Was du OpenAIs neuem Dauer-Agenten dot als Regel mitgibst, ist eine Bitte, und das sagt im Kern OpenAI selbst. Eigene Regeln seien „instructions your dot tries to follow, and it can make mistakes“, heißt es in der Doku zur Steuerung des Agenten. Zugang zu einer App gewähren sie nicht, das regeln die Plugin-Rechte.
Auf der Startseite der dots-Doku (Stand 3. Oktober 2026) steht in einem Halbsatz, wie weit diese Rechte reichen. Dein dot nutzt die Plugins in deinem Account „with their connected accounts and existing permissions“: mit den Konten, die du verbunden hast, und mit allem, was diese Konten schon dürfen. Über Plugins erreicht er mehr als 4.000 Apps. Ob er weiterarbeitet, wenn du nicht da bist, beantwortet OpenAI im Admin-Leitfaden mit Ja.
Damit ändert sich, was eine Verbindung ist. Das Postfach, das du im Frühjahr für eine einzige Zusammenfassung an ChatGPT angeschlossen hast, lief unter deinen Augen. Für einen Dauer-Agenten wie dots oder Microsofts Autopilot, beide Ende September 2026 vorgestellt, ist es eine stehende Vollmacht, die rund um die Uhr gilt.
Was er darf, legt deine Verbindungsliste fest, nicht dein Prompt. Deshalb gehört vor den ersten Dauer-Agenten eine Rechte-Inventur. Und der Satz „Das hat der Agent selbst entschieden“ entlastet danach niemanden, denn die Vollmacht kam von dir.
Im Chat hast du zugesehen. Der Dauer-Agent arbeitet, wenn keiner hinsieht.
Bisher hatte jede Nutzung deiner Verbindungen einen Zeugen: dich. Durfte der Assistent mehr als nötig, saß wenigstens jemand davor.
Die OWASP Top 10 für LLM-Anwendungen 2025 führen dieses Risiko als „Excessive Agency“ (LLM06), übermäßige Handlungsmacht. Als Ursachen nennen sie zu viel Funktionalität und zu viele Rechte, als dritte zu viel Autonomie. Ein Dauer-Agent dreht genau an der dritten Schraube. Die ersten beiden kannst nur du zurückdrehen, in der Verbindungsliste.
OWASP rät deshalb, Berechtigungen im angeschlossenen System zu prüfen, statt das Sprachmodell entscheiden zu lassen, ob eine Aktion erlaubt ist. Das Beispiel dazu: eine Erweiterung, die nur lesen soll, aber mit einer Datenbank-Identität arbeitet, die auch löschen darf. Kein Prompt macht daraus eine Leseberechtigung.
Lemkin verhängte einen Code-Freeze. Löschen konnte der Agent trotzdem.
SaaStr-Gründer Jason Lemkin hat den Widerspruch zwischen Anweisung und Verbindung im Juli 2025 öffentlich mitgeschrieben. Am Abend des 17. Juli, US-Westküstenzeit, meldete er auf X, der Coding-Agent von Replit sei während eines Code-Freezes außer Kontrolle geraten und habe die gesamte Datenbank gelöscht. Code-Freeze heißt: An der Anwendung wird nichts mehr geändert.
Der Agent hatte ihm zunächst versichert, ein Rollback der Datenbank sei unmöglich. Am nächsten Tag korrigierte Lemkin: Der Rollback hat doch funktioniert, die Daten waren nicht verloren.
An der Lehre ändert das nichts, und die hat Lemkin einen Tag später selbst aufgeschrieben: „There is no way to enforce a code freeze in vibe coding apps like Replit. There just isn’t.“ Er konnte dem Agenten den Stillstand ansagen. Erzwingen konnte er ihn nicht.
Replit-Chef Amjad Masad nannte es am 20. Juli inakzeptabel, dass der Agent Daten aus der Produktionsdatenbank gelöscht hatte, das dürfe nie möglich sein.
Als Abhilfe kündigte er an, die Entwicklungs- von der Produktionsdatenbank automatisch zu trennen. Dazu kam ein Modus nur zum Planen und Chatten, in dem der Code nicht in Gefahr ist. Keine der beiden Maßnahmen ist eine bessere Anweisung. Beide nehmen dem Agenten eine Fähigkeit: die Verbindung zur Produktionsdatenbank und das Schreibrecht.
Lemkin hat sein Projekt Tag für Tag begleitet, seine Posts zählen die Tage mit. Ein Dauer-Agent ist dafür gebaut, dass das niemand mehr tun muss.
Der Agent, der als du arbeitet, hat keine eigene Grenze
Beide Anbieter haben Agenten, die als du arbeiten, und Agenten mit eigener Identität. OpenAI kündigt in der Vorstellung von dots als Vorschau spezialisierte dots an, denen die Firma eigene Zugangsdaten und Zugriff auf die nötigen Systeme einrichtet. Microsoft beschreibt Autopilot im Blog vom 25. September als Agenten, der in deinem Mandanten lebt, „with its own identity, memory, computer and workspace“. Microsoft 365 Copilot zeigt laut Microsoft nur Daten, die die fragende Person mindestens ansehen darf.
