KI-Agenten im Blick: Warum jede LLM-Plattform eine Identitätsprüfung benötigt (DE)

Zwei Jahre lang drehte sich die Sicherheitsdiskussion um große Sprachmodelle (LLMs) darum, was sie sagen. Jailbreaks, Verweigerungen, Schutzmechanismen, Red-Teaming der Ausgabe. Diese Diskussion ist jetzt überholt, denn die Modelle sind keine reinen Textgeneratoren mehr, sondern Akteure. Sie besitzen API-Zugangsdaten. Sie rufen Tools auf. Sie bewegen Geld.

Sobald ein Modell handeln kann, ist die interessante Sicherheitsfrage nicht mehr „Was hat es gesagt?“, sondern: Wer ist für das verantwortlich, was es gerade getan hat? Diese Frage lässt sich nicht mit einem Inhaltsfilter beantworten. Sie lässt sich nur mit Identität beantworten.

Wichtige Erkenntnisse

• Handlungsfähigkeit, nicht Sprache, ist die Schwachstelle. OWASP stuft Excessive Agency in ihren Top 10 für LLM-Anwendungen ein und veröffentlichte im Dezember 2025 eine eigene Top 10 für Agenten-Anwendungen.
• Die menschliche Prüfung wird aktiv angegriffen. Der Entrust Identity Fraud Report 2026 bringt Deepfakes mit jedem fünften biometrischen Betrugsversuch in Verbindung, wobei Injektionsangriffe im Jahresvergleich um 40 % zunahmen.
• Regulierungsbehörden benennen bereits die Lücke. Die britische FCA fordert Banken auf, sich auf „Know Your Agent“-Prüfungen vorzubereiten, da KI-Tools beginnen, Zahlungen vorzunehmen.
• Die Fristen sind real. Die Transparenzpflichten gemäß Artikel 50 des EU AI Act gelten seit dem 2. August 2026, mit Bußgeldern von bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes.
• Die Standards sind noch nicht fertig. Drei separate IETF-Entwürfe konkurrieren darum, die delegierte Agentenautorisierung zu definieren – und jeder von ihnen endet bei einem menschlichen Auftraggeber, der durch etwas verifiziert werden muss.

Übermäßige Handlungsfähigkeit ist die eigentliche Schwachstellenklasse

Der Eintrag Excessive Agency von OWASP beschreibt das Problem präzise: Ein LLM-basiertes System erhält die Fähigkeit, Funktionen aufzurufen oder mit anderen Systemen zu interagieren, und die Entscheidung, welche Funktion aufgerufen werden soll, wird häufig dem Modell selbst delegiert, basierend auf Eingabeaufforderungen oder auf seiner eigenen früheren Ausgabe. Agentensysteme verketten diese Aufrufe und speisen jedes Ergebnis in den nächsten Aufruf ein.

Die Schwachstelle besteht darin, was passiert, wenn diese Kette eine schädliche Aktion als Reaktion auf eine mehrdeutige, unerwartete oder feindselige Eingabe ausführt. Das Modell muss in keinem klassischen Sinne „gehackt“ werden. Es muss nur überredet werden, und es wurde entwickelt, um überredbar zu sein.

Dies ist so ernst, dass das OWASP GenAI Security Project im Dezember 2025 eine separate Top 10 für Agenten-Anwendungen veröffentlichte, die Agentensysteme als eigenständige Angriffsfläche behandelt und nicht als Fußnote zur LLM-Sicherheit.

Beachten Sie, was die Minderung übermäßiger Handlungsfähigkeit tatsächlich erfordert. Jede empfohlene Kontrolle – minimale notwendige Berechtigungen, menschliche Genehmigung (Human-in-the-Loop), eingeschränkter Tool-Zugriff, vollständige Audit-Protokollierung – setzt voraus, dass Sie wissen, für welchen Auftraggeber der Agent handelt. Berechtigungen sind bedeutungslos ohne eine Identität, an die sie gebunden werden können. Sie können keinem anonymen Akteur das Prinzip der geringsten Rechte gewähren.

Die Betrugsdaten: Die menschliche Prüfung wird angegriffen

Die offensichtliche Antwort ist, den Menschen am Punkt der Autorisierung zu verifizieren. Angreifer wissen das, weshalb der Verifizierungsschritt selbst jetzt das Ziel ist.

