Ein Klick ist keine Unterschrift

Stellen Sie sich einen Montagmorgen vor. Auf dem Besprechungstisch liegt eine Liste: 3.812 Kunden haben am Wochenende eine Gutschrift bekommen. Ausgelöst hat sie ein KI-Agent, der eigentlich nur Reklamationen sortieren sollte.

Die erste Frage im Raum ist immer dieselbe:

„Wer hat das erlaubt?“

Im Protokoll steht: freigegeben. Und zwar vom Konto des Kollegen, der den Agenten am Freitag gestartet hat. Er erinnert sich an ein Fenster. Der Agent hatte an diesem Nachmittag oft gefragt, irgendwann hat er auf „Immer erlauben“ geklickt.

Was stand in dem Fenster, als er klickte? Das weiß niemand mehr. Und genau das wird der Versicherer wissen wollen.

Die Szene ist erfunden. Unrealistisch ist sie nicht.

Warum die Frage jetzt kommt

In „Die Hände der KI“ haben wir beschrieben, dass ein Sprachmodell selbst nichts tut. Es bittet. Ausgeführt wird von einer Werkzeugschicht darum herum — den Händen. Und dort, wo gehandelt wird, müssen auch die Regeln durchgesetzt werden.

Regeln decken die Routine: Der Agent darf Tickets lesen, aber keine Rechnungen ändern. Die wertvollen Aufgaben sind aber selten Routine. Eine Netzwerkstörung in der Nacht, eine Migration, eine Kundeneskalation: Dafür braucht ein Agent für ein paar Stunden mehr Rechte, als er sonst hat.

Irgendjemand muss das entscheiden. Die Freigabe ist der Moment, in dem Verantwortung den Besitzer wechselt — vom Menschen auf die Maschine. Und zurück, sobald etwas schiefgeht.

Deshalb lohnt sich ein genauer Blick darauf, wie diese Freigabe heute aussieht.

Fünf Wege, einen Agenten handeln zu lassen

1. Die Generalvollmacht. Der Agent darf alles, was sein Zugang hergibt. Viele Teams starten so, weil es schnell geht und im Test niemandem wehtut. Es ist die KI-Fassung des Generalschlüssels: Es gibt nichts freizugeben — und hinterher nichts zu belegen.

2. Feste Regeln. Ein Administrator legt vorab fest: lesen ja, löschen nie. Für die Routine ist das richtig und bleibt die Grundlage. Der Haken liegt im Unvorhergesehenen. Sind die Regeln eng, bleibt der Agent mitten in der Aufgabe stecken. Sind sie weit, ist man wieder bei der Generalvollmacht, nur mit mehr Papier.

3. Der Klick im Chat. Der Agent fragt, der Mensch klickt „Erlauben“ — oder gleich „Immer erlauben“. So arbeiten die meisten KI-Assistenten heute. Das hat drei Haken. Wer den Agenten beauftragt und wer bestätigt, ist meist dieselbe Person, ob sie für diese Entscheidung zuständig ist oder nicht; ein Vier-Augen-Prinzip gibt es nicht. Was im Fenster steht, formuliert das System, das etwas will. Und nach dem zwölften Fenster klickt niemand mehr bewusst. Hinterher bleibt ein Logeintrag: erlaubt.

4. Der Freigabe-Workflow. Die Anfrage geht an eine zweite Person: als Ticket, als Button im Messenger oder in einer eigenen Freigabe-Konsole. Inzwischen gibt es auch Cloud-Dienste genau dafür. Das ist ein echter Fortschritt, denn jetzt entscheiden vier Augen und eine benannte Person. Der Nachweis bleibt aber ein Eintrag in einer Datenbank, im eigenen Haus oder beim Anbieter. Wer dort Administratorrechte hat, kann ihn ändern. Man muss ihm glauben.

