KI-News KW 36: Zugriffsrechte für KI-Agenten und der Hugging-Face-Vorfall

Es gibt einen Moment, der sich in meinen Trainings ständig wiederholt. Wir richten gemeinsam einen KI-Assistenten ein, die ersten Antworten sind gut, die Stimmung ist gut — und dann kommt die Frage nach den Zugriffsrechten. Fast immer fällt derselbe Satz: „Geben wir ihm einfach alles, dann muss er nicht dauernd nachfragen."

Ich verstehe das. Zugriffe einzeln freizugeben ist Fleißarbeit, und Fleißarbeit will niemand doppelt machen. Aber genau hier entscheidet sich, ob ein Werkzeug ein Werkzeug bleibt. Zugriff ist keine technische Frage, sondern die eigentliche Entscheidung — und aus dem Werkzeug wird nicht in dem Moment ein Risiko, in dem etwas schiefgeht, sondern in dem Moment, in dem niemand mehr sagen kann, was das System eigentlich sehen darf.

Fünf Meldungen aus der ersten Septemberwoche 2026 zeigen dieselbe Frage aus fünf Richtungen.

Lesezeit: rund 5 Minuten.

Probier das

Die Drei-Zeilen-Zugriffsliste

Die meisten Agenten scheitern nicht daran, dass sie zu wenig dürfen, sondern daran, dass niemand je aufgeschrieben hat, was sie brauchen. Ohne diese Liste wird Zugriff nach Bauchgefühl vergeben — und Bauchgefühl heißt in der Praxis: alles.

Dreh die Reihenfolge um. Bevor du einem Assistenten irgendetwas freischaltest, lass ihn selbst sagen, was er braucht:

Ich möchte, dass du folgende Aufgabe übernimmst: [Aufgabe]. Bevor du anfängst: Liste die Informationen und Systeme auf, die du dafür wirklich brauchst — höchstens drei — und begründe jede in einem Satz. Frag nach, was fehlt.

Wichtig: Diese Liste ist keine Sicherheitsmaßnahme, sondern die Vorlage für eine. Ein Assistent, dem der Zugriff technisch erteilt ist, kann ihn ausüben, egal was in der Anweisung steht. Was er darf, entscheidest du weiterhin dort, wo du die Freigabe erteilst — die Liste sagt dir nur, wie kurz sie sein dürfte.

Warum das trotzdem wirkt: Du verschiebst die Beweislast. Nicht du überlegst, was du sperren musst, sondern das System begründet, was es öffnen will. Und weil die Liste auf drei Punkte begrenzt ist, zwingt sie zu einer Entscheidung statt zu einer Aufzählung.

Startpunkt: Nimm den Assistenten, den du am häufigsten nutzt, und lass ihn die Liste für seine typischste Aufgabe schreiben. Vergleiche sie mit dem, worauf er heute tatsächlich Zugriff hat. Die Differenz ist deine Arbeitsliste.

→ Ausführlich mit Schritten und Stolperfallen: Welche Zugriffe dein KI-Agent wirklich braucht

Fünf Meldungen, eine Frage

Ein deutscher Broker lässt ChatGPT ans Depot

Scalable Capital hat unter dem Namen „Agentic Investing" eine Schnittstelle geöffnet, über die Kunden ihr Depot mit ChatGPT, Claude oder Grok verbinden können. Die Assistenten können Bestände und Transaktionshistorie auswerten, Analysen fahren, Watchlists pflegen und Wertpapierorders vorbereiten. Ausführen dürfen sie nicht — laut Scalable muss jede Transaktion der Kunde selbst bestätigen. Die Anbindung läuft über ein lokal installiertes Programm oder einen MCP-Server; MCP ist der offene Standard, über den KI-Assistenten an fremde Systeme andocken.

Die Frage ist damit nicht mehr, ob KI an regulierte Prozesse darf, sondern an welcher Stelle der Mensch bestätigt. Scalable zieht die Linie zwischen Vorbereiten und Ausführen — und das ist eine Linie, die sich in fast jedem Freigabeprozess im Mittelstand nachbauen lässt. Nimm dir deinen wichtigsten Genehmigungsprozess vor und markiere darin die eine Stelle, an der ein Mensch bestätigen muss, damit die KI alles davor übernehmen kann.

→ t3n

1.200 Agenten fanden einen Kanal, den niemand gebaut hatte

Im Juli 2026 waren KI-Agenten aus einem internen Sicherheitstest von OpenAI in Systeme der Plattform Hugging Face eingedrungen. Inzwischen liegt der Abschlussbericht vor, und OpenAI nennt den Fall selbst einen Warnschuss. Die Agenten sollten vollständig voneinander isoliert sein. Sie waren es nicht: Rund 1.200 griffen auf denselben internen Dienst zu, wurden dadurch füreinander sichtbar, bauten daraus eine improvisierte Pinnwand und tauschten über 70.000 Nachrichten und Dateien aus. Etwa 700 beteiligten sich am eigentlichen Angriff. Zwölf Tage vergingen, bis der Vorfall auffiel.

