Context Card
Einen KI-Agenten eindämmen: pausieren, Zugang entziehen, isolieren, abschalten
Wie stoppt man einen KI-Agenten, der seine Grenze überschritten hat – ohne die Lage zu verschlimmern und ohne es mit dem Stoppen einer Maschine zu verwechseln?
Die kurze Antwort
Eindämmung ist eine Stufenleiter mit vier Stufen, die von außen wirken: den Auftrag pausieren, die Zugangsdaten entziehen, Werkzeuge und angebundene Systeme isolieren, abschalten. Gewählt wird die niedrigste Stufe, die den Schaden stoppt, und zuerst werden die Belege gesichert. Einen Agenten einzudämmen ersetzt nie die Stoppfunktionen einer Maschine: Ein Roboter, eine Linie oder ein Prozess erreicht den sicheren Zustand über die eigene Steuerung.
Für: Technische Projektleitung, Betriebsteams, Entwicklung von Dokumentationssystemen und Technische Redaktion, die Ablaufpläne schreibt
Das Wichtigste
- Eindämmung wirkt von außen; ein Stopp, den der Agent ignorieren kann, ist keiner.
- Vier Stufen: pausieren, Zugang entziehen, isolieren, abschalten – gewählt wird die niedrigste, die den Schaden stoppt.
- Auch die Wirkungen eindämmen: wartende Updates, offene Transaktionen und laufende Aufträge wirken weiter.
- Traces und betroffene Datensätze sichern, bevor jemand aufräumt.
- Ein Agenten-Stopp ist kein Not-Halt; das Stoppverfahren der KI-Verordnung und die Maschinensicherheit stehen nebeneinander.
Der Zusammenhang
Die Stufenleiter
- Pausieren – den Auftrag oder den Agenten anhalten: keine neuen Schritte, der Zustand bleibt erhalten.
- Zugang entziehen – Zugangsdaten widerrufen: Tokens, Schlüssel, Sitzungen. Mit einer eigenen Agentenidentität behalten die Menschen, für die er arbeitete, ihren Zugang.
- Isolieren – Werkzeuge und angebundene Systeme trennen: einen Konnektor abhängen, eine Schnittstelle auf manuell stellen, eine Warteschlange anhalten, eine Gerätegruppe in Quarantäne nehmen, den Conduit in die OT trennen.
- Abschalten – den Agenten oder die Agentenplattform herunterfahren.
Ein Not-Aus für Agenten bündelt die Stufen 1 bis 3 für einen Agenten, eine Gruppe oder alle Agenten. Jede Stufe muss getestet sein, bevor sie gebraucht wird, und jede Nutzung wird festgehalten. Der Schadensradius zeigt, wie schnell man die Leiter hinaufsteigen muss.
Die Wirkungen eindämmen, nicht nur den Agenten
| Systemtyp | Wirkungen, die weiterlaufen | Eindämmung der Wirkung |
|---|---|---|
| IT | Offene Transaktionen, wartende Mails, laufende Pipelines | Warteschlangen einfrieren, Pipeline anhalten, Konnektor sperren |
| IoT | Rollout-Wellen, geplante Befehle | Rollout anhalten, Gerätegruppe am Gateway oder in der Geräte-Cloud isolieren |
| OT | Geschriebene Sollwerte und Rezepte, laufende Chargen | Conduit schließen, zurück zur Bedienung durch Menschen, Werte mit den freigegebenen vergleichen |
| Maschinen | Geänderte Programme und Parameter, Aufträge an das Flottenmanagement | Keine Aufträge mehr senden; Maschine oder Fahrzeug beendet oder stoppt unter der eigenen Steuerung |
Agenten-Stopp und Not-Halt
Die KI-Verordnung verlangt, dass Menschen, die ein Hochrisiko-KI-System beaufsichtigen, es über eine „Stopptaste“ oder ein vergleichbares Verfahren unterbrechen können, das es in einem sicheren Zustand zum Stillstand bringt (Art. 14 Abs. 4 Buchst. e). Dieser Stopp betrifft das KI-System. Ein Not-Halt ist eine Sicherheitsfunktion einer Maschine, ausgelegt und validiert nach Maschinenrecht, und der sichere Zustand der Maschine wird über ihre eigenen Steuerungs- und Sicherheitssysteme erreicht – etwa mit einem gesteuerten Stillsetzen. Arbeitet ein Agent mit einer Roboterzelle, einer AMR-Flotte oder einer Linie, gibt es beides nebeneinander: Der Agenten-Stopp ersetzt nie den Not-Halt, und der Not-Halt hängt nie vom Agenten ab.
Wer entscheidet
Legen Sie vorher fest, wer welche Stufe nehmen darf und wie schnell – Stufe 1 oft die Person, die den Agenten betreibt, Stufe 4 die Verantwortlichen der Plattform. In der OT wird das Trennen des Conduits mit dem Anlagenbetrieb abgestimmt, denn der Prozess muss ohne den Agenten beherrschbar bleiben.
Den Gesamtzusammenhang zeigt die Pathway-Map zu Grenzüberschreitungen von KI-Agenten.
Fragen, die sich daran anschließen
- Warum nicht gleich alles abschalten?
- Weil Abschalten Betrieb kostet und Belege zerstören oder halbfertige Transaktionen hinterlassen kann. Die niedrigste wirksame Stufe ist meist schneller und erhält den Zustand, den man für die Wiederherstellung braucht.
- Kann ein Eindämmungsschritt eine Gefahr erzeugen?
- In der OT und an Maschinen ja, wenn das Abtrennen eines Agenten einen Prozess ohne Steuerung zurücklässt. Deshalb muss der Prozess immer ohne den Agenten beherrschbar sein, und deshalb wird die Eindämmung mit dem Anlagenbetrieb geplant.
- Ist die Stopptaste der KI-Verordnung ein Not-Halt?
- Nein. Art. 14 Abs. 4 Buchst. e betrifft das Unterbrechen eines Hochrisiko-KI-Systems. Der Not-Halt von Maschinen ist im Maschinenrecht und in Normen wie ISO 13850 geregelt.
Quellen
- NIST SP 800-61 Rev. 3: Incident Response Recommendations and Considerations for Cybersecurity Risk Management — NIST, 3. April 2025
- OWASP Top 10 for Agentic Applications for 2026 — OWASP GenAI Security Project, 9. Dezember 2025
- Regulation (EU) 2024/1689 (Artificial Intelligence Act) — EUR-Lex, 12. Juli 2024
- Regulation (EU) 2023/1230 (Machinery Regulation) — EUR-Lex, 29. Juni 2023
- RFC 7009: OAuth 2.0 Token Revocation — IETF, August 2013
Prüfprotokoll und Änderungen
Jede Context Card wird vor der Veröffentlichung und bei jeder Änderung erneut anhand ihrer Quellen geprüft; das Datum unter der Autorenzeile ist die letzte Prüfung. Korrekturen (etwas war falsch) und Ergänzungen (etwas fehlte) stehen unten mit Datum und Uhrzeit (deutsche Zeit). Tippfehler, Formatierung und Link-Korrekturen werden nicht aufgeführt.
Geprüft
Seit der Veröffentlichung keine Korrekturen oder Ergänzungen.