Die jüngste Executive Order zur „Förderung von Innovation und Sicherheit im Bereich der fortschrittlichen künstlichen Intelligenz“ macht die Haltung der US-Bundesregierung zum Thema KI unmissverständlich klar. Die US-Richtlinie sieht vor, KI-Innovation und -Sicherheit gemeinsam zu fördern, in Zusammenarbeit mit dem Privatsektor Regierungssysteme zu modernisieren und gegen externe Bedrohungen abzusichern sowie der Cyberabwehr von zivilen, Verteidigungs- und nationalen Sicherheitssystemen Priorität einzuräumen.
Die Anordnung geht noch weiter und weist den Justizminister an, die Strafverfolgung gegen alle Personen zu priorisieren, die KI-Agenten einsetzen, um unrechtmäßig auf Daten zuzugreifen oder eine Straftat zu begehen. Dieser Erlass ist nicht theoretisch; er weist Bundesbehörden an, KI-Agenten sofort einzusetzen, und schreibt gleichzeitig vor, diese abzusichern.
Für Organisationen, die im Spannungsfeld zwischen Innovationsdruck und Compliance-Anforderungen stehen, entsteht dadurch ein dringender Bedarf an identitätszentrierter KI-Governance. Während der Präsidialerlass die Richtung der Richtlinie vorgibt, werden die kommenden verbindlichen operativen Vorgaben spezifische Implementierungsanforderungen für Bundesbehörden festlegen. Dies unterstreicht, warum Identity Governance für KI-Agenten kein Zukunftsthema ist – sie ist eine unmittelbare Priorität.
Die Botschaft an die Behörden ist klar: Sie sollten KI konsequent einsetzen, sie dabei aber kontinuierlich absichern. Das rückt die Identität in den Mittelpunkt der Mission. Okta hat kürzlich mit seinen Agenten-basierten Funktionen bedeutende Compliance-Meilensteine erreicht und die FedRAMP-Autorisierung für Okta for AI Agents - Core erhalten. Dieser Meilenstein bringt sichere Agent-Governance für Kund:innen von Okta for Government High und berechtigte Kund:innen von Okta for Government Moderate und markiert eine neue Ära für die Cybersicherheit auf Bundesebene.
KI-Agenten sind die neueste nicht-menschliche Entität – und die am wenigsten verwaltete.
Zero Trust hat schon immer auf einem Prinzip bestanden: Es muss für alle Identitäten gelten. Behörden wissen bereits, dass sie Transparenz über und eine automatisierte Governance von nicht-menschlichen Identitäten (NHIs) benötigen, da dies eine allgemein bekannte Sicherheitslücke darstellt.
KI-Agenten sind die bisher am schnellsten wachsende Klasse von NHIs und am schwersten zu erkennen. Jede:r kann einen aufsetzen, Agenten können weitere Agenten erstellen, und jeder verbindet sich über Apps, APIs, Software-as-a-Service (SaaS)-Tools, Model Context Protocol (MCP)-Server und Datensysteme hinweg.
Für Unternehmen, die der neuen Vorgabe unterliegen, ihre Systeme zu härten und sich gegen KI-gestützte kriminelle Zugriffe zu schützen, ist ein nicht verwalteter Agent nicht nur eine operative Lücke – er ist eine unbewachte Tür.
Die Lücke ist real – und spezifisch.
Regierungsbehörden stehen unter Druck, jetzt KI-Agenten einzusetzen. Aber die Ausführung von KI-Agenten auf regulierten Daten außerhalb einer FedRAMP-autorisierten Umgebung ist mehr als nur eine Compliance-Lücke – sie stellt eine erhebliche Sicherheitsbedrohung dar.
Diese Lücke birgt konkrete Risiken:
- Compliance-Verstöße: Dies geschieht, wenn KI-Agenten auf Daten aus Umgebungen zugreifen, die nicht FedRAMP-autorisiert sind. Sobald ein Agent auf regulierte Daten außerhalb eines autorisierten Bereichs zugreift, ist das Unternehmen gefährdet.
- Zunehmendes Risiko einer Sicherheitsverletzung: Dies geschieht, wenn ungesteuerte Agenten in Maschinengeschwindigkeit über Apps, APIs, SaaS-Tools und Datensysteme hinweg ohne einheitliche Sicherheitskontrollen agieren. Ein einziger kompromittierter Anmeldedaten gewährt nicht nur Zugriff auf ein einziges System; er gewährt Zugriff auf alles, was ein Agent erreichen kann, bevor ein Mensch eingreifen kann.
