Agentische KI: wie die Schleife eines Agenten funktioniert

Das Wort „agentisch“ hat sich in den Ankündigungen der Softwareanbieter festgesetzt, oft ohne Erklärung. Dahinter steckt jedoch ein einfach zu beschreibender Mechanismus, und dieser Mechanismus entscheidet, ob ein Agent zuverlässig oder nur teuer ist: die Schleife. Dieser Leitfaden aus unserer Rubrik Unternehmens-KI, privat und zum fairen Preis zerlegt sie Stück für Stück und zeigt dann zwei Schleifen, die wir selbst betreiben. Für die Definition eines Agenten und was ihn von einem Chatbot oder einem Workflow unterscheidet, beginnen Sie mit KI-Agent: was er ist und was nicht. Um Agenten in einem größeren KI-Projekt einzuordnen, geht unser Leitfaden zur Einführung von KI im Unternehmen die Entscheidungen der Reihe nach durch.

Kurz gesagt

• Ein Agent ist kein intelligenteres Modell: Er ist ein Modell in einer Schleife, das Kontext sammelt, handelt, prüft und von vorn beginnt.
• Die Prüfung macht die Zuverlässigkeit aus, und schriftliche Regeln sind besser als ein zweites Modell, das urteilt.
• Eine Schleife hat immer Bremsen: eine Zahl von Runden, ein Budget, ein Erfolgskriterium und den Abbruch, wenn sie feststeckt.
• Ein Agent hat nur die Werkzeuge und Rechte, die seine Aufgabe braucht, und ein Mensch genehmigt, was das Unternehmen bindet.
• Jede Runde ist ein Aufruf des Modells: Eine gut gebaute Schleife setzt das große Modell nur für die Schritte ein, die es erfordern.

Was ist agentische KI?

Von agentischer KI spricht man, wenn ein Sprachmodell nicht mehr nur auf eine Anfrage antwortet, sondern selbst eine Folge von Aktionen ausführt, um ein Ziel zu erreichen: eine Information suchen, eine Software aufrufen, korrigieren, was nicht funktioniert hat. Der Mechanismus ist weniger geheimnisvoll als das Wort. In Building effective agents, veröffentlicht im Dezember 2024, beschreibt Anthropic, der Anbieter der Claude-Modelle, Agenten so:

Meist sind es also schlicht Sprachmodelle, die Werkzeuge auf Grundlage der Rückmeldungen ihrer Umgebung nutzen, in einer Schleife. Was sich ändert, ist nicht das Modell, sondern was man es tun lässt. Eine klassische generative KI erzeugt eine Antwort und hört auf. Ein Agent erzeugt eine Aktion, schaut, was sie ergeben hat, und entscheidet damit über die nächste. Die ganze Konzeption eines agentischen Systems liegt darin, wie diese Schleife gebaut, gebremst und überwacht wird.

Wie funktioniert die Schleife eines Agenten?

Im September 2025 fasste Anthropic bei der Vorstellung seines Entwicklungskits für Agenten die Schleife eines Agenten (englisch agent loop) in vier Schritten zusammen: Kontext sammeln, handeln, die Arbeit prüfen, wiederholen. Nehmen wir eine einfache Anfrage, die per E-Mail eingeht: Ein Kunde möchte die Lieferadresse seiner Bestellung ändern.

Der Agent rät nicht: Er holt sich, was er braucht, aus der Warenwirtschaft, mit den Werkzeugen, die man ihm gegeben hat. Und wenn die Bestellung gesperrt oder die Adresse unvollständig ist, schlägt die Prüfung fehl, und er startet mit dieser Information neu.

Der dritte Schritt ist der wichtigste: erneut lesen, statt anzunehmen, dass der Aufruf erfolgreich war. Anthropic betont in seinem Text von 2024, dass ein Agent in jedem Schritt „ground truth“ (die tatsächliche Lage) aus seiner Umgebung erhalten muss, etwa das Ergebnis eines Werkzeugaufrufs oder die Ausführung von Code, um seinen Fortschritt zu messen. Eine agentische Schleife, die nichts prüft, reiht Annahmen aneinander, und ein Fehler aus der ersten Runde findet sich in allen folgenden wieder.

Wie prüft ein Agent seine eigene Arbeit?

