Eigene Konten für KI-Automatisierungen sicher verwalten

Das Problem

Frau Müller arbeitet in einem Logistikunternehmen in Pratteln. Ein Kollege hat vor einem Jahr eine Automatisierung gebaut: Eingehende Lieferscheine werden von einer KI gelesen und in eine Tabelle übertragen. Läuft hervorragend, aber nur dank des Kontos einer Mitarbeiterin, die inzwischen die Firma verlassen hat. Als ihr Konto gesperrt wird, steht die Automatisierung still, und niemand weiss genau, warum.

Solche Fälle sind häufig. Automatisierungen und KI-Agenten brauchen einen Zugang, und der schnellste Weg ist das Konto einer Person. Das hat aber Nachteile: Rechte sind meist zu weit, Aktionen sind nicht von denen der Person zu unterscheiden, und mit dem Austritt bricht alles zusammen.

Besser ist ein Servicekonto: ein Zugang, der nur für die Automatisierung existiert. Diese Seite zeigt, wie Sie ihn einrichten und im Griff behalten.

So lösen Sie es mit KI – Schritt für Schritt

1. Erfassen Sie alle Automatisierungen. Welche Abläufe nutzen heute einen Zugang? Notieren Sie, mit welchem Konto sie laufen. Oft finden Sie dabei Überraschungen.

1. Legen Sie für jede Automatisierung ein eigenes Konto an. Verwenden Sie einen sprechenden Namen, zum Beispiel «svc-lieferscheine». Ein Konto pro Aufgabe macht Spuren nachvollziehbar.

1. Bestimmen Sie einen Besitzer. Eine Person ist verantwortlich, eine Stellvertretung ebenso. Hält die Person das Konto nicht mehr, wird es neu zugewiesen.

1. Vergeben Sie die geringsten nötigen Rechte. Nur die Ordner, Funktionen und Aktionen, die die Aufgabe verlangt. Lesen statt schreiben, wo möglich. Siehe Minimale Rechte für KI.

1. Verwahren Sie die Zugangsdaten sicher. Im Passwortmanager oder einem Geheimnisspeicher, nicht in Skripten, Mails oder Chats. Siehe Zugangsdaten für KI-Agenten handhaben.

1. Planen Sie den Wechsel der Zugangsdaten. Zum Beispiel jährlich und bei jedem Verdacht. Das Vorgehen beschreibt API-Schlüssel regelmässig wechseln.

1. Sorgen Sie für Nachvollziehbarkeit. Aktionen des Servicekontos sollen im Protokoll erscheinen, damit Sie sie von menschlichen Aktionen unterscheiden können, siehe KI-Agentenaktionen nachvollziehen.

1. Führen Sie eine Liste und prüfen Sie sie. Kontoname, Zweck, Besitzer, Rechte, Datum der letzten Prüfung. Konten ohne Nutzen werden gelöscht.

Vorlage zum Kopieren

Mit diesem Prompt erstellen Sie ein Register für Servicekonten. Tragen Sie keine Passwörter ein.

Erstelle für einen Schweizer Betrieb ([Branche]) eine Vorlage «Register der Servicekonten für KI-Automatisierungen» als Tabelle.
Spalten: Kontoname, Zweck der Automatisierung, Besitzer, Stellvertretung, genutzte Systeme, Rechte (lesen/schreiben/löschen), Ablageort der Zugangsdaten (nur Ort nennen, z. B. «Passwortmanager»), letzter Wechsel der Zugangsdaten, nächste Prüfung, Status.
Füge darunter eine Checkliste mit 8 Prüfpunkten für die jährliche Kontrolle hinzu.
Regeln: Keine echten Zugangsdaten, einfache Sprache, Deutsch (Schweiz). Fülle zwei Beispielzeilen mit erfundenen Angaben aus: [Beispiel 1], [Beispiel 2].

Ersetzen Sie die Platzhalter und übertragen Sie die Vorlage in ein geschütztes Dokument Ihrer IT.

