Die auffälligste Veränderung in der Softwareentwicklung der letzten Jahre ist kein neues Framework und keine neue Programmiersprache, sondern der Schritt von der KI-Autovervollständigung zu agentischen Coding-Systemen. Solche Werkzeuge lesen eine ganze Codebasis, planen Änderungen über mehrere Dateien, führen Tests aus und legen das Ergebnis als Pull Request vor. Was das für Produktivität, Sicherheit und Teamarbeit bedeutet, zeigt dieser Beitrag.
Was bedeutet «agentisch» in der Praxis?
Ein agentisches KI-System unterscheidet sich grundlegend von einem reaktiven Assistenten. Als GitHub im Juni 2021 die technische Vorschau von Copilot vorstellte, schlug das Werkzeug auf Basis des umgebenden Codes ganze Zeilen oder Funktionen vor. Ob ein Vorschlag übernommen wurde und was danach geschah, entschied der Mensch.
Heutige Agenten arbeiten in einer Schleife: Sie nehmen eine Aufgabe in natürlicher Sprache entgegen, untersuchen das Repository, planen die Änderung, bearbeiten mehrere Dateien, führen Befehle wie Tests oder Linter aus und korrigieren sich anhand der Ergebnisse. Anthropic beschreibt Claude Code als agentisches Coding-Werkzeug, das die Codebasis liest, Dateien bearbeitet, Befehle ausführt sowie Commits und Pull Requests erstellt. Der Copilot-Agent von GitHub recherchiert gemäss Dokumentation im Repository, plant Änderungen und setzt sie im Hintergrund in einer Cloud-Entwicklungsumgebung um, führt dort Tests und Linter aus und öffnet pro Aufgabe einen Pull Request.
Der entscheidende Unterschied ist die Autonomie: Ein Agent erledigt mehrere Arbeitsschritte selbstständig, bevor ein Mensch das Ergebnis sieht. Das verschiebt die Verantwortung hin zu Review, Berechtigungen und Qualitätssicherung.
Was die Forschung zur Produktivität zeigt
Wie gross der Gewinn tatsächlich ist, lässt sich schwer messen. Für eine im Juli 2025 veröffentlichte Studie liess die Forschungsorganisation METR 16 erfahrene Open-Source-Entwicklerinnen und -Entwickler 246 reale Aufgaben in grossen Repositories bearbeiten, die sie selbst gut kannten. Jede Aufgabe wurde zufällig der Bearbeitung mit oder ohne KI-Werkzeuge zugeteilt. Ergebnis: Mit KI brauchten sie 19 Prozent länger. Vorab hatten sie mit einer Beschleunigung von 24 Prozent gerechnet, und auch nach der Studie schätzten sie, rund 20 Prozent schneller gewesen zu sein.
METR betont, dass dies eine Momentaufnahme der Werkzeuge von Anfang 2025 in einem bestimmten Umfeld ist, und weist inzwischen selbst darauf hin, dass die Zahlen die heutige Wirkung nicht mehr abbilden; im Februar 2026 wurden neuere Daten veröffentlicht. Die wichtigste Lehre bleibt trotzdem gültig: Das Gefühl, schneller zu sein, ersetzt keine Messung. Wer agentische Werkzeuge einführt, sollte vorab festlegen, woran Erfolg gemessen wird, etwa an der Durchlaufzeit von Tickets, an der Zahl der Review-Runden oder an Fehlern nach dem Deployment.
Prompt Engineering als Entwickler-Skill
Prompts sind in professionellen Teams keine Wegwerf-Eingaben. Bei Agenten wirkt der Kontext, den man ihnen dauerhaft mitgibt, oft stärker als die einzelne Anweisung. Claude Code liest zum Beispiel zu Beginn jeder Sitzung eine Datei CLAUDE.md im Projekt, in der Teams Coding-Standards, Architekturentscheide, bevorzugte Bibliotheken und Review-Checklisten festhalten. Eine bereits vorhandene AGENTS.md, die für andere Coding-Agenten gedacht ist, kann es ebenfalls lesen. Solche Dateien gehören ins Repository und durchlaufen dasselbe Review wie Code.
