# KI-Agenten protokollieren und absichern: AgentGuard | EU AI Act Art. 12 & 14 > Jede KI-Entscheidung manipulationssicher protokollieren — und folgenreiche Aktionen einem Menschen vorlegen, bevor sie passieren. AgentGuard liefert Protokoll und Freigabeschritt für Aufzeichnung (Art. 12) und menschliche Aufsicht (Art. 14), die die KI-Verordnung für Hochrisiko-Systeme ab Dezember 2027 verlangt. Start im Protokoll-Modus ab 49 €/Monat. Quelle: https://www.krynexlabs.de/services/agentguard/ Anbieter: Krynex Labs UG (haftungsbeschränkt) i. G., Chemnitz · https://www.krynexlabs.de --- Krynex Labs · AgentGuard # Eure KI-Agenten handeln. Jetzt kontrolliert sie jemand. AgentGuard ist die Governance-Ebene für autonome KI-Agenten. Jede konsequenzreiche Aktion — eine Zahlung, eine E-Mail, eine Löschung, ein Vertrag — läuft durch eine Policy-Gate-Kette und wird erlaubt, blockiert oder zur Freigabe eskaliert. Mit manipulationssicherem, hash-verkettetem Audit. Live, nicht als Report danach. [Erstgespräch buchen](https://www.krynexlabs.de/kontakt/) [Wie es funktioniert](#agentguard-how) 10 Gates Hash-Chain-Audit Protokoll-Modus · null Risiko Policy-Gate-Kette · fahrt mit der Maus über ein Gate LIVE GOVERNANCE ID Identität **Identität**Ist der Agent bekannt und mandatiert? BRK Breaker **Circuit-Breaker**Ist der Agent bei zu hohem Druck eingefroren? SCP Scope **Scope**Deckt das Mandat diese Capability überhaupt? RATE Rate **Rate-Limit**Zu viele Aktionen pro Minute? CD Cooldown **Cooldown**Sperrfrist nach dem letzten Vorfall aktiv? € Spend **Spend-Limit**Über Einzel-Cap oder Tagesbudget → Freigabe. RISK Risiko **Risiko-Score**Konsequenz-Score zu hoch → Block/Eskalation. CMPL Compliance **Compliance**Regulatorischer Nachweis nötig (EU AI Act)? INH Inhalt **Inhaltsprüfung**Was steht in dem Text, der gleich hinausgeht? HITL Mensch **Freigabe**Ein Mensch entscheidet, bevor es passiert. ✕ Scope nicht mandatiert ⤴ Human-Review · 80.000 € Erlaubt 12.988 Blockiert 53.407 Eskaliert 4.350 Gehalten 624 Warum das zählt ## Ein Agent, der handeln darf, kann auch das Falsche tun. Sobald ein KI-Agent nicht nur redet, sondern *Aktionen ausführt*, ist ein Fehler kein Tippfehler mehr — sondern eine echte Überweisung, eine Token-Transaktion, eine rausgeschickte Mail, ein gelöschter Datensatz. Genau dort fängt AgentGuard jede Aktion ab — egal in welcher Domäne. Banking-Agent SEPA-Überweisung 84.500 € → neuer Empfänger ✕ BLOCKIERT Treasury-Agent Token-Transfer 12,4 ETH → 0x9f3a…c1 ⤴ GEHALTEN DevOps-Agent Datenbank löschen prod.customers · 48.201 Zeilen ✕ BLOCKIERT ### Zahlungen & Verträge Ein autonomer Beschaffungs-Agent löst eine 80.000-€-Bestellung aus. Erlaubt, oder braucht das erst einen Menschen? ### Kommunikation nach außen Ein Support-Bot schreibt an Kunden. Sind Ton, Zusagen und Empfänger im Rahmen des Mandats? ### Irreversible Aktionen Löschungen, Infrastruktur-Änderungen, Trades. Manche Aktionen kann man nicht zurücknehmen — nur vorher stoppen. Für jeden Agenten ## Egal welcher Agent, egal welche Domäne. Beschaffung, Support, DevOps, Trading, Treasury — und genauso Bank-Überweisungen, Token-Transaktionen, SaaS-Integrationen und E-Commerce. AgentGuard sitzt als neutrale Kontroll-Ebene davor: jede Aktion, jede Domäne, dieselbe Gate-Kette. AgentGuard Bank · SEPA Krypto · Token SaaS · API E-Commerce DevOps · Infra Support · Mail