Zuverlässige KI-Agenten bauen: vom Vorschlag zum Zwang.

Ein KI-Agent kennt die Regeln eines Projekts — und bricht sie trotzdem. Er ist fähig, gut gebrieft, dokumentiert. Und in der nächsten Sitzung hat er die Hälfte vergessen: die Architektur, die Entscheidungen, die Korrektur von gestern.

Wer eine KI ernsthaft tagelang an echter Arbeit mitwirken lässt, kennt dieses Muster. Es ist der Unterschied zwischen einer beeindruckenden Demo und einem Werkzeug, dem man ein Produkt anvertraut. Dieser Beitrag zeigt das Bauprinzip, mit dem aus einem unzuverlässigen Agenten ein verlässliches, sicheres System wird — und wo es sich einsetzen lässt. Keine Geschichte, kein Vorher-Nachher: nur der Endzustand und seine Anwendungsfelder.

KI-Agenten: Chancen, Nutzen — und drei systematische Risiken.

Ein KI-Agent kann eigenständig Aufgaben übernehmen: recherchieren, Code schreiben, Dokumente erstellen, ganze Prozesse abarbeiten. Der Nutzen ist real — Tempo, Skalierung, Entlastung von Routinearbeit. Aber autonomes Handeln hat eine Kehrseite: ein Fehler bleibt nicht folgenlos. Genau hier treten bei autonomen Agenten drei Schwächen systematisch auf:

• Regeln sind nur Text. Man kann hundert Regeln dokumentieren — solange niemand sie prüft, bleibt ihre Einhaltung dem Wohlwollen des Modells überlassen. Installation ist nicht gleich Ausführung.
• Das Gedächtnis stirbt mit der Sitzung. Eine Korrektur aus Sitzung 1 ist in Sitzung 2 vergessen. Der Kontext — das Kurzzeitgedächtnis des Modells — wird geleert. Lektionen sind nicht persistent.
• Mehr Kontext macht es schlechter. Je voller das Kurzzeitgedächtnis, desto unzuverlässiger die Leistung. Veraltete oder widersprüchliche Notizen wirken als Distraktoren — sie senken die Qualität aktiv, statt neutral mitzulaufen. Dieses „Context Rot" ist kein Eindruck, sondern in der Forschung dokumentiert (Liu et al., Lost in the Middle; Chroma Research, Context Rot).

Wer diese drei Punkte nicht adressiert, baut keine zuverlässige Software, sondern eine gut aussehende Demo. Die Lösung beginnt mit einem einzigen Satz.

Der eine Satz, der alles trägt.

Unsere Lehre nach Monaten echter Arbeit an mehreren eigenständigen Projekten passt in einen Satz:

Nicht „dokumentiert". Erzwungen. Der gesamte Aufbau folgt dieser einen Bewegung: von der Empfehlung zum Zwang. Dokumentation bleibt notwendig — aber sie ist nie der Beweis, dass eine Regel eingehalten wird. Jede Schicht des Systems stellt deshalb dieselbe Frage: Welcher Mechanismus hält diese Regel?

Das Bauprinzip: fünf Stufen.

Von „die KI weiß es" zu „die Umgebung erzwingt es" führen fünf aufeinander aufbauende Stufen. Die ersten drei scheiterten in der Praxis nicht, weil sie falsch waren — sondern weil Dokumentation allein die Erwartung an Verlässlichkeit nicht erfüllt. Erst Stufe 4 macht den entscheidenden Sprung.

Stufe 1 — Skills

Wiederkehrende Fähigkeiten werden als wiederverwendbare Bausteine verschriftlicht (Markdown) und nur bei Bedarf geladen — „progressive disclosure". So bleibt der Kontext schlank, und der Agent zieht sich Wissen erst dann heran, wenn die Aufgabe es verlangt.

Stufe 2 — Geteilte, dateibasierte Wissensbasis

Eine zentrale, Git-versionierte Wissensbasis hält fest, was die KI vor dem Code-Lesen wissen muss: Projektstand, Entscheidungen, Architektur. Jede Information wird an einer Stelle gepflegt (Single Source of Truth), nicht kopiert. Pro Projekt gibt es ein Vier-Datei-Gedächtnis — STATUS (aktueller Stand), DECISIONS (nächste Schritte mit Begründung), PROGRESS (chronologisches Log) und GUIDE (praktischer Workflow).

Stufe 3 — Verbindliche Workflows

Abläufe werden explizit beschrieben: der Lebenszyklus einer Aufgabe, die Branch- und Merge-Strategie, eine mehrperspektivische Review-Pipeline, ein Pre-Commit-Gate. Das schafft Klarheit — aber, und das ist die ehrliche Erkenntnis, ein fähiges Modell, das einen Ablauf kennt, hält ihn nicht automatisch ein.

Stufe 4 — Erzwingung per Konfiguration

Hier liegt der Sprung. Berechtigungslisten (allow / deny / ask) trennen Erlaubtes, hart Verbotenes und Freigabe-Pflichtiges. Hooks prüfen automatisch und blockieren Verstöße technisch — etwa ein Tor, das eine „fertig"-Meldung verhindert, solange Tests rot sind. Neue Regeln werden behutsam scharfgeschaltet: erst melden, dann blockieren, dann serverseitig prüfen. Details dazu im Sicherheits-Kapitel.

