KI-Agenten-Architektur: Komponenten, Gedächtnis und Orchestrierung

KI-Agenten-Architektur ist die Gesamtheit der Komponenten um ein Sprachmodell, die festlegen, was es sieht, was es tun darf und was passiert, wenn es falschliegt. Ein brauchbares Design hat acht Teile: einen Einstiegspunkt, der die Identität feststellt, eine Steuerschleife, einen Modelladapter, einen Context Builder, eine Tool-Schicht, ein Policy Gate, einen State Store und einen Trace. Gedächtnis und zusätzliche Agenten sind optional, und jedes davon bringt Fehlerarten mit, für die Sie bezahlen werden. Die Trennlinie, die alles Weitere prägt: Das Modell schlägt vor, und deterministischer Code entscheidet, was tatsächlich läuft.

Dieser Beitrag ist eine Referenz für diese Struktur, die sich Komponente für Komponente lesen lässt. Einen Bau der Reihe nach, mit lauffähigem Python für die Schleife, zeigt KI-Agent erstellen. Produktionspraxis wie Regeln für das Tool-Design, Guardrails und Evaluierung steht in unserem Artikel zur KI-Agenten-Entwicklung. Produkt- und Protokollstatus: November 2026.

Das Architekturdiagramm

                 user or calling system
                           |
                           v
               +-----------------------+
               | ENTRY POINT           |   who is asking, on whose
               | identity, disclosure  |   permissions, with what budget
               +-----------+-----------+
                           |
                           v
 +-------------------------+----------------------------+
 | CONTROL LOOP (your code; owns the run)               |
 |                                                      |
 |   +-----------------+        +-------------------+   |      +--------------+
 |   | CONTEXT BUILDER |------->| MODEL ADAPTER     |---+----->| model        |
 |   | what the model  |        | one call, one     |<--+------| (hosted or   |
 |   | sees this step  |        | neutral format    |   |      | self-run)    |
 |   +--+-----------+--+        +---------+---------+   |      +--------------+
 |      ^           ^                     |             |
 |      |           |                     | proposal:   |
 |      |           |                     | text or     |
 |      |           |                     | tool call   |
 |      |           |                     v             |
 |      |           |           +-------------------+   |      +--------------+
 |      |           |           | POLICY GATE       |---+----->| person       |
 |      |           |           | allow, deny, or   |<--+------| (approval    |
 |      |           |           | ask a person      |   |      |  queue)      |
 |      |           |           +---------+---------+   |      +--------------+
 |      |           |                     | allowed     |
 |      |           |                     v             |
 |      |           |           +-------------------+   |      +--------------+
 |      |           +-----------| TOOL LAYER        |---+----->| your systems |
 |      |        tool results   | registry, schemas,|<--+------| and data     |
 |      |        (UNTRUSTED)    | scoped credentials|   |      | (UNTRUSTED   |
 |      |                       +-------------------+   |      |  content)    |
 +------+------------------+----------------------+-----+      +--------------+
        ^                  |                      |
        v                  v                      v
 +--------------+   +--------------+   +----------------------------+
 | MEMORY       |   | STATE STORE  |   | TRACE                      |
 | across runs  |   | this run,    |   | every proposal, decision,  |
 | (optional)   |   | checkpoints  |   | call; feeds evaluation     |
 +--------------+   +--------------+   +----------------------------+

Dasselbe Diagramm in Worten

Eine Anfrage erreicht den Einstiegspunkt (ENTRY POINT), der eine Identität, einen Satz Berechtigungen und ein Budget anhängt und dann einen Run startet. Ab hier gehört dieser Run der Steuerschleife (CONTROL LOOP).

