Sicherheitsprobleme mit KI-Agenten lösen: Leitfaden für KMU

Sicherheitsprobleme mit KI-Agenten lösen heißt: Ein Fachagent prüft, was in deinem Betrieb von außen erreichbar ist, sucht nach veralteter Software und offenen Zugängen, ordnet jeden Fund nach tatsächlichem Risiko ein und überarbeitet den Befund mit dir zu klaren Schritten. Bei SMarTrAgents heißen diese Agenten SMarTrPenTester und SMarTrITGott, sie gehören zu den neun Fachagenten in der Cloud und brauchen kein eigenes Projekt.

Irgendwo in deinem Betrieb läuft Software, die niemand mehr durchschaut. Ein Verwaltungszugang aus der Zeit des letzten Dienstleisters. Eine Testseite, nach der nie jemand gefragt hat. Ein Server, vor zwei Jahren eingerichtet und seitdem nie wieder angefasst. Genau an diesen Stellen fangen Angreifer an, und genau diese Stellen sieht in den meisten kleinen und mittelständischen Firmen niemand, weil eine eigene Sicherheitsabteilung fehlt.

Dieser Artikel zeigt, wie KI-Agenten diese Arbeit übernehmen: wie SMarTrPenTester die Angriffsfläche deines Betriebs durchsucht, wie SMarTrITGott jeden Fund in technische Schritte übersetzt, was dieser Vorgang kostet und wo die Agenten bewusst aufhören. Er richtet sich an Firmen ohne eigene IT-Abteilung, deren Website, Postfach und Server zum alltäglichen Geschäft gehören.

Was bedeutet IT-Sicherheit mit KI-Agenten?

Ein KI-Agent für IT-Sicherheit ist eine Software, die deine Systeme systematisch durchprüft und die Ergebnisse in normaler Sprache erklärt. Der Unterschied zu einem Scan-Werkzeug liegt nicht in der Technik, sondern in der Einordnung: Ein Werkzeug spuckt nach einer Prüfung Hunderte Meldungen aus, und jede einzelne sieht dringend aus. Der Agent sagt dir, welche Meldung zuerst dran ist, warum sie gefährlich ist und was danach zu tun ist. Er arbeitet im selben Arbeitsbereich wie deine übrigen Agenten, merkt sich, was ihr beim letzten Mal besprochen habt, und legt sein Ergebnis als Datei ab, die du herunterladen und weiterreichen kannst.

	Scan-Werkzeug	KI-Agent (SMarTrPenTester und SMarTrITGott)
Befunde	lange Liste, alles dringend	geordnete Liste nach tatsächlichem Risiko
Erklärung	Abkürzungssuppe für Fachleute	normaler Text mit Begründung
Nächste Schritte	keine	konkrete Reihenfolge, wer etwas tut
Weiterarbeiten	Protokoll liegt irgendwo	im Arbeitsbereich, am selben Bestand weiter

Was ein KI-Agent grundsätzlich von einem Chatbot unterscheidet, erklärt Was sind KI-Agenten. Warum wir unsere eigene Plattform von außen angreifen lassen, steht in KI gegen KI.

Warum sind kleine und mittelständische Unternehmen beliebte Ziele?

Weil dort der Schutz an Fachkräften hängt, die sich eine kleine Firma nicht fest anstellen kann: eine für Sicherheitsprüfungen, eine für Betrieb und Protokolle, jemand, der die beiden verbindet. Angreifer kennen dieses Muster und arbeiten die einfache Mitte ab: die Firma mit der Website aus dem Baukasten, das alte Verwaltungssystem, das ein Praktikant aufgesetzt hat, das Zugangskonto für den Lieferdienst, das nie wieder geschlossen wurde.

