KI-Agenten in der Wissensarbeit erklärt: vom Abruf zum Arbeitsschritt

01

Was unterscheidet einen KI-Agenten von einem Chatbot und einem festen Workflow?

Ein Chatbot beantwortet eine Nachricht und wartet. Ein fester Workflow ruft ein Sprachmodell an vorher festgelegten Stellen eines programmierten Ablaufs auf. Ein KI-Agent bekommt ein Ziel und bestimmt den Weg selbst: Er wählt Werkzeuge, liest Ergebnisse und entscheidet über den nächsten Schritt. Das macht ihn flexibler und zugleich schwerer vorhersagbar.

Anthropic unterscheidet in seinem Leitfaden zum Bau von Agenten (Anthropic, 2024) zwei Bauformen: Workflows, in denen Sprachmodelle und Werkzeuge über vorher festgelegte Codepfade orchestriert werden, und Agenten, in denen das Modell seinen Ablauf und seine Werkzeugnutzung selbst steuert. Die Empfehlung dort ist nüchtern: die einfachste Lösung suchen und Komplexität nur hinzufügen, wenn sie nötig ist. Oft genügt ein einzelner Modellaufruf mit gutem Abruf der passenden Textstellen.

Wie Agenten in das größere Bild von Erfassen, Finden und Anwenden von Wissen passen, zeigt Wissensmanagement mit KI.

02

Wie funktioniert die Agentenschleife?

Die Agentenschleife wiederholt vier Schritte: Das Modell plant auf Basis von Ziel und bisherigem Verlauf den nächsten Schritt, ruft ein Werkzeug auf, erhält das Ergebnis in seinen Kontext zurück und entscheidet, ob das Ziel erreicht ist. Die Schleife endet mit einer Antwort, einer Rückfrage an einen Menschen oder einer festen Abbruchbedingung wie einer Höchstzahl an Schritten.

Das Grundmuster geht auf die Forschung zurück. ReAct (Yao et al., ICLR 2023) verschränkt Denkschritte und Aktionen: Die Denkschritte helfen dem Modell, einen Plan zu bilden und anzupassen, die Aktionen verbinden es mit externen Quellen. Laut Paper verringerte schon eine einfache Wikipedia-Schnittstelle Halluzinationen und Folgefehler reinen schrittweisen Denkens. Toolformer (Schick et al., arXiv 2023) zeigte, dass ein Modell lernen kann, selbst zu entscheiden, wann es welche Schnittstelle mit welchen Argumenten aufruft.

Jede Runde vergrößert den Kontext um Aufruf und Ergebnis. Nach vielen Schritten konkurrieren frühe Anweisungen mit langen Werkzeugausgaben um die Aufmerksamkeit des Modells. Deshalb gehören Abbruchbedingungen, das Kürzen oder Zusammenfassen alter Ergebnisse und eine sorgfältige Auswahl dessen, was das Modell sieht, zum Bau eines Agenten dazu. Diese Disziplin heißt Context Engineering und wird im Beitrag Context Engineering: warum es zählt vertieft.

03

Was ist ein Werkzeug für einen KI-Agenten, und wie ruft das Modell es auf?

Ein Werkzeug ist eine beschriebene Funktion mit Namen, Beschreibung und einem Eingabeschema. Das Modell sieht diese Beschreibungen und erzeugt, wenn es ein Werkzeug braucht, einen strukturierten Aufruf mit passenden Werten. Ausgeführt wird der Aufruf von der umgebenden Software, nicht vom Modell. Das Ergebnis geht als Text oder strukturierte Daten zurück in den Kontext.

{
  "name": "dokumente_suchen",
  "description": "Durchsucht freigegebene interne Dokumente und liefert Textstellen mit Quelle. Nur lesend.",
  "inputSchema": {
    "type": "object",
    "properties": {
      "anfrage": { "type": "string", "description": "Suchanfrage in natuerlicher Sprache" },
      "bereich": { "type": "string", "enum": ["handbuch", "richtlinien", "protokolle"] },
      "max_treffer": { "type": "integer", "minimum": 1, "maximum": 10 }
    },
    "required": ["anfrage"],
    "additionalProperties": false
  }
}

Die Beschreibung ist Teil des Kontexts und damit Teil der Steuerung. Ein Werkzeug namens "datenbank" mit freiem Abfragefeld verleitet das Modell zu Aufrufen, die niemand vorhergesehen hat. Ein Werkzeug "dokumente_suchen" mit festem Wertebereich lässt nur zu, was gewollt ist. Die OWASP Top 10 für LLM-Anwendungen (OWASP, 2025) empfehlen genau das: eng zugeschnittene Werkzeuge statt offener Funktionen wie freier Shell-Befehle.