In jedem Schritt stellt der Context Builder zusammen, was das Modell sehen wird: Anweisungen, die Aufgabe, aktuelle Tool-Ergebnisse, alles aus dem Gedächtnis (MEMORY) Gelesene. Der Modelladapter (MODEL ADAPTER) schickt das an das Modell und liefert eines von zwei Dingen zurück: eine endgültige Antwort oder einen vorgeschlagenen Tool-Aufruf. Ein Vorschlag ist nur ein Vorschlag. Er geht an das Policy Gate, das ihn erlaubt, ihn mit einer für das Modell lesbaren Fehlermeldung ablehnt oder den Run anhält und einen Menschen fragt. Ein erlaubter Aufruf geht an die Tool-Schicht (TOOL LAYER), die ihn mit Zugangsdaten ausführt, die auf dieses Tool beschränkt sind, und das Ergebnis für den nächsten Schritt an den Context Builder zurückgibt.

Zwei Tatsachen an diesem Bild zählen mehr als seine Kästen. Inhalte, die von Tools zurückkommen, sind nicht vertrauenswürdig (UNTRUSTED), weil eine Kunden-E-Mail oder eine Webseite Anweisungen enthalten kann, und sie gelangen im nächsten Schritt wieder in den Kontext des Modells. Und das Policy Gate sitzt auf dem Weg nach außen hinter dem Modell, wo nichts, was das Modell liest oder schreibt, es entfernen kann. State Store, Gedächtnis und Trace liegen unter der Schleife: Der State Store hält diesen Run, das Gedächtnis trägt Informationen über Runs hinweg, und der Trace zeichnet alles auf.

Die Komponenten im Einzelnen

Einstiegspunkt

Der Einstiegspunkt beantwortet vor jedem Modellaufruf drei Fragen: wer fragt, mit wessen Berechtigungen der Agent handeln wird und wie viel Budget dieser Run hat. Fehlt er, fällt der Agent auf ein einziges breites Dienstkonto zurück, und jeder Nutzer erreicht alles, was dieses Konto erreichen kann. OWASPs Top 10 for Agentic Applications (Dezember 2025) führt diese Problemklasse als ASI03, Identity & Privilege Abuse. Das CAISI des NIST hat im Februar 2026 eine AI Agent Standards Initiative gestartet, in der Identität zu den Forschungssäulen gehört, aber seine Seite führte mit Stand des Updates vom August 2026 keine endgültige Leitlinie für Agenten auf.

Bei kundenorientierten Agenten lässt sich auch die Transparenzpflicht aus Artikel 50 der KI-Verordnung (EU AI Act), die seit dem 2. August 2026 gilt, hier am einfachsten umsetzen.

Steuerschleife

Die Schleife ist normaler Code, der Modellaufrufe und Tool-Aufrufe abwechselt, bis eine Abbruchbedingung greift. Ihr gehören der Schrittzähler, die Deadline und die Entscheidung, dass ein Run vorbei ist. Geschäftslogik sollte sie keine enthalten. Was anderswo hingehört: Regeln ins Policy Gate, Prompts in den Context Builder, Integrationen in die Tool-Schicht.

Ein sinnvoller Standard ist, die Schleife als einen Knoten in einen größeren Workflow einzubetten, mit festen Schritten davor (klassifizieren, routen) und danach (die Ausgabe validieren). Die Anleitung enthält eine lauffähige Version mit allen Abbruchbedingungen.

Modelladapter

Eine Funktion mit einem neutralen Format für Nachrichten und Tool-Aufrufe, die in den jeweils genutzten Anbieter übersetzt. Sie trägt den Timeout, die Wiederholungen bei Rate-Limits, die gepinnte Modellversion und den Fallback. Auch das Modell-Routing pro Schritt liegt hier, mit einem kleineren Modell zum Zusammenfassen von Tool-Ausgaben, falls Ihr Evaluierungsset keinen Verlust zeigt.

Context Builder

Der Context Builder entscheidet, was das Modell in diesem Schritt sieht. Ohne ihn als benanntes Modul sammeln sich Nachrichten einfach an. Seine Aufgaben: Anweisungen und Aufgabe an einer stabilen Position halten, alte Tool-Ausgaben kürzen oder zusammenfassen, nur die für die Aufgabe relevanten Tools laden und kennzeichnen, welche Inhalte von außen kamen.

OWASPs LLM-Liste für 2026 hat einen Eintrag namens Hidden Context Exposure (LLM08). Unsere Regel für diese Komponente: Legen Sie niemals ein Geheimnis in den Kontext in der Annahme, das Modell werde es für sich behalten.

