Freigaben in KI-Workflows: Wer darf welche Aktion bestätigen?

Eine Freigabe in einem KI-Workflow muss an eine bestimmte Aktion und einen bestimmten Inhalt gebunden sein. "Passt so" genügt nicht, wenn danach Empfänger, Betrag oder Dokumentversion wechseln. Die technische Ausführung muss genau das umsetzen, was eine berechtigte Person tatsächlich geprüft und bestätigt hat.

Dieser Artikel beschreibt eine Freigabematrix und einen Ablauf mit Ablehnung, Änderung und Wiederanlauf. Alle Rollen und Beträge im Beispiel sind fiktiv. Die Schwellen sind keine Rechtsvorgaben oder allgemein gültigen Unternehmensregeln. Der Fachbereich muss sie anhand der tatsächlichen Verantwortung und Fehlerfolgen festlegen.

Drei Fragen, die eine Freigabe beantworten muss

Zuerst geht es um den Inhalt: Ist das vorbereitete Ergebnis fachlich richtig und vollständig? Danach um die Berechtigung: Darf die bestätigende Person diese konkrete Handlung erlauben? Schliesslich um die Ausführung: Ist tatsächlich nur die erlaubte Handlung erfolgt? Ein positives Urteil zu einer dieser Fragen beantwortet die anderen nicht.

Eine Sachbearbeiterin kann einen Antwortentwurf fachlich prüfen, ohne einen Preisnachlass freigeben zu dürfen. Ein Abteilungsleiter kann einen Nachlass erlauben, ohne den Versand an eine andere Organisation zu genehmigen. Ein System kann die richtige Genehmigung erhalten und trotzdem zweimal senden. Deshalb braucht der Workflow getrennte Nachweise für Inhalt, Autorisierung und Ergebnis.

OWASP beschreibt übermässige Funktionalität, Berechtigungen und Autonomie als Ursachen von Excessive Agency. Eine menschliche Freigabe ist dabei eine mögliche Schutzmassnahme, aber keine Garantie. Sie muss in den ausführenden Ablauf eingebunden sein. Eine Bitte im Prompt reicht nicht, wenn das Werkzeug die Aktion unabhängig davon ausführen kann.

Der fiktive Prozess

Ein Serviceteam lässt eine KI Antworten auf Lieferanfragen vorbereiten. Die KI darf Quellen lesen und Entwürfe erzeugen. Sie darf keine Preise ändern und keine E-Mails versenden. Der Versand erfolgt durch eine getrennte Aktion, die nur nach gültiger Freigabe verfügbar ist.

Im Beispiel prüft die Sachbearbeitung den Inhalt. Ein Preisnachlass braucht zusätzlich die verantwortliche Vertriebsrolle. Eine Änderung des Empfängers nach der Freigabe setzt den Status zurück. Die Rollen sind abstrakt, damit keine echte Person oder Vertretung erfunden wird. Vor dem Betrieb muss die Organisation konkrete Zuständigkeiten und Vertretungen hinterlegen.

Diese Matrix enthält bewusst keine pauschale Eurogrenze. Ein Unternehmen kann solche Grenzen ergänzen, muss aber Währung, Bezugsgrösse und Vertretungsregel festlegen. Eine Summe pro Einzelposition ist etwas anderes als die Gesamtsumme eines Auftrags.

Was auf der Freigabeseite stehen muss

Die prüfende Person braucht den vollständigen geplanten Effekt. Dazu gehören Zielsystem, Aktion, betroffene Datensätze und die konkrete Fassung. Bei einer E-Mail sind Empfänger, Betreff, Inhalt und Anhänge relevant. Bei einer Datenänderung müssen Alt- und Neuwert nebeneinander stehen. Ein abstrakter Hinweis "KI-Vorschlag übernehmen" ist zu wenig.

Zeige ausserdem die offenen Fragen und die Quellenlage. Wenn ein Liefertermin noch nicht bestätigt ist, muss diese Unsicherheit direkt am Entwurf sichtbar sein. Sie darf nicht nur in einem früheren Chat stehen, den die freigebende Person nicht liest. Der Workflow darf auch keine unvollständige Vorschau als vollständige Prüfung darstellen.

Die Freigabe speichert eine Versionskennung oder einen geeigneten Inhaltsnachweis. Ändert sich der Inhalt, ist die alte Freigabe nicht mehr passend. Eine technische Umsetzung kann dafür Hashes und unveränderliche Freigabeobjekte verwenden. Der konkrete Mechanismus hängt vom System ab; die fachliche Regel bleibt dieselbe: Bestätigung und Ausführung müssen denselben Gegenstand betreffen.

