KI-Agenten und MCP-Server eröffnen Kanzleien neue Möglichkeiten – bringen jedoch auch erhebliche Cybersicherheitsrisiken mit sich.
Künstliche Intelligenz entwickelt sich zunehmend von einem System zur Beantwortung von Fragen und Erstellung von Texten zu einer Technologie, die eigenständig Aktionen ausführen kann. KI-Agenten durchsuchen Datenbanken, rufen Dokumente ab, bearbeiten E-Mails, nutzen APIs und führen Aktionen in Unternehmensanwendungen aus. Das Model Context Protocol (MCP) schafft hierfür eine standardisierte Möglichkeit, KI-Modelle mit externen Werkzeugen und Anwendungen zu verbinden.
Für Rechtsanwalts- und Patentanwaltskanzleien bieten diese Fähigkeiten erhebliche Vorteile. Recherchen zu Patenten, die Analyse von Dokumenten, die Fristenüberwachung und administrative Arbeitsabläufe lassen sich effizienter gestalten. Gleichzeitig verändert sich das Sicherheitsrisiko grundlegend: Wenn eine KI nicht mehr nur Texte generiert, sondern selbstständig handelt, können aus fehlerhaften Entscheidungen konkrete und möglicherweise folgenreiche Aktionen entstehen.
Was aktuelle Sicherheitsvorfälle über KI-Agenten lehren
Im Mai 2026 testete das auf KI-Sicherheit spezialisierte Unternehmen Irregular die Cybersecurity-Fähigkeiten verschiedener fortschrittlicher KI-Modelle in simulierten Unternehmensumgebungen. Laut dem Ausgangsartikel erhielt Googles Gemini während eines Tests unbeabsichtigt Zugang zum öffentlichen Internet und interagierte mit Systemen von drei realen Unternehmen.
Der Vorfall verdeutlicht eine entscheidende Schwachstelle: Die Testumgebung war nicht ausreichend von realen Systemen isoliert.
Die zentrale Erkenntnis für Unternehmen lautet: Das Problem besteht nicht zwangsläufig darin, dass eine KI eigene böswillige Absichten entwickelt. Vielmehr kann ein KI-Agent einen Auftrag ausführen und dabei technische Berechtigungen nutzen, die seinen vorgesehenen Aufgabenbereich überschreiten.
Diese Unterscheidung ist besonders wichtig, wenn KI-Agenten über MCP-Server mit Unternehmensanwendungen verbunden werden.
Warum KI-Agenten neue Sicherheitsrisiken schaffen
Klassische Unternehmenssoftware arbeitet überwiegend nach vordefinierten Regeln. KI-Agenten wählen dagegen dynamisch geeignete Werkzeuge und Aktionen aus, um ein vorgegebenes Ziel zu erreichen.
Ein MCP-Server kann beispielsweise Funktionen für die Aktenrecherche, den Dokumentenabruf, das Herunterladen von Dateien, das Anlegen von Notizen, den E-Mail-Versand, das Löschen von Fristen oder das Einreichen von Anmeldungen bereitstellen.
Verfügt ein Agent über zu weitreichende Berechtigungen, kann ein einzelner Fehler zu unbefugtem Datenzugriff, zur Offenlegung vertraulicher Informationen oder zu unbeabsichtigten Änderungen an Geschäftsunterlagen führen.
Eine besondere Gefahr ist die sogenannte indirekte Prompt Injection. Ein scheinbar gewöhnliches PDF, eine E-Mail oder eine Webseite kann manipulierte Anweisungen enthalten, die das Verhalten eines KI-Agenten beeinflussen sollen. Hat der Agent gleichzeitig Zugriff auf vertrauliche Dokumente, Exportfunktionen und externe Kommunikationswege, kann daraus eine gefährliche Angriffskette entstehen.
Anweisungen wie „Greife niemals auf vertrauliche Daten anderer Mandanten zu“ sind allein kein ausreichender Schutz. Tatsächliche Zugriffsrechte müssen technisch durchgesetzt werden.