Tool-Schicht

Die Tool-Schicht ist eine Registry: pro Tool ein Schema, eine Risikoklasse, die Zugangsdaten, ein Timeout und ein Rate-Limit. Die Risikoklasse (Lesen, umkehrbares Schreiben, unumkehrbares Schreiben) verbindet sie mit dem Policy Gate. Tools können In-Process-Funktionen oder entfernte MCP-Server sein.

Bei entfernten Tools ändert die MCP-Revision vom 28. Juli 2026 das Bild im Betrieb. Protokoll-Sessions und der Initialize-Handshake sind weg, Version und Fähigkeiten werden mit jeder Anfrage übertragen, und server/discover ist Pflicht. Unsere Lesart: Entfernte MCP-Server lassen sich dadurch leichter hinter gewöhnlichen Load Balancern betreiben, weil das Protokoll keine Session mehr hält, aber jeder Zustand, den Ihr Tool braucht, ist jetzt Ihr Problem. HTTP+SSE, Sampling, Roots und Logging gehören zu den als veraltet markierten Teilen, mit einer Frist von mindestens zwölf Monaten, prüfen Sie also, worauf Ihre bestehenden Server angewiesen sind.

Die Lieferkette ist hier das strukturelle Risiko, denn jeder entfernte Server ist Code mit Zugangsdaten, dessen Beschreibungen in den Kontext des Modells gelangen. OWASPs LLM04 und ASI04 decken das ab, und MITRE ATLAS hat dafür eine Technik, AI Agent Tool Poisoning (AML.T0110).

Policy Gate

Das Gate ist deterministischer Code, der jeden vorgeschlagenen Aufruf gegen die Berechtigungen des Nutzers, Allow-Lists, Budgets und die Risikoklasse des Tools prüft und dann „erlauben“, „ablehnen“ oder „nachfragen“ zurückgibt. Das Modell kann es nicht bearbeiten, und es hängt nicht von der Kooperation des Modells ab. Von allen Komponenten begrenzt diese den Schaden am stärksten, wenn etwas anderes versagt. OpenAIs Praxisleitfaden nennt zwei Auslöser für menschliches Eingreifen: das Überschreiten von Fehlerschwellen und Aktionen, die „sensibel oder unumkehrbar sind oder bei denen viel auf dem Spiel steht“. Beide werden hier umgesetzt.

Eine Architektur ohne Gate verlässt sich für die Sicherheit auf den Prompt, und das ist eine schlechte Wette. „The Attacker Moves Second“ (Nasr, Carlini et al., Oktober 2025) berichtet, dass adaptive Angriffe zwölf veröffentlichte Abwehrmaßnahmen gegen Prompt Injection umgingen, die meisten mit einer Erfolgsquote über 90 %, obwohl die meisten dieser Abwehrmaßnahmen Angriffsraten nahe null gemeldet hatten. Unser Beitrag zur Sicherheit von KI-Agenten behandelt Bedrohungsmodell und Kontrollen.

State Store

Der Run-Zustand ist alles, was nötig ist, um einen Run fortzusetzen oder zu auditieren: Schrittnummer, Nachrichten oder ein Verweis darauf, getätigte Aufrufe, offene Freigaben, verbrauchtes Budget. Er gehört in eine Datenbank und nicht in den Prompt. Spätestens bei Freigaben wird das offensichtlich, denn ein Run, der zwei Tage auf jemandes Schreibtisch hängt, kann nicht im Arbeitsspeicher des Prozesses leben. Die Dokumentation von LangGraph nennt das Short-Term Memory, also Thread-bezogenen Zustand, der über Checkpoints erhalten bleibt, und das OpenAI Agents SDK führt Sessions auf. Wie auch immer es heißt: Schreiben Sie nach jedem Schritt einen Checkpoint und behandeln Sie Schreib-Tools so, dass sie nach einem Absturz wiederholbar sind, was Idempotenzschlüssel bedeutet.

