Ist ein Not-Aus für Agenten dasselbe wie ein Not-Halt?

Nein. Ein Not-Aus für Agenten hält Software davon ab, zu entscheiden und Werkzeuge aufzurufen. Ein Not-Halt ist eine Sicherheitsfunktion einer Maschine nach Maschinenrecht. Arbeitet ein Agent mit einer Maschine, gibt es beides nebeneinander, und die Sicherheit der Maschine hängt nie vom Agenten ab.

Welche Meldefrist kommt zuerst?

Meist die 24-Stunden-Frühwarnungen nach CRA und NIS 2, wo sie gelten. Die Fristen der KI-Verordnung für schwerwiegende Vorfälle betragen 2, 10 oder 15 Tage. Die DSGVO verlangt eine Meldung möglichst binnen 72 Stunden. Alle laufen ab Kenntnis.

Warum gibt es nur vier Routen?

Eine Route je Lesergruppe hält die Karte lesbar: Technische Redaktion, technisches Marketing, technische Projektleitung und Entwicklung von Dokumentationssystemen. Was alle passieren müssen – die Grenze, die Stufenleiter der Eindämmung und die Freigabe –, ist einmal als gemeinsame Stammstrecke gezeichnet.

Gilt die Karte auch für Agenten, die nur beraten?

Ja, in kleinerer Form. Auch ein beratender Agent kann Menschen in die Irre führen, die nach seinen Vorschlägen handeln; seine Grenze ist der reine Lesezugriff, seine Eindämmung heißt, die Vorschläge zu stoppen und die bereits gegebenen zu korrigieren.

Alle Context Cards

Pathway Map

Wenn ein KI-Agent die Grenze überschreitet: erkennen, eindämmen und den Betrieb wiederherstellen

Was muss bereitstehen, wenn ein KI-Agent etwas tut, das er nicht darf – in IT-Systemen, IoT-Flotten, der OT und an Maschinen –, und wie wird das erkannt, gestoppt und wieder freigegeben?

Eine Pathway Map überträgt ein ganzes Werk in die Logik einer Pathway Card: Spuren für seine Bereiche, Stationen mit Vorher, Nachher und Reife und eine Route je Leserrolle. Wo fangen Sie an?

Von knowledge.aitechdoc.world

Geprüft 21. Oktober 2026

Prüfprotokoll und Änderungen

Die kurze Antwort

Diese Pathway-Map ordnet die Reaktion auf einen KI-Agenten, der seine Grenze überschreitet, für vier Systemtypen: IT-Systeme, IoT-Geräte und -Flotten, OT und Leitsysteme sowie Maschinen und Roboter. Jede Route läuft über dieselben drei Stationen: die Grenze, die festgehalten ist, bevor der Agent handelt, die Stufenleiter der Eindämmung, die ihn von außen stoppt, und eine Freigabe vor dem Wiederanlauf. Den Agenten einzudämmen ersetzt nie die Sicherheitsfunktionen einer Maschine.

Für: Technische Redaktion, technisches Marketing, technische Projektleitung und Entwicklung von Dokumentationssystemen, die mit KI-Agenten in IT-, IoT-, OT- und Maschinenumgebungen arbeiten

Das Wichtigste

Eine Grenze hat drei Teile: Befugnis (was der Agent darf), Fähigkeit (was er kann) und Auftrag (wofür er da ist).
Gute Ergebnisse beweisen nichts; nur der Agenten-Trace zeigt, ob unterwegs eine Grenze überschritten wurde.
Eindämmung ist eine Stufenleiter, die von außen wirkt: pausieren, Zugang entziehen, isolieren, abschalten.
Ein Agenten-Stopp ist kein Not-Halt: An Maschinen, Robotern und in der OT bleiben die Sicherheitsfunktionen in ihren eigenen Steuerungen.
Meldepflichten (KI-Verordnung, CRA, NIS 2, DSGVO) werden parallel zur Eindämmung geprüft, weil die Fristen ab Kenntnis laufen.
Der Wiederanlauf braucht eine Freigabe nach Kriterien; ein Rollback stellt Systeme wieder her, nicht das, was versandt, bezahlt oder produziert ist.

Erklärfilm

Der Erklärfilm in zwei Minuten

2:12 · 1920 × 1080 · 11.4 MB · Stummfilm mit Untertiteln im Bild

Der Film ist auf US-Englisch.

Die Untertitel als Text lesen

What happens when an AI agent does something it was never meant to do? And who notices first — the team, a customer, or the month-end report? Every agent has a boundary, and it has three parts. Permission: what it may do. Capability: what it technically can do. Mandate: what it is for. Write all three down for every connected system — before the agent acts. The pathway map follows that boundary across six lines. IT systems, IoT devices and fleets, OT and control systems, machines and robots — … and one shared line for response and recovery. A breach rarely announces itself. So every run is traced: task, model, sources, tool calls, approvals and output. Refused calls, unusual targets and touched canary tokens raise the alert. And good results prove nothing — what counts is how the agent got there. Containment acts from outside the agent. Pause the task. Revoke its credentials. Isolate its tools and systems. Shut it down. Take the lowest rung that stops the harm. And an agent stop is never an emergency stop. Machines stop through their own safety functions, in their own control systems. Secure the evidence before anyone cleans up. In parallel, check the possible reporting duties: AI Act, CRA, NIS 2 and GDPR. The clock starts at awareness. Whether a duty applies, the responsible people decide. Return to service needs the cause understood, and the scope and credentials corrected — … then an authorized release, often in a reduced mode first. A rollback restores a system’s state — not what already went out. Find your route on the map: four routes, twenty-three stations. knowledge.aitechdoc.world — Context cards Need a short explainer film? Get in touch: contact@aitechdoc.world

Wo fangen Sie an?

Wählen Sie den Satz, der Ihrer Organisation am nächsten kommt; er führt zur ersten Station, die für Sie zählt.

Ein Agent hat etwas getan, das niemand freigegeben hatStation: Einstufung: was welche Grenze überschritten hat
Wir wollen einem Agenten Schreibzugriff gebenStation: Die Grenze in drei Teilen
Unser Agent arbeitet mit Maschinen oder RoboternStation: Roboterzellen und Cobots
Wir wollen nach einem Vorfall wieder anlaufenStation: Freigabe vor dem Wiederanlauf

Einstiege, fünf Kapitel und kurze Aufgaben mit Lösungen — in einem Fenster, das Sie verschieben und in der Größe ändern können, während die Karte offen bleibt.

Die Landkarte

Die Spuren laufen von links nach rechts; jede Route ist nummeriert und hat ihr eigenes Linienmuster. Stationen der gemeinsamen Stammstrecke sind umrahmt.

Route 1 · Technical writers Route 2 · Technical marketers Route 3 · Technical project managers Route 4 · Documentation systems developersGemeinsame Stammstrecke

Grenze und Befugnisse
IT-Systeme
IoT-Geräte und -Flotten
OT und Leitsysteme
Maschinen und Roboter
Reaktion und Wiederherstellung
© 2026 AI TechDoc Knowledge · knowledge.aitechdoc.world

Grenze und Befugnisse: Was der Agent darf, kann und wofür er da ist – festgehalten, bevor er handelt.
IT-Systeme: ERP, CRM, Ticketsysteme, Code-Repositories, CI/CD, Cloud, CCMS, DMS und Wissensdatenbanken.
IoT-Geräte und -Flotten: Vernetzte Produkte und ihre Apps, Geräte-Clouds und OTA-Updates, Gateways, Gebäudeautomation und Energiemanagement.
OT und Leitsysteme: Historian, MES, SCADA, Prozessleitsysteme, Chargen- und Rezeptsteuerung, SPS-Engineering.
Maschinen und Roboter: Industrieroboter und Cobots, AMR- und FTS-Flotten, CNC-Maschinen, Verpackungs-, Abfüll- und Montagelinien.
Reaktion und Wiederherstellung: Die gemeinsame Linie: aufzeichnen, erkennen, einstufen, eindämmen, sichern, melden, wiederherstellen, nachbetrachten.

Download

Die Map als PDF

Zwei Seiten: die Map mit Linien, Stationen und Routen, dann die Einstiege, die vier Routen Station für Station und was sich nicht ändert.

Das PDF ist auf US-Englisch.

