Google Beyond Zero prüft Agentenaktionen einzeln

Google hat am 27. Juli 2026 in seinem Security-Blog Beyond Zero vorgestellt, ein Sicherheitsmodell für Unternehmen mit KI-Agenten. Zugriffe sollen dabei nicht mehr allein anhand einer Anmeldung freigegeben werden, sondern auch den Kontext jeder Aktion, die betroffenen Daten und aktuelle Risikosignale berücksichtigen.

Das trifft einen wunden Punkt heutiger Agentensysteme: Ein Mensch meldet sich legitim an, gibt einer Anwendung weitreichenden Zugriff und der Agent arbeitet anschließend mit diesen geerbten Rechten weiter. Was bei einigen manuellen Klicks überschaubar bleibt, kann bei tausenden automatisierten Aktionen in kurzer Zeit erheblichen Schaden anrichten.

Jede Aktion braucht ihren eigenen Kontext

Google ordnet Beyond Zero als Weiterentwicklung der Zero-Trust-Idee ein, die das Unternehmen mit BeyondCorp seit 2014 verfolgt. Klassische Zero-Trust-Prüfungen klären, ob eine Identität und ein Gerät unter den geltenden Regeln auf eine Ressource zugreifen dürfen. Für autonome Agenten ist diese Entscheidung zu grob.

Beyond Zero soll statische Richtlinien mit dynamischen Kontrollen für riskante oder komplexe Situationen verbinden. Einfließen können laut Google der verantwortliche Nutzer, sein üblicher Arbeitskontext, die berührten Daten, die beabsichtigte Aktion und verfügbare Gegenmaßnahmen.

Die Autorisierung rückt damit an den tatsächlichen Vorgang. Ein Agent bekommt nicht einfach pauschal Zugriff auf E-Mails, Dateien oder Kundendaten. Stattdessen kann eine Aktion auf einer bestimmten Ressource eine neue Entscheidung auslösen. CYBR.SEC.Media fasst diesen Kern als Autorisierung für „each action on each resource“ zusammen.

Der Unterschied wird bei einem CRM-Export deutlich. „Darf auf das CRM zugreifen“ ist eine allgemeine Freigabe. „Darf jetzt 4.000 Datensätze exportieren“ ist eine andere Sicherheitsfrage, obwohl Nutzer, Anwendung und Ressource unverändert erscheinen.

Risikosignale müssen den laufenden Zugriff verändern

Nach Angaben von Google können Risikosignale automatisch Untersuchungen anstoßen. Als Reaktion sind zusätzliche Nutzerprüfungen oder Eindämmungsmaßnahmen während eines laufenden Zugriffs vorgesehen. Die Kontrolle endet also nicht mit dem Sitzungsstart.

Das ist für Agenten entscheidend. CYBR.SEC.Media weist darauf hin, dass Software mit Zugriff auf E-Mail, Dateispeicher, Kundenakten, Quellcode oder Zahlungssysteme sehr viele Aktionen in Maschinengeschwindigkeit ausführen kann. Ein zu großzügiges Recht skaliert dann ebenso schnell wie der gewünschte Ablauf.

Ein brauchbarer Prüfstein ist ein Agent, der Rechnungen aus einem Postfach liest und Zahlungen vorbereitet. Das Öffnen einer erwarteten Rechnung gehört zu seinem Auftrag. Ein Export des gesamten Postfachs oder eine Serie ungewöhnlicher Änderungen an Zahlungsempfängern müsste dagegen eine neue Prüfung auslösen – auch wenn der Agent weiterhin gültige Nutzerrechte besitzt.

Für mich liegt hier der eigentliche Wert des Ansatzes: Nicht die Identität allein entscheidet, sondern das beobachtbare Verhalten im jeweiligen Arbeitskontext. Die schwierige Stelle bleibt die Bewertung. Eine falsche Freigabe ist gefährlich, eine überempfindliche Kontrolle blockiert legitime Automatisierung.

Was Entwickler daraus ableiten können

Google begründet Beyond Zero mit einer Unternehmenswelt, in der Agenten und Angreifer beide von höherer Automatisierungsgeschwindigkeit profitieren. Das bisherige Verhältnis zwischen einer Anmeldung und wenigen anschließenden Handlungen passt dazu immer schlechter.

Berechtigungen sollten deshalb nicht als einmalige Integrationsaufgabe behandelt werden. Ein OAuth-Dialog oder eine Rollenfreigabe legt nur fest, welche Tür grundsätzlich offensteht. Der Sicherheitsentwurf muss zusätzlich beschreiben, welche Handlungen dahinter zum Auftrag gehören, wann Umfang oder Ziel auffällig werden und welche Begrenzung dann greift.

Drei Anforderungen folgen unmittelbar daraus. Erstens müssen einzelne Aktionen so protokolliert werden, dass Abweichungen erkennbar sind. Zweitens brauchen Ressourcen und mögliche Schäden unterschiedliche Risikostufen. Drittens muss eine Eindämmung wirken, bevor ein Agent denselben Fehler vielfach wiederholt.

Googles Veröffentlichung beschreibt dafür vor allem ein Modell und eine Entscheidungslogik. Sie liefert keinen universellen Schalter für sichere Agenten. Ob der Ansatz in der Praxis trägt, hängt unter anderem von nachvollziehbaren Entscheidungen, niedrigen Fehlfreigaben und einer realistischen Modellierung normaler Arbeitsabläufe ab.

Die Mindestregel für produktive Agenten

Die Berechtigung eines Nutzers darf nicht automatisch zur Berechtigung jeder Agentenaktion werden. Mit wachsender Reichweite und Geschwindigkeit müssen Auftrag, Ressource und konkrete Handlung enger zusammen geprüft werden.

Ein produktiver Agent braucht deshalb eine Bremse: Bei ungewöhnlichem Umfang, sensiblen Zielen oder einem Wechsel des Arbeitskontexts muss das System erneut autorisieren, begrenzen oder stoppen können. Fehlt diese Möglichkeit, wird ein legitimer Zugang zum Multiplikator für Fehler und Angriffe. Beyond Zero benennt das Problem; Entwickler müssen die Grenze in ihren eigenen Abläufen durchsetzen.