Trace und Evaluierungs-Hooks

Jeder Run sollte unter einer Run-ID einen Nachweis über jeden gesendeten Kontext, jeden zurückgegebenen Vorschlag, jede Gate-Entscheidung und jedes Tool-Ergebnis hinterlassen. Das Evaluierungs-Harness liest denselben Nachweis: Was Anthropics „Demystifying evals for AI agents“ (Januar 2026) das Transkript nennt, ist in einem Produktivsystem dieser Trace. OpenTelemetrys GenAI Semantic Conventions führen Agent Spans auf, sind aber noch als Development markiert. Übernehmen Sie sie also hinter einem eigenen dünnen Wrapper, dann betrifft eine Umbenennung nur eine Datei.

Traces enthalten Prompts und Tool-Ausgaben, oft personenbezogene Daten. In Deutschland sind Traces, die zeigen, wer den Agenten wie genutzt hat, außerdem voraussichtlich ein Thema für den Betriebsrat, wie unser Artikel zum Entwicklungsprozess erklärt.

Gedächtnis von KI-Agenten

„Memory“ bezeichnet mehrere Dinge, und die Designfragen sind jeweils andere. Die LangGraph-Dokumentation von LangChain teilt es in Kurzzeitgedächtnis (den State Store oben) und Langzeitgedächtnis über Sessions hinweg, wobei Letzteres in drei Typen zerfällt: semantisch, episodisch und prozedural. Das ist das Vokabular eines Anbieters, hier auf Speicherentscheidungen angewendet.

Zu dieser Tabelle haben wir eine klare Meinung: Beginnen Sie ganz ohne Langzeitgedächtnis. Die meisten ersten Agenten können das Nötige über ein Tool aus dem Quellsystem lesen, und das Quellsystem bleibt korrekt und hat einen Verantwortlichen. Gedächtnis schafft eine zweite Kopie, die veralten oder vergiftet werden kann. Eine einzige ins Gedächtnis geschriebene eingeschleuste Anweisung erreicht spätere Runs, die den Inhalt des Angreifers nie gesehen haben. OWASP führt Memory & Context Poisoning als ASI06, und MITRE ATLAS hat eine Memory-Subtechnik unter AI Agent Context Poisoning (AML.T0080.001).

Vektorindizes haben einen eigenen Eintrag in der OWASP-Liste für 2026, LLM09, Vector and Embedding Weaknesses. Enthält das Gedächtnis Dokumente, muss das Retrieval nach den Berechtigungen des jeweiligen Nutzers filtern, wie in unserem Design für einen RAG-Chatbot für interne Dokumente.

Gedächtnis über identifizierbare Personen sind personenbezogene Daten im Sinne der DSGVO. Jeder Langzeitspeicher braucht also eine Aufbewahrungsfrist und einen Weg, die Einträge einer Person zu löschen. Das ist deutlich einfacher, wenn Einträge von Anfang an strukturiert und nach betroffener Person getaggt sind, und mühsam, wenn es später an Zusammenfassungen in Prosa nachgerüstet werden muss.

Arten von KI-Agenten

Die Lehrbuchklassifikation stammt aus Artificial Intelligence: A Modern Approach von Stuart Russell und Peter Norvig. Sie ist älter als LLMs und sortiert Agenten danach, wie sie entscheiden:

Diese Typen beschreiben Entscheidungslogik und sagen daher wenig darüber, was Sie um einen LLM-Agenten herum bauen müssen. Die meisten LLM-Agenten verhalten sich zielbasiert, was immer sie sonst tun. Auch das Wort „Agent“ selbst variiert zwischen Anbietern: Die Übersicht von Google Cloud nutzt eine lockere Definition von Anwendungen, die auf Anfragen in natürlicher Sprache reagieren, während OpenAI und Anthropic verlangen, dass das Modell die Ausführung kontrolliert. Unser Beitrag zu KI-Agenten vs. agentischer KI vergleicht diese Definitionen. Für die Architektur sagen drei überprüfbare Eigenschaften mehr aus, weil jede davon ändert, was Sie bauen müssen.

