Was ist der Unterschied zwischen einem KI-Agenten und einem Workflow?

Der Unterschied ist der Grad an Eigenständigkeit. Ein Workflow führt ein Modell und Werkzeuge über fest definierte Pfade — jemand hat vorher entschieden, was in welcher Reihenfolge passiert. Ein Agent steuert seinen Ablauf selbst und entscheidet zur Laufzeit, welches Werkzeug er wann einsetzt. Für die meisten Aufgaben im Unternehmen ist der Workflow die bessere Wahl: klarer Start, klares Ende, jeder Schritt prüfbar — und deutlich günstiger.

Was ist der Unterschied zwischen einem Skill und einem Werkzeug?

Ein Skill ist eine Anleitung: Er sagt dem Agenten, wie etwas gemacht wird, und wird geladen, wenn er zur Aufgabe passt. Ein Werkzeug beziehungsweise ein MCP-Zugang ist ein Zugang: Er ermöglicht, etwas Neues zu erreichen. Wenn ein Anbieter sagt „wir geben dem Agenten Skills“, lohnt die Rückfrage, was gemeint ist — Wissen ist harmlos, Zugänge sind es nicht.

Welche Fragen sollte ich einem KI-Anbieter stellen?

Fünf: Welche Daten erreicht das System überhaupt? Wo werden sie verarbeitet? Gibt es einen Auftragsverarbeitungsvertrag? Werden die Daten zum Training verwendet? Und lässt sich im Nachhinein nachweisen, was passiert ist? Das ersetzt keine Rechtsberatung, deckt aber die Fragen ab, die Datenschutzbeauftragte ohnehin stellen.

Muss ich als Geschäftsführer selbst KI-Systeme bauen können?

Nein — aber du musst sie unterscheiden können. Seit Februar 2025 verlangt Artikel 4 des EU AI Act zudem, dass Betreiber ausreichende KI-Kompetenz des Personals sicherstellen, das mit solchen Systemen arbeitet. Kompetenz heißt dort verstehen und beurteilen können, nicht programmieren. Hilfreich ist trotzdem, einmal selbst den einfachsten Agenten aufgesetzt zu haben — danach sind es keine Wörter mehr, sondern Vorstellungen.

Chatbot, Agent, Workflow, MCP: Die KI-Begriffe sauber sortiert

Q: Was ist MCP einfach erklärt?

MCP (Model Context Protocol) ist ein offener Standard, über den KI-Systeme mit den Orten verbunden werden, an denen Daten liegen — Postfach, CRM, Dateiablage. Vorher brauchte jede Kombination aus Modell und Werkzeug eine eigene Anbindung: bei zehn Modellen und zehn Werkzeugen also hundert Einzellösungen. Mit dem Standard sind es zwanzig. Wichtig: MCP macht einen Agenten nicht klüger, sondern größer — es erweitert seine Reichweite, nicht seine Urteilskraft.

Q: Reicht es, einem KI-Agenten im Prompt zu verbieten, bestimmte Dinge zu tun?

Nein. Ein Prompt ist eine Bitte im selben Kanal, in dem der Agent auch alles andere liest — er steht gleichberechtigt neben jedem Text, den der Agent unterwegs findet, und kann davon überschrieben werden. Ein Recht dagegen liegt außerhalb des Gesprächs. Der Prompt ist die Dienstanweisung, das Zugriffsrecht ist die Schließanlage. Wirksam sind nur Maßnahmen, die tatsächlich Autonomie oder Reichweite verkürzen.

Agent. Assistent. Workflow. Skill. MCP. Fünf Wörter, die in deinem letzten Meeting gefallen sind — und wenn man ehrlich ist, meinen die meisten, die sie benutzen, damit nicht dasselbe.

Das ist kein Bildungsproblem. Es gibt für diese Begriffe keine allgemein verbindliche Definition, und jeder Anbieter labelt anders. Genau deshalb sitzt man irgendwann in einem Gespräch, in dem jemand einen KI-Agenten für einen fünfstelligen Betrag anbietet — und man kann nicht beurteilen, ob das Angebot angemessen ist, ob es riskant ist, oder ob ein einfacher automatisierter Ablauf dieselbe Aufgabe für einen Bruchteil löst.

Dieser Artikel sortiert das Feld. Nicht alphabetisch wie ein Glossar, sondern entlang der zwei Fragen, die tatsächlich über Nutzen und Risiko entscheiden.

Die zwei Achsen

Jedes KI-System lässt sich auf zwei Achsen verorten:

Autonomie — wie viel entscheidet das System selbst?
Reichweite — was kann es erreichen?

