Der Unterschied: Agent ohne und mit Körper

Wer als Betriebsleiter oder Sicherheitsfachkraft den ersten autonomen Roboter in die Halle holt, kennt KI meist aus der Software. Dort trifft ein KI-Agent Entscheidungen und handelt eigenständig, aber sein Wirkungskreis bleibt digital. Er liest Daten, ruft Werkzeuge auf und erzeugt Ausgaben. Sobald derselbe Agent in einem Roboter steckt, wird aus einer falschen Ausgabe eine falsche Bewegung, und damit ändert sich fast alles an der Sicherheitsfrage.

Sicherheit autonomer Roboter ist deshalb kein Sonderfall der Software-Sicherheit, sondern eine eigene Disziplin, weil die Folgen physisch werden. Ein Fehler bleibt nicht auf dem Bildschirm, sondern trifft Menschen, Maschinen und Räume in der echten Welt. Besonders sichtbar wird das bei Systemen, die für den militärischen Einsatz entwickelt und später zivil weiterverwendet werden.

Digitale Leitplanken reichen darum allein nicht aus. Ein Filter, der schlechte Texte abfängt, stoppt keinen fahrenden Roboter. Verkörperte KI braucht harte, physische Grenzen, also Abschaltpfade, Sicherheitsabstände und geprüfte Normen. Wie weit beide Welten auseinanderliegen, zeigt der direkte Vergleich.

Merkmal	Software-Agent	Roboter (verkörperte KI)
Wirkungskreis	Daten, Konten, Netzwerk	physischer Raum, Menschen, Objekte
Folge eines Fehlers	falsche Mail, falscher Datensatz	Kollision, Sturz, Verletzung
Rückgängig machen	oft möglich (Backup, Widerruf)	Bewegung ist nicht zurückholbar
Stopp-Mittel	Prozess beenden, Zugriff sperren	Not-Halt, Energie trennen
Zentrale Norm	IT-Sicherheit, CRA	ISO 10218, ISO/TS 15066, Maschinenrecht
Kernrisiko	Datenmissbrauch, Fehlentscheidung	physische Einwirkung auf die Umgebung

Was „verkörperte KI“ (Physical AI) meint

Verkörperte KI heißt, dass ein Modell auf die physische Welt wirkt, und der Fachbegriff dafür lautet Physical AI. Dahinter steckt immer dieselbe Kette aus Sensor, Modell und Aktor. Sensoren nehmen die Umgebung auf, das Modell entscheidet, und der Aktor bewegt.

Diese Kette ist der ganze Unterschied zur Chatbot-KI. Ein Sprachmodell endet bei der Antwort, während ein Roboter die Antwort in eine Handlung umsetzt. Deshalb zählt jede Stufe der Kette als eigene Angriffsfläche. Die Grundlagen dieses Prinzips stehen im Erklärtext zu Physical AI.

Für die Sicherheitsfrage genügt vorerst der Gedanke, dass ein Roboter ein KI-Agent ist, der einen Körper steuert. Alles Weitere folgt daraus.

Wenn ein Software-Agent ausbricht: nur Daten

Stellen Sie sich einen Agenten vor, der aus seinen Grenzen bricht. In reiner Software bleibt der Schaden digital. Er verschickt Mails, ändert Dateien oder ruft falsche Programme auf. Das kann teuer und gefährlich sein, bleibt aber im Bereich der Daten.

Solche Fehler lassen sich meist eindämmen, weil sich Zugriffe sperren und Prozesse beenden lassen. Backups holen einen alten Stand zurück, und ein Log zeigt, was passiert ist. Der Schaden ist real, aber in der Regel reversibel.

Im digitalen Raum gibt es also fast immer einen Rückweg. Genau dieser Rückweg fehlt, sobald der Agent einen Körper bekommt, denn ein Sturz oder eine Kollision lässt sich nicht widerrufen. Das verschiebt die ganze Sicherheitsfrage.