Ein Agent mit reinem Lesezugriff und einer einzigen Anfrage, der zwischen festen Routen wählt, braucht kaum mehr als Schleife und Tool-Schicht. Ein mehrtägiger Agent mit unumkehrbaren Schreibzugriffen braucht alle acht Komponenten, egal in welcher Marketingkategorie er läuft. Googles ADK etwa trennt LLM-Agenten, Workflow-Agenten und Custom Agents, was ungefähr der ersten Achse entspricht.

Orchestrierungsmuster für KI-Agenten

Orchestrierung legt fest, wie Arbeit sich bewegt, wenn mehr als eine Modellinstanz beteiligt ist. Microsofts „AI Agent Orchestration Patterns“ (Februar 2026) nennt fünf: sequential, concurrent, group chat, handoff und magentic. OpenAIs Leitfaden nennt zwei: ein Manager-Muster, bei dem ein zentrales LLM orchestriert, und ein dezentrales, bei dem Agenten aneinander übergeben. Microsofts Rat, sinngemäß: Nutzen Sie die niedrigste Komplexitätsstufe, die Ihre Anforderungen zuverlässig erfüllt. Dem stimmen wir zu, denn jeder Schritt nach rechts in der Tabelle unten bringt neue Wege zu scheitern.

Single Agent

Bleiben Sie hier, bis ein gemessenes Problem einen Wechsel erzwingt. Zu viele Tools und ein überfüllter Kontext sind der übliche Druck, und beides lässt sich oft durch eine engere Aufgabe oder durch das Laden von Tools je Aufgabentyp beheben. Die strukturelle Schwäche: Der Agent korrigiert seine eigene Arbeit und hält alle Berechtigungen an einer Stelle. Ein deterministischer Prüfschritt behebt das Erste ganz ohne Multi-Agenten-Maschinerie.

Orchestrator-Worker

Dieses Muster ist OpenAIs Manager-Muster mit anderen Worten. Zwei Gründe rechtfertigen es. Unabhängige Teile können gleichzeitig laufen, etwa bei der Suche in mehreren voneinander unabhängigen Quellen. Oder verschiedene Teile brauchen verschiedene Berechtigungen, sodass ein Recherche-Worker mit reinem Lesezugriff, der nicht vertrauenswürdige Inhalte verarbeitet, die Schreibzugänge nie besitzt.

Die Schwachstelle ist die Grenze. Ein Worker sieht nur, was der Orchestrator ihm mitteilt, und der Orchestrator sieht nur, was der Worker zurückgibt. Auch Prompt Injection überquert sie: Ein Worker, der ein vergiftetes Dokument liest, kann die Anweisung des Angreifers in seinem Ergebnis nach oben weiterreichen. Die relevanten agentischen OWASP-Einträge sind Agent Goal Hijack (ASI01) und Insecure Inter-Agent Communication (ASI07). Behandeln Sie Worker-Ausgaben wie Tool-Ausgaben: nicht vertrauenswürdig und gegen ein Schema validiert. Ein Übergabevertrag könnte so aussehen:

{
  "run_id": "r-20261105-0412",
  "parent_step": 3,
  "worker": "invoice_research",
  "permissions": ["erp.invoices.read"],
  "budget": {"steps": 8, "seconds": 120},
  "goal": "Find the purchase order that matches invoice INV-1001.",
  "must_return": {
    "status": "found | not_found | gave_up",
    "purchase_order_id": "string or null",
    "evidence": ["source record ids"]
  }
}

Beachten Sie, was der Vertrag nicht enthält: die vollständige Konversation des Orchestrators und jegliche Zugangsdaten. Der Worker bekommt ein aus dem Gesamtbudget des Runs herausgeschnittenes Budget, sodass Fan-out die am Einstiegspunkt gesetzte Obergrenze nicht überschreiten kann. Berechtigungen können auf dem Weg nach unten nur enger werden.