Eine Freigabe ist ein Zustandswechsel

Ein einfacher Ablauf nutzt die Zustände Entwurf, Prüfung, freigegeben, ausgeführt und verifiziert. Daneben gibt es abgelehnt, abgelaufen und Ausführung unklar. Jeder Übergang braucht einen Auslöser und einen Nachweis. "Freigegeben" bedeutet nicht "ausgeführt", und "ausgeführt" bedeutet noch nicht "fachlich korrekt angekommen".

Microsoft dokumentiert für Power Automate unterschiedliche Genehmigungstypen: Bei einem Typ entscheidet die erste Antwort, bei einem anderen ist die Zustimmung aller vorgesehenen Personen erforderlich; eine Ablehnung kann den Ablauf beenden. Diese Unterschiede müssen zur fachlichen Regel passen. Zwei eingetragene Personen bedeuten nicht automatisch ein Vier-Augen-Verfahren.

Wenn eine Person nur informiert werden muss, ist sie keine zusätzliche Freigabestelle. Wenn beide Funktionen zustimmen müssen, darf die erste Antwort nicht den gesamten Vorgang freigeben. Eine Stellvertretung braucht wiederum eine eigene Berechtigung; sie entsteht nicht dadurch, dass ein Link zur Freigabe weitergeleitet wird.

Der Änderungsfall nach einer Zustimmung

Im fiktiven Fall wird die Version V3 einer Kundenantwort an Adresse A freigegeben. Vor dem Versand ergänzt eine Person einen Nachlass und ändert die Empfängeradresse zu B. Der Workflow muss die Ausführung blockieren und eine neue Freigabe anfordern. Die ursprüngliche Zustimmung bezog sich weder auf den Nachlass noch auf den neuen Empfänger.

Die richtige Reaktion ist kein stilles Nachfragen bei der KI, ob die Änderung "unproblematisch" ist. Eine KI-Bewertung kann bei der Vorbereitung helfen, erweitert aber keine erteilte Berechtigung. Auch ein kleiner Schreibfehler kann relevant sein, wenn er eine Kontonummer oder Terminangabe betrifft. Definiere erlaubte rein technische Umformungen eng und prüfe ihre Wirkung.

Für die Prüfung eignet sich eine absichtlich veränderte Kopie des freigegebenen Objekts. Der Test ist bestanden, wenn die Aktion wegen der Versionsabweichung nicht startet. Ein Protokolleintrag allein reicht nicht, wenn die E-Mail trotzdem gesendet wurde. Die Sperre muss am ausführenden Schritt wirken.

Ablehnung und Zeitablauf ausdrücklich gestalten

Eine Ablehnung braucht einen Grund, der die nächste Bearbeitung ermöglicht. "Nicht freigegeben: Lieferdatum unbelegt" ist brauchbarer als ein rotes Symbol ohne Erklärung. Die KI kann danach einen neuen Entwurf erstellen, der die Zusage entfernt. Dieser neue Entwurf muss erneut geprüft werden.

Lege fest, wann eine Freigabe ihre Gültigkeit verliert. Das kann bei einer Änderung der Quelle, beim Überschreiten eines fachlichen Termins oder beim Wechsel des zuständigen Bearbeiters geschehen. Eine pauschale Gültigkeitsdauer ist nicht für jeden Prozess passend. Für zeitkritische Verfügbarkeiten muss die Quelle unmittelbar vor der Ausführung erneut geprüft werden.

Schweigen ist keine Zustimmung, sofern die Organisation nicht ausdrücklich einen dafür geeigneten Prozess mit zulässiger Entscheidungsregel festgelegt hat. Für den hier beschriebenen Workflow gilt: Ohne ausdrückliche Freigabe bleibt die Aktion gesperrt. Ein Timeout führt zu Eskalation oder Abbruch, nicht zur automatischen Genehmigung.

Was nach einem technischen Fehler passiert

Wenn der Versand eine Zeitüberschreitung meldet, ist der Zustand möglicherweise unklar. Die Nachricht kann im Zielsystem bereits angekommen sein, obwohl die Antwort an den Workflow fehlt. Ein erneuter Versand ohne Rückleseprüfung erzeugt dann eine Dublette. Die Freigabe erlaubt nicht automatisch beliebig viele Wiederholungen.

Das System muss zuerst den tatsächlichen Zustand prüfen, etwa anhand einer eindeutigen Vorgangskennung und eines Versandnachweises. Kann es den Zustand nicht feststellen, bleibt der Vorgang als unklar markiert. Die zuständige Person entscheidet über das weitere Vorgehen. Der Ausfallplan für KI-Dienste beschreibt diese Übergänge zwischen Störung, Ersatzablauf und Wiederanlauf ausführlicher.

Für wiederholbare technische Aktionen hilft Idempotenz: Mehrere gleichartige Aufrufe dürfen nicht mehrfach denselben fachlichen Effekt erzeugen. Ob das Zielsystem diese Eigenschaft unterstützt, muss konkret geprüft werden. Ein selbst gewählter eindeutiger Schlüssel verhindert keine Dublette, wenn das Zielsystem ihn nicht auswertet.

