Schlüsselmanagement für KI-Agenten: eine widerrufbare Identität pro Agent, Schlüssel ausserhalb des Agenten und KMS-Zugriff per MCP-Server nach Policy.
Schlüsselmanagement für KI-Agenten (AI agent key management) beschreibt, wie Sie die Schlüssel und Zugangsdaten autonomer KI-Agenten ausstellen, begrenzen, nutzen, rotieren und widerrufen. Das Ziel: Jeder Agent handelt unter seiner eigenen Identität, hält nie einen vollständigen Schlüssel, den er preisgeben könnte, und lässt sich einzeln abschalten, ohne den Rest der Flotte zu stören.
KI-Agenten in Produktion fordern bereits Schlüssel an, rufen APIs auf, signieren Transaktionen und greifen auf regulierte Daten zu. Die meisten authentifizieren sich trotzdem noch wie ein Batch-Job von 2012: ein geteiltes Service-Konto, ein langlebiges Secret in einem Vault-Pfad und ein Audit-Log, das «der Automatisierungsnutzer hat etwas getan» meldet, ohne den Agenten zu nennen.
Agentische Kryptografie ist die Kontrollebene für diese Lücke. Jeder Agent erhält eine kryptografische Identität, die Sie ausstellen, attestieren und widerrufen können, ohne Zugangsdaten für die übrige Flotte zu rotieren.
Agenten-Deployments in Produktion teilen häufig drei Schwachstellen:
Nichts davon ist ein Problem der Modellqualität. Es ist ein Identitäts- und Schlüsselmanagementproblem, das klassische Kryptografieanbieter selten als eigenes Produkt behandeln.
Know your agent überträgt die Idee von «Know your customer» auf nicht-menschliche Akteure, die ausgeben, freigeben oder entschlüsseln können:
Wenn Sie den Agenten nicht benennen, nicht einzeln widerrufen und nicht belegen können, was er signiert hat, haben Sie keine Agenten-Governance. Sie haben Automatisierung mit einem geliehenen menschlichen Zugangsmodell.
Agenten unterscheiden sich von klassischen Workloads in einem Punkt, der für Schlüssel zählt: Ihr Verhalten hängt von Eingaben ab, die Sie nicht vollständig kontrollieren, etwa Prompts, Dokumente und Tool-Ergebnisse. Eine Prompt Injection oder eine manipulierte Tool-Antwort kann einen Agenten dazu bringen, alles zu missbrauchen, was er erreicht. Schlüsselmanagement für Agenten geht deshalb davon aus, dass der Agentenprozess manipuliert werden kann.
Das Model Context Protocol (MCP) ist der offene Standard, über den viele KI-Clients externe Tools aufrufen. «Schlüsselmanagement für MCP-Server» umfasst zwei Fragen.
1. Die Zugangsdaten eines MCP-Servers schützen. Ein MCP-Server sitzt zwischen einem Agenten und echten Systemen und hält oder bezieht daher Zugangsdaten für diese Systeme. Die MCP-Spezifikation macht Autorisierung optional, stützt sich für HTTP-Transporte aber auf OAuth 2.1. MCP-Server müssen prüfen, dass Tokens für sie ausgestellt wurden, und dürfen das Token des Clients nicht an Upstream-APIs weiterreichen; lokale STDIO-Server sollen Zugangsdaten aus der Umgebung lesen (MCP-Autorisierungsspezifikation). In der Praxis:
2. Schlüsselmanagement über einen MCP-Server bedienen. Sicherheitsanbieter stellen ihre Plattformen inzwischen über MCP bereit, damit ein KI-Assistent Inventare abfragen oder Änderungen ausführen kann. Keyfactor hat zum Beispiel einen MCP-Server für Keyfactor Command angekündigt (Pressemitteilung). Dann lautet die Frage: Wie weit darf der Agent gehen?
DuoKeys Antwort ist der MCP-Endpunkt im Cockpit (Dokumentation):
Ein agentisches KMS (agentic KMS) ist ein Schlüsselmanagementsystem, das KI-Agenten sicher nutzen und bedienen können: über eine Standardschnittstelle wie MCP, unter expliziter Policy, wobei jede Aktion an eine benannte Identität und die verantwortliche Person gebunden ist. Es deckt beide Richtungen ab: Agenten, die Schlüssel nutzen (Signieren, Entpacken), und Agenten, die Schlüssel verwalten (Inventar, Rotation, Zertifikatsausstellung).
Die DuoKey-Dokumentation beschreibt die Plattform als agentisches KMS und Crypto-Agility-Plane, in der KI- und MCP-Clients Kryptografie in natürlicher Sprache bedienen können (docs.duokey.com). Die Leitplanken sind die oben beschriebenen: Tenant-Trennung, einzuschaltende Capability Packs, die eigenen Rechte des Nutzers und menschliche Freigabe für folgenreiche Änderungen, sofern die Policy des Kunden nicht ausdrücklich etwas anderes erlaubt.
