Branchenspezifisches KI-Agenten-Risiko: Wie sich das Bedrohungsmodell für Finanzwesen, Gesundheitswesen und Rechtsbereich verschiebt

Ein autonomer KI-Agent, der in einer Versicherung Schadenfälle bearbeitet, trägt ein anderes Risiko als derselbe Agent, der in einer Anwaltskanzlei Verträge sichtet. Die Technik ist nahezu identisch – das Bedrohungsmodell ist es nicht. Wer Agentensicherheit branchenübergreifend gleich behandelt, übersieht genau jene Risiken, die in seinem Sektor zuerst zuschlagen.

Dieser Beitrag zeigt, wie sich das Bedrohungsmodell für KI-Agenten in den drei am stärksten regulierten Branchen verschiebt – Finanzwesen, Gesundheitswesen und Rechtsbereich – und welche Schutzmaßnahmen sich daraus jeweils ableiten. Er ist die sektorbezogene Vertiefung des branchenübergreifenden Bildes aus der Bedrohungslandschaft für KI-Agenten 2026.

Was bedeutet branchenspezifisches KI-Agenten-Risiko überhaupt?

Branchenspezifisches KI-Agenten-Risiko beschreibt die Tatsache, dass dieselbe technische Schwachstelle – etwa eine Prompt Injection oder eine zu weit gefasste Tool-Berechtigung – je nach Sektor zu völlig unterschiedlichen Schäden führt. Im Finanzwesen entsteht unmittelbarer Vermögensschaden, im Gesundheitswesen ein Patientensicherheitsrisiko, im Rechtsbereich der Verlust von Mandatsgeheimnis und Beweiswert. Das generische Bedrohungsmodell bleibt gleich, doch Schadenshöhe, Regulierung und Haftung verschieben die Prioritäten.

Der Kern lässt sich in einem Satz zusammenfassen: Die Angriffsfläche eines KI-Agenten ergibt sich aus seiner Autonomie und seinen Werkzeugen – aber der Schaden ergibt sich aus dem Kontext, in dem er handelt. Genau deshalb reicht ein einheitliches Sicherheitskonzept nicht aus.

Drei Faktoren bestimmen, wie stark sich das Modell verschiebt:

• Datensensibilität: Welche Daten verarbeitet der Agent (Zahlungsdaten, Gesundheitsdaten, Mandatsgeheimnisse)?
• Handlungsmacht (Excessive Agency): Darf der Agent Transaktionen auslösen, Dosierungen vorschlagen, Schriftsätze einreichen?
• Regulatorischer Rahmen: Welche Aufsicht, welche Nachweispflicht, welche Haftung greift im Schadensfall?

Warum reicht ein generisches Bedrohungsmodell nicht aus?

Die OWASP-Listen liefern die gemeinsame Grundlage. Die Top 10 for LLM Applications 2025 führen Prompt Injection (LLM01) und Excessive Agency (LLM06) als zentrale Risiken autonomer Systeme, und die separate OWASP Top 10 für agentische Anwendungen ergänzt agentenspezifische Vektoren wie Goal Hijacking und unkontrollierte Multi-Agent-Koordination. Diese Kategorien gelten sektorübergreifend – sie sagen aber nichts darüber, wo der Schaden am größten ist.

Genau hier setzt das branchenspezifische Denken an. Ein erfolgreich manipulierter Agent ist überall ein Problem. Aber ob daraus eine fehlüberwiesene Million, eine falsche Medikamentenempfehlung oder ein offengelegtes Mandatsgeheimnis wird, entscheidet die Branche. Sicherheitsbudgets, Freigabeprozesse und Audit-Tiefe müssen sich an diesem konkreten Schadenspfad orientieren, nicht an der abstrakten Schwachstelle.