Der Entrust Identity Fraud Report 2026 stellte fest, dass Deepfakes mit jedem fünften biometrischen Betrugsversuch in Verbindung gebracht wurden, wobei Injektionsangriffe – das direkte Einspeisen von synthetischem Video in den Verifizierungsstream, wodurch die Kamera vollständig umgangen wird – im Jahresvergleich um 40 % zunahmen.

Der Sumsub Identity Fraud Report 2025-2026, der auf mehr als vier Millionen Betrugsversuchen basiert, berichtet, dass die globale Betrugsrate zwar stabilisiert, hochqualitative, ausgeklügelte Angriffe jedoch in den Jahren 2024–2025 um 180 % zunahmen. Das Muster ist eine Verschiebung von der Quantität zur Präzision: weniger Versuche, die jedoch viel schwerer zu erkennen sind.

Die strategische Implikation ist unangenehm. Generative KI macht Agenten gleichzeitig (a) zu Akteuren mit weitreichenden Konsequenzen und (b) macht die günstigsten Identitätsprüfungen – ein Selfie, ein Dokumentenfoto, ein OTP – unzuverlässig. Schwache Verifizierung und autonome Handlungsfähigkeit sind eine schlechte Kombination, und sie treten gemeinsam auf.

Deshalb hören passive Lebenderkennung und die Erkennung von Injektionsangriffen auf, ein „Nice-to-have“ zu sein, sobald ein Agent im Auftrag eines Benutzers Geld ausgeben kann. Der Verifizierungsschritt ist jetzt eine Infrastruktur für Angriffe, keine Formularfeld.

Regulierungsbehörden waren schneller als die Standards

Im Juni 2026 teilten hochrangige Beamte der britischen Financial Conduct Authority (The Banker) mit, dass Banken sich auf eine neue Ära der „Know Your Agent“-Prüfungen vorbereiten sollten. Ihre Begründung ist, dass der Agentenhandel – KI, die für Benutzer einkauft, Transaktionen durchführt und Konten verwaltet – Banken zwingt, neu zu überdenken, wer am anderen Ende einer Transaktion steht.

Diese Formulierung hat sich schnell verbreitet. Branchenkommentare im American Banker machen denselben Punkt aus Compliance-Sicht: Es gibt eine neue Entität, die auf Bankensysteme zugreift, Salden prüft und Gelder überweist, und es ist keine Person.

Inzwischen sind die verbindlichen Compliance-Fristen bereits in Kraft. Seit dem 2. August 2026 gelten die Transparenzpflichten gemäß Artikel 50 des EU AI Act für Anbieter und Betreiber bestimmter KI-Systeme, wobei die Leitlinien der Europäischen Kommission am 20. Juli 2026 angenommen wurden. Die Nichteinhaltung kann Bußgelder von bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes nach sich ziehen, je nachdem, welcher Betrag höher ist, und die Verordnung betrifft jeden Anbieter, der KI auf dem EU-Markt platziert oder dessen Ergebnisse dort verwendet werden (Cooley).

Hinzu kommen die bereits bestehenden Verpflichtungen – AMLD6 zur Sorgfaltspflicht gegenüber Kunden, MiCA für Krypto-Asset-Dienstleistungen, DORA zur operativen Resilienz für Finanzinstitute, DSGVO für die Identitätsdaten selbst – und ein reguliertes Unternehmen, das Agenten einsetzt, wartet nicht auf ein zukünftiges Regelwerk. Es befindet sich bereits innerhalb von vier.

Die Standardlücke und warum sie immer bei einem verifizierten Menschen landet

Die Protokollebene ist sichtlich ungelöst. Es gibt mindestens drei aktive IETF-Entwürfe, die die delegierte Agentenautorisierung aus verschiedenen Richtungen angehen:

Entwurf	Ansatz
Agent Authorization Profile (AAP) für OAuth 2.0	Erweitert OAuth 2.0 und JWT mit strukturierten Claims, damit Systeme über Agentenidentität, Aufgabenkontext und operative Beschränkungen nachdenken können.
OAuth-Profil für delegierte KI-Agentenautorisierung	Definiert Grant-Typen für die Delegation an einen Agenten, der im Auftrag eines Benutzers handelt.
Agenten-Delegations-Header	Trägt eine Kette von abgeschwächten Delegationslinks über administrative Domänen hinweg; jeder Link verringert den Umfang und verkürzt die Gültigkeit, und ein Verifizierer überprüft jeden Link.

Diese Entwürfe sind sich uneinig über den Mechanismus. Sie sind sich jedoch über die Form einig: eine Delegationskette, bei der jeder Link enger ist als sein übergeordneter, und die Kette nur so vertrauenswürdig ist wie ihre Wurzel.

