Grundlagen von KI-Agenten: ReAct, Tool Use und Multi-Agent-Systeme

Was unterscheidet einen KI-Agenten von einem Chatbot?

Ein Chatbot beantwortet eine Frage innerhalb seines Kontextfensters und ist danach fertig. Ein KI-Agent bekommt ein Ziel, zerlegt es in Schritte, ruft Werkzeuge auf, bewertet das Ergebnis und entscheidet selbst, was als Nächstes passiert. Der Unterschied liegt nicht in der Modellqualität. Er liegt darin, ob das System handeln darf.

Praktisch heißt das: Ein KI-Agent liest Datenbanken, ruft APIs auf, führt Code aus und schreibt Ergebnisse zurück in Ihre Systeme. Der Chatbot formuliert einen Text. Wer diese Grenze verwischt, kauft am Ende ein Sprachmodell mit Weboberfläche und wundert sich über die Rechnung.

Die vierte Zeile ist die entscheidende. Ein Chatbot, der halluziniert, kostet Vertrauen. Ein Agent mit Schreibrechten, der halluziniert, verändert Daten in Ihrem ERP. Ein Agentenprojekt ist deshalb zu großen Teilen ein Berechtigungs- und Betriebsprojekt. Die Modellwahl ist der kleinere Teil.

Ob Ihr Anwendungsfall überhaupt einen Agenten braucht, ist eine eigene Frage. Wir haben sie in Chatbot, n8n oder KI-Agent gegen die Betriebskosten gerechnet.

Wie funktioniert das ReAct-Muster?

ReAct steht für Reason and Act. Statt in einer einzigen Antwort alles zu lösen, wechselt das Modell zwischen Gedanke, Aktion und Beobachtung, bis das Ziel erreicht ist. Shunyu Yao und Kollegen haben das Muster am 6. Oktober 2022 veröffentlicht (arXiv 2210.03629), vorgestellt auf der ICLR 2023.

Der Zyklus an einem Beispiel

1. Gedanke: „Den gestrigen Schlusskurs kenne ich nicht, ich muss suchen.“
2. Aktion: search_web("Tesla stock price yesterday")
3. Beobachtung: Der Suchdienst liefert einen Kurs zurück.
4. Gedanke: Die Datenlage reicht für eine belegte Antwort.
5. Endantwort mit Quellenangabe.

Der Nutzen ist gemessen. Im Originalpapier verbessert ReAct die absolute Erfolgsrate auf ALFWorld um 34 Prozentpunkte gegenüber Imitation- und Reinforcement-Learning-Baselines, auf WebShop um 10 Prozentpunkte mit ein bis zwei In-Context-Beispielen.

Die Schwächen sind ebenso bekannt. Die Schrittzahl ist nicht begrenzt, ein Fehler in einer Beobachtung wandert durch die gesamte Trajektorie, und der Kontext wächst mit jedem Durchlauf. Reflexion (arXiv 2303.11366) setzt genau hier an: Nach einem Fehlschlag schreibt das Modell eine Selbstkritik in einen Episodenspeicher. Auf AlfWorld steigt die Erfolgsrate damit auf 97 % gegenüber 75 % bei reinem ReAct.

Warum hat Function Calling den ReAct-Scratchpad abgelöst?

Im Originalmuster schreibt das Modell seine Aktionen als Freitext, den Ihr Code mit regulären Ausdrücken herausschneiden muss. Ein Formatfehler wird damit zum Laufzeitfehler. Seit 2023 liefern OpenAI, Anthropic und Google strukturierte Tool-Calls gegen ein JSON-Schema zurück. Der Denkzyklus ist geblieben, die Transportschicht ist eine andere.