Bewährt hat sich, Prompts und Projektregeln wie Code zu behandeln:
Versionieren: Projektregeln, wiederkehrende Prompts und Agent-Konfigurationen liegen im Git-Repository. Änderungen sind nachvollziehbar und lassen sich zurückrollen.
Konkret formulieren: Statt «Baue ein Kontaktformular» beschreibt eine gute Aufgabe das Ziel, die betroffenen Dateien, die Akzeptanzkriterien und die Bereiche, die nicht verändert werden dürfen.
Prüfbar machen: Jede Aufgabe endet mit einer objektiven Kontrolle, etwa einem automatisierten Test, einem Linter-Lauf oder einem Build, den der Agent selbst ausführen kann.
Nach Wechseln testen: Ändert sich das Modell oder die Werkzeugversion, lohnt sich ein Durchlauf mit bekannten Referenzaufgaben, weil sich das Verhalten verschieben kann.
Multi-Agenten-Workflows
Der nächste Schritt sind mehrere spezialisierte Agenten, die eine Aufgabe gemeinsam bearbeiten: Einer analysiert die Anforderungen, ein weiterer schreibt den Code, ein dritter ergänzt Tests, ein vierter prüft das Ergebnis. In Claude Code können mehrere Agenten parallel an verschiedenen Teilen einer Aufgabe arbeiten; ein leitender Agent koordiniert, verteilt Teilaufgaben und führt die Ergebnisse zusammen. Für eigene Abläufe stellt Anthropic das Agent SDK bereit, mit dem sich Orchestrierung, Werkzeugzugriff und Berechtigungen selbst steuern lassen.
Für Agenturteams heisst das: Eine erfahrene Entwicklerin definiert Aufgabe, Rahmenbedingungen und Abnahmekriterien, Agenten übernehmen klar abgegrenzte Teile der Umsetzung. Der Mensch wird stärker zum Architekten und Prüfer. Gut geeignet sind sauber geschnittene Aufgaben mit eindeutigen Tests, etwa Migrationen, fehlende Testabdeckung oder wiederkehrende Anpassungen über viele Dateien. Bei unklaren Anforderungen, gewachsener Legacy-Logik oder Entscheidungen mit geschäftlichen Folgen bleibt menschliches Urteil unverzichtbar. Ob sich individuelle Software mit solchen Abläufen effizienter umsetzen lässt, hängt deshalb vor allem von der Qualität der Spezifikation ab.
Neue Sicherheitsrisiken
Agentische KI bringt Risiken, die über klassische Programmierfehler hinausgehen. GitHub hält in seiner Dokumentation selbst fest, dass Copilot fehlerhaften oder suboptimalen Code erzeugen kann, einschliesslich Code mit Sicherheitslücken, und dass Ergebnisse vor dem produktiven Einsatz geprüft und getestet werden sollten. Drei Risikoarten verdienen besondere Aufmerksamkeit:
Erfundene Abhängigkeiten: Sprachmodelle schlagen mitunter Software-Pakete vor, die es gar nicht gibt. Eine an der USENIX Security 2025 vorgestellte Studie wertete 576'000 generierte Code-Beispiele aus 16 Modellen aus und fand im Schnitt mindestens 5,2 Prozent halluzinierte Pakete bei kommerziellen und 21,7 Prozent bei Open-Source-Modellen, insgesamt 205'474 verschiedene erfundene Paketnamen. Die Autoren sehen darin eine neue Form von Package-Confusion-Angriffen und eine Gefahr für die Software-Lieferkette. Jede neue Abhängigkeit braucht deshalb eine bewusste Prüfung.
