AI Agent Delegation: So funktionieren Rechte, Scopes & Limits Guide

Wichtigste Erkenntnisse

• AI-Agenten-Delegation ist der Prozess, bei dem einem autonomen Software-Agenten eine begrenzte Befugnis erteilt wird, im Namen einer Person, Organisation, Anwendung oder eines Blockchain-Kontos zu handeln.
• Delegation unterscheidet sich davon, einem Agenten ein Passwort, einen privaten Schlüssel oder einen uneingeschränkten Administratorkonto zu geben. Eine gut gestaltete Delegation gewährt nur die für eine bestimmte Aufgabe erforderlichen Mindest-Rechte.
• Berechtigungen definieren die Aktionen, die ein Agent ausführen darf, wie etwa Dateien lesen, Zahlungen senden, Token tauschen oder Kalendereinträge erstellen.
• Scopes (Bereiche) bestimmen die Grenzen dieser Berechtigungen, einschließlich welche Konten, Anwendungen, Assets, Empfänger, Netzwerke und Daten der Agent einsehen darf.
• Ausgabenlimits beschränken den finanziellen Wert, den ein Agent pro Transaktion, täglich, sitzungsbasiert, tokenbasiert oder kumulativ bewegen darf.
• Delegierte Autorität kann offchain durch OAuth-Access-Tokens und API-Policy-Engines oder onchain durch Smart Accounts, Session Keys, Allowance-Module und Permission Contracts implementiert werden.

KI-Agenten gehen über die reine Textgenerierung hinaus. Sie können Datenbanken durchsuchen, Kalender verwalten, APIs aufrufen, Trades ausführen, für Dienste bezahlen, mit Smart Contracts interagieren und mit anderen Agenten koordinieren. Mit steigenden Fähigkeiten rückt die zentrale Frage in den Fokus: Nicht mehr nur, was ein Agent versteht – sondern was er autorisiert ist zu tun.

Einem Agenten uneingeschränkten Zugang zu gewähren ist gefährlich. Ein Reiseagent benötigt Zugriff auf Flug- und Hotelbuchungen, sollte jedoch nicht automatisch Zugriff auf jedes Bankkonto erhalten. Ein Handelsagent muss ein Portfolio rebalancieren können, sollte aber nicht die gesamte Kasse auf ein unbekanntes Wallet transferieren dürfen. Ein Business-Assistent muss Rechnungen lesen, sollte jedoch nicht eigenständig Zahlungen freigeben können, ohne dass eine Kontrolle stattfindet.

Die AI-Agenten-Delegation löst dieses Problem, indem Befugnisse in begrenzte, durchsetzbare Rechte aufgeteilt werden. Das Konzept erinnert daran, wie ein Unternehmen Aufgaben an Mitarbeitende delegiert: Der Mitarbeitende erhält Zugang zu bestimmten Systemen, Budgets und Aufgaben, aber nie die volle Kontrolle über die Organisation. Digitale Delegation wendet dieses Prinzip auf Software-Agenten an.

Warum KI-Agenten delegierte Autorität benötigen

Ein einfacher Chatbot kann auf die Freigabe jedes Schrittes durch einen Nutzer warten. Ein wirklich nützlicher autonomer Agent muss jedoch häufig handeln, wenn der Nutzer nicht präsent ist. Beispiel: Ein Agent, der die Software-Abonnements eines Unternehmens verwaltet, muss Rechnungen überwachen, Zahlungsvorgänge abgleichen, Zahlungen durchführen, doppelte Abos identifizieren und das Finanzteam bei verdächtigen Vorgängen alarmieren können.

Wäre für jede 20-Dollar-Zahlung eine individuelle Benutzerfreigabe notwendig, ginge der Automatisierungsvorteil verloren. Dem Agenten uneingeschränkten Zugang zum Firmenkonto zu gewähren, wäre wiederum ein unvertretbares Risiko. Delegation bietet hier den Mittelweg.

Das Unternehmen kann den Agenten so autorisieren, dass er lediglich an freigegebene Softwareanbieter bezahlen darf – über ein bestimmtes Konto, limitiert auf $100 pro Transaktion und $1.000 pro Monat. Alles darüber hinaus bedarf menschlicher Zustimmung. Das entspricht dem Prinzip des geringsten Privilegs: Jeder User oder Prozess erhält nur jene Ressourcen und Berechtigungen, die für seine Aufgabe erforderlich sind. KI-Delegation soll daher weniger die Macht des Agenten erhöhen, sondern dessen Autonomie überhaupt erst sicher nutzbar machen.

