Lesen Sie das Handbuch, nicht die Ankündigung

[excited] Frank, ich habe uns einen neuen Kollegen mitgebracht. Er schläft nicht, er wird nicht krank, er meldet sich in Ihren Programmen an und arbeitet Aufträge zu Ende, während Sie im Termin sitzen. Und sag jetzt nicht, was du gleich sagen willst.

Dass ich das Handbuch gelesen habe.

[chuckles] Genau das. Deshalb mache ich es heute anders. Ich übernehme die Verteidigung dieses Produkts und trage die stärksten Argumente vor, die es dafür gibt. Jemand muss es tun, sonst ist es kein Gespräch.

Einverstanden. Ich bringe nur eine Sache mit ans Feuer: vierzehn Seiten Dokumentation. Nicht die Ankündigung. Das Handbuch. Mal sehen, wie weit dein Mandat trägt.

Dann eröffne ich. Erstes Argument: Jeder dieser Bots bekommt einen eigenen Computer in der Cloud. Eigener Schreibtisch, eigener Schlüssel, eigener Schrank. Sauber getrennt.

Steht das in der Ankündigung oder im Handbuch?

In der Ankündigung.

Im Handbuch steht der Satz, der dein erstes Argument beerdigt. Wörtlich: Alle Ihre Bots benutzen denselben dauerhaften Computer. Sie teilen sich Dateien, Browsersitzungen und Anmeldungen. Ein Computer. Ein Schlüsselbund. Für alle.

Dann teilen sie sich eben eine Wohnung. Zweites Argument: der Preis. Zweihundert bis dreihundert Dollar im Monat je Platz. Rechne das gegen ein Gehalt mit Lohnnebenkosten. Das ist keine Investition, das ist Portokasse.

Solange nichts passiert, stimmt deine Rechnung. Sie kippt an dem Tag, an dem niemand mehr sagen kann, wer im Zahlungssystem was angestoßen hat. Aber dazu kommen wir gleich. Erst das Umfeld.

Das Umfeld spricht für mich. Der Digitalverband Bitkom hat zu Jahresbeginn sechshundertvier Unternehmen ab zwanzig Beschäftigten befragt, Kalenderwoche zwei bis sechs. Einundvierzig Prozent setzen künstliche Intelligenz ein. Im Jahr davor: siebzehn. Wer jetzt nicht einsteigt, schaut bald nur noch zu.

Den Erhebungszeitraum hast du mit Absicht dazugesagt.

Es gibt eine zweite Bitkom-Befragung mit derselben Stichprobengröße und einer anderen Zahl, aus dem Sommer davor. Wer die verwechselt, sendet die falsche Zahl mit der richtigen Quelle. Auch als Verteidigerin zitiere ich sauber.

Dann ergänze ich genauso sauber. SAP hat mit Oxford Economics zweitausendsechshundert Führungskräfte befragt, in dreizehn Ländern, Deutschland darunter, ohne eigene Länderauswertung. Dreiundachtzig Prozent sehen in agentischer künstlicher Intelligenz großes Potenzial. Das ist dein Markt, der daran glaubt. Und aus derselben Befragung: Drei Prozent fühlen sich vollständig vorbereitet.

Dreiundachtzig zu drei.

Und die dritte Zahl ist die konkreteste. Achtunddreißig Prozent haben für solche Abläufe keinen Menschen vorgesehen. Nicht zu wenige. Nicht die falschen. Keinen.

Einspruch, das Argument kenne ich. Automatisierung gibt es seit Jahrzehnten, der Mittelstand lebt davon. Nachts laufen überall Abläufe von allein. Was soll daran plötzlich gefährlich sein?

Zwei Dinge. Ein alter Ablauf tut, was jemand hineingeschrieben hat. Ein Agent entscheidet selbst, was als Nächstes kommt.

Mein Mandant nennt das Eigenständigkeit.

Und das zweite: Er liest den ganzen Tag fremde Inhalte. Mails, Webseiten, Dokumente. Dein Nachtlauf in der Buchhaltung liest keine fremde Post. Dein neuer Kollege tut den ganzen Tag nichts anderes.

Fremde Post liest meine Assistenz am Empfang auch. Den ganzen Tag.