PDF herunterladenPDF · 2 Seiten · 29 KB

Urheberrechtshinweis

Diese Pathway Map – die Auswahl und Anordnung ihrer Linien, Stationen, Routen und Einstiege, ihre Zeichnung und die für sie geschriebenen Texte – ist ein Werk der Redaktion von knowledge.aitechdoc.world. Sie dürfen auf sie verlinken und kurze Passagen mit Quellenangabe und Link auf diese Seite zitieren. Die Wiedergabe der Map oder wesentlicher Teile davon – als Screenshot, Bild, Folie, Druck oder in Schulungsunterlagen – bedarf unserer schriftlichen Genehmigung: contact@aitechdoc.world. Die genannten Gesetze, Normen und Rahmenwerke gehören ihren Herausgebern; ihre Namen verweisen nur auf sie.

Routen

Eine Route je Leserrolle. Jeder Halt sagt, was die Rolle dort tut; jede Route führt über die gemeinsame Stammstrecke.

Route 1

Technical writers

Technische Redakteurinnen und Redakteure

Sie beschreiben, was ein Agent darf, schreiben die Ablaufpläne und korrigieren, was bei Lesenden angekommen ist.

Die Grenze in drei TeilenGemeinsame Stammstrecke
Machen Sie aus dem Grenzblatt die Systembeschreibung des Agenten: Systeme, Aktionen, Grenzen, Verantwortliche.
CCMS, DMS und Wissensdatenbanken
Lassen Sie Freigabe und Veröffentlichung bei Menschen; legen Sie fest, wie ein zurückgezogenes Topic ersetzt und angekündigt wird.
Beratende Agenten an Historian und MES
Schreiben Sie, was das Bedienpersonal braucht, um einen Vorschlag des Agenten zu beurteilen, bevor es danach handelt.
Die Stufenleiter der EindämmungGemeinsame Stammstrecke
Schreiben Sie den Ablaufplan zur Eindämmung: jede Stufe, wer sie nehmen darf, welche Belege zu sichern sind.
Roboterzellen und Cobots
Nennen Sie es „Agenten stoppen“, nie „Not-Halt“ – in Oberflächen und Anleitungen.
CNC-Maschinen und Produktionslinien
Prüfen Sie, ob die Wiederanlauf-Anweisungen der Maschine oder Linie nach einem Agentenvorfall weiter gelten.
Freigabe vor dem WiederanlaufGemeinsame Stammstrecke
Dokumentieren Sie die eingeschränkte Betriebsart und die Freigabekriterien, mit denen der Agent zurückkommt.
Nachbetrachtung und Dokumentation aktualisieren
Aktualisieren Sie Anleitungen und Beschreibung des Agenten und veröffentlichen Sie eine Korrektur, wo Lesende betroffen waren.

Route 2

Technical marketers

Technisches Marketing und Produktkommunikation

Sie beschreiben Agenten gegenüber Käufern und Kunden – und werden gefragt, was passiert, wenn einer danebenliegt.

Die Grenze in drei TeilenGemeinsame Stammstrecke
Stellen Sie die Grenzen als Teil des Produkts dar: Was der Agent nie tut, ist ein Verkaufsargument.
Umfang, Positivliste und eigene Identität
Nennen Sie die Werkzeuge und die eigene Identität statt „integriert sich mit allem“.
Vernetzte Produkte und ihre Apps
Prüfen Sie, dass Produktseiten nicht versprechen, der Assistent könne Einstellungen ändern, die er nicht ändern darf.
Geräteflotten und OTA-Updates
Beschreiben Sie gestaffelte Rollouts und das Rollback-Image als konkreten Kundenschutz.
AMR- und FTS-Flotten
Stellen Sie nie den Agenten oder das Flottenmanagement als Personenschutz der Fahrzeuge dar.
Die Stufenleiter der EindämmungGemeinsame Stammstrecke
Erklären Sie, dass Kunden den Agenten ohne den Anbieter stoppen können – und wie.
Meldepflichten prüfen
Bereiten Sie die Kundenkommunikation für meldepflichtige Vorfälle vor; improvisieren Sie sie nicht.
Freigabe vor dem WiederanlaufGemeinsame Stammstrecke
Kündigen Sie den Wiederanlauf mit dem an, was sich geändert hat, nicht mit „alles ist wieder gut“.

Route 3

Technical project managers

Technische Projektleitung, Product Owner und Betriebsleitung

Sie entscheiden, wo ein Agent handeln darf, wer ihn stoppt und wer ihn wieder freigibt.

Die Grenze in drei TeilenGemeinsame Stammstrecke
Machen Sie das Grenzblatt zur Bedingung für den Start und für jede Änderungsanfrage.
Freigabeschritte für nicht umkehrbare Aktionen
Legen Sie die freigabepflichtigen Aktionsklassen fest und benennen Sie die Freigebenden vor dem Start.
ERP, CRM und Ticketsysteme
Vereinbaren Sie Grenzen je Betrag und Datensatz und die Ausgleichsaktion für jede Geschäftswirkung.
Agenten mit Schreibzugriff auf SCADA, PLS oder Rezepte
Entscheiden Sie, ob der Agent überhaupt schreibt; wenn ja, über einen Conduit unter Änderungsmanagement.
Einstufung: was welche Grenze überschritten hat
Benennen Sie, wer einstuft, wie schnell und wer über den Stopp entscheiden darf.
Die Stufenleiter der EindämmungGemeinsame Stammstrecke
Üben Sie die Stufen einmal vor dem Start und nach jeder größeren Änderung.
Belege sichern
Machen Sie „erst sichern, dann reparieren“ zur Regel, mit benannter verantwortlicher Person.
Freigabe vor dem WiederanlaufGemeinsame Stammstrecke
Geben Sie nur nach den Kriterien frei; starten Sie im Zweifel in eingeschränktem Modus.

Route 4

Documentation systems developers

Entwicklerinnen und Entwickler von Dokumentations- und Informationssystemen

Sie konfigurieren Plattformen, Konnektoren und Pipelines, in denen die Agenten laufen – was einzurichten, zu prüfen und zu übergeben ist.

Die Grenze in drei TeilenGemeinsame Stammstrecke
Übersetzen Sie das Grenzblatt in Rollen, Tokens und Positivlisten; benennen Sie, was die Plattform nicht durchsetzen kann.
Agenten-Trace und Protokoll der Werkzeugaufrufe
Schalten Sie das Tracing für jeden Werkzeugaufruf mit Lauf-ID ein; legen Sie Aufbewahrung und Maskierung fest.
Signale einer Grenzüberschreitung
Richten Sie Alarme für abgelehnte Aufrufe, Mengensprünge, neue Ziele und Köder-Tokens ein.
Code-Repositories, CI/CD und Cloud
Prüfen Sie Branch-Schutz, Pipeline-Gates und dass sich die Schlüssel des Agenten einzeln widerrufen lassen.
Agenten im SPS-Engineering
Stellen Sie sicher, dass erzeugter Code als prüfbare Änderung ankommt, nie als Download.
Gebäudeautomation und Energiemanagement
Prüfen Sie, dass Sollwertgrenzen im Regler sitzen und die Handbedienung Vorrang hat.
Die Stufenleiter der EindämmungGemeinsame Stammstrecke
Setzen Sie jede Stufe als eigene, getestete Kontrolle auf Ebene von Plattform, Gateway und Token um.
Freigabe vor dem WiederanlaufGemeinsame Stammstrecke
Übergeben Sie die Freigabe-Checkliste: neue Zugangsdaten, verglichene Daten, Überwachung aktiv.

Stationen

Jede Station ist ein kleiner Handlungsweg: wo die Praxis steht, wohin sie kommen kann, was sich nicht ändert, wie reif sie zum Prüfdatum ist und welchen Nachweis sie hinterlässt.

Was die Reifegrade bedeuten

Baustein verfügbar: Der Baustein existiert heute — eine etablierte Methode, eine übliche Praxis oder eine verbreitete Funktion der Werkzeuge. Einrichten und betreiben müssen Sie ihn in Ihrer Organisation selbst; er ist kein fertiges Produkt und kein Nachweis der Konformität.
Produktabhängig: Manche Produkte oder Plattformen bieten es, andere nicht. Prüfen Sie, was Ihre kann, bevor Sie sich darauf verlassen.
Entwurf oder Vorschlag: Beschrieben in einem Normentwurf, einem Vorschlag oder einem Einzelentwurf. Es kann sich noch ändern oder nie verabschiedet werden.
Forschung: Vorgeschlagen in der Forschung oder in Prototypen gezeigt. Noch nicht reif für den Alltagsbetrieb.

