Kein Prüfkatalog für KI-Agenten — woran sich Unternehmen stattdessen halten

„Können wir unseren KI-Agenten zertifizieren lassen?“ ist die Frage, die in Gesprächen über Agenten am häufigsten fällt — meist nicht aus Vorsicht, sondern weil der Einkauf, ein Auftraggeber oder die eigene Revision einen Nachweis verlangt. Die ehrliche Antwort im Oktober 2026 lautet: nein. Einen verbindlichen Prüfkatalog für LLM-basierte agentische KI gibt es nicht.

Interessanter als dieses Nein ist, was daraus folgt. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat die Erarbeitung genau solcher Prüfanforderungen erst ausgeschrieben — Projekt PRAKI, Angebotsfrist 21. September 2026, Laufzeit 18 Monate. Ein fehlender Katalog entlastet nicht, er verlagert: Wer auf kein Zertifikat zeigen kann, muss die eigene Prüfung vorweisen. Diese Dokumentation ist das, was im Haftungsfall und gegenüber Auftraggebern zählt.

Auf einen Blick

• Was gilt: Kein verbindlicher Prüfkatalog für agentische KI. PRAKI ist ausgeschrieben (Angebotsfrist 21.09.2026, 18 Monate Laufzeit), der Zuschlag nicht veröffentlicht. Bei NIST läuft Vorarbeit seit Februar 2026 — ohne finalen Standard.
• Was folgt: Belastbar ist die OWASP Top 10 for Agentic Applications 2026 — Praktiker-Referenz ohne Siegelwirkung, aber mit brauchbarer Risikogliederung.
• Der Haken: Die Pflichten der KI-Verordnung hängen nicht am Katalog. Ohne Zertifikat wird die eigene, datierte Prüfung zum Nachweis — oder es gibt keinen.

Was es gibt und was nicht

Vier Vorhaben werden hier regelmäßig genannt. Nach Verbindlichkeit sortiert, löst sich das Missverständnis auf:

Zwei Punkte bleiben offen, und das bleiben sie hier auch. Der Zuschlag für PRAKI: mehrfach berichtet, eine Primärveröffentlichung des BSI zum Vergabeergebnis liegt mir nicht vor — ohne bekannten Projektbeginn ist die Laufzeit kein Datum, sondern eine Dauer. Der NIST-Stand: Initiative und Konzeptpapier sind Prozess, nicht Ergebnis; ein finaler Standard existiert nicht. Eine einschlägige ENISA-Veröffentlichung zu Agenten ließ sich für den Betrachtungszeitraum nicht finden.

Die Lücke ist kein Freibrief

Dass ein technischer Prüfkatalog fehlt, wird gern gelesen, als sei die Rechtslage noch nicht da. Sie ist da: Die Pflichten der KI-Verordnung knüpfen an Rolle und Einsatzzweck eines Systems an, nicht an die Existenz eines Katalogs.

Der Gesetzgeber hat das Verhältnis beider Ebenen sogar vorgeführt. Die Verordnung (EU) 2026/1744, der sogenannte Digital Omnibus, ist am 27. Juli 2026 in Kraft getreten und hat die Hochrisiko-Pflichten verschoben: Anhang III auf den 2. Dezember 2027, Anhang I auf den 2. August 2028. Begründet wurde das ausdrücklich mit der Verzögerung bei den harmonisierten Normen. Verschoben wurden damit Fristen, keine Pflichten — und was nicht verschoben wurde, gilt: Die Transparenzpflichten aus Art. 50 sind seit dem 2. August 2026 anwendbar.

Wie konkret die Bedrohungslage dabei ist, ist eine andere Frage als die nach dem Standard — die Zahlen stehen in meinem Beitrag zur KI-Sicherheitsstudie 2026 von BSI und TÜV-Verband.

