KI-Agenten absichern: Rechte, Freigaben, Protokoll

Ein KI-Agent ist in diesem Artikel eine Funktion, die im ERP Aufträge in mehreren Schritten selbst ausführt, ohne dass für jeden Schritt ein Mensch klickt. Wer ihm Zugriff einräumt, öffnet dieselben Wege wie einer Person: Jede Aktion, die er ausführen darf, kann auch falsch ausgeführt werden, und eine falsch ausgelöste Bestellung oder eine geänderte Bankverbindung fällt erst auf, wenn sie im System steht. Die folgenden Schritte begrenzen diesen Zugriff; sie gelten in Deutschland, Österreich und der Schweiz gleich, die Rechtsgrundlagen unterscheiden sich.

Was Sie vorab brauchen

• eine Liste der Aufgaben, die der Agent ausführen soll, getrennt nach lesend und schreibend
• ein eigenes Benutzerkonto (Dienstkonto) für den Agenten
• die Rechte, die die Aufgabe verlangt; als Startpunkt genügt eine lesende Rolle
• die Betragsgrenzen, ab denen eine Person zustimmen muss
• die Protokollanzeige des ERP und die Auswertung, mit der Sie Zugriffe prüfen
• eine Person, die freigibt und den Zugang sofort sperren kann

Was die Buchführungs- und Datenschutzregeln verlangen

Die Buchführungsregeln knüpfen nicht an KI an, sondern an die Aufzeichnung. Sie entscheiden mit, ob die Rechte des Agenten und sein Protokoll ausreichen. Die Pflichten treffen den Betrieb, nicht die handelnde Person; sie gelten auch dann, wenn nicht ein Mensch, sondern ein Agent den Beleg anlegt.

In Deutschland gelten für die Buchführung und sonst erforderliche Aufzeichnungen in elektronischer Form die GoBD, eine Verwaltungsanweisung des Bundesfinanzministeriums und kein Gesetz (BMF-Schreiben vom 28. November 2019, in der Fassung vom 14. Juli 2025, anzuwenden seit 14. Juli 2025). Danach hat der Steuerpflichtige für die Einhaltung der Ordnungsvorschriften des § 146 AO Kontrollen einzurichten, auszuüben und zu protokollieren (Rz. 100); die Randziffer nennt als Beispiele Zugangs- und Zugriffsberechtigungskontrollen und Funktionstrennungen. Die Beschreibung des internen Kontrollsystems gehört in die Verfahrensdokumentation (Rz. 102), die Inhalt, Aufbau, Ablauf und Ergebnisse des Verfahrens so darstellen muss, dass ein sachverständiger Dritter es in angemessener Zeit nachprüfen kann (Rz. 151). Die Rz. 100 und 102 haben die Änderungen der GoBD vom 11. März 2024 und vom 14. Juli 2025 nicht verändert.

In Österreich erfasst § 131 Abs. 1 BAO die nach den §§ 124 bis 126 BAO zu führenden Bücher sowie die Aufzeichnungen nach den §§ 126 bis 128 BAO. Diese Bücher und Aufzeichnungen sind so zu führen, dass ein sachverständiger Dritter in angemessener Zeit einen Überblick über die Geschäftsvorfälle gewinnt und die einzelnen Geschäftsvorfälle in ihrer Entstehung und Abwicklung verfolgen kann; die Eintragungen sollen der Zeitfolge nach geordnet, vollständig, richtig und zeitgerecht vorgenommen werden.

