Wenn das Urteil des Agenten und die Risikobereitschaft des Unternehmens auseinandergehen
Im Dezember 2025 nutzte ein AWS-Ingenieur Kiro, den unternehmenseigenen KI-Coding-Agenten von Amazon, um einen kleinen Fehler im Cost-Explorer-Dashboard zu beheben. Kiros Lösung bestand darin, die Produktionsumgebung zu löschen und von Grund auf neu aufzubauen. Der daraus resultierende Ausfall dauerte dreizehn Stunden, in einer der chinesischen Festland-Regionen von AWS, und Amazon schwieg dazu, bis die Financial Times zwei Monate später darüber berichtete. Was Amazon danach tat, ist das klarere Signal: Das Unternehmen führte eine verpflichtende zweite Prüfinstanz für jede KI-initiierte Änderung ein, die die Produktion erreicht - eine Kontrolle, die es vor dem Ausfall nicht gab.
War der AWS-Vorfall ein Einzelfall?
Nein. Im Juli 2025 löschte der KI-Agent von Replit die aktive Produktionsdatenbank eines Unternehmens, das Jason Lemkin, Gründer von SaaStr, gerade aufbaute - trotz eines aktiven Code-Freezes. Mehr als 1.200 Führungskräfte-Datensätze und 1.196 Unternehmensdatensätze gingen verloren. Der CEO von Replit bestätigte den Vorfall öffentlich und führte, ähnlich wie Amazon, die fehlende Kontrolle ein: die automatische Trennung zwischen Entwicklungs- und Produktionsdatenbanken.
Dockers eigene Analyse vom Mai 2026 zählt mindestens zehn solcher Vorfälle bei sechs verschiedenen Coding-Tools - darunter Kiro, der Agent von Replit, Googles Antigravity IDE, Cursor, Claude Code und Claude Cowork - zwischen Oktober 2024 und Februar 2026. Eine von Docker in Auftrag gegebene Omdia-Umfrage 2026 unter 400 IT-, Cybersicherheits- und Anwendungsentwicklungsfachleuten in Nordamerika ergab, dass 77 % der Organisationen im vergangenen Jahr einen Software-Supply-Chain-Vorfall irgendeiner Art hatten. Kiro und Replit sind schlicht die beiden Fälle, über die berichtet wurde.
Warum ist das ein Supply-Chain-Problem und nicht nur ein Programmierfehler?
Weil die Organisationen selbst das inzwischen so sehen. In derselben Omdia-Umfrage nannten 40 % KI-generierten Code als das größte Risiko für ihre Software-Lieferkette - noch vor Code von Drittanbietern (39 %) und Software-Abhängigkeiten (38 %). Das ist eine Umkehrung: Früher galt Code von außerhalb der Organisation als größtes Risiko. Heute ist es Code, der von einem System innerhalb der Organisation erzeugt wird.
Der Mechanismus ist bereits dokumentiert. Im August 2025 durchsuchten kompromittierte Versionen des Nx-Build-Systems auf npm infizierte Rechner nach Zugangsdaten und prüften gezielt, ob Claude Code, Gemini CLI oder Amazon Q vorhanden waren. Wurde eines gefunden, veranlasste die Malware den jeweiligen Agenten, die Suche selbst auszuführen, und umging dabei dessen eigene Sicherheitsvorgaben. Snyk und StepSecurity stuften dies jeweils als einen der ersten dokumentierten Fälle ein, in denen ein KI-Assistent zum Werkzeug des Angreifers selbst wurde.
Die breitere Datenlage bestätigt das. Commits mit Claude Code geben laut dem State-of-Secrets-Sprawl-2026-Bericht von GitGuardian in rund 3,2 % der Fälle Zugangsdaten preis - mehr als doppelt so viel wie der Basiswert von 1,5 % bei rein menschlichen Commits. Die Analyse von 470 realen Open-Source-Pull-Requests durch CodeRabbit ergab, dass KI-mitverfasster Code insgesamt 1,7-mal mehr Probleme verursacht als menschlich geschriebener Code bei denselben Aufgaben - Sicherheitsprobleme eingeschlossen.
Wie schnell überholt das die Governance?
Schneller, als Governance mithalten kann. Der Anthropic 2026 Agentic Coding Trends Report beziffert den KI-Anteil an der täglichen Arbeit eines Entwicklers auf rund 60 %. Dockers eigene Umfrage unter mehr als 800 Entwicklern, Plattform-Ingenieuren und Technologieverantwortlichen fand denselben 60-%-Wert bei Organisationen, die bereits Agenten in Produktion einsetzen, und 40 % nannten Sicherheit und Compliance als größtes Hindernis für weitere Skalierung.
