12. August 2026
KI-Agenten verlassen das Labor und werden in der Produktion eingesetzt. Sie recherchieren, schreiben Code, rufen Anwendungen auf, wickeln Transaktionen ab und verknüpfen mehrstufige Aufgaben miteinander – und das fast ohne menschliche Aufsicht. Dieser Wandel führt zu einem Problem hinsichtlich der Identität von KI-Agenten, auf das die meisten Unternehmen nicht vorbereitet sind, da die Systeme, die nun die Agenten steuern sollen, ursprünglich nicht für diesen Zweck konzipiert wurden.
Das herkömmliche Identitäts- und Zugriffsmanagement geht davon aus, dass sich am anderen Ende eine Person befindet. Mitarbeiter melden sich an, erhalten einen an ihre Rolle gebundenen Zugriff und verlieren diesen, wenn sie das Unternehmen verlassen. Agenten durchbrechen dieses Modell. Ein Agent kann rund um die Uhr im Einsatz sein, gleichzeitig auf ein Dutzend Systeme zugreifen und im Laufe eines Tages im Namen mehrerer verschiedener Personen handeln.
In seinem Bericht „2026 Hype Cycle™ for Digital Identity“ verweist Gartner® unserer Ansicht nach auf drei Faktoren, die die digitale Identität neu gestalten: den Aufstieg von KI-Agenten, das Bestreben nach Transparenz bei der Identität und eine zunehmende Bandbreite identitätsbasierter Bedrohungen. Der rote Faden dabei ist, dass Sicherheitsverantwortliche ihre Investitionsentscheidungen überdenken müssen, wenn sie die Einführung von KI unterstützen wollen, ohne dabei die Kontrolle darüber zu verlieren, wer und was auf ihre Systeme zugreifen kann.
IAM wurde für Menschen entwickelt
Herkömmliches IAM funktioniert, wenn es sich bei dem Benutzer um eine Person mit einer bestimmten Berufsbezeichnung, einer Führungsposition und einem relativ festen Aufgabenbereich handelt. Ein Agent verfügt über nichts davon. Er benötigt möglicherweise zwei Sekunden lang einen Kundendatensatz, ruft eine API auf, aktualisiert ein Feld und fährt dann fort, wobei sich seine Berechtigungen von einer Transaktion zur nächsten ändern.
Viele Teams regeln diesen Vorgang heute über gemeinsame Dienstkonten, statische API-Schlüssel oder einen ausgeliehenen Mitarbeiter-Login. Diese Abkürzungen bringen ein Projekt zwar schneller auf den Weg, lassen jedoch einige grundlegende Fragen offen: Wer hat die Aktion tatsächlich ausgeführt? Was durfte der Mitarbeiter tun? War ein so umfassender Zugriff wirklich erforderlich? Und wer ist verantwortlich, wenn etwas schiefgeht? Sobald die Aktivitäten eines Mitarbeiters in einem persönlichen oder gemeinsamen Konto zusammengefasst werden, verliert der Prüfpfad an Aussagekraft, und die Zugriffsrechte lassen sich nur noch schwer kontrollieren.
Die Anzahl der Maschinenidentitäten wächst schneller als die Programme, die sie steuern sollen
Schon bevor Agenten ins Spiel kamen, nahmen die nicht-menschlichen Identitäten in Cloud-Diensten, APIs, Containern, automatisierten Workflows und Unternehmensanwendungen stetig zu. Die Gartner-Umfrage „Machine Identity 2025“ ergab, dass „94 % der Unternehmen mit einer steigenden Anzahl von Maschinenidentitäten konfrontiert sind, was vor allem auf den Einsatz von KI und KI-Agenten zurückzuführen ist.“
Diese Lücke lässt bekannte Hygieneprobleme zu groß angelegten Problemen werden. Zugangsdaten behalten ihre Gültigkeit über ihren eigentlichen Zweck hinaus, Berechtigungen häufen sich an, und Teams verlieren den Überblick darüber, welche Identitäten existieren und auf welche Ressourcen sie zugreifen können. Ein Angreifer muss nicht unbedingt die Anmeldedaten eines Mitarbeiters kompromittieren, wenn ein Dienstkonto mit übermäßigen Berechtigungen oder ein Agent, der mit einem langfristig gültigen Schlüssel läuft, direkt zur Verfügung steht.
Die Authentifizierung allein reicht für die nächste IAM-Strategie nicht aus
Durch die Authentifizierung eines Akteurs wird bestätigt, welche Identität eine Anfrage stellt. Sie sagt jedoch nichts darüber aus, ob die Anfrage angemessen ist. Um diese Frage zu beantworten, müssen die Rolle des Akteurs, die Person, für die er handelt, die vor ihm liegende Aufgabe und die Sensibilität des Ziels, das er erreichen möchte, abgewogen werden – und eine einzige Entscheidung zur Anmeldung kann all diese Aspekte nicht abdecken.