5. Die signierte Freigabe. Die freigebende Person unterschreibt digital, mit einem Schlüssel, den nur sie besitzt. Unterschrieben wird ein Text, der festhält, was erlaubt wird, wie lange und warum. Diese Unterschrift kann später jeder prüfen, ohne dem Betreiber, dem Anbieter oder dem eigenen Administrator vertrauen zu müssen.

Drei Fragen an jede Freigabe

Wer heute KI-Agenten einführt, sollte jede Form der Freigabe an drei Fragen messen:

1. Wer hat freigegeben? Eine benannte, dafür zuständige Person — oder ein Konto, das drei Kollegen teilen und das der Agent selbst bedient?
2. Was genau? Welche Rechte, wie lange, aus welchem Anlass? Und hat die Person das in klaren Worten gesehen, bevor sie zustimmte, oder nur eine Formulierung des Agenten?
3. Lässt es sich beweisen? In sechs Monaten, gegenüber Wirtschaftsprüfer, Versicherer oder Gericht. Auch dann, wenn der Verdacht auf den eigenen Administrator fällt.

Die drei Fragen sind keine Kür. Wo die europäische KI-Verordnung greift, etwa bei KI im Personalwesen, verlangt sie ab Dezember 2027, dass Menschen mit der nötigen Kompetenz und Befugnis die Aufsicht führen und die Protokolle mindestens sechs Monate aufbewahrt werden. Für alle anderen ist das ein guter Maßstab.

Die meisten heutigen Lösungen beantworten die erste Frage halb, die zweite selten und die dritte gar nicht.

Das Vorbild kennt jeder

Niemand würde akzeptieren, dass eine Überweisung über 50.000 Euro mit einem Häkchen freigegeben wird. Die Bank verlangt eine Bestätigung auf einem zweiten Gerät, das Betrag und Empfänger noch einmal anzeigt. Bestätigt wird, was tatsächlich ausgeführt wird, nicht das, was eine Webseite behauptet.

Bei KI-Agenten, die zunehmend in Buchhaltung, CRM und Produktion eingreifen, fehlt dieser Schritt fast überall. Dabei geht es um vergleichbare Werte.

Die signierte Freigabe geht sogar einen Schritt weiter als die TAN. Den Beleg verwahrt nicht nur eine Seite: Wer den unterschriebenen Text und die Unterschrift hat, kann sie selbst prüfen.

Wie wir das in ToolMesh gelöst haben

Mit ToolMesh 0.5.0, erschienen am 23. Oktober 2026, gibt es diesen Schritt für KI-Agenten. ToolMesh ist das Gateway zwischen Ihren Agenten und Ihren Systemen, ein gemeinsames Paar Hände für alle Agenten. Eine Freigabe läuft so ab:

• Der Agent fragt einmal, nach einem Koffer. Statt zwölf Einzelanfragen fordert er ein Rechtepaket an, das zur Aufgabe passt, etwa „Netzwerk-Diagnose, nur lesend, vier Stunden“, mit Begründung. Welche Koffer es gibt, legt Ihr Unternehmen fest, nicht der Agent.
• Ein Mensch bekommt einen Link. Die Freigabeseite zeigt in Klartext, was der Koffer erlauben würde, geordnet nach Wirkung, mit Warnhinweis, Dauer und Anlass. Die Beschreibung der Rechte stammt aus Ihrer Konfiguration, nicht von dem Agenten, der etwas will; von ihm kommt nur die Begründung.
• Freigeben darf, wer zuständig ist. Wer den Agenten bedient, muss die Rechte nicht selbst haben. Fehlt ihm die Befugnis, reicht er den Link an die zuständige Führungskraft weiter. Gültig ist nur die Unterschrift einer Person, die für diesen Koffer als Freigebende hinterlegt ist.
• Streichen vor dem Unterschreiben. Die freigebende Person kann einzelne Rechte herausnehmen und die Dauer kürzen. Unterschrieben wird genau die gekürzte Fassung, und nur sie gilt. Der Agent darf großzügig fragen, der Mensch schneidet zu.
• Unterschrift mit eigenem Schlüssel. Signiert wird direkt auf der Seite, wobei der Schlüssel den Browser nie verlässt, oder in einer separaten Wallet. Das Geheimnis bleibt bei der freigebenden Person.
• Prüfen ohne Geheimnis. ToolMesh braucht zum Prüfen nur die öffentliche Adresse der Person, nie ihren geheimen Schlüssel. Auf dem Server liegt also nichts, womit sich eine Freigabe fälschen ließe. Selbst wer ToolMesh übernimmt, kann keine Unterschrift im Namen der freigebenden Person erzeugen.
• Rechte enden von selbst. Nach Ablauf der Frist ist der Koffer wieder zu. Widerrufen lässt er sich jederzeit.
• Der Beleg bleibt. Das Protokoll hält Anfrage, unterschriebenen Text, Unterschrift und jeden Aufruf unter dem Koffer fest. Ob die Unterschrift echt ist, kann später jeder nachprüfen, gegen die bekannte Adresse der freigebenden Person.