Die wichtigsten Teilnehmer an einer KI-Delegation

Der Prinzipal

Der Agent

Die Ressource bzw. das Konto

Die Autorisierungsschicht

Der Ausführende (Executor)

Authentifizierung vs. Autorisierung

Authentifizierung und Autorisierung sind verwandt, aber unterscheiden sich: Authentifizierung fragt – welcher Agent oder Nutzer stellt diese Anfrage? Autorisierung fragt – was darf dieser authentifizierte Akteur tun?

Ein Agent kann erfolgreich seine Identität mittels API-Zugangsdaten, kryptografischer Signatur, Passkey oder Wallet-Adresse nachweisen – das räumt ihm jedoch noch keinen Zugang zu allen Funktionen ein. Ein sicheres System authentifiziert den Agenten und prüft dann die Aktion anhand der delegierten Rechte.

Beispiel: Ein Agent beweist, dass er einen anerkannten Sitzungsschlüssel kontrolliert. Die Wallet prüft anschließend, ob mit diesem Schlüssel z.B. USDC übertragen werden darf, ob der Empfänger zulässig ist, ob das Tageslimit überschritten wurde und ob die Berechtigung noch gültig ist. Erst nach erfolgreicher Prüfung wird die Aktion ausgeführt.

Offchain AI-Agenten-Delegation

Die meisten KI-Agenten interagieren derzeit mit klassischen Webdiensten, nicht mit Blockchain-Konten. Offchain-Delegation verwendet meist OAuth-Access-Tokens, API-Keys mit eingeschränkten Rollen, rollenbasierten Zugriff, Identitätsdienste in der Cloud, Secrets-Management oder Policy-Enforcement-Gateways.

Ein Agent, der sich mit E-Mail- oder Kalenderservices verbindet, erhält etwa ein OAuth-Token, das ihm das Lesen ausgewählter Daten erlaubt, ohne das Passwort des Nutzers offenzulegen. Enterprise-Agenten operieren häufig über Service-Accounts, die eine spezielle Datenbank abfragen, jedoch keine Admin-Tools auf Produktionsebene nutzen können. MCP-Autorisierung behandelt MCP-Server als OAuth-Resource-Server und Clients als Anwendungen, die im Namen von Ressourcenbesitzern Anfragen stellen.

Onchain AI-Agenten-Delegation

Blockchain-Agenten benötigen einen anderen Ansatz, da Transaktionen auf der Kette Vermögenswerte unwiderruflich bewegen können. Die unsichere Variante wäre, dem Agenten den privaten Hauptschlüssel des Wallets zu geben.

Wer oder was diesen Schlüssel kontrolliert, kann im Prinzip jede Wallet-Aktion ausführen. Ein Ausgabenlimit, das lediglich im Agenten-Prompt beschrieben wird, ist keine echte Sicherheitsgrenze, da der Agent oder ein Angreifer es ignorieren kann. Onchain-Delegation setzt Beschränkungen in Smart Contracts oder Wallet-Logik um.

Allowance-Module und Ausgaben-Berechtigungen

Einige Wallet-Systeme bieten bereits agentenspezifische Ausgabenkontrollen. Safe-Dokumentation beschreibt beispielsweise eine AI-Treasury-Konfiguration, bei der ein Allowance-Modul einem Agenten ein token-spezifisches, etwa täglich zurücksetzendes USDC-Limit erteilt. Safe präsentiert auch Modelle wie menschliche Freigabe, Multi-Agenten-Authorisierung und Ausgabenlimits als eigene Sicherheitsverfahren für KI-Agenten.

„Coinbase Spend Permissions“ erlauben es einem festgelegten Spender, Token von einem Smart Account innerhalb von Einschränkungen bezüglich Token, Betrag und Zeitraum zu verwenden. Die Dokumentation nennt agentische Zahlungen und algorithmischen Handel als Zielanwendungen.

Diese Systeme zeigen ein zentrales Gestaltungsprinzip: Die Ausgabebefugnis des Agenten sollte vom Wallet oder Smart Contract durchgesetzt werden, nicht bloß von der Agenten-Software selbst.

Delegation vs. Übergabe eines privaten Schlüssels an einen Agenten

Einen privaten Schlüssel weiterzugeben, bedeutet die Übertragung der Kontrolle. Delegation hingegen gewährt nur definierte Rechte.