Wenn ein Roboter ausbricht: Bewegung in der Welt

Ein Roboter mit demselben Fehler handelt körperlich. Er fährt weiter, greift daneben oder kippt um. Die Folge ist keine falsche Mail, sondern eine Bewegung, die niemand zurückspult, und ein Mensch im Weg spürt sie direkt.

Damit verschiebt sich das Schutzziel. Bei Software schützen Sie Daten und Konten, bei Robotern Körper und Räume. Ein autonomer mobiler Roboter wiegt schnell mehrere hundert Kilogramm, und bei diesem Gewicht wird jede Fehlbewegung zur Gefahr.

Ein Lagerroboter, der eine schwere Palette durch einen Gang transportiert, macht das greifbar. Bremst er zu spät, wirkt seine ganze Bewegungsenergie auf das Hindernis, und kein nachträglicher Befehl macht diesen Aufprall ungeschehen. Die Sicherung muss also greifen, bevor die Bewegung entsteht.

Deshalb steht bei verkörperter KI der physische Stopp im Zentrum. Den Betrieb sichert weniger die perfekte Entscheidung ab als die Fähigkeit, sofort und sicher anzuhalten, und zwar auch dann, wenn das Modell versagt. Diese Trennung von Denken und Stoppen ist die Basis jeder Roboter-Sicherheit.

Drei Angriffsflächen: Sensor, Modell, Aktor

Die Kette aus Sensor, Modell und Aktor ist zugleich die Landkarte der Risiken, weil sich jede Stufe täuschen, stören oder kapern lässt. Wer Roboter absichert, muss darum alle drei Stufen betrachten. Ein starker Schutz an nur einer Stelle hilft wenig, denn ein Angreifer sucht sich die schwächste.

Am Sensor beginnt die Wahrnehmung. Wird sie manipuliert, sieht der Roboter eine falsche Welt. Im Modell fällt die Entscheidung, und ein vergiftetes Modell entscheidet systematisch falsch. Am Aktor entsteht schließlich die Bewegung, und dort zählt der harte Not-Halt.

Auch die Reihenfolge der Abwehr spielt eine Rolle. Ein Fehler am Sensor pflanzt sich durch die ganze Kette fort, und erkennt das Modell die Täuschung nicht, führt der Aktor sie aus. Je näher am Sensor die Prüfung sitzt, desto weniger Schaden entsteht. Darum sichert man möglichst früh in der Kette ab.

Die Einteilung hilft, Schutzmaßnahmen sauber zuzuordnen. Sensorik braucht Plausibilitätsprüfung und Redundanz, das Modell braucht Isolation und Grenzen, und der Aktor braucht Abschaltpfade.

Ebene	Funktion	Typische Angriffsfläche	Schutzansatz
Sensor	Umgebung wahrnehmen (Kamera, Lidar, Ultraschall)	Täuschung, Blendung, Störsignale	Redundanz, Plausibilitäts-Check, Sensorfusion
Modell	entscheiden und planen	manipulierte Eingaben, vergiftete Trainingsdaten	Isolation, Guardrails, begrenzte Rechte
Aktor	Motoren und Greifer bewegen	gekaperte Steuerung, unsichere Kommandos	Not-Halt, Kraft- und Geschwindigkeitsgrenzen

Sensor-Täuschung: wenn der Roboter falsch sieht

Ein Roboter handelt nur so gut wie seine Wahrnehmung. Wer den Sensor täuscht, täuscht die ganze Maschine. Eine geblendete Kamera erkennt ein Hindernis nicht, ein gestörter Lidar-Sensor misst falsche Abstände, und das Modell entscheidet dann auf Basis einer falschen Welt.

Solche Täuschungen sind kein Science-Fiction-Szenario, denn Reflexionen, Nebel und Verschmutzung reichen oft schon aus. Gezielte Angriffe gehen weiter und nutzen präparierte Muster oder Störsignale. Der Roboter sieht dann etwas, das nicht existiert, oder übersieht, was da ist.

