Auf die Schnelle

Seit dem 25. Juli 2026 können Agenten in ChatGPT Work auch auf Webseiten arbeiten, die eine Anmeldung verlangen. Der Ablauf: Der Agent hält an, du übernimmst einen Cloud-Browser und meldest dich selbst an, dann gibst du die Kontrolle zurück und der Agent arbeitet weiter. Die Sitzung bleibt über mehrere Läufe bestehen, du meldest dich pro Seite also nur einmal an. Während der manuellen Anmeldung werden laut OpenAI keine Bildschirmaufnahmen erstellt, damit Passwörter nicht in den Protokollen landen. Verfügbar ist der Agent-Modus für Pro, Plus, Business, Enterprise und Edu, die Anmeldeschritte zählen nicht gegen Nachrichtenlimits.

Bisher endete die Arbeit eines KI-Agenten regelmäßig an derselben Stelle: bei der Anmeldemaske. Alles, was hinter einem Login liegt, war für ihn unerreichbar, und damit fielen die meisten wirklich nützlichen Aufgaben im Betrieb weg. Seit dem 25. Juli 2026 gibt es dafür einen Weg.

Wie das technisch abläuft

Der Ablauf ist bewusst so gebaut, dass der Agent das Passwort nie sieht. Wenn er auf eine Seite stößt, die eine Anmeldung verlangt, pausiert er und übergibt einen Cloud-Browser an dich. Du meldest dich dort selbst an, so wie du es sonst auch tätest, und gibst dann die Kontrolle zurück. Ab da arbeitet der Agent die Aufgabe weiter ab.

Cookies und Sitzung bleiben über mehrere Durchläufe erhalten. Du musst dich pro Seite also nur einmal anmelden, danach nutzt der Agent die bestehende Sitzung.

Während du eingibst, werden nach Angaben von OpenAI keine Screenshots aufgezeichnet. Das ist der entscheidende Unterschied zu einem Agenten, der einfach mitfilmt, was auf dem Bildschirm passiert. Passwörter sollen so nicht in den Aufzeichnungen landen, die für den Betrieb des Agenten sonst angefertigt werden.

Der Agent-Modus steht in den Plänen Pro, Plus, Business, Enterprise und Edu bereit. Die Schritte, die für die Anmeldung nötig sind, werden nicht auf Nachrichtenlimits angerechnet.

Was damit möglich wird

Der Nutzen liegt bei allem, was regelmäßig, gleichförmig und hinter einem Zugang steckt. Lieferantenportale, in denen jede Woche Bestellstände abgeglichen werden. Verwaltungsportale, in denen Nachweise hochzuladen sind. Buchungssysteme, aus denen jeden Monat Auswertungen zu ziehen sind. Bestellplattformen, in denen Preise zu prüfen sind.

Das sind genau die Aufgaben, die in kleinen Betrieben jemand nebenbei macht, meistens abends, meistens ungern. Sie sind zu selten für eine eigene Software und zu häufig, um sie zu vergessen.

Wenn ein Agent solche Läufe übernimmt, ist der Zeitgewinn spürbar. Er ist aber nur dann wirklich vorhanden, wenn das Ergebnis danach nicht komplett von Hand geprüft werden muss.

Deshalb lohnt sich vorab die Frage, wie ein Fehler überhaupt auffallen würde. Bei einem Export aus einem Buchungssystem merkt man eine fehlende Zeile sofort, weil die Summe nicht stimmt. Bei einer hochgeladenen Datei in einem Behördenportal merkt man wochenlang nichts, bis eine Frist verstrichen ist. Aufgaben der zweiten Sorte gehören nicht an den Anfang eines solchen Projekts, egal wie verlockend die Zeitersparnis wirkt.

Wo das Risiko liegt

Eine bestehende Sitzung ist ein Zugang. Wer eine Sitzung hat, kann in dem Portal grundsätzlich alles tun, was das angemeldete Konto darf. Bestellen, stornieren, Daten exportieren, Stammdaten ändern.

Die Schutzmechanik von OpenAI adressiert die Frage, wer das Passwort kennt. Sie adressiert nicht die Frage, was mit einer offenen Sitzung alles möglich ist. Diese zweite Frage muss der Betrieb selbst beantworten, und zwar bevor der erste Agent losläuft.

Damit verschiebt sich das Sicherheitsthema von der Passwortverwaltung zur Rechteverwaltung. Das ist die unbequemere Baustelle, weil sie in vielen kleinen Firmen nie sauber angelegt wurde. Wenn im Lieferantenportal alle mit demselben Sammelkonto arbeiten, das zufällig auch Bestellungen auslösen darf, ist ein Agent auf diesem Konto ein schlechter Plan.

