Mythos-Härtungs-Control · MRIS 2.0 · Wirkt in ISO/IEC 27001, TISAX® und IT-Grundschutz

MHC-13 AI-Agent-Governance und Harness-Sicherheit

Verhindert, dass ein KI-gestützter Assistent im Rahmen einer Aufgabe eigenständig ein nicht geprüftes externes Werkzeug, einen Dienst oder ein Softwarepaket einbindet, und begrenzt zusätzlich Identität, Manipulierbarkeit durch Prompt Injection und Reaktionszeit produktiv eingesetzter Agenten.

Auf einen Blick

Operativer Nutzen: Bringt produktive AI-Agenten und agentische Workflows unter Kontrolle — eigenentwickelte ebenso wie SaaS-, Low-Code- und No-Code-Agenten: begrenzter Zugang, lückenlose Nachvollziehbarkeit, menschliche Freigabe vor riskanten Aktionen — und schließt damit eine sonst unkontrollierte Angriffsfläche.
Betroffene Richtlinie: neue Richtlinie zur Nutzung von AI-Agenten; zusätzlich Zugriffssteuerungs- und Beschaffungsrichtlinie.
Abhängigkeiten: setzt die Identitätsgrundlage aus MHC-04 voraus; berührt MHC-09 (unsicherer AI-Code) und das Shadow-AI-Inventar (A.5.9).
Aufwandstreiber: hängt von Zahl und Reichweite der eingesetzten Agenten und Anbindungen ab; spätere Ausbaustufen setzen geeignete, im eigenen Umfeld verfügbare Werkzeuge voraus. Der konkrete Aufwand richtet sich nach den Ressourcen der Organisation.
Primäre Kennzahl: Anteil der produktiven Agenten mit dokumentiertem Bedrohungsmodell und begrenztem Zugang sowie die Abdeckung der Protokollierung.
Berührte Standards (ohne Erfüllungsanspruch): u. a. ISO/IEC 42001 Annex A, NIST AI RMF 1.0, OWASP-Bedrohungstaxonomien; je nach Einsatzbereich auch der EU AI Act.

Control-Statement

Produktiv eingesetzte AI-Agenten und agentische Workflows — eigenentwickelte ebenso wie SaaS-, Low-Code- und No-Code-Agenten — werden wie privilegierte Systeme behandelt: begrenzter Schadensradius je Agent, eine auf die nötigen Rechte begrenzte Identität, eine lückenlose und nachvollziehbare Protokollierung mit benanntem menschlichen Verantwortlichen und Not-Aus sowie eine Freigabeliste für agentische Komponenten (MCP-Server, IDE-Erweiterungen, Skills, Connectors).

Mindestanforderungen für eigenentwickelte bzw. selbst kontrollierte Agenten: technische, capability-scoped Identität statt persönlicher Benutzerkonten oder pauschaler API-Schlüssel; ausdrücklich kein unbeschränkter Tool-Zugriff; manipulationssichere, überprüfbare Ausführungsprotokollierung — das Protokoll ist sicherheitsrelevanter Nachweis und an die zentrale, manipulationssichere Protokollierung aus A.8.15 (MHC-05) angebunden; dokumentierte Zweckbindung und genehmigter Tool-Scope je Funktion; definierte Freigabeschwellen für Aktionen mit hoher Schadwirkung. Die Identitätsgrundlage liefert MHC-04 (Workload-Identität), auf der die capability-scoped Begrenzung aufsetzt. Weiterführende Härtung (Stufe Managed): Code-Review für die unter eigener Kontrolle stehenden Harness-Komponenten.

Mindestanforderungen für SaaS-, Low-Code-, No-Code- und fremdbetriebene Agenten: agentenspezifische Identität, soweit die Plattform sie unterstützt, sonst dedizierte Dienstkonten mit Least-Privilege-Delegation; Admin-Consent- und Berechtigungskontrolle auf Plattformebene; Allowlisting von Connectors und Erweiterungen; dokumentierte Berechtigungsgrenzen; Aktivierung und regelmäßige Auswertung der plattformseitigen Protokollierung, mit Export soweit verfügbar; Anbieterbewertung und vertragliche Zusicherungen (Vendor Assurance); Konfigurationskontrollen gegen unbeabsichtigte Rechteausweitung. Harness-Code-Review gilt hier nur für Komponenten unter eigener Kontrolle (etwa eigene Konnektoren, Skripte oder Prompt-/Flow-Definitionen).