Den Unterschied merkst du beim Abschalten. Wer den dots-Zugang entzieht, hat laut Admin-Leitfaden noch keine App getrennt. Und wer eine App trennt, löscht laut Help Center nicht, was der dot schon aus ihr geholt hat. In OpenAIs FAQ zu Datenschutz und Sicherheit steht sogar: Auch ein dot mit eigenem Mail- oder Slack-Konto kann weiter die Plugins nutzen, die du schon mit ChatGPT verbunden hast.
Sicherer ist eine eigene Identität also nicht automatisch, sie macht den Agenten nur abschaltbar, ohne dass du dich selbst aussperrst. Die Inventur bleibt in beiden Modellen dieselbe Arbeit, am schwersten ist sie beim persönlichen Agenten. Seine Rechte sind deine.
Fürs Geld hat Microsoft am Starttag Budgets bis auf die Person genau beschrieben, für die Rechte bisher nur den Halbsatz „with permissions, audit and governance behind it“. Ein Budget begrenzt, was der Agent ausgibt, nicht, was er anfasst.
Die Schalter gibt es. Die Liste, wofür du sie stellst, schreibt dir kein Anbieter.
Der stärkste Einwand lautet: Das haben die Anbieter längst gelöst. In OpenAIs Hilfeartikel zu App-Berechtigungen gibt es je nach Konto und App bis zu vier Stufen, von der Rückfrage vor jeder Aktion bis zur Freigabe aller Aktionen, bei der OpenAI selbst vor erhöhtem Risiko warnt. Admins können Apps auf Leseaktionen oder eine freigegebene Auswahl beschränken, und in Enterprise-Workspaces ist dots standardmäßig aus. Geringste Berechtigung ist eine alte IT-Regel, jetzt eben eingebaut.
Das stimmt alles. Es verschiebt das Problem nur.
Erstens entscheidet das System, was „geringes Risiko“ ist. Auf der entsprechenden Stufe genehmigt ChatGPT solche Aktionen automatisch. Die Freigabe-Karte bietet obendrein an, künftige Aktionen mit geringem Risiko über dasselbe Konto gleich mit zu genehmigen. Ein Klick, und für alles, was das System so einstuft, kommt die Rückfrage nicht wieder.
Zweitens sitzt der Admin-Schalter nicht an der Verbindung. Er gibt dots pro Rolle und Workspace frei, und laut Admin-Leitfaden können bestehende App-Verbindungen dann schon verfügbar sein. Der Admin legt ihn um, die Verbindungen, die Leute über Monate angelegt haben, kommen mit.
Drittens lässt sich nicht alles zurückholen. Ob eine erledigte Aktion rückgängig zu machen ist, hängt laut OpenAI von Aktion und App ab, manche lassen sich gar nicht zurücknehmen. Auch das Anhalten eines dots macht erledigte Aktionen nicht rückgängig, und wer ihn löscht, holt keine Nachricht zurück, die bei anderen schon angekommen ist. Eine Freigabestufe wirkt vor der Aktion, danach nicht mehr.
Der zweite Einwand, ein Agent mit wenig Rechten nütze nichts, scheitert an OpenAIs eigenen Beispielen. Wer Antwortentwürfe bestellt, erlaubt laut Doku noch kein Senden, und die proaktive Recherche des dots ist schreibgeschützt. Lesen und Entwerfen funktionieren ohne Senderecht.
„Der Agent war’s“ entlastet dich nicht. Die Vollmacht kam von dir.
Im Help Center beschreibt OpenAI den dot als Agenten, der in deinem Auftrag handelt, und rät, folgenreiche Arbeit immer zu prüfen, weil dots Fehler machen können. Prüfen sollst du.
Vor Gericht liegt die Frage inzwischen auch, mit dem Hersteller als Beklagtem: Am 29. September 2026 hat die Gruppe Legal Advocates for Safe Science and Technology, wie CNBC berichtet, in San Francisco gegen OpenAI geklagt, nachdem OpenAI-Agenten ihrer Testumgebung entkommen waren und Hugging Face angegriffen hatten. Verlangt wird laut CNBC eine Unterlassungsverfügung gegen Zugriffe auf Computer ohne Erlaubnis. OpenAI nennt die Klage „completely without merit“, entschieden ist nichts.
Für deinen Betrieb ist eine ältere Linie aufschlussreicher. Der Bundesgerichtshof schrieb am 16. Oktober 2012 im Urteil X ZR 37/12, Rn. 17: „Nicht das Computersystem, sondern die Person (oder das Unternehmen), die es als Kommunikationsmittel nutzt, gibt die Erklärung ab oder ist Empfänger der abgegebenen Erklärung.“ Es ging um das Buchungssystem einer Fluggesellschaft, das nach festen Regeln arbeitete, und um eine Buchung mit dem Passagiernamen „noch unbekannt“.