Wie ein Werkzeugaufruf abläuft

1. Sie deklarieren jedes Werkzeug mit Namen, Beschreibung und Parameterschema.
2. Das Modell wählt anhand des Kontexts das Werkzeug und die Argumente.
3. Ihr System führt den Aufruf aus, nicht das Modell.
4. Sie geben die Ausgabe strukturiert an das Modell zurück.
5. Das Modell entscheidet zwischen einem weiteren Aufruf und der Endantwort.

Schritt drei ist die Stelle, an der Sicherheit entsteht oder verloren geht. Das Modell schlägt einen Aufruf vor, ausgeführt wird er von Ihrem Code, mit Ihren Rechten und Ihrer Protokollierung. Wer diese Trennung auflöst, gibt einem Sprachmodell direkten Zugriff auf Produktivsysteme.

Typische Werkzeugklassen

• Suche im Web oder in einem eigenen Index
• Datenbankabfragen, klassisches SQL wie Vektorsuche
• Codeausführung in einer Sandbox
• REST- und GraphQL-Aufrufe in ERP, CRM oder Ticketsystem
• Rechenoperationen, weil Sprachmodelle beim Rechnen unzuverlässig bleiben

Eine Variante geht weiter. Der Agent ruft keine einzelnen Werkzeuge auf, sondern schreibt Code, der MCP-Server wie eine Bibliothek nutzt und Zwischendaten lokal filtert. Anthropic hat dafür eine Kopieraufgabe von Google Drive nach Salesforce gemessen: 150.000 Token vorher, 2.000 danach.

Welches Gedächtnis braucht ein KI-Agent?

Drei Ebenen sind beschrieben, zwei davon brauchen Sie wirklich. Das Arbeitsgedächtnis liegt im Kontextfenster und hält den laufenden Auftrag. Das Langzeitgedächtnis liegt in einer Vektordatenbank und überlebt den einzelnen Lauf. Der Episodenspeicher hält gelöste Situationen und ist der am wenigsten ausgereifte Teil.

Für die Abrufqualität existiert eine der wenigen belastbaren Messreihen. Anthropic senkte die Fehlerrate beim Retrieval von 5,7 % auf 3,7 % durch kontextualisierte Embeddings, auf 2,9 % durch zusätzliches BM25 und auf 1,9 % durch ein Reranking-Modell. Hybride Suche mit Reranker ist damit die Grundausstattung, nicht die Ausbaustufe.

Wann ist Plan-then-Execute besser als ReAct?

Wenn die Schritte vorhersehbar sind. Ein Planer erzeugt den kompletten Ablauf vorab, ein Executor arbeitet ihn ab. Das spart Aufrufe des teuren Planungsmodells und macht Laufzeit wie Kosten kalkulierbar. Bei offenen Aufgaben, deren Verlauf von Zwischenergebnissen abhängt, bleibt der ReAct-Zyklus überlegen.

Es gibt ein zweites Argument, das in Sicherheitsdiskussionen oft fehlt. Der Plan entsteht, bevor der Agent nicht vertrauenswürdige Inhalte liest. Eine in einer Webseite versteckte Anweisung kann das Ziel dann nicht mehr umschreiben (arXiv 2509.08646).

Wann lohnt sich ein Multi-Agent-System?

Erst dann, wenn sich die Arbeit sauber in Rollen zerlegen lässt und ein Orchestrator die Teilaufgaben verteilen kann. Mehrere Agenten verbrauchen mehr Token, sind schwerer zu debuggen und verlagern Fehler an die Übergabestellen. Für einen Supportfall mit CRM-Zugriff ist ein einzelner Agent fast immer die richtige Antwort.

Übliche Rollenaufteilung

• Der Orchestrator nimmt den Auftrag an und verteilt Teilaufgaben.
• Ein Rechercheagent sammelt Quellen und wertet Dokumente aus.
• Ein Codeagent schreibt, refaktoriert und testet.
• Ein Prüfagent kontrolliert die Ausgabe gegen definierte Kriterien.