Auch Fehler gehören zur Schnittstelle: Die MCP-Spezifikation gibt Ausführungsfehler, etwa ein Datum im falschen Format, als Ergebnis an das Modell zurück, damit es den Aufruf korrigieren kann. Nichtssagende Fehlermeldungen erzeugen Schleifen.

04

Was ist das Model Context Protocol, und woher kommt es?

Das Model Context Protocol (MCP) ist ein offenes Protokoll, über das KI-Anwendungen Werkzeuge, Daten und Vorlagen aus externen Systemen einheitlich einbinden. Anthropic hat es am 25. November 2024 veröffentlicht und im Dezember 2025 an die Agentic AI Foundation unter dem Dach der Linux Foundation übergeben. Die Nachrichten folgen JSON-RPC 2.0 zwischen Host, Client und Server.

Anthropic stellte MCP als offenen Standard vor, der zersplitterte Einzelanbindungen zwischen KI-Anwendungen und Datenquellen durch ein einziges Protokoll ersetzen soll (Anthropic, 2024). Am 9. Dezember 2025 gab die Linux Foundation die Gründung der Agentic AI Foundation bekannt, zu deren ersten Projekten MCP als Beitrag von Anthropic gehört (Linux Foundation, 2025). Die Spezifikation erscheint in datierten Versionen und nennt das Language Server Protocol als Vorbild, das Programmiersprachen einheitlich in Entwicklungsumgebungen bringt.

Sicherheit schreibt das Protokoll nicht vor, es beschreibt sie als Aufgabe der Implementierung. Laut Spezifikation stehen Werkzeuge für beliebige Codeausführung, Hosts sollen vor jedem Werkzeugaufruf die ausdrückliche Zustimmung der Nutzer einholen, und Beschreibungen des Werkzeugverhaltens gelten als nicht vertrauenswürdig, solange sie nicht von einem vertrauenswürdigen Server stammen. Ab wann sich MCP gegenüber einer direkten Schnittstelle lohnt, ordnet API, MCP oder CLI ein.

05

Was ist agentischer Abruf (Agentic RAG), und wann lohnt er sich?

Agentischer Abruf überlässt dem Modell, ob, wonach und wie oft gesucht wird. Statt einer einzigen Suche vor der Antwort formuliert der Agent Anfragen um, zerlegt zusammengesetzte Fragen, prüft, ob die gefundenen Stellen genügen, und sucht bei Bedarf nach. Das lohnt sich bei Fragen über mehrere Quellen, kostet aber zusätzliche Modellaufrufe und Antwortzeit.

Klassisches RAG sucht einmal und antwortet dann mit dem, was gefunden wurde. Scheitert die erste Suche, scheitert die Antwort. Self-RAG (Asai et al., ICLR 2024) trainierte ein Modell darauf, bei Bedarf abzurufen und die gefundenen Passagen über besondere Reflexionsmarker selbst zu bewerten, statt pauschal eine feste Zahl an Passagen einzubinden. Die Übersichtsarbeit von Singh et al. (arXiv 2025) ordnet agentischen Abruf entlang von vier Entwurfsmustern: Reflexion, Planung, Werkzeugnutzung und Zusammenarbeit mehrerer Agenten.

Ein Mittelweg ist oft wirksamer als volle Autonomie: feste Pipeline, ergänzt um genau eine agentische Stufe, etwa das Zerlegen einer Frage in Teilfragen. Welche Technik welches Versagen behebt, zeigt Query-Zerlegung und der Advanced-RAG-Werkzeugkasten. Wie gefundene Stellen belegt in die Antwort kommen, beschreibt Retrieval-Augmented Generation erklärt.

06

Wo gehören Freigabepunkte in einen KI-Agenten?

Freigabepunkte gehören vor jeden Schritt, der nach außen wirkt, sich nicht zurücknehmen lässt oder Rechte verändert: Nachrichten versenden, Datensätze ändern oder löschen, Bestellungen auslösen. Lesende und vorbereitende Schritte kann ein Agent selbstständig ausführen. Entscheidend ist, dass die Freigabe im Code erzwungen wird und nicht davon abhängt, ob das Modell um Erlaubnis fragt.