Ein aufgeklebtes Muster etwa kann eine Kamera so in die Irre führen, dass sie ein Stoppschild als Tempolimit deutet. Beim Lidar wirken gezielte Laserpulse als Störung. Sie erzeugen Geister-Hindernisse oder löschen echte Objekte aus der Punktwolke.

Der Schutz liegt in Redundanz und Prüfung. Mehrere Sensoren decken denselben Bereich ab, und widersprechen sich die Werte, schlägt das System Alarm. Diese Sensorfusion macht eine einzelne Täuschung wirkungslos, während ein Roboter, der einer einzigen Kamera blind vertraut, leicht zu narren ist.

Auch die Umgebung selbst gehört zur Absicherung. Gute Beleuchtung und saubere Sensoren senken das Risiko, und klare Fahrwege verringern die Zahl der Zweifelsfälle. Technik und Umfeld arbeiten hier zusammen, denn ein Roboter ist nur so sicher wie die Bedingungen, in denen er fährt.

Der Not-Halt: Sicherheit durch Abschalten

Der Not-Halt ist die älteste und wichtigste Roboter-Sicherung. Er trennt die Maschine sofort von ihrer Energie, ohne dass ein Modell mitentscheidet oder ein Netzwerk vermittelt. Ein Knopf, ein Stopp, keine Diskussion. Diese Einfachheit macht ihn so verlässlich.

Ein Not-Halt allein genügt aber nicht. Er muss regelmäßig geprüft und gewartet werden, weil ein Taster, der klemmt, im Ernstfall wertlos ist. Auch die Erreichbarkeit zählt, denn der Stopp muss schnell zu treffen sein. Sicherheit ist hier ebenso eine Frage der Wartung wie der Technik. Wie ein anlagenweites Abschalten unter Cyberangriff aussieht, behandelt ein eigener Beitrag zum digitalen Not-Aus.

ISO 10218 und ISO/TS 15066: die Normen hinter dem Stopp

Normen regeln, wie dieser Stopp aussehen muss. ISO 10218 betrifft Industrieroboter sowie industrielle Roboteranwendungen und Roboterzellen. ISO 10218-1:2011 und ISO 10218-2:2011 sind zurückgezogen; seit Februar 2025 sind ISO 10218-1:2025 und ISO 10218-2:2025 veröffentlicht. ISO/TS 15066 aus 2016 ergänzt sie für kollaborative Roboter. Beide Normen definieren Sicherheitsabstände und Kraftgrenzen. Sie schreiben vor, wie ein Roboter neben Menschen arbeiten darf. Für ortsfeste Industrieroboter gilt ein eigenes Normenwerk — nachzulesen unter ISO 10218 und ISO/TS 15066.

Der Kern dieser Normen ist bewusst unspektakulär. Ein Roboter wird nicht durch kluge Ethik sicher, sondern weil er zuverlässig stoppt und begrenzte Kräfte einsetzt. Warum kluge Regeln allein nicht reichen, zeigt der Blick auf Asimovs Robotergesetze. Die Praxis verlässt sich lieber auf den Abschaltpfad als auf das gute Gewissen der Maschine.

Isolation statt Moral: der ehrliche Ansatz

Viele hoffen auf Regeln, die eine KI moralisch machen. Die Praxis geht einen nüchterneren Weg und begrenzt, was ein System überhaupt tun kann. Das nennt man Isolation. Statt die Absicht zu kontrollieren, begrenzt sie den Wirkungskreis.

NVIDIAs Forschungsvorschau NOOA zeigt die Grenze dieses Denkens. Typisierte Abläufe und deterministische Prüfungen erleichtern es, Agentenläufe zu untersuchen. Doch laut Eigenaussage sind sie „keine Containment-Grenze“. Ein Guardrail sperrt also nicht wirklich ein, sondern wirkt eher wie ein Sieb als wie eine Wand.

Echte Eingrenzung entsteht erst durch harte Isolation. In der Software ist das eine Sandbox auf Betriebssystem-Ebene, beim Roboter der abgeschaltete Motor oder der Schutzzaun. Wie diese Ebenen ineinandergreifen, ordnet unsere Landkarte der KI-Agenten-Sicherheit ein.