Die Kommunikation läuft hierarchisch über den Orchestrator, peer-to-peer zwischen den Agenten oder über einen gemeinsamen Speicher. Hierarchisch ist in der Praxis am besten nachvollziehbar, weil jede Entscheidung einen eindeutigen Absender hat. Das zählt spätestens dann, wenn Sie einen Vorfall rekonstruieren müssen.

Wo laufen KI-Agenten heute produktiv?

In drei Feldern, die sich gut abgrenzen lassen: in der Softwareentwicklung, in der Recherche und im Kundenservice. Gemeinsam ist ihnen ein prüfbares Erfolgskriterium. Ein Test läuft durch oder nicht, eine Quelle existiert oder nicht, ein Ticket ist gelöst oder eskaliert. Ohne dieses Kriterium wird der Zyklus nie sauber beendet.

Entwicklungsagenten

Werkzeuge wie Claude Code oder Cursor sind lehrbuchmäßige ReAct-Anwendungen. Sie lesen die Codebasis über Werkzeuge, führen Befehle aus, sehen die Testausgabe als Beobachtung und korrigieren im nächsten Durchlauf. Die Rückmeldung ist eindeutig, deshalb funktioniert der Ansatz hier früher als anderswo.

Rechercheagenten

Der Agent bekommt eine Fragestellung, sucht, sammelt Quellen und erzeugt eine strukturierte Zusammenfassung mit Belegstellen. Perplexity ist im Kern genau das, mit einer Weboberfläche davor.

Serviceagenten

Kein Chatbot, sondern ein System mit Zugriff auf CRM, Wissensbasis und Auftragsverwaltung. Es sucht selbst nach einer Lösung und übergibt an einen Menschen, wenn die Grenze erreicht ist, samt vollständigem Verlauf. Genau an dieser Übergabe entscheidet sich, ob Ihre Servicekennzahlen besser werden.

Welches Agenten-Framework passt 2026?

Die Antwort hängt an Ihrem Stack, nicht an einem Ranking. LangGraph eignet sich für zustandsbehaftete Abläufe mit Freigabepunkten, das Microsoft Agent Framework für .NET- und Azure-Umgebungen, das OpenAI Agents SDK für schnelle Handoff-Architekturen. Wer volle Kontrolle über die Architektur will, baut direkt auf Tool Use und MCP.

Ein Hinweis für Bestandsprojekte. AutoGen befindet sich seit April 2026 im Wartungsmodus und erhält nur noch Fehler- und Sicherheitskorrekturen. Wer heute darauf startet, plant den Umzug auf das Microsoft Agent Framework gleich mit ein.

Was ist MCP, und was ändert die Spezifikation vom 28.07.2026?

Das Model Context Protocol ist ein offener Standard, über den Agenten Werkzeuge und Datenquellen einheitlich ansprechen. Aus M mal N Integrationen wird M plus N. Anthropic übergab MCP im Dezember 2025 an die Agentic AI Foundation unter dem Dach der Linux Foundation, seitdem ist die Governance herstellerneutral.

Die Fassung vom 28.07.2026 ist die erste, die den Unternehmensbetrieb ernst nimmt.

• Der Protokollkern ist zustandslos, jede Anfrage beschreibt sich selbst. Ein gewöhnlicher Load Balancer reicht.
• Multi Round-Trip Requests erlauben eine Freigabe auf Protokollebene. Der Server antwortet mit input_required, der Client liefert die fehlende Eingabe nach.
• Header-basiertes Routing über Mcp-Method und Mcp-Name macht vorhandene Gateways und WAFs nutzbar.
• Die Autorisierung wurde gehärtet. Client ID Metadata Documents lösen die dynamische Client-Registrierung ab.