Fünf Regeln, bevor ihr das produktiv einsetzt

Erstens: eigenes Dienstkonto statt persönlichem Zugang. Der Agent bekommt ein eigenes Konto, das nachvollziehbar ihm zugeordnet ist. Wenn ein Mitarbeiter geht, ändert sich dadurch nichts an den laufenden Abläufen, und im Protokoll ist erkennbar, was automatisch passiert ist.

Zweitens: minimale Rechte. Das Konto bekommt genau die Berechtigungen, die für die Aufgabe nötig sind. Lesen und exportieren ist etwas anderes als bestellen und stornieren. Viele Portale unterscheiden das, es muss nur jemand einstellen.

Drittens: keine Zahlungsfreigaben ohne Mensch. Alles, was Geld bewegt oder nach außen geht, braucht eine ausdrückliche Bestätigung durch eine Person. Das ist keine Frage des Vertrauens in die Technik, sondern gute kaufmännische Praxis, die es seit Jahrzehnten gibt.

Viertens: Protokollierung. Jeder Lauf sollte nachvollziehbar sein, mindestens mit Datum, Aufgabe und Ergebnis. Ohne Protokoll lässt sich hinterher nicht klären, ob ein Fehler vom Agenten oder von einem Menschen kam.

Fünftens: eine Probezeit mit Nachkontrolle. Die ersten vier Wochen wird jedes Ergebnis geprüft. Danach reicht Stichprobe. Wer diese Phase überspringt, merkt systematische Fehler erst, wenn sie sich hundertfach wiederholt haben.

Die Frage, die hinter allem steht

Ein Punkt geht in der Diskussion um KI-Agenten regelmäßig unter, und er ist unangenehm. Wenn ein Agent auf einem Portal in deinem Namen handelt, gilt das nach außen als dein Handeln. Der Lieferant sieht eine Bestellung von deinem Konto. Die Behörde sieht einen Upload von deinem Zugang.

Ob und wie sich Fehler eines Agenten intern zurechnen lassen, ist eine Frage, die Gerichte gerade erst durchdeklinieren. Die Richtung ist absehbar: Wer das Werkzeug einsetzt, trägt die Verantwortung für das Ergebnis. Deshalb gehört die Frage der Rechtevergabe bei KI-Agenten an den Anfang eines solchen Projekts und nicht ans Ende.

Für kleine Betriebe heißt das nicht, die Finger davon zu lassen. Es heißt, mit einem Vorgang anzufangen, bei dem ein Fehler nichts kostet außer einer halben Stunde Nacharbeit. Der Rest kommt später.

Quellen

Die genannten Angaben stützen sich auf folgende öffentlich zugängliche Quellen (Stand der Recherche: 3. August 2026):

Häufige Fragen

Bekommt der Agent mein Passwort?

Nein. Der Agent hält an und übergibt einen Cloud-Browser, in dem du dich selbst anmeldest. Danach gibst du die Kontrolle zurück. Während der Anmeldung werden laut OpenAI keine Bildschirmaufnahmen erstellt, damit Passwörter nicht in den Protokollen landen.

Muss ich mich bei jedem Lauf neu anmelden?

Nein. Die Sitzung bleibt über mehrere Durchläufe bestehen, du meldest dich pro Seite also nur einmal an. Danach nutzt der Agent die bestehende Sitzung weiter.

Wo liegt dann noch das Risiko?

Bei den Rechten des Kontos, nicht beim Passwort. Wer eine offene Sitzung hat, kann in dem Portal grundsätzlich alles tun, was das angemeldete Konto darf, also auch bestellen, stornieren oder Daten exportieren. Deshalb gehören dem Agenten ein eigenes Dienstkonto und minimale Rechte.

Wie fange ich damit sinnvoll an?

Mit einem Vorgang, bei dem ein Fehler nichts kostet außer einer halben Stunde Nacharbeit, zum Beispiel dem regelmäßigen Abruf von Auswertungen aus einem Portal. Die ersten vier Wochen wird jedes Ergebnis geprüft, danach reicht eine Stichprobe. Zahlungen und Versand nach außen bleiben beim Menschen.

KI-Agenten sicher in bestehende Abläufe einbauen?

Im kostenlosen KI-Schnupperkurs zeigen wir in fünf Lektionen, wie kleine und mittlere Firmen KI im Alltag nutzen. Tiefer und praxisnah geht es im Vollkurs Digitalisierungsmanager, DEKRA-zertifiziert und förderfähig über den Bildungsgutschein.

Zuletzt aktualisiert: 3. August 2026. Stand der Recherche: 3. August 2026.