Freigabeermüdung durch bessere Prüfbündel begrenzen

Eine Freigabestelle verliert ihren Zweck, wenn Menschen viele nahezu identische Meldungen ungelesen bestätigen. Die Lösung ist nicht das pauschale Abschalten der Prüfung. Zuerst muss der Ablauf unterscheiden, welche Aktionen eine Einzelentscheidung brauchen und welche innerhalb eines eng definierten, bereits freigegebenen Rahmens liegen. Diesen Rahmen legt die Organisation fest, nicht die KI im laufenden Vorgang.

Eine Sammelfreigabe kann für gleichartige, überschaubare Änderungen geeignet sein. Sie muss aber alle betroffenen Datensätze und Abweichungen sichtbar machen. Eine Zustimmung zu einer Zusammenfassung von hundert Änderungen ist nicht automatisch eine Prüfung der hundert Inhalte. Wenn das Risiko einzelner Ausnahmen hoch ist, muss die Vorschau diese Ausnahmen gezielt hervorheben oder die Sammelfreigabe ausschliessen.

Die Prüfansicht muss ausserdem zwischen unveränderten und neu hinzugekommenen Inhalten unterscheiden. So kann die verantwortliche Person eine Überarbeitung prüfen, ohne den gesamten Vorgang aus dem Gedächtnis zu rekonstruieren. Die technische Versionsbindung bleibt trotzdem erforderlich. Eine visuelle Differenz allein verhindert nicht, dass nach der Prüfung ein anderer Inhalt ausgeführt wird.

Eine fiktive Abnahme-Matrix bis zum Zielsystem

Für die Serviceantwort werden sechs Versuche vorbereitet. Im ersten stimmen Inhalt, Rolle und Empfänger; die Nachricht darf genau einmal erscheinen. Im zweiten fehlt eine Quellenstelle für die Lieferzusage; der Vorgang muss in die Überarbeitung. Im dritten bestätigt eine unberechtigte Rolle; es darf keine Ausführung geben. Im vierten ändert sich der Empfänger nach Freigabe; die alte Zustimmung wird unbrauchbar.

Der fünfte Versuch simuliert eine doppelte technische Zustellung desselben Ausführungsauftrags. Im Zielsystem darf daraus kein zweiter fachlicher Effekt entstehen. Der sechste Versuch liefert keine eindeutige technische Rückmeldung. Hier ist die erwartete Reaktion der Status "Ausführung unklar" mit gesperrter Wiederholung bis zur Rückleseprüfung.

Für jeden Versuch wird der tatsächliche Zustand im Zielsystem dokumentiert. Ein Workflowprotokoll mit "Aktion ausgelöst" beweist keinen Versand an den richtigen Empfänger. Ein Eintrag "abgelehnt" beweist keine Sperre, wenn parallel ein anderer Pfad weiterläuft. Die Abnahme muss deshalb auch alternative Ausführungspfade und Wiederholungen berücksichtigen.

Diese Matrix bleibt bewusst klein. Sie prüft die fachliche Bindung der Freigabe, nicht sämtliche Sicherheitsaspekte der Infrastruktur. Wenn das System weitere Aktionen erhält, müssen die Testfälle erweitert werden. Eine Freigabe für den Versandworkflow deckt keine spätere Funktion zum Löschen von Datensätzen ab.

Ein Testkatalog für die Abnahme

Prüfe einen erlaubten Normalfall bis zum sichtbaren Ergebnis. Teste danach eine fachlich falsche Ausgabe: Sie muss abgelehnt und ohne Aktion beendet werden. Prüfe eine zustimmende, aber unberechtigte Rolle. Danach ändere Inhalt oder Empfänger nach einer gültigen Freigabe. Beide Fälle müssen gesperrt bleiben.

Ergänze eine abgelaufene Freigabe, eine fehlende Vertretung und einen unklaren Ausführungsstatus. Beobachte nicht nur die Benutzeroberfläche, sondern das Zielsystem. Der Zweck des Tests ist die Kontrolle des tatsächlichen Effekts. Ein grüner Workflowlauf kann trotzdem den falschen Datensatz verändert haben.

Die Abnahme von KI-Dokumentenverarbeitung liefert ergänzende Fachfälle. Das Workflow-Design für KI-Systeme ordnet die Freigabestelle in den gesamten Ablauf ein. Für die Übergabe an den Betrieb müssen diese Regeln mit Zuständigkeit und Wiederanlaufanweisung dokumentiert sein.

Quellenstand: 22.10.2026. OWASP liefert die Risikoeinordnung, Microsoft die dokumentierte Funktionsweise konkreter Genehmigungsaktionen. Matrix, Zustandsmodell und Tests sind eigene redaktionelle Empfehlungen und keine pauschale Compliance-Zertifizierung.