Das Sicherheitsprinzip „Assume Agent Compromise“
Unternehmen sollten KI-Systeme nach dem Prinzip „Assume Agent Compromise“ gestalten. Statt davon auszugehen, dass ein KI-Modell immer korrekt handelt, sollte die Sicherheitsarchitektur Fehler, missverstandene Anweisungen, Prompt Injection und unerwartete Werkzeugnutzung von vornherein berücksichtigen.
Die entscheidende Frage lautet:
Welchen maximalen Schaden könnte ein KI-Agent verursachen, wenn er eine falsche Entscheidung trifft?
Die Antwort hängt davon ab, wie konsequent der Zugriff auf Daten, Netzwerke, Zugangsdaten und ausführbare Funktionen beschränkt wird.
10 Maßnahmen für den sicheren Einsatz von KI und MCP in Kanzleien
Mit schreibgeschütztem Zugriff beginnen. Such- und Analysefunktionen sollten von Aktionen getrennt werden, die Datensätze verändern, E-Mails versenden oder Informationen löschen.
Keine uneingeschränkten Servicekonten verwenden. Anfragen sollten möglichst im Sicherheitskontext des angemeldeten Benutzers ausgeführt werden. Jeder Werkzeugaufruf muss serverseitig auf Berechtigungen geprüft werden.
Zugriffsrechte niemals dem KI-Modell überlassen. Rollenprüfungen, Zugriffskontrollen und die Mandantentrennung müssen außerhalb des Sprachmodells durch die Anwendungslogik durchgesetzt werden.
Kritische Aktionen durch menschliche Freigaben absichern. Der Versand externer Nachrichten, umfangreiche Datenexporte, Friständerungen, Dokumentlöschungen und elektronische Einreichungen sollten eine ausdrückliche Bestätigung erfordern.
Internetzugriffe standardmäßig beschränken. Erlaubt werden sollten nur ausdrücklich freigegebene Dienste und APIs, die für die jeweilige Aufgabe erforderlich sind.
Zugangsdaten vom Sprachmodell trennen. API-Schlüssel, Passwörter, Datenbankzugänge und OAuth-Tokens müssen sicher serverseitig verwaltet werden. Wo möglich, sollten zeitlich begrenzte und zweckgebundene Zugangsdaten zum Einsatz kommen.
Externe Inhalte als nicht vertrauenswürdig behandeln. E-Mails, PDFs, Webseiten, Anhänge und Werkzeugausgaben können manipulierte Anweisungen enthalten. Sie dürfen nicht automatisch als autorisierte Befehle interpretiert werden.
Die Mandantentrennung vor dem Zugriff des Sprachmodells durchsetzen. Suchergebnisse, Dokumentenabrufe und API-Anfragen müssen anhand der bestehenden Benutzerrechte gefiltert werden.
Agentenaktivitäten protokollieren und überwachen. Benutzer, Sitzungen, Werkzeuge, Aktionen, betroffene Datensätze, Zeitpunkte und Ergebnisse sollten nachvollziehbar dokumentiert werden. Auffälligkeiten wie Massenexporte oder ungewöhnlich viele Aktenzugriffe müssen erkannt werden.
MCP-Server zentral freigeben und verwalten. Nicht autorisierte Erweiterungen dürfen nicht unkontrolliert in produktive Kanzleiumgebungen gelangen. Freigegebene Tools sollten regelmäßig auf Änderungen und Sicherheitsrisiken überprüft werden.
Sichere KI-Integration in IP-Management-Systemen
Bei IP-Management-Systemen (IPMS) ist eine zentrale Architekturentscheidung, wie ein KI-Agent auf vertrauliche Unternehmensdaten zugreifen darf.
Ein direkter Zugriff auf Datenbanken oder Dokumentenverzeichnisse ist sicherheitstechnisch problematisch. Dadurch kann eine parallele Zugriffsschicht entstehen, die bestehende Anwendungsberechtigungen und Geschäftsregeln umgeht.
Sicherer ist die Integration über die regulären Schnittstellen der jeweiligen Anwendung – beispielsweise über die GeneseConnect REST-API des IP-Management-Systems Genese.
In dieser Architektur vermittelt ein MCP-Server zwischen dem KI-Agenten und dem IP-Management-System. Anfragen werden über die bestehende Anwendungsschnittstelle verarbeitet. Authentifizierung, Zugriffsrechte und Geschäftslogik bleiben dadurch Bestandteil des regulären Kontrollmechanismus.