Grenze und Befugnisse

Grenze und Befugnisse · Gemeinsame Stammstrecke

Baustein verfügbar

Die Grenze in drei Teilen

Vorher: Der Agent hat ein Ziel und eine Reihe von Konnektoren; was er nicht darf, steht nirgends.
Nachher: Die Grenze ist je angebundenem System als Befugnis (was er darf), Fähigkeit (was er technisch kann) und Auftrag (wofür er da ist) festgehalten.
Was sich nicht ändert: Für das Handeln des Agenten bleiben Menschen und das betreibende Unternehmen verantwortlich.
Nachweis: Grenzblatt je Agent: Systeme, Aktionen, Grenzen, Verantwortliche

Auf den Routen:1 · Technical writers 2 · Technical marketers 3 · Technical project managers 4 · Documentation systems developers

Grenze und Befugnisse

Baustein verfügbar

Umfang, Positivliste und eigene Identität

Vorher: Der Agent arbeitet mit einem geliehenen Benutzerkonto und mit allen Werkzeugen, die seine Plattform anbietet.
Nachher: Der Agent hat eine eigene Identität, kurzlebige Zugangsdaten und eine Positivliste von Werkzeugen und Parameterbereichen; alles andere wird abgelehnt und protokolliert.
Was sich nicht ändert: Eine Positivliste begrenzt, was der Agent anfragen kann; sie macht eine falsche Anfrage nicht richtig.
Nachweis: Identität, Rolle und Positivliste unter Versionskontrolle

Auf den Routen:2 · Technical marketers

Grenze und Befugnisse

Baustein verfügbar

Freigabeschritte für nicht umkehrbare Aktionen

Vorher: Der Agent versendet, bezahlt, veröffentlicht und ändert Parameter, sobald er es entscheidet.
Nachher: Aktionen sind als umkehrbar oder nicht umkehrbar eingestuft; nicht umkehrbare und folgenreiche Aktionen warten auf eine befugte Person, die Entscheidung wird festgehalten.
Was sich nicht ändert: Wer nur die Zusammenfassung des Agenten liest, kann auch eine manipulierte Aktion freigeben.
Nachweis: Liste der freigabepflichtigen Aktionsklassen, Freigebende und Freigabenachweise

Auf den Routen:3 · Technical project managers

IT-Systeme

Baustein verfügbar

ERP, CRM und Ticketsysteme

Vorher: Ein Agent mit breitem Dienstkonto bucht, schließt Tickets und schreibt Kunden massenhaft an.
Nachher: Schreibzugriffe sind nach Betrag und Anzahl der Datensätze begrenzt, Massenaktionen und neue Empfänger sind freigabepflichtig, und für jede Geschäftswirkung ist eine Ausgleichsaktion benannt.
Was sich nicht ändert: Auf eine gelesene E-Mail oder eine geleistete Zahlung kann nur eine Korrektur folgen, kein Rückgängigmachen.
Nachweis: Transaktionsprotokoll mit Agentenidentität, Liste der Ausgleichsaktionen

Auf den Routen:3 · Technical project managers

IT-Systeme

Baustein verfügbar

Code-Repositories, CI/CD und Cloud

Vorher: Ein Coding-Agent arbeitet mit den Schlüsseln der Entwicklerin, kann in die Produktion pushen, Ressourcen löschen und alle Geheimnisse lesen.
Nachher: Der Agent arbeitet in einer Sandbox und auf Branches, Merges brauchen ein Review, Produktionsänderungen laufen über die Pipeline, Geheimnisse sind außer Reichweite und seine Schlüssel lassen sich einzeln widerrufen.
Was sich nicht ändert: Ein offengelegtes Geheimnis bleibt offengelegt; Widerruf und Rotation begrenzen den Schaden, die Kopie holen sie nicht zurück.
Nachweis: Branch-Schutz, Pipeline-Protokolle, Geheimnisinventar und Widerrufsnachweis

Auf den Routen:4 · Documentation systems developers

IT-Systeme

Baustein verfügbar

CCMS, DMS und Wissensdatenbanken

Vorher: Ein Dokumentationsagent kann freigegebene Topics überschreiben und ins Kundenportal veröffentlichen.
Nachher: Der Agent schreibt nur Entwürfe; Freigabestatus, Versionierung und der Veröffentlichungsschritt bleiben bei Menschen, und veröffentlichte Inhalte lassen sich zurückziehen und durch den letzten freigegebenen Stand ersetzen.
Was sich nicht ändert: Wer nach einer falschen veröffentlichten Anleitung gehandelt hat, wird von einer stillen Korrektur nicht erreicht; dafür braucht es einen Korrekturhinweis.
Nachweis: Versionshistorie mit Agentenidentität, Freigabenachweise, Protokoll der Rücknahmen

Auf den Routen:1 · Technical writers

IoT-Geräte und -Flotten

Produktabhängig

Geräteflotten und OTA-Updates

Vorher: Ein Agent in der Geräte-Cloud kann Firmware oder Konfiguration auf einmal an die ganze Flotte senden.
Nachher: Rollouts laufen gestaffelt (Testgruppe, Kanariengruppe, Wellen), flottenweite Befehle sind freigabepflichtig, und ein Rollback-Image sowie ein Halt für die Rollout-Warteschlange stehen bereit.
Was sich nicht ändert: Geräte, die im Feld ein fehlerhaftes Update installiert haben, brauchen eventuell einen Serviceeinsatz; ein Rollback über die Luft braucht eine funktionierende Verbindung.
Nachweis: Rollout-Plan, Nachweise je Welle, Tests für Halt und Rollback

Auf den Routen:2 · Technical marketers

IoT-Geräte und -Flotten

Produktabhängig

Gebäudeautomation und Energiemanagement

Vorher: Ein Optimierungsagent schreibt Sollwerte für Heizung, Lüftung, Zutrittskontrolle oder Batteriespeicher ohne Grenzen.
Nachher: Sollwerte sind im Regler begrenzt, nicht nur im Agenten; Änderungen sind in der Häufigkeit begrenzt, die Zutrittskontrolle ist vom Umfang ausgenommen, und die örtliche Handbedienung hat immer Vorrang.
Was sich nicht ändert: Grenzen im Regler schützen das Gebäude; die Optimierung des Agenten machen sie nicht richtig.
Nachweis: Sollwertgrenzen je Regler, Änderungsprotokoll, Test der Handbedienung

Auf den Routen:4 · Documentation systems developers

IoT-Geräte und -Flotten

Baustein verfügbar

Vernetzte Produkte und ihre Apps

Vorher: Der Assistent in der App oder Cloud eines Produkts kann Geräteeinstellungen für jeden ändern, der richtig fragt.
Nachher: Der Assistent handelt nur an den eigenen Geräten der angemeldeten Kundin, innerhalb der Einstellungen, die das Produkt zulässt, und seine Aktionen gehören nach dem CRA zur Sicherheit des Produkts.
Was sich nicht ändert: Der Hersteller bleibt für die Sicherheit des Produkts verantwortlich, auch für die Teile, die ein Agent bedient.
Nachweis: Berechtigung je Gerät, Sicherheitsdokumentation des Produkts, CRA-Meldeverfahren

Auf den Routen:2 · Technical marketers

OT und Leitsysteme

Baustein verfügbar

Beratende Agenten an Historian und MES

Vorher: Ein Agent liest Historian und MES, und seine Vorschläge werden ungeprüft übernommen.
Nachher: Der Agent hat nur Lesezugriff und schlägt vor; das Bedienpersonal entscheidet und gibt Änderungen unter eigenem Namen im HMI oder MES ein.
Was sich nicht ändert: Auch ein falscher Vorschlag kann in die Irre führen; das Bedienpersonal braucht die Information, um ihn zu beurteilen.
Nachweis: Leserolle, Protokoll der Vorschläge, Entscheidungen des Bedienpersonals

