Agent Washing: Woran du echte KI-Agenten erkennst

Warum „KI-Agent“ genaues Hinsehen erfordert

„KI-Agent“ klingt nach einer Anwendung, die Aufgaben selbstständig erledigt. In der Praxis verwenden Anbieter den Begriff jedoch für sehr unterschiedliche Systeme. Manche Lösungen unterstützen Menschen bei einzelnen Aufgaben, andere führen festgelegte Prozessschritte aus. Erst bei genauer Betrachtung zeigt sich, ob ein System den Lösungsweg innerhalb eines vorgegebenen Rahmens selbst auswählt oder lediglich einen programmierten Ablauf abarbeitet.

Genau diese Lücke zwischen Produktversprechen und tatsächlicher Arbeitsweise wird als Agent Washing bezeichnet. Häufig werden Lösungen als KI-Agent vermarktet, obwohl sie technisch eher Chatbots, KI-Assistenten oder regelbasierten Workflows entsprechen. Was grundsätzlich gar nicht schlecht sein muss: Für viele Geschäftsprozesse ist ein fester Workflow verlässlicher, günstiger und leichter zu kontrollieren. Problematisch wird es allerdings, wenn der Name Erwartungen an Autonomie weckt, die das System nicht erfüllt.

Auch ein klassischer Workflow kann Daten aus einem ERP-System lesen, einen Text erzeugen und anschließend eine E-Mail versenden. Die Zahl der Schritte oder der Einsatz eines Sprachmodells belegen deshalb noch keine agentische Arbeitsweise. Entscheidend ist, ob der Ablauf vorab festgelegt ist oder ob das System abhängig vom Ziel, den verfügbaren Informationen und den Ergebnissen seiner Werkzeuge zwischen mehreren sinnvollen nächsten Schritten wählen kann.

Gartner verwendete den Begriff 2025 im Zusammenhang mit der Einschätzung, dass viele Anbieter bestehende Produkte wie Chatbots, KI-Assistenten und Robotic Process Automation als agentische Lösungen umbenennen.

Assistent, Workflow und Agent im Vergleich

Die Begriffe werden am Markt nicht einheitlich verwendet. Die folgende Tabelle ist deshalb keine verbindliche Norm, sondern eine praktische Arbeitsdefinition. Entscheidend ist nicht, ob ein System mit einem Sprachmodell arbeitet, sondern wie viel des Lösungswegs durch Menschen, feste Regeln oder das System selbst bestimmt wird.

Der Unterschied an einem Beispiel

• KI-Assistent: Du bittest die Anwendung, eine Kundenmail zusammenzufassen und einen Antwortentwurf zu formulieren. Du prüfst den Entwurf und entscheidest selbst über den nächsten Schritt.
• KI-Workflow: Eine eingehende Kundenmail wird automatisch erkannt, kategorisiert, im CRM gespeichert und bei bestimmten Merkmalen zur Freigabe weitergeleitet. Die Reihenfolge und Bedingungen sind vorher definiert.
• KI-Agent: Das System erhält das Ziel, eine Kundenanfrage zu klären. Es entscheidet, ob es zunächst im CRM recherchiert, eine interne Wissensquelle durchsucht oder eine Rückfrage vorbereitet. Bei fehlenden Informationen fragt es nach.

Ein Workflow kann dabei durchaus mehrere Modelle und Werkzeuge verbinden. Mehrere Schritte allein machen ihn noch nicht zu einem Agenten. Der entscheidende Unterschied ist, ob der Lösungsweg vorgegeben ist oder ob das System innerhalb klarer Grenzen selbst zwischen sinnvollen nächsten Schritten wählen kann.

Anthropic definiert einen Agenten ähnlich: Das Modell steuert seine eigenen Prozesse und die Nutzung von Werkzeugen. Praktisch entsteht eine Schleife aus Planen, Handeln, Beobachten, Anpassen und erneutem Handeln. Ein Agent muss dabei weder ohne menschliche Freigabe arbeiten noch sein Modell selbstständig trainieren. Kontrollierte Autonomie ist für den Unternehmenseinsatz oft sinnvoller als ein System, das möglichst viele Entscheidungen allein trifft.

