Vertrauen ist der neue Perimeter.

Bei 62 % aller Datenpannen spielt der Faktor Mensch eine Rolle, in Europa, dem Nahen Osten und Afrika bei 70 %.¹ Generative KI hat den Köder billiger gemacht. 2019 überwies der Chef eines britischen Energieunternehmens 220.000 € nach einem Anruf, der klang wie sein Vorgesetzter bei der deutschen Muttergesellschaft; die Stimme war synthetisch.² 2024 überwies ein Mitarbeiter von Arup 200 Millionen HK$ nach einem Videocall mit gefälschten Führungskräften.³ Für 2025 zählte das FBI Verluste von 893 Millionen US-Dollar durch KI-gestützten Betrug.⁴

Das Gegenbeispiel zählt genauso. Ein Ferrari-Manager erhielt Anrufe von einer geklonten Stimme seines CEO, fragte nach einem Buch, das der CEO ihm Tage zuvor empfohlen hatte, und der Anrufer legte auf.⁵ Eine geschulte Person mit einer Gewohnheit zur Prüfung. Das wirkt noch immer.

KI-Agenten lesen heute E-Mails, öffnen Dokumente, rufen Tools auf und verfügen über Tokens. Das Model Context Protocol, das sie mit Unternehmenssystemen verbindet, erschien im November 2024,⁶ und ein Jahr später waren mehr als 10.000 öffentliche MCP-Server aktiv.⁷

Agenten erben die Angriffsfläche des Menschen und fügen ihre eigene hinzu. Prompt Injection führt die OWASP-Liste der Risiken für LLM-Anwendungen an.⁸ Das NIST zeigte, wie Übernahmeangriffe die Erfolgsquote gegen einen Frontier-Agenten von 11 % auf 81 % steigerten.⁹ Im Juni 2025 konnte eine präparierte E-Mail Microsoft 365 Copilot ohne einen einzigen Klick dazu bringen, interne Daten preiszugeben.¹⁰ Ein Agent mit Token ist ein Kollege mit Schlüsseln.

Nach NIS2 billigen und überwachen die Leitungsorgane die Maßnahmen zum Cybersicherheitsrisiko, können dafür haftbar gemacht werden und müssen an Schulungen teilnehmen.¹¹ Das deutsche Umsetzungsgesetz trat am 6. Dezember 2025 in Kraft, ohne Übergangsfrist.¹² Die KI-Verordnung verlangt von Unternehmen, die KI-Kompetenz ihrer Beschäftigten sicherzustellen, seit August 2026 überwacht von nationalen Behörden.¹³ Für einen Maschinenbauer in Augsburg sind Phishing-Training, KI-Nutzung und die Aufsicht über Agenten jetzt Nachweise, die der Vorstand vorlegen können muss.

Menschen und Agenten erhalten beide Nachrichten, verfügen über Zugangsdaten und lassen sich zum Falschen überreden. Ein Tool für E-Mail, ein anderes für Awareness, ein drittes für KI-Nutzung und ein viertes für Agenten lässt genau die Lücken, durch die Angreifer gehen.

Deshalb sieht Haldir, wer und was handelt, prüft das Verlangte über einen Kanal, den der Angreifer nicht kontrolliert, und steuert, was danach passiert: Der Köder wird entfernt, die Kundenliste maskiert, die Zahlung wartet auf die verantwortliche Person. Wir beginnen mit den Menschen und bringen Agenten unter dieselbe Richtlinie und denselben Audit-Trail, gehostet in Frankfurt und standardmäßig pseudonym. Jede Entscheidung zeigt ihre Belege und wer sie verantwortet.