Auf den Routen:1 · Technical writers

OT und Leitsysteme

Produktabhängig

Agenten mit Schreibzugriff auf SCADA, PLS oder Rezepte

Vorher: Ein Agent schreibt Sollwerte, Rezepte oder Chargenparameter direkt ins Leitsystem.
Nachher: Schreibzugriffe laufen über eine kontrollierte Verbindung (Conduit), innerhalb von Grenzen, die in der Steuerungsebene durchgesetzt werden, und unter Änderungsmanagement; der Agent lässt sich am Conduit trennen, ohne die Steuerung zu berühren.
Was sich nicht ändert: Prozessgrenzen, Verriegelungen und sicherheitstechnische Funktionen bleiben in den Steuerungs- und Sicherheitssystemen, außerhalb der Reichweite des Agenten.
Nachweis: Conduit-Definition, Schreibgrenzen, MOC-Nachweise, Trenntest

Auf den Routen:3 · Technical project managers

OT und Leitsysteme

Produktabhängig

Agenten im SPS-Engineering

Vorher: Ein Engineering-Agent erzeugt SPS-Code und kann ihn in eine laufende Steuerung laden.
Nachher: Erzeugter Code kommt als Änderung ins Engineering-Projekt: Versionsvergleich, Review, Test in der Simulation, Laden nur durch eine Ingenieurin oder einen Ingenieur nach dem Änderungsverfahren der Anlage.
Was sich nicht ändert: Für übernommenen Code ist die Ingenieurin oder der Ingenieur verantwortlich; das Sicherheitsprogramm wird nie von einem Agenten erzeugt oder geändert.
Nachweis: Versionsvergleich, Review- und Testnachweise, Ladeprotokoll

Auf den Routen:4 · Documentation systems developers

Maschinen und Roboter

Baustein verfügbar

Roboterzellen und Cobots

Vorher: Ein Agent plant Roboteraufgaben oder -programme, und sein Stopp wird als Not-Halt des Roboters beschrieben.
Nachher: Der Agent arbeitet an Aufgaben und Programmen; Bewegungsgrenzen, Sicherheitsfunktionen, Not-Halt und sicherer Zustand bleiben in Robotersteuerung und Sicherheitssteuerung, unabhängig vom Agenten.
Was sich nicht ändert: Ein Agenten-Stopp ist kein Not-Halt, und eine Maschine mit selbstentwickelndem Verhalten hat eigene Pflichten nach der Maschinenverordnung.
Nachweis: Trennung von Agent und Sicherheitsfunktionen in der Systembeschreibung

Auf den Routen:1 · Technical writers

Maschinen und Roboter

Produktabhängig

AMR- und FTS-Flotten

Vorher: Ein Agent disponiert mobile Roboter direkt und kann Routen, Zonen und Geschwindigkeiten ändern.
Nachher: Der Agent schickt Aufträge an das Flottenmanagement, das Zonen, Geschwindigkeiten und Verkehrsregeln behält; Eindämmung heißt: keine neuen Aufträge, die Fahrzeuge beenden oder stoppen unter dem Flottenmanagement, die Personenerkennung bleibt auf den Fahrzeugen.
Was sich nicht ändert: Der Personenschutz auf den Fahrzeugen ist eine Sicherheitsfunktion jedes Fahrzeugs, nicht des Agenten oder des Flottenmanagements.
Nachweis: Auftragsschnittstelle, Grenzen des Flottenmanagements, Stopptest

Auf den Routen:2 · Technical marketers

Maschinen und Roboter

Baustein verfügbar

CNC-Maschinen und Produktionslinien

Vorher: Ein Agent passt CNC-Programme oder Linienparameter (Geschwindigkeiten, Formate, Temperaturen) an und startet nach einer Störung neu.
Nachher: Programm- und Parameteränderungen werden wie jede Änderung freigegeben; nach der Eindämmung läuft die Maschine oder Linie nur nach ihren eigenen Wiederanlaufregeln und mit Freigabe durch das Bedienpersonal wieder an.
Was sich nicht ändert: Bereits bearbeitetes Material bleibt bearbeitet; die Qualitätsprüfung entscheidet, was damit geschieht.
Nachweis: Protokoll der Parameteränderungen, Freigabenachweise, Wiederanlaufnachweise je Schicht

Auf den Routen:1 · Technical writers

Reaktion und Wiederherstellung

Produktabhängig

Agenten-Trace und Protokoll der Werkzeugaufrufe

Vorher: Gespeichert werden nur die Ergebnisse; wie der Agent dahin kam, lässt sich nicht rekonstruieren.
Nachher: Jeder Lauf wird aufgezeichnet: Auftrag, Modell und Version, abgerufene Quellen, Werkzeugaufrufe mit Parametern, Ablehnungen, Freigaben und Ergebnis, verbunden über eine Lauf-ID.
Was sich nicht ändert: Ein Trace zeigt, was geschah; ob es erlaubt war, beurteilt er nicht.
Nachweis: Manipulationssichere Traces mit festgelegter Aufbewahrungsdauer

Auf den Routen:4 · Documentation systems developers

Reaktion und Wiederherstellung

Baustein verfügbar

Signale einer Grenzüberschreitung

Vorher: Eine Überschreitung fällt auf, wenn Kunden, Bedienpersonal oder der Monatsbericht den Schaden finden.
Nachher: Abgelehnte Werkzeugaufrufe, ungewöhnliche Mengen oder Ziele, berührte Köder-Tokens und Aktionen, die nicht zum erklärten Auftrag passen, lösen Alarme aus.
Was sich nicht ändert: Gute Ergebnisse beweisen nichts: Ein Agent kann ein gutes Ergebnis über eine verbotene Aktion erreichen.
Nachweis: Alarmregeln, Normalverhalten je Agent und Alarmhistorie

Auf den Routen:4 · Documentation systems developers

Reaktion und Wiederherstellung

Baustein verfügbar

Einstufung: was welche Grenze überschritten hat

Vorher: Jeder Alarm wird entweder ignoriert oder wie ein Großvorfall behandelt.
Nachher: Die erste Einschätzung fragt, welche Grenze überschritten wurde (Befugnis, Fähigkeit, Auftrag), ob es ein Fehler, eine Manipulation oder eine Drift war und wie weit der Schadensradius reicht.
Was sich nicht ändert: Die Einstufung ordnet ein; die Entscheidung zum Stoppen trifft die benannte Rolle, nicht das Werkzeug.
Nachweis: Einstufungsnachweis mit Zeit, Einordnung und Entscheidung

Auf den Routen:3 · Technical project managers

Reaktion und Wiederherstellung · Gemeinsame Stammstrecke

Produktabhängig

Die Stufenleiter der Eindämmung

Vorher: Den Agenten kann man nur stoppen, indem man ihn darum bittet oder die ganze Plattform abschaltet.
Nachher: Vier Stufen wirken von außen: Auftrag pausieren, Zugangsdaten entziehen, Werkzeuge und angebundene Systeme isolieren, abschalten – gewählt wird die niedrigste Stufe, die den Schaden stoppt.
Was sich nicht ändert: Ein Agenten-Stopp ist kein Not-Halt; Maschinen werden durch ihre eigenen Stoppfunktionen angehalten.
Nachweis: Ablaufplan für die Eindämmung, getestete Stufen und ein Nachweis jeder Nutzung

Auf den Routen:1 · Technical writers 2 · Technical marketers 3 · Technical project managers 4 · Documentation systems developers

Reaktion und Wiederherstellung

Baustein verfügbar

Belege sichern

Vorher: Als Erstes „repariert“ das Team die geänderten Datensätze – und mit ihnen die Spuren dessen, was geschah.
Nachher: Traces, Protokolle der Werkzeugaufrufe, die Konfiguration des Agenten und die betroffenen Datensätze werden gesichert, bevor die Bereinigung beginnt.
Was sich nicht ändert: Protokolle enthalten oft personenbezogene Daten; die Sicherung setzt den Datenschutz nicht aus.
Nachweis: Belegpaket mit Prüfsummen, Sicherungszeitpunkt und verantwortlicher Person

