AI-Agent-Governance auf bewährten IGA-Grundlagen
AI-Agenten, Servicekonten und automatisierte Pipelines übertreffen menschliche Identitäten mittlerweile um das 50- bis 140-fache. Mit NEXIS lassen sich diese digitalen Identitäten mit denselben Governance-, Lifecycle- und Berechtigungskonzepten steuern, die bereits für Mitarbeitende und Geschäftspartner etabliert sind.
Die meisten Unternehmen verwalten ihre Mitarbeitenden. Nur wenige verwalten ihre KI-Agenten.
Non-Human Identities übertreffen in den meisten Unternehmen bereits die Zahl Human Identities, und ihr Volumen wächst weiter durch automatisierte Integrationen, Servicekonten und AI-basierte Workflows. Dennoch gehen die meisten Identity-Governance-Prozesse weiterhin davon aus, dass jede relevante Identität einer Person zugeordnet ist.
KI-Agenten entstehen häufig außerhalb etablierter Governance-Prozesse, sammeln im Laufe der Zeit umfangreiche Berechtigungen an und bleiben oft aktiv, selbst wenn die Person, die sie erstellt oder verantwortet hat, das Unternehmen bereits verlassen hat. Dadurch entstehen strukturelle Lücken bei Ownership, Lifecycle-Kontrolle und Verantwortlichkeit.
Das Risiko steigt zusätzlich, wenn externe AI-Services ohne klare Policy-Grenzen oder Third-Party-Governance auf interne Daten zugreifen. IAM allein kann dies ohne abgestimmte Kontrolle über Zugriff, Ownership und Risiko nicht adressieren.
Risikoindikatoren
- AI-Agenten werden außerhalb etablierter Governance-Prozesse angelegt
- Kein Owner nach dem Ausscheiden des Erstellers
- Berechtigungen sammeln sich ohne Review an
- SoD-Kontrollen schließen Non-Human Identities aus
- Externe AI-Servicesohne ohne Governance-Prüfung
- Keine formale Außerbetriebnahme für Agenten
Von unsichtbaren Akteuren zu gesteuerten Identitäten: So steuert NEXIS AI-Agenten
Der Wandel ist strukturell. AI-Agenten existieren nicht mehr außerhalb der Governance, sondern arbeiten mit denselben Verantwortlichkeiten, Lifecycle-Prozessen und Zugriffskontrollen verwaltet, die bereits für die Workforce genutzt werden. NEXIS erweitert ein bestehendes Governance-Modell auf eine neue Identitätsklasse, statt ein paralleles zu schaffen.
1. Discovery und Registrierung
AI-Agenten und nicht-menschliche Identitäten werden in der gesamten Umgebung sichtbar gemacht und mit den für Governance erforderlichen Attributen in NEXIS aufgenommen.
2. Ownership zuweisen
Jeder Agent wird mit einem menschlichen Owner verknüpft. Ownership wird kontinuierlich nachverfolgt. Verlässt die zuständige Person das Unternehmen, wird automatisch eine Neuzuweisung angestoßen.
3. Autorisierung definieren und durchsetzen
Policy-basierte Autorisierung legen fest, auf welche Systeme, Datenklassen und Aktionen jeder Agent zugreifen darf. SoD-Regeln können auf Policy-Ebene über vernetzte Systemlandschaften hinweg angewendet werden.
4. Zertifizieren und pflegen
Regelmäßige Rezertifizierungen prüfen, ob Agenten ihre Zugriffsrechte weiterhin benötigen und ob die zugewiesenen Policies noch angemessen sind. Entscheidungen werden für Audit und Review protokolliert.
Verstehen, worauf jede Identität zugreifen kann
und wer auf alles zugreifen kann
Wie Organisationen Agentic AI Governance anwenden
Offboarding von Agenten und Kontinuität der Ownership
Wenn Mitarbeitende, die KI-Agenten erstellt oder verwaltet haben, das Unternehmen verlassen, bleiben diese Agenten häufig aktiv, ohne verantwortlichen Owner. NEXIS integriert verpflichtende Ownership-Prüfungen in Offboarding-Prozesse, identifiziert alle Agenten, die mit der ausscheidenden Identität verknüpft sind, und erzwingt Neuzuweisung oder Entzug, bevor das Offboarding abgeschlossen ist.
NEXIS unterstützt:
- Verpflichtende Ownership-Prüfungen für Non-Human Identities im Offboarding-Prozess
- Automatische Identifizierung aller Agenten, die dem ausscheidenden Mitarbeitenden zugeordnet sind (über Astrix-Integration, sofern eingesetzt)
- Erzwungene Neuzuweisung oder Entzug, bevor das Offboarding abgeschlossen wird
- Vollständige Dokumentation aller Entscheidungen im NEXIS Audit-Log
Ergebnis:
Keine verwaisten Agenten und keine unverwalteten Zugriffe, die durch Veränderungen in der Workforce zurückbleiben.
Access-Zertifizierung für Agenten und ihre Policies
Compliance-Anforderungen erstrecken sich zunehmend auf Non-Human Identities. NEXIS nimmt Agenten und ihre Policies in strukturierte Rezertifizierungskampagnen auf, sodass Ownership, Zugriffsumfang und SoD-Exposure im gleichen Governance-Takt wie bei Workforce-Identitäten geprüft werden können.
NEXIS unterstützt:
- Unabhängige Zertifizierung von PBAC-Policies zur effizienten Verwaltung großer Agentenbestände
- Automatisierte Zuweisung von Rezertifizierungsaufgaben an Agent-Owner
- Inline-Transparenz zu SoD-Konflikten während des Reviews
- Dokumentierte Ausnahmen und Whitelisting mit vollständiger Audit-Nachvollziehbarkeit
Ergebnis:
Audit-fähige Zertifizierungsabdeckung für Non-Human Identities, ohne den Aufwand pro Agent zu vervielfachen.
Externe AI-Services und Third-Party-Governance
Externe AI-Services können auf interne Daten zugreifen, ohne sich sauber in traditionelle IAM-Modelle einzuordnen zu lassen. NEXIS ermöglicht es, diese Services als verantwortliche Identitäten innerhalb eines umfassenderen Risiko- und Zugriffsrahmens zu steuern – mit definiertem Zugriffsumfang, Reviewbarkeit und Policy-Kontrollen.
NEXIS unterstützt:
- Klassifizierung und Registrierung von Third-Party-Services als Non-Human Identities
- GRC-Policy-Management für zulässigen Datenzugriff und Verarbeitungsumfang
- Review des Zugriffs externer Services im gleichen Takt wie bei internen Agenten
- Integrierte IAM- und GRC-Governance zur Unterstützung von DORA- und NIS2-Anforderungen an Drittparteien
Ergebnis:
Externe AI-Services werden unter einem einheitlichen Zugriffs- und Risikomodell gesteuert, anstatt isoliert oder ad hoc gesteuert zu werden.
Von führenden Analysten anerkannt
Erwähnt im Gartner® Hype Cycle for Digital Identity 2025 und Gartner® Hype Cycle for Zero-Trust Technology 2025
Erwähnt als Innovationsführer im KuppingerCole Leadership Compass: Identity and Access Governance.