Der Preis dieser Offenheit ist eine neue Angriffsfläche. Der MCPTox-Benchmark (arXiv 2603.22489) zeigt, dass versteckte Anweisungen in Werkzeug-Metadaten häufig greifen und dass verbreitete Clients zu wenig statisch prüfen. Dazu kommt CVE-2025-49596 mit CVSS 9,4, bei der nicht authentifizierte MCP-Inspector-Instanzen beliebige Codeausführung erlaubten. Behandeln Sie einen MCP-Server deshalb wie jede andere Schnittstelle in Ihre Fachsysteme, mit Authentifizierung, Protokollierung und einem Betreiber, der namentlich feststeht. Wie eine solche Anbindung an ERP oder CRM aussieht, beschreibt unsere Seite zur Systemintegration.

Wie sichern Sie einen KI-Agenten gegen Prompt Injection ab?

Indem Sie die Autorisierung aus dem Modell herausnehmen. Die OWASP Top 10 für LLM-Anwendungen führen Prompt Injection als LLM01 und stellen klar: Der System-Prompt ist weder geheim noch eine Sicherheitskontrolle. Rechte gehören in deterministischen Code außerhalb des Modells.

Was in jedem Produktionsagenten stehen sollte

• Eine Allowlist der Werkzeuge, auf Server- wie Werkzeugebene.
• Rechte am Werkzeug selbst, lesend und mandantenbeschränkt, nicht im Prompt.
• Ein lauf-bezogenes Token- oder Eurobudget, das hart abbricht. Ein Monatsbudget greift erst, wenn der teure Lauf längst durch ist.
• Schritt- und Tiefenbegrenzung sowie ein Timeout je Knoten.
• Menschliche Freigabe bei Geldbewegung, Kundenkommunikation, Löschungen und rechtlich relevanten Ausgaben.

Dazu kommt eine Pflicht, die seit dem 2. August 2026 gilt und in Projekten regelmäßig untergeht. Nach Artikel 50 der KI-Verordnung müssen Sie offenlegen, dass Nutzer mit einem KI-System sprechen. Die Verordnung (EU) 2026/1744 hat die Fristen für Hochrisiko-Systeme verschoben, auf den 2. Dezember 2027 nach Anhang III und den 2. August 2028 nach Anhang I. Die Transparenzpflichten hat sie nicht verschoben.

Wo läuft der Agent, und wer verarbeitet dabei die Daten?

Diese Frage entscheidet in deutschen Ausschreibungen häufiger über den Zuschlag als die Modellwahl. Im Bitkom Cloud Report 2026 (603 Unternehmen ab 20 Beschäftigten, repräsentativ, 17.06.2026) sagen 98 % der Befragten, dass die Herkunft des Cloud-Anbieters eine Rolle spielt. 91 % würden einen deutschen Anbieter bevorzugen, 68 % einen europäischen, während 71 % heute einen US-Anbieter nutzen. 37 % nähmen für eine ausschließlich deutsche Datenverarbeitung sogar Nachteile in Kauf, im Vorjahr waren es 27 %.

Ein Agent zerfällt für diese Frage in vier Orte: die Agentenlogik, die Vektordatenbank, die Traces aus der Beobachtbarkeit und der Modellendpunkt. Die ersten drei können in einer EU-Region oder im eigenen Rechenzentrum liegen, auch wenn der Modellanbieter außerhalb sitzt. Diese Trennung sollte im Auftragsverarbeitungsvertrag stehen, samt Unterauftragsverarbeitern, denn der Modellanbieter ist einer.

Ein Punkt wird dabei regelmäßig übersehen: Traces enthalten Klartextdaten. Wer Prompts, Werkzeugergebnisse und Antworten protokolliert, legt eine zweite Kopie der Fachdaten an. Für diese Kopie gelten dieselben Löschfristen wie für das Quellsystem, und genau deshalb betreiben wir die Beobachtbarkeit auf Wunsch im Eigenbetrieb.

Was kostet ein KI-Agent in der Entwicklung?