Zweck und Bedrohungsbezug

AI-Agenten verbinden die Schlussfolgerung eines Sprachmodells mit Werkzeugausführung, dauerhaftem Speicher und mehrstufiger Planung. Dadurch entsteht eine privilegierte Angriffsfläche außerhalb der etablierten Sicherheitsmaßnahmen (Mythos-Ready, CSA/SANS/OWASP, April 2026: „Unmanaged AI Agent Attack Surface", Einstufung CRITICAL). Zwei Risikoseiten: erstens überprivilegierte oder unsichere Agenten im eigenen Betrieb; zweitens die Lieferkette — übernommene MCP-Server, IDE-Erweiterungen oder Skills. Belegt durch reale Vorfälle: EchoLeak (CVE-2025-32711, unbemerkter Datenabfluss über Prompt Injection in Microsoft 365 Copilot) und CurXecute (CVE-2025-54135/-54136, Codeausführung über die MCP-Anbindung der Coding-IDE Cursor).

Wirkung in den Regelwerken

Auf diese Controls und Anforderungen wirkt das MHC. Die Einstufung zeigt, wie stark das jeweilige Control unter KI-gestützten Angriffen an Wirkung verliert.

Wirkung in den Regelwerken
Nummer	Titel	Einstufung / Stufe
ISO/IEC 27001:2022, Annex A 3 Controls
A.5.9	Inventar von Informationen und zugehörigen Werten	standfest
A.5.16	Identitätsmanagement	standfest
A.8.27	Prinzipien der sicheren Systemarchitektur	standfest
TISAX® ISA 2027 2 Controls
1.3.3	Freigabe externer IT-Dienste	teilweise degradiert
1.3.4	Freigabe von Software	teilweise degradiert
IT-Grundschutz, MRIS.bd 6 Anforderungen
MRIS.bd.1.A6	Geregelter Einsatz von KI-Agenten	Basis
MRIS.bd.2.4.A1	Einrichtung einer begrenzten Identität für den KI-Agenten	Basis
MRIS.bd.2.4.A2	Protokollierung der Aktionen des KI-Agenten	Basis
MRIS.bd.2.4.A3	Sicherstellung der menschlichen Kontrolle über den KI-Agenten	Basis
MRIS.bd.2.4.A4	Beschränkung auf freigegebene agentische Komponenten	Basis
MRIS.bd.2.4.A5	Prüfung der Agentensteuerung vor der Produktivsetzung	Standard

Alle 93 Controls in der Analysematrix · Alle 45 Controls in der Befundmatrix · Alle 23 Anforderungen der Bausteinfamilie

Reifegrad-Pfad

Initial: Produktive AI-Agenten und agentische Workflows sind inventarisiert — einschließlich SaaS-, Low-Code- und No-Code-Agenten; manuelles Inventar der MCP-Server und Erweiterungen.
Defined: begrenzte Identitäten und lückenlose Protokollierung produktiv; benannter menschlicher Verantwortlicher und erprobter Not-Aus je Agent; Bedrohungsmodell je Einsatzzweck; Freigabeliste für Erweiterungen, Connectors und MCP-Server.
Managed: vollständiger Code-Review-Prozess für die unter eigener Kontrolle stehenden Harness-Komponenten; automatisierte Prüfungen vor Produktivsetzung; Zeit bis zum Entzug unter 5 Minuten; regelmäßige Pen-Tests gegen Prompt Injection.
Realismus: die meisten Organisationen starten bei Initial; realistisch 12–18 Monate bis Defined, 18–24 Monate bis Managed. Zuerst priorisieren: Inventar, Protokollierung und begrenzte Identitäten — diese drei adressieren den Großteil des Risikos. Pen-Tests des Harness und Prüfungen der Robustheit der Modelle folgen in späteren Ausbaustufen, abhängig von den im eigenen Umfeld verfügbaren Werkzeugen.

