KI-Agenten: Was sie heute schon erledigen können und was nicht

Dieser Beitrag wurde mit KI-Unterstützung entworfen und von einer Person geprüft.

Ein KI-Agent soll nicht nur antworten, sondern handeln. Das BSI beschreibt Agenten als KI-Systeme, die eigenständig Aktionen in der digitalen Welt ausführen; dafür bekommen sie Zugriffsrechte und Schnittstellen zu anderen Programmen und zum Internet. Genau darin liegen Nutzen und Risiko.

Was die großen Anbieter Ende Oktober 2026 anbieten

OpenAI

• ChatGPT Work ist laut OpenAI ein Agent für längere, mehrstufige Aufgaben: ein Thema recherchieren, Informationen auswerten, ein Dokument, eine Tabelle, eine Präsentation oder eine Website erstellen. Work gibt es laut Preisseite ab dem Tarif Plus im Web, mobil und in der Desktop-App, in Free und Go nur eingeschränkt in der Desktop-App.
• Den früheren Agentenmodus bietet OpenAI nicht mehr an und verweist auf Work.
• dots sind dauerhaft aktive Agenten mit eigenem Cloud-Computer, die auch zwischen Gesprächen weiterarbeiten. Im Pro-Tarif gibt es sie ausdrücklich nicht im Europäischen Wirtschaftsraum, in der Schweiz und im Vereinigten Königreich. Mit der Business-Premium-Lizenz (105 € je Nutzer und Monat bei jährlicher Abrechnung) sind sie in unterstützten Regionen verfügbar, wenn der Workspace die Voraussetzungen erfüllt.

Google

• Tasks in Gemini können etwa den Posteingang aufräumen, Flug- und Hotelpreise beobachten oder Recherchen als PDF, Tabelle oder Präsentation liefern, auch im Browser. Voraussetzung sind unter anderem ein privates Konto und Google AI Pro oder Ultra. Im Europäischen Wirtschaftsraum, in der Schweiz und im Vereinigten Königreich ist die Funktion derzeit nicht verfügbar.
• Seit dem 13.10.2026 steckt der Programmier-Agent Google Antigravity in der Gemini-App für macOS, laut Google nur auf Englisch.

Anthropic

• Claude Cowork erledigt mehrstufige Aufgaben selbstständig: lokale Dateien lesen und schreiben (wenn Sie es erlauben), Websites bedienen, verbundene Dienste nutzen, Aufgaben nach Zeitplan in der Cloud ausführen, auch wenn Ihr Gerät aus ist. Verfügbar für die bezahlten Tarife Pro, Max, Ultra, Team und Enterprise; regionale Einschränkungen nennt die Hilfeseite nicht.
• Claude in Chrome steuert den Browser und ist für alle bezahlten Tarife verfügbar, als Erweiterung im Chrome-Browser noch als Beta.

Microsoft schreibt, die Copilot-App könne mit „Cowork“ ebenfalls größere, mehrstufige Aufgaben übernehmen; der Funktionsumfang hängt vom Abo ab.

Wo die Grenzen liegen

OpenAI und Google schreiben selbst, dass ihre Agenten Fehler machen können. Google nennt Tasks experimentell und rät, die Ergebnisse sorgfältig zu prüfen. OpenAI rät, bei dots alle Arbeiten mit weitreichenden Folgen zu kontrollieren. Anthropic betont, dass keine Schutzmaßnahme perfekt ist und keine Einstellung das eigene Urteil ersetzt.

Einige Grenzen sind fest eingebaut:

• Bei dots muss der Mensch Passwortänderungen und Überweisungen selbst abschließen; endgültiges Löschen oder das Installieren von Software kann jedes Mal eine Freigabe verlangen.
• Gemini fragt vor dem Senden von Nachrichten, vor Käufen, vor dem Ändern oder Löschen von Daten und vor dem Absenden von Webformularen nach einer Bestätigung; Anmeldungen auf Websites müssen Sie bestätigen oder selbst vornehmen.
• Bei Cowork braucht dauerhaftes Löschen von Dateien immer Ihre ausdrückliche Freigabe. Sie wählen zwischen Rückfrage bei jeder Aktion, automatischer Prüfung und einem Modus ganz ohne Prüfung, den Anthropic nur bei vollem Vertrauen empfiehlt.

Besonders tückisch: Prompt-Injection

Webseiten, Mails oder Dokumente können versteckte Anweisungen enthalten, die ein Agent für echte Befehle hält, etwa als unsichtbarer Text. OpenAI, Google und Anthropic beschreiben dieses Risiko in ihren Hilfeseiten. OpenAI schreibt, die Schutzmaßnahmen verringerten das Risiko, beseitigten es aber nicht. Anthropic schreibt, Claude Opus 4.8 sei deutlich widerstandsfähiger gegen solche Angriffe als frühere Modelle; mit der aktuellen Konfiguration von Claude in Chrome liege die Erfolgsquote von Angriffen in internen Tests unter 0,08 Prozent. Anthropic betont aber, dass das Risiko nicht null ist, und rät von Finanzkonten, Verträgen, Gesundheitsdaten und Arbeitskonten mit sensiblen Firmendaten ab.

Das BSI warnt vor einer besonders gefährlichen Kombination: Zugriff auf vertrauliche Daten, Verarbeitung fremder Inhalte und Verbindung nach außen. Am 24.09.2026 hat es zudem Basismaßnahmen gegen versteckte Anweisungen in dokumentbasierten KI-Chats veröffentlicht.

Was ein Betrieb sinnvoll ausprobieren kann

• Recherche mit Ergebnisdatei: etwa einen Marktüberblick aus öffentlichen Quellen als Präsentation, mit ChatGPT Work oder Claude Cowork. Quellen danach selbst öffnen.
• Unkritische Dateien aufbereiten: zum Beispiel eine Preisliste oder Notizen mit Testdaten in eine Tabelle bringen lassen.
• Rechte klein halten: Das BSI rät zum Prinzip der minimalen Rechte; ein Agent sollte nicht zugleich Zugang zu Mails, Bankkonto und Dateien haben.
• Freigabe einschalten: Wo möglich jede Aktion bestätigen lassen und das Aktionsprotokoll prüfen.
• Getrennt arbeiten: Anthropic empfiehlt für Claude in Chrome ein eigenes Browserprofil ohne Zugang zu sensiblen Konten.

Nicht ausprobieren sollten Sie vorerst, was sich nicht zurückholen lässt: Mails an Kunden, Zahlungen, Bestellungen oder Vertragsabschlüsse durch den Agenten.

Quellen

• BSI, KI-Agenten
• BSI, Basisschutz gegen Indirect Prompt Injection in dokumentbasierten LLM-Chats (24.09.2026)
• OpenAI Hilfe, ChatGPT Arbeit und Codex
• OpenAI Hilfe, ChatGPT Agent
• OpenAI Hilfe, Erste Schritte mit deinem dot
• OpenAI Hilfe, Häufige Fragen zu Datenschutz und Sicherheit bei dots
• OpenAI, ChatGPT Pläne und Preise (Deutschland)
• Google Hilfe, Tasks und Workflows in Gemini-Apps verwalten
• Google, Gemini Release-Updates (Eintrag 13.10.2026)
• Anthropic Hilfe, Get started with Claude Cowork
• Anthropic Hilfe, Use Claude in Chrome safely
• Microsoft, Microsoft Copilot für Einzelpersonen

Zurück zur Übersicht