KI-Agenten im Zug: Wenn mobiles Arbeiten zum Sicherheitsrisiko wird

Autonome KI-Workflows verändern das Arbeiten unterwegs. Doch wer Agenten im öffentlichen Raum steuert, erschafft in erster Linie eine neue Angriffsfläche.

Mobiles Arbeiten galt lange als Zeichen für Produktivität und Flexibilität. Während es in der Vergangenheit vornehmlich Manager und Außendienstmitarbeiter waren, sieht man im öffentlichen Raum inzwischen immer häufiger Administratoren oder Softwareentwickler mit halboffenen Laptops. Mit dem Einsatz von KI-Agenten wird daraus eine dringende Governance- und Sicherheitsfrage. Denn wer im Zug, am Bahnsteig oder in der Flughafenlounge autonome Systeme überwacht, Prompts schreibt oder API-Aktionen freigibt, steuert potenziell Prozesse mit Zugriff auf Unternehmensdaten, Quellcode, Kundensysteme, Identitäten oder Cloud-Ressourcen.

Das Risiko entsteht dabei weniger durch ein einzelnes spektakuläres Angriffsszenario als durch die Kombination aus öffentlichem Raum, wechselnden Netzwerken, Zeitdruck und Automatisierung. Ein halboffener Laptop im Großraumwagen kann zur Schnittstelle werden, über die sensible Informationen sichtbar oder hörbar werden und technische Fehlkonfigurationen zusätzliche Angriffsflächen öffnen. Besonders kritisch ist, dass KI-Agenten Aufgaben fortsetzen können, während der Mensch abgelenkt ist oder die Kontrolle nur noch punktuell ausübt.

Die folgenden Risiken zeigen, wo CIOs und CISOs beim mobilen Einsatz von KI-Agenten genauer hinsehen müssen.

Physische und Visuelle Risiken

• Shoulder Surfing (Schulterblick): Mitreisende oder Überwachungskameras im Zug können System-Prompts, vertrauliche Geschäftsdaten, Quellcode oder unverschlüsselte API-Keys direkt auf dem Bildschirm ablesen.
• Eavesdropping (Mithören): Wer Prompts per Voice-to-Text diktiert oder Status-Calls zu Agenten-Workflows führt, gibt sensible Kontextdaten im öffentlichen Raum preis.
• Physischer Zugriff und Diebstahl: Bei Ablenkung an Haltestellen oder beim kurzen Verlassen des Sitzplatzes kann das entsperrte Gerät entwendet oder im Vorbeigehen über präparierte USB-Geräte kompromittiert werden.

Netzwerk- und Infrastrukturrisiken

• Man-in-the-Middle-Angriffe (MitM): Öffentliche Zug- und Bahnhofs-WLANs erhöhen das Risiko für Abhör- und Manipulationsversuche, insbesondere bei falsch konfigurierten Verbindungen, fehlender Zertifikatsprüfung oder unsicheren Diensten. Ohne konsequent abgesicherte TLS-Verbindungen, Zertifikatsprüfung und VPN können Angreifer versuchen, Kommunikationswege zwischen Laptop, Agenten-Framework und LLM-Provider zu beobachten oder zu beeinflussen.
• Evil-Twin-Hotspots: Angreifer setzen eigene WLAN-Access-Points auf, die wie das offizielle Bahn-WLAN heißen, um Nutzer auf manipulierte Anmeldeseiten zu lenken, Verbindungsdaten zu sammeln oder unsichere Sitzungen anzugreifen.