Messung und Audit-Nachweis

Kennzahlen: Anteil produktiver AI-Agenten und agentischer Workflows im Verantwortungsbereich der Organisation — einschließlich SaaS-, Low-Code- und No-Code-Agenten — mit dokumentiertem Bedrohungsmodell und festgelegtem Schadensradius (Zielwert: 100 %); getrennt erhoben als Inventar-Abdeckung (vollständig inventarisiert) und Governance-Abdeckung (Verantwortlicher, Identität, Berechtigungsgrenzen und manipulationssicheres Protokoll umgesetzt); Abdeckung der Protokollierung für Aktionen mit Schreib- oder Netzwerkrechten (Zielwert: 100 %); Zeit bis zum Entzug übernommener Agent-Identitäten (Zielwert: unter 5 Minuten).
Nachweis: Agent-Inventar, Konfiguration der Freigabeliste, Protokolle, Prüfberichte vor Produktivsetzung, Bedrohungsmodell-Dokumente.
Nachweislogik (in Anlehnung an ISO/IEC 27001, Clause 9): dokumentiert? — über Inventar und Bedrohungsmodelle; verantwortlich? — je Agent ein benannter Mensch; Häufigkeit? — fortlaufende Protokollierung, Prüfung vor jeder Produktivsetzung; Toleranz? — keine produktiven Agenten mit Schreib- oder Netzwerkrechten ohne Protokollierung.

Typische Fehler

Agenten laufen unter persönlichen Entwickler-Konten — keine begrenzte Identität, keine saubere Nachvollziehbarkeit.
MCP-Server und Erweiterungen ohne Freigabeliste und ohne Update-Kontrolle — automatische Updates öffnen einen Weg über die Lieferkette.
Der Harness (Anweisungen, Regeldateien) wird als Konfiguration statt als Code behandelt — keine Freigabe, keine Versionsverwaltung.
Menschliche Freigabe nur dem Namen nach (Bestätigungsdialog ohne echte Prüfmöglichkeit) — die zu weite Handlungsfreiheit bleibt bestehen.
Das Ziel „Managed" wird pauschal angesetzt, obwohl die dafür nötigen Werkzeuge und Verfahren im eigenen Umfeld noch nicht etabliert sind.

Abgrenzung und Restrisiko

Abgrenzung: deckt Governance und Sicherheit produktiver AI-Agenten und agentischer Workflows im Verantwortungsbereich der Organisation ab — selbst entwickelte ebenso wie SaaS-, Low-Code- und No-Code-Agenten; die Grundlage der Identität liefert MHC-04; unsicherer, mit AI generierter Code wird in MHC-09 behandelt; das Inventar nicht freigegebener AI-Werkzeuge (Shadow AI) steht in A.5.9 (MRIS-Erweiterung).
Restrisiko: Prompt Injection ist nicht vollständig lösbar, solange Anweisungs- und Datenkanal nicht trennbar sind; Erkennung ist nicht Verhinderung; geeignete Werkzeuge zur Härtung sind nicht in jedem Umfeld verfügbar.
ISO/IEC 27002:2022: A.5.9 Inventar von Informationen und zugehörigen Werten; A.5.16 Identitätsmanagement; A.8.27 Sichere Systemarchitektur und Entwicklungsgrundsätze.
AI-spezifisch: ISO/IEC 42001:2023, Annex A (AI-Management-Controls über das Statement of Applicability); NIST AI RMF 1.0; NIST AI 100-2e2025 (Adversarial Machine Learning).
Bedrohungsmodelle: OWASP Top 10 for LLM Applications 2026 (LLM01 Prompt Injection; LLM03 Excessive Agency — mit den Ursachen zu weite Funktionalität, zu weite Rechte, zu weite Autonomie; LLM04 Supply Chain); OWASP Top 10 for Agentic Applications (ASI01 Agent Goal Hijack, ASI02 Tool Misuse, ASI03 Identity & Privilege Abuse); OWASP „Agentic AI — Threats and Mitigations"; OWASP „Practical Guide for Securely Using Third-Party MCP Servers"; MITRE ATLAS (AML.T0051 LLM Prompt Injection, AML.T0053 AI Agent Tool Invocation (vormals LLM Plugin Compromise; ATLAS-Stand August 2026), AML.T0086 Exfiltration via AI Agent Tool Invocation, AML.T0110 AI Agent Tool Poisoning).

Umsetzung im Detail

Organisatorische und technische Umsetzung, Umsetzungsbeispiele und die Priorisierung im Gesamtprogramm beschreibt der Implementation Guide.

Implementation Guide (PDF)Zum MHC-Katalog