Refe­renz­ar­chi­tektur, Agenten & Sicher­heit: Eine KI-fähige Umgebung bauen

01 Das Schich­ten­mo­dell mit mehr­glei­siger Kontext-Anbindung

Die Refe­renz­ar­chi­tektur gliedert sich in fünf operative Schichten über den führenden Unter­neh­mens­sys­temen sowie eine durchgehende vertikale Betriebsschiene:

1. Schicht 1 · Bedienung & Auftrags-Eingang:
   Stellt je nach Aufgabe das passende Interface bereit: situative Aktions-Buttons mit KI-Empfehlung, freier Chat in gesteckten Leitplanken, automatischer Dokument-/E-Mail-Eingang oder Sprachdialog (Conversational AI).
2. Schicht 2 · Zentrales Rollen-/Rechtemodell & Orchestrierung:
   Prüft zuerst die Identität (Mensch, persönlicher Agent oder Bereichs-Dienst) und steuert den Ablauf: feste Schritte über eine Workflow-Engine (n8n oder Power Automate), mehrstufige Aufgaben über einen zeitlich und finanziell gedeckelten Agenten-Loop.
3. Schicht 3 · Multi-Backend Kontext-Layer & Datenintegration:
   Bindet Unter­neh­mens­kon­text über vier komplementäre Wege unter gemeinsamer Rechteprüfung an (ausführlich auf Leitseite 02: Wissen & Kontext):
   • Weg A (Kuratiert): Versionierte Markdown-Wissensbasis / Karpathy-Wiki mit Eigentümer-Tor für Geschäftsregeln, Ausnahmen und Einarbeitung.
   • Weg B (Dokumente): Berech­ti­gungs­ge­fil­terte Hybrid-Suche (RAG) und strukturierte Dokument-Zerlegung über Verträge, Handbücher und PDF-Bestände.
   • Weg C (Führende Systeme): Echtzeit-Datenadapter (SQL/API/MCP) auf ERP, CRM, Tickets und Warenwirtschaft, direkt aus der führenden Quelle.
   • Weg D (Vorgänge): Strukturiertes Erfahrungs- und Ausnahmewissen aus menschlichen Korrekturen im Betrieb.
4. Schicht 4 · AI-Gateway & Modell-Bezugswege:
   Routet jede Anfrage passend zu Aufgabe, Kosten und Datenschutzklasse an das richtige Modell (EU-Hosted Frontier-API mit Zero Data Retention oder lokal betriebene Sprach-, Klassifikations- und OCR-Modelle), maskiert sensible Felder vorab und überwacht Budgets.
5. Schicht 5 · Freigabe-Tor, Tool-/MCP-Gateway & abgekoppelte Sandbox:
   Kapselt alle nachgelagerten Werkzeuge (n8n, UiPath, E-Mail, ERP-Schreibzugriffe). Schreibende Aktionen mit Außenwirkung halten am Freigabe-Tor an und zeigen dem Menschen eine prüfbare Vorschau (Diff). Code-Ausführung und Computer Use laufen in einer isolierten Sandbox ohne direkte Provider-Schlüssel.
6. Durchgehende vertikale Schiene · Versionierung, Audit & Modellwechsel-Prüfstand:
   Hält Prompts, Regeln und Tool-Schemata in Git nachvollziehbar, protokolliert jeden Lauf mani­pu­la­ti­ons­si­cher und prüft neue Modellversionen vor der Freischaltung gegen feste Referenzfälle.

02 „Fit für KI“: Wann lokale Tools & schnelle PoCs sinnvoll sind, und ab wann eine Lösung auf die zentrale Basis gehört

Warum kleine lokale Werkzeuge eine wichtige Berechtigung haben (und wo sie zur Wartungsfalle kippen):
In fast jedem Unternehmen entstehen zuerst kleine, lokale Lösungen: ein schnell gebautes Vibe-Coding-Skript, ein lokales Aus­wer­tungs­werk­zeug oder ein erster Abteilungs-Prototyp. Dieser Freiraum ist ausdrücklich sinnvoll und erwünscht:

• Menschen „Fit für IT und KI“ machen: Mitarbeitende lernen am besten, indem sie ein echtes Problem aus ihrem Alltag selbst anpacken, Erfahrungen mit Modellen sammeln und innerhalb weniger Stunden einen greifbaren Proof of Concept (PoC) bauen.
• Schnelle Mach­bar­keits­prü­fung ohne Bürokratie: Ein lokaler PoC zeigt an einem Nachmittag, ob eine Idee fachlich überhaupt funktioniert, bevor man Zeit in eine große Plattform-Integration steckt.

