Was ist ein KI-Agent, und was kann er heute wirklich?

Vom Chatbot zum Agenten

Die meisten Menschen kennen KI als Chatbot. Man stellt eine Frage, und das Programm antwortet mit Text. Ein KI-Agent geht einen Schritt weiter. Er soll eine Aufgabe nicht nur beschreiben, sondern selbst ausführen.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) erklärt den Unterschied an einem Beispiel. Auf die Bitte, den günstigsten Flug nach Berlin zu buchen und den Termin einzutragen, würde ein Chatbot erklären, wie man das macht. Ein Agent würde selbst Flüge suchen, Preise vergleichen, buchen und den Kalender aktualisieren.

Damit das geht, braucht ein Agent Zugriff: auf das Internet, auf Programme und oft auch auf persönliche Daten wie E-Mails, Dateien oder Konten. Genau darin liegen Nutzen und Risiko zugleich.

Wie ein Agent arbeitet

Im Kern steckt ein großes Sprachmodell, also dieselbe Art von KI wie hinter ChatGPT oder Claude. Fachleute sprechen von einem LLM, kurz für Large Language Model. Dieses Modell wird um Werkzeuge ergänzt. Werkzeuge sind zum Beispiel eine Websuche, ein Browser, den die KI selbst bedienen kann, ein E-Mail-Zugang oder die Möglichkeit, Programmcode auszuführen.

Nach Beschreibung des BSI arbeitet ein Agent in einer Schleife. Er schaut sich die Lage an, plant den nächsten Schritt, führt ihn aus und prüft das Ergebnis. Das wiederholt er, bis die Aufgabe erledigt ist oder er nicht weiterkommt.

Der KI-Anbieter Anthropic beschreibt Agenten ähnlich: Das Modell entscheidet selbst, welches Werkzeug es als Nächstes nutzt, und richtet sich nach den Rückmeldungen aus seiner Umgebung. Davon unterscheidet Anthropic feste Abläufe, bei denen Menschen die Schritte vorher festlegen. Im Alltag werden beide Varianten oft einfach Agent genannt.

Was heute tatsächlich angeboten wird

Stand Oktober 2026 bietet OpenAI in ChatGPT neben dem normalen Chat einen Bereich namens Work an. OpenAI beschreibt Work als Agenten für längere Aufgaben mit mehreren Schritten, etwa eine Recherche, eine Analyse oder das Erstellen eines Dokuments, einer Tabelle oder einer Präsentation. Work gibt es laut OpenAI nur in bezahlten Tarifen.

Zu Work gehört ein sogenannter Cloud-Browser. Das ist ein Webbrowser auf einem Rechner von OpenAI. Er kann Seiten lesen, Knöpfe anklicken und Formulare ausfüllen. Als Beispiele nennt OpenAI, Reservierungen zu prüfen, Flüge zu vergleichen oder ein Paket zu verfolgen. Der Agent hält an, wenn er eine Anmeldung oder eine Entscheidung braucht, und fragt vor Schritten mit Folgen wie einer Buchung oder Zahlung nach.

Der frühere Agentenmodus von ChatGPT ist laut OpenAI nicht mehr verfügbar und wurde durch Work ersetzt. Für Unternehmen gibt es zusätzlich gemeinsam genutzte Agenten, die OpenAI noch als Vorschau kennzeichnet. Auch andere Anbieter wie Anthropic beschreiben Agenten, die etwa einen Computer bedienen oder programmieren. Beim Programmieren eignen sich Agenten laut Anthropic besonders gut, weil sich die Ergebnisse dort mit automatischen Tests prüfen lassen.

Ob jede Funktion in Deutschland freigeschaltet ist, geht aus den Angaben nicht eindeutig hervor. OpenAI spricht von unterstützten Regionen und schrittweiser Einführung. Was im eigenen Konto erscheint, ist der verlässlichste Hinweis.

Wo die Grenzen liegen

Agenten schaffen nicht jede Aufgabe. OpenAI schreibt selbst, dass der Cloud-Browser nicht jede Aufgabe und nicht jeden Kauf abschließen kann. Manche Webseiten sperren automatisierte Besucher. Manchmal muss man den letzten Schritt selbst erledigen.

Anthropic weist darauf hin, dass Agenten mehr kosten als einfache Anfragen und dass sich Fehler über viele Schritte aufaddieren können. Ein kleiner Irrtum am Anfang kann am Ende ein falsches Ergebnis ergeben. Das BSI betont, dass sich die Technik noch in einem frühen Stadium befindet und Sicherheitsstandards gerade erst entstehen.

Unsere Einordnung: Agenten sind heute am nützlichsten, wenn das Ergebnis leicht zu prüfen ist. Eine Liste mit Quellen oder ein Entwurf lässt sich kontrollieren. Eine unbeobachtete Bestellung lässt sich schwerer zurücknehmen.

Die wichtigsten Risiken

Das BSI nennt mehrere Gefahren. Die erste ist Kontrollverlust: Je selbstständiger ein Agent handelt, desto schwerer ist nachzuvollziehen, was er tut. Er könnte zum Beispiel E-Mails in deinem Namen verschicken.

Die zweite ist die sogenannte Prompt Injection. Dabei verstecken Angreifer Befehle in Webseiten, Dokumenten oder E-Mails, etwa als unsichtbaren Text. Liest der Agent diese Inhalte, hält er die Befehle womöglich für echte Anweisungen. Das BSI beschreibt den Fall einer präparierten E-Mail, die einen Agenten dazu bringt, künftig alle Nachrichten an eine fremde Adresse weiterzuleiten. OpenAI nennt ein ähnliches Beispiel und schreibt, dass die eigenen Schutzmaßnahmen solche Risiken verringern, aber nicht ausschließen.

Besonders heikel wird es laut BSI, wenn drei Dinge zusammenkommen: Zugriff auf vertrauliche Daten, das Verarbeiten fremder Inhalte aus dem Netz und die Möglichkeit, Daten nach außen zu senden.

So nutzt du Agenten mit Augenmaß

Aus den Empfehlungen von BSI und OpenAI lassen sich einige einfache Regeln ableiten. Gib einem Agenten nur die Zugriffe, die er für die konkrete Aufgabe braucht. Kein Agent sollte gleichzeitig an E-Mails, Bankkonto und private Dateien kommen.

Formuliere klare, begrenzte Aufträge. OpenAI rät ausdrücklich von offenen Bitten wie alles in meinem Postfach zu erledigen ab. Nutze Einstellungen, bei denen der Agent vor wichtigen Aktionen fragt, und lies diese Rückfragen genau.

Tippe Passwörter, Sicherheitscodes oder Zahlungsdaten nie in das Chatfenster. Wenn eine Anmeldung nötig ist, nutze das dafür vorgesehene Anmeldeformular oder übernimm selbst. Brich ab, wenn der Agent etwas Unerwartetes tut oder auf einer falschen Seite landet, und schau später in den Verlauf, was er getan hat.