Ein namentlich zuordenbares öffentliches Beispiel ist Allianz' Project Nemo in Australien. Allianz berichtete von sieben Agenten, die seit Juli 2025 produktiv Schadensfälle zu verdorbenen Lebensmitteln unter 500 AUD bearbeiten, mit 80 % weniger Bearbeitungs- und Regulierungszeit und einem Menschen, der jede Auszahlungsentscheidung trifft. Das sind Allianz' eigene Zahlen, und eine unabhängige Prüfung haben wir nicht gefunden. Der Artikel von Allianz klärt nicht, um welches Muster es sich handelt, also ziehen wir daraus nur einen strukturellen Punkt: viele Agenten, eine enge Aufgabe, und der unumkehrbare Schritt bleibt bei einem Menschen.

Hierarchisch

Eine Hierarchie ist Orchestrator-Worker rekursiv angewendet, und wir würden uns ein starkes Argument wünschen, bevor wir sie in den ersten Systemen eines Unternehmens einsetzen. Jede Ebene fasst für die darüberliegende zusammen, das Ziel driftet also auf dem Weg nach unten, und Details gehen auf dem Weg nach oben verloren. Ein falsches Ergebnis kann von Geschwisterzweigen übernommen werden, bevor es jemand bemerkt; das ist OWASPs ASI08, Cascading Failures. Delegation verschleiert außerdem gern, woher eine Befugnis stammt: Sofern Berechtigungen nicht auf jeder Ebene nur enger werden, kann ein Agent weit unten einen höheren bitten zu tun, was er selbst nicht darf, und auch das fällt unter ASI03. Delegationsschleifen brauchen ein Tiefenlimit im Code.

Wenn getrennte Teams getrennte Domänen verantworten, ziehen Sie stattdessen einen flachen Orchestrator in Betracht, der den Agenten jedes Teams über eine stabile Schnittstelle aufruft. A2A ist das für Aufrufe zwischen Agenten gebaute Protokoll. Seine Version 1.0 ist die erste stabile Spezifikation, und die Linux Foundation meldet mehr als 150 unterstützende Organisationen, definiert „unterstützend“ allerdings nicht und nennt keine Produktivkunden. Unabhängige Daten, die seine Verbreitung mit der von MCP vergleichen, haben wir nicht gefunden.

Handoffs

Bei einem Handoff wandert die Kontrolle ohne zentralen Planer zwischen Agenten, das Muster, das OpenAI dezentral nennt. Es passt zur Triage, bei der ein Agent an einen Spezialisten weiterleitet und sich zurückzieht. Die Fehlerarten: Agenten schieben sich einen Fall gegenseitig zu, und die Zuständigkeit für das Endergebnis ist unklar. Weisen Sie also pro Run einen Verantwortlichen zu und begrenzen Sie die Zahl der Handoffs.

Selbst bauen oder aus einem Framework übernehmen

Frameworks unterscheiden sich vor allem darin, welche dieser Komponenten sie liefern. Die Beschreibungen unten stammen von den Anbietern selbst.

Was immer Sie übernehmen: Behalten Sie Policy Gate und Tool-Registry in Ihrem eigenen Code. Sie enthalten Ihre Regeln, und sie wollen Sie am wenigsten neu schreiben, wenn sich ein Framework ändert oder, wie AutoGen, archiviert wird. Den State Store können Sie durchaus aus einem Framework nehmen, und die Schleife selbst ebenso.

Wo jede Komponente läuft, aus EU-Sicht

Das Diagramm dient zugleich als Datenlandkarte für eine Datenschutzprüfung. Der Modelladapter entscheidet, ob Prompts Ihre Region verlassen. Wenn Datenresidenz zählt, gehört also ein in der EU gehosteter Endpunkt oder ein selbst betriebenes Modell in dieses Kästchen. Kontext, State Store, Gedächtnis und Trace enthalten alle Kopien dessen, was der Agent liest, und jede Kopie braucht eine eigene Zugriffskontrolle und Aufbewahrungsregel.

Die KI-Verordnung klassifiziert nach Verwendung, keine Architekturentscheidung nimmt einen Agenten also aus der Hochrisiko-Kategorie heraus. Ein Agent, der die Kreditwürdigkeit natürlicher Personen bewertet, fällt unabhängig vom Aufbau unter Anhang III Nr. 5 Buchst. b, wobei die Pflichten für Anhang-III-Systeme nach dem Digital Omnibus ab dem 2. Dezember 2027 gelten, wie die Seite der Europäischen Kommission angibt. Die Architektur kann die Pflichten aber praktisch erfüllbar machen: Der Trace liefert Aufzeichnungen, das Policy Gate einen dokumentierten Punkt menschlicher Aufsicht.

