeinsam mit Salesforce erhoben, befragt wurde im November 2025, veröffentlicht wurde am 9. März 2026. Insgesamt nutzen oder testen 51,2 Prozent der befragten Unternehmen Künstliche Intelligenz. Der Agenteneinsatz hat sich in zwei Jahren fast verdoppelt.
Interessanter als die Nutzungszahl ist die Liste der Hemmnisse. An erster Stelle stehen Wissenslücken mit 39,9 Prozent, danach Datensicherheit mit 32 Prozent und gesetzliche Unsicherheit mit 26,6 Prozent. Nicht Kosten, nicht fehlende Technik, sondern fehlendes Wissen darüber, was diese Systeme eigentlich tun.
Das passt zu dem, was wir in Erstgesprächen hören. Der Begriff Agent wird für sehr unterschiedliche Dinge verwendet, vom Chatfenster auf der Webseite bis zu einem System, das eigenständig Bestellungen auslöst. Solange diese Spanne im Raum steht, lässt sich weder ein Budget noch ein Risiko einschätzen.
Was einen Agenten vom Assistenten unterscheidet
Das Bundesamt für Sicherheit in der Informationstechnik hat seine Verbraucherseite zu KI-Agenten zuletzt am 15. September 2026 aktualisiert. Die dortige Beschreibung ist nüchtern und brauchbar: Ein Agent ist ein Software-System, das auf Basis von Eingaben in einem großen Sprachmodell eigenständig Aktionen ausführt, und das dafür unter Umständen mit erweiterten Zugriffsrechten ausgestattet ist.
Zwei Fragen genügen, um im Gespräch zu klären, worüber gerade geredet wird.
Darf das System schreiben? Ein Assistent liest, fasst zusammen und schlägt vor. Der Mensch übernimmt oder verwirft. Ein Agent greift in andere Systeme ein: Er legt den Datensatz an, verschickt die Mail, bucht den Beleg. Der Unterschied ist nicht die Intelligenz, sondern die Schreibberechtigung.
Bestimmt das System die Reihenfolge seiner Schritte selbst? Ein Automatisierungsskript hat einen festen Ablauf, den jemand vorher aufgeschrieben hat. Ein Agent entscheidet unterwegs, welchen Schritt er als nächstes geht, und wie viele Schritte es insgesamt werden. Das ist der Grund, warum sich sein Verhalten nicht vollständig vorab prüfen lässt.
Aus diesen beiden Fragen ergibt sich auch die Kostenfrage. Ein Ablauf mit festen Schritten ist billiger zu bauen und billiger zu betreiben. Wer eine Aufgabe hat, die sich als Ablauf beschreiben lässt, braucht keinen Agenten. Ein gut gebauter Rechnungseingang etwa kommt in vielen Häusern ohne eigenständige Entscheidung über den nächsten Schritt aus, wie wir in unserem Beitrag zum automatisierten Rechnungseingang gezeigt haben.
Warum über vier von zehn Vorhaben abgebrochen werden
Gartner nennt für die Abbruchprognose drei Gründe: steigende Kosten, unklarer Geschäftsnutzen und unzureichende Risikokontrollen. Dazu kommt ein Marktproblem, für das Gartner den Ausdruck Agent Washing verwendet: Von mehreren tausend Anbietern, die mit agentischer KI werben, hält Gartner nur etwa 130 für authentisch. Der Rest verkauft umbenannte Assistenten, Chatbots oder Automatisierungswerkzeuge.
„Die meisten Agentenvorhaben sind frühe Experimente, getrieben von Aufmerksamkeit statt von Bedarf.“
Die Umfrage hinter der Einschätzung stammt vom Januar 2025 und erreichte 3.412 Teilnehmerinnen und Teilnehmer eines Webinars. 19 Prozent gaben an, erheblich zu investieren, 42 Prozent investierten zurückhaltend, 8 Prozent gar nicht, und 31 Prozent waren unsicher oder hielten sich zurück.
