Ein Team richtet einen KI-Agenten ein. Der Agent braucht Zugriff auf interne Tools, sagen wir Slack, also erstellt jemand einen API-Key mit breiten Rechten. „Schränken wir später ein." Der Agent läuft. Alle machen weiter.
Sechs Monate später weiß niemand mehr, wer den Key erstellt hat. Worauf er zugreifen kann. Ob die Rechte jemals geprüft wurden. Wurden sie nicht.
Woher ich das weiß? Weil es uns selbst passiert ist. Zwei Leute, ein KI-Produkt, und wir konnten einen unserer eigenen API-Keys nicht mehr zurückverfolgen. Produktion oder Staging? Keine Ahnung. Wir sind zu zweit. Jetzt stell dir ein Unternehmen vor mit hunderten Entwicklern und dutzenden Agenten, jeder mit eigenen Zugangsdaten. Keine laufen ab. Keine werden geprüft.
Klingelt da was?
Die Zahlen
Laut einer Cybernews-Umfrage vom August 2025 nutzen 59 % der Mitarbeiter nicht genehmigte KI-Tools bei der Arbeit. 75 % davon teilen dabei sensible Daten. Nicht versehentlich. Routinemäßig.
Der UpGuard „State of Shadow AI"-Report vom November 2025 geht noch weiter: 81 % weltweit. Und das hier hat mich wirklich erwischt: 88 % der Security-Verantwortlichen gaben zu, selbst unautorisierte KI-Tools zu nutzen. Die Leute, die Governance durchsetzen sollen, umgehen sie selbst.
Das Problem: Nichts davon wurde für Maschinen gebaut.
Identity Management ist für Menschen gemacht. Menschen loggen sich ein, arbeiten, loggen sich aus. Ihr Zugriff hat einen Lebenszyklus: Onboarding, Rollenwechsel, Offboarding.
KI-Agenten kennen das alles nicht. Statische Tokens, breite Rechte, permanenter Zugriff. Sie laufen rund um die Uhr. Sie lösen nicht dieselben Alarme aus wie ein menschliches Konto.
Und wenn solche Credentials kompromittiert werden, leaken sie nicht die Daten eines Nutzers. Sie leaken alles, worauf der Agent Zugriff hatte.
Es wird schlimmer
Im Februar 2026 haben Sicherheitsforscher von Koi Security ClawHub auditiert, den offiziellen Skill-Marktplatz für OpenClaw. Von 2.857 Skills waren 341 bösartig. Rund 12 %. Ein einzelner Angreifer hatte 677 trojanisierte Pakete hochgeladen. Einige davon mit tausenden Downloads, bevor es jemand bemerkte. Die manipulierten Skills griffen SSH-Keys, Browser-Zugangsdaten und Wallet-Daten ab. Manche installierten Info-Stealer wie Atomic macOS Stealer. Auf einem Marktplatz, auf dem jeder GitHub-Account publizieren konnte, der älter als eine Woche war.
Im selben Monat: über 8.000 MCP-Server offen im Internet. Keine Authentifizierung auf Admin-Panels. Default-Konfigurationen. Debug-Endpunkte ungeschützt.
Shadow IT war schon ein Governance-Problem. Shadow AI ist schlimmer. Agenten speichern oder verschieben nicht nur Daten. Sie treffen Entscheidungen. Sie legen Datensätze an, versenden E-Mails, stoßen Workflows an, rufen externe APIs auf. Genau dafür sind sie da.
Du kannst keine Forensik betreiben an einem System, von dem du nicht wusstest, dass es existiert. Und wenn du wissen willst, wie tief das Problem wirklich reicht: Wir haben 20 Open-Source-KI-Agenten analysiert — keiner erfüllte vollständig die EU-Sicherheits- und Datenschutzanforderungen.
Wir haben beschrieben, womit wir Jira ersetzt haben — ein Markdown-basiertes Projektboard, das unsere KI-Agenten nativ nutzen. Es entstand, weil wir ein System brauchten, das tatsächlich nachverfolgen kann, was Agenten tun. Daraus wurde faru, das wir als Open Source veröffentlicht haben. Und als wir unseren ersten Enterprise-Agenten für Produktspezifikationsprüfungen in der Lebensmittelindustrie einsetzten, war der Audit-Trail keine Nachbesserung — er war das Erste, wonach der Kunde fragte.
Was wir dagegen tun
Die Lösung ist nicht, keine Agenten mehr zu nutzen. Die Lösung ist, Governance, Audit-Trails und Compliance-Infrastruktur in den Agenten selbst einzubauen, nicht nachträglich dranzuschrauben. Das, was keiner bauen will, und am Ende jeder brauchen wird.
Mach den Test. Nimm einen deiner KI-Agenten und liste alles auf, worauf er Zugriff hat. Jede API, jede Integration, jeden Credential. Wenn du das in unter einer Stunde schaffst, bist du weiter als die meisten Unternehmen.
Falls nicht, hast du keine Ahnung, was du widerrufen musst, wenn etwas schiefgeht. Und etwas geht immer schief.
Die LinkedIn-Posts hast du wahrscheinlich gesehen. Ein Agent hat eine fünfstellige Cloud-Rechnung produziert, weil ein geleakter Key ihm erlaubte, Ressourcen hochzufahren. Jemand anderes wurde bestohlen und schreibt darüber, kurz vor der Insolvenz zu stehen. Das taucht wöchentlich in meinem Feed auf. Irgendwann handeln die Warngeschichten nicht mehr von anderen Leuten.
Deshalb haben wir fluado gestartet. Weil das Tooling, um das hier richtig zu machen, noch nicht existiert.
Wenn du gerade versuchst herauszufinden, wie du Agenten ohne Governance-Kopfschmerzen deployen kannst, sollten wir reden.