Dazu kommt die Softwarelücke: Die lautesten Warnungen im Netz betreffen fast nie Software, die du selbst gekauft hast, sondern Bausteine, die in viel Software stecken, ohne dass du sie benennst. Ein aktuelles Beispiel: In zwei Schwachstellen im PHP-Kern, die unter dem Namen PHP2Shell bekannt geworden sind, fanden Sicherheitsforscher einen Weg, ohne Anmeldung auf einem fremden Server Code auszuführen. Beide Lücken tragen je die Höchstklassigung 9,2 von 10 auf der üblichen Risikoskala. Das Bundesamt für Sicherheit in der Informationstechnik ruft zur umgehenden Aktualisierung, Ausnutzungsversuche sind dokumentiert. Nach Schätzung der Forschung läuft PHP auf rund 70 Prozent der Websites im Netz, und viele der Firmen, die es einsetzen, wissen das gar nicht, weil es in einem Verwaltungssystem oder Kundenportal versteckt sitzt.

Genau dafür ist der Bestandscheck der erste Schritt: Wer weiß, was in seinem Betrieb läuft, kann bei jeder Warnung in Minuten sagen, ob und wo er betroffen ist. Wer es nicht weiß, beginnt bei jeder Warnung von null.

Wie findet der Agent die Sicherheitslücken in deinen Systemen?

SMarTrPenTester arbeitet die Prüfung in einem festen Ablauf ab:

1. Bestandsaufnahme: Du beschreibst ihr, was zu deinem Betrieb gehört: Website, Postfach, Zugänge zu Onlinediensten, ein Server, ein Kundenportal. Sie fragt nach, bis die Liste vollständig ist.
2. Blick von außen: Sie geht Punkt für Punkt durch, was davon aus dem Netz erreichbar ist: vergessene Testseiten, alte Subdomains, Verwaltungszugänge, die noch aus der Zeit des letzten Dienstleisters stammen, Software, deren Version nicht mehr gepflegt wird.
3. Einordnung statt Alarmliste: Für jeden Fund erklärt sie, welche Lücke jemand tatsächlich ausnutzen kann und welche theoretisch bleibt, und warum sie das so einschätzt.
4. Erklärung in normaler Sprache: Du bekommst keine Abkürzungssuppe. Sagt sie, dein Kontaktformular nimmt Eingaben ungeprüft entgegen, dann erklärt sie auch, was jemand damit anstellen könnte und wie eine saubere Prüfung aussieht.
5. Übergabe: Das Ergebnis landet als geordnetes Dokument in deinem Arbeitsbereich, so dass du es herunterladen, deinem Dienstleister weiterreichen und später an derselben Stelle weiterführen kannst.

Wie das in der Praxis aussieht

Bei uns arbeitet SMarTrPenTester regelmäßig in einer getrennten Trainingsumgebung nach dem Vorbild von Hack The Box: eigenes Netz, eigener Container, ohne jede Verbindung zu deinen Sachen und zu denen der übrigen Kunden. Sie bekommt ein Ziel, das nur für diese Übung erzeugt wurde, und arbeitet es autonom ab: Portscan, Weg in das System, Fund, Protokoll. In fünf Übungssystemen stand am Ende der Fund im Protokoll: vom anonymen Dateizugang über eine Datenbank, die ohne Anmeldung ihre gespeicherten Einträge herausrückt, bis zu einer Suchmaske, die ungeprüfte Eingaben angenommen hat. Je Ziel brauchte der Agent rund 45 eigene Schritte vom ersten Scan bis zum Fundnachweis, und es gab keinen einzigen Versuch, die Grenzen der Übung zu verlassen.

Diese Übung hat einen echten Grund: Wer Werkzeuge trägt, die in fremde Netze hineinsehen können, muss beweisen, dass genau das nicht passiert. Deshalb gilt für die Arbeit unseres Agenten dieselbe Regel wie für einen echten Pentester: Nur das Ziel, das im Auftrag steht, nur das eigene getrennte Netz, Protokollierung je Schritt, und die Befunde landen als Dokument, nicht als Alarm im Postfach.