In der Schweiz gilt für die nach Art. 958f Abs. 1 OR zehn Jahre aufzubewahrenden Geschäftsbücher und Buchungsbelege: Art. 7 und Art. 8 GeBüV stehen im Abschnitt über die ordnungsgemäße Aufbewahrung und betreffen das Archiv. Archivierte Informationen sind von den aktuellen zu trennen oder zu kennzeichnen, und die Verantwortung für sie ist zu dokumentieren (Art. 7); die Informationen sind systematisch zu inventarisieren und vor unbefugtem Zugriff zu schützen, Zugriffe und Zutritte sind aufzuzeichnen, und diese Aufzeichnungen unterliegen derselben Aufbewahrungspflicht wie die Datenträger (Art. 8). Die Aufzeichnungspflicht aus Art. 8 knüpft damit an die im Archiv aufbewahrten Bücher und Belege an; das Protokoll über jede Aktion des Agenten im laufenden Betrieb führen Sie zusätzlich als eigene Kontrolle. Nach Art. 6 GeBüV müssen die Geschäftsbücher bis zum Ende der Aufbewahrungsfrist von einer berechtigten Person innert angemessener Frist einsehbar und prüfbar bleiben; Art. 6 gilt in der am 1. Januar 2013 in Kraft getretenen Fassung.

Kommen personenbezogene Daten ins Spiel, verlangen in Deutschland und Österreich Art. 25 Abs. 1 und 2 DSGVO technische und organisatorische Maßnahmen sowie Voreinstellungen, die die Verarbeitung auf das für den Zweck erforderliche Maß beschränken; in der Schweiz entspricht dem Art. 7 DSG. Läuft der Agent bei einem Dienstleister, der dabei personenbezogene Daten für Sie verarbeitet, kommt in Deutschland und Österreich der Vertrag nach Art. 28 Abs. 3 DSGVO hinzu, in der Schweiz die vertragliche Übertragung nach Art. 9 DSG. Die DSGVO ist kein Schweizer Landesrecht; sie kann nach Art. 3 Abs. 2 DSGVO aber auch einen in der Schweiz niedergelassenen Verantwortlichen oder Auftragsverarbeiter erfassen, der Personen in der Union Waren oder Dienstleistungen anbietet oder deren Verhalten in der Union beobachtet.

Schritt für Schritt: einen Agenten anbinden

Schritt 1: Aufgaben und Wirkung notieren

Schreiben Sie je Aufgabe auf, ob der Agent liest oder schreibt, welchen Datensatz er berührt und was eine falsche Aktion auslöst. Eine zu früh ausgelöste Bestellung bindet Kapital und Lager; eine geänderte Bankverbindung im Lieferantenstamm führt zu einer Fehlzahlung. Endstand: eine Liste mit einer Zeile je Aufgabe, die Sie im ERP wiederfinden.

Schritt 2: Ein eigenes Konto anlegen

Legen Sie für den Agenten ein eigenes Benutzerkonto an, dessen Name die Herkunft zeigt, und ordnen Sie es dem Dienst zu, der den Agenten betreibt. Verwenden Sie weder das Konto einer Mitarbeiterin noch ein gemeinsames Konto: Sonst weist das Protokoll eine Person als Verursacher aus, die nicht gehandelt hat. Endstand: Sie finden das Konto in der Benutzerverwaltung und können seine letzten Aktionen auflisten.

Schritt 3: Die Rolle auf das Nötige begrenzen

Legen Sie eine eigene Rolle an, statt eine vorhandene zu kopieren, und beginnen Sie mit Leserechten für die Objekte, die die Aufgabe braucht. Ergänzen Sie jede schreibende Berechtigung einzeln und halten Sie die Begründung schriftlich fest. Nach unserer Einschätzung gehören zwei Paare getrennt, weil sie sich gegenseitig kontrollieren: Bestellung und Zahlung sowie Wareneingang und Rechnungsfreigabe. In Deutschland zählt die GoBD Rz. 100 die Funktionstrennung zu den Beispielen für Kontrollen, die einzurichten und zu protokollieren sind. Endstand: eine Rechte-Liste, die Sie der Aufgabenliste gegenüberstellen können.