Und sie weiß, dass Post lügen kann. Sie erkennt die merkwürdige Rechnung, den falschen Absender, die seltsame Bitte. Für einen Agenten ist eine Anweisung, die in einer Mail steckt, erst einmal Text wie jeder andere Text. Die Fachwelt nennt das untergeschobene Anweisungen, und es ist das bekannteste Sicherheitsproblem dieser Systeme. Merk dir den Begriff.

[curious] Warum soll ich ihn mir merken?

Weil ich genau danach gesucht habe. Vierzehn Seiten Handbuch, rund zwölftausendachthundert Wörter, sechzehn Begriffe. Untergeschobene Anweisungen. Angriff. Bedrohung. Betrug. Gestohlene Zugangsdaten. [short pause] Das Ergebnis ist eine Null.

[surprised] Moment. Kein Treffer? In vierzehn Seiten?

Kein einziger.

Dann war deine Suche kaputt. Eine Null ist erst einmal nur eine Behauptung.

Deshalb die Gegenprobe. Dieselbe Auswertung, andere Wörter. Freigabe: einundachtzig Treffer. Datenschutz: zweiundsechzig. Computer: zweihundertdrei. Sicherheit: fünfzig. Der Text wird also gelesen. Das Handbuch redet fünfzigmal über Sicherheit und kein einziges Mal über einen Angreifer.

Fünfzig zu null.

Sicherheit heißt dort: Freigaben erteilen, abmelden, Dateien löschen. Dass draußen jemand etwas will, was Sie nicht wollen, kommt in diesem Weltbild nicht vor.

Meine Verteidigung steht trotzdem. Wozu Angreifer zählen, wenn es Freigaben gibt? Der Bot fragt, bevor er etwas Wichtiges tut. So steht es im selben Handbuch.

Spielen wir es durch. Zwei Bots. Einer macht die Buchhaltung, einer sortiert Termine.

Klingt nach Arbeitsteilung. Gefällt mir.

Morgens meldet sich der Buchhaltungsbot im Zahlungssystem an. Gewollt, dafür ist er da. Die Sitzung bleibt offen, damit er weiterarbeiten kann. Nachmittags schickst du den Terminbot los. Er sitzt am selben Computer. Und findet die offene Tür zum Zahlungssystem.

Dann verbiete ich ihm die Tür. Engere Rechte für den Terminbot, Problem gelöst.

Dann lies mir bitte vor, was auf der Sicherheitsseite deines Mandanten steht. Der Satz mit der Grenze.

[short pause] Benutzen Sie einzelne Bots nicht als Sicherheitsgrenze. [sighs] Das schreibt er selbst. An seine eigenen Kunden.

Weil der Computer dem Konto gehört, nicht dem Bot. Ein Konto ist ein einziger Vertrauensraum. Wer drin ist, ist drin. Das ist kein Fehler und kein Angriff. Das ist das dokumentierte Verhalten, und der Hersteller nennt sogar den Grund: Die Bots sollen einander Arbeit übergeben können, ohne sich neu anzumelden.

Bleibt die Freigabe. Da klingelt es doch, bevor Geld fließt.

Auch da ist dein Mandant ehrlich. Eine Freigabe steuert die vorgeschlagene Handlung. Sie macht erledigte Arbeit nicht rückgängig. Du wirst gefragt, bevor die Mail rausgeht. Nicht, bevor die Tabelle geändert oder die Notiz im Kundensystem gespeichert wurde.

Dann fahre ich die Verteidigung eben kleiner. Ein einziger Bot. Nur Lesen und Entwürfe. Alles Kritische hinter einer Freigabe.

Jetzt zitierst du die beste Stelle des Handbuchs. Genau das empfiehlt dein Mandant selbst: nur die nötigen Programme verbinden, mit Lesen und Entwürfen anfangen, alles was sendet, kauft oder löscht hinter eine Freigabe stellen. So ehrlich ist er. Es steht nur nicht in der Anzeige.

Dann ziehe ich mein letztes Register, und es ist mein bestes. Dieses Produkt löst ein Problem, das jeder am Feuer kennt: Die Hälfte der Programme im Haus hat keine Schnittstelle. Lieferantenportal, Fachverfahren, Kassensystem. Alles Handarbeit, seit Jahren. Mein Mandant bedient die Oberfläche wie ein Mensch. Er braucht nur einen Browser.