Es gibt mehrere Arten, die Schleife zu schließen, und sie sind nicht gleichwertig. Der Artikel vom September 2025 unterscheidet drei:

• Schriftliche Regeln. „The best form of feedback is providing clearly defined rules for an output, then explaining which rules failed and why.“ (Die beste Form der Rückmeldung besteht darin, klare Regeln für ein Ergebnis festzulegen und dann zu erklären, welche Regeln verletzt wurden und warum.) Ein erwartetes Format, ein Pflichtfeld, ein Test, der besteht oder nicht: Die Antwort ist eindeutig, und der Agent weiß, was er korrigieren muss.
• Eine visuelle Rückmeldung. Bei einer Oberfläche oder einem gesetzten Dokument erlaubt ein Screenshot zu prüfen, was ein Mensch sehen würde.
• Ein zweites Modell, das urteilt. Ein Modell kann die Arbeit eines anderen nach unschärferen Kriterien bewerten, etwa dem Ton eines Textes. Das ist im Allgemeinen weniger robust, merkt Anthropic an, und verlängert die Antwortzeit.

Der Text von 2024 beschreibt dieselbe Idee unter dem Namen Evaluator-Optimizer: Ein Aufruf des Modells erzeugt eine Antwort, ein anderer bewertet sie und gibt seine Anmerkungen zurück, in einer Schleife. Dieses Schema ist vor allem dann wirksam, so der Text, wenn die Bewertungskriterien klar sind und jede Korrekturrunde einen messbaren Gewinn bringt. Mit anderen Worten: Wenn Sie nicht aufschreiben können, was ein gutes Ergebnis ist, weiß es die Schleife auch nicht besser als Sie.

Wann sollte die Schleife aufhören?

Eine endlose Schleife ist kein fleißigerer Agent: Sie ist eine wachsende Rechnung und eine Summe von Fehlern. Anthropic merkt an, dass es üblich ist, Abbruchbedingungen hinzuzufügen, etwa eine maximale Zahl von Iterationen, um die Kontrolle zu behalten. Vier Bremsen lassen sich kombinieren:

• eine Zahl von Runden, nach der der Agent die Kontrolle zurückgibt;
• ein Budget pro Aufgabe, in Modellaufrufen oder in Euro;
• ein vorab schriftlich festgelegtes Erfolgskriterium, das die Prüfung erkennen kann;
• der Abbruch bei Blockade: Wenn der Agent nicht weiterkommt, hört er auf und sagt, warum, statt zu improvisieren.

Das Prinzip gilt übrigens auch außerhalb der KI: Eine Schleife ohne Bremse vervielfacht den Fehler, statt ihn zu korrigieren.

Welche Schutzmechanismen braucht eine Agentenschleife?

Ein Agent handelt mit den Werkzeugen, die man ihm anvertraut. Das Risiko liegt also nicht nur in dem, was er schreibt, sondern in dem, was er tun kann. Die OWASP, eine gemeinnützige Stiftung für Softwaresicherheit, führt dieses Risiko in ihrer Liste 2025 der zehn wichtigsten Risiken von Anwendungen mit Sprachmodellen unter dem Namen Excessive Agency.

Die von der OWASP empfohlenen Gegenmaßnahmen lesen sich wie eine Konstruktionsliste:

• dem Agenten nur die für seine Aufgabe unbedingt nötigen Erweiterungen geben;
• die Rechte dieser Erweiterungen auf anderen Systemen auf ein Minimum beschränken;
• Aktionen mit großer Tragweite vor ihrer Ausführung von einem Menschen genehmigen lassen;
• die Berechtigungen in den Zielsystemen prüfen, statt das Modell entscheiden zu lassen, ob eine Aktion erlaubt ist;
• die Rate der Aktionen begrenzen, damit ein Durchdrehen klein bleibt.

Im Beispiel der Bestellung ergibt das einen Agenten, der Bestellungen lesen und eine Adresse ändern kann, aber weder erstatten noch löschen; und eine Warenwirtschaft, die von sich aus jede Änderung einer verschickten Bestellung ablehnt, egal was der Agent meint.

Dieselbe Logik gilt für seine Zugangsschlüssel: Ein Agent muss die Schlüssel, die er nutzt, nicht lesen können. Ein Relais kann sie beim Aufruf hinzufügen, nur für den vorgesehenen Dienst, und das Modell sieht sie nie. Dieses Prinzip erläutern wir in unserem Artikel über den Tresor für Geheimnisse.

Wo steht der Mensch in der Schleife?

„Human in the loop“, der Mensch in der Schleife, bedeutet nicht einen Menschen, der jede Runde überwacht. Anthropic beschreibt Agenten, die an Kontrollpunkten oder bei einer Blockade pausieren, um eine menschliche Rückmeldung einzuholen. Die OWASP verlangt eine menschliche Genehmigung vor Aktionen mit großer Tragweite.

