Ist es sicher, einen KI-Agenten mit deinem Shop zu verbinden? Zugriff, Passwörter und eine Sicherheits-Checkliste

Einen KI-Agenten mit deinem Shop zu verbinden ist sicher, wenn du drei Dinge kontrollierst: worauf er zugreifen kann, was er tun darf, ohne zu fragen, und welches Protokoll er hinterlässt. Riskant wird es, wenn ein Agent weitreichenden Zugriff, geteilte Passwörter und kein Protokoll hat, denn dann kann niemand sagen, was er getan hat, oder verhindern, dass er mehr tut.

Dieser Leitfaden erklärt, wie Agenten in deine Systeme kommen, welche Risiken für einen Onlineshop zählen, gibt dir eine Checkliste für jeden Anbieter und nennt die Fragen, die du vor dem Verbinden schriftlich stellen solltest. Am Ende steht, wie Concierge mit jedem Punkt umgeht.

• Zu viel Zugriff: Ein Agent, der nur Fragen zu Bestellungen beantwortet, muss weder Theme-Änderungen veröffentlichen noch Rabatte bearbeiten. Jede zusätzliche Berechtigung ist etwas, das schiefgehen kann.
• Aktionen, die du nicht rückgängig machen kannst: Erstattungen, Stornierungen und gelöschte Daten. Ein Mensch sollte sie anfordern oder freigeben.
• Mit dem falschen Kunden sprechen: Bestelldaten an jemanden weitergeben, der nur eine E-Mail-Adresse oder Bestellnummer kennt.
• Passwörter im Chat: Ein in ein Gespräch getipptes Passwort kann in Logs, Transkripten und Exporten landen.
• Überreste: Dateien, Sitzungen und Daten, die nach der Aufgabe auf einem Rechner bleiben, wo die nächste Aufgabe sie erreichen kann.
• In Inhalten versteckte Anweisungen: Eine E-Mail, Webseite oder Datei, die der Agent liest, kann Text enthalten, der ihn steuern soll – bekannt als Prompt Injection. Grenzen dessen, was ein Agent darf, verringern den Schaden, den eine böswillige Anweisung anrichten kann, ersetzen aber nicht die eigenen Schutzmaßnahmen des Anbieters. Frag also danach.
• Kein Protokoll: Wenn du nicht sehen kannst, was der Agent getan hat und warum, kannst du weder Fehler beheben noch belegen, was passiert ist.

• Jeder Agent hat nur die Berechtigungen, die seine Aufgabe braucht.
• Jeder Agent antwortet nur in den Kanälen, die du ihm zuweist.
• Änderungen, die der Agent von sich aus beschließt, warten auf ein Ja.
• Erstattungen gibt dein Team frei.
• Kunden weisen sich aus, bevor der Agent private Daten teilt oder ihr Konto ändert.
• Niemand tippt ein Passwort in einen Chat. Bei Websites meldet sich ein Mensch selbst an.
• Arbeit, die Code oder Dateien braucht, läuft auf einem isolierten Rechner, der nach der Aufgabe gelöscht wird.
• Jede Anfrage, Freigabe, Aktion und Antwort wird protokolliert und ist leicht zu prüfen.
• Was sich der Agent merkt, kann keinen Kunden identifizieren, und du kannst ihn etwas vergessen lassen.
• Tool-Verbindungen lassen sich mit einem Klick widerrufen und enden, wenn ein Teammitglied geht.
• Aufnahmen und Daten werden nach einem von dir festgelegten Zeitplan gelöscht.
• Du hast den Agenten ohne echte Kunden getestet, bevor du ihn eingeschaltet hast.
• Du weißt, wer in deinem Team Agenten und Kanäle ändern kann.

Stelle diese Fragen schriftlich und bewahre die Antworten auf. Ein Anbieter, der nicht klar antworten kann, sagt dir damit auch etwas.

• Zertifizierungen: Welche Sicherheitsprüfungen habt ihr, etwa SOC 2 Type II, und können wir den Bericht unter NDA sehen?
• Anmeldung für unser Team: Unterstützt ihr Single Sign-on (SSO) mit SAML?
• Modellanbieter: Welche Anbieter von KI-Modellen verarbeiten unsere Daten, und trainiert einer davon damit?
• Prompt Injection: Was verhindert, dass in einer E-Mail, Webseite oder Datei versteckte Anweisungen den Agenten steuern?
• Zugriff: Können wir jeden Agenten auf bestimmte Aktionen beschränken? Welche Aktionen brauchen immer eine Freigabe?
• Passwörter: Wie meldet sich der Agent bei Websites an, und wo werden Zugangsdaten gespeichert?
• Isolierung: Wo führt der Agent Code aus oder öffnet Dateien, und was passiert danach mit diesem Rechner?
• Protokolle: Was wird protokolliert, wer kann es sehen und wie lange?
• Löschung: Wie löschen wir Aufnahmen, Erinnerungen und Kundendaten, und wie geht ihr mit Anträgen auf Datenlöschung um?
• Unterauftragsverarbeiter: Welche Dritten verarbeiten unsere Daten, und wo?

Stelle jedem Anbieter dieselben Fragen, auch uns. Antworten auf die Fragen zu Modellanbietern und Prompt Injection solltest du schriftlich vom Anbieter bekommen, nicht aus einem Blogbeitrag, weil sie von Verträgen abhängen und sich mit der Zeit ändern.

