Zum Inhalt springen
Mindverse Logo
// KI-Agenten 18 Min. Lesezeit

Agentische KI im Unternehmen zwischen Standardisierung und Kontrolle

Mindverse News

KI-gestützt erstellt 11 Quellen Arbeitsweise

Agentische KI im Unternehmen zwischen Standardisierung und Kontrolle
Symbolbild

Das Wichtigste in Kürze

  • Die Konferenz AGNTCon + MCPCon Europe in Amsterdam zeigt, dass agentische KI zunehmend von experimentellen Einzelprojekten in den professionellen Unternehmensbetrieb übergeht.
  • Im Mittelpunkt stehen nicht mehr nur Modellqualität und Prototypen, sondern Interoperabilität, Skalierbarkeit, Sicherheitsarchitekturen, Governance und laufende Überwachung.
  • Das Model Context Protocol, kurz MCP, entwickelt sich zu einer wichtigen Standardschicht für die Verbindung von KI-Modellen mit Anwendungen, Datenquellen und Werkzeugen.
  • Die geplante Umstellung auf ein stärker zustandsloses Protokoll soll den Betrieb in Container- und Cloud-Umgebungen vereinfachen, bedeutet für bestehende Implementierungen jedoch zusätzlichen Migrationsaufwand.
  • Unternehmen benötigen für den produktiven Einsatz agentischer Systeme zentrale Identitätsverwaltung, fein abgestufte Berechtigungen, Protokollierung, Evaluierung und klar definierte menschliche Kontrollpunkte.
  • Die wachsende Zahl an Plattformen, Gateways, Registries und Governance-Werkzeugen deutet auf die Entstehung eines eigenen Technologiemarktes rund um Agentenbetrieb hin.
// Inhalt · 18 Abschnitte
  1. Von der Demonstration zum belastbaren Betrieb
  2. Warum MCP für agentische Systeme relevant ist
  3. Die neue Betriebsrealität für Unternehmen
  4. Der Protokollumbau als Test für die Reife des Ökosystems
  5. Skalierbarkeit ist mehr als eine technische Kennzahl
  6. Sicherheit: Vom Modellschutz zur Systemkontrolle
  7. Identität und Berechtigungen als zentrale Kontrollpunkte
  8. Governance entwickelt sich zu einer eigenen Produktschicht
  9. Open Source und die Frage nach neutralen Standards
  10. Was sich für die Unternehmensarchitektur ändert
  11. Evaluierung wird zum Dauerprozess
  12. Die wirtschaftliche Perspektive: Produktivität gegen Komplexität
  13. Relevanz für den deutschen Mittelstand
  14. Datenschutz und Regulierung bleiben eigenständige Prüfbereiche
  15. Eine neue Rolle für IT-Abteilungen und Fachbereiche
  16. Was die Konferenz über den Reifegrad aussagt
  17. Die wichtigsten Konsequenzen für Entscheider
  18. Ausblick: Von einzelnen Agenten zu agentischen Plattformen
  19. Quellen

Von der Demonstration zum belastbaren Betrieb

Agentische künstliche Intelligenz erreicht eine neue Entwicklungsphase. Während die öffentliche Debatte lange von einzelnen Sprachmodellen, beeindruckenden Demos und der Qualität generierter Inhalte geprägt war, verschiebt sich der Schwerpunkt inzwischen auf die Frage, wie KI-Systeme dauerhaft, sicher und nachvollziehbar in Unternehmen betrieben werden können. Ein Agent soll nicht nur Text erzeugen, sondern Aufgaben planen, Werkzeuge aufrufen, Informationen aus verschiedenen Quellen beziehen und Arbeitsschritte über mehrere Systeme hinweg ausführen.

Diese Entwicklung stand im Mittelpunkt der AGNTCon + MCPCon Europe, die am 17. und 18. September 2026 in der RAI Amsterdam stattfand. Die von der Linux Foundation beziehungsweise der Agentic AI Foundation unterstützte Veranstaltung brachte Entwickler, Forscher, Plattformanbieter, Open-Source-Projekte und Unternehmensvertreter zusammen. Nach Angaben der Veranstalter lag der Fokus auf den technischen und organisatorischen Voraussetzungen, um agentische Systeme aus der Prototypenphase in produktive Umgebungen zu überführen.

Die Konferenz ist dabei weniger als Produktmesse für ein einzelnes Modell zu verstehen. Sie steht vielmehr für eine strukturelle Veränderung des KI-Marktes. Im Zentrum befindet sich ein wachsendes Ökosystem aus Protokollen, Laufzeitumgebungen, Kontrollschichten, Sicherheitskomponenten und Entwicklerwerkzeugen. Diese Bausteine sollen sicherstellen, dass Agenten nicht isoliert arbeiten, sondern in bestehende IT-Landschaften eingebunden werden können.

Für Unternehmen verändert sich dadurch auch die Entscheidungsgrundlage. Die zentrale Frage lautet nicht mehr ausschließlich, welches Sprachmodell die besten Antworten liefert. Entscheidend wird vielmehr, wie ein Gesamtsystem mit unterschiedlichen Modellen, Datenquellen, Fachanwendungen und Berechtigungsstrukturen umgeht.