| Kontrolle | Was sie bewirkt |
|---|---|
| Kryptografische Identität pro Agent | Bei der Erstellung des Agenten eine nachweisbare Identität ausstellen; kein geteiltes Produktions-Service-Konto für die Flotte |
| Einzelner Widerruf | Die Befugnis eines Agenten in einem Schritt entziehen; andere Agenten arbeiten weiter |
| Signierte Attestierung pro Aktion | Schlüsselnutzung, Signaturen oder sensible Aufrufe an die Agentenidentität und die Policy-Entscheidung binden |
| Policy ausserhalb des Agenten | Limits, Allow-Lists und Eskalationen liegen ausserhalb des Agentenprozesses; ein kompromittierter Agent kann sie nicht umschreiben |
| MPC-gestütztes Schlüsselmaterial | Wo Agenten Signatur- oder Zahlungsbefugnis haben, setzen sich Schlüsselanteile nie zu einem Klartext-Secret zusammen (MPC vs. HSM) |
| Kontrollierter MCP-Zugang | KI-Clients erreichen das Cockpit über einen tenant-getrennten MCP-Endpunkt mit einzuschaltenden Capability Packs |
Das ist die Architektur, die auf der Plattform zusammengefasst ist: Jeder Agent hat eine widerrufbare Identität; kein geteiltes Service-Konto trägt Produktionszugriff; know your agent.
Agentische Kryptografie baut auf Objekten auf, die DuoKey bereits an anderer Stelle der Plattform verwaltet:
| Verwaltetes Objekt | Rolle für Agenten |
|---|---|
| Schlüssel / KMS | Agenten fordern Entpacken oder Nutzung unter Policy an; keine alleinige Verwahrung beim Cloud-Anbieter |
| Zertifikate / PKI | Maschinen- und Workload-Identitäten für Agenten, die TLS oder mTLS brauchen, ohne PKI in Tabellen |
| Secrets | Kurzlebiges, agentenspezifisches Material statt einer kopierten .env oder geteilten AppRole |
| Crypto Agility / PQC | Erneuerungen und Algorithmuswechsel unter derselben Automatisierungsebene, die Agenten bereits nutzen |
Agenten sind kein eigenes Produktsilo. Sie sind Prinzipale auf derselben Kontrollebene wie Zertifikate, Schlüssel und Secrets.
Q: Was ist Schlüsselmanagement für KI-Agenten?
Die Praxis, jedem KI-Agenten eigene, begrenzte und widerrufbare Zugangsdaten zu geben und die Schlüssel, die er nutzt, in einem KMS oder Signaturdienst statt in seinem Prozess zu halten. Jede Aktion wird mit dem Agenten und der verantwortlichen Person protokolliert.
Q: Ist das dasselbe, wie jedem Agenten einen API-Key zu geben?
Nein. Ein API-Key ist weiterhin ein einzelnes Secret, das kopiert und wiederverwendet werden kann. Eine kryptografische Agentenidentität wird als Prinzipal ausgestellt, attestiert und widerrufen, mit Policy und Schlüsselmaterial so ausgelegt, dass die Kompromittierung eines Agenten nicht die Zugangsdaten der Flotte kompromittiert.
Q: Was bedeutet Schlüsselmanagement für MCP-Server?
Es umfasst zwei Dinge: die Zugangsdaten zu schützen, mit denen ein MCP-Server Backend-Systeme erreicht (OAuth 2.1 für HTTP-Transporte, kein Durchreichen von Client-Tokens, keine Secrets in Konfigurationsdateien), und zu steuern, was ein KI-Agent darf, wenn er eine Schlüsselmanagementplattform über einen MCP-Server bedient.
Q: Was ist ein agentisches KMS?
Ein KMS, das KI-Agenten über eine Standardschnittstelle wie MCP nutzen und bedienen können, unter expliziter Policy und mit jeder Aktion an eine benannte Identität gebunden. DuoKey setzt das mit einem tenant-getrennten MCP-Endpunkt, einzuschaltenden Capability Packs und den eigenen Rechten des verbundenen Nutzers um.
Q: Brauchen wir MPC für jeden Agenten?
Nicht für jeden risikoarmen Read-only-Bot. Für Agenten, die signieren, bezahlen oder regulierte Daten entschlüsseln, beseitigt MPC den einzelnen Klartext-Schlüssel, den geteilte Service-Konten und einfache Vault-Secrets wieder erzeugen. Siehe MPC vs. HSM und den Anwendungsfall Agentic Wallet.
Q: Wie hängt das mit menschlichem IAM zusammen?
SSO und MFA für Menschen bleiben. Agenten brauchen ein paralleles, nicht-menschliches Identitätsmodell mit den Eigenschaften, die Sicherheitsteams schon von Personen erwarten: eindeutige Identität, minimale Rechte, Widerruf und ein Audit-Trail, der den Akteur nennt.
Agenten arbeiten bereits in Produktion. Geteilte Service-Konten halten dieser Realität nicht stand. Agentische Kryptografie macht jeden Agenten zu einem widerrufbaren kryptografischen Prinzipal, mit Attestierung seiner Aktionen, Schlüsseln ausserhalb seines Prozesses und einer Policy, die er nicht umschreiben kann. Das bedeutet «know your agent» in der Praxis, und deshalb gehört sie neben KMS, PKI und Secrets auf dieselbe Plattform.
Geschrieben von
Nagib Aouini
Verwandte Ressourcen
Sagen Sie uns, wo Kontrolle heute schwierig ist. Wir helfen Ihnen, den nächsten praktischen Schritt zu finden.