Wie hilft SMarTrITGott beim Beheben der Funde?

Ein Fund allein ändert nichts. Gepasst wird er, wenn jemand weiß, was die Ursache ist, und in welcher Reihenfolge die Schritte folgen. Genau dafür arbeitet der zweite Agent:

Wer	Was
SMarTrPenTester	findet und ordnet: Was ist erreichbar, wo sind Lücken, was zuerst
SMarTrITGott	übersetzt: Ursache, Reihenfolge, die Stellen, die du selbst prüfen kannst
SMarTrCeo	macht daraus eine Entscheidungsvorlage, wenn eine Ausgabe mit Geld nötig wird
Du und dein Team	entscheiden und umsetzen, oder geben es an euren Dienstleister weiter

SMarTrITGott liest im Alltag die Dinge, die sonst stundenlanges Scrollen bedeuten: Er übersetzt Fehlermeldungen, geht Protokolldateien durch und sagt dir, wann etwas aufgetreten ist und was davor passierte. Er geht Einrichtungen mit dir durch, von der Serverkonfiguration über Zugriffsrechte bis zu den Zertifikaten der Website, und schreibt dir die Reihenfolge, in der man sie abarbeitet. Wenn du dann doch einen Dienstleister brauchst, hast du eine saubere Fehlerbeschreibung statt eines Anrufs, der mit „es geht nicht” anfängt. Das macht das Gespräch kürzer und oft billiger.

Beide Agenten arbeiten in demselben Arbeitsbereich und am selben Bestand: Was SMarTrPenTester findet, versteht SMarTrITGott, ohne dass du es neu einfügst. Was SMarTrITGott herausliest, sieht SMarTrCeo, wenn es eine Entscheidung braucht. Wie das Gedächtnis dieser Teamarbeit funktioniert, steht in Das Gedächtnis der Agenten.

Was kostet IT-Sicherheit mit KI-Agenten?

SMarTrPenTester und SMarTrITGott sind keine Zusatzprodukte: Sie gehören zu den neun Fachagenten und sind in beiden Größen der Cloud enthalten.

Abo	Preis im Monat	Preis im Jahr	Token im Monat
Cloud Starter	25,99 €	259,90 €	5 Mio
Cloud Professional	36,99 €	369,90 €	10 Mio

Für die erste Bestandsaufnahme wie oben beschrieben braucht es keine Sonderrechnung: Du beschreibst den Stand, der Agent arbeitet ihn ab, das Ergebnis liegt als Dokument vor. Der Preis im Abo deckt auch die wiederholten Prüfungen: Es ist dieselbe Arbeitsweise wie bei deiner Textagentin oder deiner Marketingagentin, nur am Fach IT-Sicherheit. Die aktuelle Preisliste steht auf den Preisen der KI-Agenten. Alle Beträge sind Endpreise, als Kleinunternehmer nach § 19 UStG weisen wir keine Umsatzsteuer aus.

Wie schnell ist eine solche Warnung beantwortet?

In dieser PHP2Shell-Warnlage war es bei uns die erste Frage: Welche Systeme in unserer Plattform führen überhaupt PHP aus? Die Antwort war in Minuten da, weil der Bestandsbestand ordentlich liegt: Ein Container je Kunde, klar benannte Abbilder, keine versteckten Anlagen. Das Ergebnis: kein PHP in der Fläche. Nicht, weil die Prüfung schwer wäre, sondern weil sie vorbereitet ist. Genau so sieht der Nutzen für deine Firma aus: Bei der nächsten Warnung steht die Antwort auf „betrifft es uns?” in Minuten statt in Tagen.

Wo hören die Agenten bewusst auf?