- Fehlgeschlagene Audits: Dies kommt häufig vor, wenn Agenten als verwaiste Konten ohne eindeutige Identität, ohne menschliche:n Eigentümer:in und ohne Prüfpfad ausgeführt werden.
- Verzögerte KI-Einführung: Dies geschieht, wenn die einzige "konforme" Option darin besteht, die Bereitstellung zu verschieben, wodurch Behörden in Konflikt mit einem Erlass geraten, der die Förderung von Innovationen fordert.
Führungskräfte stehen vor einem unmöglichen Kompromiss: Schnell handeln und einen Verstoß oder eine Sicherheitsverletzung riskieren, oder die Compliance wahren, indem sie KI-Initiativen auf Eis legen. Der Präsidialerlass fordert sowohl Geschwindigkeit als auch Sicherheit, und Identität ermöglicht es Behörden, beides gemeinsam bereitzustellen.
Gleiche föderale Grenze, neue Identitätsklasse
Unser neu eingeführtes Angebot Okta for AI Agents - Core schließt die Lücke, indem es den gesamten Agenten-Lebenszyklus innerhalb derselben FedRAMP-Umgebungen verwaltet, in denen Sie bereits auf Okta für menschliche Identitäten vertrauen. Gleiche Grenze. Gleiche Zusicherungen. Neue Abdeckung für eine neue Identitätsklasse.
Dies baut auf den Meilensteinen auf, die Okta bereits im Markt für Bundesbehörden erreicht hat. Okta Identity Governance wurde Anfang dieses Jahres FedRAMP High-autorisiert und weitet damit moderne Governance sowie Identitäts- und Zugriffsmanagement (IAM) auf Bundesbehörden aus. Die Einbindung von Agenten in dieselbe Identity Fabric ist der natürliche nächste Schritt, anstatt ein paralleles System aufzubauen und zu verteidigen.
Um dies zu erreichen, haben wir ein Konzept für das sichere agentenbasierte Unternehmen entwickelt, der Ihre bestehende Infrastruktur nutzt und darauf abzielt, drei Schlüsselfragen zu beantworten, die jede agentenbasierte Organisation beantworten können sollte:
- Wo sind meine Agenten?
- Womit können sie sich verbinden?
- Was können sie tun?
1. Erkennen und integrieren: Wo befinden sich meine Agenten?
Sie können nicht verwalten, was Sie nicht sehen, aber Sie sind für die Handlungen Ihrer Agenten verantwortlich. Jeder Agent wird zu einer bekannten, eigenen, vollwertigen Identität in Ihrer Umgebung, unabhängig davon, ob er von einer Drittanbieter-Platform oder Ihren eigenen Entwickler:innen stammt.
Um dies zu erreichen, bietet Okta for AI Agents zwei primäre Onboarding-Funktionen, die darauf ausgelegt sind, sowohl Agenten von Drittanbietern als auch selbst entwickelte Agenten unter einer einzigen, einheitlichen Steuerungsebene zusammenzuführen:
- KI-Agenten-Import: Importieren Sie bekannte Agenten von führenden Drittanbieter-Plattformen mithilfe vorkonfigurierter Integrationen im Okta Integration Network (OIN). Dies reduziert die manuelle Einrichtung und beschleunigt das Onboarding.
- KI-Agenten-Verzeichnis: Integrieren Sie maßgeschneiderte, eigenentwickelte Agenten als vollwertige Identitäten in das Universal Directory. Weisen Sie menschliche Eigentümer:innen zu, wenden Sie die Identitätskontrollen an, die Sie bereits verwenden, und verwalten Sie jeden Agenten über eine einzige Informationsquelle.
Jeder Agent wird mit einer klar zugewiesenen menschlichen verantwortlichen Person eingebunden – der Grundlage für die Rechenschaftspflicht, die Prüfer:innen erwarten –, wobei der Schwerpunkt auf gehärteten, verteidigungsfähigen Systemen liegt.
2. Schützen: Womit können sie sich verbinden?
Sobald Agenten bekannt und in Ihrem Besitz sind, steuern Sie genau, worauf sie zugreifen können. Administrator:innen legen fest, auf welche Ressourcen ein Agent zugreifen kann, wie er sich authentifiziert und welche Berechtigungen er erhält, wobei dies bei jeder Verbindung zur Laufzeit durchgesetzt wird. Dies ersetzt langlebige statische Schlüssel und Standing Access durch bereichsbezogene, kurzlebige Anmeldedaten, die nur für den tatsächlichen Bedarf des Agenten ausgestellt werden.