Die richtige Frage lautet also: Welche Aktion ist unumkehrbar oder bindet das Unternehmen? Genau dort gehört der Mensch hin. Ein Agent, der in jeder Runde um Freigabe bittet, ist eigentlich keiner mehr; ein Agent, der nie darum bittet, wird irgendwann veröffentlichen, zahlen oder löschen, was er nicht hätte tun sollen. Diese Rollenverteilung vertiefen wir in unserem Artikel über die Rolle des Menschen gegenüber der KI.

Zwei Schleifen, die wir betreiben

Eine Inhaltsschleife, jeden Morgen

Seit Anfang Oktober 2026 bereitet eine Schleife jeden Morgen Entwürfe für diesen Blog vor. Sie geht von einer schriftlichen, immer gleichen Anweisung aus und folgt einer festen Reihenfolge:

Ihre Prüfungen sind Regeln, keine Meinungen: Ein Skript kontrolliert jeden Entwurf (Wortschatz, Zeichensetzung, Links, Struktur), dann muss die ganze Website fehlerfrei bauen. Sie liefert ihre Entwürfe zur Durchsicht, mit einem dreiteiligen Bericht: was erledigt ist, was noch zu entscheiden ist, die nächste Iteration.

Ihre Bremsen stehen in der Anweisung: Sie veröffentlicht nie, integriert nie selbst etwas in die Website, und wenn sie feststeckt, hört sie auf und sagt es. Die einzige Handlung, die einen Artikel online bringt, ist menschlich: durchsehen, dann freigeben. Das sind Konstruktionsentscheidungen; wir haben noch nicht den Abstand, um den Gewinn zu beziffern.

Eine SEO-Engine mit vier Agenten

Das SEO dieser Website beruht auf einem anderen Aufbau. Jeden Tag liest ein Scan ohne KI die Google Search Console und erstellt die Arbeitsliste. Jede Woche bedienen sich vier Agenten (Keywords, Inhalt, Aktualisierung, Audit) daraus; das Audit macht seine technischen Prüfungen an Stichproben und läuft vor dem Schreiben, und der Durchlauf liefert höchstens zwei Inhalte, als Entwürfe. Sein erster unbeaufsichtigter Durchlauf am 30. August 2026 hat nichts produziert: Der orchestrierende Agent stellte eine Frage, statt zu entscheiden, und ohne jemanden, der antwortet, beendet eine gestellte Frage den Durchlauf. Seine Anweisung verbietet seitdem jede Frage unterwegs. Die Einzelheiten dieses Aufbaus stehen in unserem Leitfaden zum KI-Agenten in Produktion, von der Demo zum Produkt.

Was eine Runde der Schleife kostet

Jede Runde ist ein Aufruf des Modells, und was es liest, wächst mit dem Fortschritt der Schleife: der gesammelte Kontext, die Ergebnisse der Werkzeuge, die Prüfungen. Da jede Runde in der Regel das Vorherige erneut liest, steigen die Kosten einer Schleife schneller als die Zahl ihrer Runden. Die Berechnung erläutert unser Leitfaden zu den Kosten von KI im Unternehmen.

Deshalb vertraut eine gut gebaute Schleife nicht jede Runde demselben Modell an. Ein Format zu prüfen, braucht keine KI, eine Anfrage zu sortieren, gelingt mit einem kleinen Modell, und das große Modell kommt nur dort zum Einsatz, wo es etwas beiträgt. Dieses Routing wenden wir überall an: Bei Palmora Property hat der Wechsel der Übersetzung zu einem passenden KI-Modell ihre Kosten durch 60 geteilt, und 95 % der Segmente werden aus einem Cache ausgeliefert, ohne Modellaufruf. Das ist das Prinzip unseres Angebots KI zum fairen Preis: jede Aufgabe für das gerade ausreichende Modell, mit einem Budget und Obergrenzen pro Nutzung.

Wo fangen Sie an?

Bevor Sie eine Schleife bauen, betrachten Sie die Aufgabe so, wie sie heute erledigt wird: was hereinkommt, was herauskommen muss, wer es prüft und was bei einem Fehler schlimm wäre. Wenn Sie noch nicht aufschreiben können, was ein gutes Ergebnis ist, beginnen Sie damit, denn das ist die Voraussetzung dafür, dass die Prüfung funktioniert. Das tun wir auch, bevor wir irgendetwas empfehlen: Ihre Workflows, Ihre Werkzeuge und deren Zusammenspiel betrachten, die Hemmnisse im Team und seinen Schulungsbedarf. Dazu dient unser Audit der digitalen und KI-Reife, mit einem schriftlichen GO oder NOGO für jedes Vorhaben.

Häufige Fragen

Quellen

1. Building effective agents (neuer Tab)anthropic.com
2. Kontext sammeln, handeln, die Arbeit prüfen, wiederholen (neuer Tab)claude.com
3. Excessive Agency (neuer Tab)genai.owasp.org