Schritt 4: Betragsgrenzen setzen

Prüfen Sie, welche Grenzen das ERP je Aktion kennt: Höchstwert einer Bestellung, Rabatt in Prozent und in Euro, Höchstbetrag einer Gutschrift, Summe eines Zahlungslaufs. Klären Sie mit dem Hersteller, an welcher Stelle die Grenze technisch durchgesetzt wird und ob sie auch für Zugriffe über eine Schnittstelle gilt. Beispielwerte für ein Handelsunternehmen: Bestellung bis 500 Euro, Gutschrift bis 200 Euro, Rabatt bis 5 Prozent, darüber Freigabe. Endstand: Eine Aktion knapp über der Grenze bleibt als Entwurf stehen.

Schritt 5: Schreibende Aktionen freigeben lassen

Verbinden Sie jede schreibende Aktion mit einem Freigabeschritt: Der Agent legt den Beleg als Entwurf an, eine Person prüft und gibt frei. Die Freigabe muss aus einem anderen Zugang kommen als der des Agenten; wird sie mit demselben Konto erteilt, bestätigt das Protokoll nur die eigene Aktion. Legen Sie fest, wer innerhalb welcher Zeit freigibt und wer vertritt. Endstand: Im ERP steht bei einer Aktion über der Grenze ein Entwurf mit dem Status offen, im Protokoll das Konto der freigebenden Person.

Schritt 6: Protokollieren und auswerten

Stellen Sie ein, dass Sie je Aktion sechs Angaben finden: Konto, Zeitpunkt, Aktion, betroffenen Datensatz, Wert vor und Wert nach der Änderung; dazu die freigebende Person. Fragen Sie den Hersteller, ob das Protokoll auch Zugriffe von Dienstkonten und über Schnittstellen erfasst, wie es sich auswerten lässt und wie lange es aufbewahrt wird. In Deutschland verlangt die GoBD, die Kontrollen zu protokollieren (Rz. 100); in der Schweiz sind nach Art. 8 GeBüV die Zugriffe und Zutritte auf die im Archiv aufbewahrten Geschäftsbücher und Buchungsbelege aufzuzeichnen. Endstand: Sie können zu einer Buchung die Aktion des Agenten und ihre Freigabe vorlegen.

Schritt 7: Zugang befristen, widerrufen, dokumentieren

Befristen Sie den Zugang: Vergeben Sie ein Zugangstoken mit Ablaufdatum und bestimmen Sie, wer es erneuert. Halten Sie den Sperrweg schriftlich fest – Konto deaktivieren, Token zurückrufen – und testen Sie ihn einmal, bevor Sie ihn brauchen. Ergänzen Sie die Verfahrensdokumentation um Rolle, Betragsgrenzen, Freigabeweg und Prüfschritte. Endstand: Eine zweite Person kann den Zugang ohne Ihre Mitwirkung sperren, und die Änderung ist in der Verfahrensdokumentation nachlesbar.

Beispiel: eine Rollenmatrix

Die Matrix zeigt ein Beispiel für ein Handelsunternehmen; die Beträge und Prozentsätze sind Beispielwerte, die Sie durch Ihre eigenen ersetzen. In der Schweiz setzen Sie Franken-Beträge ein. Jede Zeile ist eine eigene Rolle, nicht eine Sammlung von Einzelrechten.

Rolle des Agenten	Lesen	Schreiben	Grenze und Freigabe
Bestandsauskunft	Bestände, Lieferzeiten, offene Bestellungen	nichts	keine schreibenden Rechte
Bestellvorschlag	Bedarf, Bestände, Preise	Entwurf	Bestellung erst nach Freigabe durch den Einkauf
Bestellung	Lieferanten, Preise	Bestellung	Höchstwert 500 Euro je Bestellung, darüber Entwurf
Wareneingang	Bestellungen	Wareneingangsbuchung	Abweichung über 5 Prozent als Klärfall
Rechnungserfassung	Bestellungen, Wareneingänge	Eingangsrechnung	kein Zahlungsrecht
Zahlungsvorbereitung	offene Posten	Zahlungsvorschlag	Freigabe des Laufs durch eine Person mit Bankrecht
Stammdatenpflege	Artikel, Kunden	Adress- und Lieferdaten	keine Bankverbindungen, keine Preise