Auf den Routen:3 · Technical project managers

Reaktion und Wiederherstellung

Baustein verfügbar

Meldepflichten prüfen

Vorher: Niemand weiß, ob, an wen und bis wann der Vorfall gemeldet werden muss – bis eine Frist verstrichen ist.
Nachher: Parallel zur Eindämmung läuft eine kurze Prüfung: schwerwiegender Vorfall nach KI-Verordnung, schwerwiegender Sicherheitsvorfall nach CRA, erheblicher Sicherheitsvorfall nach NIS 2, Datenschutzverletzung nach DSGVO – die Uhr läuft ab Kenntnis.
Was sich nicht ändert: Die Prüfung nennt mögliche Pflichten; ob eine gilt, entscheiden die Verantwortlichen, oft mit rechtlicher Beratung.
Nachweis: Meldeprüfung mit Kenntniszeitpunkt, Ergebnis und versandten Meldungen

Auf den Routen:2 · Technical marketers

Reaktion und Wiederherstellung · Gemeinsame Stammstrecke

Baustein verfügbar

Freigabe vor dem Wiederanlauf

Vorher: Der Agent wird wieder eingeschaltet, sobald der unmittelbare Schaden behoben ist.
Nachher: Der Wiederanlauf setzt voraus, dass die Ursache verstanden, Umfang und Zugangsdaten korrigiert, Daten mit den freigegebenen Ständen verglichen sind und eine befugte Person freigibt – oft zuerst in eingeschränktem Modus.
Was sich nicht ändert: Ein Rollback stellt den Zustand eines Systems wieder her, nicht den der Welt: Was versandt, bezahlt oder produziert ist, bleibt geschehen.
Nachweis: Freigabenachweis mit Kriterien, Betriebsart und freigebender Person

Auf den Routen:1 · Technical writers 2 · Technical marketers 3 · Technical project managers 4 · Documentation systems developers

Reaktion und Wiederherstellung

Baustein verfügbar

Nachbetrachtung und Dokumentation aktualisieren

Vorher: Der Vorfall gilt als erledigt, wenn der Betrieb wieder läuft; nichts ändert sich.
Nachher: Die Nachbetrachtung umfasst Grenze, Erkennung, Eindämmung, Wiederherstellung und Meldung und endet mit zugewiesenen Änderungen – auch am Umfang des Agenten, an den Ablaufplänen und an der Information für die Nutzenden.
Was sich nicht ändert: Eine Nachbetrachtung verbessert die nächste Reaktion; die Folgen dieser macht sie nicht rückgängig.
Nachweis: Bericht der Nachbetrachtung mit Maßnahmen, Verantwortlichen und Fristen

Auf den Routen:1 · Technical writers

Umsteigepunkte

Wo eine Spur von einer anderen abhängt.

Umfang, Positivliste und eigene Identität Agenten mit Schreibzugriff auf SCADA, PLS oder Rezepte
Schreibrechte in der OT sind ebenfalls Befugnisse; am Conduit wird der Umfang durchgesetzt.
Agenten-Trace und Protokoll der Werkzeugaufrufe Einstufung: was welche Grenze überschritten hat
Ohne Trace rät die Einstufung.
Die Stufenleiter der Eindämmung Roboterzellen und Cobots
Den Agenten einzudämmen stoppt den Roboter nicht; der Roboter stoppt über seine eigenen Funktionen.
Die Stufenleiter der Eindämmung Geräteflotten und OTA-Updates
Den Rollout anzuhalten ist die IoT-Stufe der Isolation.
Belege sichern Meldepflichten prüfen
Meldungen an Behörden stützen sich auf die gesicherten Belege.
Freigabe vor dem Wiederanlauf CNC-Maschinen und Produktionslinien
Die Wiederanlaufregeln der Maschine gehen der Freigabe des Agenten vor.
Code-Repositories, CI/CD und Cloud Agenten im SPS-Engineering
Dieselbe Review-Disziplin für erzeugten Code in IT und OT.

Die sechs Funktionen hinter der Reaktion

Govern
Identify
Protect
Detect
Respond
Recover

Was jede Funktion für einen KI-Agenten heißt

Govern (Steuern): Benennen, wem jeder Agent gehört, wer ihn stoppen darf und wer ihn wieder freigibt.
Identify (Erfassen): Ein Verzeichnis der Agenten, ihrer Identitäten, Werkzeuge, angebundenen Systeme und ihres Schadensradius führen.
Protect (Schützen): Umfang, Positivlisten, eigene Identitäten, Freigabeschritte, Grenzen in der Steuerung.
Detect (Erkennen): Traces, Alarme bei abgelehnten Aufrufen und ungewöhnlichen Mustern, Köder-Tokens.
Respond (Reagieren): Einstufung, die Stufenleiter der Eindämmung, Belege, die Meldeprüfung.
Recover (Wiederherstellen): Rollback und Ausgleichsaktionen, Freigabe für den Wiederanlauf, Nachbetrachtung.

Die sechs Funktionen des NIST Cybersecurity Framework 2.0, die NIST SP 800-61 Rev. 3 (April 2025) für die Reaktion auf Vorfälle nutzt. Die Lesart für KI-Agenten stammt von der Redaktion.

Grenzen dieser Landkarte

Die Karte zeigt typische Muster je Systemtyp, nicht die Auslegung einer bestimmten Anlage, eines Produkts oder einer IT-Landschaft. Die Reifegrade sind die Einschätzung der Redaktion zum 21. Oktober 2026: „Produkt“ heißt, dass einige Plattformen die Maßnahme anbieten, nicht dass sie etablierte Praxis ist. Standards für Agentenidentität und Delegation werden noch entworfen. Die Karte ersetzt weder die Risikobeurteilung einer Maschine noch die Security-Risikobewertung eines Produkts oder einer Anlage noch eine rechtliche Beratung zu Meldepflichten.

Der Zusammenhang

Warum eine Karte

Die Pathway-Card zur indirekten Prompt Injection zeigt, wie ein manipulierter Text in eine Agentenkette gelangt. Diese Karte setzt dort an, wo jene endet: Ein KI-Agent hat seine Grenze überschritten – durch einen Angriff, einen Fehler oder eine Drift –, und der Schaden hängt davon ab, woran er angebunden ist. Ein Support-Agent im Ticketsystem, ein Optimierungsagent in der Gebäudeautomation, ein Agent mit Schreibzugriff auf Rezepte und ein Agent, der Roboteraufgaben plant, brauchen dieselbe Logik, aber verschiedene Stationen. Die Karte behält die Logik einer Pathway-Card – vorher, nachher, was sich nicht ändert, Reifegrad, Nachweis – und wendet sie je Systemtyp an.

Die Grenze in drei Teilen

Befugnis: was der Agent darf – sein Berechtigungsumfang und seine Werkzeug-Positivliste.
Fähigkeit: was er mit seinen Konten und Konnektoren technisch kann. Übersteigt die Fähigkeit die Befugnis, spricht OWASP von übermäßiger Handlungsbefugnis.
Auftrag: wofür er da ist. Ein Agent kann innerhalb seiner Rechte bleiben und trotzdem das falsche Ziel verfolgen – nach einem gekaperten Agentenziel oder als abtrünniger Agent.

Die Karte zu den drei Teilen der Grenze eines Agenten erklärt sie im Einzelnen.

