KI-Agenten in Banken: Sicherheit von ChatGPT bis Produktionssysteme

Künstliche Intelligenz hat sich innerhalb weniger Jahre von einem Werkzeug für die individuelle Produktivität zu einem integralen Bestandteil unternehmenskritischer Prozesse entwickelt. Doch dieser Wandel bringt neue Herausforderungen mit sich: Während Mitarbeiter:innen täglich Tools wie ChatGPT oder Gemini für einfache Aufgaben nutzen, entstehen parallel komplexe KI-Agenten, die eigenständig auf Systeme zugreifen und Entscheidungen treffen können. Die Sicherheitsrisiken unterscheiden sich dabei fundamental – und erfordern angepasste Strategien.

Ein fiktives Szenario zeigt, wie eine moderne Bank diese Transformation gestaltet. ZYX Bank setzt bereits seit Jahren auf KI-Unterstützung, doch der nächste Schritt erfordert eine grundlegende Neuausrichtung: den Aufbau einer sicheren Infrastruktur für KI-Agenten, die in Echtzeit auf sensible Systeme zugreifen. Doch bevor dies gelingt, muss zunächst die alltägliche Nutzung von KI-Tools wie ChatGPT oder GitHub Copilot reguliert werden – ein Balanceakt zwischen Innovation und Compliance.

Von der Produktivitätshilfe zum autonomen System: Zwei Sicherheitsmodelle

Der häufigste Fehler bei der Einführung von KI besteht darin, alle Anwendungsfälle über einen Kamm zu scheren. Doch die Risiken unterscheiden sich je nach Einsatzgebiet grundlegend:

• Tägliche KI-Nutzung durch Mitarbeiter:innen: Hier geht es vor allem um den Schutz von Daten vor versehentlicher Weitergabe. Tools wie ChatGPT oder Google Docs mit integrierter KI müssen durch klare Richtlinien und Zugriffsbeschränkungen abgesichert werden.

• Produktionsbereite KI-Agenten: Diese Systeme greifen aktiv auf unternehmensweite Datenquellen zu – von Jira-Tickets über GitHub-Pull-Requests bis hin zu AWS-Konfigurationen. Die Herausforderung liegt hier im Schutz vor unbeabsichtigten Aktionen, etwa der versehentlichen Änderung von IAM-Richtlinien oder der Deaktivierung kritischer Systeme.

ZYX Bank setzt daher auf zwei parallele Sicherheitsmodelle: ein nutzerzentriertes Governance-Modell für die alltägliche KI-Nutzung und eine technische Kontrollarchitektur für autonome Agenten. Beide sind eng miteinander verzahnt, um eine nahtlose, aber sichere Integration zu gewährleisten.

Schritt 1: Governance für den täglichen KI-Einsatz

Bevor ZYX Bank an der Entwicklung eigener KI-Agenten arbeitet, musste das Unternehmen zunächst die bereits bestehende Nutzung von Tools wie ChatGPT oder Claude regulieren. Das Ziel: Schatten-IT vermeiden und gleichzeitig die Produktivität erhalten.

Klare Richtlinien für akzeptierte Tools

Die Bank hat eine AI Acceptable Use Policy eingeführt, die folgende Aspekte regelt:

• Genehmigte Plattformen: Nur Enterprise-Versionen von ChatGPT, Claude oder Gemini dürfen genutzt werden – persönliche Konten sind tabu. Zudem müssen alle Tools von den Abteilungen Sicherheit, Recht und Datenschutz geprüft werden.

• Erlaubte Anwendungsfälle: Die Nutzung beschränkt sich auf interne Dokumente, Code-Erklärungen oder die Erstellung von ersten Entwürfen für technische Unterlagen. Sensible Daten wie Kundendaten, Passwörter oder Authentifizierungsprotokolle dürfen nicht hochgeladen werden.

• Verbotene Szenarien: Der Einsatz von KI-Tools für die Verarbeitung von personenbezogenen Daten, Zahlungsinformationen oder Sicherheitsvorfällen ist strikt untersagt.

Diese Richtlinien werden durch technische Maßnahmen ergänzt:

• Workload-Isolation: Nutzer:innen dürfen nur spezifische Daten in die KI-Tools eingeben, etwa freigegebene Confluence-Seiten oder nicht-sensitive Meeting-Protokolle.

• Monitoring und Audit-Logs: Alle KI-Nutzungen, die über das genehmigte Maß hinausgehen, werden erfasst und können bei Bedarf analysiert werden.

Warum Verbote oft nach hinten losgehen

Viele Unternehmen versuchen zunächst, KI-Nutzung komplett zu untersagen – doch dies führt meist zu Schatten-KI, bei der Mitarbeiter:innen auf nicht-autorisierte Tools ausweichen. ZYX Bank setzt stattdessen auf Transparenz und Schulung: Die Richtlinien sind so formuliert, dass sie auch für technische Laien verständlich sind, und regelmäßige Schulungen sollen das Bewusstsein für sicherheitsrelevante Themen schärfen.