Warum MCP für agentische Systeme relevant ist

Das Model Context Protocol wurde im November 2024 erstmals von Anthropic vorgestellt. Es soll eine standardisierte Verbindung zwischen KI-Anwendungen, Sprachmodellen und externen Werkzeugen schaffen. Ein MCP-Server stellt dabei Funktionen oder Datenquellen bereit, die ein kompatibler KI-Client aufrufen kann. Dazu können beispielsweise Unternehmensdatenbanken, Dateisysteme, Kalender, Ticketsysteme, Entwicklungsumgebungen oder interne Fachanwendungen gehören.

Ohne eine solche Standardschicht müsste eine Anwendung für jedes externe System eine individuelle Integration entwickeln und dauerhaft pflegen. Das führt zu einer hohen Zahl proprietärer Schnittstellen und erschwert die Kombination unterschiedlicher Modelle und Agenten. MCP verfolgt dagegen den Ansatz, die Beschreibung und Nutzung von Werkzeugen in einer einheitlicheren Form abzubilden.

Die Bedeutung des Protokolls liegt deshalb weniger in einer einzelnen Funktion als in seiner Rolle als Verbindungsschicht. Agenten können dadurch grundsätzlich auf standardisierte Weise mit ihrer Umgebung interagieren. Für Entwickler soll dies die Erstellung neuer Anwendungen erleichtern. Für Unternehmen kann es die Auswahl von Modellen und Clients flexibler machen, sofern die jeweiligen Implementierungen kompatibel und ausreichend ausgereift sind.

Die Verbreitung des Ansatzes lässt sich auch an der wachsenden Zahl von Integrationen ablesen. Nach einer auf der Konferenz präsentierten Angabe wurden mit Anthropics Claude-Modellen bereits mehr als eine Milliarde MCP-Tool-Aufrufe ausgeführt. Die Zahl ist nicht mit einer allgemeinen Marktstatistik gleichzusetzen, verdeutlicht jedoch die Größenordnung, in der solche Schnittstellen inzwischen eingesetzt werden.

In der Praxis kommen unterschiedliche Clients zum Einsatz. Dazu zählen Desktop-Anwendungen, Kommandozeilenwerkzeuge und KI-Funktionen, die in Unternehmenssoftware eingebettet sind. Ein Agent kann dabei sichtbar als Assistent auftreten oder im Hintergrund Aufgaben ausführen. Je stärker solche Systeme in Geschäftsprozesse eingebunden werden, desto größer werden die Anforderungen an Verfügbarkeit, Zugriffsschutz und Nachvollziehbarkeit.

Die neue Betriebsrealität für Unternehmen

Ein MCP-Server, der ausschließlich lokal auf dem Rechner eines Entwicklers läuft, stellt andere Anforderungen als ein Dienst, der von zahlreichen Mitarbeitern oder automatisierten Agenten über das Internet angesprochen wird. Sobald externe Clients über HTTP auf Unternehmensressourcen zugreifen, gelten viele der bekannten Regeln des professionellen Serverbetriebs.

Betreiber müssen unter anderem klären, wie Zugriffe authentifiziert werden, welche Werkzeuge ein bestimmter Agent nutzen darf und wie sensible Daten geschützt werden. Ebenso wichtig sind Überwachung, Lastverteilung, Fehlerbehandlung und die Erkennung ungewöhnlicher Aufrufmuster. Ein fehlgeschlagener Tool-Aufruf kann nicht nur eine einzelne Nutzeranfrage beeinträchtigen. In einer Agentenkette kann er weitere Aktionen auslösen, verzögern oder in eine falsche Richtung lenken.

Für die Unternehmenspraxis ergeben sich daraus mehrere zentrale Betriebsaufgaben:

  • Verfügbarkeit und Skalierbarkeit der MCP-Server müssen an die erwartete Nutzung angepasst werden.
  • Identitäten von Nutzern, Anwendungen und Agenten müssen eindeutig unterscheidbar sein.
  • Berechtigungen sollten möglichst eng auf konkrete Werkzeuge, Daten und Aktionen begrenzt werden.
  • Tool-Aufrufe, Modellentscheidungen und sicherheitsrelevante Ereignisse müssen protokolliert werden.
  • Fehlerhafte, missbräuchliche oder ungewöhnliche Aktivitäten müssen erkannt und beendet werden können.
  • Änderungen an Protokollen, SDKs und Integrationen benötigen einen kontrollierten Lebenszyklus.

Damit entsteht eine neue Betriebsschicht zwischen klassischen Anwendungen und KI-Modellen. Sie ähnelt in Teilen dem API-Management, geht aber wegen der probabilistischen Arbeitsweise von Sprachmodellen darüber hinaus. Ein Agent kann eine Aufgabe anders interpretieren als erwartet, weitere Werkzeuge auswählen oder eine Handlung in mehreren Schritten vorbereiten. Die technische Infrastruktur muss deshalb nicht nur Verbindungen verwalten, sondern auch die Grenzen zulässiger Aktionen definieren.

Der Protokollumbau als Test für die Reife des Ökosystems

Ein besonders wichtiger Diskussionspunkt war die Weiterentwicklung der MCP-Spezifikation. Die im Juli 2026 veröffentlichte Version 2026-07-28 sieht einen grundlegenden Umbau der Kommunikationsarchitektur vor. Im bisherigen Modell war die Kommunikation zwischen Client und Server zustandsbehaftet. Vor der Nutzung eines Werkzeugs wurde eine Sitzung eingerichtet, die über eine entsprechende Sitzungskennung fortgeführt wurde.