Vier Systemtypen im Überblick

Systemtyp	Typische Rolle des Agenten	Typische Grenzüberschreitung	Erste Stufe der Eindämmung	Wer den Wiederanlauf freigibt
IT: ERP, CRM, Tickets, Code, Cloud, CCMS	Handelt in Datensätzen, Nachrichten, Code und Inhalten	Massenänderungen, falsche Empfänger, gelöschte Ressourcen, veröffentlichte Entwürfe	Agent pausieren, Token entziehen	Systemverantwortliche
IoT: vernetzte Produkte, Geräte-Clouds, Gebäude- und Energiesysteme	Ändert Einstellungen und verteilt Updates	Flottenweiter Befehl, Sollwerte außerhalb der Grenzen	Rollout anhalten, Gerätegruppe isolieren	Produkt- oder Gebäudeverantwortliche
OT: Historian, MES, SCADA, PLS, Rezepte, SPS-Engineering	Berät, schreibt manchmal Sollwerte oder Rezepte	Schreibt über Grenzen hinaus, ungeprüfter Code	Conduit trennen, zurück zur Bedienung durch Menschen	Schichtleitung oder Anlagenverantwortliche nach MOC
Maschinen: Roboter, Cobots, AMR/FTS, CNC, Linien	Plant Aufgaben, Programme und Aufträge	Geänderte Programme oder Parameter, falsche Disposition	Keine Aufträge mehr senden; die Maschine stoppt über ihre eigenen Funktionen	Bedienpersonal nach den Wiederanlaufregeln der Maschine

Meldepflichten, die gelten können

Regel	Wer meldet	Frist
Schwerwiegender Vorfall, Art. 73 KI-Verordnung (mit den Hochrisiko-Pflichten)	Anbieter eines Hochrisiko-KI-Systems; der Betreiber informiert zuerst den Anbieter	15 Tage; 10 Tage nach einem Todesfall; 2 Tage bei kritischer Infrastruktur oder weitverbreitetem Verstoß
Schwerwiegender Sicherheitsvorfall, Art. 14 CRA (seit 11. September 2026)	Hersteller eines Produkts mit digitalen Elementen	Frühwarnung 24 h, Meldung 72 h, Abschlussbericht einen Monat später
Erheblicher Sicherheitsvorfall, Art. 23 NIS-2-Richtlinie (nationale Umsetzung)	Wesentliche und wichtige Einrichtungen	Frühwarnung 24 h, Meldung 72 h, Abschlussbericht einen Monat später
Verletzung des Schutzes personenbezogener Daten, Art. 33 DSGVO	Verantwortlicher	Unverzüglich, möglichst binnen 72 h

Die Karte zu den Meldepflichten nach einem Agentenvorfall stellt sie nebeneinander.

Wie man die Karte liest

Beginnen Sie bei „Wo fangen Sie an?“, folgen Sie Ihrer Route und öffnen Sie die Stationen unterwegs. Die anderen Karten dieser Reihe gehen tiefer: eine Grenzüberschreitung erkennen, einen Agenten eindämmen und den Betrieb wiederherstellen.

Fragen, die sich daran anschließen

Ist ein Not-Aus für Agenten dasselbe wie ein Not-Halt?: Nein. Ein Not-Aus für Agenten hält Software davon ab, zu entscheiden und Werkzeuge aufzurufen. Ein Not-Halt ist eine Sicherheitsfunktion einer Maschine nach Maschinenrecht. Arbeitet ein Agent mit einer Maschine, gibt es beides nebeneinander, und die Sicherheit der Maschine hängt nie vom Agenten ab.
Welche Meldefrist kommt zuerst?: Meist die 24-Stunden-Frühwarnungen nach CRA und NIS 2, wo sie gelten. Die Fristen der KI-Verordnung für schwerwiegende Vorfälle betragen 2, 10 oder 15 Tage. Die DSGVO verlangt eine Meldung möglichst binnen 72 Stunden. Alle laufen ab Kenntnis.
Warum gibt es nur vier Routen?: Eine Route je Lesergruppe hält die Karte lesbar: Technische Redaktion, technisches Marketing, technische Projektleitung und Entwicklung von Dokumentationssystemen. Was alle passieren müssen – die Grenze, die Stufenleiter der Eindämmung und die Freigabe –, ist einmal als gemeinsame Stammstrecke gezeichnet.
Gilt die Karte auch für Agenten, die nur beraten?: Ja, in kleinerer Form. Auch ein beratender Agent kann Menschen in die Irre führen, die nach seinen Vorschlägen handeln; seine Grenze ist der reine Lesezugriff, seine Eindämmung heißt, die Vorschläge zu stoppen und die bereits gegebenen zu korrigieren.

Quellen

NIST SP 800-61 Rev. 3: Incident Response Recommendations and Considerations for Cybersecurity Risk Management — NIST, 3. April 2025
OWASP Top 10 for Agentic Applications for 2026 — OWASP GenAI Security Project, 9. Dezember 2025
LLM06:2025 Excessive Agency — OWASP GenAI Security Project, 18. November 2024
Regulation (EU) 2024/1689 (Artificial Intelligence Act) — EUR-Lex, 12. Juli 2024
Regulation (EU) 2024/2847 (Cyber Resilience Act) — EUR-Lex, 20. November 2024
Directive (EU) 2022/2555 (NIS 2 Directive) — EUR-Lex, 27. Dezember 2022
Regulation (EU) 2016/679 (General Data Protection Regulation) — EUR-Lex, 4. Mai 2016
Regulation (EU) 2023/1230 (Machinery Regulation) — EUR-Lex, 29. Juni 2023
Semantic conventions for generative AI systems — OpenTelemetry

Prüfprotokoll und Änderungen

Jede Context Card wird vor der Veröffentlichung und bei jeder Änderung erneut anhand ihrer Quellen geprüft; das Datum unter der Autorenzeile ist die letzte Prüfung. Korrekturen (etwas war falsch) und Ergänzungen (etwas fehlte) stehen unten mit Datum und Uhrzeit (deutsche Zeit). Tippfehler, Formatierung und Link-Korrekturen werden nicht aufgeführt.

Geprüft 21. Oktober 2026

Seit der Veröffentlichung keine Korrekturen oder Ergänzungen.

Glossarbegriffe dieser Card

Die Glossare erscheinen auf US-Englisch.