Ein Eigenprüfungsgerüst, das trägt

Fehlt ein Katalog, braucht es eine eigene Gliederung — selbst erfunden ist sie angreifbar. Die OWASP Top 10 for Agentic Applications 2026 benennt unter anderem Agent Goal Hijacking, Tool Misuse, Identity/Privilege Abuse und Supply Chain. Jede der vier gibt eine Prüffrage und einen Protokolleintrag her:

Drei Kategorien lassen sich mit datierten Vorgängen unterlegen. Palo Alto Unit 42 berichtet für Oktober 2026 von indirekter Prompt Injection gegen Browser-Agenten in der Praxis (Herstellerforschung, Datierung der Seite unklar): Ein Agent, der Webseiten liest, liest auch Anweisungen, die dort für ihn hinterlegt wurden. Für das GitLab AI Gateway wurde am 2. Oktober 2026 CVE-2026-90970 bekannt — Ausbruch aus der Prompt-Template-Sandbox über eine Flow-Konfiguration, Patch am selben Tag; gelesen über eine Sammelübersicht, nicht im Advisory. Und im Februar 2026 verteilte die Kampagne SANDWORM_MODE 19 npm-Pakete, die bösartige MCP-Server nachinstallierten und Konfigurationen von Claude Code, Cursor und Windsurf auslasen; ignore-scripts=true blockt diese Lifecycle-Hooks.

Für Identity/Privilege Abuse liegt mir kein gegenverifizierter Vorfall vor — die Kategorie bleibt trotzdem: Ein Satz in der Systemanweisung ist keine Zugriffskontrolle.

Drei Einwände, die dazugehören

Erstens: Eine Checkliste ohne Siegelwirkung ist kein Prüfkatalog. OWASP ist eine Community-Referenz, nicht akkreditiert und von keiner Stelle auditiert. Wer sie abarbeitet, hat ein belegtes Vorgehen, kein Testat — viel wert, solange man es nicht als Zertifikat verkauft.

Zweitens: Auf PRAKI zu warten ist kein Plan. Zuschlag nicht veröffentlicht, Projektbeginn unbekannt, Laufzeit eine Dauer ohne Startpunkt. Selbst ein fertiges Ergebnis wäre zunächst ein Dokument mit Prüfanforderungen; bis zu einem zertifizierbaren Schema fehlt dann noch ein Schritt. Agenten, die heute Rechnungen prüfen oder Mandantenpost lesen, laufen in der Zwischenzeit weiter.

Drittens: Die eigene Prüfung ist nur so viel wert wie ihr Protokoll. Was nicht datiert, versioniert und nachvollziehbar ist, lässt sich im Streit nicht vorzeigen — dieselbe Disziplin wie bei der Messung von KI-Qualität.

Die Lücke in der Reihe bleibt eine Lücke. Was sie überbrückt, ist dünner als der Rest — und das Einzige, was Sie im Zweifel selbst vorzeigen können.

Was das für Ihr Unternehmen heißt

Trennen Sie Governance von Prüfung. Welche Regeln gelten, wer freigibt und wie weit Autonomie reicht, steht in meinem Leitfaden zu KI-Agenten im Unternehmen. Hier geht es um die Ebene darunter: den Nachweis, dass Sie das Geregelte auch geprüft haben. Eine Richtlinie ohne Prüfprotokoll belegt eine Absicht, kein Ergebnis.

Dokumentieren Sie vor dem Vorfall, nicht danach. Wer für die Handlungen eines Agenten einsteht, braucht die Vorsorge im Zeitstempel davor — warum das kein formaler Punkt ist, steht bei Agenten mit Computerzugriff.

Machen Sie die Prüfung wiederholbar. Vier Kategorien, vier Prüffragen, vier Protokolleinträge, ein Datum, eine Version: Das passt auf zwei Seiten und läuft nach jeder Modell- oder Werkzeugänderung erneut durch. Dieselben zwei Seiten sind die Antwort auf die Zertifikatsfrage — nicht das Zertifikat, aber mehr, als die meisten vorzeigen können.

Fazit

Die Lage im Oktober 2026 ist unbequemer als ein Zertifikat und ehrlicher als sein Versprechen. Es gibt keinen Prüfkatalog für agentische KI; das BSI hat die Arbeit daran ausgeschrieben, bei NIST läuft Vorarbeit, und was in der Zwischenzeit trägt, ist eine Community-Liste ohne Siegelwirkung. Das Fehlen des Katalogs nimmt niemandem eine Pflicht ab — es nimmt nur die Möglichkeit, sie an einen Dritten abzugeben.