Die neue Ausrichtung setzt stärker auf ein zustandsloses Modell. Handshakes und dauerhaft an eine bestimmte Serverinstanz gebundene Sitzungen sollen entfallen. Anstelle dauerhaft offener HTTP-Verbindungen ist ein Ansatz mit mehreren aufeinanderfolgenden Anfragen vorgesehen. Diese Multi-Round-Trip-Requests sollen den Austausch zwischen Client und Server abbilden, ohne dass der Server eine langfristige Sitzung für jeden Client vorhalten muss.

Aus Sicht des Infrastrukturbetriebs kann dies erhebliche Vorteile bieten. Zustandslose Dienste lassen sich in der Regel einfacher hinter Loadbalancern verteilen. Auch in Containerumgebungen, in denen Instanzen je nach Last dynamisch gestartet und beendet werden, ist es vorteilhaft, wenn eine Anfrage nicht zwingend an eine bestimmte Serverinstanz gebunden bleibt.

Die Umstellung hat jedoch eine zweite Seite. Unternehmen, die bereits MCP-Server betreiben, müssen ihre Software, SDKs und Testprozesse überprüfen. Abhängig von der bisherigen Implementierung können Anpassungen an Sitzungsverwaltung, Rückkanälen, Fehlerbehandlung und Infrastruktur notwendig werden. Auch Clients und Zwischenkomponenten müssen mit der neuen Variante umgehen können.

Die kurze Entwicklungsgeschichte von MCP macht diese Herausforderung besonders sichtbar. Erst 2025 war die Kommunikation von Server-Sent Events auf Streamable HTTP umgestellt worden. Der erneute architektonische Wechsel löste deshalb Diskussionen über Stabilität und Planbarkeit aus. Für Unternehmen ist eine häufig veränderte Spezifikation kostenintensiv, weil jede grundlegende Änderung Entwicklungs-, Test- und gegebenenfalls Zertifizierungsaufwand verursacht.

Die Maintainer haben auf diese Kritik mit einem angekündigten Verfahren für den Umgang mit veraltenden Funktionen reagiert. Künftig sollen Änderungen zunächst formal angekündigt beziehungsweise abgekündigt werden. Zwischen der Abkündigung und der Entfernung aus der Spezifikation soll grundsätzlich mindestens ein längerer Übergangszeitraum liegen. Als Ziel wurde ein Zeitraum von mindestens zwölf Monaten genannt.

Diese Regel wäre ein wichtiger Schritt für die Professionalisierung des Projekts. Ein klarer Lebenszyklus ermöglicht es Unternehmen, Migrationen in reguläre Release- und Budgetplanungen zu integrieren. Ob die Regel in der Praxis konsequent umgesetzt wird und wie Ausnahmen behandelt werden, wird sich allerdings erst im weiteren Verlauf zeigen.

Skalierbarkeit ist mehr als eine technische Kennzahl

Bei agentischen Anwendungen reicht es nicht aus, lediglich die Zahl gleichzeitiger Verbindungen zu erhöhen. Entscheidend ist auch, wie viele Tool-Aufrufe ein Agent pro Aufgabe erzeugt, wie lange einzelne Prozesse laufen und welche Abhängigkeiten zwischen den Schritten bestehen. Ein einzelner Nutzer kann durch eine komplexe Aufgabe deutlich mehr Infrastruktur beanspruchen als durch eine einfache Frage an ein Sprachmodell.

Agentische Workloads sind zudem häufig unregelmäßig. Ein System kann längere Zeit wenig genutzt werden und anschließend viele parallele Aufgaben erhalten. Für die Infrastruktur bedeutet dies, dass automatische Skalierung, Warteschlangen und Ressourcenbegrenzungen wichtiger werden. Unternehmen müssen außerdem verhindern, dass ein fehlerhafter Agent eine Endlosschleife erzeugt oder eine große Zahl von Aufrufen auslöst.

Für die technische Architektur ergeben sich unter anderem folgende Fragen:

  • Welche Aufrufraten und Antwortzeiten müssen die angebundenen Werkzeuge unterstützen?
  • Wie werden lange oder unterbrochene Agentenprozesse fortgesetzt?
  • Wie werden doppelte Aktionen verhindert, wenn eine Anfrage erneut gesendet wird?
  • Wie lässt sich die Last zwischen mehreren Serverinstanzen verteilen?
  • Welche Grenzen gelten für Kosten, Laufzeit, Datenvolumen und Anzahl der Tool-Aufrufe?
  • Wie werden Abhängigkeiten zu externen Diensten überwacht?

Gerade die Vermeidung doppelter Aktionen ist für Geschäftsanwendungen relevant. Bei einer Informationsabfrage ist ein wiederholter Aufruf meist unkritisch. Bei einer Bestellung, einer Überweisung, einer Änderung in einem Kundensystem oder dem Versand einer Nachricht kann eine Wiederholung dagegen konkrete Folgen haben. Agentische Systeme benötigen deshalb Mechanismen zur eindeutigen Identifikation von Vorgängen, zur Prüfung ihrer Ausführbarkeit und zur sicheren Wiederaufnahme nach Fehlern.

Sicherheit: Vom Modellschutz zur Systemkontrolle

Die Sicherheitsdebatte rund um agentische KI unterscheidet sich in einem wesentlichen Punkt von der klassischen Diskussion über Chatbots. Ein Chatbot kann eine falsche oder problematische Antwort erzeugen. Ein Agent kann zusätzlich versuchen, eine Handlung auszuführen. Dadurch wird aus einem Qualitätsproblem potenziell ein Sicherheits- oder Compliance-Risiko.