Häufig gestellte Fragen

Was ist der Unterschied zwischen Gedächtnis und Zustand bei KI-Agenten?

Der Zustand gehört zu einem Run und existiert, damit dieser fortgesetzt und auditiert werden kann. Das Langzeitgedächtnis trägt Informationen über Runs hinweg. Die Dokumentation von LangGraph nennt das Erste Short-Term Memory und teilt das Zweite in semantisch, episodisch und prozedural ein.

Was sollte ein Architekturdiagramm für KI-Agenten enthalten?

Mindestens den Weg vom Vorschlag des Modells über ein Policy Gate zu den Tools, den Rückweg für nicht vertrauenswürdige Tool-Ergebnisse, die Stelle, an der ein Mensch freigibt, und wo Zustand und Traces gespeichert werden. Ein Diagramm, das nur „LLM, Tools, Gedächtnis“ zeigt, lässt die Teile weg, die den Schaden begrenzen.

Wann ist Orchestrator-Worker besser als ein Single Agent?

Wenn Teile einer Aufgabe mit wenig gemeinsamem Kontext parallel laufen können oder andere Berechtigungen brauchen. Zur Kostensicht lesen Sie unseren Artikel zu den Entwicklungskosten für Multi-Agenten-Systeme. Sonst lässt sich ein Single Agent leichter testen und debuggen.

Braucht eine Agenten-Architektur MCP oder A2A?

Keines von beiden ist Pflicht. MCP ist nützlich, wenn mehrere Agenten oder Clients Tools teilen, und A2A, wenn Agenten verschiedener Teams oder Unternehmen einander aufrufen. Innerhalb eines Systems reichen In-Process-Funktionen und einfache Funktionsaufrufe.

Eine Agenten-Architektur mit AI Superior entwerfen

AI Superior ist ein KI-Engineering-Unternehmen aus Darmstadt, 2019 von KI-Wissenschaftlern gegründet, und wir bauen LLM-Anwendungen, RAG-Systeme und KI-Agenten für B2B-Kunden. Unsere Leistungen in der KI-Agenten-Entwicklung decken Design und Bau ab. Wo Identität, Audit und bestehende Systeme das Design bestimmen, lesen Sie weiter unter KI-Agenten-Entwicklung für Unternehmen.

Quellen und weiterführende Literatur

• OpenAI, „A practical guide to building agents“, 2025.
• Anthropic, „Building effective agents“, Dezember 2024.
• Russell, S. und Norvig, P., Artificial Intelligence: A Modern Approach.
• Grace, Hadfield, Olivares, De Jonghe (Anthropic), „Demystifying evals for AI agents“, Januar 2026.
• Google Cloud, AI Agent Ecosystem overview, ohne Datum.
• Microsoft, „AI Agent Orchestration Patterns“, Februar 2026.
• LangChain, LangGraph memory documentation, abgerufen im November 2026.
• Projektdokumentation: OpenAI Agents SDK, Claude Agent SDK, Microsoft Agent Framework, Google ADK, CrewAI, abgerufen im November 2026.
• Model Context Protocol, „Key Changes“ für die Revision 2026-07-28.
• Linux Foundation, Pressemitteilung zu A2A, April 2026.
• OWASP, GenAI LLM Top 10 2026; Top 10 for Agentic Applications for 2026, Dezember 2025.
• MITRE ATLAS, Content-Version 2026.10, Oktober 2026.
• NIST CAISI, AI Agent Standards Initiative, Februar 2026, Seite aktualisiert im August 2026.
• OpenTelemetry, Semantic Conventions für generative KI.
• Nasr, Carlini et al., „The Attacker Moves Second“, Oktober 2025.
• Allianz, Artikel zu Project Nemo, November 2025.
• Europäische Kommission, Seite zum Rechtsrahmen der KI-Verordnung; KI-Verordnung, Anhang III.