Agenten ohne Entwicklungsteam

Worum es geht

Wenn in einem Betrieb ohne IT-Abteilung von KI-Agenten die Rede ist, meinen die Beteiligten selten dasselbe. Die Fachdebatte dreht sich um gebaute Systeme: n8n-Abläufe, Frameworks, MCP-Server. Was in diesen Betrieben tatsächlich ankommt, ist eine andere Klasse von Werkzeugen – Oberflächen, die auf dem eigenen Rechner Ordner durchsehen, im Browser Formulare ausfüllen oder in Microsoft 365 Dokumente zusammenstellen. Ohne Installation, ohne Terminal, ohne Projekt.

Anthropic gibt an, dass im Juli 2026 über 90 Prozent der Cowork-Nutzung nicht auf Softwareentwicklung entfiel, sondern auf Büro- und Inhaltsarbeit. Das ist eine Anbieterangabe, aber sie passt zur Beobachtung: Diese Werkzeuge werden gerade von Menschen benutzt, die nie vorhatten, etwas zu bauen.

Diese Seite ordnet die vier Werkzeuge ein, die dafür in Frage kommen, und sagt, wo ihre Grenze verläuft. Die vorgelagerte Frage – Workflow oder Agent – steht in KI-Automatisierung & Agenten.

Die vier Werkzeuge

Claude Cowork ist seit dem 16. September 2026 keine eigene App mehr: Anthropic hat Cowork und Chat zusammengeführt, die Cowork-Fähigkeiten stehen seither in jeder Claude-Unterhaltung bereit. Enthalten ist das in allen Bezahlplänen; die Pläne unterscheiden sich in der Nutzungsmenge, nicht im Funktionsumfang. Es ist dieselbe Modell-Engine wie in Claude Code, aber ohne Terminal: Der Arbeitsgegenstand sind Dokumente, Tabellen, Ordner und verbundene Anwendungen, das Ergebnis ist ein fertiges Dokument oder eine ausgeführte Aktion. Für lokale Ordner muss die Desktop-App laufen. Wiederkehrende Aufgaben lassen sich zeitgesteuert einplanen.

Claude in Chrome ist seit dem 1. Juli 2026 allgemein verfügbar und adressiert den Fall, für den es keine Schnittstelle gibt: eine Anwendung im Browser bedienen, aus der sich nichts exportieren lässt.

ChatGPT Work ist der Weg, auf den OpenAI seit August 2026 verweist. Der bisherige Agentenmodus ChatGPT Agent, selbst Nachfolger des eingestellten Operator, ist nicht mehr verfügbar; Browser-Abläufe laufen jetzt über den Cloud-Browser in ChatGPT. Für Häuser, in denen ChatGPT ohnehin läuft, bleibt das der Weg mit der geringsten Hürde – und der mit der schwächsten Datenschutzposition, siehe unten. Kontingente und Reifegrad des Nachfolgers sind hier noch nicht geprüft.

Copilot Studio ist ein Sonderfall, weil dort keine fertige Oberfläche bedient, sondern ein eigener Agent zusammengeklickt wird. Für interne Agenten fällt kein Aufpreis an, sie stecken in den Copilot-Lizenzen. Das ist relevant, weil Copilot laut Bitkom 2026 mit 47 Prozent das meistgenutzte KI-Werkzeug in deutschen Unternehmen ist (sekundär) – der Baukasten steht in vielen Häusern bereits ungenutzt bereit.

Welche Daten hineingehören

Hier trennen sich die vier deutlich, und die Trennlinie verläuft nicht dort, wo die Werbung sie zieht.

