Worum es geht: Ein Sprachmodell kann nur Text erzeugen. Ein Agent kann handeln – weil er Werkzeuge bekommt, die er aufrufen darf. Dieser Unterschied ist technisch klein und praktisch enorm: Aus einem Gesprächspartner wird ein Mitarbeiter mit Zugriff.
1. Der Ablauf
Der Nutzer stellt eine Aufgabe: „Fasse die offenen Anfragen dieser Woche zusammen und lege für jede eine Aufgabe im Projektwerkzeug an.“ Ein Sprachmodell allein könnte das nicht – es kennt weder die Anfragen noch hat es Zugriff auf das Projektwerkzeug.
2. Was ein Werkzeug ist 🔧
Ein Werkzeug ist nichts weiter als eine Funktion in Ihrem Code plus eine Beschreibung, wofür sie da ist und welche Angaben sie braucht. Das Modell liest diese Beschreibung und entscheidet, wann sie passt.
{
"name": "anfragen_lesen",
"description": "Liest offene Anfragen aus dem CRM. Nutze dies, wenn nach "
"Anfragen, Leads oder Kundenkontakten gefragt wird.",
"input_schema": {
"type": "object",
"properties": {
"zeitraum": {"type": "string", "description": "z. B. '7d' oder '30d'"},
"status": {"type": "string", "enum": ["offen", "beantwortet", "alle"]}
},
"required": ["zeitraum"]
}
}Die Beschreibung ist wichtiger als der Name. Sie ist die einzige Information, anhand derer das Modell entscheidet – eine ungenaue Beschreibung führt dazu, dass das falsche Werkzeug gewählt wird oder gar keines.
3. Der Unterschied zum Chatbot 🤖
| Chatbot | Agent | |
|---|---|---|
| Kann | Text erzeugen | Text erzeugen und handeln |
| Weiß | Was im Gespräch steht | Was er sich holen kann |
| Schritte | Eine Antwort | Mehrere, bis die Aufgabe erledigt ist |
| Risiko | Falsche Auskunft | Falsche Handlung |
| Braucht | Gute Anweisung | Gute Anweisung, Rechte, Freigaben, Protokoll |
Die vierte Zeile ist der Grund, warum Agenten anders behandelt werden müssen. Eine falsche Auskunft ist ärgerlich. Eine falsch versendete E-Mail an dreihundert Kunden lässt sich nicht zurückholen.
4. Leitplanken, die dazugehören 🛡️
Wenige Rechte. Der Agent bekommt nur die Werkzeuge, die seine Aufgabe braucht. Ein Agent, der Anfragen zusammenfassen soll, braucht keinen Schreibzugriff.
Freigabe bei Außenwirkung. Lesen darf er allein. Alles, was nach außen wirkt oder sich schwer zurücknehmen lässt, geht über einen Menschen.
Obergrenzen. Höchstens zehn Werkzeugaufrufe je Auftrag, ein Kostenlimit je Tag. Ohne Grenze kann ein Agent in einer Schleife hängen bleiben und in einer Stunde einen dreistelligen Betrag verbrauchen.
Protokoll. Jeder Werkzeugaufruf mit Zeitpunkt, Argumenten und Ergebnis. Ohne diese Aufzeichnung lässt sich hinterher nicht klären, was passiert ist.
Der wichtigste Sicherheitspunkt
5. Wann sich ein Agent lohnt – und wann nicht ⚖️
Lohnt sich: wenn die Schritte von Fall zu Fall unterschiedlich sind. Eine Anfrage einordnen, passende Informationen zusammensuchen, einen Entwurf vorbereiten – dort liegt der Nutzen, weil ein starres Programm jeden Sonderfall vorsehen müsste.
Lohnt sich nicht: wenn die Schritte immer gleich sind. Formulardaten ins CRM übertragen ist eine feste Abfolge. Dafür ist ein Agent langsamer, teurer und unzuverlässiger als zwanzig Zeilen Code.
6. MCP: der gemeinsame Stecker 🔌
Seit 2024 gibt es mit dem Model Context Protocol einen Standard dafür, wie Werkzeuge bereitgestellt werden. Der Vorteil: Ein einmal gebauter MCP-Server – etwa für Ihr CRM – funktioniert mit jedem Agenten, der den Standard unterstützt. Ohne ihn müsste jede Anbindung für jedes Werkzeug neu gebaut werden.
Für eigene Systeme lohnt sich der Standard, sobald mehr als ein Agent darauf zugreifen soll. Für einen einzelnen Anwendungsfall genügt eine direkte Anbindung.
7. Was Sie mitnehmen sollten
- Ein Werkzeug ist eine Funktion plus Beschreibung – die Beschreibung entscheidet.
- Das Modell wählt, Ihr Code führt aus – mit Ihren Rechten.
- Vier Leitplanken: wenige Rechte, Freigabe, Obergrenzen, Protokoll.
- Agent nur, wenn die Schritte von Fall zu Fall verschieden sind.