Trading · Order Daten · DB erlaubt zur Freigabe eskaliert blockiert Wir fahren selbst auf diesen Schienen ## Unsere eigenen Agenten laufen über AgentGuard. Das ist kein Feature-Katalog, den wir nur verkaufen. Unsere eigenen produktiven Agenten — der Pilot Assistent, der Kunden anlegt und Angebote erstellt, unsere Beschaffungs- und Treasury-Bots — sitzen hinter AgentGuard. Erst im **Protokoll-Modus** (nur aufzeichnen, null Risiko), dann scharf geschaltet — der Agent, der Kunden anlegt und Angebote schreibt, läuft heute im Enforce-Modus. Wenn wir unseren eigenen Agenten so weit trauen, könnt ihr euren. AgentGuard Pilot Assistent✓ Beschaffungs-Agent✓ Treasury-Bot⤴ Support-Mailer✓ **Shadow zuerst** Aktionen werden bewertet & protokolliert, aber nie geblockt. Ihr seht, wo AgentGuard eingegriffen hätte — ohne Risiko im Betrieb. **Dann scharf** Pro Agent und pro Gate umschaltbar auf Enforce. Ihr entscheidet, wann aus Beobachten ein echtes Stoppen wird. **Vor externen Agenten** AgentGuard sitzt als eigenständiger Dienst davor — nicht in eurem Agenten verdrahtet. Auch fremde Agenten lassen sich governen. Wie es funktioniert ## Zehn Prüfungen. Eine Entscheidung. Ein unveränderlicher Beweis. Jede Aktion durchläuft die Kette in fester Reihenfolge. Fällt ein Gate, endet die Aktion in Block, Eskalation oder Halten — mit exaktem Grund. Gate 01–03 ### Identität, Breaker & Scope Ist der Agent mandatiert, nicht eingefroren, und deckt sein Mandat diese Capability? Der erste Filter gegen „darf das überhaupt". Gate 04–06 ### Rate, Cooldown & Spend Nicht zu oft, nicht in der Sperrfrist, nicht über Budget. Große Beträge werden nicht blockiert, sondern zur Freigabe eskaliert. Gate 07–10 ### Risiko, Compliance, Inhalt & Mensch Konsequenz-Score, regulatorischer Nachweis, ein Blick in den Text, der gleich hinausgeht, und wo nötig ein Mensch, der freigibt. Version 2.0 ## Was seit Version 2.0 dazugekommen ist. Alles davon läuft, nichts davon ist angekündigt. Freigabe ### Ein Mensch entscheidet — oder es passiert nicht Eskaliert eine Aktion, wartet sie. Wer sie freigibt, steht mit Namen, Zeitpunkt und Notiz im Protokoll. Entscheidet niemand innerhalb der Frist, gilt sie als abgelehnt. Nichts läuft durch, weil es jemand vergessen hat. Inhalt ### Ein Blick in den Text, bevor er rausgeht Steht ein Zugangsschlüssel oder ein Passwort im Text, wird die Aktion gestoppt. Steht eine Kontonummer darin, entscheidet ein Mensch. Den Text selbst behalten wir nicht: er wird geprüft und verworfen, im Protokoll steht nur, was gefunden wurde. Regeln ### Ihr entscheidet, was ein Fund auslöst Ob ein Fund stoppt, einen Menschen ruft oder nur gezählt wird, steht als Regel — nicht in unserem Quelltext. Ihr könnt sie ändern, ohne auf ein neues Release zu warten. Zugang ### Jede Anbindung mit eigenem Schlüssel Jedes System, das meldet, hat seinen eigenen Schlüssel mit eigenen Rechten — und gilt für euren Mandanten, nicht für alle. Ein Schlüssel lässt sich jederzeit sperren, und im Protokoll steht bei jeder Zeile, welcher es war. Nachweis ### Das Archiv für den Prüfer, auf Knopfdruck Zeitraum wählen, herunterladen: jede Aktion, jede Freigabe mit Namen, die Mandate eurer Agenten, die geltenden Regeln und das Ergebnis der Signaturprüfung. Es belegt, was aufgezeichnet wurde — beurteilen muss es am Ende ein Mensch, aber er hat die Unterlagen