Stufe 5 — Lernendes Gedächtnis

Bedeutungssuche statt nur Stichwort, eine Gedächtnis-Taxonomie (episodisch, semantisch, prozedural) und ein Muster, bei dem der Agent am Sitzungsende eine Lehre destilliert, die zu Beginn der nächsten Sitzung wieder präsent ist. Dazu kommen Konsolidierung im Hintergrund („Dreaming") und ein Blackboard für Szenarien mit mehreren Agenten.

Wie der Agent sich erinnert: Datei-first-RAG.

RAG (Retrieval-Augmented Generation) heißt: der Agent schlägt vor dem Antworten in einer geprüften Wissensbasis nach, statt aus dem Gedächtnis zu raten. Das senkt Halluzinationen und macht Antworten nachvollziehbar. Unsere Umsetzung ist bewusst Datei-first — keine Cloud-Vektordatenbank. Zwei Kanäle, fair zusammengeführt:

• BM25 — bewährtes Volltext-Ranking nach Stichwort und Gewichtung.
• Vektor-Cosine — semantische Suche nach Bedeutung über lokale, offline berechnete Embeddings.
• RRF (Reciprocal Rank Fusion) — kombiniert beide Ranglisten fair zu einer Trefferliste.

Die Werkzeuge sind streng read-only und überspringen Geheimnisse. Warum Datei-first statt einer Cloud-Vektordatenbank? Wegen Interpretierbarkeit, Git-Audit (vollständige Versionsgeschichte), null laufender Kosten, Offline-Fähigkeit und keiner Anbieter-Abhängigkeit. Und das geht nicht auf Kosten der Qualität: Auf dem Gedächtnis-Benchmark LoCoMO erreicht der Datei-first-Ansatz 74,0 % und liegt damit vor einem etablierten Vektor-Gedächtnis-Framework mit 68,5 %.

Sicherheit: Schutzmechanismen, die technisch greifen.

Autonomie ohne Grenzen ist ein Risiko, kein Feature. Sicherheit entsteht hier nicht aus guten Vorsätzen, sondern aus zwei Bausteinen: Berechtigungen, die das Gefährliche namentlich sperren, und Hooks, die zu festen Zeitpunkten automatisch eingreifen.

Berechtigungen nach dem Least-Privilege-Prinzip

• allow — ohne Rückfrage erlaubt: Lese- und Standardwerkzeuge, Versionskontrolle, Test- und Lint-Werkzeuge.
• ask — nur nach Rückfrage: nach außen wirkende Schritte wie push oder publish. Hier bleibt der Mensch in der Schleife (Human-in-the-Loop).
• deny — hart verboten: rekursives Löschen, erzwungenes Überschreiben der Historie und das Lesen von Geheimnissen (Umgebungsdateien, Schlüssel, Zertifikate).

Hooks: automatische Erzwingung an festen Punkten

• SessionStart → Recall: blendet zu Beginn die Top 3–5 relevanten Lehren ein.
• PreToolUse → Write-Guard: prüft vor dem Schreiben auf Geheimnisse im Klartext und unsichere Datenbank-Zugriffe.
• PostToolUse → Format- und Regel-Check: meldet Verstöße nach der Aktion.
• Stop → Done-Gate: verhindert die „fertig"-Meldung, solange Prüfungen rot sind.

Kein Eigenbau: was Behörden und Forschung sagen.

Die naheliegende Skepsis: Ist das eine Bastellösung? Nein. Jede Stufe deckt sich mit dem, was Forschung, Industrie und Regulierung als gute Praxis für KI-Agenten ausweisen.

• Das NIST AI Risk Management Framework beschreibt den Lebenszyklus Govern–Map–Measure–Manage.
• Die OWASP Top 10 for LLM Applications und OWASP Agentic AI benennen „Excessive Agency" und Prompt Injection als Kernrisiken und fordern strikte Zugriffskontrolle mit granularen Berechtigungen.
• Der EU AI Act verlangt menschliche Aufsicht (Art. 14) und automatische Protokollierung (Art. 12) — für Hochrisiko-Bereiche (Anhang III) verbindlich.
• ISO/IEC 42001 normt das Managementsystem für KI; der EU Cyber Resilience Act adressiert das Schwachstellen-Handling über die Lieferkette; MITRE ATLAS sammelt reale Angriffstechniken gegen KI-Systeme.

„Erzwingen statt hoffen" ist gerade dabei, Industriestandard zu werden — mit produktiver Tool-Unterstützung wie NVIDIA NeMo Guardrails, Guardrails AI oder Meta Llama Guard. Wir haben es früh und konsequent umgesetzt. Die vollständigen Belege stehen im Quellenverzeichnis.

Einsatzbereiche: dasselbe Muster über Domänen hinweg.

Der Kern — wiederverwendbare Fähigkeiten, geteiltes Gedächtnis, erzwungene Regeln, eine Lern-Schleife — passt überall dort, wo ein Agent autonom handelt, Regeln einhalten muss und aus Erfahrung besser werden soll. Das gilt weit über das Coding hinaus.

Ein paar konkrete Beispiele: im Marketing wird die Markenstimme zur erzwungenen Regel statt zum Wunsch; im Recht greifen geprüfte Klausel-Bibliotheken und eine Freigabe-Pflicht vor dem Versand; in Finanzen und Audit sorgen Betragslimits und eine lückenlose Audit-Spur für Nachvollziehbarkeit; im Kundenservice antwortet der Agent aus der Wissensbasis statt zu halluzinieren; in der Cybersecurity bleibt die Analyse read-only und destruktive Aktionen sind gesperrt. Das Quer-Muster: dieselben Erzwingungs-Mechanismen wiederholen sich über alle Felder.