Absolute Sicherheit ist bei nicht deterministischen Systemen nicht erreichbar. Die technische Konsequenz besteht daher nicht darin, jedem einzelnen Modellschritt vollständiges Vertrauen entgegenzubringen. Stattdessen müssen Unternehmen eine Kontrollarchitektur aufbauen, die Fehlentscheidungen begrenzt, riskante Aktionen prüft und Vorgänge nachvollziehbar dokumentiert.

Zu den wichtigsten Schutzmechanismen zählen:

  • Prinzip der geringsten Berechtigung für Nutzer, Agenten und Werkzeuge
  • Trennung von Lese- und Schreibzugriffen
  • Freigabeprozesse für besonders risikoreiche Aktionen
  • Zeitliche und mengenmäßige Begrenzung von Zugriffen
  • Netzwerksegmentierung und kontrollierte Ausgänge zu externen Diensten
  • Protokollierung von Eingaben, Tool-Aufrufen, Antworten und Entscheidungen
  • Regelmäßige Sicherheits- und Verhaltenstests mit realistischen Szenarien

Ein besonderes Risiko liegt in der Übertragung von Anweisungen aus unzuverlässigen Quellen. Dokumente, Webseiten oder Datensätze können Inhalte enthalten, die einen Agenten zu unerwünschten Aktionen auffordern. In der Sicherheitsforschung wird dieses Problem häufig im Zusammenhang mit Prompt Injection und indirekter Prompt Injection diskutiert. Ein MCP-Server kann solche Risiken nicht allein lösen. Er kann jedoch Berechtigungen begrenzen, Eingaben validieren und Aktionen an zusätzliche Prüfungen binden.

Für die Verantwortlichen in Unternehmen bedeutet dies, dass Sicherheitsmaßnahmen nicht erst nach der Einführung eines Agenten ergänzt werden sollten. Bereits bei der Auswahl der Werkzeuge muss festgelegt werden, welche Daten verarbeitet werden, welche Aktionen zulässig sind und an welcher Stelle ein Mensch eingreifen muss.

Identität und Berechtigungen als zentrale Kontrollpunkte

Je mehr MCP-Server ein Unternehmen einsetzt, desto schwieriger wird eine dezentrale Anmeldung bei jedem einzelnen Dienst. Eine zentrale Identitätsverwaltung kann diesen Prozess vereinfachen. Die aktuelle Weiterentwicklung von MCP sieht deshalb eine stärkere Einbindung von Identitätsprovidern vor.

Der Vorteil einer solchen Architektur liegt in der Bündelung von Authentifizierung und Richtlinien. Ein Unternehmen kann beispielsweise zentral definieren, welche Nutzergruppen auf bestimmte Agenten zugreifen dürfen. Gleichzeitig lässt sich festlegen, welche Agenten wiederum welche MCP-Server und Werkzeuge nutzen dürfen. Voraussetzung ist jedoch, dass die Identität nicht ausschließlich dem menschlichen Nutzer zugeordnet wird. Auch der konkrete Agent, die verwendete Anwendung und gegebenenfalls der Auftrag müssen nachvollziehbar sein.

In einer produktiven Umgebung sollte eine Berechtigung deshalb mehrere Ebenen berücksichtigen:

  • Wer hat die Aufgabe gestartet?
  • Welche Anwendung oder welcher Agent führt sie aus?
  • Auf welche Daten und Werkzeuge darf dieser Agent zugreifen?
  • Welche Aktion soll tatsächlich durchgeführt werden?
  • Ist eine zusätzliche Bestätigung erforderlich?
  • Wie lange gilt die Berechtigung und wie kann sie widerrufen werden?

Diese Unterscheidung ist wichtig, weil ein Agent im Auftrag eines Nutzers handeln kann, aber nicht automatisch sämtliche Rechte dieses Nutzers erhalten sollte. Ein Vertriebsmitarbeiter kann beispielsweise Zugriff auf Kundendaten besitzen, während ein automatisierter Agent dennoch nur bestimmte Felder lesen und keine Datensätze löschen darf.

Governance entwickelt sich zu einer eigenen Produktschicht

Die wachsende Zahl von Anbietern im Umfeld der Konferenz zeigt, dass sich neben Protokollen und Laufzeiten eine eigene Governance-Schicht herausbildet. Unternehmen benötigen Übersichten über eingesetzte Agenten, Modelle und Werkzeuge. Sie müssen Versionen verwalten, Zuständigkeiten dokumentieren und prüfen, ob Systeme vorgegebenen Regeln entsprechen.

Auf der Veranstaltung wurden unter anderem Lösungen für Agentenverwaltung, Kontrolloberflächen, Registries, Gateways und Kubernetes-basierte Laufzeitumgebungen vorgestellt. Anbieter wie WSO2, Grape Up, Traefik Labs und Solo.io positionieren sich mit unterschiedlichen Komponenten in diesem entstehenden Markt. Die Angebote unterscheiden sich hinsichtlich Zielgruppe, Integrationsumfang und Betriebsmodell. Gemeinsam ist ihnen der Versuch, agentische Systeme ähnlich kontrollierbar zu machen wie andere geschäftskritische Software.

Eine Registry kann beispielsweise Informationen darüber enthalten, welche Agenten im Unternehmen existieren, wer sie verantwortet, welches Modell sie verwenden und welche Werkzeuge sie aufrufen dürfen. Ein Gateway kann Zugriffe bündeln, Richtlinien durchsetzen und Datenströme überwachen. Eine Kontrolloberfläche kann Freigaben, Protokolle und Betriebszustände sichtbar machen.