dafür. Anbindung ### Da, wo eure Agenten schon laufen Ein fertiger Baustein für n8n, Bibliotheken für Python und TypeScript, und ein Zugang für KI-Assistenten über MCP. Eingebaut ist es in Minuten, nicht in Wochen. Mission Control ## Eine Konsole, die zeigt, was eure Agenten gerade tun. Live-Feed jeder Entscheidung, Agenten-Radar, hash-verkettetes Audit. Schaltet zwischen **Shadow** und **Enforce** um und seht den Unterschied. Live-Aktions-Feed Modus: **Shadow** Agenten-Radar Hash-Chain-Audit #1249 e5bd #1250 3f8a #1251 b6e1 #1252 c904 Kette intakt · 1.252 Einträge Revisionssicher · Stufe 1: Protokoll ## Jede Entscheidung ist beweisbar — auch Monate später. - SHA-256-Hash-Chain: jeder Eintrag referenziert den vorigen. Manipulation bricht die Kette sichtbar. - Durabel in Postgres — überlebt Neustarts, wächst unbegrenzt, evictet nicht. - Die **menschliche Aufsicht** aus [Artikel 14 der KI-Verordnung](https://eur-lex.europa.eu/eli/reg/2024/1689/oj) ist hier keine Absichtserklärung, sondern ein Arbeitsschritt: eine Person gibt frei, mit Namen und Zeitpunkt im Protokoll. - Die **Aufzeichnungspflicht** aus [Artikel 12](https://artificialintelligenceact.eu/article/12/) ist die Einstiegsstufe: melden, protokollieren, nichts verhindern. Die Aufsicht kommt oben drauf — dieselbe Meldung, zusätzlich ein Urteil. - DSGVO-minimiert: Entscheidungen als Metadaten & Hashes, nicht als Klartext-Sammlung. Rechtlicher Rahmen ## Wer einen Agenten handeln lässt, muss ihn beaufsichtigen können. Die KI-Verordnung der EU ([Verordnung (EU) 2024/1689](https://eur-lex.europa.eu/eli/reg/2024/1689/oj)) verlangt für Hochrisiko-Systeme zweierlei: dass Ereignisse über die gesamte Lebensdauer automatisch aufgezeichnet werden ([Artikel 12](https://artificialintelligenceact.eu/article/12/)), und dass natürliche Personen das System während des Einsatzes wirksam beaufsichtigen können ([Artikel 14](https://artificialintelligenceact.eu/article/14/)). „Wirksam beaufsichtigen“ heißt nicht, hinterher ein Protokoll lesen zu können. Es heißt, eingreifen zu können, bevor etwas passiert. Genau dafür ist AgentGuard gebaut: die Aktion wartet, bis ein Mensch entschieden hat, und ohne Entscheidung passiert sie nicht. Ob euer konkreter Einsatz unter die Hochrisiko-Regeln fällt, sagt euch die Verordnung und nicht eine Software. Was AgentGuard liefert, sind die Unterlagen und der Arbeitsschritt — beurteilen muss am Ende ein Mensch. Wir sagen euch gern, wo ihr steht: das gehört in unseren [KI-Audit](https://www.krynexlabs.de/services/ki-audit/). Krynex Labs · Pilot Suite ## Und das System, in dem die Agenten arbeiten. AgentGuard governt die Agenten — die [Pilot Suite](https://www.krynexlabs.de/services/ki-erp/) ist das moderne ERP, in dem sie tatsächlich handeln. Branchen-Module, dedizierte Datenbank pro Kunde, EU-Hosting, KI von Anfang an mitgedacht. CRM Aufträge Rechnungen Reporting KI-Voice Module [KI-Module ab Tag 1 · kein Vendor-Lock-in](https://www.krynexlabs.de/services/ki-erp/) Umsatz Aufträge Auslastung Offen Beim Abspielen lädt YouTube (Google) das Video. Dabei werden Ihre IP-Adresse und Geräteinformationen an Google übertragen. [Details](https://www.krynexlabs.de/datenschutz/#youtube) · Ein KI-Agent soll eine Rechnung per E-Mail verschicken. Der Film zeigt, wie AgentGuard vor der Aktion zehn Prüfungen durchläuft, von Identität und Budget bis zum