Alles andere — Chatbot, Agent, Skill, MCP — ist eine Position auf einer dieser beiden Achsen. Und das Risiko ist das Produkt aus beiden.

Die Landkarte in einem Bild: Links unten ist alles harmlos, rechts oben gehören Leitplanken hin. Dazwischen liegt jedes System, das bei dir im Unternehmen läuft.

Achse 1: Autonomie — wie viel entscheidet es selbst?

Die entscheidende Frage auf jeder Stufe lautet: Wer entscheidet den nächsten Schritt?

Chatbot

Folgt Skripten und Entscheidungsbäumen. Auch KI-gestützte Chatbots folgen festgelegten Mechaniken — nur nicht als starre Programmlogik, sondern als Anweisung in Textform: Frag das, und wenn der Nutzer so antwortet, mach jenes.

Wer entscheidet: der Hersteller, vorab. Wofür gut: Kundensupport, internes Wiki, immer wiederkehrende Fragen. Für dich heißt das: Wenn dir dafür ein großes KI-Projekt angeboten wird, ist die eigentliche Frage der Preis — nicht die Technik.

Assistent

Hilft einer Person, produktiver zu sein: zusammenfassen, entwerfen, erinnern, Texte bauen. Er arbeitet mit dem, was du ihm gibst, und liefert zurück.

Wer entscheidet: du, jedes Mal. Für dich heißt das: Das ist die Stufe, auf der die meisten in deinem Unternehmen heute arbeiten. Weil bei jedem Schritt ein Mensch dazwischensteht, ist das Risiko gering — solange keine sensiblen Daten in ein privates Konto wandern.

Workflow (Automatisierung)

Ein Modell plus Werkzeuge auf fest definierten Pfaden. Das Bild dafür: eine Rohrleitung mit Schleusen. Das Wasser fließt dorthin, wo jemand eine Klappe gebaut hat. Was es nie tun wird: einfach rückwärts fließen, weil es das für besser hält.

Wer entscheidet: der Entwickler, vorab. Innerhalb des Ablaufs übernimmt das Modell einzelne Aufgaben. Für dich heißt das: Klarer Start, klares Ende, jede Abzweigung prüfbar — und du kannst sehr genau festlegen, was passieren darf.

Hier steckt die wichtigste Erkenntnis dieses Artikels: Die meisten Probleme, für die ein „Agent” angeboten wird, löst ein Workflow besser. Er ist billiger, schneller und nachvollziehbar. Selbst Anthropic — einer der führenden Modellanbieter — empfiehlt in der eigenen Entwickler-Dokumentation, mit einfachen Lösungen zu starten und Eigenständigkeit erst hinzuzufügen, wenn der Nutzen die höheren Kosten, längeren Laufzeiten und die zusätzliche Komplexität aufwiegt.

Agent

Steuert seinen eigenen Ablauf und entscheidet selbst, welches Werkzeug er wann einsetzt. Du gibst ihm Zugänge — Postfach, Kalender, CRM, Dateiablage — und ein Ziel.

Wer entscheidet: das System, zur Laufzeit. Für dich heißt das: Ab hier wird es ernst. Der Agent trifft Entscheidungen, die du ihm nicht gesagt hast. Das ist seine Stärke — und der Punkt, ab dem Leitplanken keine Kür mehr sind.

Autonomer Agent

Verfolgt ein Ziel über lange Strecken, ohne zwischendurch zu fragen. Baut sich dabei ein Gedächtnis auf und läuft, bis er fertig ist.

Für dich heißt das: Das Leistungsfähigste, was derzeit verfügbar ist — und das Riskanteste. Ein Beispiel, das jeder sofort versteht: Gib so einem Agenten vollen Zugriff auf dein Postfach. Er kann alles lesen. Er kann aber auch alles löschen, an alle schreiben und im Kalender aufräumen. Wenn er sich verrennt, weil er glaubt, das bringe ihn ans Ziel, tut er genau das. Ohne böse Absicht.

Subagenten

Ein führender Agent startet mehrere Arbeiter parallel — jeder mit einer Teilaufgabe und einem eigenen Gedächtnis. Beispiel Recherche zu einer Person: Einer sucht den beruflichen Werdegang, einer die Social-Media-Profile, einer redaktionelle Beiträge. Die Ergebnisse fließen gefiltert zum Hauptagenten zurück.

Für dich heißt das: Wie ein Büro, in dem du drei Leuten je einen Auftrag gibst. Schnell und stark. Der Haken: Die Arbeiter entscheiden eigenständig — und laufen aus Kostengründen oft mit einem kleineren Modell, das Zusammenhänge nicht immer versteht.