Cowork läuft ausschließlich gegen Anthropics US-Infrastruktur; ein offenes Issue im Anthropic-Repository fordert EU-Residenz, umgesetzt ist sie nicht. Damit gilt dieselbe Einschränkung wie für die Anthropic-API direkt. Dazu kommt der Vertrag: Pro und Max laufen unter Verbraucherbedingungen ohne Auftragsverarbeitungsvertrag. Ab Team ist der Vertrag automatisch Teil der Geschäftsbedingungen, die Übermittlung in die USA stützt sich auf Standardvertragsklauseln. Die Transfer-Folgenabschätzung dafür bleibt bei Dir: Normale personenbezogene Daten gehören nur hinein, wenn sie dokumentiert ist, Mandanten- oder Patientendaten gar nicht. Bei ChatGPT gibt es EU-Inferenz seit Januar 2026, aber nur für Enterprise-Verträge und nur in neu angelegten Workspaces – für ein KMU mit Business-Plan ist das keine Option. Copilot Studio liegt in der EU Data Boundary, mit zwei Ausnahmen, die in die Toolfreigabe gehören: „Flex Routing“ kann bei Lastspitzen in den USA, in Kanada oder Australien rechnen. In Tenants, die nach dem 25. März 2026 angelegt wurden, ist es ab Werk eingeschaltet; abgeschaltet wird es im Microsoft 365 Admin Center, die Einstellung für Copilot Studio im Power Platform Admin Center folgt ihr. Die eingebundenen Claude-Modelle liegen außerhalb der Boundary und sind in der EU standardmäßig aus; wer sie einschaltet, verlässt die Boundary für diese Anfragen.

Welche Route überhaupt welchen Nachweis trägt, steht in der Entscheidungskarte Wo rechnet mein Modell.

Ein zweiter Punkt, der bei diesen Werkzeugen schwerer wiegt als bei einem Chat: Sie greifen auf Ordner, Postfächer und Anwendungen zu. Die Prüfung verschiebt sich damit von der Frage, wo Daten verarbeitet werden, auf die Frage, worauf das Werkzeug überhaupt zugreifen darf. Eine allgemeine Freigabe für ein Sprachmodell deckt einen Agenten mit Dateizugriff nicht ab – das ist eine eigene Entscheidung, bei besonders schützenswerten Beständen mit eigener Folgenabschätzung.

Was das kostet, wenn niemand hinsieht

Der Lizenzpreis ist bei diesen Werkzeugen selten das Problem. Cowork steckt in Plänen, die ohnehin bezahlt werden; interne Copilot-Studio-Agenten kosten keinen Aufpreis, wenn die Copilot-Lizenz (26 Euro pro Nutzer und Monat) schon da ist. Was auffällt, ist der Verbrauch: Eine Cowork-Aufgabe verbraucht ein Vielfaches der Token eines Chats, weil der Agent liest, plant, Werkzeuge aufruft und prüft. Für den kleinsten Bezahlplan reicht das bei täglicher Nutzung nach übereinstimmenden Berichten nicht (sekundär; die kursierende Angabe „50- bis 100-fach“ ist unbelegt und steht hier deshalb nicht). Bei ChatGPT war der Agentenmodus explizit gedeckelt, rund 40 Nachrichten pro Monat im Plus-Plan; die Grenzen von ChatGPT Work sind noch nicht geprüft.

Das ist kein Argument gegen die Werkzeuge, sondern eines gegen die Annahme, ein vorhandenes Abo decke den Agentenbetrieb mit ab. Die vier Kostenebenen – Lizenz, Verbrauch, Integration, Governance – gelten hier wie überall.

Wo die Grenze zum gebauten Ablauf liegt

Die verbreitete Erwartung lautet, ein Desktop-Agent erspare das Bauen. Das stimmt für den ersten Durchgang und nicht für den Betrieb.

Nehmen wir die Eingangspost-Triage: Ein Agent kann heute ein Postfach durchsehen, Vorgänge sortieren und Vorschläge formulieren – einmal, angestoßen von einem Menschen, mit einem Menschen, der das Ergebnis ansieht. Genau so fängt man sinnvollerweise an, weil man in zwei Stunden weiß, ob die Aufgabe überhaupt trägt. Was der Case darüber hinaus beschreibt, ist der Weg zu einem Ablauf, der ohne Anstoß läuft, jeden Vorgang protokolliert und bei Ausfall etwas Sinnvolles tut. Das ist die Arbeit, die ein Desktop-Agent nicht abnimmt.