Inhalt des Textes, und zu einem von drei Ausgängen kommt: erlaubt, blockiert oder zur Freigabe durch einen Menschen. Jeder Eintrag ist verkettet und signiert. Zwei Stufen: Protokoll (Art. 12 KI-VO) und Aufsicht (Art. 14). Transkript anzeigen Wie AgentGuard einen KI-Agenten beaufsichtigt. Protokoll und Aufsicht in einem Produkt. Auftrag an den Agenten. Schick dem Kunden die Rechnung per E-Mail. Das Modell schreibt nur Text. Auftrag. Modell. Sagt das nächste Wort. Ausgabe. Ich schicke die Rechnung jetzt raus. Tool-Call, Beispiel: tool email\_senden, an kunde, anhang rechnung.pdf Ein Teil davon ist ein Tool-Call: eine konsequenzreiche Aktion. AgentGuard sitzt davor. Agent: will handeln. AgentGuard: prüft vor der Aktion. Ausführung: wartet. Als eigener Dienst vor euren Agenten, auch vor eingekauften. Zehn Prüfungen vor der Aktion. ID Identität. BRK Breaker. SCP Scope. RATE Rate. CD Cooldown. € Spend. RISK Risiko. CMPL Compliance. INH Inhalt. HITL Mensch. Ist der Agent bekannt und mandatiert? Ist der Agent bei zu hohem Druck eingefroren? Deckt das Mandat diese Capability überhaupt? Zu viele Aktionen pro Minute? Sperrfrist nach dem letzten Vorfall aktiv? Über Einzel-Cap oder Tagesbudget → Freigabe. Konsequenz-Score zu hoch → Block/Eskalation. Regulatorischer Nachweis nötig (EU AI Act)? Was steht in dem Text, der gleich hinausgeht? Ein Mensch entscheidet, bevor es passiert. Fund: Kontonummer. Inhaltsprüfung: Kontonummern gehen an einen Menschen. Drei Ausgänge. Ausgang erlaubt: Die Aktion wird ausgeführt. Ausgang blockiert: Zugangsdaten im Text stoppen die Aktion. Ausgang zur Freigabe eskaliert: Name, Zeitpunkt, Notiz. Freigeben. Eskalation heißt: ein Mensch gibt frei, mit Namen und Notiz im Protokoll, oder es passiert nicht. Manipulationssicher. Eintrag: gemeldet, gemeldet, erlaubt, blockiert, eskaliert, freigegeben. Signiert. Hash davor. Jeder Eintrag ist mit dem vorherigen verkettet und signiert. Eine nachträgliche Änderung fällt auf. Integrität prüfen. Kette gebrochen. Wird ein Eintrag geändert, gelöscht oder umsortiert, bricht die Kette an genau dieser Stelle. Zwei Stufen. Stufe 1: Protokoll. Jede KI-Entscheidung wird aufgezeichnet. Nichts wird verhindert. Aufzeichnungspflicht, Artikel 12. Stufe 2: Aufsicht. Zehn Prüfungen vor der Aktion. Folgenreiche Aktionen warten auf eine Freigabe. Wirksame Aufsicht, Artikel 14. Erst protokollieren, dann pro Agent scharf schalten. Audit-Protokoll. Hash-verkettet, signiert. Das Modell schreibt nur Text. AgentGuard entscheidet, was davon passiert. krynexlabs.de/services/agentguard Bereit, eure Agenten an die Leine zu nehmen? ## Startet mit dem Protokoll. Null Risiko, voller Einblick. AgentGuard · Protokoll ab **49 € / Monat**, mit Aufsicht ab **99 € / Monat** — oder integriert in die Pilot Suite. [Erstgespräch buchen](https://www.krynexlabs.de/kontakt/) [Live-Demo ansehen](https://www.krynexlabs.de/kontakt/) ## Häufige Fragen ### Was macht AgentGuard genau? AgentGuard sitzt vor euren KI-Agenten und KI-Systemen. Jede Entscheidung wird ihm gemeldet und manipulationssicher protokolliert — das ist die Grundstufe und sie verhindert nichts. Schaltet ihr die Aufsicht dazu, prüft AgentGuard vor folgenreichen Aktionen zehn Dinge: Ist der Agent bekannt, mandatiert und nicht eingefroren? Deckt sein Mandat das überhaupt? Zu oft, noch in der Sperrfrist, zu teuer, zu