Tim Lipphardt
Head of Consulting
Alle Blogartikel
AI Agent Credential Management: Warum deine Agenten ihre eigene Identität brauchen
Descope
CIAM & AI Agents
Alte Credential Modelle greifen nicht mehr
Statische API Keys und geteilte Logins wurden für Software gebaut, die jedes Mal das Gleiche tut. Autonome Agenten arbeiten anders und bekommen viel mehr Zugriff, als eine einzelne Aufgabe braucht.
Die Vorfälle sind längst da
Ein interner Agent postet ohne Freigabe, eine Produktionsdatenbank ist in wenigen Sekunden gelöscht. Schlecht verwaltete Agent Credentials verursachen schon heute echten Schaden.
Identität ist die Lösung
Gib jedem Agenten seine eigene Identität mit kurzlebigen, aufgabenbezogenen Credentials, klarem Consent und vollständigem Audit Trail.
Warum das jetzt wichtig ist
AI Agent Credential Management: Die Frage hat sich verändert
Jeder KI-Agent, den du ausrollst, braucht Credentials, um seinen Job zu machen. Jedes Tool, das er anbindet, jede API, die er aufruft, jede Datenbank, die er abfragt, will irgendeinen Nachweis, dass der Agent durch die Tür darf: ein OAuth Token, einen API Key, einen Service Account. Daran kommst du nicht vorbei.
Jahrelang ging es darum, welche Credentials eine Anwendung überhaupt bekommt. Heute fragen wir, was mit diesen Credentials passiert, sobald der Agent sie in der Hand hat. Und genau das ist der Knackpunkt, denn ein einzelner Agent mit dem richtigen Key und einer falschen Entscheidung richtet in kurzer Zeit ziemlich viel Schaden an.
Wie schnell das gehen kann, haben wir schon in unserem Beitrag zu AI Security beschrieben. Hier geht es einen Schritt tiefer, nämlich um die Credentials selbst.
Der Status quo
Warum Credentials für KI-Agenten so schwierig sind
Denk mal darüber nach, was ein Agent in einem einzigen Workflow tatsächlich tut. Er fragt vielleicht eine Datenbank ab, schreibt eine E-Mail, setzt ein Meeting auf und erstellt ein Ticket, alles hintereinander. Und jede dieser Aktionen braucht eine andere Berechtigung für ein anderes System.
Eine klassische Machine Identity ruft jedes Mal denselben Endpoint auf dieselbe Weise auf. Ein Agent entscheidet unterwegs. Genau diese Unberechenbarkeit unterscheidet Agent Credentials von menschlichen und maschinellen Identitäten.
Menschliche Credentials geben einem Agenten umfassenden, dauerhaften Zugriff, ohne dass du gut nachvollziehen kannst, was er damit gemacht hat. Statische Machine Credentials wie langlebige API Keys sind zu grobmaschig und lassen sich im Nachhinein kaum nachvollziehen. Keines von beidem wurde für etwas entworfen, das eigene Entscheidungen trifft. Wie sich Maschinenidentitäten grundsätzlich unterscheiden, zeigt unser Beitrag zu Non Human Identities.
Drei Muster tauchen dabei immer wieder auf:
Zahlen und Fakten
Der Schaden ist längst sichtbar
Im März 2026 hat ein interner KI-Agent bei Meta eine fehlerhafte Antwort in ein internes Forum gepostet, ohne die Freigabe des anfragenden Engineers. Ein Kollege hat auf Basis dieses schlechten Ratschlags gehandelt, Zugriffseinstellungen geändert und sensible Daten offengelegt.
Meta hat den Vorfall auf der zweithöchsten Stufe seiner internen Severity Skala eingeordnet. Der Agent hatte den Scope zum Posten, also hat er gepostet, ohne einen Consent Schritt dazwischen.
Einen Monat später stolperte ein KI-Coding-Agent in einer Staging Umgebung über ein langlebiges API Token, das in einer völlig unbeteiligten Datei lag, und löschte damit eine Produktionsdatenbank. Das Token galt für den gesamten Account, ohne jede Trennung zwischen den Umgebungen, also kam der Agent aus Staging direkt an die Produktion. Die Datenbank und ihre Backups waren nach neun Sekunden weg.
Und es sind längst keine Einzelfälle mehr. Der State of Secrets Sprawl 2026 von GitGuardian hat für 2025 knapp 29 Millionen neu hardcodierte Secrets in öffentlichen GitHub Commits gefunden, bei KI-unterstützten Commits war die Leak Rate etwa doppelt so hoch wie im Durchschnitt. Allein in MCP Konfigurationsdateien lagen rund 24.000 Secrets.
Gartner wird bei den Kosten noch deutlicher: Bis 2028 sollen 90 Prozent der Organisationen, die ihre Mitarbeitenden Credentials mit KI-Agenten teilen lassen, kräftig nachinvestieren müssen, um diese Entscheidung aus Sicherheits- und Compliance-Gründen wieder zu korrigieren.