„Agent” ist kein Gütesiegel. Höhere Autonomie ist nicht besser — sie ist teurer, langsamer und schwerer zu prüfen. Die Frage ist nie „ist es ein Agent?”, sondern „braucht diese Aufgabe überhaupt einen?”.

Achse 2: Reichweite — was kann es erreichen?

Diese Frage wird fast immer vergessen. Dabei ist sie die gefährlichere, denn sie entscheidet über den Schaden, den ein Fehler anrichten kann.

Stufe	Was dazukommt	Was jetzt möglich ist
Nur Chat	nichts	reden
+ Kontext	Dateien, Wissen, eure Daten	auf eurem Material arbeiten
+ Werkzeuge	Integrationen, MCP	in andere Systeme greifen
+ Schreibrechte	darf ändern	Daten verändern
+ Löschrechte	darf entfernen	Daten vernichten
+ Produktivsysteme	das echte System	den Betrieb beeinflussen

MCP — der Standard hinter den Zugängen

MCP steht für Model Context Protocol, einen offenen Standard, um KI mit den Orten zu verbinden, an denen Daten liegen. Veröffentlicht im November 2024 von Anthropic, inzwischen faktischer Industriestandard.

Das Problem, das es löst: Vorher brauchte jede Kombination aus Modell und Werkzeug eine eigene Anbindung. Bei zehn Modellen und zehn Werkzeugen wären das hundert Einzellösungen. Implementiert jede Seite den Standard einmal, sind es zwanzig. Anthropic selbst nennt es „USB-C für KI” — das Bild hinkt, trifft aber den Kern: ein Anschluss statt für jedes Gerät ein eigenes Kabel.

Die Pointe, die kaum jemand sieht: MCP ändert an der Autonomie nichts. Kein Agent wird dadurch klüger. Er wird nur größer — er erreicht mehr. Genau deshalb wird es unterschätzt: Es fühlt sich an wie eine Integration und wirkt wie eine Schlüsselübergabe.

Skill — eine Anleitung, kein Zugang

Ein Skill ist ein Ordner mit Anweisungen und optionalen Hilfsmitteln. Der Agent lädt ihn automatisch, wenn er zur Aufgabe passt. Vereinfacht: Im Skill steht „dieser Ablauf gilt, wenn eine Angebots-E-Mail geschrieben werden soll” — und wie sie auszusehen hat.

Der Unterschied zum Werkzeug ist der wichtigste Satz dieses Abschnitts:

	Was es gibt	Auf welcher Achse
Werkzeug / MCP	Zugang — er kann etwas Neues erreichen	Reichweite
Skill	Anleitung — er weiß, wie man etwas macht	keine von beiden

Deshalb lohnt die Rückfrage, wenn jemand sagt „wir geben dem Agenten Skills”: Ist Wissen gemeint oder sind Zugänge gemeint? Dieselbe Vokabel, zwei völlig verschiedene Risiken. (Ausnahme, der Vollständigkeit halber: Ein Skill kann ausführbare Bausteine mitbringen — dann trägt er doch Reichweite mit sich. Die Prüffrage bleibt dieselbe.)

Die Formel: Risiko = Autonomie × Reichweite

Mal, nicht plus. Ist ein Faktor null, ist das Ergebnis null:

Ein hochautonomer Agent ohne Zugriff auf irgendetwas ist harmlos.
Ein simples Skript mit Löschrechten auf dem Produktivsystem ist es nicht.

Drei Beispiele, durchgerechnet:

Setup	Autonomie	Reichweite	Risiko
Mitarbeiter textet im Chat	niedrig	nur Chat	unkritisch*
Agent recherchiert, liest nur	hoch	nur lesen	mittel — Fehler kosten Qualität, nicht Bestand
Agent räumt nachts das CRM auf	hoch	Schreiben auf Produktiv	hoch — hier gehören Leitplanken hin

* mit einer Einschränkung: Sobald jemand Integrationen zum Postfach oder Kalender hinzufügt, verschiebt sich die Reichweite — und aus „unkritisch” wird etwas anderes.

Der Selbsttest: Nimm das KI-System, das bei dir gerade läuft oder angeboten wird. Wo steht es auf beiden Achsen? Wenn du das nicht beantworten kannst, ist genau das dein Ergebnis.

Leitplanken: was wirkt und was nur so aussieht

Der Satz, der in fast jedem Unternehmen fällt, wenn man fragt, wie die KI abgesichert ist: „Ich hab ihm im Prompt geschrieben, dass er das nicht darf.”

