Der Agent schreibt Firewall-Regeln. Wer zeichnet die Änderung?

Im Mai 2026 hat die Firewall-Branche eine Linie überschritten, auf die sie zwei Jahre lang zugelaufen war. Check Point brachte eine agentische Orchestrierungsplattform für Netzwerksicherheitsrichtlinien auf den Markt: autonome Agenten, die Netzwerksicherheitsoperationen in Unternehmensumgebungen ohne permanente menschliche Eingriffe ausführen. Tufin, Cato und Cisco haben eigene Varianten geliefert. Der Agent schlägt die Änderung nicht mehr vor. Er führt sie durch. Und jeder existierende Firewall-Änderungsprozess wurde unter der Annahme geschrieben, dass ein Mensch verfasst hat, was da genehmigt wird.

Diese Annahme stimmt nicht mehr, und kaum jemand hat die Unterlagen angepasst, die darauf aufbauen. Das ist kein Argument gegen agentische Richtlinienverwaltung. Die Hersteller haben ein reales und teures Problem korrekt erkannt. Es ist ein Argument dafür, dass die Hälfte, die sie automatisiert haben, nicht die tragende Hälfte war.

Was tatsächlich ausgeliefert wurde

Die Agentic Network Security Orchestration Platform von Check Point baut auf einem Netzwerk-Wissensgraphen auf: ein lebendes relationales Modell der Kundenumgebung, laufend aktualisiert mit Topologie, Verkehrsflüssen, Asset-Abhängigkeiten und Echtzeit-Konfigurationsdaten. Die erklärte Stoßrichtung geht von Tausenden statischer Regeln hin zu intent-basierter Richtlinie und von fragmentierter herstellerspezifischer Verwaltung hin zu einer einzigen Orchestrierungsschicht. Policy Auditor, Policy Insights und AI Assist sind allgemein verfügbar; die Agentenkomponenten sind in einem Early-Availability-Programm, eine breitere Vorschau ist für das zweite Halbjahr 2026 angekündigt.

Das Unternehmen benennt das Problem erfrischend deutlich. Ein einzelner Änderungsantrag braucht in seiner Darstellung zwei bis vier Wochen durch Analyse, Sicherheitsprüfung und Richtlinienabhängigkeiten, nur um dann etwas anderes zu brechen und den Zyklus neu zu starten. Wer je in einem Change Advisory Board saß, erkennt diesen Satz. Er ist die ehrliche Beschreibung von Firewall-Änderungsmanagement in einer großen Landschaft, und deshalb funktioniert der Pitch.

Cato liefert autonome Richtlinienverwaltung für Firewall-as-a-Service. Tufin hat ein herstellerübergreifendes agentisches Angebot. Cisco kündigte im Februar 2026 intent-basierte agentische Inspektion neben seiner AgenticOps-Arbeit an. Das ist nicht ein experimentierender Hersteller. Das ist die Kategorie in Bewegung.

Die Hersteller haben beim Problem recht

Die Argumentation für agentische Richtlinienarbeit ist aus sich heraus stark, und der ehrliche Weg sie zu bewerten ist, zu benennen, was der klassische Prozess eigentlich vorausgesetzt hat.

Jede Zeile in der rechten Spalte ist eine Governance-Veränderung, keine technische. Keine davon wird durch einen besseren Wissensgraphen gelöst.

Die Zahl, bei der man innehalten sollte

Der CISO AI Risk Report 2026 von Saviynt und Cybersecurity Insiders befragte 235 CISOs, CIOs und leitende Sicherheitsverantwortliche in den USA und Großbritannien. Nur 5 Prozent waren zuversichtlich, einen kompromittierten KI-Agenten eindämmen zu können. 95 Prozent bezweifelten, Missbrauch überhaupt erkennen oder stoppen zu können, und 92 Prozent berichteten von keinerlei belastbarer Sichtbarkeit auf KI-Identitäten in ihrer Umgebung.