Intern vs. extern
Zwei Varianten derselben Herausforderung
Wenn du MCP Server baust, zeigt sich das Credential Problem an zwei Stellen. Interne MCP Server verbinden Agenten mit deinen eigenen Ressourcen, also Code Repositories, CRM-Systemen und internen APIs.
Sie brauchen Credentials, die deine bestehende Workforce Identity abbilden: SSO Integration, Access Policy und Berechtigungen, die sich von dem Mitarbeitenden ableiten, der den Agenten aufgerufen hat. Wie das im Workforce IAM zusammenspielt, ist bei Agenten dieselbe Frage wie bei Menschen, nur schneller.
Über externe MCP Server greifen fremde Agenten und Clients auf dein Produkt zu. Das heißt, du gibst Credentials an Clients raus, die du vorher noch nie gesehen hast, über Mechanismen wie Dynamic Client Registration (DCR) und Client ID Metadata Documents (CIMD).
Überberechtigte, langlebige und geteilte Credentials sind in beiden Fällen ein Sicherheitsrisiko. Und Zugriff, den du nicht sauber nachvollziehen kannst, ist einer, den du weder steuern noch verlässlich entziehen kannst.
8 Regeln für die Praxis
Wie du AI Agent Credential Management richtig aufsetzt
Fehlschläge kommen fast immer daher, dass wichtige Grundlagen ignoriert wurden. So machst du es richtig:
Unterstützung gefällig?
Du willst wissen, wie AI Agent Credential Management in deiner Landschaft aussehen kann? Sprich uns gerne unverbindlich an, wir schauen gemeinsam mit dir drauf.
Unser Take bei amiconsult
Fang da an, wo das Risiko am größten ist
In unserer Arbeit scheitern Agent Identity Projekte meist daran, dass Agenten nebenbei mitlaufen: irgendwie an ein IAM-System für Menschen angebunden oder mit einem statischen Key versorgt, damit die Demo pünktlich steht.
Du brauchst keine Mehrjahres-Roadmap, um anzufangen. Schau erst dahin, wo die Angriffsfläche am größten ist, und das sind meistens Agenten, die auf geliehenen User Sessions laufen, oder statische Keys, die irgendwo in Config-Dateien vergraben liegen. Genau da fängst du an.
Danach wird Agentic Identity zu einer eigenen Disziplin, die es wert ist, bewusst aufgebaut zu werden: eigene Identitäten pro Agent, Least Privilege, Consent und ein Audit Trail, mit dem du jede Aktion über die Delegationskette zurückverfolgen kannst. Welche Fragen dabei noch offen sind, haben wir in Agentic AI im IAM aufgeschrieben.
Die meisten Unternehmen haben einige dieser Bausteine längst in ihrem Identity Stack. Die Arbeit besteht darin, sie zu verbinden und auf Agenten auszuweiten, nicht darin, bei null anzufangen. Einen Überblick über passende Werkzeuge gibt unsere Technologieübersicht.
Fazit
Agenten sind nur so sicher wie ihre Credentials
AI Agent Credential Management ist kein Nischenthema für Engineers. Es wird gerade zu einem entscheidenden Faktor dafür, ob du KI-Agenten überhaupt in Produktion bringen kannst. Worauf es ankommt:
- Statische Keys sind ein Auslaufmodell. Sie geben autonomen Agenten viel mehr Zugriff, als eine Aufgabe braucht, und deutlich weniger Nachvollziehbarkeit, als du im Zweifel verantworten kannst.
- Es passiert schon. Echte Vorfälle, echter Datenverlust und Millionen geleakter Secrets stehen schon in den Berichten.
- Ohne eigene Identität geht es nicht. Eigene Identitäten pro Agent, kurzlebige und eng zugeschnittene Credentials, Consent und ein durchgängiges Lifecycle Auditing machen aus Agent Zugriffen etwas, das du wirklich steuern kannst.
Descope und amiconsult haben diesen Beitrag zusammen geschrieben. Bei unseren Kunden läuft es genauso: Plattform und Beratung greifen ineinander.
Descope bringt die Plattform mit: Der Agentic Identity Hub ist ein dedizierter Identity Provider für KI-Agenten und MCP Server und liefert die Kontrollen, um die es hier geht, von kurzlebigen gescopten Credentials und delegierter Autorisierung bis zu Consent Management und Lifecycle Auditing, ohne dass du deinen Identity Stack neu bauen musst.
Wir bei amiconsult bringen die Beratungsperspektive mit: Wir kennen die gewachsenen IAM-Landschaften unserer Kunden, wissen, wo Agenten heute zu viel Zugriff mitschleppen, und begleiten Architektur und Umsetzung bis in den Betrieb.
Du willst wissen, wie es bei euch aussieht? Sprich uns an. Wir schauen gemeinsam mit dir drauf und zeigen dir, wo du anfangen solltest. Wir freuen uns auf deine Nachricht!
Dieser Beitrag entstand mit KI-Unterstützung. Veröffentlicht von amiconsult GmbH, fachlich geprüft von Tim Lipphardt.
