Agents außer Betrieb nehmen
Fast jede Organisation hat einen Weg gebaut, auf dem ein Agent in Betrieb geht. Kaum eine hat einen Weg, auf dem er wieder herauskommt. Warum das vergessene Ende des Lifecycles teurer ist als sein Anfang.
Ich stelle in Workshops gern eine Frage, die harmlos klingt: Welchen Agent haben Sie zuletzt abgeschaltet? Die Antwort besteht meistens zuerst aus einer Pause. Dann kommt, je nach Temperament, „gute Frage" oder „da müsste ich nachsehen". Auf die Gegenfrage, wie viele im letzten Halbjahr dazugekommen sind, haben dagegen fast alle eine Zahl, und sie wird mit einem gewissen Stolz vorgetragen.
Im letzten Beitrag ging es um Gremien, die nie entscheiden. Das Abschalten ist die Entscheidung, die in diesen Gremien nicht einmal auf der Tagesordnung steht. Jede Organisation, die AI ernst nimmt, hat inzwischen einen Weg nach innen gebaut: Antrag, Risikoeinordnung, Freigabe, Betrieb. Der Weg nach draußen fehlt. Meine These: Dieses fehlende Ende ist nicht der unwichtigste Teil des Lifecycles, sondern der teuerste. Nur schickt es keine Rechnung.
Die einzige Frage, deren Fehlen niemandem auffällt
Im Beitrag über Agent Governance habe ich sechs Fragen formuliert, die vor dem Produktivbetrieb beantwortet sein müssen. Die sechste lautet: Wann endet er? Sie ist in der Praxis die einzige der sechs, deren Fehlen keine Reibung erzeugt. Für Ownership, Grenzen und Prüfrhythmus gibt es irgendwann ein Formular, weil jemand danach fragt. Nach dem Ende fragt niemand.
Der Grund ist banal und deshalb hartnäckig: Ein Agent, der niemandem mehr nützt, meldet sich nicht. Er beschwert sich nicht über fehlende Aufgaben, er wird nicht unzufrieden, er taucht in keiner Kapazitätsplanung als Leerlauf auf. Mitarbeitende ohne Arbeit werden sichtbar, und zwar schnell. Ein Agent ohne Nutzen läuft einfach weiter, ordentlich, protokolliert, mit gültigen Berechtigungen. Genau deshalb funktioniert das Bild von der digitalen Belegschaft an dieser Stelle so gut: Diese Belegschaft wächst, aber es scheidet niemand aus ihr aus.
Wie weit das trägt, zeigt ein Papier der Cloud Security Alliance vom Mai 2026, „The Non-Human Identity Governance Vacuum". Es trägt Erhebungen zu maschinellen Identitäten zusammen, und zwei der dort zitierten Zahlen sind eigentlich kein Sicherheitsthema, sondern ein Managementthema: 51 Prozent der Organisationen berichten, dass es für AI-Identitäten keine klare Verantwortlichkeit gibt, und 78 Prozent haben keine dokumentierte Regel dafür, wie solche Identitäten entstehen und wie sie wieder verschwinden. Beide Zahlen stammen aus fremden Quellen, die das Papier referenziert, und ich würde sie nicht auf die Nachkommastelle verteidigen. Die Größenordnung deckt sich mit dem, was ich in Projekten sehe: Der Zugang ist geregelt, der Abgang ist Auslegungssache.
Warum rational niemand abschaltet
Man kann das als Nachlässigkeit lesen. Ich halte es für eine vollkommen rationale Reaktion auf eine schiefe Anreizlage.
Wer abschaltet, kann etwas kaputt machen. Vielleicht hängt an dem Agent ein Prozess, von dem beim Abschalten niemand etwas weiß. Vielleicht meldet sich am Montagmorgen die Bereichsleitung. Wer dagegen laufen lässt, hat nie etwas falsch gemacht. Der Satz „der läuft doch" ist kein Argument, gewinnt aber jede Diskussion, weil das Gegenargument Arbeit bedeutet: Jemand müsste nachweisen, dass der Agent nicht mehr gebraucht wird. Die Beweislast liegt bei denen, die aufräumen wollen. Das ist derselbe Mechanismus, der Piloten im Pilotstatus hält, nur am anderen Ende des Lebenszyklus: Nicht das Nein blockiert, sondern die Frage, wer für die Folgen geradesteht.
Dazu kommt ein zweiter Effekt, den ich unterschätzt finde. Agents überleben die Menschen, die sie gebaut haben. Die Person, die den Agent für die Angebotsprüfung entwickelt hat, wechselt in einen anderen Bereich. Ihre Nachfolge übernimmt Aufgaben, Budgets und Systeme, aber niemand übergibt einen Agent, den es in keiner Rolle gibt. Er bleibt zurück, mit den Rechten von damals und mit einer fachlichen Annahme, die zu einem Prozess passte, den es so vielleicht nicht mehr gibt. Ein Agent ohne Owner ist kein Restrisiko. Er ist eine unbeantwortete Frage, die täglich Entscheidungen trifft.
Die Rechnung, die niemand aufmacht
Wenn ich Führungskräfte frage, was ein vergessener Agent kostet, kommt zuerst die Lizenz. Das ist der kleinste Posten und der einzige, der sichtbar ist. Die drei relevanten stehen auf keiner Kostenstelle.