Präzise bleiben, was diese Umfrage misst: KI-Identitäten allgemein, nicht Firewall-Agenten im Besonderen. Sie ist keine Studie über agentische Richtlinienverwaltung. Aber sie ist der beste verfügbare Anhaltspunkt dafür, ob die Organisationen, denen gerade Schreibzugriff auf ihre Firewall-Landschaft verkauft wird, glauben, einen entgleisten Agenten aufhalten zu können. Die Antwort: einer von zwanzig glaubt das, und die anderen neunzehn kaufen trotzdem.

Alle prüfen den Vorschlag. Den Nachweis hat niemand neu gebaut.

Wer die Ankündigungen dieser Produkte liest, bemerkt, dass die gesamte Sicherheitsargumentation um Vorschlagsqualität kreist. Der Agent liest den Graphen. Er prüft Abhängigkeiten. Er verifiziert vor dem Handeln. Er legt seine Arbeit offen. All das ist echte Ingenieursarbeit und all das verbessert die Änderung, die vorgeschlagen wird.

Firewall-Änderungsmanagement ging nie in erster Linie um Vorschlagsqualität. Es ist ein Verantwortungsnachweis. Reduziert man es auf den Kern, beantwortet es vier Fragen: Wer hat das beantragt, wer hat es geprüft, wer hat es genehmigt, und kann diese Person begründen warum. Unser siebenstufiger Änderungsprozess existiert, um Antworten auf diese vier Fragen in einer Form zu erzeugen, die zwei Jahre später ein Audit übersteht.

Eine agentisch verfasste Änderung bricht die vierte Frage vollständig. Sie höhlt außerdem die zweite und dritte auf eine Weise aus, die leicht zu übersehen ist: Der Prüfer prüft jetzt etwas, das er nicht geschrieben hat, erzeugt in einem Tempo, das kein Mensch erreicht, in einem System, dessen Begründung eine Ableitung statt einer Argumentation ist. Die Unterschrift wird weiterhin eingeholt. Was sie bezeugt, hat sich still verschoben von „Ich verstehe diese Änderung“ zu „Ich habe dieser Änderung nicht widersprochen“. Das sind zwei verschiedene Kontrollen mit demselben Nachweisartefakt.

Der Genehmigungsdurchsatz ist der eigentliche Fehlermodus

Ein Zielkonflikt steht in keinem Ankündigungstext. Angenommen, der Agent arbeitet exakt wie beworben und liefert eine korrekte, abhängigkeitsgeprüfte Änderung in neunzig Sekunden. Ihr Change Advisory Board tagt weiterhin dienstags. Aus dem Zwei-bis-vier-Wochen-Zyklus ist ein Neunzig-Sekunden-Vorschlag plus zwei Wochen Warten geworden, und gewonnen haben Sie nichts.

Also entsteht sofort Druck: im Agententempo genehmigen. Und der einzige Weg, im Agententempo zu genehmigen, führt darüber, zu reduzieren was Genehmigung bedeutet. Jede Organisation, die das einführt, trifft diese Entscheidung etwa im dritten Monat, und die meisten lösen sie, indem sie die Prüfung still abwerten, statt einzugestehen, dass der Durchsatzgewinn nie verfügbar war.

Die verteidigbare Auflösung besteht darin, aufzuhören, alle Änderungen als eine Klasse zu behandeln. Der Agent handelt autonom innerhalb eines begrenzten, umkehrbaren Rahmens, alles außerhalb geht an eine echte menschliche Prüfung, die ihre alte Bedeutung behält. Das ist dieselbe Logik wie bei Zero-Trust-Änderungssteuerung: Die Kontrolle ist proportional zur Schadensreichweite, nicht einheitlich über alle Anträge.

