Banken blockieren KI-Agenten: die Lehre der Berechtigungen

Es hat etwas Lehrreiches, die vorsichtigsten Institutionen der Welt auf dieselbe Frage antworten zu sehen, die Sie sich stellen. Soll man einen KI-Agenten im Namen einer Person in unseren Systemen handeln lassen? Im Oktober 2026 haben zwei große amerikanische Finanzhäuser öffentlich geantwortet, und ihre Antwort passt in einen Satz: Ansehen ja, Anfassen nein. Dieser Text aus unserer Rubrik Unternehmens-KI leitet daraus ab, was für ein Unternehmen mit 20 bis 500 Mitarbeitenden gilt, das Agenten an seine eigenen Werkzeuge anschließt.

Kurz gesagt

• Schwab blockiert externe KI-Agenten, die versuchen, das Geld seiner Kunden zu bewegen, und plant einen Lesezugriff über MCP-Server.
• JPMorgan blockiert externe Agenten, die für seine Privatkunden handeln wollen; das Lesen bestimmter Daten bleibt über Konnektoren möglich.
• Das Problem ist nicht die KI, sondern die Weitergabe von Zugangsdaten: ein Agent, der sich mit dem Passwort eines Kunden anmeldet.
• Die Lehre für jedes Unternehmen: zuerst Lesezugriff, eine Identität pro Agent, Schlüssel in einem Tresor und eine Governance der Schreibrechte.

Was die beiden Banken entschieden haben

Laut The Next Web erklärte der Chef von Charles Schwab, Rick Wurster, das Haus blockiere externe KI-Agenten, die versuchen, das Geld seiner Kunden zu bewegen, und stoppe jede Woche mehrere Dutzend davon. Stattdessen wird es einen Lesezugriff über MCP-Server anbieten, das Protokoll, mit dem sich ein KI-Modell nach den vom Dienst festgelegten Regeln an diesen Dienst anschließen kann: einen Kontostand abfragen, eine Suche durchführen, aber kein Geld bewegen. American Banker präzisiert, dass sich die Sperre gegen Agenten richtet, die die Anmeldedaten der Kunden verwenden oder an ihrer Stelle einen Browser steuern.

Bei JPMorgan sagte Jamie Dimon bei der Vorstellung der Quartalsergebnisse, er werde keinen externen Agenten innerhalb der Bank handeln lassen. Agenten können bestimmte Daten über Konnektoren lesen, aber weder Geld überweisen noch Rechnungen bezahlen.

Das eigentliche Thema: wem der Schlüssel gehört

Die Ablehnung richtet sich nicht gegen KI als solche. Schwab entwickelt seinen eigenen Assistenten, Charley, und öffnet den Lesezugriff für externe Werkzeuge. Blockiert wird eine bestimmte Zugriffsart: Ein Kunde vertraut sein Passwort einem Agenten an, der sich für ihn ausgibt. In diesem Fall sieht die Bank keinen Unterschied mehr zwischen dem Kunden und der Maschine, kann nicht mehr begrenzen, was der Agent tut, und weiß nicht mehr, wer im Fehlerfall verantwortlich ist. Rick Wurster stellt die Frage übrigens ohne Umschweife: Wer ist verantwortlich? In den Vereinigten Staaten ist die Antwort noch nicht geklärt.

Die Lehre für ein Unternehmen

Ersetzen Sie die Bank durch Ihr CRM, Ihre Rechnungssoftware oder Ihre Geschäftsbank und den Kunden durch einen Mitarbeiter, der Zeit sparen möchte. Die Situation ist dieselbe, und die Antwort der Banken liefert ein einfaches Modell.

1. 01Zuerst Lesezugriff.

   Ein neuer Agent beginnt mit dem Abfragen: Er bereitet vor, fasst zusammen, schlägt vor. Er ändert nichts, solange seine Arbeit nicht beobachtet wurde.

2. 02Eine Identität pro Agent.

   Nie das Konto einer Person. Der Agent hat seinen eigenen, benannten Zugang, den man sperren kann, ohne jemanden zu behindern.

3. 03Schlüssel in einem Tresor.

   Der Agent nutzt die Zugänge, ohne sie je zu lesen: Ein Relais fügt den Schlüssel im Moment des Aufrufs hinzu, nur für den vorgesehenen Dienst. Das beschreibt unser Artikel über den Tresor für Geheimnisse.

4. 04Entschiedene und protokollierte Schreibrechte.

   Schreiben, senden, bezahlen oder löschen ist ein ausdrücklich erteiltes Recht, für eine Aufgabe, mit einem Protokoll und einer menschlichen Freigabe bei Handlungen, die das Unternehmen verpflichten.

Die Wahl des Kanals zählt ebenso viel wie die Rechte. Die Banken öffnen den Lesezugriff über MCP-Server, die sie kontrollieren, statt einen Agenten ihre Website steuern zu lassen, wie es ein Mensch tun würde. In Ihrem Unternehmen besteht dasselbe Prinzip darin, Agenten über eigens für sie vorgesehene Konnektoren mit begrenzten Rechten anzuschließen, statt ihnen eine offene Sitzung zu leihen.

Unsere Einschätzung

Die Antwort der Banken ist keine Ablehnung der KI, sondern eine Methode: öffnen, was risikolos ist, schließen, was verpflichtet, und den Kanal wählen, über den man öffnet. Sie lässt sich unverändert auf jedes Unternehmen übertragen, das von Agenten profitieren möchte, ohne die Kontrolle über seine Werkzeuge zu verlieren.

Das ist der Ansatz unseres Angebots KI-Tresor: Zugänge auf Ihren Namen, die Ihre Agenten nutzen, ohne sie zu sehen, mit einem Protokoll jeder Nutzung. Um bei der Aufteilung der Rechte und der Verteilung der Verantwortung weiterzugehen, setzt unser Leitfaden zur KI-Governance im Unternehmen den Rahmen, und unser Leitfaden zur Einführung von KI im Unternehmen bringt diese Entscheidungen in die richtige Reihenfolge. Beim Budget begrenzt unser Angebot KI zum fairen Preis, was jeder Agent verbraucht.

Häufige Fragen

Quellen

1. The Next Web, Schwab and JPMorgan are blocking AI agents from moving customer money (neuer Tab)thenextweb.com
2. American Banker, Schwab blocks unauthorized AI agents (neuer Tab)americanbanker.com