Hinzu kommt die Regulierung. Mit der KI-Verordnung (EU AI Act) stuft die EU zahlreiche Anwendungen in Finanzwesen und Gesundheitswesen als Hochrisiko-KI ein. Nach dem Digital-Omnibus-Kompromiss verschiebt sich die Pflicht für Annex-III-Hochrisikosysteme auf den 2. Dezember 2027, für produktbezogene Systeme nach Annex I (etwa Medizinprodukte) auf den 2. August 2028. Diese Fristen bestimmen, wie viel Zeit Unternehmen für Konformitätsbewertung, Dokumentation und menschliche Aufsicht haben.

Wie sieht Agentensicherheit im Finanzwesen aus?

Im Finanzwesen verschiebt sich das Bedrohungsmodell in Richtung direkter, sofort wirksamer Vermögensschaden und Transaktionsintegrität. Ein Agent, der Zahlungen freigibt, Kreditwürdigkeit bewertet oder Handelsentscheidungen vorbereitet, kann durch eine einzige manipulierte Eingabe irreversible Geldflüsse auslösen. Anders als bei einem reinen Auskunftssystem gibt es hier oft keinen zweiten Versuch.

Die KI-Verordnung stuft Systeme zur Bewertung der Kreditwürdigkeit und zur Bonitätsbewertung sowie zur Risikobewertung und Preisbildung in der Lebens- und Krankenversicherung ausdrücklich als Hochrisiko ein (Annex III). Betrugserkennung ist davon ausgenommen. Für Agentensicherheit im Finanzwesen bedeutet das: Wer einen Agenten in diese Prozesse einbindet, übernimmt Nachweis- und Aufsichtspflichten, die weit über klassische IT-Sicherheit hinausgehen.

Die kritischen Verschiebungen im Finanzsektor:

• Excessive Agency wird zum Hauptrisiko. Ein Agent mit Überweisungs- oder Handelsbefugnis braucht harte Transaktionslimits, Vier-Augen-Freigaben oberhalb von Schwellenwerten und eine technische Trennung zwischen „vorschlagen“ und „ausführen“.
• Prompt Injection trifft auf Geld. Manipulierte Rechnungen, Lieferanten-E-Mails oder Marktdaten können einen Agenten zu fehlerhaften Zahlungen verleiten. Eingehende Inhalte sind grundsätzlich nicht vertrauenswürdig.
• Nachvollziehbarkeit ist Pflicht, nicht Komfort. Aufsicht (BaFin, MaRisk, DORA) verlangt eine lückenlose Protokollierung jeder agentengetriebenen Entscheidung – wer hat was auf welcher Grundlage ausgelöst?

Die zentrale Schutzmaßnahme im Finanzwesen ist die deterministische Begrenzung der Handlungsmacht: Der Agent darf vorbereiten und vorschlagen, aber kritische Aktionen laufen über deterministische Regeln, Limits und menschliche Freigabe – nicht über das Sprachmodell allein.

Worin unterscheidet sich das Risiko beim KI-Agent im Gesundheitswesen?

Beim KI-Agent im Gesundheitswesen verschiebt sich das Modell von Vermögensschaden hin zu Patientensicherheit und besonders sensiblen Gesundheitsdaten. Eine falsche Triage-Einstufung, eine fehlerhafte Dosierungsempfehlung oder ein übersehener Befund kann unmittelbar Leib und Leben gefährden. Der Schaden ist nicht nur teuer, er ist potenziell irreversibel und körperlich.

Die KI-Verordnung behandelt KI zur Patiententriage und Priorisierung von Notrufen als Hochrisiko (Annex III); KI in Medizinprodukten fällt zusätzlich unter Annex I mit eigener Konformitätsbewertung. Rund drei Viertel der zugelassenen KI-gestützten Medizinprodukte stammen aus der Radiologie und gelten als hochriskant. Hinzu kommt die DSGVO mit besonders geschützten Gesundheitsdaten nach Artikel 9.