Wo das Problem beginnt (Die Reife-Schwelle zum Tool-Zoo):
Kritisch wird es erst dann, wenn aus Dutzenden solcher kleinen Versuche und Insel-Abos schleichend ein unverbundener Dauerbetrieb wird:

• Kein durchgängiger Nutzen im Ablauf: Jedes Mini-Tool bearbeitet nur einen isolierten Bruchteil. Mitarbeitende kopieren Zwi­schen­er­geb­nisse händisch von Fenster zu Fenster.
• Zersplitterter, widersprüchlicher Kontext: Keines der Einzel-Tools ist an eine gepflegte Wissensschicht angebunden; überall liegen veraltete Prompt-Kopien.
• Hohe Wartungs- und Sicherheitslast in Summe: Zwanzig kleine Dauer-Tools bedeuten zwanzig getrennte Logins, zwanzig Datenabfluss-Risiken, zwanzig ungeprüfte Modell-Updates und verwaiste Skripte, sobald die Person, die das Tool gebaut hat, die Abteilung wechselt.

Das Zusam­men­spiel in der Refe­renz­ar­chi­tektur: Dezentral lernen & testen, zentral betreiben

Unsere Arbeitsthese für ein Unternehmen, das „Fit für KI“ wird, verbindet deshalb beide Seiten:

• Schnellboot-Phase (Lernen, PoC & persönlicher Einzelplatz): Lokale Werkzeuge und schnelle Prototypen dürfen und sollen entstehen, um Erfahrungen zu sammeln und Ideen mit unkritischen oder synthetischen Daten zu erproben.
• Übergang auf die zentrale KI-Basis (sobald eine Lösung bleibt oder übergreifend genutzt wird): Sobald ein PoC sich bewährt hat, mit echten Geschäftsdaten im Alltag läuft oder von einem ganzen Team bzw. abtei­lungs­über­grei­fend genutzt wird, zieht er auf das zentrale Fundament um:
  • Unten · Die zentrale KI-Basis (einmal richtig bauen und warten): Das Plattform- bzw. IT-Team stellt den Multi-Kontext-Layer, das zentrale Rollen- und Rechtemodell (IAM), das AI-Gateway, die geprüften Adapter zu ERP/CRM und das Audit-Log als stabiles Rückgrat bereit.
  • Oben links · Aufbau 1: Fachbereichs-Lösungen: Vertrieb, Kundenservice, Einkauf oder Technik überführen ihre erprobten PoCs auf die zentrale Basis, pflegen ihren eigenen Domänen-Kontext (Weg A) und nutzen die fertige Sicherheits- und Datenbank-Infrastruktur mit.
  • Oben rechts · Aufbau 2: Persönliche Agenten je Mitarbeitendem: Jeder Mitarbeitende erhält auf derselben Plattform seinen offiziellen persönlichen Agenten, der auf den gemeinsamen Unter­neh­mens­kon­text zugreift und technisch exakt mit den Lese- und Schreibrechten handelt, die dieser Mitarbeitende im Unternehmen besitzt.

03 Zentraler Kontroll-Host mit Sandboxen vs. verteilte Spezial-Agenten (A2A)

Warum die Frage „Ein System mit Sandboxen oder viele verbundene Agenten (A2A)?“ für die Sicherheit entscheidend ist:
Wenn Aufgaben komplexer werden, stehen Architekten vor zwei Grundmustern (OWASP Top 10 for Agentic Applications (externe Seite, genai.owasp.org)):

1. Muster 1 · Ein zentraler Kontroll-Host mit isolierten Aufgaben-Sandboxen (Der Regelfall im Unternehmen):
   Ein übergeordneter Orchestrator prüft am Eingang Identität, Rechte und benötigten Kontext und startet für die konkrete Teilaufgabe einen eng begrenzten Arbeiter in einer abgeschotteten Sandbox.
   • Warum dieses Muster innerhalb eines Unternehmens überlegen ist: Das Risiko von Datenabfluss und Privilegien-Eskalation ist drastisch geringer, weil jede Sandbox nur die Daten und Werkzeuge ihres Einzelauftrags sieht. Zudem gibt es für Monitoring, Kostenbegrenzung und den Not-Aus-Schalter (Kill-Switch) genau eine zentrale Stelle, an der der Überblick von außen gewahrt bleibt.
2. Muster 2 · Verteilte Spezial-Agenten mit Agent-to-Agent-Kopplung (A2A):
   Eigenständige Agentensysteme verschiedener Domänen rufen sich gegenseitig über Netz­werk­schnitt­stellen auf.
   • Wann dieses Muster begründet ist und welche Schutzregel gilt: Echte A2A-Kopplung wird erst dort nötig, wo harte Organisations-, Mandanten- oder Herstellergrenzen überschritten werden (z. B. zwischen getrennten Toch­ter­ge­sell­schaften oder externen Partner-Plattformen). Auch dann gilt eine strikte Sicherheitsregel: Agenten kommunizieren über Bereichsgrenzen hinweg ausschließlich über streng typisierte Schnittstellen-Verträge (JSON-Schema-Validierung plus eigene Rechteprüfung am Eingang des gerufenen Systems) und niemals per offenem Freitext-Chat. Andernfalls könnte ein kompromittiertes Dokument über Agent A einen unberechtigten Befehl im höher privilegierten Agent B auslösen (Confused-Deputy-Problem).