Das Ergebnis: weniger Freigaben, aber jede einzelne zählt.

In Arbeit sind Freigaben, die genau einmal gelten und feste Werte binden, etwa genau diese eine Gutschrift über genau diesen Betrag.

ToolMesh ist Open Source und läuft auf Ihrer eigenen Infrastruktur. Die Freigabe per Unterschrift gehört zum offenen Kern, nicht zu einer kostenpflichtigen Zusatzversion.

Warum ein Standard aus der Bitcoin-Welt?

Die Unterschrift folgt BIP-322, einem offenen Standard, der für Bitcoin entwickelt wurde. Mit Kryptowährung hat die Freigabe trotzdem nichts zu tun: Es fließt kein Geld, es entsteht keine Transaktion, nichts landet auf einer Blockchain. Wir nutzen nur das Unterschriftsverfahren.

Die Gründe dafür sind nüchtern. Das Verfahren ist offen dokumentiert, und seit Mai 2026 gilt seine Spezifikation als fertig und zur Umsetzung empfohlen. Die Kryptografie dahinter sichert seit 2009 ein Netz, in dem es um sehr viel Geld geht. Es gibt dafür ausgereifte Programme. Und es braucht keine eigene Zertifizierungsstelle: Die Adresse der freigebenden Person ist zugleich der Prüfstein für jede ihrer Unterschriften.

Zurück zum Montagmorgen

Mit einer signierten Freigabe hätte der Kollege am Freitag nicht auf „Immer erlauben“ geklickt. Er hätte eine Seite gesehen: Reklamationen lesen, Tickets kommentieren, Gutschriften erstellen — vier Stunden. Die letzte Zeile hätte er gestrichen. Oder er hätte den Link an die Buchhaltungsleitung weitergereicht, denn über Gutschriften entscheidet sie.

Und wäre die Zeile doch freigegeben worden, läge am Montag ein unterschriebener Text auf dem Tisch: welche Rechte, wie lange, aus welchem Anlass, von wem. Vielleicht war die Freigabe trotzdem ein Fehler. Aber es wäre eine Entscheidung gewesen, keine Gewohnheit. Und man könnte sie belegen.

Ein Klick sagt: Irgendjemand war einverstanden. Eine Unterschrift sagt: Ich war es, und genau das habe ich erlaubt.

Die Stimme fragt. Die Hände warten. Ein Mensch unterschreibt.

ToolMesh 0.5.0 ist seit dem 23. Oktober 2026 verfügbar. Wie Koffer und Freigaben im Detail funktionieren, steht in der Dokumentation . Wenn Sie wissen wollen, wie das in Ihrer Umgebung aussähe, sprechen Sie uns an .

Weiterführend: Die Hände der KI — warum nicht das Modell handelt, sondern die Werkzeugschicht darum herum.