Die Verschiebung, die wirklich passiert ist#
Zwei Jahre lang war "KI-Agenten" vor allem ein Demo-Wort. 2026 hat es aufgehört, eines zu sein. Gartner prognostiziert, dass bis Ende 2026 40 Prozent der Unternehmens-Apps aufgabenspezifische KI-Agenten enthalten, nach unter 5 Prozent im Jahr 2025. Das ist ein schnellerer Sprung als bei fast jedem Enterprise-Software-Trend des letzten Jahrzehnts.
Der Grund für das Tempo sind nicht die Modelle. Es ist ein Stück Infrastruktur namens MCP. Wenn du ein kleines Unternehmen führst, musst du davon nichts selbst bauen. Aber du solltest es verstehen, denn es läuft bereits in den Tools, die du nutzt, und die Sicherheitsseite hat echte Zähne.
Was MCP und A2A wirklich sind#
MCP (Model Context Protocol) ist ein offener Standard, Ende 2024 von Anthropic eingeführt, der ein KI-Modell über eine einheitliche Schnittstelle mit externen Tools und Daten verbindet. Vor MCP brauchte jeder Assistent eine eigene Integration für jedes Tool. Mit MCP stellt ein Tool einmal einen "MCP-Server" bereit, und jedes MCP-kompatible Modell kann ihn nutzen. Stell es dir als Universaladapter zwischen KI und deiner Software vor.
Es hat sich durchgesetzt, weil die großen Anbieter es alle übernommen haben: OpenAI, Google, Microsoft und AWS unterstützen MCP inzwischen neben Anthropic. Diese seltene Einigkeit ist der Grund, warum es so schnell zum Standard wurde. Die Verbreitung zeigt sich an den reinen Installationszahlen: Der MCP-Server von GitHub überschritt bis Februar 2026 zwei Millionen wöchentliche Installationen, der Postgres-MCP-Server über 800.000 pro Woche.
A2A (Agent-to-Agent) ist die Ergänzung: ein Standard, mit dem Agenten mit anderen Agenten sprechen statt mit Tools. Wo MCP vertikal ist (Agent zu Tool), ist A2A horizontal (Agent zu Agent). Für ein kleines Unternehmen zählt das heute weniger, aber dahin bewegen sich die Plattformen.
Was das einem kleinen Team ermöglicht#
Der ehrliche Nutzen ist real. Fähigkeiten, die früher ein Integrationsbudget brauchten, sind heute näher an Konfiguration als an Entwicklung.
- Automatisierung ohne Glue-Code. Ein MCP-fähiger Assistent kann deinen Kalender lesen, aus deinen Dokumenten entwerfen, eine Datenbank abfragen und in ein Tool posten, ohne dass du die Connectoren schreibst. Die Tools bringen ihre eigenen MCP-Server mit.
- Ein Assistent über viele Tools. Statt fünf zusammenhangloser KI-Funktionen in fünf Apps kann ein Agent in einem einzigen Ablauf über alle hinweg arbeiten.
- Niedrigere Einstiegshürde. Wenn du doch einen Entwickler hast, reduziert MCP die Integrationsarbeit drastisch. Was vorher einen Sprint dauerte, dauert jetzt einen Nachmittag.
Das ist echt nützlich, und es ist der Teil des Hypes, der verdient ist.
Die Risiken, die niemand auf die Landingpage schreibt#
Hier werden kleine Unternehmen verletzt, denn die Fehlerbilder sind nicht offensichtlich.
Shadow MCP. So wie Mitarbeiter früher SaaS-Tools nutzten, ohne der IT Bescheid zu geben, installieren sie heute MCP-Server, die einem KI-Agenten Zugriff auf Produktivsysteme, Datenbanken und APIs geben, ohne jede Prüfung. Ein Audit vom Februar 2026 fand 43 Prozent der öffentlich verfügbaren MCP-Server anfällig für Command-Execution-Angriffe. Wenn jemand in deinem Team einen davon mit einem Tool verdrahtet, das Kundendaten berührt, ist das jetzt dein Risiko.