Wenn Sie wissen wollen, wie ein solches Prüfprotokoll für Ihren Agenten aussieht und welche der vier Kategorien bei Ihnen die kritische ist, sprechen wir darüber. Ich beurteile die Pflichtenlage als Wirtschaftsjurist und baue die Agenten selbst.

FAQ

Kann ich einen KI-Agenten im Oktober 2026 zertifizieren lassen?

Nein. Für LLM-basierte agentische KI existiert kein verbindlicher Prüfkatalog. Das BSI hat die Erarbeitung solcher Prüfanforderungen als Projekt PRAKI erst ausgeschrieben: Angebotsfrist 21. September 2026, Laufzeit 18 Monate, Zuschlag nicht veröffentlicht. Vorlegen können Sie derzeit nur die eigene, dokumentierte Prüfung.

Was ist das BSI-Projekt PRAKI und wann liegt ein Ergebnis vor?

PRAKI ist eine Ausschreibung des BSI zu Prüfanforderungen für LLM-basierte agentische künstliche Intelligenz. Bekannt sind die Angebotsfrist 21. September 2026 und 18 Monate Laufzeit. Ein Termin lässt sich nicht nennen, weil der Zuschlag nicht veröffentlicht ist — und Prüfanforderungen wären noch kein Zertifizierungsschema.

Reicht die OWASP Top 10 for Agentic Applications 2026 als Nachweis?

Als Zertifikat nicht, als Gerüst sehr wohl. Die Liste ist die maßgebliche Praktiker-Referenz für Agenten-Risiken und benennt unter anderem Agent Goal Hijacking, Tool Misuse, Identity/Privilege Abuse und Supply Chain. Zertifizierungswirkung hat sie nicht: Wer sie abarbeitet, hat kein Testat, sondern einen belegten Sorgfaltsnachweis.

Entfallen Pflichten, solange es keinen Prüfkatalog gibt?

Nein. Die Pflichten der KI-Verordnung knüpfen an Rolle und Einsatzzweck des Systems an, nicht an einen technischen Prüfkatalog. Der Digital Omnibus hat die Hochrisiko-Fristen wegen verzögerter harmonisierter Normen verschoben, auf den 2. Dezember 2027 für Anhang III und den 2. August 2028 für Anhang I. Verschoben wurden Fristen, nicht Pflichten.

---

Quellen — Stand 16.10.2026

• BSI-Projekt PRAKI, Ausschreibung (Sekundärberichte) — https://www.paperclipped.de/de/blog/bsi-ki-agenten-angriffsflaeche-warnung/ · https://it-dock.de/blog/news/bsi-ki-agenten-sicherheit/
• OWASP Top 10 for Agentic Applications 2026 (Übersicht) — https://elevateconsult.com/insights/agentic-ai-security-solutions-owasp-2026-guide/
• NIST, AI Agent Standards Initiative (CAISI) und NCCoE-Konzeptpapier — https://labs.cloudsecurityalliance.org/research/csa-research-note-nist-ai-agent-standards-initiative-complia/
• Palo Alto Unit 42, indirekte Prompt Injection gegen Browser-Agenten — https://unit42.paloaltonetworks.com/ai-agent-prompt-injection/
• CVE-2026-90970, GitLab AI Gateway (über Sammelübersicht) — https://github.com/webpro255/awesome-ai-agent-attacks
• npm-Kampagne Februar 2026 — https://thehackernews.com/2026/02/malicious-npm-packages-harvest-crypto.html · MCP-Lieferkette — https://lorikeetsecurity.com/blog/mcp-supply-chain-attacks-ai-agent-security
• Verordnung (EU) 2026/1744 (Digital Omnibus), Fristen — https://www.actuia.com/en/news/ai-act-obligations-in-force-and-delays-under-omnibus-2026-1744/
• Bundesnetzagentur, Transparenzpflichten Art. 50 — https://www.bundesnetzagentur.de/DE/Fachthemen/Digitales/KI/4_Transparenzpflichten/Leitlinien/start.html

Dieser Beitrag ist allgemeine Information und keine Rechtsberatung im Einzelfall. Stand 16. Oktober 2026; der Standardisierungsstand ändert sich schnell — prüfen Sie vor einer Zusage gegenüber Auftraggebern den aktuellen Stand.