KI-Agenten im Unternehmen: was heute wirklich funktioniert (Praxis, nicht Pitch)

Es gibt gerade kein Thema, zu dem ich mehr Pitch-Decks sehe als KI-Agenten. Autonome digitale Mitarbeiter, die angeblich ganze Abteilungen ersetzen, sich selbst organisieren und nebenbei noch den Vertrieb revolutionieren. Ich lese das, und ich muss ein bisschen schmunzeln. Nicht weil das Thema heiße Luft wäre, im Gegenteil. Sondern weil ich seit über einem Jahr selbst etliche Agenten in meinem Unternehmen laufen lasse und deshalb weiß, wie die Realität aussieht. Sie ist beeindruckend. Aber sie sieht anders aus als die Pitch-Decks.

Kurz zu mir, falls wir uns noch nicht kennen: Ich bin Artur, seit 2009 selbstständig, seit 2018 mit der webiator GmbH in Hamburg unterwegs. Ende 2025 habe ich aufgeschrieben, wie sich mein Alltag mit KI-Agenten verändert hat: Buchhaltung, Terminkoordination, E-Mails, sogar Software-Entwicklung. Seitdem sind einige Monate vergangen, ich habe weitere Agenten gebaut, einige wieder abgeschaltet (dazu gleich mehr) und viele Gespräche mit Unternehmern geführt, die genau vor dieser Frage stehen: Lohnt sich das für uns, und wo fängt man an?

Kennst du diese Gedanken auch:

• Wir sollten mit KI-Agenten anfangen, aber niemand kann konkret sagen, womit?
• Die Demos sehen beeindruckend aus, aber hält das im Alltag, wenn keiner daneben sitzt?
• Was passiert eigentlich, wenn so ein Agent Mist baut, und wer merkt es?

Genau darüber möchte ich heute schreiben. Nicht als Verkaufstext, sondern als Erfahrungsbericht.

Was ein KI-Agent ist (und was nicht)

Der Begriff wird gerade auf alles geklebt, was einen Chatbot hat, deshalb kurz meine Arbeitsdefinition: Ein KI-Agent ist ein System, das mehrstufige Aufgaben eigenständig ausführt. Er beantwortet nicht nur eine Frage, sondern ruft Werkzeuge auf, liest E-Mails, durchsucht Dokumente, bucht Termine, legt Datensätze an. Und er entscheidet dabei selbst über die Zwischenschritte. Das ist der Unterschied zum klassischen Chatbot: Der redet. Ein Agent handelt.

Und genau dieser Unterschied ist der Grund, warum das Thema so mächtig ist, und warum man es nicht naiv angehen sollte. Ein System, das handelt, kann auch falsch handeln.

Was bei mir funktioniert: eng umrissene Aufgaben mit klaren Berechtigungen

Wenn ich auf meine eigenen Agenten schaue (sie laufen übrigens auf Hetzner-Servern, weil ich mir 2021 geschworen habe, KI nur DSGVO-konform einzusetzen), dann haben die erfolgreichen alle etwas gemeinsam: Sie machen eine Sache, und die machen sie in einem klar abgesteckten Rahmen.

Mein Buchhaltungs-Agent sortiert und kategorisiert Belege. Er entscheidet nicht über Zahlungen, er hat keinen Zugriff auf mein Bankkonto, er bereitet vor, was mein Steuerberater und ich am Ende sehen. Meine KI-Assistentin Lea koordiniert Termine und beantwortet Anfragen. Aber sie verschickt keine Verträge und ändert keine Preise. Jeder dieser Agenten hat genau die Berechtigungen, die er für seine Aufgabe braucht. Keine mehr. In der IT-Sicherheit nennt man das Least-Privilege-Prinzip, im IT-Grundschutz des BSI heißt es „Prinzip der geringsten Berechtigungen". Und ich bin überzeugt: Es ist die wichtigste Design-Entscheidung bei jedem Agenten-Projekt.

Das klingt unspektakulär, ich weiß. „Ein Agent, der Belege sortiert" gewinnt keinen Innovationspreis. Aber genau diese unspektakulären Agenten sind es, die Monat für Monat zuverlässig Stunden einsparen. Die spektakulären Ideen sind meistens die, die scheitern.

Was nicht funktioniert: der Alleskönner-Agent

Womit wir beim Scheitern wären. Denn natürlich habe auch ich irgendwann gedacht: Warum eigentlich zehn spezialisierte Agenten? Warum nicht einen, der alles kann: E-Mails, Recherche, Buchhaltung, Projektorganisation, alles in einem? (Ja, ich hatte diesen Moment. Jeder hat diesen Moment.)

Das Ergebnis war ernüchternd. Je breiter die Aufgabe, desto unvorhersehbarer das Verhalten. Ein Agent, der alles darf, findet für jede Aufgabe irgendeinen Weg. Nur leider nicht immer den, den man gemeint hat. Er priorisiert falsch, vermischt Kontexte, und weil er auf so vieles Zugriff hat, sind auch seine Fehler überall. Ich habe den Alleskönner wieder abgeschaltet und die Aufgaben zurück auf spezialisierte Agenten verteilt. Seitdem ist Ruhe.

Meine Faustregel daraus: Wenn du die Aufgabe eines Agenten nicht in einem Satz beschreiben kannst, ist die Aufgabe zu groß. „Bearbeitet eingehende Bewerbungen auf Ausschreibungen bis zum Entwurf" funktioniert. „Kümmert sich um den Vertrieb" funktioniert nicht.