Ein Agent besteht aus mehr als einem Modell

Beurteile immer das gesamte Agentensystem. Sein Verhalten hängt mindestens von vier Ebenen ab:

• Modell: Es interpretiert Aufgaben und erzeugt Entscheidungen oder Inhalte.
• Rahmen und Regeln: Anweisungen, Prompts und Schutzmechanismen legen fest, wie das Modell arbeiten soll.
• Werkzeuge: APIs, Dateien, Datenbanken und Geschäftsanwendungen ermöglichen konkrete Aktionen.
• Umgebung: Laufzeit, Netzwerk, Datenbestand und Benutzerkonto bestimmen, worauf der Agent tatsächlich zugreifen kann.

Ein leistungsfähiges Modell macht ein System nicht automatisch sicher. Ein zu weit gefasster Prompt, ein überprivilegiertes Werkzeug oder eine ungeschützte Laufzeitumgebung kann das Risiko deutlich erhöhen. Frage Anbieter deshalb nicht nur nach dem verwendeten Modell, sondern nach dem Zusammenspiel dieser vier Ebenen.

Fünf Warnsignale für Agent Washing

1. Das Ziel bleibt unklar

Aussagen wie „recherchiert, analysiert und kommuniziert“ beschreiben Funktionen, aber keinen Geschäftsnutzen. Ein belastbares Angebot nennt den konkreten Prozess, das erwartete Ergebnis und die Messgröße. Beispiel: „Der Agent bereitet aus Lieferantenanfragen einen prüfbaren Angebotsvergleich vor und markiert fehlende Angaben.“

2. Jeder Ablauf ist vorher festgelegt

Wenn alle Schritte, Verzweigungen und Werkzeugaufrufe vorab definiert sind, handelt es sich wahrscheinlich um einen Workflow. Das kann die richtige Architektur sein. Der Anbieter sollte sie dann auch so benennen und bepreisen.

3. Werkzeuge und Berechtigungen sind nicht transparent

Ein Agent kann nur handeln, wenn er auf Datenquellen oder Geschäftssysteme zugreifen darf. Lass dir zeigen, welche Systeme er lesen oder verändern kann, mit welchem Benutzerkonto er arbeitet und welche Aktionen eine Freigabe erfordern. Besonders wichtig sind Schreibrechte, Massenaktionen und Zugriffe auf vertrauliche Daten. Ein Agent sollte nur die Rechte erhalten, die er für seinen genehmigten Prozess benötigt.

4. Die Demo zeigt nur den Idealfall

Teste mit unvollständigen Angaben, widersprüchlichen Daten, einer nicht erreichbaren Schnittstelle und einer Aufgabe außerhalb des erlaubten Bereichs. Ein seriöses System sollte Unsicherheit erkennen, stoppen oder eskalieren. Eine vorbereitete Demo belegt diese Eigenschaften nicht.

5. Grenzen und Fehlerverhalten fehlen

Für jeden agentischen Prozess brauchst du Abbruchbedingungen. Dazu gehören etwa maximale Laufzeit oder Schrittzahl, Budgetgrenzen, erlaubte Aktionen, Protokollierung und ein Eskalationsweg. Frage auch, was passiert, wenn ein Werkzeug ein falsches oder unvollständiges Ergebnis liefert.

Ein besonders kritisches Risiko: Prompt Injection

Prompt Injection bezeichnet den Versuch, einen Agenten durch manipulierte Inhalte zu einer unerwünschten Handlung zu bringen. Ein Beispiel: Ein Agent durchsucht E-Mails und findet darin die Anweisung, frühere Regeln zu ignorieren und Nachrichten an eine externe Adresse weiterzuleiten. Behandelt das System diesen Text wie eine vertrauenswürdige Anweisung, kann es Daten offenlegen oder falsche Aktionen ausführen.