Die kritischen Verschiebungen im Gesundheitssektor:

• Der Mensch bleibt entscheidungsbefugt. Ein klinischer Agent darf aufbereiten, zusammenfassen und vorschlagen – die medizinische Entscheidung trifft die ärztliche Fachkraft. Menschliche Aufsicht ist hier nicht nur Compliance, sondern Behandlungsstandard.
• Halluzination ist ein Sicherheitsrisiko. Eine erfundene Studie oder eine falsche Wechselwirkung wiegt im Behandlungskontext schwerer als anderswo. Quellenbindung (RAG mit nachprüfbaren Belegen) ist Pflicht.
• Datenschutz hat Vorrang. Gesundheitsdaten dürfen nicht unkontrolliert in externe Modelle oder Tool-Aufrufe abfließen. Datensparsamkeit und Zweckbindung gelten auch für den Agenten.

Die zentrale Schutzmaßnahme im Gesundheitswesen ist die verbindliche menschliche Letztentscheidung bei jeder patientenbezogenen Aktion, kombiniert mit nachprüfbarer Quellenbindung. Der Agent entlastet, er entscheidet nicht.

Wie verändert sich das KI-Agenten-Risiko im Rechtsbereich?

Beim KI-Agenten-Risiko im Rechtsbereich verschiebt sich das Modell hin zu Vertraulichkeit, Mandatsgeheimnis und Beweis- bzw. Korrektheitswert. Eine Anwaltskanzlei haftet nicht nur für falsche Auskünfte, sondern auch für die Preisgabe geschützter Mandanteninformationen. Ein Agent, der Schriftsätze entwirft oder Verträge prüft, berührt das anwaltliche Berufsgeheimnis nach § 43a BRAO und § 203 StGB.

Das prominenteste Risiko ist hier die Halluzination mit rechtlichen Folgen: Mehrere Gerichte in verschiedenen Ländern haben Anwältinnen und Anwälte sanktioniert, die KI-generierte, aber frei erfundene Urteilszitate eingereicht hatten. Ein autonomer Agent verschärft das, weil er mehrere Schritte ohne Zwischenkontrolle aneinanderreiht – aus einem falschen Zitat wird ein vollständiger, plausibel klingender, aber fehlerhafter Schriftsatz.

Die kritischen Verschiebungen im Rechtssektor:

• Vertraulichkeit ist die oberste Schutzpflicht. Mandatsdaten dürfen nicht in Trainingsdaten, Logs Dritter oder unkontrollierte Tool-Aufrufe gelangen. Mandantentrennung muss auch im Agenten-Kontext gelten – kein Datenübergriff zwischen Mandaten.
• Jede Aussage braucht eine Quelle. Zitierte Normen, Urteile und Fundstellen müssen gegen eine verlässliche Datenbank geprüft werden, bevor sie in ein Dokument gelangen.
• Verantwortung bleibt menschlich. Die berufsrechtliche Verantwortung für jeden Schriftsatz trägt die zugelassene Person, nicht das Werkzeug. Der Agent liefert Entwürfe, keine finalen Einreichungen.

Die zentrale Schutzmaßnahme im Rechtsbereich ist die strikte Quellenverifikation jeder rechtlichen Aussage plus mandatsbezogene Datentrennung – ergänzt durch die unverhandelbare menschliche Endkontrolle vor jeder Einreichung.

Wie verschiebt sich das Bedrohungsmodell je Branche? Der Überblick

Die folgende Tabelle fasst zusammen, wie dieselbe technische Grundlage in den drei Branchen zu unterschiedlichen Prioritäten führt.