Der erste sind die Rechte. Ein Agent, der arbeitet, sammelt über die Zeit Zugänge, weil jede neue Aufgabe einen weiteren braucht. Diese Rechte werden im Betrieb erweitert und praktisch nie zurückgenommen. Wird der Agent später doch einmal gestoppt, bleiben Zugänge und Schlüssel oft bestehen. Die Cloud Security Alliance nennt das treffend „persistent blast radius": Berechtigungen, die ihren Anlass überleben. Ein Agent, der noch läuft, und ein Agent, den niemand sauber beendet hat, sind aus dieser Sicht dasselbe Problem.
Der zweite ist die Auskunftsfähigkeit. Früher oder später fragt jemand, eine Aufsicht, eine Prüfinstanz, ein Großkunde: Welche automatisierten Entscheidungen laufen in diesem Prozess, und wer verantwortet sie? Diese Frage lässt sich nur über einen gepflegten Bestand beantworten. Wer nie etwas herausnimmt, beantwortet sie über eine Liste, die zur Hälfte aus Karteileichen besteht, und merkt in genau diesem Moment, dass die Antwort fehlt.
Der dritte Posten ist der unangenehmste, weil er die Governance selbst angreift. Prüfen kostet Aufmerksamkeit, und Aufmerksamkeit ist die knappste Ressource jeder Organisation. Jeder Agent, der ohne Nutzen im Bestand bleibt, verbraucht Prüfkapazität, die bei den wichtigen fehlt. Ein Portfolio, in dem die Hälfte tot ist, führt nicht zu doppelt so viel Prüfung. Es führt zu oberflächlicher Prüfung überall. Das ist der Punkt, an dem das fehlende Ende aufhört, ein Hygienethema zu sein.
Abschalten ist eine Entscheidung, kein Aufräumen
Der häufigste Fehlgriff besteht darin, daraus eine Betriebsaufgabe zu machen: ein Cleanup, ein Ticket, ein Projekt im vierten Quartal. Damit ist die Sache verloren, denn ein Aufräumteam hat kein Mandat, jemandem etwas wegzunehmen, das möglicherweise noch gebraucht wird. Die Außerbetriebnahme ist ein Nein, das nachträglich ausgesprochen wird, und Nein ist die teuerste Entscheidung in jeder Organisation. Sie braucht dieselbe Ausstattung wie jedes Ja: Kriterien, ein Mandat und eine benannte verantwortliche Person.
Drei Dinge tragen dabei am weitesten, und keines davon ist aufwendig.
Befristung als Standard. Jede Freigabe bekommt ein Ablaufdatum, in meiner Empfehlung zwölf Monate. Das ist keine Schikane, sondern eine Umkehr der Beweislast: Nicht das Abschalten braucht eine Begründung, sondern das Weiterlaufen. Eine Verlängerung ist billig, wenn jemand sie will, und sie ist ein wertvolles Signal, wenn sie niemand beantragt.
Der Ownerwechsel als Auslöser. Wenn jemand die Rolle wechselt oder das Unternehmen verlässt, werden die betreuten Agents zu einer offenen Position, die besetzt werden muss. Findet sich innerhalb einer Frist keine Nachfolge, geht der Agent aus. Das klingt hart und ist in der Praxis die wirksamste Einzelregel, weil sie genau dort greift, wo Ownership sonst still verdunstet.
Ein Standardpfad mit Widerspruchsfrist statt Konsens. Ankündigen, Frist setzen, abschalten. Wer widerspricht, bekommt nicht recht, sondern die Verantwortung: Ownership und die nächste Prüfung. Damit fällt diese Entscheidung nicht mehr in eine Konsensrunde, in der alle Anwesenden ein faktisches Veto haben. Dass die Rechte danach tatsächlich entzogen und die Protokolle aufbewahrt werden, ist Handwerk und in fünf Zeilen beschrieben. Es scheitert nie an der Technik.
Wer nicht abschalten kann, wird aufhören einzuschalten
Der eigentliche Grund für all das ist nicht Ordnungsliebe. Ein Ja fällt umso leichter, je billiger seine Korrektur ist. Wer keinen geordneten Weg nach draußen hat, trifft mit jeder Freigabe faktisch eine irreversible Entscheidung. Und irreversible Entscheidungen werden in Organisationen langsam getroffen, nach oben eskaliert oder eben gar nicht. Reversibilität ist deshalb kein Kontrollthema. Sie ist die Bedingung dafür, dass man sich Tempo leisten kann.
Zugespitzt: Eine Organisation, die nichts abschalten kann, wird irgendwann aufhören, etwas einzuschalten. Nicht per Beschluss, sondern weil jede einzelne Freigabe schwerer wiegt als die davor, bis die vorsichtige Antwort wieder die bequemste ist.
Wer das prüfen will, braucht kein Reifegradmodell. Es genügt, die nächste Agent-Freigabe mit einem Ablaufdatum zu versehen und abzuwarten, was in zwölf Monaten passiert. Meldet sich jemand und will verlängern, war der Agent wertvoll. Meldet sich niemand, hat die Organisation gerade zum ersten Mal etwas beendet, ohne dass es wehtat.