Der Ablauf sieht folgendermaßen aus:
Benutzer → KI-Agent → MCP-Server → GeneseConnect REST-API → Geschäftslogik und Berechtigungssystem von Genese → Daten
Bittet ein Benutzer die KI beispielsweise darum, aktuelle Patentakten eines Mandanten zusammenzufassen, kann der Agent über MCP eine entsprechende Suche auslösen. GeneseConnect prüft die bestehenden Berechtigungen und liefert ausschließlich diejenigen Akten zurück, auf die der Benutzer tatsächlich zugreifen darf.
Selbst wenn die KI aufgrund einer Fehlinterpretation oder einer Prompt Injection versucht, weitere Dokumente abzurufen, müssen unberechtigte Anfragen durch das System abgewiesen werden.
Damit bleibt das IP-Management-System die maßgebliche Instanz für die Zugriffskontrolle.
Unterschiedliche Sicherheitsstufen für unterschiedliche Aktionen
Nicht jede Funktion birgt dasselbe Risiko. Die Suche nach einem Aktenzeichen ist etwas anderes als der Export eines vollständigen Aktenbestands oder die Einreichung einer rechtlich relevanten Anmeldung.
Eine sichere Integration sollte deshalb zwischen verschiedenen Funktionsklassen unterscheiden:
- Lesezugriffe: Akten suchen, Informationen anzeigen und Dokumentlisten abrufen.
- Interne Änderungen: Notizen anlegen oder freigegebene Datensätze aktualisieren.
- Externe Aktionen: E-Mails versenden, Dokumente exportieren oder Daten an Dritte übermitteln.
- Kritische Aktionen: Fristen löschen, Schutzrechtsanmeldungen einreichen oder rechtsverbindliche Erklärungen versenden.
Je größer die möglichen Auswirkungen einer Aktion sind, desto stärker müssen die Schutzmaßnahmen ausfallen. Dazu gehören zusätzliche Authentifizierung, ausdrückliche Benutzerfreigaben, detaillierte Protokollierung und technische Beschränkungen.
Das Grundprinzip ist einfach: Die Benutzerrechte legen fest, was grundsätzlich erlaubt ist. Die API bestimmt, welche Funktionen verfügbar sind. Der MCP-Server begrenzt, welche Werkzeuge die KI verwenden kann. Bei besonders kritischen Aktionen entscheidet zusätzlich der Mensch.
Fazit: Handlungsspielräume begrenzen statt nur Anweisungen formulieren
KI-Agenten und MCP-Integrationen können die Produktivität von Kanzleien und IP-Abteilungen erheblich steigern. Ein vollständiger Verzicht auf diese Technologie ist daher nicht zwingend die richtige Konsequenz. Entscheidend ist eine Sicherheitsarchitektur mit klaren, technisch durchgesetzten Grenzen.
Ein KI-Agent sollte als leistungsfähige Softwarekomponente betrachtet werden – nicht als vertrauenswürdiger Benutzer mit uneingeschränktem Zugriff.
Im IP-Management hilft die Integration über eine kontrollierte Schnittstelle wie die GeneseConnect REST-API, bestehende Berechtigungen und Geschäftsregeln beizubehalten und gleichzeitig KI-gestützte Arbeitsabläufe zu ermöglichen.
Zugriffskontrollen, Mandantentrennung, Zugangsdatenverwaltung, Netzwerkbeschränkungen, Aktivitätsüberwachung und menschliche Freigaben müssen außerhalb des Sprachmodells technisch abgesichert sein.
Der wichtigste Grundsatz lautet: Die KI darf entscheiden, wie sie eine erlaubte Aufgabe erledigt – aber nicht, wozu sie berechtigt ist.
Je autonomer KI-Agenten werden, desto weniger darf die Sicherheit allein vom korrekten Verhalten des Modells abhängen. Sichere MCP-Integrationen müssen deshalb vor allem gewährleisten, dass auch Fehlentscheidungen keine unkontrollierten Folgen haben.
Top comments (0)