Definition (Stand 07.10.2026)
Schatten-Administration ist die Ausübung von Rechten durch einen Agenten, die weder deklariert noch pro Aktion freigegeben ist, gemessen als beobachtete Reichweite über der deklarierten; wo ein Recht nicht deklariert ist, gilt der Aufgabenbereich des Werkzeugs als Maßstab. Sie ist unabhängig davon, ob der Agent inventarisiert ist.
Der Aufgabenbereich ist Stufe 1 der Skala: das deklarierte Ziel, das übergebene Token, die deklarierten Programme, ein Cache, enge Vorabfreigaben, Lesen außerhalb des Projekts ohne Geheimnisse, also das, was ein Werkzeug für seine Aufgabe ohnehin tun darf.
Abgrenzung
- Nicht Schatten-KI und nicht Shadow Agents. Dort heißt „Schatten” unbekannt oder nicht inventarisiert. Schatten-Administration kann auch ein bekannter, inventarisierter Agent betreiben.
- Nicht Privilege Gap. Der Begriff ist von mehreren Anbietern für andere Messgrößen belegt.
- Nicht gewährt gegen genutzt. Werkzeuge für Berechtigungsanalysen messen, welche gewährten Rechte genutzt werden. Die Schatten-Administration misst genutzt gegen deklariert. Ob ein Recht nötig ist, lässt sich nicht reproduzierbar bestimmen; das bleibt ein menschliches Urteil.
Englische Entsprechung: Agent Privilege Surplus, gemessen mit Privilege Reach, siehe /terms/privilege-surplus/.
Zitiervorschlag
Ilja Schlak: Schatten-Administration. Definition, Stand 07.10.2026. Agentic Security Field Guide. https://readbeforerun.ai/de/schatten-administration/