Der Nutzen solcher Komponenten hängt jedoch von ihrer Einbindung in bestehende Prozesse ab. Eine zusätzliche Oberfläche allein schafft noch keine Governance. Entscheidend ist, ob sie mit Identitätsmanagement, SIEM-Systemen, Ticketing, Datenschutzprozessen und den internen Freigabestrukturen verbunden werden kann.

Open Source und die Frage nach neutralen Standards

Die organisatorische Einbettung von MCP in die Agentic AI Foundation unter dem Dach der Linux Foundation soll eine herstellerübergreifende Weiterentwicklung ermöglichen. Anthropic, OpenAI, Google und weitere Unternehmen sind an diesem Umfeld beteiligt. Die Beteiligung mehrerer großer Akteure kann die Verbreitung eines Standards fördern, führt aber auch zu unterschiedlichen Interessen bei dessen Ausgestaltung.

Für Anwenderunternehmen ist die Governance eines offenen Protokolls von erheblicher Bedeutung. Ein Standard ist dann besonders wertvoll, wenn seine Weiterentwicklung transparent erfolgt, Implementierungen verschiedener Anbieter miteinander funktionieren und Änderungen langfristig planbar bleiben. Offenheit bezieht sich dabei nicht nur auf den Quellcode. Ebenso wichtig sind öffentlich zugängliche Spezifikationen, nachvollziehbare Entscheidungsprozesse und klare Regeln für Kompatibilität.

Open-Source-Komponenten können die Abhängigkeit von einzelnen Anbietern verringern und Anpassungen ermöglichen. Gleichzeitig müssen Unternehmen selbst bewerten, wie zuverlässig ein Projekt gepflegt wird, wie schnell Sicherheitslücken behoben werden und welche Verantwortlichkeiten bei einem Ausfall bestehen. Eine offene Lizenz ersetzt keine Betriebs- und Sicherheitsstrategie.

Für B2B-Entscheider empfiehlt sich daher eine differenzierte Betrachtung:

  • Ist das Projekt aktiv gepflegt und verfügt es über nachvollziehbare Maintainer-Strukturen?
  • Wie werden Sicherheitslücken gemeldet und behoben?
  • Welche Versionen und Schnittstellen werden langfristig unterstützt?
  • Existieren mehrere unabhängige Implementierungen?
  • Wie lässt sich die Komponente in die eigene Infrastruktur integrieren?
  • Welche kommerziellen Support- und Haftungsmodelle stehen zur Verfügung?

Was sich für die Unternehmensarchitektur ändert

Agentische KI verändert die klassische Vorstellung einer Anwendung. Bei herkömmlicher Software ist der Ablauf in vielen Fällen relativ genau definiert. Ein Agent arbeitet dagegen mit einem Ziel, einer Reihe zugelassener Werkzeuge und einem Modell, das die nächsten Schritte auswählt. Dadurch verlagert sich ein Teil der Prozesslogik von fest programmierten Abläufen in eine dynamische Entscheidungsumgebung.

Diese Architektur kann mehr Flexibilität bieten, erhöht aber die Anforderungen an Tests und Überwachung. Unternehmen müssen nicht nur prüfen, ob ein System für einen einzelnen Fall funktioniert. Sie müssen auch untersuchen, wie es sich bei missverständlichen Eingaben, fehlenden Daten, widersprüchlichen Informationen oder nicht verfügbaren Diensten verhält.

Eine belastbare Agentenarchitektur sollte daher mindestens aus folgenden Ebenen bestehen:

  • Modellschicht: Auswahl, Versionierung und Überwachung der verwendeten Sprach- oder Fachmodelle
  • Orchestrierung: Planung und Steuerung mehrstufiger Aufgaben
  • Werkzeugintegration: standardisierte Anbindung von Datenquellen und Geschäftsanwendungen
  • Identität und Zugriff: Authentifizierung, Autorisierung und Richtlinienverwaltung
  • Governance: Inventarisierung, Freigaben, Verantwortlichkeiten und Auditierbarkeit
  • Observability: Metriken, Logs, Traces und Auswertung von Agentenläufen
  • Kontrollmechanismen: Limits, Eskalationen, menschliche Freigaben und Notabschaltungen

Die einzelnen Ebenen können von verschiedenen Anbietern stammen. Das erhöht die Auswahlmöglichkeiten, stellt aber zusätzliche Anforderungen an Interoperabilität. Ein Unternehmen sollte daher nicht nur die Leistungsfähigkeit einer Einzelkomponente bewerten, sondern den gesamten Lebenszyklus einer Agentenlösung.

Evaluierung wird zum Dauerprozess

Die Qualität eines Agenten lässt sich nicht allein anhand einzelner Antworten messen. In einem mehrstufigen Prozess muss auch bewertet werden, ob der Agent die richtigen Werkzeuge auswählt, Berechtigungsgrenzen einhält, Fehler korrekt behandelt und Aufgaben mit vertretbarem Ressourcenverbrauch abschließt.

Für die Evaluierung sind deshalb unterschiedliche Testebenen erforderlich. Funktionale Tests prüfen, ob definierte Aufgaben korrekt ausgeführt werden. Sicherheitstests untersuchen, ob ein Agent unzulässige Zugriffe akzeptiert oder sich durch manipulierte Inhalte beeinflussen lässt. Belastungstests analysieren Verhalten unter hoher Parallelität. Zudem sollten Unternehmen reale oder realitätsnahe Prozessdaten verwenden, da abstrakte Tests die Komplexität des späteren Betriebs nur unvollständig abbilden.