Das ist tatsächlich neu, und es ist ernst zu nehmen. Es ist das erste Argument des Abends, das ich dir lasse.

Dann notiere ich einen Punktgewinn für die Verteidigung.

Notier daneben, woran der Punkt in der Praxis scheitert. Ich sehe in Mandaten seit Jahren dieselbe Reihenfolge: Erst wird gekauft, dann angeschlossen, und erst wenn etwas schiefgeht, fragt jemand nach den Bedingungen. Dabei standen die Bedingungen von Anfang an da. Öffentlich, kostenlos, vierzehn Seiten.

Für Sie am Feuer heißt das: Der teuerste Satz dieses Jahres könnte einer sein, den Sie nie gelesen haben.

So ist es. Und weil du vorhin die Portokasse bemüht hast: In der Ankündigung deines Mandanten steht auch ein Testwert, den niemand zitiert.

Welcher?

Aufgaben auf der Kommandozeile. Lange technische Arbeit, genau das, was man abgeben will: sechsundzwanzig von hundert. Daneben stehen Werte um siebzig. Wer stundenlang delegieren will, sollte beide Zahlen kennen. Nicht nur die schöne.

Sechsundzwanzig. [exhales] Und mein Mandant nennt sich selbst eine frühe Testfassung. Für Europa gibt es keine Freigabe, verarbeitet wird in amerikanischen Rechenzentren, für Kundendaten ist das eine eigene Prüfung. [short pause] Die Verteidigung gibt das Mandat zurück.

Bevor du es zurückgibst: Zwei deiner Argumente haben gehalten. Das Schnittstellen-Problem ist echt. Und dein Mandant schreibt ehrlicher auf als die meisten, was sein Produkt tut. Verloren hast du an einer anderen Stelle. Verkauft wird ein Kollege. Geliefert wird ein Werkzeug mit einem einzigen Schlüsselbund.

Und niemand liest das Handbuch, weil auf der Verpackung schon steht, was man hören wollte.

[thoughtful] Vergangene Woche ging es darum, dass Menschen Führung übernehmen sollen, ohne dass jemand sagt, unter welchen Bedingungen. Heute soll Software handeln, ohne dass jemand sagt, wer sie beaufsichtigt. Es ist dieselbe Frage. Wer Menschen führt, führt erst sich selbst. Wer Maschinen handeln lässt, muss wissen, was er selbst noch verantwortet.

Dann mach es konkret. Drei Schritte für diese Woche, ohne Budget.

Erstens: Öffnen Sie vor dem Kauf die Seite, die Sicherheit und Datenschutz heißt, und suchen Sie das Wort Angriff. Eine halbe Stunde, noch heute. Finden Sie es nicht, ist das Ihre Antwort. Sie kaufen dann kein schlechtes Produkt. Aber Sie kaufen eines, das Ihre wichtigste Frage nicht beantwortet, und dann müssen Sie sie selbst beantworten.

Zweitens?

Ein Zugang je Zweck, nicht ein Zugang für alles. Wenn die Trennung im Produkt fehlt, bauen Sie sie außen: getrennte Konten, getrennte Anmeldungen. Der erste Handgriff: Fragen Sie heute Ihren Administrator, welche Konten so ein Werkzeug bei Ihnen bekäme. Die Antwort sagt Ihnen mehr als jede Broschüre.

Und drittens?

Schreiben Sie auf, an welcher Stelle der Mensch steht. Nicht ob. Wo. Achtunddreißig Prozent haben diese Stelle nicht. Dieses leere Feld füllt niemand aus, wenn Sie es nicht tun.

Halten wir fest: Der Anbieter hat alles aufgeschrieben. Nur nicht auf der Seite, die alle lesen. Die Verteidigung hat verloren, und ich sage Ihnen ehrlich: zu Recht.

Ich habe diese Woche nichts aufgedeckt. Ich habe ein öffentliches Handbuch gelesen und Wörter gezählt. Eine halbe Stunde Arbeit. Die Ankündigung ist dafür da, dass Sie kaufen. Das Handbuch ist dafür da, dass Sie wissen, was Sie gekauft haben. Beide sind öffentlich. Und nur eines davon wird gelesen.