Ein separates Wallet mit niedrigem Bestandswert ist sicherer als die Herausgabe eines Hauptschlüssels, aber ein gut konfigurierter Smart Account bietet stärkere Sicherheitskontrollen, auch bei größeren Summen.

Delegation vs. Token-Freigaben (Approvals)

Eine ERC-20-Freigabe erlaubt einem Spender, Token bis zu einer bestimmten Höhe zu transferieren. Das ist eine einfache Form der Delegation, aber für anspruchsvolle Agenten meist zu limitiert. Eine Token-Freigabe beschränkt selten den Endempfänger, das Protokoll, Slippage, Handelsrichtung, Tageszeit, Gesamtexposure oder den Grund der Transaktion.

Unbegrenzte Token-Freigaben sind besonders gefährlich, da ein kompromittierter Spender den kompletten genehmigten Betrag transferieren kann. Agenten-Delegationssysteme können Token-Limits mit Genehmigungsbindungen für Funktionen, Verträge, Empfänger, Zeiträume und menschliche Freigaben kombinieren.

Typische Anwendungsfälle für KI-Agenten-Delegation

Agentic Payments – Ein Agent bezahlt für API-Aufrufe, Daten, Compute, Speicher oder digitale Dienste. Die Delegation kann ein niedriges Limit pro Aufruf und ein höheres Sessions-Gesamtlmit festlegen, damit der Agent Ressourcen beziehen kann, ohne jedes Mal nachzufragen.

Automatisierter Handel – Ein Trading-Agent platziert Orders, rebalanciert Assets oder führt Strategien aus – limitiert auf bestimmte Märkte, genehmigte Token, maximale Positionsgrößen, Hebel, Slippage und Tagesverluste.

Treasury-Management – Ein AI-Treasury-Agent überwacht Salden, transferiert Betriebskapital, bezahlt Dienstleister oder legt stabile Coins an. Das sicherste Design trennt dafür eine operative Allowance vom Haupttreasury.

Abonnementverwaltung – Ein Agent bezahlt wiederkehrende Abos unter Einhaltung von Limits je Händler und Monat, mit zusätzlicher Freigabe bei Preiserhöhungen oder neuen Anbietern.

DAO-Operationen – Eine DAO kann einen Agenten bevollmächtigen, Grants zu verteilen, Community-Mitglieder zu entlohnen, Protocol Revenues einzuziehen oder genehmigte Governance-Entscheidungen auszuführen – über eine Safe oder einen anderen Smart Account mit Token-spezifischen Allowances und Kontrolle durch Signer.

Hauptsächliche Sicherheitsrisiken

• Prompt Injection – Externe Dokumente, Webseiten, Nachrichten oder API-Antworten können Anweisungen enthalten, die den Agenten manipulieren sollen. Beispielsweise könnte eine böswillige Rechnung den Agenten auffordern, seinen Auftrag zu ignorieren und Gelder an eine fremde Adresse zu schicken. Harte Autorisierungskontrollen sind auch dann wirksam: Ist der Empfänger nicht zugelassen, schlägt die Zahlung fehl.

• Übermäßige Berechtigungen – Entwickler beantragen oft weite Rechte, weil granulareres Design aufwendiger ist. Kommt ein Agent oder ein Credential abhanden, ist das Schadenspotenzial entsprechend größer.

• Credential-Diebstahl – Ein Angreifer, der ein OAuth-Token, einen API-Key, Session-Key oder eine Wallet-Berechtigung des Agenten stiehlt, kann scheinbar legitime Anfragen stellen. Kurzlebige Credentials, sichere Speicherung, Widerruf und Transaktionslimits begrenzen das Schadensausmaß. MCP empfiehlt daher Zugriffstokens mit kurzer Lebensdauer.

• Confused-Deputy-Angriffe – Ein vertrauenswürdiger Agent kann dazu gebracht werden, seine Rechte für fremde Zwecke zu verwenden – ohne selbst kompromittiert zu sein, sondern weil er den Kontext der Anfrage nicht erkennt. Empfänger-Restriktionen, Origin-Prüfung, task-spezifische Credentials und explizite Bestätigungen sensibler Parameter reduzieren dieses Risiko.