Die Faustregel, die sich daraus ergibt:

• Einmalig, unregelmäßig, mit Sichtprüfung → Desktop- oder Browser-Agent. Die Einrichtung kostet Minuten, der Erkenntnisgewinn ist sofort da.
• Wiederkehrend, unbeaufsichtigt, nachweispflichtig → gebauter Ablauf. Der Agent bleibt dann die Ausnahmebehandlung, nicht der Normalbetrieb.

Diese Grenze ist auch ein Einkaufsargument. Gartner erwartet, dass über 40 Prozent der Agentenprojekte bis Ende 2027 abgebrochen werden, und hat für die Ursache den Begriff Agent Washing geprägt. Wer für einen Desktop-Agenten Erwartungen an einen Produktionsablauf formuliert, bereitet genau diesen Abbruch vor.

Die Sicherheitsfrage, die dazugehört

Sobald ein Agent beliebige Webinhalte liest, ist er angreifbar. Versteckter Text auf einer Seite kann ihn anweisen, etwas anderes zu tun als beauftragt – und er tut es mit den Rechten der Person, die ihn gestartet hat. Der Fall ist nicht theoretisch: Bei einem Browser-Agenten brachte eine präparierte Seite das Werkzeug dazu, Einmalpasswörter aus dem Postfach des Nutzers auszulesen. OpenAI selbst beschreibt das Problem als nicht vollständig lösbar.

Für die Praxis folgt daraus nichts Dramatisches, aber etwas Konkretes: enge Grenzen statt breiter Rechte. Welche Anwendungen, welche Ordner, welche Aktionen – und alles mit Außenwirkung erst nach menschlicher Freigabe. Das ist derselbe Grundsatz, der für gebaute Agenten gilt, siehe Agenten-Sicherheit, nur dass er hier leichter übersehen wird, weil das Werkzeug wie eine App aussieht und nicht wie ein System.

Bei zeitgesteuerten Aufgaben gilt das schärfer: Ein geplanter Lauf fragt unterwegs nicht nach, es sitzt niemand davor. Was er nicht können soll, regelt man über die Zugänge, nicht über einen Satz in der Anweisung. Eine Anweisung ist eine Bitte, ein entzogener Zugriff ist eine Grenze.

Zum Reifegrad gehört die nüchterne Zahl: In einer unabhängigen Messung mit realistischen Web-Aufgaben liegt die Erfolgsquote solcher Agenten bei rund 61 Prozent. Hersteller nennen für ihre neuesten Modelle höhere Werte, gemessen auf anderen Testsätzen und deshalb nicht direkt vergleichbar. Kurze, strukturierte Aufgaben laufen zuverlässig, lange Ketten mit vielen abhängigen Schritten nicht.

Ein vertretbarer Einstieg

1. Eine Aufgabe auswählen, die heute regelmäßig anfällt, keine personenbezogenen Daten oberhalb von Ampel 1 berührt und deren Ergebnis jemand in fünf Minuten prüfen kann.
2. Das Werkzeug nehmen, das ohnehin da ist. In einem M365-Haus ist das Copilot Studio, in einem Haus mit Claude-Abo ist es Cowork. Ein neues Abo ist selten der erste Schritt.
3. Zugriff eng setzen. Ein Ordner, ein Postfach, eine Anwendung. Nicht das Laufwerk.
4. Zwei Wochen mitlaufen lassen und mitschreiben, was der Agent falsch macht. Diese Liste ist die Spezifikation für alles, was danach gebaut wird.
5. Dann entscheiden, ob es beim Werkzeug bleibt oder ein Ablauf daraus wird. Beides ist ein gutes Ergebnis; nur das Weitermachen ohne Entscheidung ist keines.