Künstlich erzeugtKI-Agenten-Armee vom Handy: der See, das MG und die fehlende Kapsel
Halb zehn, glitzernder See, aus dem Wald das Knattern vom Stadtkampfübungsplatz. Dazwischen die Frage, die so alt ist wie Geheimdienste: wie bekommt jeder Agent genau das Wissen, das er für die Mission braucht, und sonst nichts?
Eine KI-Agenten-Armee vom Handy sicher und bequem zu steuern ist das fehlende Kontrollzentrum des aktuellen KI-Wettrennens. Bei McGrinsey hängt das heute an einer Chat-App, die OpenClaw-Agenten auf Hetzner-VPS anspricht. Das ist schon weit. Der Wartungsaufwand sitzt im Rechte-Chaos: Passwörter, API-Keys, Tokens, Mehrfaktor, Fingerprints, Telefonnummern, E-Mails. Wer Agenten managen und Geheimhaltung halten will, kann von der Kapsel-Logik der Nachrichtendienste lernen. Eine fertige Lösung ist uns nicht bekannt. Sachdienliche Hinweise nimmt der örtliche KI-Bürgermeister entgegen.
Halb zehn in Deutschland. Der See glitzert. Aus dem Wald trällert das MG.
Ich sitze am Wasser. Hubschrauber und Drohnentraining vom Stadtkampfübungsplatz legen ein Knattern über den Wald, das sich anhört wie Zwitschern, wenn man lange genug zuhört. Dann der Nachhall der großkalibrigen Apparate. Dazwischen überlege ich, wie ich meine virtuelle KI-Agenten-Armee in den Wolken noch besser mobil steuern kann.
Die mentale Übung ist alt, bei uns steht sie schon über einem anderen Stück: Live in the future and fix what's missing. Lebe so weit vorn, dass du die Probleme von übermorgen heute schon siehst. Baust du die Lösung jetzt, kannst du sie morgen verkaufen. Das ist ein Spielfeld des KI-Wettrennens, nicht eine Wellness-Formel.
Aktuell bin ich unzufrieden mit der Strukturierung meiner persönlichen KI-Bautruppen. Das Kontrollzentrum ist eine Chat-App, verbunden mit OpenClaw-Agenten, die auf einem Netz aus Hetzner-VPS leben. Das ist schon sehr cool. Es bringt Wartungsaufwand, vor allem im Rechte-Management.
Passwörter, Keys, Tokens, MFA, Fingerprints, Nummern, Mails. Ein Sammelsurium, kein System.
Wer Code als John ausführt, hat bei uns lange die Flotte gehabt. Das steht so im Security-Plan vom 24. Juli 2026. Der Fingerabdruck schützt den Login, nicht die laufende Sitzung. Ein Agent mit Shell las die zentrale Datei mit den Zugängen, ohne einen Prompt. Stufe 0 ist erledigt: Rechte 600, klare Keys. Stufe 1, Vaults nach Sprengradius statt nach Projekt, ist offen. Genau dort sitzt der Schmerz, den ich am See spüre.
Die KI-Agenten-Armee braucht, um ihre Mission zu erfüllen, Zugänge. Der Render-Agent braucht Adbeamer, nicht Kraken. Der Backup-Job braucht rrsync, nicht den Ads-Account. Der Schreib-Agent braucht das Magazin, nicht den Trading-Key. Heute liegen diese Welten oft noch nebeneinander in einem Kopf, einem Chat, einer Session. Mobil wird das schlimmer: das Handy ist der bequemste Weg in die Armee und der dünnste Tresor.
Wie Wissen sicher gekapselt wird, und der Agent trotzdem seine Mission erfüllen kann.
Die Frage ist so alt wie Geheimdienste und so aktuell wie die Timeline. Wikipedia datiert das Prinzip der Abschottung bis zur Geheimhaltung des Griechischen Feuers. Das Manhattan-Projekt ist das Schulbeispiel der Neuzeit: in Oak Ridge bedienten Leute Zentrifugen, die Uran-235 trennten, und die meisten wussten nicht, dass sie genau das taten. Ultra im Zweiten Weltkrieg trug zwei Stempel auf einmal: die Stufe Top Secret und das Codewort, das den Leserkreis noch einmal schnitt.