Teleoperation und ihre eigenen Risiken

Viele beeindruckende Roboter-Demos sind gar nicht autonom, sondern ein Mensch steuert sie aus der Ferne. Diese Teleoperation überbrückt die Lücken, die die KI noch nicht schließt. Für die Sicherheit ist das ein zweischneidiges Schwert.

Ein Mensch bringt Urteilsvermögen ein und erkennt heikle Situationen, die ein Modell übersieht. Zugleich entsteht mit der Fernverbindung eine neue Angriffsfläche, weil sie gestört oder gekapert werden kann. Eine unterbrochene Leitung darf keinen unkontrollierten Roboter hinterlassen.

Ein zentrales Problem ist die Latenz. Steuert ein Mensch den Roboter über Mobilfunk, entsteht eine Verzögerung, und in dieser Zeitspanne bewegt sich der Roboter quasi blind weiter. Bei schnellen Aktionen wird diese Lücke gefährlich, weshalb gute Systeme die Geschwindigkeit an die Verbindungsqualität koppeln.

Auch die Verbindung selbst braucht Schutz, denn ein gekapertes Steuersignal übergibt die Maschine an Fremde. Verschlüsselung und starke Anmeldung sind darum Pflicht, und reißt die Leitung ab, muss der Roboter selbsttätig stoppen. Der Fernzugriff verdient denselben Schutz wie kritische IT-Systeme.

Mit der Teleoperation verschiebt sich auch die Haftungsfrage, weil ein Mensch aus der Distanz handelt. Wer bei einem Schaden verantwortlich ist, hängt vom Einzelfall ab, in dem Vertrag, Rolle und Sorgfaltspflicht zusammenspielen. Das ist keine Rechtsberatung, sondern ein Hinweis auf eine offene Frage.

Der digitale Zwilling als Testfeld

Weil ein Roboter nicht am Menschen lernen soll, testen Entwickler ihn zuerst virtuell. Der digitale Zwilling ist eine exakte Simulation der Maschine, in der Millionen Durchläufe ohne Risiko ablaufen. Fehler kosten dort nur Rechenzeit und keine Verletzungen.

Diese Simulation ist mehr als eine Spielwiese, weil sie prüft, wie der Roboter auf seltene Fälle reagiert. Was passiert bei einem Sensorausfall, was bei einem plötzlichen Hindernis? Solche Extreme lassen sich im digitalen Zwilling gefahrlos durchspielen.

Die Simulation hat allerdings eine Grenze. Was virtuell klappt, klappt real oft nicht, denn die Lücke zwischen Simulation und Wirklichkeit ist groß. Wie groß, zeigen die Zahlen zu humanoiden Robotern. Ein guter Wert im Zwilling ist ein Versprechen und noch keine Garantie.

Was OSAI, NIST und der AI Act dazu sagen

Die Sicherheit von KI-Agenten ist 2026 ein politisches Thema, an dem Industrie, Staat und Gesetz zusammenwirken. Die Industrie organisiert sich in Allianzen wie OSAI, gegründet am 27. Juli 2026. Der Staat handelt über Institute wie NIST, mit einer Agenten-Initiative vom 17. Februar 2026. Das Gesetz kommt in Europa über den EU AI Act. Eine Untersuchung von Anthropic legt nahe, was passiert, wenn eine Regel nicht unmittelbar vor der Entscheidung steht.

Für Roboter bedeutet das, dass Regeln für Agenten immer auch die Robotik treffen, weil der autonome Agent das Gehirn der Maschine ist. Die vollständige Landkarte mit Allianzen, NIST und UN liegt im Schwesterartikel zur KI-Agenten-Sicherheit.

Humanoide: menschlicher Körper als Risikoprofil

Humanoide Roboter faszinieren, weil sie aussehen wie wir, und genau das macht sie riskant. Ein zweibeiniger Roboter kann kippen und stürzen. Er bewegt Arme auf Kopfhöhe des Menschen, sein Schwerpunkt liegt hoch, und seine Balance ist heikel.

