Ein gemeinsamer Assistent, hundert Mandanten: der Fehler, den Ihre Kunden nie verzeihen
27. September 2026
Das Feature, das gleichzeitig Ihr größtes neues Risiko ist
Einen KI-Assistenten in ein Multi-Mandanten-Produkt einzubetten, ist gerade eines der Dinge mit dem größten Hebel, die eine SaaS-Plattform ausliefern kann — echte Differenzierung, ein echter Grund für Interessenten, sich für Sie statt für einen Wettbewerber zu entscheiden, der noch statische Dashboards ausliefert. Es ist gleichzeitig, ohne dass das jemand bewusst entschieden hätte, eine der größten neuen Risikoquellen, die die Plattform je eingegangen ist — bis Sie die eine Frage stellen, die wirklich zählt: Was verhindert strukturell, dass dieser Assistent eine Mandantengrenze überschreitet, die er nie hätte überschreiten dürfen?
Nicht „wie wahrscheinlich ist das." Nicht „wir haben es getestet, und es scheint in Ordnung zu sein." Nicht einmal „das Modell verhält sich in unseren Evaluierungen gut." Was tatsächlich, strukturell verhindert, dass die Agenten-Sitzung von Kunde A die Daten von Kunde B berührt, selbst bei einem wirklich ungewöhnlichen Prompt, einer verketteten Anfrage, die niemand vorhergesehen hat, oder einem Randfall, der im Testen einfach nie auftauchte, weil Tests unmöglich jeden Prompt aufzählen können, den ein echter Kunde irgendwann eintippen wird?
Wenn die ehrliche Antwort „wir verlassen uns darauf, dass sich das Modell gut verhält" lautet statt „es gibt eine harte Grenze, die es unmöglich macht, unabhängig davon, was das Modell entscheidet", ist das keine Governance-Nuance, die man später nachholen kann. Das ist der eine Vorfall, der das Kundenvertrauen in Ihre Plattform an dem Tag beendet, an dem er passiert — und in einem Multi-Mandanten-Produkt muss er nur einmal, bei einem Kunden, passieren, um zur Geschichte zu werden, die alle über Sie erzählen, einschließlich der Interessenten, die ihn nie selbst erlebt haben.
Warum das beängstigender ist als ein normaler Software-Bug
Ein normaler mandantenübergreifender Bug ist schon schlimm genug — ein Datenleck, eine falsch konfigurierte Abfrage, ein Berechtigungsfehler. Eine mandantenübergreifende KI-Aktion ist schlimmer, weil das gesamte Versprechen des Assistenten „er handelt intelligent in Ihrem Namen" lautete — was bedeutet, dass es sich für den Kunden, der es entdeckt, nicht wie eine Panne anfühlt, wenn er eine Grenze überschreitet. Es fühlt sich an, als hätte Ihr Produkt sich entschieden, Daten anzufassen, die es nichts angingen. Das ist eine grundlegend schwerer erzählbare Geschichte gegenüber dem Sicherheitsteam eines Enterprise-Kunden im Nachhinein, denn „unser System hat autonom eine Entscheidung getroffen, die sich als falsch herausstellte" ist genau der Satz, auf den KI-skeptische Sicherheitsprüferinnen und -prüfer lauschen — und um es direkt zu sagen: Keine verantwortungsvolle Plattform sollte überhaupt wollen, dass ihr Assistent autonom irgendetwas Folgenreiches entscheidet. Der Assistent soll vorschlagen; eine strukturelle Grenze, nicht das Urteilsvermögen des Modells, soll tatsächlich verhindern, dass er über Mandanten hinweg greift.
Wie eine echte Grenze aussieht
Die Lösung ist kein klügerer Prompt und kein sorgfältiger abgestimmtes Modell — das war sie auch nie. Es ist eine Richtlinienebene, die jede Aktion auf den Mandanten beschränkt, für den sie läuft, als strukturelle Beschränkung, die die Anfrage des Agenten durchlaufen muss, bevor sie ausgeführt werden kann — keine Konvention, die der Agent von sich aus respektieren soll, so gut er auch instruiert wurde. Der Zugriff auf Daten oder Aktionen eines anderen Mandanten ist bei diesem Design nicht „unwahrscheinlich." Es ist überhaupt kein existierender Codepfad, was bedeutet, dass es für einen ungewöhnlichen Prompt nichts zu entdecken gibt.
Dieser Unterschied — „dem Modell wurde gesagt, es soll das nicht tun" gegenüber „das System macht es unmöglich" — ist der gesamte Unterschied zwischen einer Plattform, die Sie sicherheitsbewussten Enterprise-Kunden mit gutem Gewissen verkaufen können, und einer, bei der Sie still hoffen, dass niemand sie zu hart stresstestet. Es ist außerdem, nicht nebenbei, der Unterschied zwischen einem KI-Feature, das vorsichtig vorgehen muss, und einem, das weiterhin schnell neue Fähigkeiten ausliefern kann — weil die entscheidende Grenze bereits trägt und nicht jedes Mal neu verhandelt werden muss, wenn der Assistent ein neues Tool erhält.
Der Vorteil, wenn man es richtig macht
Plattformen, die klar und beweisbar sagen können „jede Agenten-Aktion ist strukturell durchgesetzt auf genau einen Mandanten beschränkt, mit einer überprüfbaren Aufzeichnung jeder folgenreichen Aktion", machen aus ihrem KI-Assistenten vom Haftungsrisiko in einer Sicherheitsprüfung ein Verkaufsargument — und verwandeln die Frage „wie schnell können wir die nächste KI-Fähigkeit ausliefern" von einer durch Risiko belasteten Frage in eine, die ehrlich mit „so schnell, wie es die Roadmap erlaubt" beantwortet werden kann, weil die Grenze, die Geschwindigkeit gefährlich gemacht hätte, bereits steht. Das ist ein grundlegend anderes Gespräch mit dem Sicherheitsteam eines Enterprise-Käufers — eines, das Sie führen wollen, und eines, das es Ihrem Produkt erlaubt, im Tempo des Marktes zu bleiben, ohne dass jemand still die Daumen drückt.
Wenn Sie noch nicht auf eine strukturelle, beweisbare Grenze zwischen den Agenten-Aktionen Ihrer Mandanten verweisen können, ist genau das, was David Gate bereitstellt. Führen Sie uns durch, wie Ihr Assistent seinen Zugriff aktuell abgrenzt, und sehen wir uns an, wo die tatsächliche Grenze verlaufen muss.