Wichtige Messgrößen können sein:

  • Erfolgsquote vollständig abgeschlossener Aufgaben
  • Anzahl und Art der Tool-Aufrufe pro Vorgang
  • Häufigkeit manueller Eingriffe
  • Fehler- und Abbruchraten
  • Antwortzeiten und Ressourcenverbrauch
  • Anteil unzulässiger oder blockierter Aktionen
  • Qualität und Vollständigkeit der Protokollierung

Da Modelle und Werkzeuge regelmäßig aktualisiert werden, ist Evaluierung kein einmaliger Schritt vor dem Produktivstart. Jede Änderung an einem Modell, Prompt, MCP-Server, Berechtigungsprofil oder Geschäftsprozess kann das Verhalten des Gesamtsystems beeinflussen. Kontinuierliche Tests und kontrollierte Rollouts werden daher zu Bestandteilen des regulären Betriebs.

Die wirtschaftliche Perspektive: Produktivität gegen Komplexität

Agentische Systeme versprechen, wiederkehrende Aufgaben zu automatisieren und Mitarbeiter bei Recherche, Analyse, Kommunikation und Prozesssteuerung zu unterstützen. Ein wirtschaftlicher Nutzen entsteht jedoch nicht automatisch durch die Einführung eines Agenten. Entscheidend ist, ob der zusätzliche Automatisierungsgrad die Kosten für Integration, Überwachung, Sicherheit und Fehlerkorrektur übersteigt.

Die Gesamtkosten umfassen neben Modellaufrufen auch Infrastruktur, Datenaufbereitung, Entwicklung, Betrieb und Compliance. Bei langen Agentenketten können viele einzelne Tool- und Modellaufrufe anfallen. Ein System, das in einer Demonstration effizient wirkt, kann im täglichen Betrieb deutlich höhere Kosten verursachen, wenn es Aufgaben mehrfach plant, unnötige Quellen abfragt oder bei Fehlern wiederholt startet.

Unternehmen sollten daher vor einem Rollout folgende Punkte quantifizieren:

  • Wie viele Vorgänge werden tatsächlich automatisiert?
  • Wie hoch ist der durchschnittliche Aufwand pro Vorgang?
  • Welche Fehlerkosten entstehen bei falschen Aktionen?
  • Wie viele Fälle benötigen weiterhin menschliche Prüfung?
  • Welche Einsparungen entstehen durch kürzere Bearbeitungszeiten?
  • Wie verändern sich Datenschutz-, Sicherheits- und Dokumentationskosten?

Besonders geeignet für frühe produktive Anwendungen sind Prozesse mit klaren Grenzen, verfügbaren Daten und überprüfbaren Ergebnissen. Beispiele können interne Wissenssuche, strukturierte Dokumentenverarbeitung, technische Diagnose oder die Vorbereitung standardisierter Vorgänge sein. Je unmittelbarer ein Agent in finanzielle, rechtliche oder sicherheitskritische Entscheidungen eingreift, desto höher sind die Anforderungen an Freigaben und Nachweise.

Relevanz für den deutschen Mittelstand

Für mittelständische Unternehmen stellt sich die Frage, ob sie eigene Agenteninfrastrukturen aufbauen oder verwaltete Dienste nutzen. Eine vollständig selbst betriebene Umgebung kann Kontrolle über Daten, Schnittstellen und Sicherheitsrichtlinien bieten. Sie erfordert jedoch qualifiziertes Personal und langfristige Wartung. Verwaltete Plattformen reduzieren den technischen Betriebsaufwand, können aber neue Abhängigkeiten bei Datenverarbeitung, Verfügbarkeit und Preisgestaltung schaffen.

MCP kann in diesem Zusammenhang eine verbindende Funktion übernehmen. Unternehmen müssen nicht zwangsläufig sämtliche Anwendungen für einen einzelnen Anbieter neu integrieren, wenn Clients und Server auf einen gemeinsamen Standard setzen. Voraussetzung ist, dass die jeweiligen Implementierungen funktional kompatibel sind und die Sicherheitsanforderungen des Unternehmens erfüllen.

Für eine erste Bewertung sollten Verantwortliche eine Bestandsaufnahme durchführen:

  • Welche Geschäftsprozesse eignen sich für assistierende oder autonome Arbeitsschritte?
  • Welche internen Systeme enthalten die dafür benötigten Daten?
  • Welche Schnittstellen existieren bereits?
  • Welche Daten dürfen ein Modell oder ein externer Dienst verarbeiten?
  • Welche Aktionen müssen zwingend von Menschen freigegeben werden?
  • Wie werden Verantwortlichkeiten bei Fehlern und Ausfällen geregelt?

Ein schrittweises Vorgehen reduziert Risiken. Zunächst kann ein Agent ausschließlich lesend auf ausgewählte Daten zugreifen. In einer weiteren Phase werden begrenzte Schreibaktionen ergänzt. Erst wenn Monitoring, Berechtigungen und Notfallprozesse ausreichend erprobt sind, sollte eine Ausweitung auf komplexere Abläufe erfolgen.

Datenschutz und Regulierung bleiben eigenständige Prüfbereiche

Die technische Kompatibilität eines MCP-Servers sagt nichts darüber aus, ob sein Einsatz datenschutzrechtlich zulässig ist. Unternehmen müssen weiterhin prüfen, welche personenbezogenen oder vertraulichen Informationen verarbeitet werden, wohin Daten übertragen werden und welche Aufbewahrungs- und Löschregeln gelten.