Diese Wurzel ist ein Mensch. Eine abgeschwächte Delegationskette beweist, dass einem Agenten von jemandem ein Geltungsbereich zugewiesen wurde – sie sagt nichts darüber aus, ob dieser Jemand real, sanktioniert, volljährig oder dieselbe Person ist, die das Konto eröffnet hat. Kryptografie kann beweisen, dass eine Delegation stattgefunden hat. Sie kann nicht beweisen, dass der Delegierende existiert. Das ist ein Problem der Identitätsprüfung, und kein OAuth-Profil wird es lösen.

Wie das architektonisch aussieht

Das praktische Muster, das die beiden Anliegen trennt:

1. Den Menschen einmal richtig verifizieren. Dokumentenprüfung, passive Lebenderkennung und Gesichtsabgleich beim Onboarding, mit Erkennung von Injektionsangriffen – denn dies ist der Schritt, den Angreifer ins Visier nehmen.
2. Die Agenten-Anmeldeinformationen an diese verifizierte Identität binden. Das Token des Agenten verweist auf einen verifizierten Auftraggeber statt auf eine bloße Konto-ID, sodass der Geltungsbereich nachvollzogen werden kann.
3. Den Auftraggeber kontinuierlich überprüfen, nicht nur einmal. Sanktionen und PEP-Status ändern sich nach dem Onboarding. Ein im Januar autorisierter Agent könnte bis Juni für eine sanktionierte Person handeln.
4. Bei Risiko erneut verifizieren, nicht nach Zeitplan. Bei Überschreitung eines Wertschwellenwerts oder Verhaltensänderung auf biometrische Authentifizierung umsteigen, anstatt eine vollständige KYC-Prüfung nach Kalender durchzuführen.
5. Die gesamte Kette protokollieren. Menschliche Identität, Agenten-Anmeldeinformationen, Aktion und Entscheidung – denn Artikel 50 und AMLD6 fordern letztendlich beide, dass Sie rekonstruieren können, wer was autorisiert hat.

Der wichtige Designpunkt ist, dass die Schritte 1 und 3 gewöhnliche Identitätsinfrastruktur sind. Die wirklich neue Arbeit ist Schritt 2 – und sie ist nur dann praktikabel, wenn Schritt 1 etwas Wertvolles zur Bindung hervorgebracht hat.

Wie Didit passt

Didit ist eine Infrastruktur für Identität und Betrug: eine API über den gesamten Lebenszyklus von Authentifizieren → Verifizieren → Überwachen, mit öffentlichen Pay-per-Use-Preisen und ohne Mindestmengen.

Für den Schritt der Personenverifizierung umfasst die Benutzerverifizierung (KYC) die ID-Verifizierung für 0,15 $, die passive Lebenderkennung für 0,10 $, den 1:1-Gesichtsabgleich für 0,05 $ und die IP-Analyse für 0,03 $ – oder das vollständige KYC-Paket für 0,33 $, mit 500 kostenlosen Prüfungen pro Monat für die Kernfunktionen. Die Alterschätzung (0,10 $) ist wichtig für KI-Produkte für Verbraucher, die Altersüberprüfungsregeln unterliegen, und wiederverwendbares KYC ist kostenlos, sodass ein einmal verifizierter Benutzer nicht von jedem Agenten, den er autorisiert, erneut verifiziert wird.

Für den Schritt des laufenden Risikos kostet das AML-Screening 0,20 $ pro Prüfung über 1.300+ Listen hinweg, mit laufender Überwachung für 0,07 $ pro Benutzer und Jahr. Das Transaktionsmonitoring kostet 0,02 $ pro Transaktion mit einer Fiat- und Krypto-Regel-Engine sowie Fallmanagement und SAR-Workflow; Wallet Screening / KYT ist darin enthalten und kostet 0,15 $ pro Prüfung. Die Geschäftsverifizierung (KYB) beginnt bei 2,00 $ pro Unternehmen mit UBO-Extraktion, für Agenten, die im Namen von Unternehmen statt Verbrauchern handeln.

Für die Anbindung sind der MCP-Server, der Workflow Orchestrator und die SDKs kostenlos – was bedeutet, dass ein Agenten-Framework die Verifizierung als Tool aufrufen kann, ohne eine separate Lizenzverhandlung.