riskant? Fehlt ein regulatorischer Nachweis? Und steht etwas im Text, das nicht hinausgehen darf? Das Ergebnis ist erlauben, blockieren oder einem Menschen vorlegen. ### Warum ein Produkt für Protokoll und Aufsicht — und nicht zwei? Weil es dieselbe Zeile ist. Wer protokolliert, meldet eine Entscheidung; wer beaufsichtigt, meldet dieselbe Entscheidung und bekommt zusätzlich ein Urteil. Zwei getrennte Werkzeuge hätten zwei Anbindungen, zwei Protokolle und zwei Rechnungen bedeutet — und am Ende die Frage, welches der beiden im Audit gilt. Es ist eine Anbindung, ein Protokoll, ein Nachweis-Archiv. Nach oben wächst der Umfang, nicht die Zahl der Systeme. ### Was heißt Protokoll-Modus — und was kostet er? Im Protokoll-Modus bewertet und protokolliert AgentGuard jede Aktion, blockiert aber nichts. Ihr seht in der Live-Konsole genau, wo AgentGuard eingegriffen hätte — ohne jedes Risiko im laufenden Betrieb. So könnt ihr eure Agenten erst beobachten und die Regeln kalibrieren, und dann pro Agent und pro Prüfung auf echtes Blockieren umschalten. Der Protokoll-Modus beginnt bei 49 € im Monat, mit Aufsicht bei 99 € im Monat, jeweils ohne Setup-Gebühr. ### Ab wann gilt die Protokollierungspflicht? Hier werden zwei Fristen oft verwechselt. Seit dem 2. August 2026 gelten die Transparenzpflichten aus Artikel 50, vor allem für Anbieter, für Betreiber etwa bei Deepfakes. Die Pflichten für Hochrisiko-KI-Systeme — dazu zählen unter anderem Recruiting, Kreditscoring und Bildung — hat der Digital Omnibus dagegen auf den 2. Dezember 2027 verschoben (Anhang III; für Anhang I auf den 2. August 2028). Dazu gehören die automatische Aufzeichnung je Entscheidung (Artikel 12), eine Aufbewahrung von mindestens sechs Monaten (Artikel 19) sowie menschliche Aufsicht und Dokumentation. AgentGuard deckt den technischen Teil davon ab: das Aufzeichnen, das Aufbewahren und den Nachweis. AgentGuard löscht von sich aus nichts, die Frist ist damit auch nach oben offen. ### Wie stellt AgentGuard sicher, dass das Protokoll nicht manipuliert wurde? Jeder Eintrag wird gehasht und trägt den Hash des vorherigen Eintrags — eine Kette. Wird ein Eintrag nachträglich geändert, gelöscht oder umsortiert, bricht die Kette an genau dieser Stelle. Zusätzlich wird jede Zeile mit einem Schlüssel signiert, der nicht im Anwendungscode liegt. Ein Klick auf „Integrität prüfen“ rechnet die Kette nach und sagt, ob sie unversehrt ist und an welcher Stelle nicht. Wir haben das an der laufenden Kette gemessen, nicht nur im Test: über zwei Millionen Zeilen, lückenlos. ### Werden dabei personenbezogene Daten gespeichert? Standardmäßig nein. Protokolliert werden Hashes und Referenzen — etwa eine Vorgangs-ID und ein Fingerabdruck der Eingabe —, nicht der Klartext von Ein- oder Ausgabe. Auch der Text, den die Inhaltsprüfung ansieht, wird im Arbeitsspeicher geprüft und danach verworfen; im Protokoll steht nur, welche Art von Fund es gab. Klartext lässt sich pro Mandant aktivieren, dann verschlüsselt und mit Lösch-Weg. ### Wer haftet, wenn ein KI-Agent einen Fehler macht? Haften tut immer euer Unternehmen, nicht der Agent und nicht das Modell dahinter. Genau deshalb verlangt die KI-Verordnung (Verordnung (EU) 2024/1689) in Artikel 14, dass natürliche Personen ein System während des Einsatzes wirksam beaufsichtigen können — und das heißt eingreifen können, bevor etwas