»Das stand doch im Prompt« ist keine Antwort auf »Warum hat er das gemacht?«
Das Gespräch wiederholt sich in jedem Unternehmen, das einen Agenten in Produktion bringt. Der Agent macht etwas Merkwürdiges — verspricht einen Liefertermin, den es nicht gibt, antwortet auf etwas, das nicht seine Sache war, erfindet eine Prozedur — und jemand fragt, was passiert ist. Die Antwort ist immer dieselbe: »das stand im Prompt«. Und dann kommen die drei unangenehmen Fragen. In welcher Version des Prompts? Wer hat diese Zeile geschrieben? Hat jemand getestet, was passiert, wenn man sie herausnimmt?
Es gibt fast nie eine Antwort, und das ist keine Schlamperei: Das Wort Prompt schiebt dich dazu, den Text wie eine Nachricht zu behandeln. Eine Nachricht schreibt man einmal, schickt sie ab und vergisst sie. Was einen Agenten in Produktion steuert, ist aber keine Nachricht: Es ist das Dokument, das festlegt, was er tut, was er nicht anfasst und wen er ruft, wenn er feststeckt. Dafür gibt es in jeder Organisation einen anderen Namen: eine Stellenbeschreibung. Und Stellenbeschreibungen haben einen Verantwortlichen, eine Version und ein Revisionsdatum.
Das ist keine bequeme Metapher. Die Dokumentation von Anthropic empfiehlt selbst, das Modell als »brillanten, aber neuen Mitarbeiter zu sehen, dem der Kontext zu deinen Regeln und Abläufen fehlt«, und schlägt eine goldene Regel vor, die bei Menschen genauso funktioniert: Zeig deine Anweisungen einem Kollegen mit wenig Kontext und bitte ihn, sie zu befolgen; wenn er ins Straucheln gerät, gerät auch das Modell ins Straucheln. Quelle: Prompting best practices, Claude Platform Docs, abgerufen am 11. September 2026.
In diesem Leitfaden geht es darum, dieses Dokument zu schreiben. Es ist kein Prompting-Kurs und keine Zaubervorlage zum Kopieren: Es ist die Mindeststruktur, die in Produktion hält, die Stelle, an der sich fast alle irren, und die Gewohnheit, die Iterieren vom Beten trennt.
Die sechs Dinge, die geschrieben stehen müssen
Plattform, Modell und Anwendungsfall ändern daran nichts. Fehlt einer dieser sechs Blöcke, füllt der Agent ihn selbst — und was er einfüllt, hast nicht du entschieden. In der Architektur, die OpenAI beschreibt, besteht ein Agent aus drei Teilen — Modell, Werkzeuge und Anweisungen —, und die Anweisungen sind die »expliziten Leitlinien und Leitplanken, die sein Verhalten definieren«. Explizit ist das Wort. Quelle: A practical guide to building agents, OpenAI, abgerufen am 11. September 2026.
| Block | Was er beantwortet | Was passiert, wenn er fehlt |
|---|---|---|
| Identität und Kanal | Wer er ist, mit wem er spricht und wo | Ton und Anrede driften von Tag zu Tag |
| Zuständigkeit | Worum er sich kümmert und worum nicht | Er antwortet auf alles, auch auf das, was er nicht weiß |
| Was er entscheiden darf | Wo Vorschlagen endet und Ausführen beginnt | Er führt Dinge aus, die niemand freigegeben hat |
| Ausgabeformat | In welcher Form das Ergebnis herauskommt | Das Zielsystem lehnt es stillschweigend ab |
| Was er tut, wenn er nicht weiß | Der ehrliche Standardausgang | Er füllt die Lücke mit etwas Plausiblem |
| Wann er eskaliert | Die genaue Schwelle, die einen Menschen ruft | Niemand erfährt es bis zur Beschwerde |
Schau auf die rechte Spalte: Keiner dieser Fehler zeigt sich als Fehlermeldung. Alle zeigen sich als Verhalten, und das zu entdecken ist viel teurer. Ein Agent, der abstürzt, sagt dir Bescheid; ein Agent ohne Zuständigkeitsblock arbeitet wochenlang munter weiter und beantwortet Dinge, die nie seine Sache waren.