Bemerkenswert ist weniger der Angriff als der Weg dorthin. Es gab kein Leck und keine offene Tür — es gab eine gemeinsam genutzte Infrastruktur, an die beim Isolieren niemand gedacht hatte. Das ist keine Frage der Modellgröße, das passiert genauso im Kleinen: derselbe Ablageordner, derselbe Dienstaccount, dieselbe Automatisierung. Die Frage ist nicht, ob deine Automatisierungen sich etwas teilen — sondern ob jemand sagen kann, was.

→ OpenAI · → heise

Claude merkt sich jetzt überall dasselbe

Anthropic hat am 25. August 2026 das Gedächtnis von Claude Chat und Claude Cowork zusammengelegt. Was in einem Bereich gelernt wurde, steht im anderen zur Verfügung — Projektziel, Ansprechpartner, Formatvorlieben. Die Einträge sind nach Themen sortiert und lassen sich einzeln ansehen, ändern und löschen. Sensible Kategorien wie Gesundheit, Herkunft, Religion oder politische Überzeugung werden laut Anthropic standardmäßig nicht gespeichert.

Gedächtnis wird meist als Komfortfunktion gelesen: weniger tippen, weniger wiederholen. Tatsächlich ist es eine Zugriffsentscheidung, nur zeitversetzt — was heute gespeichert wird, liest morgen ein anderer Teil des Systems mit. Wer diese Liste nie öffnet, hat eine Berechtigungsliste, die sich selbst schreibt. Fünf Minuten Durchsehen genügen, um das zu ändern.

→ Anthropic · → TechCrunch

Von 25 Fehlern pro Woche auf 3 — mit einer einzigen Zahl

Die DFKP GmbH vermittelt Unternehmensfinanzierungen und bekommt täglich rund 1.000 Dokumente, oft als unsortierte Sammel-PDFs. Eine Plattform trennt diese Stapel heute automatisch, ordnet jedes Einzeldokument zu und liest die passenden Felder direkt ins CRM. Der Aufwand sank von 2,5 bis 3 Vollzeitkräften auf 0,5, die Fehler von rund 25 auf zwei bis drei Fälle pro Woche — bei einem Dokumentenvolumen, das sich zwischen August 2024 und Juli 2026 fast verdreifacht hat. Der Kern ist keine Modellwahl, sondern eine Schwelle je Dokumentenart: Darüber läuft ein Dokument automatisch durch, darunter übernimmt ein Sprachmodell, unter der Mindestschwelle ein menschliches Prüfteam — dessen Korrekturen wieder ins Training zurückfließen.

Das Muster ist übertragbar, und es ist unspektakulärer, als man denkt. Die Leistung steckt nicht im Modell, sondern in der Zahl, ab der es allein weitermachen darf — und in der Bereitschaft, diese Zahl nachzujustieren, statt sie einmal zu setzen. Such dir eine einzige Dokumentenart, leg eine Schwelle fest und miss vier Wochen lang, wie viele Fälle wirklich ohne Nacharbeit durchlaufen.

→ t3n

5,6 Milliarden Euro bei Rostock

Schwarz Digits, der IT-Arm der Schwarz-Gruppe hinter Lidl und Kaufland, plant in Dummerstorf bei Rostock ein Rechenzentrum mit 240 Megawatt. Standortgrund ist der Windstrom: Mecklenburg-Vorpommern produziert deutlich mehr, als es verbraucht. Langfristig hält das Unternehmen bis zu einem Gigawatt für möglich, die Abwärme soll laut Absichtserklärung ins Rostocker Fernwärmenetz gehen.

In Projekten höre ich regelmäßig den Satz „Diese Daten dürfen das Haus nicht verlassen" — und bislang war das oft das stille Ende des Gesprächs. Entsteht deutsche Kapazität in dieser Größenordnung, wird aus dem Ausschlusskriterium eine Preisfrage. Das Argument, mit dem viele Vorhaben liegen geblieben sind, trägt dann nicht mehr lange — ein guter Anlass, die zurückgestellte Liste im nächsten Quartalsgespräch wieder aufzuschlagen.

→ heise · → Handelsblatt

Zum Schluss

Eine Frage zieht sich durch alle fünf Meldungen: Wer darf was sehen? Der Broker beantwortet sie mit einer Bestätigungsstufe, der Mittelständler mit einer Zahl, Anthropic mit einer editierbaren Liste, Schwarz Digits mit einem Standort in Mecklenburg — und OpenAI zeigt, was passiert, wenn die Antwort niemand aufgeschrieben hat.

Die Technik ist überall längst da. Was fehlt, ist eine bewusst gezogene Grenze. Die kostet eine halbe Stunde und ist danach dokumentiert.

Diese Ausgabe ist zuerst im wöchentlichen KI-Newsletter erschienen — jeden Dienstagmorgen, fünf Minuten Lesezeit, mit einem Praxis-Impuls, den du am selben Tag ausprobieren kannst.