Mit dieser Erkenntnis bin ich übrigens in guter Gesellschaft: Auch Anthropic, das Unternehmen hinter dem KI-Modell Claude, empfiehlt, mit der einfachsten möglichen Lösung zu starten und Komplexität nur dann hinzuzufügen, wenn sie nachweislich bessere Ergebnisse bringt.

Der Unterschied in Kurzform:

Der Teil, den die Pitch-Decks weglassen: Wartung und Fehler

Und jetzt der Abschnitt, den ich in kaum einem Beratungsgespräch anderer Anbieter höre: KI-Agenten sind keine Mitarbeiter, die man einmal einarbeitet und dann laufen lässt. Sie sind eher wie ein sehr talentierter Praktikant mit gelegentlichen Blackouts: erstaunlich gut an guten Tagen, und an schlechten Tagen macht er Dinge, auf die kein Mensch je gekommen wäre.

Konkret heißt das: Agenten machen Fehler, und zwar regelmäßig. Nicht ständig, nicht katastrophal, aber verlässlich genug, dass man einen Prüfmechanismus braucht. Bei mir hat mal ein Coding-Agent eine Sicherheitsprüfung „vereinfacht", sprich: entfernt. Sah sauber aus, Tests liefen durch, erst der zweite Blick hat es gezeigt. Seitdem gilt bei mir ohne Ausnahme: Human in the middle. Alles, was nach außen geht oder etwas verändert, wird von einem Menschen freigegeben oder zumindest stichprobenartig kontrolliert.

Dazu kommt Wartung. Modelle werden aktualisiert, Schnittstellen ändern sich, und ein Prompt, der monatelang zuverlässig lief, verhält sich nach einem Modell-Update plötzlich anders. Ich investiere jede Woche Zeit in meine Agenten: beobachten, nachjustieren, Logs lesen. Das ist deutlich weniger Zeit, als die Agenten mir einsparen, die Rechnung geht klar auf. Aber es ist nicht null, und wer mit null plant, plant falsch.

Und schließlich das Thema, das mich seit Anfang des Jahres am meisten beschäftigt: Sicherheit. Ein Agent mit Zugriff auf E-Mails und interne Systeme ist ein Angriffsziel: Stichwort Prompt Injection, also manipulierte Eingaben, die den Agenten zu Dingen bewegen sollen, die er nicht tun dürfte. Das war einer der Gründe, warum ich tief in das Thema Cybersecurity eingetaucht bin. Wer Agenten betreibt, betreibt kritische Infrastruktur im Kleinen. Das darf man wissen, bevor man anfängt. Es soll niemanden abschrecken, aber es gehört zur ehrlichen Rechnung dazu.

Das ist übrigens keine Privatmeinung von mir: Prompt Injection steht auf Platz 1 der OWASP Top 10 für LLM-Anwendungen. LLM steht für Large Language Model, also das Sprachmodell, das in jedem dieser Agenten steckt. Und das BSI stuft indirekte Prompt Injections, bei denen manipulierte Anweisungen etwa in E-Mails oder Webseiten versteckt sind, als intrinsische Schwachstelle der heutigen Technologie ein. Die vom BSI empfohlene Gegenmaßnahme kommt dir jetzt hoffentlich bekannt vor: menschliche Kontrolle und Autorisierung, bevor kritische Aktionen ausgeführt werden.

Wie ich an deiner Stelle anfangen würde

Wenn du in deinem Unternehmen über KI-Agenten nachdenkst, dann würde ich nicht mit der Frage starten „Was könnte KI alles für uns tun?", sondern mit einer viel langweiligeren: Welche Aufgabe kostet uns regelmäßig Zeit, folgt einem erkennbaren Muster und hat einen klaren Anfang und ein klares Ende? Rechnungseingänge vorsortieren. Anfragen kategorisieren und mit einem Antwortentwurf versehen. Ausschreibungen auf Relevanz prüfen. Das sind die Kandidaten.

Dann gib dem Agenten genau die Rechte, die er dafür braucht, bau eine menschliche Kontrolle ein und lass ihn ein paar Wochen im Probebetrieb laufen, bevor du ihm mehr anvertraust. Und miss ehrlich nach: Wie oft musste jemand eingreifen? Wie viel Zeit hat der Agent tatsächlich gespart? Nicht gefühlt, sondern gezählt. Diese Zahlen sind unbequem ehrlich, aber sie sind die beste Grundlage für die Entscheidung, ob der nächste Agent kommt.

Klingt vorsichtig? Ist es auch. Aber ich habe lieber fünf kleine Agenten, die still und zuverlässig arbeiten, als einen großen, dem ich nicht traue. Genau so setzen wir das auch in Projekten mit unseren Kunden um: erst der kleinste sinnvolle Agent, dann wachsen.

Was ich nach über einem Jahr mit eigenen Agenten sagen kann: Die Technologie ist real, der Nutzen ist real, und der Vorsprung derer, die jetzt praktische Erfahrung sammeln, wird jeden Monat größer. Aber der Weg dahin führt über kleine, gut abgesicherte Schritte – nicht über den großen Wurf aus dem Pitch-Deck.

Wenn du gerade überlegst, wo in deinem Unternehmen der erste Agent Sinn ergeben würde, oder wenn du schon einen laufen hast und er sich komisch verhält (auch das kenne ich): Sprich mich an, schreib mir eine E-Mail oder ruf einfach an. Ich erzähle dir gern, was bei mir funktioniert hat und was nicht. Lass uns voneinander lernen.