04 Der „Agenten-Pass“: Rollen und Rechte vor der Autonomie festlegen

Warum jeder produktive Agent einen eigenen Steckbrief braucht:
Bevor ein Agent im Unternehmen freigeschaltet wird, benötigt er wie ein neuer Mitarbeitender eine eindeutige Auf­ga­ben­be­schrei­bung, definierte Zugriffsrechte und eine feste Grenze, ab der er einen Menschen hinzuziehen muss. Unser Agenten-Pass macht diese Regeln für Fachbereich, IT-Sicherheit und Betriebsrat auf einer Seite prüfbar:

1. Auftrag & Verbot („Agent rät nicht“): Was genau bereitet der Agent vor, und bei welcher fehlenden Information muss er zwingend eine Rückfrage an den Sachbearbeiter stellen, statt zu schätzen?
2. Erlaubter Kontext (Multi-Backend): Welche freigegebenen Markdown-Regeln (Weg A), Dokumentenordner (Weg B) und Live-Adapter (Weg C) darf er lesen, und welche Datenklassen (z. B. Personalakten, Ein­kaufs­kon­di­tionen) sind technisch gesperrt?
3. Abgestufte Werkzeug- & Schreibrechte:
   • AUTO (Lesen & Prüfen): Anhänge klassifizieren, Pflichtfelder abgleichen.
   • ENTWURF (Ohne Außenwirkung): Antwort-Mail oder Gutschrifts-Entwurf im Ticket anlegen.
   • FREIGABE-TOR (Mit Außenwirkung): Versand an den Kunden oder Buchung im ERP erst nach Klick durch den berechtigten Mitarbeitenden an der Diff-Vorschau.
4. Modell-Route & Datenschutz: Welchen Weg über das AI-Gateway nutzt der Agent (z. B. eu-enterprise-zdr), und welche Felder (IBAN, private Telefonnummern) werden vorab maskiert?
5. Sandbox & Budget-Deckel: Maximale Anzahl an Werkzeugschritten, Zeitlimit in Sekunden und Kostendeckel je Vorgang; kein unkontrollierter Internet- oder Shell-Zugriff.
6. Verifizierung & Not-Aus: Gegen welche echten Referenzfälle wird der Agent vor einem Modellwechsel geprüft, und auf welchen sicheren manuellen Standard fällt der Prozess bei einer Störung sofort zurück?

05 Aus­bau­pfade nach Unter­neh­mens­größe & der modulare Demons­trator (mit Pi)

Warum dieselbe Architektur für Kleinstbetriebe, Mittelstand, Konzerne und Neugründungen funktioniert:
Die sechs logischen Schichten beschreiben Funktionen und kommen im Einstieg ohne teure Server-Infrastruktur aus:

• Im Kleinst­un­ter­nehmen (1 bis 20 Mitarbeitende) reichen ein freigegebener Team-Workspace, ein gemeinsamer, versionierter Markdown-Wissensordner mit klarem Eigentümer (Weg A), ein schlankes Workflow-Tool (n8n) und das Grundprinzip, dass schreibende Aktionen immer als Entwurf vorgelegt werden.
• Im KMU / Mittelstand kommen zentrales Single Sign-On, Read-Only-Adapter auf ERP/CRM (Weg C), eine Hybrid-Suche über Bestandsdokumente (Weg B) und ein zentrales AI-Gateway für Kosten- und Daten­schutz­steue­rung hinzu.
• Im Enterprise-Umfeld werden Policy-Engine, mandantenfähige Berech­ti­gungs­filter im Suchindex, isolierte Container-Sandboxen und automatisierte Regressions-Tests vor jedem Release physisch getrennt betrieben.
• Bei einer Neugründung („Grüne Wiese“) entsteht gar nicht erst historischer Dokumenten-Wildwuchs: Prozesse, strukturierte API-Datenbank (Weg C) und versioniertes Regel-Wiki (Weg A) werden von Tag eins an gemeinsam rund um das AI-Gateway entworfen.