Die MCP-Spezifikation empfiehlt für Werkzeuge, dass stets ein Mensch Aufrufe ablehnen kann, mit klarer Anzeige, welche Werkzeuge das Modell nutzen darf, sichtbaren Hinweisen bei jedem Aufruf und Bestätigungsdialogen. Die OWASP Top 10 für LLM-Anwendungen (OWASP, 2025) führen das Risiko übermäßiger Handlungsmacht (Excessive Agency) auf drei Ursachen zurück: zu viele Funktionen, zu weite Rechte und zu viel Autonomie bei folgenreichen Aktionen. Als Gegenmittel nennen sie unter anderem, Autorisierung in den nachgelagerten Systemen durchzusetzen, statt sie der Entscheidung des Modells zu überlassen.

Praktisch heißt das: Ein Agent handelt mit den Rechten der Person, für die er arbeitet, nicht mit einem Sammelzugang, der alles sieht. Wie Zugriffsrechte am Dokument bis in Suche und Antwort erhalten bleiben, beschreibt Berechtigungen in KI-Wissenssystemen.

07

Welche Fehlerbilder sind typisch für KI-Agenten?

Typische Fehlerbilder sind Schleifen, in denen der Agent dasselbe Werkzeug wiederholt aufruft, die Wahl des falschen Werkzeugs oder falscher Parameter, zu weit reichende Rechte, Anweisungen, die über gelesene Inhalte eingeschleust werden, und stille Teilerfolge. Agenten stürzen selten ab. Sie liefern plausible, aber unvollständige oder falsche Ergebnisse, die erst eine Prüfung aufdeckt.

Eingeschleuste Anweisungen verdienen besondere Aufmerksamkeit, weil Agenten fremde Inhalte lesen. Greshake et al. (arXiv 2023) beschrieben indirekte Prompt Injection: Angreifer platzieren Anweisungen in Daten, die ein Modell später abruft, und nutzen aus, dass LLM-integrierte Anwendungen die Grenze zwischen Daten und Anweisungen verwischen. Abwehr und Absicherung behandelt KI-Sicherheit: Prompt Injection und Datenabfluss.

08

Wie misst man, ob ein KI-Agent zuverlässig arbeitet?

Die Zuverlässigkeit eines Agenten misst man an wiederholten Läufen derselben Aufgabe, nicht an einem gelungenen Einzelfall. Bewertet werden Endergebnis und Weg: welche Werkzeuge mit welchen Werten aufgerufen wurden, wie viele Schritte nötig waren und wo der Agent abbrach. Dazu kommen Aufwand und Dauer pro erledigter Aufgabe sowie eine menschliche Stichprobe.

Der Benchmark τ-bench (Yao et al., arXiv 2024) führte dafür die Kennzahl pass^k ein: Sie misst, wie oft ein Agent dieselbe Aufgabe in allen k Wiederholungen löst. Der Unterschied zur einfachen Erfolgsquote ist für den Betrieb entscheidend. Ein Agent, der eine Aufgabe in acht von zehn Läufen löst, wirkt in der Vorführung überzeugend und liefert im Alltag trotzdem jeden fünften Vorgang falsch.

Wie Antworten auf Treue zur Quelle und Relevanz geprüft werden, vertieft der Leitfaden KI-Antworten prüfen.

09

Welche Annahmen über KI-Agenten führen in die falsche Richtung?

Mehrere Annahmen führen in die falsche Richtung: dass ein Agent grundsätzlich besser ist als ein fester Ablauf, dass ein Standardprotokoll Integrationen sicher macht, dass mehr Werkzeuge mehr Fähigkeit bedeuten, dass das Modell über Berechtigungen entscheiden kann und dass ein gelungener Lauf Zuverlässigkeit belegt. Jede davon lässt sich an Forschung oder Spezifikation überprüfen.

10

Wie führt man einen KI-Agenten in der Wissensarbeit schrittweise ein?

Ein Agent wird schrittweise eingeführt: zuerst prüfen, ob eine einfachere Lösung die Aufgabe löst, dann einen Agenten mit wenigen lesenden Werkzeugen und vollständigem Protokoll betreiben, danach vorbereitende Schritte ergänzen, deren Ergebnis ein Mensch freigibt. Schritte ohne Rückfrage kommen erst in Betracht, wenn Protokolle und wiederholte Tests zeigen, dass sie verlässlich gelingen.

Welche Aufgaben sich im Unternehmen für Agenten eignen und wie Berechtigungen und Protokoll in der Umsetzung aussehen, beschreibt KI-Agenten für Unternehmen. Eine eigene agentische Pipeline aus dem R&D Lab zeigt Event Scout.

iiterate Technologies GmbH entwickelt KI-Anwendungen und Individualsoftware von der Architektur über die Umsetzung bis zum Betrieb, auf Kundeninfrastruktur oder in EU-Hosting, mit Schwerpunkten auf RAG, lokalen Sprachmodellen und der Anbindung an Bestandssysteme (Leistungen).