Ein Agent mit klar umrissenem Anwendungsfall liegt bei uns bei rund 2.750 bis 8.250 EUR und vier bis sechs Wochen. Ein RAG-gestützter Wissensagent mit Zugriffssteuerung kostet rund 8.250 bis 22.000 EUR bei zwei bis vier Monaten Laufzeit. Mehrstufige Systeme mit eigener Modellanpassung beginnen bei rund 13.800 EUR.

Was diese Zahlen nicht enthalten, ist der laufende Betrieb. Für die Beobachtbarkeit gibt es eine günstige Grundausstattung: Langfuse ist unter MIT-Lizenz im Eigenbetrieb lizenzkostenfrei, das Cloud-Paket Core beginnt laut Preisliste bei 29 USD im Monat. LangSmith Plus kostet 39 USD je Nutzer und Monat. Wer die Trace-Kosten je Lauf nicht von Anfang an einplant, rechnet das Projekt später nach.

Woran messen Sie, ob ein Agent funktioniert?

An einer Kennzahl, die vor dem ersten Prompt feststeht. Grundlage ist ein Prüfsatz aus 100 bis 300 echten Vorgängen mit dem jeweils erwarteten Ergebnis, den Sie bei jeder Prompt- oder Modelländerung erneut durchlaufen lassen. Ohne diesen Satz merken Sie einen Qualitätsabfall erst an den Beschwerden.

Die dritte Zeile ist die teuerste. TechCrunch beschreibt am 5. Juni 2026, wie Uber sein gesamtes Jahresbudget für KI-gestütztes Programmieren bereits im April aufgebraucht hatte und wie die Cursor-Vertragsverlängerung bei Priceline zum vier- bis fünffachen Preis zurückkam. Beides sind Steuerungsprobleme, keine Modellprobleme. Wie sich Messung in einen realistischen Einführungsplan einfügt, steht in KI-Agent in 90 Tagen einführen.

Warum scheitern KI-Agenten-Projekte?

Selten am Modell. Die Gartner-Prognose vom 25. Juni 2025 nennt für den Abbruch von über 40 % der agentischen Projekte bis Ende 2027 steigende Kosten, unklaren Geschäftsnutzen und unzureichende Risikokontrolle. Gartner schätzt zudem, dass von mehreren tausend Anbietern nur etwa 130 tatsächlich agentische Systeme liefern.

Die zweite belastbare Zahl stammt aus der Erhebung des MIT Project NANDA vom Juli 2025 (PDF, Stichprobe: über 300 angekündigte Einführungen, 52 Interviews, 153 Führungskräftebefragungen). 95 % der untersuchten generativen KI-Piloten zeigten keine messbare Wirkung auf die Gewinn- und Verlustrechnung. Interessanter als der Schlagzeilenwert ist die Aufschlüsselung: Projekte mit interner Fachkraft und externem Partner erreichten 67 % Erfolgsquote, Projekte allein durch die interne IT 22 %.

Für den deutschen Markt kommt eine Eigenheit dazu. Laut Bitkom-Erhebung vom 11.03.2026 (604 Unternehmen ab 20 Beschäftigten, repräsentativ) setzen 41 % der Unternehmen KI ein, ein Jahr zuvor waren es 17 %. Das ifo Institut misst am 05.06.2026, dass nur 18,7 % eine eigene KI-Lösung entwickeln. Der Rest kauft zu. Wer jetzt einen Agenten baut, ist früh dran, aber nicht mehr allein.

Wann ein Agentenprojekt keine gute Idee ist, haben wir separat aufgeschrieben: Wann Sie kein KI-Projekt starten sollten.

Fazit

Wenn Sie eine agentenbasierte Lösung planen, unterstützen wir bei Architektur, Framework-Auswahl und sicherer Inbetriebnahme, mit AVV, EU-Hosting und Übergabe des Quellcodes. Was das Leistungsbild umfasst, steht unter KI-Agenten-Entwicklung. Ein Angebot erhalten Sie innerhalb von 24 Stunden über Angebot anfordern.