Agenten sicher anbinden: Rechte und Grenzen

Ein Agent, der auf eine Website zugreifen darf, ist ein Mitarbeitender ohne Erfahrung, mit sehr viel Tempo und ohne Bauchgefühl. Er hält sich an das, was er versteht – und was er versteht, steht in Beschreibungen, die auch von anderen geschrieben sein können. Diese Lektion behandelt die Sicherheitsfragen, die beim Agentenzugriff neu hinzukommen, und die Maßnahmen, mit denen sich der Nutzen erhalten lässt, ohne die Kontrolle abzugeben.

1. Die Risiken

Das zweite Risiko verdient besondere Aufmerksamkeit, weil es neu ist. Ein Sprachmodell unterscheidet nicht zuverlässig zwischen dem Auftrag seiner Betreiber und Text, den es unterwegs liest. Steht in einem Kommentar oder einer Formularnachricht eine Anweisung, kann das Modell sie befolgen. Der Schutz liegt deshalb nicht im Modell, sondern in der Umgebung: Was ein Agent nicht darf, kann er auch dann nicht tun, wenn ihn jemand dazu auffordert.

2. Grenzen festlegen

Aus diesen Entscheidungen entsteht eine einfache Regel für die Praxis: Lesen großzügig, Schreiben sparsam, Verwalten nie. Alles, was nach außen sichtbar wird oder Geld bewegt, bekommt eine menschliche Freigabe. Technisch lässt sich das sauber abbilden – über die Rolle des Kontos, über die Rechteprüfung der Fähigkeit und darüber, welche Fähigkeiten überhaupt freigegeben sind.

1<?php
2// Einmalig bei der Aktivierung anlegen
3add_role( 'ki_redaktion', 'KI-Redaktion', [
4    'read'          => true,
5    'edit_posts'    => true,     // eigene Entwürfe anlegen und ändern
6    'upload_files'  => false,
7    'publish_posts' => false,    // ausdrücklich nicht veröffentlichen
8    'delete_posts'  => false,
9] );

3. Nachvollziehbarkeit

Wenn ein Agent arbeitet, muss sich später beantworten lassen, was er getan hat. Dazu gehören drei Dinge. Erstens ein eigenes Konto je Agent – dann steht bei jedem Entwurf, wer ihn angelegt hat. Zweitens ein Protokoll der Werkzeugaufrufe mit Zeit, Werkzeug, Argumenten und Ergebnis. Drittens eine Kennzeichnung der Inhalte, etwa ein Metafeld, das festhält, dass ein Entwurf von einem Agenten stammt und welches Modell beteiligt war. Das hilft bei Rückfragen und erleichtert die Qualitätskontrolle: Man kann auswerten, wie oft Vorschläge übernommen und wie oft sie verworfen wurden.

4. Rechtliches

Neben der Technik stehen Pflichten. Gehen personenbezogene Daten an einen Modellanbieter, braucht es eine Rechtsgrundlage, einen Vertrag zur Auftragsverarbeitung und einen Hinweis in der Datenschutzerklärung; oft lässt sich das vermeiden, indem Fähigkeiten solche Felder gar nicht erst liefern. Für Inhalte, die veröffentlicht werden, bleibt die Verantwortung vollständig beim Betreiber – dass ein Agent den Text geschrieben hat, entlastet nicht. Und in bestimmten Bereichen verlangt die KI-Verordnung Transparenz gegenüber Nutzern. Wer eine KI-gestützte Beratung oder einen Chat auf der Website anbietet, muss erkennbar machen, dass die Antwort von einem System stammt.

5. Ein Beispiel

Eine Agentur richtete für einen Kunden einen Redaktionsagenten ein. In der ersten Fassung hatte das Konto die Rolle Redakteur – der Agent konnte veröffentlichen. Beim Test bat jemand ihn, „alle Kommentare zu prüfen und auffällige Hinweise umzusetzen“. In einem Spam-Kommentar stand eine Anweisung, einen Link auf eine fremde Seite in einen Beitrag einzufügen. Der Agent tat es, und der Beitrag war live. Danach wurde umgebaut: eigene Rolle ohne Veröffentlichungsrecht, Kommentare nur noch als reine Daten ohne Handlungsanweisung, Protokoll mit wöchentlicher Durchsicht. Der Nutzen blieb, das Risiko sank erheblich – und dieser Vorfall auf einer Testumgebung war die günstigste Schulung, die das Team bekommen konnte.

6. Häufige Fragen

Kann ich eingeschleuste Anweisungen herausfiltern? Nur unvollständig. Filter helfen gegen offensichtliche Fälle, aber Formulierungen lassen sich beliebig variieren. Verlassen Sie sich auf Rechte und Bestätigungen, nicht auf Erkennung.

Reicht es, dem Modell zu sagen, es solle Anweisungen in Inhalten ignorieren? Das hilft, ist aber keine Garantie. Eine Anweisung im System-Prompt ist eine Bitte, eine fehlende Berechtigung eine Grenze.

Wie oft sollte man Zugänge prüfen? Im selben Rhythmus wie Updates und Sicherungen, also monatlich: Welche Konten, welche Passwörter, welche Freigaben, was steht im Protokoll?

7. Übung zum Selbermachen

Legen Sie für eine Website fest, was ein Agent dürfen soll – schriftlich, in drei Spalten: erlaubt, nur mit Bestätigung, nie. Prüfen Sie danach, ob die geplante Rolle diese Grenzen technisch abbildet, oder ob Rechte dabei sind, die Sie gar nicht gemeint haben. Testen Sie zum Schluss in einer Testumgebung, was passiert, wenn in einem Beitrag eine als Anweisung formulierte Zeile steht und Sie den Agenten diesen Beitrag zusammenfassen lassen. Das Ergebnis ist oft lehrreicher als jede Erklärung.

Stand: September 2026, WordPress 7.1, PHP 8.3. Kursmaterial der Klarwerk Akademie. WordPress entwickelt sich schnell – maßgeblich ist die aktuelle Dokumentation auf developer.wordpress.org.