Auch die europäische Regulierung künstlicher Intelligenz kann je nach Einsatzgebiet zusätzliche Anforderungen auslösen. Entscheidend sind unter anderem Zweck, Risikoklasse, Nutzerkreis und Grad der Automatisierung. Ein Agent, der interne Dokumente durchsucht, ist anders zu bewerten als ein System, das Personalentscheidungen vorbereitet oder sicherheitskritische Prozesse steuert.

Für die Dokumentation sollten Unternehmen mindestens festhalten:

  • Welcher Zweck mit dem Agenten verfolgt wird
  • Welche Modelle und Datenquellen eingesetzt werden
  • Welche Werkzeuge der Agent nutzen darf
  • Welche technischen und organisatorischen Schutzmaßnahmen bestehen
  • Welche menschlichen Kontrollpunkte vorgesehen sind
  • Wie Vorfälle, Beschwerden und Fehlentscheidungen bearbeitet werden

Die Trennung zwischen technischer Plattform und fachlicher Verantwortung darf dabei nicht verwischen. Ein zentral betriebenes Agenten-Gateway kann Zugriffe kontrollieren, ersetzt aber nicht die Entscheidung der Fachabteilung, ob ein konkreter Prozess automatisiert werden darf.

Eine neue Rolle für IT-Abteilungen und Fachbereiche

Mit der Verbreitung agentischer Systeme verändert sich die Zusammenarbeit zwischen IT, Fachbereichen, Informationssicherheit und Datenschutz. Fachabteilungen kennen die Prozesse und fachlichen Ausnahmen. IT-Teams verantworten Integration, Verfügbarkeit und Betrieb. Sicherheits- und Datenschutzverantwortliche bewerten Risiken, Berechtigungen und Nachweispflichten.

Agentische KI lässt sich deshalb nicht dauerhaft als isoliertes Experiment einzelner Teams betreiben. Sobald ein System auf interne Daten zugreift oder Aktionen in Geschäftsanwendungen ausführt, benötigt es klare Zuständigkeiten. Dazu gehören ein technischer Betreiber, ein fachlicher Eigentümer und eine Stelle, die Freigaben und Risikobewertungen koordiniert.

Auch die Rolle von Entwicklern verändert sich. Sie erstellen nicht nur Prompts oder Modellaufrufe, sondern entwerfen Kontrollgrenzen, testen Agentenverhalten und definieren Wiederherstellungsmechanismen. Für den Betrieb werden Fähigkeiten in den Bereichen API-Management, Cloud-Infrastruktur, Identitätsmanagement, Observability und Anwendungssicherheit wichtiger.

Was die Konferenz über den Reifegrad aussagt

Die Existenz einer spezialisierten Konferenz ist selbst ein Hinweis auf die zunehmende Differenzierung des Themenfelds. AGNTCon + MCPCon verbindet verschiedene Teilbereiche, die zuvor häufig getrennt betrachtet wurden: Agentenarchitekturen, MCP, Multi-Agenten-Systeme, Entwicklungswerkzeuge, Sicherheitskonzepte und Laufzeitinfrastruktur.

Der Schwerpunkt des Programms lag nach Angaben der Veranstalter auf technischen Sessions, Workshops, Praxisbeispielen und Fragen des produktiven Betriebs. Das unterscheidet die Veranstaltung von frühen KI-Konferenzen, bei denen häufig Modellankündigungen und allgemeine Zukunftsszenarien dominierten. Im Vordergrund stehen nun Implementierungsmuster und Betriebsentscheidungen.

Gleichzeitig darf die Konferenz nicht als Beleg dafür verstanden werden, dass agentische KI bereits einheitlich standardisiert oder risikolos ist. Das Ökosystem befindet sich weiterhin in einer dynamischen Phase. Protokolle ändern sich, Anbieter entwickeln neue Kontrollschichten und Unternehmen sammeln Erfahrungen mit produktiven Anwendungen. Die technische Reife einzelner Komponenten kann daher sehr unterschiedlich ausfallen.

Die wichtigsten Konsequenzen für Entscheider

Für Unternehmen zeichnet sich ein grundlegender Perspektivwechsel ab. Die Einführung eines Agenten ist kein reines Softwareprojekt und keine bloße Erweiterung eines Chatbots. Sie ist eine Kombination aus Prozessdesign, Systemintegration, Sicherheitsarchitektur und laufendem Risikomanagement.

Vor einer Entscheidung sollten Sie insbesondere prüfen:

  • Standardstrategie: Unterstützen die vorgesehenen Systeme offene und langfristig tragfähige Schnittstellen?
  • Migrationsfähigkeit: Wie aufwendig wäre ein Wechsel von Modell, Client, Server oder Anbieter?
  • Betriebsmodell: Wer überwacht Agenten, Tool-Aufrufe und Infrastruktur im laufenden Betrieb?
  • Berechtigungen: Sind Zugriffe auf Daten und Aktionen ausreichend granular steuerbar?
  • Nachvollziehbarkeit: Können Entscheidungen und ausgeführte Aktionen später rekonstruiert werden?
  • Resilienz: Wie reagiert das System bei Ausfällen, widersprüchlichen Daten oder fehlerhaften Modellen?
  • Lebenszyklus: Wie werden Versionen, Änderungen und Abkündigungen verwaltet?