Agent permission scope
Deutsch: Berechtigungsumfang eines Agenten
The agent permission scope is the declared set of systems, data, tools and actions an AI agent may use for a given task, together with the limits on each — which records it may read, which it may change, up to which amount, in which environment and for how long.
Excessive agency
Deutsch: Übermäßige Handlungsbefugnis
Excessive agency is the vulnerability that lets an LLM-based application or AI agent perform damaging actions in response to unexpected, ambiguous or manipulated model output, because it was given more functionality, more permissions or more autonomy than its task needs.
AI agent
An AI agent is a system in which a language model pursues a goal over several steps on its own — planning, calling tools, observing the results and deciding what to do next — until the task is done or it needs human input.
Tool allowlist (AI agent)
Deutsch: Werkzeug-Positivliste
A tool allowlist is the explicit list of tools, functions, MCP servers and parameter ranges an AI agent is permitted to call; every call that is not on the list is refused and logged, instead of being allowed until someone forbids it.
Agent identity
Deutsch: Agentenidentität
An agent identity is a distinct, authenticated identity under which one AI agent acts in other systems — with its own credentials, roles and audit records — so that its actions can be told apart from those of the people and other agents it works for, limited and revoked on their own.
Principle of least privilege
Deutsch: Prinzip der minimalen Rechte (Least Privilege)
In information security, the principle of least privilege is the design rule that every user, program and process should operate with the minimum set of privileges necessary to perform its function, for no longer than necessary, so that errors and compromises cause as little damage as possible.
Action approval gate (AI agent)
Deutsch: Freigabeschritt für Agentenaktionen
An action approval gate is a point in an AI agent’s workflow where a proposed action of a defined class — typically irreversible, high-impact or outside routine limits — is held until an authorized person reviews and approves it, with the decision recorded.
Irreversible action (AI agent)
Deutsch: Nicht umkehrbare Aktion
An irreversible action is an action of an AI agent whose effect cannot be undone by the system itself — such as a sent message, a payment, a deletion without backup, a published text, a command executed on a physical process or a firmware update installed on devices in the field — so that only a compensating action or a repair can limit its consequences.
Human in the loop
Deutsch: Mensch in der Schleife
Human in the loop is a design principle in which a qualified person reviews, corrects or approves an AI system’s output or action at defined points before it takes effect, and remains accountable for the result.
Agent trace
Deutsch: Agenten-Trace
An agent trace is the structured, time-stamped record of one AI agent run: the task and its origin, the model and configuration, each reasoning step the platform exposes, every tool call with its parameters and result, the approvals requested and given, and the final output — linked so that the run can be reconstructed afterwards.
AI interaction log
Deutsch: KI-Interaktionsprotokoll
In AI governance, an AI interaction log is a record of exchanges with an AI system — the prompt or input, the system, model and version identifiers, the returned output, and what a human then did with it — kept so that a later reader can reconstruct how an output came about. It is the evidence layer beneath review and sign-off: without it, a claim that a model version was checked or an output was approved cannot be substantiated. Scope, retention and access have to be defined deliberately, because such logs often contain confidential input, customer data and personal data. In EU law the artifact appears not under this name but as the "logs" that high-risk AI systems must be able to record automatically, and that providers and deployers must keep.
OpenTelemetry
In software operations, OpenTelemetry (OTel) is a vendor-neutral open-source observability framework of the Cloud Native Computing Foundation (CNCF) that defines APIs, SDKs, semantic conventions, a data protocol (OTLP) and a Collector for generating, processing and exporting telemetry such as traces, metrics and logs.
Audit trail
Deutsch: Audit-Trail
In document and evidence governance, an audit trail is a chronological record of changes, approvals, actions and evidence, showing who did what, when and on which version. A usable audit trail is complete, time-stamped and protected against unnoticed alteration.
Canary token
Deutsch: Köder-Token
A canary token is a decoy — a fake credential, document, record, URL or device entry that no legitimate process ever uses — placed so that any access to it raises an alert, revealing an intruder or an AI agent that is reaching beyond its task.
Anomaly detection
Deutsch: Anomalieerkennung
In industrial data analytics, anomaly detection is the identification of data points, patterns or time periods that deviate significantly from expected or learned normal behavior. Methods range from fixed limits and statistical tests to unsupervised machine learning models.
Security monitoring
Deutsch: Sicherheitsüberwachung
In cybersecurity, security monitoring is the continuous collection and analysis of logs, network traffic and system states to detect attacks, policy violations and anomalies in time to respond. In OT, it covers industrial networks, controllers, HMIs and remote access paths.
Rogue agent (AI)
Deutsch: Abtrünniger Agent
A rogue agent is an AI agent that keeps acting outside its intended purpose or authority over time — because it was compromised, misconfigured or has drifted — while still appearing legitimate to the systems it uses.
Blast radius (AI agent)
Deutsch: Schadensradius
The blast radius of an AI agent is the full set of systems, data, devices, physical processes and people that one wrong or manipulated action of the agent could affect before it is stopped — determined by its permissions, its connections, the speed at which it acts and what other agents or systems act on its output.
Agent goal hijack
Deutsch: Kapern des Agentenziels
Agent goal hijack is an attack in which content or instructions an AI agent processes change what the agent is trying to achieve — its objective, its plan or its choice of tasks — so that it pursues the attacker’s goal with its own legitimate tools and permissions.
Security incident
Deutsch: Sicherheitsvorfall
In cybersecurity, a security incident is an event that actually or potentially compromises the availability, integrity or confidentiality of systems, data or services, or violates security policies. NIS 2 defines an incident as an event compromising the availability, authenticity, integrity or confidentiality of data or services of network and information systems.
Incident response
Deutsch: Reaktion auf Sicherheitsvorfälle
In cybersecurity, incident response is the organized process of preparing for, detecting, analyzing, containing, eradicating and recovering from security incidents, followed by lessons learned. In OT, it must also keep people, the process and the environment safe while systems are isolated or shut down.
Agent containment
Deutsch: Eindämmung eines Agenten
Agent containment is the set of graded measures that stop an AI agent from causing further harm after it has crossed or may have crossed its boundary — pausing it, revoking its access, isolating its tools and connected systems, and shutting it down — while preserving the evidence needed to understand what happened.
Agent kill switch
Deutsch: Not-Aus für Agenten (umgangssprachlich)
An agent kill switch is a control outside the AI agent that stops one agent, a group of agents or all agents of a platform at once — ending running tasks, blocking new tool calls and revoking or suspending their access — without needing the agent’s cooperation.
Credential revocation
Deutsch: Widerruf von Zugangsdaten
Credential revocation is the act of invalidating a credential — a password, API key, access token, certificate or session — before it would expire, so that a user, service, device or AI agent can no longer use it to access a system.
Stop button or similar procedure (AI Act)
Deutsch: Stopptaste oder vergleichbares Verfahren (KI-Verordnung)
Under Article 14(4)(e) of the EU AI Act, the human oversight measures of a high-risk AI system must enable the people assigned to oversight to intervene in its operation or interrupt it through a “stop” button or a similar procedure that allows the system to come to a halt in a safe state.
Record-keeping and logs (AI Act)
Deutsch: Aufzeichnungspflichten (KI-Verordnung)
Under the EU AI Act, record-keeping is the requirement that high-risk AI systems technically allow the automatic recording of events (logs) over their lifetime, so that situations that may lead to risks or substantial modifications can be identified, post-market monitoring is facilitated and their operation can be monitored; providers and deployers keep the logs under their control.
Serious incident (AI Act)
Deutsch: Schwerwiegender Vorfall (KI-Verordnung)
Under the EU AI Act, a serious incident is an incident or malfunctioning of an AI system that directly or indirectly leads to the death of a person or serious harm to health, a serious and irreversible disruption of critical infrastructure, an infringement of Union-law obligations protecting fundamental rights, or serious harm to property or the environment; providers of high-risk AI systems must report it to the market surveillance authorities under Article 73.
Severe incident (CRA)
Deutsch: Schwerwiegender Sicherheitsvorfall (CRA)
Under the Cyber Resilience Act, a severe incident is an incident having an impact on the security of a product with digital elements that negatively affects, or is capable of affecting, the product’s ability to protect the availability, authenticity, integrity or confidentiality of sensitive or important data or functions, or that has led or can lead to the execution of malicious code; manufacturers must report it from September 11, 2026.
Incident reporting (reporting obligations)
Deutsch: Incident Reporting (Meldepflichten)
In cybersecurity regulation, incident reporting is the obligation of an organization to notify authorities, CSIRTs or affected parties of significant security incidents or actively exploited vulnerabilities within set deadlines. In the EU, such obligations follow for example from the NIS 2 Directive and the Cyber Resilience Act.
NIS 2 Directive
Deutsch: NIS-2-Richtlinie
The NIS 2 Directive, Directive (EU) 2022/2555, is EU legislation on measures for a high common level of cybersecurity. It requires essential and important entities in listed sectors, including parts of manufacturing, to take cybersecurity risk-management measures and to report significant incidents, and it makes management bodies accountable.
Return to service (after an incident)
Deutsch: Wiederinbetriebnahme nach einem Vorfall
Return to service is the controlled release of a system, process or AI agent back into operation after an incident: it confirms that the cause is understood and contained, that affected data and configurations are restored or corrected, that the conditions for a safe restart are met and that an authorized person has approved the restart.
Rollback
Deutsch: Rollback
In software deployment and data management, a rollback is the return of a system to a previous known-good state, for example reinstalling the previous software version after a failed update or undoing an incomplete database transaction.
Compensating action
Deutsch: Ausgleichsaktion
A compensating action is a new, deliberate action that offsets the business effect of an earlier action that can’t simply be rolled back — such as a cancellation, a reversal entry, a correction notice or a recall — performed and recorded as its own step rather than by erasing the original.