Gleichzeitig ist die Richtung eindeutig. Gartner erwartet, dass bis 2028 rund 15 Prozent der alltäglichen Arbeitsentscheidungen autonom getroffen werden, gegenüber praktisch null im Jahr 2024, und dass dann etwa ein Drittel der Unternehmenssoftware agentische Anteile enthält, nach weniger als einem Prozent im Jahr 2024.
Die drei Abbruchgründe lassen sich in unserer Erfahrung auf einen einzigen zurückführen: Die Aufgabe war nie so beschrieben, dass sich Erfolg messen ließ. „Der Agent soll den Einkauf entlasten“ ist keine Aufgabe. „Der Agent soll aus eingehenden Lieferantenmails Liefertermine erkennen und im ERP eintragen, mit Freigabe, bei mindestens neun von zehn Fällen korrekt“ ist eine. Der zweite Satz lässt sich nach vier Wochen widerlegen. Der erste läuft weiter, bis jemand das Budget streicht.
Die fünf Risiken, die das BSI benennt
Das BSI führt fünf Risiken auf, und alle fünf sind im betrieblichen Einsatz relevant, nicht nur im privaten.
Kontrollverlust. Der Agent führt Aktionen aus, die niemand einzeln freigegeben hat. Das ist kein Fehler im System, sondern sein Zweck. Die Frage ist nur, wie weit die Erlaubnis reicht.
Prompt Injection. Der Agent liest Inhalte, die von außen kommen: eine Mail, ein PDF, eine Webseite. Steht darin ein Satz, der wie eine Anweisung aussieht, kann das Modell ihn als Anweisung behandeln. Ein Angreifer braucht dafür keinen Zugang zum System, nur einen Kanal, auf dem er Text hineinbekommt. Das ist der praktisch wichtigste Unterschied zu klassischer Software, und wir behandeln ihn ausführlich unter Sicherheit von KI-Systemen.
Ungewollte Datenweitergabe. Ein Agent, der auf Postfach, Ablage und CRM zugreift, hat mehr Kontext als jeder einzelne Beschäftigte. Was davon in einer Antwort landet, entscheidet er selbst.
Kettenreaktionen. Ein falscher Schritt erzeugt die Grundlage für den nächsten. Wo ein Mensch stutzt, rechnet ein Agent weiter. Fehler bleiben dadurch nicht klein, sondern wachsen mit der Zahl der Schritte.
Missbrauch durch Angreifer. Ein Agent mit weitreichenden Rechten ist ein lohnendes Ziel. Wer ihn übernimmt, übernimmt seine Berechtigungen.
Dazu passt eine Beobachtung, die wir unabhängig davon machen: In vielen Häusern laufen Agenten längst, nur nicht dort, wo die IT sie vermutet. Der Weg dorthin führt über private Konten und Browsererweiterungen. Wir haben das unter Schatten-KI im Unternehmen beschrieben.
Fünf Regeln, nach denen wir Agenten bauen
Die Empfehlungen des BSI lauten: minimale Berechtigungen vergeben, wichtige Aktionen vorher bestätigen lassen, Aktionsprotokolle kontrollieren, auf seriöse Anbieter achten und die Software aktuell halten. Übersetzt in die Bauweise heißt das bei uns Folgendes.
1. Kleinste ausreichende Berechtigung. Der Agent bekommt Zugriff auf genau die Systeme und genau die Felder, die seine Aufgabe braucht. Nicht auf das Postfach, sondern auf einen Ordner darin. Nicht auf das ERP, sondern auf einen Vorgangstyp. Das schränkt ein, was ein übernommener Agent anrichten kann.
2. Schreiben nur mit Freigabe. Jede Änderung an einem fremden System wird als Vorschlag erzeugt, mit Ist- und Sollzustand nebeneinander, und einzeln freigegeben. Erst wenn eine Aufgabe über Wochen fehlerfrei läuft, wird die Freigabe für klar abgegrenzte Fälle gelockert. Nie umgekehrt.