Der Einsatz von MCP kann die Integrationsarbeit vereinfachen, beseitigt aber nicht die Notwendigkeit einer übergeordneten Architektur. Ein standardisierter Werkzeugaufruf bleibt eine potenziell sensible Aktion. Erst die Kombination aus Standard, Identitätsmanagement, Richtlinien, Monitoring und menschlicher Kontrolle schafft die Voraussetzungen für einen verantwortbaren Einsatz.

Ausblick: Von einzelnen Agenten zu agentischen Plattformen

Die nächste Entwicklungsstufe dürfte weniger durch einzelne autonome Agenten als durch Plattformen geprägt sein, die viele Agenten, Modelle und Werkzeuge verwalten. Unternehmen werden zunehmend darauf angewiesen sein, Agenten zu registrieren, Versionen zu kontrollieren, Berechtigungen zentral zu steuern und ihre Leistung über längere Zeiträume zu bewerten.

In solchen Umgebungen wird Interoperabilität zu einem strategischen Faktor. Unternehmen möchten Modelle austauschen, Anwendungen kombinieren und verschiedene Anbieter einsetzen können, ohne sämtliche Integrationen neu zu entwickeln. Protokolle wie MCP können dafür eine technische Grundlage schaffen. Ihre tatsächliche Wirkung hängt jedoch davon ab, wie konsequent sie implementiert, weiterentwickelt und in Sicherheitsarchitekturen eingebettet werden.

Die Ereignisse rund um AGNTCon + MCPCon Europe zeigen, dass agentische KI in eine Phase eintritt, in der die Infrastruktur wichtiger wird als die reine Demonstration von Modellfähigkeiten. Der Wettbewerb verlagert sich von der Frage, welcher Agent am überzeugendsten kommuniziert, zu der Frage, welcher Agent in einem realen Unternehmensumfeld zuverlässig, sicher, skalierbar und überprüfbar arbeitet.

Für Sie als Entscheider bedeutet das: Der richtige Zeitpunkt für eine strukturierte Bewertung agentischer Systeme ist nicht erst dann erreicht, wenn autonome Prozesse unmittelbar bevorstehen. Unternehmen, die frühzeitig ihre Datenzugänge, Identitätsmodelle, Governance-Prozesse und Testverfahren klären, schaffen bessere Voraussetzungen für kontrollierte Pilotprojekte und spätere Skalierung. Der erwachsenere Umgang mit agentischer KI beginnt damit nicht bei maximaler Autonomie, sondern bei klaren Grenzen, belastbaren Standards und transparenter Verantwortung.

Bibliografie

  1. Linux Foundation: AGNTCon + MCPCon Europe, Veranstaltungsseite, 17.–18. September 2026, RAI Amsterdam. https://events.linuxfoundation.org/agntcon-mcpcon-europe/
  2. Linux Foundation: About AGNTCon + MCPCon Europe. https://events.linuxfoundation.org/agntcon-mcpcon-europe/attend/about/
  3. Linux Foundation: Schedule at a Glance, AGNTCon + MCPCon Europe. https://events.linuxfoundation.org/agntcon-mcpcon-europe/program/schedule-at-a-glance/
  4. AGNTCon + MCPCon Europe 2026: Full Schedule. https://agntconmcpconeu26.sched.com/2026-09-18/list/descriptions/
  5. Model Context Protocol: Spezifikation 2026-07-28. https://blog.modelcontextprotocol.io/posts/2026-07-28/
  6. Jan Mahn: AGNTCon + MCPCon: Agentische KI wird erwachsen. heise online, 17. September 2026. https://www.heise.de/news/AGNTCon-MCPCon-Agentische-KI-wird-erwachsen-11456375.html
  7. finanzen.at: AGNTCon + MCPCon: Agentische KI wird erwachsen, 17. September 2026. https://www.finanzen.at/nachrichten/aktien/agntcon-+-mcpcon--agentische-ki-wird-erwachsen-15939268
  8. WSO2: Agent Manager und Agent Platform. https://wso2.com/agent-platform/agent-manager/
  9. Grape Up: Aiboostr – AI-Governance-Plattform. https://grapeup.com/aiboostr
  10. Traefik Labs: Plattform- und Gateway-Lösungen für KI-Anwendungen. https://traefik.io/
  11. Solo.io: Lösungen für Agenten, Gateways und Kubernetes. https://solo.io/

//Nächster Artikel

KI-Agenten

Fehlertolerante KI-Agenten im Praxiseinsatz: Wie das Framework Agent-Reflex proaktive Selbstkorrektur trainiert

Wie das Trainings-Framework Agent-Reflex Sprachagenten auf Basis von Qwen3-8B widerstandsfähig gegen MCP-Tool-Fehler und Nutzerkorrekturen macht.

// Artikel teilen

Bei Google bevorzugen

Mehr zu KI-Agenten

Alle KI-Agenten-News

// Dranbleiben

Mindverse News folgen

Neue Meldungen erhalten Sie über unseren RSS-Feed oder auf LinkedIn.

RSS-Feed LinkedIn folgen Bei Google bevorzugen

Passend dazu in Mindverse Studio

Recherchieren Sie KI-News wie diese selbst — mit Mindverse Studio.

7 Tage kostenlos testen — ohne Kreditkarte, mit 200 Credits. Für Fragen zur Umsetzung buchen Sie eine persönliche Demo.

7 Tage kostenlos testen Demo buchen

//Chronik

Aus dem Archiv · rund um den 18. September 2026

Alle Meldungen vom September 2026