Dimension	Finanzwesen	Gesundheitswesen	Rechtsbereich
Primärer Schaden	Vermögensschaden, Transaktion	Patientensicherheit, Leib und Leben	Mandatsgeheimnis, Korrektheit
Höchstes Risiko	Excessive Agency (Geldflüsse)	Halluzination + Datenabfluss	Halluzination + Vertraulichkeitsbruch
Sensibelste Daten	Zahlungs- und Bonitätsdaten	Gesundheitsdaten (DSGVO Art. 9)	Mandantengeheimnis (§ 203 StGB)
Regulatorischer Rahmen	KI-VO Annex III, DORA, MaRisk	KI-VO Annex I+III, MDR, DSGVO	Berufsrecht (BRAO), DSGVO
Zentrale Schutzmaßnahme	Transaktionslimits, Vier-Augen-Freigabe	Menschliche Letztentscheidung	Quellenverifikation, Mandatstrennung

Auffällig ist die Gemeinsamkeit: In allen drei Branchen läuft die wichtigste Maßnahme auf eine kontrollierte Begrenzung der Autonomie hinaus. Der Agent darf vorbereiten, recherchieren und entwerfen – die folgenreiche Aktion bleibt an menschliche Freigabe oder deterministische Regeln gebunden.

Welche Schutzmaßnahmen gelten branchenübergreifend?

Trotz aller Unterschiede gibt es ein Fundament, das in jedem Sektor trägt. Es lohnt sich, dieses Fundament zuerst zu bauen und es dann branchenspezifisch zu härten.

• Least Privilege für Tools. Ein Agent erhält nur die Werkzeuge und Berechtigungen, die seine konkrete Aufgabe erfordert – nicht mehr. Excessive Agency entsteht fast immer aus überdimensionierten Berechtigungen.
• Eingaben sind nicht vertrauenswürdig. Jeder externe Inhalt – Dokument, E-Mail, Webseite, Datenbankfeld – kann eine Prompt Injection tragen. Trennung von Anweisung und Daten ist Pflicht.
• Mensch in der Schleife bei kritischen Aktionen. Folgenreiche Schritte (Zahlung, Behandlungsempfehlung, Einreichung) brauchen eine bewusste menschliche Freigabe.
• Lückenlose Protokollierung. Jede Entscheidung und jeder Tool-Aufruf muss nachvollziehbar und auditierbar sein – Voraussetzung für Aufsicht und Haftung.
• Kontinuierliches Red Teaming. Agenten gegen die OWASP-Vektoren testen, bevor Angreifer es tun.

Die Reihenfolge ist entscheidend: Erst dieses generische Fundament, dann die branchenspezifische Härtung. Wer im Finanzwesen die Transaktionslimits, im Gesundheitswesen die Quellenbindung und im Rechtsbereich die Mandatstrennung obendrauf setzt, adressiert genau die Stelle, an der das Bedrohungsmodell seines Sektors am stärksten ausschlägt.

Fazit: Gleiche Technik, unterschiedliches Risiko

Das Bedrohungsmodell für KI-Agenten verschiebt sich nicht durch die Technik, sondern durch den Kontext. Im Finanzwesen dominiert die Handlungsmacht über echtes Geld, im Gesundheitswesen die Patientensicherheit und der Schutz von Gesundheitsdaten, im Rechtsbereich die Vertraulichkeit und die Korrektheit jeder Aussage. Die KI-Verordnung mit ihren verschobenen Fristen (2. Dezember 2027 für Annex III) gibt den Zeitrahmen, in dem Unternehmen ihre Agenten in genau diesen Branchen konform und sicher aufstellen müssen.

Wer Agentensicherheit ernst nimmt, baut ein gemeinsames Fundament aus Least Privilege, Eingabemisstrauen und menschlicher Aufsicht – und härtet es dann dort, wo sein Sektor am verwundbarsten ist.

Hinweis zur Transparenz: Dieser Beitrag dient der Orientierung und ersetzt keine individuelle Rechts-, Compliance- oder Sicherheitsberatung. Regulatorische Fristen und Einstufungen können sich ändern; maßgeblich sind die jeweils geltenden Originalquellen (KI-Verordnung, DSGVO, sektorale Aufsichtsvorgaben).