3. Vollständiges Aktionsprotokoll. Zu jeder Aktion wird festgehalten, was der Auslöser war, welche Quellen gelesen wurden und was geschrieben wurde. Ohne dieses Protokoll ist nach einem Fehler nicht rekonstruierbar, an welcher Stelle der Kette er entstanden ist.
4. Ein hartes Abbruchkriterium. Der Agent bekommt eine Obergrenze an Schritten und eine Liste von Bedingungen, bei denen er abgibt statt weiterzumachen. Unsicherheit ist eine davon. Ein System, das seine eigene Ratlosigkeit meldet, ist deutlich mehr wert als eines, das immer etwas liefert.
5. Eingehende Inhalte sind Daten, keine Anweisungen. Alles, was der Agent liest, wird technisch als Material behandelt und nicht als Auftrag. Anweisungen kommen ausschließlich aus der Konfiguration und von berechtigten Personen. Das ist die einzige wirksame Antwort auf Prompt Injection.
Diese fünf Punkte kosten in der Umsetzung Zeit, und sie sind der Grund, warum ein sauber gebauter Agent teurer ist als ein Versuchsaufbau. Sie sind auch der Grund, warum er nach einem Jahr noch läuft.
Drei Aufgaben, die sich im Mittelstand rechnen
Eine Aufgabe eignet sich für einen Agenten, wenn drei Dinge zusammenkommen: Sie fällt häufig an, ihr Erfolg lässt sich an einem klaren Maßstab prüfen, und ein Fehler ist sichtbar und billig zu korrigieren. Fehlt eines davon, wird es ein teurer Versuch.
Vorgänge aus Posteingängen sortieren und vorbereiten. Eingehende Mails lesen, den Vorgang erkennen, Anlagen zuordnen, Felder vorschlagen, den Fall dem richtigen Platz zuweisen. Die Entscheidung bleibt beim Menschen, die Vorbereitung entfällt. Hier liegt der größte Teil der Zeitersparnis, die unsere Kunden berichten.
Stammdaten über Systemgrenzen hinweg abgleichen. Ein Agent, der Widersprüche zwischen ERP, Shop und Tabelle findet und je Fall einen begründeten Vorschlag macht, nimmt eine Arbeit ab, die sonst niemand freiwillig macht. Die Voraussetzung dafür ist allerdings unbequem: Es muss feststehen, welcher Bestand führt. Warum das so oft fehlt, steht in unserem Beitrag zur Datenqualität als Engpass.
Recherche mit festem Ergebnisformat. Lieferanten prüfen, Ausschreibungen sichten, Marktbeobachtung. Der Agent sammelt, belegt jede Aussage mit einer Quelle und liefert ein immer gleich aufgebautes Blatt. Ohne Quellenzwang ist dieser Fall unbrauchbar, mit Quellenzwang spart er ganze Tage. Wie sich Antworten an Belege binden lassen, haben wir unter RAG in der Praxis beschrieben.
Nicht geeignet sind Einzelfälle mit hohem Ermessensanteil, Aufgaben ohne prüfbares Ergebnis und alles, wo ein Fehler erst Monate später auffällt. Personalentscheidungen, Preisverhandlungen und Kulanzfragen gehören in diese Gruppe.
Was ein Agent nicht ist
Ein Agent ist kein Ersatz für eine Entscheidung, die niemand getroffen hat. Wenn im Haus nicht feststeht, welcher Preis gilt oder wer für einen Vorgang zuständig ist, wird ein Agent diese Lücke nicht schließen, sondern täglich neu und jedes Mal anders füllen.
Ein Agent ist auch kein Mitarbeiter. Er hat kein Gedächtnis für das, was letztes Jahr schiefging, kein Gespür dafür, wann eine Regel nicht passt, und keine Möglichkeit, eine Rückfrage zu stellen, die ihm niemand beigebracht hat. Er ist ein Werkzeug mit ungewöhnlich weitem Handlungsradius, und genau deshalb braucht er engere Leitplanken als andere Software, nicht weitere.