passiert, nicht hinterher ein Protokoll lesen. AgentGuard macht daraus einen Arbeitsschritt: folgenreiche Aktionen warten auf eine Freigabe, und wer sie erteilt hat, steht mit Namen und Zeitpunkt im Protokoll. Ob euer konkreter Einsatz unter die Hochrisiko-Regeln fällt, klären wir im KI-Audit. ### Was prüft AgentGuard am Inhalt — und was passiert damit? Bevor ein Agent einen Text verschickt oder speichert, sieht AgentGuard hinein. Findet sich ein Zugangsschlüssel oder ein Passwort darin, wird die Aktion gestoppt: das gehört nie nach draußen. Findet sich eine Kontonummer oder eine Kartennummer, entscheidet ein Mensch — dafür gibt es legitime Fälle, etwa eine Rechnung. Was ein Fund auslöst, ist eine Regel, die ihr ändern könnt, ohne auf ein neues Release zu warten. ### Was bekommen wir für eine Prüfung oder ein Audit? Im Dashboard stuft ihr eure KI-Systeme nach Annex III ein und bekommt daraus einen Bericht, den ihr ausdrucken oder als PDF sichern könnt. Dazu kommt das Nachweis-Archiv: ihr wählt einen Zeitraum und ladet ihn herunter — jede protokollierte Entscheidung, jede vorgelegte Aktion mit dem Ergebnis, jede Freigabe mit Person, Zeitpunkt und Notiz, die Mandate eurer Agenten, die geltenden Regeln und das Ergebnis der Signaturprüfung. Klar gesagt: das Archiv belegt, was aufgezeichnet wurde. Ob euer Einsatz die Anforderungen erfüllt, beurteilt am Ende ein Mensch — er hat dann aber die Unterlagen dafür, statt sie mühsam zusammensuchen zu müssen. Die finale Einstufung eines Systems als Hochrisiko sollte euer Datenschutzbeauftragter oder eine Fachkanzlei bestätigen. ### Wie binden wir AgentGuard an unsere bestehenden Systeme an? Für n8n gibt es einen fertigen Baustein, den ihr in den Workflow zieht. Für eigene Anwendungen gibt es Bibliotheken für Python und TypeScript, beide ohne weitere Abhängigkeiten. KI-Assistenten binden sich über MCP an. Für Claude Code gibt es für AgentGuard-Kunden ein kostenloses Plugin als Anschluss, das vor jedem Shell-Befehl, jedem Schreiben einer Datei und jedem Webabruf fragt: \`/plugin marketplace add bassprofressor-lab/krynex-plugins\`, dann \`/plugin install agentguard@krynex-plugins\`. Es startet im Protokoll-Modus; im Aufsichts-Modus fragt es einen Menschen, sobald AgentGuard nicht antwortet. Wer nur protokollieren will, kann auch direkt an die Schnittstelle melden. Jede Anbindung bekommt einen eigenen Schlüssel mit eigenen Rechten, der jederzeit sperrbar ist — und im Protokoll steht bei jeder Zeile, welcher Schlüssel sie gemeldet hat. ### Für welche Agenten und Branchen eignet sich AgentGuard? AgentGuard ist bewusst domänen-agnostisch. Es protokolliert und governt Beschaffungs-, Support-, DevOps-, Trading- und Treasury-Agenten genauso wie Bank-Überweisungen (SEPA), Token-Transaktionen, SaaS-/API-Integrationen und E-Commerce-Aktionen. Weil es als eigenständiger Dienst vor dem Agenten sitzt, lassen sich auch fremde bzw. eingekaufte Agenten absichern. ### Wie hängt AgentGuard mit der Pilot Suite zusammen? Die Pilot Suite ist unser ERP, in dem KI-Agenten tatsächlich arbeiten — dort läuft AgentGuard produktiv vor unseren eigenen Agenten: die meisten im Protokoll-Modus, der Agent, der Kunden anlegt und Angebote schreibt, scharf geschaltet. AgentGuard gibt es standalone oder als Teil der Pilot Suite; das Protokoll und das Nachweis-Archiv sind in beiden Fällen dieselben.