Die US-Nachrichtendienste haben das in Vorschriften gegossen, die öffentlich liegen. Director of Central Intelligence Directive 1/19 nennt vier Schlösser, nicht eines. Zugang zu Sensitive Compartmented Information (SCI) braucht eine Freigabe (clearance), eine förmliche Zugangsgenehmigung (access approval), eine Einweisung (indoctrination) und ein nachgewiesenes Need-to-know. Wer alle vier hat, bekommt trotzdem nicht „alles Geheime“, sondern die niedrigste Stufe und das kleinste Fach, das für den Auftrag reicht. Quellen und Methoden werden weggelassen, vergröbert oder in einen Sonderanhang gesteckt, der enger kontrolliert ist als der Bericht selbst.
Die Person darf Geheimnisse einer bestimmten Höhe überhaupt sehen. Ohne das fällt der Rest aus.
Das Fach selbst, oft hinter einem Codewort. SCI und Special Access Programs liegen über der normalen Stufenleiter.
Die Einweisung. Du weißt, welche Regeln gelten, und du hast unterschrieben, sie zu halten. Das ist kein Tutorial, das ist ein Vertrag.
Selbst mit den ersten drei gilt: nur was für diesen Auftrag nötig ist. Wer das Fach betreten darf, holt sich trotzdem nicht den ganzen Schrank.
Tearline, ORCON, der Fallführer und der menschliche Agent
Eine Tearline ist die zweite, dünnere Fassung eines Berichts: unter einer Linie steht der Inhalt, den ein Empfänger mit niedrigerer Stufe brauchen kann, ohne Quelle und Methode zu sehen. Homeland-Security-Leitfäden verlangen solche Linien, wenn Terrorhinweise zu Landes- und Kommunalbehörden durchgereicht werden müssen. Originator Controlled, kurz ORCON, heißt: wer die Information erzeugt hat, bestimmt, wer sie weitergeben darf. Das schützt Quellen. Es erzeugt auch Staus. Die 9/11-Kommission hat ORCON ausdrücklich als Hemmnis genannt.
Wichtig für uns, weil wir das Wort Agent wörtlich nehmen: in der nachrichtendienstlichen Führung ist der menschliche Agent oft der Vermögenswert draußen, nicht der Mensch am Schreibtisch. Der Case Officer, der Fallführer, hält die Akte. Der Agent draußen kennt typischerweise nicht das Netz, nicht die anderen Quellen, oft nicht einmal den Klarnamen der Zentrale. Zellenstrukturen in der illegalen Arbeit sind Einbahnstraßen: kompromittiert eine Zelle, fällt nicht die ganze Karte. Das ist grausam und wirksam. Es ist auch die härteste Form von Kapselung, die diese Welt kennt.
Need-to-know hat eine zweite, oft vergessene Kante. DCID 8/1 sagt sinngemäß: Need-to-know heißt nicht nur, dass Kunden nur das Nötige bekommen. Es heißt auch, dass sie alles bekommen, was sie für den Auftrag brauchen. Nach dem 11. September 2001 hat die 9/11-Kommission die Kultur umgedreht. Im Executive Summary steht der Satz, das System aus Need-to-know solle durch ein System aus Need-to-share ersetzt werden. Die Kommission nannte die Weigerung zu teilen das größte Hindernis für All-Source-Analyse. ODNI schrieb 2008, die Need-to-know-Kultur des Kalten Kriegs sei jetzt eine Behinderung. Intellipedia, das klassifizierte Wiki der Community ab 2006, war ein Versuch, Teilen innerhalb der Zäune zu üben.
Der Widerspruch bleibt. Mehr Köpfe auf einem Geheimnis erhöhen das Risiko der Kompromittierung. Zu wenige Köpfe erhöhen das Risiko, dass niemand die Punkte verbindet. Beide Risiken sind real. Beide haben Tote gekostet, auf unterschiedliche Weise. Wer das eine löst, indem er das andere leugnet, hat nicht gelesen.
