KI-Agenten und Automatisierung in der Kanzlei

Begriffe – Workflow und Agent

Anthropic unterscheidet in einem Beitrag vom 19.12.2024 zwei Bauformen. „Workflows are systems where LLMs and tools are orchestrated through predefined code paths“ – der Ablauf ist fest vorgegeben, das Sprachmodell erledigt einzelne Schritte. Agenten sind dagegen „systems where LLMs dynamically direct their own processes and tool usage“ – das Modell bestimmt den Weg selbst.

Anthropic rät, mit der einfachsten Lösung zu beginnen und Komplexität nur hinzuzufügen, wenn sie die Ergebnisse nachweislich verbessert. Autonome Agenten bedeuten nach Anthropic „higher costs, and the potential for compounding errors“. Empfohlen werden umfangreiche Tests in abgeschotteten Umgebungen und geeignete Schutzmechanismen. Für Kanzleien heißt das, dass ein fester Workflow mit KI-Schritten oft die bessere Wahl ist als ein frei handelnder Agent.

MCP – das Model Context Protocol

MCP ist nach der offiziellen Dokumentation „an open-source standard for connecting AI applications to external systems“. Anthropic hat das Protokoll am 25.11.2024 als offenen Standard veröffentlicht. Die Dokumentation vergleicht es mit einem USB-C-Anschluss, einer einheitlichen Verbindung zwischen KI-Anwendungen und Datenquellen, Werkzeugen und Abläufen.

Aufbau

• Host – die KI-Anwendung, etwa ein Chat-Programm oder eine Entwicklungsumgebung.
• Client – eine Komponente im Host, die je eine Verbindung zu einem Server hält.
• Server – ein Programm, das Kontext bereitstellt – lokal auf demselben Rechner (Übertragung über „stdio“) oder entfernt im Netz (Übertragung über „Streamable HTTP“).

Server können drei Arten von Funktionen anbieten, nämlich Tools (ausführbare Funktionen wie Dateioperationen, API-Aufrufe, Datenbankabfragen), Resources (Datenquellen wie Dateiinhalte oder Datensätze) und Prompts (wiederverwendbare Vorlagen).

Mensch in der Schleife

In der MCP-Spezifikation (aktuelle Fassung 2026-07-28) heißt es „there SHOULD always be a human in the loop with the ability to deny tool invocations.“ Anwendungen sollen anzeigen, welche Werkzeuge dem Modell zur Verfügung stehen, Werkzeugaufrufe sichtbar machen und Bestätigungen einholen. Clients sollen die Eingaben an ein Werkzeug vor dem Aufruf anzeigen, um böswilligen oder versehentlichen Datenabfluss zu vermeiden, und Werkzeugaufrufe protokollieren.

n8n – Workflow-Automatisierung

n8n beschreibt sich als „fair-code licensed workflow automation tool that combines AI features with business process automation“. Es kann als Cloud-Dienst des Herstellers oder selbst betrieben werden. Für den Selbstbetrieb gibt es eine kostenlose Community-Edition. Für Kanzleien ist der Selbstbetrieb interessant, weil die Abläufe dann auf eigener Infrastruktur laufen.

Nach der Dokumentation bietet n8n unter anderem Folgendes.

• einen AI-Agent-Knoten, dem Werkzeuge zugeordnet werden,
• einen MCP-Client, mit dem ein n8n-Agent Werkzeuge externer MCP-Server nutzt,
• einen MCP-Server-Trigger, der n8n-Werkzeuge und -Workflows für MCP-Clients bereitstellt,
• Freigaben durch einen Menschen („Human-in-the-loop for tools“). Vor bestimmten Werkzeugen hält der Ablauf an, bis eine Person den Aufruf genehmigt oder ablehnt. n8n nennt als Anwendungsfälle ausdrücklich unumkehrbare Aktionen wie das Löschen von Daten oder den Versand externer Nachrichten.

Risiken

Berechtigungen

Ein Agent kann nur tun, wozu er berechtigt ist – aber alles, wozu er berechtigt ist. OWASP empfiehlt, die Zugriffsrechte des Modells „to the minimum necessary“ zu beschränken und für Vorgänge mit hohem Risiko eine menschliche Freigabe vorzusehen. Praktisch heißt das Lesezugriff statt Schreibzugriff, eigene Zugangsdaten für den Agenten, kein Zugriff auf das gesamte Postfach oder Laufwerk.

Prompt-Injection

Prompt-Injection steht in den OWASP Top 10 für LLM-Anwendungen 2025 an erster Stelle. OWASP unterscheidet direkte Angriffe über die Eingabe des Nutzers und indirekte Angriffe über externe Inhalte wie Webseiten oder Dateien, die das Modell verarbeitet. Für Kanzleien ist die indirekte Variante relevant. Ein Agent, der Posteingänge oder Aktenbestandteile liest, liest auch darin versteckte Anweisungen. OWASP empfiehlt, nicht vertrauenswürdige Inhalte getrennt und deutlich gekennzeichnet zu verarbeiten.

Fehlerketten

Jeder Schritt eines Agenten baut auf dem vorigen auf. Ein Fehler am Anfang – eine falsch gelesene Frist, ein falsch zugeordnetes Dokument – setzt sich fort. Ergebnisse, die nach außen gehen, gehören deshalb vor eine menschliche Prüfung.

Stand Oktober 2026