Ein Urteil über KI-Agenten ist das nicht. Die Denkrichtung ist trotzdem eindeutig: Was ein System erklärt, wird dem zugerechnet, der es einsetzt. Rechtsberatung ist das nicht. Welche Sorgfaltspflichten im Schadensfall zählen, steht in unserem Beitrag zur KI-Schulungspflicht.
Auch die neue Produkthaftungsrichtlinie (EU) 2024/2853, die Deutschland bis zum 9. Dezember 2026 umsetzen muss, fängt den Betrieb nicht auf. Ersatz bekommt nach Art. 5 Abs. 1 „jede natürliche Person“, und Daten ersetzt sie nach Art. 6 Abs. 1 lit. c nur, wenn sie „nicht für berufliche Zwecke verwendet werden“. Löscht ein Agent die Kundendatei deines Betriebs, hilft dir diese Richtlinie nicht.
Der Satz „Das hat der Agent selbst entschieden“ beschreibt also nur, wem du die Vollmacht gegeben hast.
Vor dem ersten Dauer-Agenten: eine Zeile pro Verbindung
Die Vorlage für die Inventur hat OpenAI selbst geschrieben. In seiner Admin-Doku zu den Plugin-Kontrollen rät OpenAI, für jeden verbundenen Dienst festzuhalten, wer fachlich verantwortlich ist, welche Daten erlaubt sind, welche Lese- oder Schreibaktionen freigegeben sind, wie die Anmeldung läuft und wen man für Support oder das Entfernen anspricht. Dort gilt das für jedes neue Plugin, für einen Dauer-Agenten erst recht. Dazu ein Satz von derselben Seite, den du dir über den Schreibtisch hängen kannst: Ganz gleich, was am Anfang freigegeben wird, fang mit Leseaktionen an.
Das Werkzeug liefert der Anbieter, die Liste schreibt der Betreiber. Für einen Betrieb ohne IT-Abteilung wird daraus eine Tabelle mit einer Zeile pro Verbindung, die letzten beiden Spalten haben wir ergänzt.
| Spalte | Was hineingehört |
|---|---|
| Konto | Welches Konto genau verbunden ist: dein Postfach, das geteilte Laufwerk, der Admin-Zugang der Geschäftsführung |
| Verantwortlich | Wer fachlich für dieses Konto geradesteht |
| Daten | Welche Daten der Agent darüber sehen darf und welche nicht |
| Aktionen | Lesen, entwerfen, senden, löschen, bezahlen: was davon freigegeben ist |
| Anmeldung | Wie der Agent hineinkommt, über eine App-Verbindung oder eine offene Website-Sitzung |
| Widerruf | Wer die Verbindung trennt und wie ein Fehler wieder geradegebogen wird |
| Braucht er das? | Ob die Aufgabe des Agenten auch ohne diese Verbindung funktioniert |
| Austritt | Was passiert, wenn die Person geht, deren Konto verbunden ist |
Die letzte Spalte füllst du ohne Vorlage: Was mit einem dot passiert, wenn sein Mensch das Unternehmen verlässt, beschreibt OpenAI bisher nicht ausdrücklich.
Aus der Tabelle folgen drei Regeln. Jede Zeile mit einem Nein in der Spalte „Braucht er das?“ trennst du, bevor der Agent startet. Das ist die Lehre aus dem Replit-Fall: Masad hat nicht die Anweisung verbessert, er hat die Produktionsdatenbank aus der Reichweite genommen.
Bei den übrigen Zeilen fängst du mit Lesen an. Alles, was eine Nachricht verschickt, etwas löscht oder Geld bewegt, bleibt auf Rückfrage. Und die Freigabe-Karte, die künftige Aktionen gleich mit genehmigt, klickst du nicht im Vorbeigehen weg.
Konten, die nie für einen Agenten gedacht waren, ersetzt du, wo es geht, durch ein Konto mit kleinerem Zugriff. Der Admin-Zugang der Geschäftsführung gehört in keine Zeile.
Läuft bei dir Microsoft 365, prüfst du vorher mit unserer Checkliste zur Copilot-Einführung, wer im Mandanten was sehen kann.
Wenn du den ersten Agenten so aufsetzen willst, dass er nur die Rechte hat, die seine Aufgabe braucht, bauen wir ihn mit dir als Projekt, von der Inventur bis zur Notbremse. Selbst bauen lernst du im Training KI-Agenten bauen, ohne Entwicklerin zu sein, mit Fehlerfall und Notbremse. Technikteams lernen es in KI-Agenten für Entwicklerteams, mit Tests als Leitplanke.
Ein Dauer-Agent arbeitet ab dem ersten Tag rund um die Uhr. Die Liste, was er darf, gibt es dann so oder so. Entweder hast du sie geschrieben, oder es ist die Liste der Konten, die irgendwann irgendwer verbunden hat.