Unserer Ansicht nach fasst der Gartner Hype Cycle™ mehrere aufkommende Technologien zusammen, die sich mit diesem Problem befassen: KI-Agentenidentität, Workload-Zugriffsmanagement, absichtsbasierte Zugriffskontrolle, Management der Identitätssicherheit und Plattformen zur Identitätstransparenz. Zusammen beschreiben sie ein dynamischeres Modell, bei dem der Zugriff kurzlebig sein kann, auf eine einzelne Aufgabe beschränkt ist und kontinuierlich überprüft wird, anstatt einmalig gewährt und dann vergessen zu werden.
Wo soll man anfangen?
Als ersten praktischen Schritt sollten Sie erfassen, wie Agenten in Ihrem Unternehmen bereits eingesetzt werden – einschließlich der genehmigten Projekte und derjenigen, die ein Entwickler ohne formelle Überprüfung eingerichtet hat. Auf dieser Grundlage können Sie feststellen, wo Agenten mit Anmeldedaten von Mitarbeitern laufen, sich Dienstkonten teilen, weitreichende oder dauerhafte Berechtigungen besitzen, auf sensible Daten zugreifen oder ohne klaren Verantwortlichen betrieben werden.
Das Ziel besteht nicht darin, die Einführung von KI zu verlangsamen, sondern zu verhindern, dass sich eine vorübergehende Übergangslösung zu einer dauerhaften Sicherheitsarchitektur verfestigt. Es ist hilfreich, die Identitätsverwaltung von KI-Agenten mit den bereits laufenden Arbeiten im Bereich der Maschinenidentität und des Zero-Trust-Ansatzes zu verknüpfen. Wenn man KI als eigenständiges Sicherheitsprojekt etabliert, schafft man ein weiteres Silo; behandelt man Agenten hingegen als Identitäten, kann man Kontrollmaßnahmen anwenden, die das Unternehmen bereits versteht.
Eine Reihe schwierigerer Fragen
Jahrelang drehte sich bei IAM alles um eine einzige Frage: Ist das der richtige Benutzer? Die Mitarbeiter fügen nun mehrere weitere Fragen hinzu: Was steht hinter dieser Anfrage? Wer hat sie genehmigt? Was soll damit erreicht werden? Sollte der Benutzer derzeit noch Zugriff haben? Diese Fragen lassen sich immer schwerer beantworten, je mehr Arbeit die Mitarbeiter übernehmen. Unternehmen, die sich frühzeitig mit diesen Fragen auseinandersetzen, werden weitaus mehr Spielraum haben, KI einzusetzen, ohne ihr pauschalen, undurchsichtigen Zugriff auf das gesamte Unternehmen zu gewähren.
Der „Gartner Hype Cycle™ for Digital Identity, 2026“ stellt mehr als zwei Dutzend Technologien vor, die den Bereich der Identitätsverwaltung neu gestalten – von der Identität von KI-Agenten und dem Zugriffsmanagement für Workloads bis hin zu Plattformen für Identitätstransparenz und dem „Shared Signals Framework“ –, jeweils mit der Gartner-Nutzenbewertung, einer Reifegradbewertung und der geschätzten Zeit bis zur breiten Akzeptanz.
Laden Sie den Gartner Hype Cycle für digitale Identität, 2026, herunter ›
Gartner, „Hype Cycle for Digital Identity“, 2026, Zachary Smith, Nayara Sangiorgio, 6. Juli 2026.
„Gartner“ und „Hype Cycle“ sind Marken von Gartner, Inc. und/oder deren verbundenen Unternehmen.
Gartner unterstützt keine der in seinen Publikationen genannten Unternehmen, Anbieter, Produkte oder Dienstleistungen und rät Technologieanwendern nicht dazu, ausschließlich Anbieter mit den höchsten Bewertungen oder anderen Auszeichnungen auszuwählen. Die Publikationen von Gartner geben die Meinungen der für Geschäfts- und Technologieanalysen zuständigen Abteilung von Gartner wieder und sind nicht als Tatsachenbehauptungen zu verstehen. Gartner lehnt jegliche ausdrückliche oder stillschweigende Gewährleistung in Bezug auf diese Publikation ab, einschließlich jeglicher Gewährleistung der Marktgängigkeit oder der Eignung für einen bestimmten Zweck.
Diese Grafik wurde von Gartner, Inc. als Teil einer umfassenderen Studie veröffentlicht und sollte im Kontext des gesamten Dokuments betrachtet werden. Das Gartner-Dokument ist auf Anfrage bei IPROOV LTD erhältlich.
Als Nächstes in dieser Reihe: Warum KI-Agenten eigene Identitäten benötigen und warum es mehr Probleme verursacht als löst, wenn man ihnen die Zugangsdaten von Mitarbeitern zur Verfügung stellt