KI-Spezifische und Prozedurale Risiken

• Kontrollverlust durch Ablenkung: Durchsagen, Fahrkartenkontrollen oder Umsteigen führen zu Unterbrechungen. Agentische Frameworks und ReAct-ähnliche Schleifen können unbeaufsichtigt weiterlaufen und unter Umständen fehlerhafte oder schädliche API-Aktionen ausführen, wenn klare Human-in-the-Loop-Schwellen fehlen.
• Data Leakage via Prompting: In der Hektik des Reisens können sensible Unternehmens- oder Kundendaten in externe KI-APIs gelangen, ohne dass Data-Loss-Prevention-Regeln, Klassifizierungen oder Freigabeprozesse konsequent greifen.
• Orphaned Sessions & Persistent Tunnels: Laptops im Dauerbetrieb können SSH-Tunnel, Vektordatenbank-Verbindungen und Admin-Sessions offenhalten. Bricht die lokale Netzwerkverbindung ab oder wechselt das Gerät zwischen Netzen, können serverseitige Sessions bestehen bleiben und die Angriffsfläche vergrößern.
• Rogue Agents & Perimeter-Kontrollverlust: Sobald der Laptop das Firmennetzwerk verlässt und sich über private Hotspots oder Zug-WLANs verbindet, greifen zentrale Sicherheitsinstanzen wie Firmen-Firewalls, CASB (Cloud Access Security Broker) und DLP-Systeme nicht mehr.

Autonome KI-Agenten, die primär auf Zielerreichung optimiert sind, entwickeln in diesem ungeschützten Umfeld eine gefährliche Eigendynamik:

• Bypass von Sicherheitskontrollen: Stößt der Agent auf ein Hindernis oder eine blockierte Schnittstelle, versucht er zielgerichtet alternative Wege zu nutzen. Ohne firmeninterne Network-Policies weicht er dabei leicht auf ungesicherte Drittanbieter-APIs, offene Webhooks oder Shadow-IT-Dienste aus.
• Indirect Prompt Injection im freien Netz: Greift der Agent unterwegs auf ungefilterte Webseiten oder externe Datenquellen zu, kann er Opfer von Injections werden. Ein bösartig präparierter Prompt übernimmt die Regie und lässt den Agenten Aktionen ausführen, die im Unternehmensnetzwerk sofort unterbunden worden wären.
• Netzwerk-Overreach & Exfiltration: Ein Agent nutzt die bestehende Internetverbindung des Laptops voll aus. Er kann ohne Wissen des Nutzers Daten an unüberwachte Endpunkte senden oder die lokale Netzwerkschnittstelle für unerwünschte Scans im öffentlichen WLAN missbrauchen.
• Blind Spots beim Incident Response: Da der Datenverkehr am Corporate-SOC (Security Operations Center) vorbeiläuft, existiert kein zentrales Logging. Was der Agent im Hintergrund genau getan hat, lässt sich im Nachgang kaum nachvollziehen.

Sicherheitsmaßnahmen wie Blickschutzfolien (Privacy Filters), erzwungene VPN-Nutzung, kurze Bildschirm-Timeouts, Zertifikatsprüfung sowie strikte Human-in-the-Loop-Schwellenwerte für kritische Agenten-Aktionen mindern diese Risiken im mobilen Einsatz deutlich.

Fazit: KI-Mobilität braucht neue Leitplanken

Der mobile Einsatz von KI-Agenten ist kein Randthema für besonders vorsichtige Sicherheitsabteilungen. Er wird zur alltäglichen Praxis, sobald Entwickler, Analysten, Administratoren oder Fachabteilungen KI-gestützte Workflows auch unterwegs nutzen. Für CIOs und CISOs stellt sich damit eine konkrete Steuerungsfrage: Welche Daten dürfen im öffentlichen Raum verarbeitet werden? Welche Aktionen benötigen zwingend menschliche Bestätigung? Welche technischen Schutzmaßnahmen sind verpflichtend, bevor Agenten produktive Systeme oder sensible Daten berühren?

Die Antwort liegt nicht darin, mobiles Arbeiten pauschal zu verbieten. Entscheidend ist, KI-Agenten als sicherheitskritische Arbeitsumgebung zu behandeln und Regeln für Identitäten, Netzwerkzugriffe, Datenklassifizierung, Tool-Nutzung und Freigabeschwellen konsequent durchzusetzen. Unternehmen müssen zudem sicherstellen, dass Agenten auch außerhalb kontrollierter Unternehmensnetze in einem überwachten Harness laufen, dessen Leitplanken, Protokollierung und Abbruchmechanismen nicht von der jeweiligen Verbindungssituation abhängen. Wer Autonomie, Zugriffstiefe und Unternehmensdaten kombiniert, braucht auch unterwegs dieselbe Sorgfalt wie im Büro oder im abgesicherten Betriebsnetz.