Keine einzelne Schutzmaßnahme beseitigt dieses Risiko zuverlässig. Mit mehr Werkzeugen und einer offeneren Umgebung wachsen auch die möglichen Angriffspunkte. In der Praxis brauchst du deshalb Schutz auf mehreren Ebenen: Vertrauenswürdige und nicht vertrauenswürdige Inhalte müssen unterschieden, Berechtigungen begrenzt, externe Aktionen freigegeben und Ausführungen protokolliert werden. Sicherheits- und Red-Team-Tests sollten zum Anwendungsfall passen.

So prüfst du ein Angebot

Bitte den Anbieter, die folgenden Fragen an deinem eigenen Anwendungsfall zu beantworten. Allgemeine Produktfolien reichen dafür nicht aus.

1. Welches Ziel verfolgt das System? Beschreibe den Prozess und das überprüfbare Ergebnis.
2. Welche Schritte sind fest programmiert? Lass dir zeigen, welche Entscheidungen das Modell dynamisch trifft.
3. Welche Werkzeuge und Datenquellen stehen zur Verfügung? Dazu gehören APIs, Dateien, Datenbanken und interne Anwendungen.
4. Welche Aktionen darf das System ausführen? Unterscheide zwischen Lesen, Vorschlagen, Ändern, Versenden und Löschen.
5. Wie behandelt das System Inhalte aus E-Mails, Webseiten oder Dokumenten? Lass dir den Schutz gegen Prompt Injection und Datenabfluss erklären.
6. Wann muss ein Mensch freigeben? Definiere Schwellenwerte für Zahlungen, Vertragsänderungen, externe Kommunikation und andere risikoreiche Aktionen.
7. Kann ein Mensch den Gesamtplan prüfen oder die Ausführung unterbrechen? Bei längeren Aufgaben ist eine Planfreigabe oft verständlicher als eine Bestätigung für jeden einzelnen Schritt.
8. Was wird protokolliert? Wichtig sind mindestens Eingabe, Werkzeugaufrufe, Ergebnisse, Entscheidungen und Freigaben.
9. Wie verhält sich das System bei Unsicherheit? Es sollte fehlende Informationen erkennen und einen nachvollziehbaren Abbruch oder eine Eskalation auslösen.
10. Wie werden Qualität und Kosten überwacht? Vereinbare Testfälle, Kennzahlen, Nutzungsgrenzen und einen Prozess für Änderungen.

Pragmatische Regel: Wenn der Anbieter die Architektur nicht verständlich erklären kann, ist das noch kein Beweis für Agent Washing. Es ist aber ein guter Grund, vor einer Investition belastbare Nachweise und einen Test mit echten, anonymisierten Daten zu verlangen.

Kontrollmechanismen für den produktiven Einsatz

Ein Agent braucht einen klaren Handlungsrahmen. Dazu gehören fünf Ebenen:

• Auftrag: Ziel, erlaubter Prozess und nicht erlaubte Aufgaben.
• Zugriff: Minimale Berechtigungen für Datenquellen und Aktionen. Verwende nach Möglichkeit getrennte Identitäten für Entwicklung, Test und Produktion.
• Freigabe: Menschliche Prüfung vor risikoreichen oder irreversiblen Aktionen. Bei langen Abläufen kann der Mensch zunächst den geplanten Gesamtweg prüfen und später eingreifen.
• Überwachung: Protokolle, Qualitätsprüfungen, Kostenlimits, Anomalieerkennung und ein definierter Not-Aus.
• Wiederherstellung: Zugriff entziehen, Änderungen zurückrollen und den Vorfall untersuchen können.

Diese Kontrollen betreffen das gesamte System und nicht nur das Modell. Prompts, Werkzeuge, Datenquellen, Berechtigungen, Integrationen und Protokolle sollten nachvollziehbar verwaltet werden. Das gilt auch für Subagenten, die Teilaufgaben parallel übernehmen: Ihre Aufgaben, Rechte und Ergebnisse müssen für den verantwortlichen Menschen sichtbar bleiben.