Worauf Sie achten müssen

• Servicekonten sind beliebte Ziele. Sie haben oft weite Rechte, laufen unbeaufsichtigt und werden selten kontrolliert.
• Kein interaktives Arbeiten damit. Niemand meldet sich mit dem Servicekonto an, um etwas «schnell zu erledigen».
• Nicht teilen. Die Zugangsdaten kennt nur das System, das sie braucht, und die Besitzerin im Passwortmanager.
• Rechte nachführen. Ändert sich die Aufgabe, ändern sich die Rechte. Rechte sollen nicht nur wachsen.
• Ablösen statt vergessen: Wird eine Automatisierung abgeschaltet, löschen Sie auch ihr Konto.
• Nicht jeder Dienst erlaubt Servicekonten. Klären Sie, welche Möglichkeiten es gibt, zum Beispiel eigene Schlüssel mit begrenzten Rechten.

Ein Beispiel aus der Praxis

Ein Beispiel: Eine Garage in Lenzburg lässt eingehende Garantieanfragen automatisch von einer KI vorsortieren. Die Automatisierung läuft mit dem Konto der Werkstattleiterin.

Vorher: Die Leiterin wechselt in eine andere Funktion, ihre Rechte werden angepasst, und die Automatisierung bricht ab. Niemand erkennt, dass sie weiterhin alle Mails der Leiterin liest. Nachher: Die IT legt ein Servicekonto «svc-garantie» an. Es darf nur das Postfach «garantie@» lesen und Einträge in einer Tabelle ergänzen. Besitzerin ist die Büroleiterin, Stellvertreter der IT-Betreuer. Das Konto steht im Register, mit Datum der nächsten Prüfung.

Nach der Umstellung stellte die IT fest, dass bei der Garage noch zwei weitere Abläufe mit persönlichen Konten liefen, an die niemand mehr gedacht hatte. Auch diese bekamen eigene Zugänge, und das Register wurde zum festen Bestandteil der jährlichen Sicherheitsrunde. Ein solches Verzeichnis ist unspektakulär, aber wirksam: Es zeigt auf einen Blick, welche Automatisierungen laufen, wem sie gehören und wann sie zuletzt geprüft wurden. Dadurch fällt bei einem Austritt sofort auf, welche Abläufe betroffen sein könnten.

So hilft Ihnen Alpasana

Wenn Sie Automatisierungen und KI-Agenten sauber aufsetzen wollen, begleitet Sie die KI-Beratung und digitale Transformation: digitale Workflows und Automatisierungen entwickeln, Schnittstellen konzipieren, Systeme verbinden und KI-Agenten mit Anwendungsfall, Pilot, Einsatzregeln und Skalierung integrieren, dazu die Dokumentation der Umsetzung.

Konten und Zuständigkeiten für Automatisierungen gehören zu solchen Einsatzregeln. Projekte werden individuell offeriert.

Häufige Fragen

Was ist der Unterschied zu einem API-Schlüssel?

Ein Schlüssel ist eine Art Zugangscode, ein Servicekonto ein eigener Benutzer. Beides sind eigene Zugänge für Programme. Welche Form passt, hängt vom Dienst ab, wichtig sind Besitzer, Rechte und Verwahrung.

Wer soll Besitzer sein?

Eine Person, die die Aufgabe kennt und im Betrieb bleibt, mit einer Stellvertretung. Die IT-Abteilung kann Dritte sein, die fachliche Verantwortung liegt aber beim Prozessverantwortlichen.

Was, wenn ich das Konto einer Kollegin schon verwende?

Planen Sie die Umstellung. Legen Sie ein Servicekonto an, testen Sie es parallel und schalten Sie dann um. Sperren Sie danach den Zugriff des Personenkontos für die Automatisierung.

Muss ich Servicekonten dem Datenschutz melden?

Nicht als solche. Wenn sie aber auf Personendaten zugreifen, gelten die üblichen Pflichten. Klären Sie das mit Ihrer Datenschutzstelle.