Wenn aus fünf Agenten hundert werden

TL;DR

Die ersten Agenten entstehen im Projekt, die nächsten in den Fachbereichen. Ab etwa zwanzig weiß niemand mehr, welche existieren, wer sie verantwortet und auf welche Systeme sie zugreifen. Ein internes Verzeichnis mit fünf Pflichtfeldern verhindert das — und ist deutlich billiger, wenn es früh angelegt wird.

Wie der Wildwuchs entsteht

Nicht durch Nachlässigkeit. Durch Erfolg.

Der erste MCP-Server wird im Plattformprojekt gebaut, sauber dokumentiert, mit Berechtigungsprüfung. Er funktioniert. Die Fachbereiche sehen das und wollen dasselbe für ihre Systeme. Das Instandhaltungsteam baut sich einen Server für die Wartungsdatenbank. Der Vertrieb einen für das CRM. Jemand aus der Qualitätssicherung schreibt eine Nacht lang an einem Werkzeug, das Prüfprotokolle auswertet.

Nach neun Monaten laufen zwanzig Server auf zwölf Rechnern. Drei davon haben keine Authentifizierung, weil sie als Prototyp gedacht waren und nie abgeschaltet wurden. Von zwei kennt niemand mehr den Betreiber, weil die Person das Unternehmen verlassen hat.

Der Punkt, an dem das auffällt, ist eine unangenehme Frage im Audit oder bei einem Vorfall: "Welche Systeme greifen automatisiert auf die Personaldatenbank zu?" Wenn Sie darauf keine belastbare Antwort haben, ist die Antwort faktisch "wir wissen es nicht".

Die fünf Felder, die reichen

Ein Verzeichnis muss keine Software sein. Für die ersten fünfzig Einträge ist eine versionierte YAML-Datei im Repository besser als jedes Produkt — weil sie über einen Prüfprozess läuft und nicht heimlich geändert werden kann.

- name: erp-bestand
  zweck: >
    Liest Bestände und Verfügbarkeiten aus dem ERP.
    Nur lesend. Ein Artikel und ein Werk je Aufruf.
  verantwortlich:
    fachlich: leitung.disposition@muster.de
    technisch: platform-team@muster.de
  systeme:
    - name: ERP
      zugriff: lesend
      datenklasse: intern
  berechtigt: [GRP-Vertrieb, GRP-Disposition]
  endpunkt: https://mcp-erp.intern/mcp
  ueberpruefung: 2026-07-15      # letzte Prüfung

Warum genau diese fünf:

Zweck in Klartext, damit jemand ohne Kontext versteht, was das Ding tut. Der Satz "nur lesend" ist die wichtigste Information im ganzen Eintrag.

Verantwortlich, fachlich und technisch getrennt. Der fachlich Verantwortliche entscheidet, wer zugreifen darf. Der technisch Verantwortliche betreibt. Wenn beide Felder auf dieselbe Person zeigen, ist das ein Warnsignal — dann entscheidet jemand über seine eigenen Zugriffe.

Systeme mit Zugriffsart und Datenklasse. Das ist das Feld, das die Auditfrage beantwortet. Eine Suche über alle Einträge nach Personaldatenbank liefert in Sekunden die Liste.

Berechtigt als Gruppenliste, passend zu dem, was der Server tatsächlich prüft. Die Umsetzung im Server steht in der Anleitung zum MCP-Server mit Entra-ID-RBAC.

Überprüfung als Datum. Ohne dieses Feld verwaltet niemand die Einträge, die veraltet sind.

Der Prozess, der es lebendig hält

Ein Verzeichnis, das nicht gepflegt wird, ist schlimmer als keines — es erzeugt trügerische Sicherheit.

Drei Regeln, die in der Praxis funktionieren:

Kein Eintrag, kein Netzzugang. Der Reverse-Proxy vor den MCP-Servern lässt nur Hostnamen durch, die im Verzeichnis stehen. Das klingt hart und ist der einzige Mechanismus, der zuverlässig wirkt — weil er den Anreiz genau richtig setzt: Wer seinen Server nutzen will, trägt ihn ein.

Halbjährliche Bestätigung. Zweimal im Jahr bekommen alle fachlich Verantwortlichen eine Mail mit ihren Einträgen und der Frage, ob sie noch gebraucht werden. Keine Antwort binnen vier Wochen bedeutet Abschaltung. Das ist unbequem und der einzige Weg, verwaiste Dienste loszuwerden.