Das wirkt nicht. Ein Prompt ist eine Bitte im selben Kanal, in dem der Agent auch alles andere liest. Er steht gleichberechtigt neben jedem Text, den der Agent unterwegs findet — und kann von genau diesem Text überschrieben werden. Ein Recht dagegen liegt außerhalb des Gesprächs.

Ebene	Greift auf	Beispiele	Wirkt?
Technisch	Reichweite	getrennte Zugänge, Nur-Lese-Rechte, kein Produktivzugriff, Zugangsdaten außerhalb des Agenten	Ja
Prozessual	Autonomie	Freigabe vor jeder Änderung, Mensch im Ablauf, Eskalationsweg	Ja, kostet Komfort
Im Prompt	nichts	„du darfst diese Tabelle nicht anfassen”	Nein

Der Merksatz: Eine Leitplanke wirkt nur, wenn sie eine der beiden Achsen tatsächlich verkürzt. Alles andere ist Deko.

Das Bild dazu: Der Prompt ist die Dienstanweisung. Das Zugriffsrecht ist die Schließanlage. Du brauchst beides — aber niemand sichert ein Lager mit einer Dienstanweisung.

Praktisch heißt das nicht „alles sperren”, sondern zuschneiden: Ein Agent darf Postfach-Einträge lesen, aber nichts versenden und nichts löschen. Er darf Entwürfe anlegen — die schaust du dir an. Das ist der Unterschied zwischen einem Werkzeug und einem Risiko.

Fünf Fragen für jedes Anbietergespräch

Kein Rechtsrat — aber das sind die Fragen, die ein Datenschutzbeauftragter ohnehin stellt:

Welche Daten erreicht das System überhaupt? (reine Reichweiten-Frage)
Wo werden sie verarbeitet? Europa, USA, China — oder lokal bei euch?
Gibt es einen Auftragsverarbeitungsvertrag mit dem Anbieter?
Werden die Daten zum Training der Modelle verwendet?
Lässt sich im Nachhinein nachweisen, was passiert ist?

Die Pointe steckt in Frage 4: Ob dein Team ein privates Abo oder ein Geschäftskonto nutzt, ist kein Preisthema. Es ist ein Reichweiten-Thema — dieselbe Oberfläche, ein anderer Datenweg. Wer ein Transkript mit personenbezogenen Daten in ein privates Konto lädt, hat unter Umständen mehrfach gegen Datenschutzrecht verstoßen, ohne es zu merken.

Und der Punkt, der vielen neu ist: KI-Kompetenz im Unternehmen ist seit dem 2. Februar 2025 keine Kür mehr. Artikel 4 des EU AI Act verlangt von Betreibern, ausreichende Kompetenz des Personals sicherzustellen, das mit solchen Systemen arbeitet. Kompetenz heißt dort ausdrücklich nicht programmieren können — sondern verstehen und beurteilen können.

Was du mitnimmst

Dein Job wird nicht handwerklicher. Er wird entscheidungsintensiver. Und genau deshalb fühlt er sich technischer an, obwohl niemand von dir verlangt, selbst zu entwickeln.

Zwei Modelle sagen dasselbe aus verschiedenen Richtungen: BCG rechnet mit 10-20-70 — zehn Prozent Algorithmen, zwanzig Prozent Technologie und Daten, siebzig Prozent Menschen und Prozesse. Mein eigenes Arbeitsprinzip ist 10-80-10 — zehn Prozent Planung durch mich, achtzig Prozent Ausführung durch die KI, zehn Prozent Prüfung durch mich. Das Wenigste liegt in der Technik.

Warum die letzten zehn Prozent nicht wegfallen: Ein Modell merkt nicht, dass es falsch liegt. Es klingt bei einer Erfindung genauso souverän wie bei einer richtigen Antwort. Es gibt keine Fehlermeldung — nur eine gut klingende Behauptung. Stell dir vor, du steuerst deinen Vertrieb über Kennzahlen, die nicht stimmen, und merkst es einen Monat später.

Drei Fragen für Montagmorgen:

Wo steht unser größtes KI-System auf den beiden Achsen?
Welche unserer Leitplanken verkürzt wirklich eine Achse — und welche ist Deko?
Wer bei uns hat schon einmal selbst einen Agenten aufgesetzt?

Zur letzten Frage noch ein Rat: Niemand erwartet von einem Geschäftsführer, Abläufe zu entwickeln. Aber einmal den einfachsten Agenten selbst aufgesetzt und bedient zu haben, ist eine völlig andere Erfahrung als davon zu lesen. Danach klingen dieselben Wörter anders — und du kannst dein Team befähigen, statt nur Lizenzen zu kaufen.