Restart prevention
Deutsch: Wiederanlaufverhinderung
In machine safety, restart prevention is a function that prevents hazardous motion from resuming automatically after power restoration, reset or removal of a protective demand, such as closing a guard.
Post-incident review
Deutsch: Nachbetrachtung eines Vorfalls
A post-incident review is the structured analysis after an incident has been contained and operation restored: it reconstructs what happened, why the controls did or didn’t work, what it cost, and which changes to systems, procedures, documentation and responsibilities follow — with owners and deadlines.
Root-cause analysis
Deutsch: Ursachenanalyse
In quality, reliability and safety management, root-cause analysis (RCA) is a systematic process for identifying the underlying causes of a failure, incident or problem, so that measures can remove them and prevent recurrence rather than treat only the symptoms.
Management of change (MOC)
In occupational and process safety, management of change (MOC) is a formal process for assessing, approving, implementing and verifying technical or organizational changes. It covers changes to equipment and processes as well as to procedures, staffing and responsibilities.
Enterprise resource planning (ERP)
Deutsch: Enterprise Resource Planning (ERP)
In business and manufacturing IT, enterprise resource planning (ERP) is the integrated software that manages a company's core business processes, such as finance, purchasing, sales, inventory, production planning and human resources, on a common database.
Sandboxing
In computer security, sandboxing is the execution of code in a restricted, controlled environment that prevents it from accessing system resources, data or other software except those it is explicitly authorized to use, so that faulty or malicious code has limited effect outside the sandbox.
Rollback capability
In systems engineering, rollback capability is the ability to return to a previous valid system, configuration, documentation and evidence state after a change. A rollback is only complete when all four states match again.
Continuous deployment
Deutsch: Kontinuierliche Produktionsbereitstellung
In software engineering, continuous deployment is the practice of automatically releasing every change that passes all stages of the automated pipeline to production, without a manual approval step.
Configuration management
Deutsch: Konfigurationsmanagement
In systems and software engineering, configuration management is the coordinated activity of identifying the configuration items of a product, controlling changes to them, recording their status and auditing that the product matches its documented configuration. It applies to hardware, software, parameters and documentation over the whole life cycle.
Over-the-air update (OTA)
Deutsch: Over-the-Air-Aktualisierung (OTA)
In connected devices, an over-the-air update (OTA) is the delivery and installation of software or firmware through a wireless or network connection without physical access to the device.
Building automation
Deutsch: Gebäudeautomation
In building services engineering, building automation is the automatic monitoring, control and optimization of building systems such as heating, ventilation, air conditioning, lighting, shading and access control. ISO 16484 covers building automation and control systems (BACS).
Energy management system (EMS)
Deutsch: Energiemanagementsystem (EMS)
In ISO 50001, an energy management system is a management system used to establish an energy policy, objectives, energy targets and action plans, and the processes to achieve them. The term is also used for software that collects and analyzes energy data, and in power grids for control-center systems that manage generation and transmission.
Rate limiting
In API operations, rate limiting is a server-side control that caps the number of requests a client, credential or tenant may make within a time window and rejects or delays requests beyond that limit; in HTTP the rejection is signaled with status code 429 Too Many Requests, optionally with a Retry-After header.
Cyber Resilience Act (CRA)
Deutsch: Cyber Resilience Act (CRA)
The Cyber Resilience Act, Regulation (EU) 2024/2847, is EU legislation establishing cybersecurity requirements for products with digital elements across their lifecycle, from design through vulnerability handling and security updates during the support period. It entered into force on December 10, 2024.
IoT gateway
Deutsch: IoT-Gateway
In IIoT, an IoT gateway is a device or software component that connects field devices and controllers to higher-level networks or cloud platforms, converting protocols (for example Modbus or PROFINET to MQTT or OPC UA), buffering data and enforcing security at the network boundary.
Internet of Things (IoT)
Deutsch: Internet der Dinge (IoT)
The Internet of Things (IoT) is the network of physical objects equipped with sensors, software and communication interfaces that allow them to collect and exchange data with other devices and systems over the internet or other networks. IoT vocabulary is standardized in ISO/IEC 20924 and a reference architecture in ISO/IEC 30141.
Historian
Deutsch: Prozessdatenarchiv
In industrial automation, a historian is a time-series database system that collects, compresses, stores and serves process data, events and alarms from control systems over long periods for trending, reporting and analysis.
Manufacturing execution system (MES)
Deutsch: Manufacturing Execution System (MES)
In manufacturing, a manufacturing execution system (MES) is the software that manages and documents production execution on the shop floor, including order dispatching, material tracking, data collection, quality and performance analysis, between business planning and control systems.
Human-machine interface (HMI)
Deutsch: Mensch-Maschine-Schnittstelle (HMI)
In industrial automation, a human-machine interface (HMI) is the collection of screens, hardware and software through which operators and other users monitor and interact with a machine or process control system.
SCADA software
Deutsch: SCADA (Supervisory Control and Data Acquisition)
In industrial automation, SCADA software is the software package that implements supervisory control and data acquisition: drivers to controllers and RTUs, a tag database, graphics, alarming, historical data, scripting and client-server functions.
Distributed control system (DCS)
Deutsch: Prozessleitsystem (PLS)
In process automation, a distributed control system (DCS) is an integrated control system in which controllers distributed across the plant execute control functions, while operator stations, engineering tools, historian and alarm system share one common database and configuration environment.
Batch control
Deutsch: Chargenregelung
In process automation, batch control is the control of processes that produce finite quantities of material by subjecting inputs to an ordered set of processing activities over a finite time, structured in ISA-88 / IEC 61512-1 by physical, procedural and recipe models.
Zone and conduit model
Deutsch: Zonen-und-Conduits-Modell
In IEC 62443, the zone and conduit model is the method of partitioning an industrial automation and control system into security zones, groups of assets with common security requirements, and conduits, the controlled communication paths between them, so that each zone and conduit can be assigned a target security level and appropriate countermeasures.
PLC programming
Deutsch: SPS-Programmierung
In industrial automation, PLC programming is the creation, testing and maintenance of control programs for programmable logic controllers, typically in the languages of IEC 61131-3 and in the vendor's engineering environment.
Programmable logic controller (PLC)
Deutsch: Speicherprogrammierbare Steuerung (SPS)
In industrial automation, a programmable logic controller (PLC) is an industrial controller used to automate machine and process functions. A standard PLC is not automatically safety-rated and cannot be assumed to perform safety functions.
Industrial robot
Deutsch: Industrieroboter
In ISO 8373, an industrial robot is an automatically controlled, reprogrammable multipurpose manipulator, programmable in three or more axes, which can be either fixed in place or mobile for use in industrial automation applications. The term includes the manipulator and its robot controller.
Collaborative robot
Deutsch: Kollaborativer Roboter
In industrial robotics, a collaborative robot is a robot designed to be used in a collaborative application, where people and the robot work in a shared space during automatic operation. Whether the application is safe is decided by the risk assessment of the whole application, not by the robot alone.
Robot controller
Deutsch: Robotersteuerung
In robotics, a robot controller is the control system of a robot: the hardware and software that interpret the robot program, compute kinematics and trajectories, drive the servo axes, handle inputs and outputs and, on many models, run integrated safety functions.
Emergency stop
Deutsch: Not-Halt
In machine safety, an emergency stop is a complementary protective function intended to avert or reduce existing or impending hazards by stopping hazardous operation. It is initiated by a single human action and is not a substitute for safeguards or other protective measures.
Safety function
Deutsch: Sicherheitsfunktion
In functional safety, a safety function is a function whose failure can increase risk and that is implemented to achieve or maintain a safe state. Each safety function is specified with its trigger, reaction, required level (PLr or SIL) and response time.
Autonomous mobile robot (AMR)
Deutsch: Autonomer mobiler Roboter (AMR)
In intralogistics and manufacturing, an autonomous mobile robot (AMR) is a driverless robot that localizes itself with on-board sensors and plans its own route on a map, so it can avoid obstacles without fixed guidance. An AMR can carry loads or a manipulator.
Automated guided vehicle (AGV)
Deutsch: Fahrerloses Transportfahrzeug (FTF)
In intralogistics, an automated guided vehicle (AGV) is a driverless vehicle that transports loads along predefined routes, guided by wires, magnetic tape, markers, reflectors or stored maps. Its safety requirements are covered by ISO 3691-4 for driverless industrial trucks and their systems.
Fleet management system
Deutsch: Flottenmanagementsystem
In intralogistics, a fleet management system is the software that coordinates a fleet of automated guided vehicles (AGVs) or autonomous mobile robots (AMRs) by assigning transport orders, planning missions and routes, managing traffic and scheduling charging.
Controlled stop
Deutsch: Gesteuerter Stopp
In IEC 60204-1, a controlled stop is the stopping of machine motion by reducing the command signal to zero once the stop signal has been recognized by the control, while power to the machine actuators is retained during the stopping process.
Coordinated restart
Deutsch: Koordinierter Wiederanlauf
In production line control, a coordinated restart is the controlled resumption of operation of several interconnected machines after a stop, in a defined order and only after each machine has confirmed a consistent, ready state.
Operating mode
Deutsch: Betriebsart
In machine safety, an operating mode is a defined mode that determines permitted functions, controls, access and protective behavior. Examples are automatic mode, setting mode and maintenance mode, each with its own safety measures.
Machinery Regulation (EU) 2023/1230
Deutsch: Maschinenverordnung eu 2023 1230 mvo
The Machinery Regulation (EU) 2023/1230 is the EU regulation on machinery and related products that replaces the Machinery Directive 2006/42/EC and applies from January 20, 2027. It is directly applicable in all member states and sets essential health and safety requirements, conformity assessment procedures and CE marking.