Wie weit die Technik ist, zeigt der 2026 AI Index von Stanford mit harten Zahlen. Humanoide Roboter scheitern an rund 88 Prozent der Haushaltsaufgaben im BEHAVIOR-1K-Test, und ihre Erfolgsquote liegt damit bei etwa 12 Prozent. In der reinen Simulation erreichen sie 89,4 Prozent, in der Realität brechen die Werte ein.

Diese Zahlen gelten für humanoide Roboter im Benchmark, nicht für Haushaltsroboter allgemein. Sie zeigen aber, wo die Technik steht. Humanoide sind 2026 überwiegend Pilotprojekte oder Prototypen und noch kein autonomer Alltagshelfer. Wie sich das Rennen zwischen China und den USA entwickelt, zeigt unsere Analyse zum Humanoiden-Wettlauf.

Für die Bewertung im Betrieb lohnt darum ein nüchterner Blick. Eindrucksvolle Videos zeigen selten den Normalfall, sondern einstudierte oder ferngesteuerte Abläufe, während die Alltagsquote weit darunter liegt. Demo und Dauerbetrieb gehören deshalb getrennt betrachtet.

Drohnen: Autonomie im Luftraum

Drohnen sind fliegende autonome Roboter, und ihr Risikoprofil unterscheidet sich klar von Bodenmaschinen. Ein Fehler führt hier zum Absturz aus der Höhe, und der Luftraum ist geteilt und rechtlich streng geregelt. Ein Not-Halt bedeutet bei einer Drohne deshalb nicht einfach Stillstand.

Autonome Drohnen bringen dieselbe Kette aus Sensor, Modell und Aktor mit. Getäuschte Sensoren führen zu falscher Navigation, und ein gekapertes Steuersignal übernimmt das Fluggerät. Dazu kommen Datenschutzfragen, weil Drohnen filmen und vermessen. Diese Mischung macht sie zu einem eigenen Sicherheitsfeld.

Der rechtliche Rahmen ist hier besonders dicht, denn Registrierung, Flugverbotszonen und Kennzeichnung sind Pflicht. Wer autonome Drohnen betreibt, trägt viel Verantwortung. Die Details stehen im Beitrag zu Drohnen, Datenschutz und Cybersicherheit. An der Grundthese ändert das nichts, denn auch im Luftraum ist es der Körper, der die Regeln bestimmt.

Industrie und Pflege: Nähe zum Menschen

In der Industrie sind autonome Roboter längst Alltag. Autonome mobile Roboter fahren durch Lager und Hallen, kollaborative Roboter arbeiten direkt neben Menschen, und beide Gattungen sind in Deutschland im Verkauf und im Einsatz. Ihre Nähe zum Menschen ist der Grund, warum Normen hier so viel Gewicht haben.

Hier zeigt sich der Wert von ISO/TS 15066 in der Praxis. Ein Cobot darf nur mit begrenzter Kraft arbeiten, und berührt er einen Menschen, stoppt er sofort. Die Bewegungsgeschwindigkeit ist an die Umgebung gekoppelt. Sicherheit entsteht hier aus messbaren Grenzen.

In der Pflege wird die Nähe noch heikler, weil ein Roboter, der Menschen hebt, hohe Lasten am verletzlichen Körper trägt. Fehlbewegungen sind hier besonders folgenreich. Wie Roboter in kritischen Umgebungen geprüft werden, zeigt unser Vergleich der Inspektionsroboter.

Fahrerlose Transporter in der Logistik bewegen sich autonom durch Hallen voller Menschen und machen den Unterschied ebenfalls greifbar. Was genau hinter diesen Fahrzeugen steckt, vertieft unser Beitrag zu autonomen mobilen Robotern.

Der Trend geht klar zu mehr Nähe. Roboter verlassen die abgesperrten Zellen und teilen den Raum mit Menschen, und damit steigt der Anspruch an die Sicherung, weil jede zusätzliche Nähe strengere Grenzen verlangt. Was in der Logistik erprobt ist, wandert langsam in sensiblere Bereiche.