Prüfung bei Änderung, nicht bei Anlage. Ein neuer Eintrag ist unkritisch. Kritisch ist, wenn zugriff von lesend auf schreibend wechselt oder ein System mit höherer Datenklasse dazukommt. Genau diese Änderungen sollten eine Freigabe erfordern — im Repository ist das eine Prüfregel auf bestimmte Felder.

Was das Verzeichnis nicht leistet

Ehrlichkeitshalber, weil solche Verzeichnisse gern überfrachtet werden:

Es ersetzt keine Berechtigungsprüfung im Server. Ein Eintrag mit berechtigt: [GRP-Vertrieb] ist Dokumentation, keine Durchsetzung. Der Server muss selbst prüfen.

Es ersetzt keine Aufrufprotokollierung. Wer wann was abgefragt hat, steht in den Protokollen der Server, nicht im Verzeichnis.

Und es verhindert keinen Missbrauch durch Berechtigte. Es macht nur sichtbar, wer berechtigt ist.

Der Bezug zur Regulierung

Zwei Punkte, an denen dieses Verzeichnis von selbst nützlich wird.

Für den EU AI Act brauchen Sie ohnehin eine Bestandsaufnahme Ihrer KI-Systeme, um die Einstufung nach Anhang III vorzunehmen. Ein gepflegtes Agentenverzeichnis ist die halbe Arbeit — Sie ergänzen pro Eintrag eine Risikoeinstufung. Die Systematik steht im Beitrag zu Hochrisiko-Systemen im Mittelstand.

Für NIS2 und für ein Informationssicherheits-Managementsystem nach ISO 27001 ist die Frage "welche automatisierten Zugriffe bestehen auf welche Systeme" ohnehin zu beantworten. Ein Verzeichnis, das Sie für den Betrieb führen, deckt das mit ab — deutlich besser als eine Liste, die einmal für ein Audit erstellt und danach vergessen wird.

Unsere Empfehlung zum Zeitpunkt: Legen Sie das Verzeichnis beim dritten Agenten an, nicht beim zwanzigsten. Bei drei Einträgen ist es eine halbe Stunde Arbeit. Bei zwanzig ist es ein Projekt mit Archäologie.

Häufig gestellte Fragen

Ab wie vielen KI-Agenten braucht man ein Verzeichnis?

Praktisch spürbar wird der Bedarf ab etwa zwanzig, sinnvoll angelegt wird es beim dritten. Der Aufwand für die nachträgliche Bestandsaufnahme wächst überproportional, weil Sie dann für jeden bestehenden Dienst herausfinden müssen, wer ihn betreibt, worauf er zugreift und ob er noch gebraucht wird — Informationen, die beim Anlegen kostenlos verfügbar waren.

Braucht ein Agentenverzeichnis eine eigene Software?

Für die ersten fünfzig Einträge nicht. Eine versionierte Konfigurationsdatei im Repository ist besser als ein Produkt, weil Änderungen über einen Prüfprozess laufen und nachvollziehbar sind. Eine Software lohnt sich, wenn Fachbereiche selbst Einträge pflegen sollen, ohne mit Versionsverwaltung zu arbeiten.

Wie verhindere ich, dass Agenten am Verzeichnis vorbei betrieben werden?

Über die Netzwerkebene: Der Reverse-Proxy vor den Diensten lässt nur Ziele durch, die im Verzeichnis stehen. Das ist der einzige Mechanismus, der zuverlässig wirkt, weil er den Anreiz umkehrt — ein nicht eingetragener Dienst ist schlicht nicht erreichbar. Organisatorische Regeln allein setzen sich in der Praxis nicht durch.

Was gehört mindestens in einen Verzeichniseintrag?

Zweck in Klartext, fachlich und technisch Verantwortliche getrennt, die zugegriffenen Systeme mit Zugriffsart und Datenklasse, die berechtigten Gruppen und das Datum der letzten Überprüfung. Fünf Felder genügen. Umfangreichere Vorlagen werden erfahrungsgemäß nicht gepflegt und verlieren damit ihren Wert.

Hilft ein Agentenverzeichnis bei der EU-AI-Act-Einstufung?

Ja, es ist die Grundlage dafür. Die Verordnung verlangt eine Übersicht der eingesetzten KI-Systeme, um sie den Risikoklassen zuzuordnen. Ein für den Betrieb geführtes Verzeichnis lässt sich um eine Einstufungsspalte ergänzen und ist damit aktueller als jede eigens für ein Audit erstellte Liste.

Der nächste Schritt

Legen Sie die Datei heute an, mit den Agenten, die Sie kennen. Die Lücke zwischen dieser Liste und der Realität ist bereits die erste Erkenntnis — und sie wird größer, je länger Sie warten. Beim Aufbau der Governance unterstützen wir gern.