Schritt 2: Aufbau eines sicheren KI-Agenten für den Produktionsbetrieb

Mit den Grundlagen der KI-Governance gelegt, konnte ZYX Bank den nächsten Schritt wagen: die Entwicklung eines internen KI-Agenten, der DevOps- und Sicherheitsteams bei der Überprüfung von Infrastrukturänderungen unterstützt.

Der "ZYX Secure Engineering Assistant"

Dieser Agent ist als erster Produktionsfall bewusst eingeschränkt und soll zunächst nur Infrastrukturänderungen vor der Bereitstellung validieren. Seine Hauptaufgaben umfassen:

• Datenquellen abrufen: Lesen von Jira-Tickets, verknüpften GitHub-Pull-Requests und Confluence-Dokumentationen.

• Konfigurationsprüfung: Analyse von Terraform- oder Anwendungskonfigurationen auf potenzielle Risiken wie unsichere Internet-Exposition, fehlende Verschlüsselung oder unzureichende Protokollierung.

• AWS-Metadaten abfragen: Abgleich von Änderungen mit den Richtlinien der Entwicklungsumgebung.

• Risikobewertung erstellen: Generierung einer Zusammenfassung, die potenzielle Sicherheitslücken und erforderliche Genehmigungen auflistet.

• Kommunikation: Veröffentlichung der Ergebnisse in Jira und Slack sowie Erstellung von Folgeaufgaben für fehlende Kontrollen.

Sicherheitsgrenzen: Was der Agent NICHT darf

Um Missbrauch zu verhindern, sind dem Agenten klare Grenzen gesetzt:

• Keine direkten Änderungen: Der Agent darf keine Infrastruktur in der Produktion bereitstellen oder GitHub-Branches modifizieren.

• Keine automatischen Berechtigungsvergaben: Änderungen an IAM-Richtlinien erfordern stets eine menschliche Freigabe.

• Kein Zugriff auf sensible Daten: HR-Daten oder Sicherheitsprotokolle dürfen nur bei expliziter Autorisierung eingesehen werden.

• Keine Geheimnis-Exposition: Rohdaten wie API-Schlüssel oder Zertifikate bleiben stets geschützt.

Technische Umsetzung: Identity, Permissions und Logging

Der Agent basiert auf einer modularen Architektur, die folgende Prinzipien umsetzt:

• Minimale Berechtigungen: Der Agent greift nur auf die Daten zu, die für seine Aufgabe erforderlich sind – und nur mit den geringsten notwendigen Rechten.

• Genehmigungsgates: Jede potenziell riskante Aktion (z. B. das Vorschlagen einer IAM-Änderung) erfordert eine manuelle Bestätigung durch eine autorisierte Person.

• Vollständige Nachverfolgbarkeit: Alle Aktionen des Agenten werden protokolliert und können im Nachhinein analysiert werden.

• Rollback-Möglichkeiten: Falls der Agent eine fehlerhafte Empfehlung gibt, kann diese schnell rückgängig gemacht werden.

Ein zentraler Bestandteil ist zudem die Integration in bestehende Identitätsmanagement-Systeme wie Google SSO. Der Agent authentifiziert sich über OAuth 2.0 und nutzt temporäre Tokens, die nach einer bestimmten Zeit automatisch ablaufen. Dies verhindert, dass ein kompromittiertes System langfristig Zugriff auf sensible Ressourcen behält.

Fazit: KI-Sicherheit als fortlaufender Prozess

Die Integration von KI-Agenten in Banken ist kein Sprint, sondern ein Marathon. ZYX Bank hat gezeigt, dass der Übergang von einfachen ChatGPT-Nutzungen zu komplexen Produktionssystemen nur gelingt, wenn Unternehmen zwei parallele Sicherheitsstrategien verfolgen:

1. Governance für den täglichen KI-Einsatz, um Datenlecks und Compliance-Verstöße zu verhindern.
2. Technische Kontrollen für autonome Agenten, um unbeabsichtigte Systemänderungen zu blockieren.

Der Schlüssel zum Erfolg liegt in der Balance zwischen Innovation und Sicherheit. Während der "ZYX Secure Engineering Assistant" heute noch auf Infrastrukturprüfungen beschränkt ist, könnten zukünftige Versionen durch erweiterte KI-Fähigkeiten – etwa die automatisierte Behebung von Sicherheitslücken – noch mehr Wert schaffen. Doch eines bleibt konstant: Die Sicherheit muss immer an erster Stelle stehen.

Banken und Unternehmen, die diesen Weg beschreiten, werden nicht nur effizienter arbeiten, sondern auch das Vertrauen ihrer Kund:innen und Regulierungsbehörden stärken.