Ein Agent liest vertrauliche Daten. Ein anderer schreibt in den Teamchat. Werden beide verbunden, können Informationen bei den falschen Empfängern landen. Prüfen Sie deshalb den gesamten Datenweg – vom Lesezugriff bis zur Weitergabe.
Ein KI-Agent liest vertrauliche Informationen. Ein anderer kann Nachrichten in den Unternehmenschat schreiben. Werden beide verbunden, können Daten bei Empfängern landen, für die sie nicht bestimmt sind. Deshalb zählt neben der Berechtigung jedes einzelnen Agenten auch der gesamte Weg einer Information.
Zwei Berichte vom 8. Oktober 2026 machen unterschiedliche Risiken sichtbar: eine unbeabsichtigte Weitergabe persönlicher Finanzdaten und eine inzwischen geschlossene Sicherheitslücke in Amazons Bedrock AgentCore.
Finanzbericht landet im Unternehmenschat
Laut Bericht von t3n KI vom 08.10.2026 wurde ein persönlicher Finanzbericht des CEOs von XMTP Labs mit Kontostand und Ausgaben unbeabsichtigt in einem öffentlichen Slack-Kanal des Unternehmens gepostet. Dem Bericht zufolge tauschten zwei verbundene Agenten Daten aus: Einer hatte Zugriff auf das Bankkonto, der andere auf Slack.
Damit wurden zwei Zugriffe zusammengeführt, die unterschiedliche Aufgaben hatten. Der berichtete Vorfall zeigt, warum es nicht ausreicht, nur zu fragen: „Darf dieser Agent diese Daten lesen?“ Ebenso relevant ist: „An wen können diese Daten über verbundene Agenten weitergegeben werden?“
Ein öffentlicher Unternehmenskanal ist dabei nicht automatisch eine frei zugängliche Internetseite. Dennoch können Informationen dort einen größeren Personenkreis erreichen als vorgesehen. Der Vorfall wurde für diesen Morgenbrief nicht unabhängig geprüft.
AgentCore: Die gemeldete Sicherheitslücke ist geschlossen
Laut Bericht von The Decoder vom 08.10.2026 entdeckten Forscher von Zenity Labs eine Sicherheitslücke in Amazons Bedrock AgentCore. Über einen erreichbaren Agenten konnten dem Bericht zufolge weitere Agenten im selben AWS-Konto und derselben Region übernommen werden. Die Schwachstelle ermöglichte Zugriff auf interne AWS-Schnittstellen für temporäre Cloud-Zugangsdaten.
Amazon hat die Lücke laut Bericht geschlossen und anschließend die Standardrechte der Agenten eingeschränkt. Die Meldung beschreibt somit keine weiterhin offene Schwachstelle. Die technischen Angaben und die Behebung wurden für diesen Morgenbrief nicht unabhängig geprüft.
Für bestehende Installationen bleibt eine konkrete Prüffrage: Welche Rechte sind tatsächlich eingerichtet? Aus geänderten Standardrechten lässt sich nicht ableiten, dass jede ältere Konfiguration automatisch entsprechend angepasst wurde.
Was das für Ihren Betrieb heißt
Wenn Sie KI-Agenten mit mehreren Anwendungen verbinden, sollte nachvollziehbar sein, welche Informationen sie lesen und wohin sie diese weitergeben können. Dazu gehören auch Übergaben zwischen Agenten.
Ein naheliegendes Beispiel aus dem Betriebsalltag: Ein Büro-Agent liest interne Auftragsnotizen. Ein verbundener Agent schreibt Statusmeldungen in einen gemeinsamen Teamkanal. Dann muss festgelegt sein, welche Inhalte aus den Notizen in diesen Kanal gelangen dürfen und wer die Nachrichten lesen kann. Das ist ein Prüfbeispiel, kein weiterer berichteter Vorfall.
Für eine erste Bestandsaufnahme helfen vier Fragen:
- Lesezugriff: Welche vertraulichen Informationen kann jeder Agent abrufen?
- Datenübergabe: Welche Inhalte kann er an andere Agenten oder Anwendungen übermitteln?
- Empfänger: Welche Personen und Kanäle sind über diese Verbindungen erreichbar?
- Menschliche Prüfung: Bei welchen sensiblen Inhalten muss eine zuständige Person die Weitergabe vorher bestätigen?
Halten Sie dabei konkrete Anwendungen und Empfänger fest. Eine Angabe wie „Zugriff auf den Chat“ bleibt zu ungenau, wenn einzelne Kanäle unterschiedliche Teilnehmer haben. Bei AgentCore gehört zusätzlich die Prüfung der aktuell eingerichteten Rechte dazu.
Die Frage nach klaren Zugriffsgrenzen wird auch im Beitrag KI-Agenten bei der Kundenübergabe: Zugriffsgrenzen beachten behandelt.
Grenzen: Zwei Berichte, unterschiedliche Ursachen
Die beiden Meldungen sollten getrennt eingeordnet werden. Beim Slack-Vorfall geht es um eine unbeabsichtigte Datenweitergabe durch das Zusammenspiel verbundener Agenten. Bei AgentCore geht es um eine technische Sicherheitslücke, die laut Bericht behoben wurde.
Der Slack-Vorfall ist ein berichteter Einzelfall. Er liefert keine allgemeine Fehlerquote und belegt nicht, dass alle KI-Agenten vertrauliche Daten weitergeben. Ebenso lässt sich aus dem AgentCore-Bericht keine Aussage über die Sicherheit Ihrer konkreten Installation ableiten.
Eine menschliche Prüfung vor der Weitergabe kann Teil der Zugriffsregeln sein. Sie ersetzt jedoch nicht die Prüfung von Berechtigungen und Datenwegen. Entscheidend bleibt, ob im jeweiligen Ablauf klar geregelt ist, welche Informationen welche Empfänger erreichen dürfen.
Welche Daten dürfen Ihre KI-Agenten lesen – und an wen dürfen sie diese weitergeben? Besprechen Sie diese Fragen im Entlastungscheck von BK-DIGITAL-PARTNER.
Checkliste · PDFCheckliste für Ihr Team
Ein KI-Werkzeug sicher im Betrieb testen
Ein KI-Werkzeug begrenzt und nachvollziehbar im eigenen Betrieb testen – Schritt für Schritt.
- ✓Zum Ausdrucken oder direkt am Bildschirm
- ✓Schritt für Schritt zum Abhaken
- ✓Abmeldung jederzeit möglich
Fast geschafft: Bitte bestätigen Sie Ihre Anmeldung über den Link in der E-Mail, die wir Ihnen gerade geschickt haben. Danach kommt die Checkliste.
Mit der Anmeldung erhalten Sie die Checkliste und dazu passende E-Mails von BK-DIGITAL-PARTNER. Abmeldung jederzeit über den Link in jeder E-Mail. Details in der Datenschutzerklärung.
Was bedeutet das für Ihren Betrieb?
Neue Technik ist nur dann nützlich, wenn sie einen echten Engpass löst. Im Entlastungscheck klären wir mit Ihnen, wo bei Ihnen tatsächlich Zeit verloren geht.
Mit KI-Unterstützung erstellt und von Malte Koeppen geprüft.