Was vor der Freischaltung schriftlich festliegen muss

• Der Agent bekommt eine eigene Identität. Kein geteiltes Dienstkonto, kein geliehener Admin-Zugang. Er ist eine nicht-menschliche Identität und braucht denselben Lebenszyklus, dieselbe Eigentümerschaft und denselben Entzugspfad wie jede andere.
• Die Schadensreichweite explizit begrenzen. Zonen, Regelwerke und Objektgruppen benennen, die er anfassen darf, und alles andere standardmäßig als außerhalb behandeln statt durch Auslassung.
• Eine feste Nie-Liste führen, die keine Absicht überschreibt. Management-Plane-Zugriff, die Deny-All-Absicherung, domänenübergreifende Regeln. Ein intent-basiertes System findet sonst einen technisch korrekten Weg daran vorbei.
• Begründung als Artefakt erfassen, nicht als Logzeile. Die Frage des Prüfers lautet warum, und „das Modell hat es so ermittelt“ ist keine Antwort. Absicht, Ableitung und Graphzustand zum Entscheidungszeitpunkt speichern.
• Rollback ausdrücklich an einer agentisch erzeugten Änderung testen. Ein an menschlichen Änderungen geprobtes Rollback beweist nichts über eine Änderung, die niemand im Team verfasst hat.
• Pro Änderungsklasse einen Menschen benennen. Nicht pro Änderung, das skaliert nicht, und nicht pro Plattform, das ist bedeutungslos. Pro Klasse, mit einer realen Person, der das Ergebnis gehört.
• Drifterkennung unabhängig vom Agenten halten. Wenn dasselbe System Änderungen durchführt und darüber berichtet, ist Drifterkennung keine Kontrolle mehr, sondern eine Selbsteinschätzung.

Die Debatte hinkt dem Produkt hinterher

Eine Beobachtung aus der Sichtung der letzten dreißig Tage Praktikerdiskussion: Zu genau diesem Thema gibt es fast keine. Agenten mit Root-Rechten, Sandboxing für nicht vertrauenswürdigen Agentencode und die Rechtspersönlichkeit von Agenten erzeugen echte Debatte. Agenten mit Schreibzugriff auf produktive Firewall-Richtlinien, ausgeliefert von vier großen Herstellern, erzeugen so gut wie nichts.

Dieses Schweigen sollte man benennen statt es mit erfundenem Konsens zu füllen. Die Produkte kamen im Mai. Die Governance-Debatte hat nicht begonnen. In dieser Branche ist diese Reihenfolge, erst Fähigkeit und dann Kontrolldiskussion, verlässlich der Ort, aus dem die nächste Runde Vorfälle kommt.

Das ist nicht dasselbe wie KI, die Ihr Regelwerk liest

Klar abzugrenzen vom benachbarten Thema, weil beides in Herstellergesprächen vermischt wird. Ein Modell zu nutzen, um ein bestehendes Regelwerk zu analysieren und zu klassifizieren, ist ein Lesevorgang. Der schlimmste Fehlerfall ist eine falsche Empfehlung, die ein Mensch anschließend verwirft, und der Preis des Irrtums ist eine Stunde Prüfzeit. Schreibzugriff dreht das um: Der schlimmste Fehlerfall ist eine korrekt aussehende Änderung, die in Produktion landet, und der Preis ist ein Ausfall oder eine Exposition. Dieselbe zugrundeliegende Technik, eine völlig andere Risikoklasse, und die Governance der einen ist keine Obermenge der anderen.

Warum das zählt

Der Firewall-Änderungsprozess ist eine der wenigen Kontrollen, die verlässlich Nachweise erzeugt, die Prüfer akzeptieren. Aus ihm wird ein NIS2-Nachweispaket gebaut, und dieselben Aufzeichnungen tragen unter DORA und ISO 27001. Diese Nachweise haben aus einem einzigen Grund Wert: Ein benannter Mensch war für jeden Eintrag verantwortlich und konnte gefragt werden, warum.

Wer die Verfassung automatisiert, ohne die Verantwortlichkeit neu zu bauen, hat die Kontrolle nicht modernisiert. Er hat einen nachweiserzeugenden Prozess in eine Logdatei verwandelt, und er erfährt während eines Audits, welches von beidem er hat, statt vorher. Die Agenten kommen ohnehin, und sachlich betrachtet sollten sie das auch. Bauen Sie erst den Nachweis neu.

Kostenlosen NIS2-Check starten →