Der Fehler mit den Verbotsregeln (und was stattdessen hingehört)
Hier kommt die nützlichste Korrektur des ganzen Leitfadens, und sie geht gegen das, was fast alle tun. Wenn ein Agent sich danebenbenimmt, ist der Reflex, ein Verbot hinzuzufügen: »versprich nie Liefertermine«, »keine Emojis«, »nenne niemals Preise«. Die Liste der Neins wächst Woche für Woche zu einer Hausordnung — und das Verhalten taucht weiter auf.
Die Dokumentation von Anthropic ist dazu eindeutig: sag dem Modell, was es tun soll, statt was es nicht tun soll. Ihr eigenes Beispiel zur Formatsteuerung ist genau dieses: statt »benutze kein Markdown in deiner Antwort« schreib »deine Antwort soll aus flüssigen Prosaabsätzen bestehen«. Und wenn das Verbot unvermeidlich ist, empfiehlt derselbe Leitfaden, den Grund mitzuliefern: »benutze NIEMALS Auslassungspunkte« wirkt schlechter als »deine Antwort wird von einer Sprachausgabe vorgelesen, benutze also nie Auslassungspunkte, weil sie nicht weiß, wie sie die aussprechen soll«. Das Modell verallgemeinert aus der Erklärung; aus dem nackten Verbot nicht. Quelle: Prompting best practices, Claude Platform Docs, abgerufen am 11. September 2026.
Die operative Übersetzung ist einfach und macht Arbeit: Jedes Mal, wenn du ein »nicht« schreiben willst, halt an und beantworte zwei Fragen. Was soll er stattdessen tun? und warum? Was dabei herauskommt, ist die Regel, die hingehört.
| Was geschrieben wird | Was wirkt |
|---|---|
| »Versprich nie Liefertermine« | »Wenn nach einem Termin gefragt wird, nenne den, den das Bestellsystem zurückgibt. Gibt es keinen zurück, sag, dass du ihn bestätigen wirst, und öffne eine Anfrage — ein falsch genannter Termin wird zur Reklamation.« |
| »Erfinde keine Informationen« | »Antworte nur mit dem, was du in der Dokumentation findest. Steht es nicht drin, sag genau das und biete an, die Frage an einen Menschen weiterzugeben.« |
| »Gib keine Rabatte« | »Rabatte gibt die Vertriebsleitung frei. Fragt ein Kunde danach, erfasse die Anfrage mit dem Betrag und informiere den Vertrieb; bestätige selbst nichts.« |
Es gibt eine Ausnahme, die man kennen sollte: harte Sicherheitsgrenzen — was unter keinen Umständen passieren darf — werden sehr wohl negativ und schroff formuliert, und es hilft, sie am Anfang und am Ende des Dokuments zu wiederholen. Aber das sind zwei oder drei Zeilen, nicht vierzig. Der Rest deiner Verbotssammlung ist fast immer eine positive Spezifikation, die sich niemand hingesetzt und aufgeschrieben hat.
Was er entscheidet, was er vorschlägt und was er gar nicht anfasst
Der Block, der am meisten Geld spart, ist der kürzeste. Nimm jede Aktion, die der Agent ausführen kann, und sortiere sie in drei Spalten: führt er allein aus, lässt er als Vorschlag zur Bestätigung liegen, oder fasst er gar nicht an. Und schreib es mit Zahlenschwellen, nicht mit Adjektiven: »hohe Beträge« ist keine Schwelle, »über 300 Euro« schon.