Was Deutschland und die EU regeln

Für autonome Roboter gilt in Deutschland ein dichter Rechtsrahmen. Der EU AI Act greift seit dem 2. August 2026 mit den Transparenzpflichten aus Artikel 50. Ab dem 20. Januar 2027 folgt die Maschinenverordnung 2023/1230. Dazu kommen die DSGVO und der Cyber Resilience Act 2024/2847, und diese Regeln überlagern sich und greifen ineinander.

Praktisch bedeutet das mehrere Prüfpunkte vor dem Betrieb. Ein Roboter braucht eine CE-Kennzeichnung und eine Risikobeurteilung, und der Betreiber muss die Konformität sicherstellen. Wer Daten erhebt, prüft die DSGVO, etwa die Folgenabschätzung nach Artikel 35. Das ist keine Rechtsberatung, sondern der Hinweis auf die relevanten Baustellen.

Bei den Fristen lohnt Genauigkeit, weil einige Pflichten heute gelten und andere erst 2027 und später greifen. Eine Ankündigung ist keine geltende Regel. Was aktuell gilt, zeigt nur die Primärquelle, denn die Rechtslage bewegt sich schneller als der Markt.

Woran man die Sicherheit misst

Sicherheit autonomer Roboter lässt sich messen. Der Anfang ist der Not-Halt. Reagiert er sofort und zuverlässig? Dazu kommt die Sensor-Redundanz, also die Frage, ob es mehr als eine Quelle für jede kritische Wahrnehmung gibt.

Bei der Isolation geht es darum, wie eng die Rechte des Systems begrenzt sind. Bei den Normen geht es darum, ob der Roboter ISO 10218 und, wo nötig, ISO/TS 15066 erfüllt. Diese Normen gelten für Industrieroboter und industrielle Roboteranwendungen; für Service-, Medizin- oder Haushaltsroboter greifen jeweils eigene Regelwerke. Und schließlich zählt der Nachweis, also eine dokumentierte Risikobeurteilung.

An diesen Fragen scheidet sich Marketing von echter Sicherheit. Ein Video zeigt, was ein Roboter kann, aber nicht, was passiert, wenn er versagt. Deshalb ist das Verhalten im Fehlerfall die entscheidende Auskunft, und ein sicherer Roboter zeigt sich in seinem Stopp eher als in seiner besten Demo.

Dazu kommt die Aktualität. Firmware und Modelle ändern sich über Updates, und ein sicherer Stand von heute kann morgen überholt sein. Deshalb gehört zur Bewertung auch, wie Updates geprüft und eingespielt werden, denn Sicherheit ist ein laufender Prozess.

Einordnung: der Körper ändert die Regeln

Die Debatte um KI-Sicherheit dreht sich oft um Software. Sobald die KI einen Körper bekommt, verschiebt sich die Frage. Aus Datenschutz wird Personenschutz, aus einem Rollback ein nicht rückholbarer Aufprall. Der Körper ist kein Detail, sondern der eigentliche Unterschied.

Daraus folgt eine klare Priorität. Große Versprechen wiegen weniger als harte Grenzen, weil ein Roboter durch Not-Halt, Isolation und Normen sicher wird, nicht durch Moral. Digitale Leitplanken bleiben nützlich, aber sie reichen nicht, denn sie halten kein Gewicht auf, das sich bereits bewegt.

Der Markt ist dabei gemischt. Cobots und mobile Roboter arbeiten heute real und sicher geregelt, während Humanoide vorerst Pilot und Prototyp bleiben. Die nächsten Jahre entscheiden, wie schnell die Lücke schrumpft. Wer einer KI einen Körper gibt, gibt ihr die Verantwortung für jede Bewegung.

Häufige Fragen zu autonomen Robotern

Was die Maschinenverordnung beim Abriss der Fernsteuerung konkret verlangt, führen wir im Beitrag zur Messevorführung und Marktkonformität aus.