Und er ist kein Produkt, das sich kaufen und einschalten lässt. Das ist die praktische Lehre aus dem Agent Washing: Der Unterschied zwischen einem Anbieter, der ein echtes System baut, und einem, der ein Etikett wechselt, zeigt sich nicht im Datenblatt, sondern an der Frage, wie das System mit einem Fall umgeht, den es nicht kennt.
Wenn Sie prüfen wollen, ob eine bestimmte Aufgabe in Ihrem Haus für einen Agenten taugt oder ob ein fester Ablauf genügt, ist das eine überschaubare Vorarbeit und ein guter Einstieg in ein Beratungsgespräch. Wie solche Systeme bei uns aussehen, zeigen die Referenzen.
Quellen
- BSI: KI-Agenten, Stand 15. September 2026
- Gartner: Over 40% of Agentic AI Projects Will Be Canceled by End of 2027, 25. Juni 2025
- Deutscher Mittelstands-Bund und Salesforce: KI-Index Mittelstand 2026, 9. März 2026
Häufige Fragen
Ab wann lohnt sich ein Agent gegenüber einem einfachen Ablauf?
Wenn die Reihenfolge der Schritte nicht vorher feststeht. Lässt sich eine Aufgabe als Ablaufdiagramm zeichnen, ist ein festes Skript billiger im Bau, billiger im Betrieb und vollständig prüfbar. Ein Agent lohnt sich dort, wo der nächste Schritt vom Inhalt abhängt: unterschiedliche Absender, unterschiedliche Dokumentarten, Fälle, die Rückfragen brauchen. Die Faustregel lautet: erst den festen Ablauf versuchen, und nur da einen Agenten einsetzen, wo dieser Ablauf an Verzweigungen scheitert.
Was ist Prompt Injection und wie schützen wir uns davor?
Prompt Injection heißt: In einem Inhalt, den der Agent liest, steht ein Satz, der wie eine Anweisung aussieht, und das Modell behandelt ihn als Anweisung. Das kann in einer Mail stehen, in einem PDF oder auf einer Webseite. Wirksam ist nur eine bauliche Antwort: Eingehende Inhalte werden technisch als Material behandelt, Anweisungen kommen ausschließlich aus der Konfiguration. Dazu kommen minimale Berechtigungen und eine Freigabe vor jedem schreibenden Zugriff, damit ein durchgerutschter Fall folgenlos bleibt.
Dürfen Agenten selbstständig in unsere Systeme schreiben?
Am Anfang nicht. Wir bauen schreibende Zugriffe zunächst als Vorschlag mit Ist- und Sollzustand und einer Einzelfreigabe. Wenn eine klar abgegrenzte Fallgruppe über mehrere Wochen fehlerfrei läuft und im Protokoll nachvollziehbar ist, kann für genau diese Gruppe die Freigabe entfallen. Alles andere bleibt bei der Einzelfreigabe. Das BSI empfiehlt ebenfalls, wichtige Aktionen vorher bestätigen zu lassen und die Aktionsprotokolle zu kontrollieren.
Woran erkennen wir Agent Washing bei einem Anbieter?
An drei Fragen. Erstens: Was tut das System, wenn ein Fall auftritt, den es nicht kennt? Wer darauf keine konkrete Antwort hat, hat kein Abbruchkriterium eingebaut. Zweitens: Welche Berechtigungen braucht es, und lassen sie sich einzeln beschneiden? Drittens: Wie sieht das Aktionsprotokoll aus, und dürfen wir es sehen? Gartner hält von mehreren tausend Anbietern mit entsprechender Werbung nur etwa 130 für authentisch. Diese drei Fragen trennen die Gruppen schneller als jedes Datenblatt.