Der Schutz erstreckt sich über eine Vielzahl von Ressourcentypen:
- Autorisierungsserver: Definierten und erzwungenen Zugriff für eigenentwickelte Agenten einrichten.
- Anwendungen: Verbindung über vermittelte Zustimmung für einen sicheren, von Nutzer:innen autorisierten Zugriff auf Drittanbieter-Apps, der zur Laufzeit erzwungen wird.
- MCP-Server: Direkte Anbindung als verwaltete Ressourcen mit von Administrator:innen definierten Kontrollen und Durchsetzung zur Laufzeit.
Das Prinzip lautet Least-Privilege-Prinzip, konsequent angewendet. Dies stellt gleichzeitig die direkteste Abwehr gegen Agenten mit zu weitreichenden Berechtigungen oder gekaperte Agenten dar, um die es in der Anordnung geht.
3. Steuern: Was können sie tun?
Agenten werden in denselben Governance-Lebenszyklus eingebunden, den Sie bereits für Ihre Mitarbeiter:innen nutzen, sodass die Kontrolle kontinuierlich erfolgt und keine einmalige Einrichtung ist. Dies spiegelt die modernen Funktionen für Identity Governance und Administration wider, auf die sich Bundesbehörden bereits verlassen: optimierte, kontextbezogene Zertifizierungen zur Abwehr einer schleichenden Ausweitung von Berechtigungen und ein vollständiger Audit-Trail für jede Zugriffsentscheidung.
Um diese kontinuierliche Überwachung zu gewährleisten, erweitert Okta for AI Agents unsere zentralen Governance-Funktionen auf autonome Workflow durch diese Schlüssel-Features:
- Benutzer Access Requests für KI-Agenten: Benutzer:innen fordern den Zugriff über ihr Dashboard an, während Administrator:innen Genehmigungen verwalten, Aktionen automatisieren und zeitlich begrenzte Berechtigungen durchsetzen.
- Benutzerzugriffszertifizierungen für KI-Agenten: Agenten verwenden dieselben standardisierten Zertifizierungs-Workflows wie SaaS-Apps, sodass Eigentümer:innen, Manager:innen und Sicherheitsadministrator:innen den Zugriff mit lückenloser Nachvollziehbarkeit und automatischer Durchsetzung überprüfen, genehmigen oder widerrufen können.
- Agenten-Deaktivierung: Wenn ein Agent von seiner vorgesehenen Aufgabe abweicht oder unerwartet auf sensible Daten zugreift, verfügen Sicherheitsteams über einen Echtzeit-Not-Aus-Schalter, um das Risiko einzudämmen, bevor es zu einem größeren Vorfall eskaliert.
- Audit-Protokolle und Telemetrie: Sie sollten alle Agentenaktivitäten protokollieren, einschließlich Tool-Aufrufen, Autorisierungsentscheidungen und Zugriffsversuchen, und diese optional an Ihre Security Information and Event Management (SIEM)-Platform übertragen. Dadurch wird ein vollständiger Audit-Trail bereitgestellt, der die strengen Berichtsanforderungen von Aufsichtsbehörden wie dem Government Accountability Office (GAO) erfüllt.
Was dies für Bundesbehörden bedeutet
Identitätssicherheit ist kein bloßes Compliance-Häkchen; sie ist die grundlegende Ebene, die eine sichere KI-Einführung ermöglicht. Wie Todd McKinnon, unser CEO, anmerkt: "Sie können bei KI nicht schnell vorankommen, wenn Sie dies nicht sicher tun können."
Der Präsidialerlass erkennt dies an. Jetzt müssen Organisationen entsprechend handeln.
Treiben Sie Innovationen aggressiv voran. Sichern Sie kompromisslos.
Sie müssen sich nicht zwischen der Geschwindigkeit der KI-Einführung und der Stärke Ihrer Sicherheitslage entscheiden. Mit Okta for AI Agents - Core hat jeder Agent eine:n klare:n Verantwortliche:n, definierte Berechtigungen und eine transparente Kontrolle – alles innerhalb der regulierten Umgebung, bei deren Betrieb Sie Okta bereits vertrauen. Gleiche Grenzen, gleiche Garantien und vollständige Abdeckung für die am schnellsten wachsende Identitätsklasse im öffentlichen Sektor.
Sind Sie bereit, sichere, richtlinienkonforme Identity Governance in die automatisierten Pipelines Ihrer Behörde zu integrieren?
Kontaktieren Sie unser Team für Bundesbehörden und den öffentlichen Sektor, um zu erfahren, wie Okta for AI Agents - Core Ihre Mission schützen kann.