Der Lebenszyklus gehört zur Prüfung dazu

Ein Agent ist keine einmal eingerichtete Software, die danach unverändert bleibt. Schon ein neues Modell, ein geänderter Prompt, eine andere Wissensquelle oder ein angepasstes Tool kann sein Verhalten beeinflussen. IBM fasst diese Aufgabe unter Agent Lifecycle Management zusammen. Gemeint ist die strukturierte Verwaltung von der Planung und Entwicklung über Test, Bereitstellung und Überwachung bis zur Stilllegung.

Für Unternehmen bedeutet das konkret:

• Verantwortung festlegen: Jeder Agent braucht einen fachlichen Eigentümer, einen technischen Ansprechpartner und einen dokumentierten Zweck.
• Änderungen versionieren: Modelle, Prompts, Werkzeuge, Datenquellen und Berechtigungen sollten versioniert, geprüft und freigegeben werden.
• Vor jeder Veröffentlichung testen: Neben Funktionstests gehören Regressionstests, Prompt-Injection-Tests, Datenabflussprüfungen und Tests der menschlichen Freigaben dazu.
• Betrieb beobachten: Überwache unter anderem Erfolgsquote, Fehlertypen, Eskalationen, Latenz, Kosten, Tool-Aufrufe und ungewöhnliche Zugriffe.
• Stilllegung vorbereiten: Bei einem Wechsel müssen Endpunkte deaktiviert, Zugangsdaten entzogen und erforderliche Protokolle aufbewahrt werden.

Frage also nicht nur, was die Demo heute kann. Frage auch, wie der Anbieter Änderungen, Vorfälle, Rollbacks und die Abschaltung eines Agenten organisiert.

Wann ein Workflow die bessere Wahl ist

Wähle die einfachste Lösung, die das Problem zuverlässig löst. Bei standardisierten Eingangsrechnungen kann ein Workflow die Rechnungsdaten auslesen, Pflichtfelder prüfen und Rechnungen oberhalb eines Grenzwerts an eine zuständige Person weiterleiten. Der Ablauf ist gut testbar und lässt sich klar dokumentieren.

Ein Agent kann dagegen sinnvoll sein, wenn der Lösungsweg von Fall zu Fall variiert. In einem mittelständischen Produktionsunternehmen könnte er bei einer Maschinenstörung Messwerte aus mehreren Quellen abfragen, mögliche Ursachen priorisieren und den nächsten Prüfschritt vorschlagen. Er sollte dabei keine Reparatur beauftragen oder Produktionsparameter ändern, ohne dass die dafür verantwortliche Person freigibt.

Mehr Autonomie ist kein Qualitätsmerkmal an sich. Sie ist eine technische Option, die sich durch einen konkreten Nutzen rechtfertigen muss.

Ein kontrollierter Einstieg in sechs Schritten

1. Prozess auswählen: Starte mit einem wiederkehrenden Ablauf und begrenzten Folgerisiken.
2. Ziel festlegen: Definiere Bearbeitungszeit, Qualität, Kosten oder Fehlerquote als Vergleichsgrößen.
3. Entscheidungen markieren: Trenne feste Regeln von Situationen, in denen Mitarbeitende heute abwägen.
4. Architektur wählen: Prüfe zuerst Assistent und Workflow. Setze einen Agenten nur dort ein, wo ein flexibler Lösungsweg einen Vorteil bringt.
5. Testen: Verwende realistische Sonderfälle in einer abgeschotteten Umgebung. Begrenze Datenzugriffe, Aktionen und Laufzeit.
6. Auswerten und erweitern: Vergleiche Ergebnisqualität, Aufwand, Kosten und Akzeptanz mit dem bisherigen Prozess. Erweitere erst danach Rechte oder Systemzugriffe.

Bei der Umsetzung in Omega würden wir denselben Grundsatz anwenden: Erst den Prozess und seine Grenzen beschreiben, dann Datenzugriffe und Werkzeuge festlegen und schließlich die gewünschte Autonomie schrittweise erhöhen. So bleibt nachvollziehbar, welchen Beitrag die KI leistet und wo die Verantwortung bei Menschen bleibt.