Zu viel Handlungsspielraum: Das OWASP GenAI Security Project führt «Excessive Agency» in seinen Top 10 für LLM-Anwendungen (Ausgabe 2025) als eigenes Risiko. Ursachen sind zu viele Funktionen, zu weit gefasste Berechtigungen und zu viel Autonomie. OWASP empfiehlt, Erweiterungen auf das Nötigste zu beschränken, minimale Rechte zu vergeben und folgenreiche Aktionen von einem Menschen freigeben zu lassen.
Manipulierte Eingaben: Als Auslöser schädlicher Aktionen nennt OWASP unter anderem direkte und indirekte Prompt Injection sowie, in Multi-Agenten-Systemen, einen kompromittierten Partner-Agenten. Ein Agent, der Tickets, Webseiten oder Fremddokumentation liest, kann dort versteckte Anweisungen vorfinden.
Die zentrale Frage lautet: Wenn die Maschine den Code schreibt, wer prüft die Maschine? Bewährt hat sich die Kombination aus automatisierten Prüfungen in der CI/CD-Pipeline (statische Codeanalyse, Abhängigkeits- und Secret-Scans, Tests) und menschlichem Code-Review, das bei sicherheitskritischen Bereichen wie Authentifizierung, Zahlungen oder Personendaten nicht entfallen darf. Für Schweizer Unternehmen kommt der Datenschutz hinzu: Bevor ein Agent Zugriff auf ein Repository, Logdateien oder eine Testdatenbank erhält, sollte geklärt sein, welche Daten an den Anbieter übertragen werden und ob darin echte Personendaten vorkommen. Testdaten sollten wo immer möglich anonymisiert sein.
Einführung in fünf Schritten
Pilot wählen: Starten Sie mit einem internen oder unkritischen Repository und klar abgegrenzten Aufgaben, zum Beispiel fehlenden Tests oder Abhängigkeits-Updates.
Regeln festhalten: Legen Sie Coding-Standards, Testbefehle und Bereiche, die der Agent nicht anfassen darf, als Datei im Repository ab.
Rechte begrenzen: Agenten arbeiten in einer isolierten Umgebung, ohne Zugang zu Produktionssystemen und mit Schreibrechten nur auf eigene Branches. Merges in den Hauptbranch bleiben Menschen vorbehalten.
Pipeline absichern: Jeder Pull Request eines Agenten durchläuft dieselben automatisierten Prüfungen wie menschlicher Code, ergänzt um eine Kontrolle neuer Abhängigkeiten.
Messen und entscheiden: Vergleichen Sie nach einigen Wochen Durchlaufzeit, Review-Aufwand und Fehlerquote mit den Werten vor dem Pilot und entscheiden Sie erst dann über eine Ausweitung.
Was das für Ihr Team bedeutet
Die Kernkompetenz verschiebt sich von der reinen Implementierung hin zu Spezifikation, Orchestrierung und Prüfung. Wichtig werden präzise Aufgabenbeschreibungen, die kritische Bewertung von KI-Ergebnissen, ein Verständnis für Verhalten und Grenzen der Modelle sowie ein geschärftes Sicherheitsbewusstsein. Solides Handwerk bleibt die Voraussetzung: Nur wer Code selbst beurteilen kann, erkennt, wann ein Agent plausibel aussehenden, aber falschen Code liefert.
Typische Fehler beim Einstieg sind, Einsteigeraufgaben vollständig an Agenten abzugeben und damit die Ausbildung des Nachwuchses zu vernachlässigen, Pull Requests von Agenten weniger gründlich zu prüfen als menschliche und den Erfolg nach Gefühl statt anhand von Kennzahlen zu beurteilen. Einen Vergleich der verbreiteten Werkzeuge finden Sie in unserem Beitrag zu Claude Code, Cursor und GitHub Copilot.
Die Sidora AG begleitet Teams in der digitalen Beratung bei Werkzeugwahl, Prozessdesign und der Absicherung agentischer Workflows. Wer eigene KI-Agenten in Geschäftsprozesse einbinden möchte, findet die technischen Grundlagen bei unseren KI-Lösungen.