So prüfen Sie das Ergebnis

1. Lesetest: Eine Abfrage auslösen und im Protokoll nachsehen, ob die Aktion unter dem Konto des Agenten steht.
2. Grenztest: Eine Bestellung um zehn Prozent über der festgelegten Grenze auslösen; erwarten Sie einen Entwurf, keinen gebuchten Beleg.
3. Freigabetest: Die Freigabe einmal mit dem Konto des Agenten versuchen; sie muss abgelehnt werden.
4. Protokolltest: Nach zehn Aktionen die sechs Angaben je Aktion prüfen; fehlt ein Wert, klären Sie mit dem Hersteller, ob das Feld verfügbar ist.
5. Widerrufstest: Konto sperren und Token zurückrufen, danach eine Aktion auslösen; sie muss scheitern, und der Versuch muss im Protokoll stehen.

Wenn etwas nicht klappt

Symptom	Mögliche Ursache	Abhilfe
Der Agent überschreitet die Betragsgrenze	die Grenze wirkt nur in der Eingabemaske, nicht für den Schnittstellenzugriff	beim Hersteller klären, wo die Grenze durchgesetzt wird, und sie an der Rolle ansetzen
Im Protokoll steht bei Aktion und Freigabe dasselbe Konto	die Freigabe wurde mit dem Agenten-Konto erteilt	für freigebende Personen einen zweiten Zugang anlegen
Nach dem Sperren laufen Aktionen weiter	ein separates Zugangstoken ist weiterhin gültig	Token im Schnittstellenbereich zurückrufen und den Sperrtest wiederholen
Die Rolle hat mehr Rechte als freigegeben	die Rolle wurde von einer bestehenden kopiert	Rechte einzeln gegen die Aufgabenliste abgleichen
Freigaben werden umgangen, weil sie aufhalten	der Freigabeweg ist nicht in den Arbeitsablauf eingebaut	feste Freigabezeiten und eine Vertretung festlegen

Checkliste für Ihren Betrieb

• Eigenes Konto nur für den Agenten; kein persönliches oder gemeinsames Konto von Mitarbeitenden.
• Kleinste Rolle mit lesenden Rechten zuerst, schreibende Rechte einzeln begründet.
• Betragsgrenzen je Aktion festgelegt und im System getestet.
• Vier-Augen-Freigabe für jede schreibende Aktion über der Grenze, erteilt mit einem anderen Zugang.
• Protokoll mit Konto, Aktion, Zeitpunkt, Datensatz, Wert vor und nach der Änderung und freigebender Person.
• Zugang befristet, Sperrweg dokumentiert und einmal getestet.
• Verfahrensdokumentation ergänzt; in Deutschland die Rz. 100, 102 und 151 der GoBD beachten, in der Schweiz die Aufzeichnung der Zugriffe und Zutritte auf das Archiv nach Art. 8 GeBüV.

Wann Sie Hilfe holen sollten

Können Sie im ERP die Freigabe nicht von dem Konto des Agenten trennen, ist das eine Frage an den Hersteller oder an den Dienstleister, der das System betreut. Sollen personenbezogene Daten verarbeitet werden, etwa Kundendaten oder Personaldaten, klären Sie die Grundlage mit Ihrer Datenschutzberatung; in Deutschland und Österreich sind Art. 25 und Art. 28 DSGVO zu prüfen, in der Schweiz Art. 7 und Art. 9 DSG, und ein in der Schweiz niedergelassener Verantwortlicher prüft zusätzlich, ob er nach Art. 3 Abs. 2 DSGVO der Verordnung unterliegt. Wie die Buchführungsorganisation zu beschreiben ist, besprechen Sie mit Ihrer Steuerberatung. Welche Aufgaben ein Agent übernehmen kann und was er nicht kann, steht in KI-Agenten im ERP: Was sie heute können und was nicht; wie Sie Antworten eines Assistenten prüfen, in Fragen an das ERP per KI-Assistent. Für den Aufbau von Rollen im ERP siehe Berechtigungskonzept.