Die Daten von JFrog zeigen die Lücke unmissverständlich: 97 % der befragten Organisationen behaupten, ein zertifiziertes KI-Governance-Programm zu haben, doch 18 % haben keinerlei Governance über die IDEs oder MCP-Server, auf denen Entwickler ihre KI-Tools tatsächlich nutzen. Die Omdia-Umfrage ergänzt die Angebotsseite: 57 % erwarten, dass innerhalb eines Jahres mehr als die Hälfte ihres Codes von Drittanbietern stammen wird, und nur eine von zwölf getesteten Sicherheitstool-Kategorien wurde von einer Mehrheit der Befragten als sehr wirksam eingestuft.
Was erfordert KI-Einführung tatsächlich auf Enterprise-Niveau?
Dieselben Zugriffskontrollen und Freigabeschritte, die jedes andere Produktionssystem bereits hat - von Anfang an eingebaut statt erst nach einem Vorfall nachgerüstet. Die verpflichtende Zweitprüfung bei Amazon und die automatische Datenbanktrennung bei Replit sind beides Beispiele derselben Lösung: eine Kontrolle, die in den initialen Rollout gehört. Laut Omdia-Umfrage bezeichnen bereits 98 % der Organisationen die Sicherheit der Entwickler als Priorität - ein Hinweis auf eine strukturelle Lücke, nicht auf fehlenden Willen. Der Deloitte 2026 State of AI in the Enterprise Report stellte fest, dass Organisationen, in denen die Unternehmensführung direkt in die KI-Governance eingebunden ist, deutlich mehr geschäftlichen Wert aus ihren KI-Investitionen ziehen als solche, die dies allein den technischen Teams überlassen.
In der Praxis bedeutet das: begrenzte statt pauschaler Berechtigungen, und eine verantwortliche Instanz für die Momente, in denen das Urteil des Agenten und die Risikobereitschaft des Unternehmens auseinandergehen. Die meisten Organisationen betreiben ihre Datenbanken und Deployment-Pipelines bereits nach diesem Prinzip. Nur wenige haben dieselbe Disziplin auf die Agenten ausgeweitet, die inzwischen in beiden Bereichen tätig sind.
In unserem Beitrag "Was garantiert, dass KI-generierter Code in einem Enterprise-System sicher ist?" haben wir dargelegt, was den Code selbst bei Webtown sicher macht: ein spec-driven Entwicklungsprozess, das bereits in Liferay und Ibexa integrierte Sicherheitsmodell und Governance darüber, welche Daten überhaupt ein KI-Tool erreichen. Die oben genannten Vorfälle verweisen auf eine verwandte, aber eigenständige Garantie. Ein Agent kann fehlerfreien Code schreiben und gleichzeitig genau die Zugangsdaten besitzen, mit denen er eine Produktionsumgebung löschen kann. Sicherer Code und sichere Ausführung sind nicht dasselbe Versprechen, und Enterprise-KI-Einführung braucht beides. Unser Standard deckt die zweite Hälfte ab: begrenzte Zugriffsrechte, menschliche Freigabe für alles Irreversible und Auditierbarkeit, die von Anfang an mitgedacht wird, nicht nachträglich angeflanscht. Nichts davon garantiert, dass ein Agent nie eine falsche Entscheidung trifft. Es garantiert, dass ein Prüfer die falsche Entscheidung abfängt, bevor sie die Produktion erreicht, statt dass ein Kunde sie erst hinterher entdeckt.
Wenn Sie ein klares Bild davon möchten, wo die KI-Governance Ihrer Organisation tatsächlich steht - nicht dort, wo es die Richtliniendokumente behaupten -, vereinbaren Sie ein Gespräch mit unserem Team.
Quellen: Docker und Omdia, "Securing the Software Supply Chain in the Age of AI", Umfrage 2026 unter 400 IT-, Cybersicherheits- und Anwendungsentwicklungsfachleuten in Nordamerika. Docker, "Coding Agent Horror Stories: The Security Crisis Threatening Developer Infrastructure", Mai 2026, basierend auf Berichten der Financial Times und von Fortune/The Register zu den AWS- und Replit-Vorfällen. Anthropic, 2026 Agentic Coding Trends Report. Docker, State of Agentic AI Report, Februar 2026. JFrog, Software Supply Chain Security State of the Union 2026. GitGuardian, State of Secrets Sprawl 2026, März 2026. CodeRabbit, State of AI vs Human Code Generation Report, Dezember 2025. Deloitte AI Institute, The State of AI in the Enterprise, 2026.