Dieselben Schlösser, andere Truppen. Der Agent bekommt den Auftrag, nicht den Tresor.
Übertragen auf die KI-Agenten-Armee heißt das zuerst: kein Prozess sieht die ganze `.env`. Der Render-Agent bekommt ein Ticket für einen Job, nicht den Hetzner-Schreibschlüssel. Der Trading-Agent bekommt das Geld-Fach, nicht das Magazin. Das ist Need-to-know als Dateisystem, nicht als Poster.
- ClearanceWelche Fächer ein Prozess überhaupt nennen darf. Bei uns geplant als Vaults nach Sprengradius: Infra, Money, KI, Marketing, Clients. Security-Plan, Stufe 1, offen.
- CompartmentCodewort-Fächer. Ein OpenClaw-Worker auf einem VPS ist ein Fach, nicht „die Cloud“. Zwei Agenten, zwei Fächer, auch wenn sie denselben Hetzner-Account haben.
- IndoctrinationDas Missionsfile, das der Agent unterschrieben hat: Systemprompt, erlaubte Hosts, verbotene Vaults, Ablaufdatum. Geloggt. Widerrufbar.
- Need-to-knowDer Auftrag als Tearline: Ziel, Constraints, Rückkanal. Keine Quellen, keine Master-Keys, keine Telefonnummern der Menschen hinter den Tokens.
- ORCONWer das Geheimnis erzeugt hat, kann es sterben lassen. Service Accounts mit Ablauf, nicht ein JWT bis 2036.
- Fallführer / AgentDas Handy ist das Funkgerät des Fallführers. Der Aktenraum bleibt auf dem VPS. Die Chat-App darf die Armee rufen, nicht die Flotte besitzen.
- Need-to-shareWenn zwei Agenten zusammenarbeiten müssen, öffnet ein Broker ein zeitlich begrenztes Gelenk zwischen zwei Fächern. Die Fächer werden nicht zu einer Datei.
- TearlineWas auf dem Handy erscheint, ist die dünne Fassung: Status, nächster Schritt, Alarm. Der Scan, der Key, der Dump bleiben unten, hinter der Linie.
9/11 ist die Warnung in die andere Richtung. Wenn jeder Agent nur sein Fach kennt und niemand die Punkte sehen darf, baust du eine Armee, die lokal brillant und global blind ist. DCID 8/1 bleibt deshalb die zweite Hälfte des Transfers: der Agent muss alles kriegen, was der Auftrag braucht. Sonst erfüllt er die Mission nicht, und du hast Sicherheit mit Arbeitsunfähigkeit verwechselt.
Praktisch, für uns, heißt das: der Chat auf dem Handy spricht einen Broker an. Der Broker prüft, welcher Mensch da sitzt (Gerät, Faktor, Session). Er prüft, welcher Agent gerufen wird. Er holt zur Laufzeit nur die Referenzen, die dieser Auftrag braucht, aus dem passenden Vault. Die Werte stehen im Prozessspeicher, nicht in einer Datei auf dem Telefon, nicht in einem Screenshot, nicht in einem Chatverlauf, den das Modell morgen zitiert. Unklassifiziert bleibt die Vorgabe, solange wir dem System nicht trauen: es holt, es schickt nichts von sich aus. Das steht so in den Hausregeln vom 31. Juli 2026. Vertrauensstufe ist eine Prüfung mit Takt, kein Zustand.
Wie steuerst du deine KI-Agenten-Armee sicher und bequem vom Handy aus?
Eine zufriedenstellende Lösung ist mir nicht bekannt. Claude Code Mobile haben wir gemessen: Chat mit Upload, kein SSH, ein Repo, keine eigenen Zugangsdaten. Der Drache bleibt an der Kette. OpenClaw auf Hetzner ist das Gegenteil: echte Truppen, echte Keys, echter Aufwand. Dazwischen klafft das Produkt, das ich am See suche.