Darunter: über 220 Länder, über 14.000 Dokumententypen, über 1.000 Datenquellen, über 200 Betrugssignale, Inferenz in unter 2 Sekunden und eine 5-minütige Integration. SOC 2 Typ 1 und Typ 2 (Typ 2 ausgestellt am 30. Juli 2026), ISO/IEC 27001 und iBeta Level 1 PAD-Zertifizierung für die Lebenderkennungsansprüche. Didits Verifizierung ist von einer EU-Mitgliedstaatenregierung – dem spanischen Tesoro, der Banco de España und SEPBLAC – formell als sicherer als eine persönliche Verifizierung bestätigt. Über 2.000 Unternehmen nutzen es in der Produktion.

Die ehrliche Zusammenfassung

Die Identitätsprüfung wird für LLMs nicht aufgrund einer einzelnen Regulierung obligatorisch. Sie wird obligatorisch aufgrund einer Konvergenz: Modelle erhielten die Fähigkeit zu handeln, die günstigen Identitätsprüfungen wurden im selben Moment fälschbar, Regulierungsbehörden begannen zu fragen, wer die Aktion autorisiert hat, und die Entwürfe für Delegationsstandards, die diese Frage beantworten sollen, laufen alle auf einen Menschen hinaus, dessen Existenz jemand beweisen muss.

Inhaltssicherheit war das Problem von 2024. Rechenschaftspflicht ist das von 2026, und Rechenschaftspflicht bedeutet Identität.

FAQ

Was bedeutet „Know Your Agent“ eigentlich?

Es ist die Erweiterung der Kunden-Sorgfaltspflicht auf autonome Software, die für einen Kunden handelt. In der Praxis bedeutet es, festzustellen, welcher verifizierte Mensch oder welches verifizierte Unternehmen einen bestimmten Agenten autorisiert hat, welchen Umfang dieser besitzt und eine überprüfbare Aufzeichnung zu führen – anstatt den Agenten als anonymen API-Client zu behandeln. Beamte der britischen FCA haben Banken öffentlich aufgefordert, sich auf genau diese Prüfungen vorzubereiten.

Warum ist OAuth für die Authentifizierung von KI-Agenten nicht ausreichend?

OAuth und die darauf aufbauenden Agentenautorisierungsentwürfe können beweisen, dass der Umfang in einer Kette delegiert wurde und diesen Umfang an jedem Glied einschränken. Was sie jedoch nicht feststellen können, ist, dass die Person an der Wurzel der Kette real, volljährig und nicht sanktioniert ist. Delegation und Identität sind unterschiedliche Probleme; die Agentenautorisierung setzt einen verifizierten Auftraggeber voraus, anstatt einen zu erstellen.

Wie verändern Deepfakes die Identitätsprüfung für KI-Produkte?

Sie verlagern den Angriff vom Dokument auf die Verifizierungspipeline selbst. Der Entrust-Bericht von 2026 bringt Deepfakes mit jedem fünften biometrischen Betrugsversuch in Verbindung und verzeichnet einen Anstieg von 40 % bei Injektionsangriffen, bei denen synthetisches Video direkt in den Stream eingespeist wird, anstatt es einer Kamera zu zeigen. Passive Lebenderkennung mit Injektionserkennung, anstatt eines Selfie-Vergleichs, ist die relevante Kontrolle.

Was sind die konkreten Compliance-Fristen?

Die Transparenzpflichten gemäß Artikel 50 des EU AI Act gelten seit dem 2. August 2026, wobei die Leitlinien der Kommission am 20. Juli 2026 angenommen wurden und Bußgelder von bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes drohen. Unternehmen im Finanzdienstleistungssektor sollten dies im Zusammenhang mit den bestehenden AMLD6-, MiCA- und DORA-Verpflichtungen sehen, die alle bereits eine zuverlässige Kundenidentifikation erfordern.

Benötigt ein Agent eine eigene verifizierte Identität, oder reicht es aus, den Menschen zu verifizieren?

Beides, aus unterschiedlichen Gründen. Der Mensch stellt die Rechenschaftspflicht her und erfüllt die Sorgfaltspflichten. Die Agenten-Anmeldeinformationen legen den Umfang fest – welche Aktionen dieser bestimmte Agent für wie lange ausführen darf. Nur die Verifizierung des Menschen lässt Sie nicht in der Lage, einen einzelnen Agenten einzuschränken oder zu widerrufen; die Ausstellung von Agenten-Anmeldeinformationen ohne einen verifizierten Menschen lässt Sie nicht in der Lage, zu sagen, wer verantwortlich ist.