• Indirekte Ausgaben – Ein Agent kann Transferlimits formal einhalten, aber dennoch ein größeres finanzielles Risiko an anderer Stelle eingehen, etwa durch die Freigabe eines gefährlichen Vertrags, einen gehebelten Trade, das Bereitstellen von Liquidität für einen unsicheren Pool oder ein Order-Signing mit späterer Abwicklung. Delegationsrichtlinien müssen auch Freigaben, finanzielle Verbindlichkeiten und zukünftige Risiken abdecken – nicht nur Token-Transfers.

• Privilege Escalation – Ein Agent könnte versuchen, ein Modul zu installieren, einen Owner zu ändern, Policies zu aktualisieren oder eine neue, breitere Berechtigung anzulegen. Administrative und Berechtigungsmanagement-Aktionen sollten aus normalen Agent-Scopes ausgeschlossen bleiben.

• Unsichere Weiterdelegation – Ein Subagent erhält möglicherweise zu viel oder zu undeutlich definierte Rechte, was die Überprüfbarkeit und Widerrufsmöglichkeit beeinträchtigt.

• Veraltete Berechtigungen – Ein Agent behält Rechte über das Ende eines Projekts, Geräts, Mitarbeiters oder Geschäftsbeziehung hinaus. Automatische Abläufe und regelmäßige Rechte-Reviews sind essenziell.

• Cross-Chain-Komplexität – Berechtigungen auf einer Blockchain gelten nicht automatisch auf anderen Chains. Bridges, Wrapped Assets und Cross-Chain-Messages involvieren neue Verträge und Sicherheits-Annahmen, die nicht Teil der ursprünglichen Delegation waren.

• Oracle- und Preisrisiko – Limits basieren oft auf externen Preisfeeds. Ein Agent mit einer $1.000-Limit-Erlaubnis könnte diesen Wert überschreiten, wenn der Preis-Feed veraltet oder manipuliert ist. Token- und fiat-denominierte Limits verhalten sich daher verschieden.

Gibt es standardisierte KI-Agenten-Berechtigungen?

Offchain-Systeme setzen stark auf OAuth-ähnliche Zugriffskontrolle, MCP nutzt OAuth zur Agenten-Tool-Verknüpfung. Im Ethereum-Kosmos befasst sich die Account-Abstraction und Delegation u.a. mit ERC-4337, EIP-7702, ERC-7710 und ERC-7715. Diese ermöglichen programmierbare Validierungen, delegierte Fähigkeiten, Wallet-Permission-Requests und scoped Transactions. Auch Wallet- und Infrastruktur-Anbieter implementieren eigene Ausgabenberechtigungen, Allowance-Module, Caveat-Systeme und Agent Accounts.

Die Zukunft wird kaum ein universelles Permission-Format liefern, sondern ein interoperables Set an Standards für den Austausch maschinenlesbarer Mandate zwischen Agenten, Wallets, Anwendungen und Autorisierungsservern.

Was ist AI-Agenten-Delegation in einem Satz?

Fazit

KI-Agenten werden dann nützlich, wenn sie auch handeln können – aber jede Aktion setzt eine entsprechende Befugnis voraus. Der sicherste Ansatz ist nicht, ihnen die völlige Kontrolle zu geben und auf gutes Benehmen zu hoffen, sondern die Grenzen klar im verwendeten System zu kodieren. Berechtigungen bestimmen, was ein Agent tun darf. Scopes definieren, wo und unter welchen Bedingungen er es tun darf. Ausgabenlimits begrenzen das finanzielle Risiko. Ablauf, Widerruf, Audit Logs und menschliche Freigaben bieten weitere Kontrollebenen.

Diese Grundsätze gelten sowohl für klassische Software- als auch Blockchain-Infrastruktur. OAuth-Tokens beschränken den Zugang zu Webdiensten; Smart Accounts, Session Keys, Delegationsverträge und Allowance-Module reglementieren die Onchain-Ausführung. Mit der Ausweitung agentischer Zahlungen, automatisiertem Trading, Treasury-Management und Machine-to-Machine-Commerce wird Delegation zur Basis-Infrastruktur. Nutzer benötigen Mechanismen, ihren Agenten genug Rechte für sinnvolle Aufgaben zu geben, ohne katastrophale Risiken einzugehen.

Die Zukunft autonomer Systeme hängt also nicht nur davon ab, wie intelligent Agenten werden – sie hängt entscheidend davon ab, ihre Befugnisse präzise, sichtbar, begrenzt und leicht widerrufbar zu machen.

Jetzt bei Phemex registrieren