Chargezen ist nach SOC 2 Type II zertifiziert und unterstützt Single Sign-on (SSO) mit SAML 2.0; siehe das Trust Center und die Seite zur Sicherheit. In Concierge sind diese Kontrollen heute im Produkt (Details in Sicherheit für Agenten):

• Zugriff pro Agent: Auf der Seite Configure Agent jedes Agenten hakst du nur an, was er abfragen oder tun darf und in welchen Kanälen er antwortet. Ein Agent ohne eine Fähigkeit kann sie nicht nutzen, egal wie man ihn fragt.
• Kunden weisen sich aus: Bevor ein Agent private Bestell- oder Kontodaten teilt oder das Konto eines Kunden ändert, bestätigt der Kunde einen Anmeldecode.
• Eigene Ideen warten auf ein Ja: Änderungen, die jemand ausdrücklich anfordert, laufen ohne separate Freigabe. Bei allem, was der Agent von sich aus vorschlägt, fragt er zuerst, als Angebot. In einer geplanten Aufgabe, bei der niemand dabei ist, braucht ein Schritt, der Schaden anrichten könnte, die dauerhafte Erlaubnis oder die Freigabe eines Teammitglieds. Agenten eröffnen Rücksendungen; Erstattungen bleiben bei deinem Team.
• Ein eigener Computer pro Aufgabe: Braucht eine Aufgabe Code, Tabellen oder Dateien, bekommt der Agent einen eigenen Computer, abgeschottet von deinen anderen Systemen. Er wird nach getaner Arbeit heruntergefahren, und die nächste Aufgabe beginnt auf einem frischen.
• Anmeldungen bleiben bei dir: Braucht eine Website eine Anmeldung, übergibt dir der Agent den Bildschirm, damit du dich selbst anmeldest. Dein Passwort kommt nie in den Chat.
• Ein Protokoll jedes Schritts: Jede Anfrage, Freigabe, Tool-Nutzung und Antwort wird im Gespräch und unter Operate > History gespeichert.
• Erinnerung, die die Privatsphäre achtet: Agenten lernen, wie dein Unternehmen arbeitet, nie, wer deine Kunden sind. Jede Erinnerung hat eine Zielgruppe, und Forget löscht sie endgültig.
• Geprüfte Verbindungen: ChatGPT, Claude und andere Assistenten melden sich per OAuth an, handeln als das Teammitglied, das sie verbunden hat, und verlieren den Zugriff, wenn du sie trennst oder dieses Teammitglied entfernst. Bei Slack-Anfragen wird die Signatur geprüft.
• Aufbewahrung: Anrufaufnahmen werden so viele Tage aufbewahrt, wie du festlegst (1 bis 3.650), und dann automatisch gelöscht, es sei denn, du setzt eine auf Legal Hold. Anträge auf Löschung von Shopify-Kundendaten werden bearbeitet.
• Getrennte Berechtigungen für dein Team: Concierge ansehen, Gespräche und Agenten verwalten, Kanaleinstellungen ändern und Aufnahmen verwalten sind getrennte Berechtigungen.

• Erstelle einen Agenten mit einer Aufgabe und den wenigsten Fähigkeiten, die diese Aufgabe braucht.
• Teste ihn im Playground mit echten Fragen, bevor er auf Kunden trifft.
• Lege deine Richtlinie für Anrufaufnahmen fest, bevor du Telefonie einschaltest.
• Entscheide, wer in deinem Team Agenten und Kanäle verwalten darf.
• Prüfe in der ersten Woche jeden Tag den Gesprächsverlauf.

Concierge gibt deinem Shop digitale Mitarbeiter mit den oben genannten Kontrollen ab Werk: Freigaben, einen eigenen Computer pro Aufgabe, einen Browser, der Anmeldungen dir überlässt und Datenschutzkontrollen. Concierge Starter kostet US$20 pro Monat mit 20.000 Credits. Pro kostet US$199 pro Monat oder US$1.990 pro Jahr mit 199.000 Credits. Weitere Credits kosten US$1 pro 1.000, Telefon- und SMS-Gebühren werden nach Verbrauch abgerechnet, und es gibt keine Gebühren pro Nutzer. Siehe Preise.

Glossar: Zugriff nach dem Minimalprinzip, Übergabe von Zugangsdaten, Agent-Sandbox, OAuth, Schatten-KI, KI-Leitplanken, Protokoll, Computer Use und Browser-Agent. Lies als Nächstes: wie du einen Menschen im Prozess hältst, wie du einen KI-Support-Agenten in vier Phasen einführst und Kann ein allgemeiner KI-Agent deinen Shopify-Support übernehmen?

Ja, wenn jeder Agent nur den Zugriff hat, den seine Aufgabe braucht, seine eigenen Ideen auf ein Ja warten, Erstattungen bei deinem Team bleiben und jeder Schritt protokolliert wird. Meide Tools, die dein Admin-Passwort verlangen.

Nein. Bevorzuge integrierte Verbindungen und OAuth. Muss ein Agent eine Website nutzen, die eine Anmeldung braucht, sollte sich ein Mensch anmelden. In Concierge übergibt dir der Agent den Bildschirm, und dein Passwort kommt nie in den Chat.

Ja. Chargezen ist nach SOC 2 Type II zertifiziert und unterstützt Single Sign-on mit SAML 2.0. Details findest du im Trust Center.

Prompt Injection ist Text, der in einer E-Mail, Webseite oder Datei versteckt ist und einen KI-Agenten zu etwas verleiten will, worum du nicht gebeten hast. Frag jeden Anbieter schriftlich, wie er sich dagegen schützt, und begrenze, was jeder Agent darf.