Dann das andere Handwerk. Historisch, manuell, Datenschrubben im Tabellenkeller des Mittelstandsmuseums. Die beruhigende Wirkung einer handgeklöppelten Tabelle. Ich könnte Kurse verkaufen: Mandala malen in traditioneller Excel-Tracht. Das ist der Witz, und er sitzt, weil Tabellen die einzige Sprache sind, in der Rechte-Chaos sichtbar wird. Wer seine Agenten-Armee nicht in einer Tabelle beschreiben kann (wer darf was, bis wann, wofür), hat keine Armee. Er hat eine WG mit Generalschlüssel.
Sachdienliche Hinweise nimmt der örtliche KI-Bürgermeister John dankend entgegen. Ernsthaft: wie steuert ihr eure KI-Agenten-Armee sicher und bequem vom Handy? Nicht als Motivationsfrage. Als Auftrag. Wer das Kästchen baut, in dem der Fallführer funken kann, ohne den Aktenraum einzustecken, hat etwas, das sich übermorgen verkaufen lässt. Live in the future. Fix what's missing.
| Behauptung | Korb | Woher |
|---|---|---|
| Szene am See, 27. August 2026, Übungsplatz im Wald | Ich-Bericht | John, dieser Morgen. Kein geolocates Foto in diesem Stück. |
| Kontrollzentrum: Chat-App, OpenClaw, Hetzner-VPS | Fakt der Hausarchitektur | CLAUDE.md, Ghostclaw, MCG-Infrastruktur. Kein Produkt-Audit Dritter. |
| Vier Schlösser für SCI | Fakt der Vorschrift | DCID 1/19, öffentlich bei FAS. |
| Need-to-know umfasst auch „alles Nötige“ | Fakt der Vorschrift | DCID 8/1, öffentlich bei FAS. |
| 9/11-Kommission: Need-to-share statt Need-to-know | Fakt des Berichts | 9/11 Commission Report, Executive Summary. |
| Oak Ridge, die meisten wussten nicht von U-235 | Standardbeispiel | Wikipedia, Compartmentalization. Schulfall, keine Primärakte hier. |
| Vaults nach Sprengradius lösen das Handy-Problem | Hypothese | Unser Transfer. Stufe 1 im Security-Plan ist offen. Kein Feldversuch in diesem Text. |
| Claude Code Mobile taugt nicht als Agent | Eigene Messung | Magazin, Der Drache an der Kette, August 2026. |
- DCID 1/19, SCI handlingVier Schlösser, Need-to-know, Sanitizing von Quellen und Methoden.https://irp.fas.org/offdocs/dcid1-19.html
- DCID 8/1, Intelligence Information SharingNeed-to-know heißt auch: alles, was der Auftrag braucht.https://irp.fas.org/offdocs/dcid8-1.html
- 9/11 Commission Report, Executive SummaryNeed-to-know durch Need-to-share ersetzen. Größtes Hindernis für All-Source-Analyse.https://9-11commission.gov/report/911Report_Exec.pdf
- ODNI, Intelligence Community Information Sharing Strategy, 2008Need-to-know des Kalten Kriegs als Behinderung. Stewardship statt Ownership. ORCON als Stau.https://www.govinfo.gov/content/pkg/GOVPUB-PREX28-PURL-LPS93425.pdf
- Wikipedia, Compartmentalization (information security)Griechisches Feuer, Manhattan, Ultra, Codewort-Stufen.https://en.wikipedia.org/wiki/Compartmentalization_(information_security)
- DoDM 5105.21, SCI programSCI nur an Personen mit Zugang und nachgewiesenem Need-to-know.https://sgp.fas.org/othergov/dod/5105_21v1.pdf
- Peter Steinberger / MCGLive in the future, build what's missing. Bei uns als Magazinstück und als Arbeitsregel.https://mcgrinsey.com/magazin/wer-zum-teufel-ist-peter-steinberger/
- Der Drache an der KetteClaude Code Mobile, vier Zäune, kein Agent.https://mcgrinsey.com/magazin/der-drache-an-der-kette/
Stichtag: 27. August 2026. Geschrieben mit dem McGrinsey Writing Skill. Kein Firmenstück, deshalb keine McGrinsey Ratio.