Prompt Injection über Tools. Wenn ein Agent ein MCP-Tool aufruft, fließt die Antwort des Tools zurück in den Kontext des Modells. Enthält diese Antwort Text, der wie Anweisungen aussieht, kann das Modell ihnen folgen. Invariant Labs hat das an der offiziellen GitHub-MCP-Integration vorgeführt: Ein Angreifer legt ein bösartiges GitHub-Issue an, ein Entwickler bittet seinen Assistenten, "die offenen Issues zu prüfen", und der Agent wird gekapert, um Daten aus privaten Repositories zu leaken. Der Nutzer hat nichts falsch gemacht.
Over-Permissioning. Die meisten MCP-Setups geben Tools weit mehr Zugriff, als sie brauchen, weil es einfacher ist. Jede zusätzliche Berechtigung ist zusätzlicher Schadensradius, falls der Agent ausgetrickst wird. Die Sicherheitsempfehlung ist eindeutig: minimale Rechte, jedes Mal. Es gibt inzwischen sogar eine OWASP MCP Top 10, die diese Fehlermuster katalogisiert, was dir sagt, dass die Kategorie reif genug für eine eigene Bedrohungsliste ist.
Praktische Leitplanken, bevor ein Agent handeln darf#
Du brauchst kein Security-Team, um hier vernünftig zu sein. Fünf Prüfungen decken den Großteil des Risikos ab:
- Wissen, was verbunden ist. Mach eine kurze Liste, welche KI-Tools welche Integrationen haben. Wenn du sie nicht benennen kannst, ist das das erste Problem.
- Minimale Rechte als Standard. Ein Agent, der E-Mails entwirft, braucht keinen Schreibzugriff auf deine Datenbank. Vergib das Minimum, erweitere nur bei Bedarf.
- First-Party-MCP-Server bevorzugen. Nutze den offiziellen Server des Tool-Anbieters statt eines beliebigen aus der Community. Prüfe Installationszahlen und Quelle.
- Mensch in der Schleife für Aktionen. Daten lesen ist weniger riskant als Aktionen ausführen. Verlange eine Bestätigung, bevor ein Agent sendet, löscht, bezahlt oder veröffentlicht.
- Test von Produktion trennen. Lass Agenten zuerst auf eine Sandbox oder Kopie los, nie am ersten Tag auf echte Kundendaten.
Der Realitätscheck#
Eine weitere Gartner-Zahl, weil sie das ehrliche Gegengewicht zur 40-Prozent-Adoptions-Schlagzeile ist: Dasselbe Haus prognostiziert, dass über 40 Prozent der agentischen KI-Projekte bis Ende 2027 abgebrochen werden, wegen steigender Kosten, unklarem Nutzen und unzureichenden Risikokontrollen.
Beide Zahlen stimmen gleichzeitig. Agenten werden Mainstream, und ein großer Teil der Agenten-Projekte wird scheitern. Die erfolgreichen werden nicht die ehrgeizigsten sein. Es werden die sein, die auf eine enge, echte Aufgabe zielen, mit knapp gehaltenen Rechten und einem Menschen in der Schleife für alles Unumkehrbare. Für ein kleines Unternehmen ist das die ganze Strategie: Such dir einen schmerzhaften, wiederkehrenden Ablauf, verdrahte einen Agenten sorgfältig damit und widersteh dem Drang, ihm die Schlüssel zu allem zu geben.
Quellen#
- Adoptions- und Abbruch-Prognosen: Gartner zu 40 Prozent der Unternehmens-Apps mit KI-Agenten bis 2026, Gartner zu über 40 Prozent abgebrochener agentischer KI-Projekte bis 2027
- MCP-Sicherheit: OWASP MCP Top 10, Practical DevSecOps zu MCP-Schwachstellen, Docker zum GitHub-MCP-Prompt-Injection-Fall, Palo Alto Unit 42 zu MCP-Angriffsvektoren