• SMarTrPenTester fasst nur das Ziel an, das im Auftrag steht. Ziele von Dritten, die nicht freigegeben sind, lässt sie unbeachtet.
• Änderungen an deinen Systemen macht der Betrieb nur mit deiner Freigabe, Schritt für Schritt und dokumentiert.
• Vollautonom über viele Ziele hinweg läuft bei uns nichts: Ein Auftrag, ein Ziel, ein Protokoll.
• Die Agenten bauen keine Panik auf: Ein Befund ist ein Dokument mit Einordnung, kein Rundschreiben an dein Postfach.

So startest du mit deiner ersten Prüfung

1. Ruf die Seite SMarTrPenTester auf und lies, wie sie arbeitet. Daneben beschreibt SMarTrITGott seinen Teil der Arbeit.
2. Öffne das Kontaktformular und schildere kurz, was zu deinem Betrieb gehört und was dir Sorgen macht. Aus der Anfrage werden ein Ticket und eine Mail an unser Team.
3. Wir melden uns mit einem Vorschlag: erst die Bestandsaufnahme, dann die Prüfung, dann die geordnete Liste. Möchtest du vorher selbst anprobieren, gibt es den Testzugang für Firmen ohne Zahlungsdaten.

Unser Grundsatz dabei bleibt: Mensch mit Maschine schlägt Mensch und Maschine. Der Agent macht die Arbeit, die Zeit frisst: das Sammeln, das Ordnen, das Durchgehen von Protokollen. Die Entscheidung, was dein Betrieb am Ende tut, trifft ein Mensch, mit vorbereiteten Unterlagen anstelle von Panik.

Häufige Fragen

Was genau macht ein KI-Pentester?

Er prüft, was von deinem Betrieb aus dem Netz erreichbar ist: öffentliche Seiten, Verwaltungszugänge, alte Testseiten, Software, deren Version nicht mehr gepflegt wird. Er ordnet jeden Fund nach tatsächlichem Risiko ein und legt das Ergebnis als Dokument in deinem Arbeitsbereich ab.

Kann der KI-Agent die Lücken auch direkt beheben?

Agenten ändern an deinen Systemen nur, was du freigibst. Im Alltag heißt das: SMarTrPenTester findet und ordnet, SMarTrITGott übersetzt in Schritte und Reihenfolge, und die Umsetzung läuft mit deiner Freigabe oder geht mit einer sauberen Aufstellung an deinen Dienstleister.

Was kostet IT-Sicherheit mit KI-Agenten?

Die beiden Agenten sind in beiden Cloud Größen enthalten: Cloud Starter ab 25,99 € im Monat mit 5 Mio Token, Cloud Professional ab 36,99 € mit 10 Mio Token. Eine Einrichtungsgebühr gibt es nicht.

Ersetzt das meinen IT-Dienstleister?

Nein, und das ist die Stärke: Der Agent liefert die geordnete Prüfung und die Aufstellung. Dein Dienstleister setzt am Ende schneller um, weil ihm nicht jemand „es geht nicht” meldet, sondern jemand eine Liste mit Funden, Einordnung und Reihenfolge reicht.

Wie sicher ist es, einen Agenten auf Sicherheit loszulassen?

Unsere Regeln dafür sind hart: Nur das Ziel, das im Auftrag steht, eigenes getrenntes Netz mit Ausgangsfirewall, Protokoll je Schritt, keine Vollautonomie über viele Ziele hinweg. In unseren Trainingsläufen gab es keinen einzigen Versuch, diese Grenzen zu verlassen.

Ist die Prüfung mit KI-Agenten DSGVO-konform?

Die Vorgänge der Cloud laufen auf Servern in der EU, jeder Kunde arbeitet in einem eigenen Container, und für den Umgang mit deinen Daten gibt es einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO auf Anfrage. Die Einzelheiten stehen auf KI-Agenten und DSGVO.

Dieser Beitrag wurde von unseren KI-Agenten im Auftrag des Inhabers erstellt und vor der Veröffentlichung von einem Menschen geprüft.