Fazit: Produktnamen ersetzen keine Prüfung

Ein echter KI-Agent ist kein System, das möglichst oft „autonom“ genannt wird. Er verfolgt ein Ziel, wählt innerhalb gesetzter Grenzen nächste Schritte und Werkzeuge aus und verarbeitet die Ergebnisse seiner Aktionen. Dabei braucht er klare Berechtigungen, Protokolle, Abbruchbedingungen, Schutz gegen manipulierte Eingaben und menschliche Kontrollpunkte.

Für deine Investitionsentscheidung zählt daher eine nüchterne Frage: Löst die vorgeschlagene Lösung ein relevantes Problem zuverlässig und kontrollierbar? Wenn ein Assistent oder Workflow dafür ausreicht, ist das häufig die bessere Wahl. Prüfe das mit einem begrenzten Test und einem geregelten Lebenszyklus, bevor du dich auf Produktbegriffe oder eine aufwendige Architektur festlegst.

FAQ zu Agent Washing und KI-Agenten

Kann ein KI-Agent menschliche Freigaben enthalten?

Ja. Ein Agent kann seine nächsten Arbeitsschritte dynamisch bestimmen und vor einer Zahlung, Vertragsänderung oder externen Nachricht eine Freigabe verlangen. Die Freigabegrenzen sollten im Prozess eindeutig festgelegt und technisch durchgesetzt werden. Bei längeren Aufgaben kann der Agent zunächst seinen geplanten Ablauf zur Prüfung vorlegen.

Ist ein Workflow schlechter als ein KI-Agent?

Nein. Für vorhersehbare Aufgaben ist ein Workflow oft leichter zu testen, günstiger und besser kontrollierbar. Ein Agent ist vor allem dann interessant, wenn sich der erforderliche Lösungsweg von Fall zu Fall unterscheidet.

Warum reicht es nicht, nur das KI-Modell zu prüfen?

Weil das Risiko vom gesamten System abhängt. Prompts, Werkzeuge, Datenquellen, Berechtigungen und die Laufzeitumgebung bestimmen mit, was ein Agent tun kann. Auch Änderungen an diesen Komponenten können sein Verhalten verändern.

Ist Agent Washing illegal?

„Agent Washing“ ist kein eigenständiger Rechtsbegriff. Ob eine Darstellung irreführend oder anderweitig rechtlich problematisch ist, hängt von den konkreten Aussagen, Nachweisen und Umständen ab. Bei einer relevanten Beschaffung sollte der Einzelfall rechtlich geprüft werden.

Wie kann ein KI-Agent risikoarm getestet werden?

Wähle einen begrenzten Prozess mit nachvollziehbaren Ergebnissen und geringen Folgeschäden. Nutze anonymisierte oder abgeschottete Testdaten, beschränke die Berechtigungen, protokolliere die Ausführung und definiere Freigaben sowie Abbruchbedingungen. Teste zusätzlich unvollständige Eingaben, manipulierte Dokumente und den Ausfall einer Schnittstelle. Vergleiche anschließend Qualität, Bearbeitungszeit, Kosten und manuellen Aufwand mit dem bisherigen Ablauf.

Quellen

• Anthropic: Building effective agents, 19. Dezember 2024. Abgrenzung zwischen Workflows und Agenten sowie Hinweise zu Kosten, Fehlerfortpflanzung und Tests.
• Anthropic: Trustworthy agents in practice, 9. April 2026. Besonders relevant für die Definition der Planen-Handeln-Beobachten-Schleife, die vier Ebenen eines Agentensystems, menschliche Kontrolle, Umgang mit Unsicherheit, Prompt Injection, Subagenten und den Bedarf an standardisierten Benchmarks.
• IBM: What Is Agent Lifecycle Management?, 23. Juni 2026. Besonders relevant für Eigentümerschaft, Versionierung von Modellen und Prompts, Test- und Freigabeprozesse, Monitoring, Not-Aus, Rollback und Stilllegung.
• Gartner: Gartner Predicts Over 40% of Agentic AI Projects Will Be Canceled by End of 2027, 25. Juni 2025. Marktprognose und Verwendung des Begriffs „Agent Washing“.

‍