Um zu entscheiden, in welche Spalte eine Aktion gehört, schlägt der OpenAI-Leitfaden vor, das Risiko jedes Werkzeugs zu bewerten — niedrig, mittel oder hoch — nach vier Faktoren: nur lesend oder schreibend, umkehrbar oder nicht, welche Berechtigungen es verlangt und welche finanzielle Wirkung es hat. Diese Bewertung löst dann die Pause oder die Eskalation aus, und sie ist ein deutlich belastbareres Kriterium als das Bauchgefühl aus der Dienstagsrunde. Quelle: A practical guide to building agents, OpenAI, abgerufen am 11. September 2026.
Dieser Block der Anweisungen und die technischen Berechtigungen des Agenten sind zwei verschiedene Dinge, die dasselbe sagen müssen. Die Anweisungen sagen, was er tun soll; die Berechtigungen bestimmen, was er tun kann. Wenn im Dokument steht, dass er keine Erstattungen auslöst, die Zugangsdaten aber den Umfang dafür haben, steht zwischen deinem Unternehmen und einer unberechtigten Erstattung nur das Wohlverhalten des Modells — und das ist keine Kontrolle. Wie man diese Zange schließt, steht in welche Berechtigungen ein KI-Agent bekommen soll, und die Karte, wie viel Autonomie in welcher Reihenfolge, in Autonomiestufen eines Agenten.
Was er tut, wenn er nicht weiß, und wann er einen Menschen ruft
Ohne ausdrückliche Anweisung besteht das Standardverhalten bei einer Lücke darin, sie mit etwas Plausiblem zu füllen. Nicht weil das Modell lügt, sondern weil ihm niemand einen besseren Ausgang gegeben hat. Der bessere Ausgang passt in eine Zeile und verändert den Alltag: »wenn die Antwort nicht in der Dokumentation steht, sag genau das, leite sie nicht her, und biete an, die Anfrage an einen Menschen weiterzugeben«.
Die Eskalation ist die andere Hälfte. OpenAI behandelt sie als vollwertigen Schutzmechanismus und beschreibt zwei Auslöser, die man wörtlich übernehmen kann: eine Fehlerschwelle überschreiten — hat der Agent die Absicht nach N Versuchen nicht verstanden, übergibt er — und Aktionen mit hohem Risiko, also sensible, unumkehrbare oder folgenschwere; die genannten Beispiele sind Bestellungen stornieren, große Erstattungen freigeben und Zahlungen auslösen. Quelle: A practical guide to building agents, OpenAI, abgerufen am 11. September 2026.
Schreib diese zwei Auslöser mit Zahlen und mit Empfänger. Nicht »eskaliere, wenn nötig«, sondern »nach zwei Versuchen ohne Identifikation der Bestellung gib das Gespräch mit Zusammenfassung und Verlauf an den Kundenservice«. Der Unterschied zwischen diesen beiden Formulierungen ist der Unterschied zwischen einer Eskalation, die stattfindet, und einer, die nicht stattfindet.
Eins nach dem anderen: die Gewohnheit, die Iterieren vom Beten trennt
Fast alle justieren Anweisungen gleich: merkwürdiges Verhalten entdecken, vier Absätze umschreiben, zwei Fälle über den Daumen prüfen und hochladen. Wird es besser, weißt du nicht, welche der vier Änderungen es behoben hat. Wird es schlechter, weißt du auch nicht, welche es kaputt gemacht hat. Das ist kein Iterieren, das ist Beten mit Zwischenschritten.
Die Gewohnheit, die daraus Ingenieursarbeit macht, passt in drei Regeln. Eins. Ändere eine Sache nach der anderen und schreib sie auf: was du geändert hast, warum und was du erwartet hast. Zwei. Bewahre das Vorher und das Nachher derselben Fälle auf — der zehn oder fünfzehn, die deinen echten Betrieb abbilden, die schrägen eingeschlossen —, denn ohne das Vorher hast du nichts zum Vergleichen. Drei. Lass die Vorversion dort, wo du sie in einer Minute zurückholen kannst, denn die Änderung, die etwas kaputt macht, macht es fast nie im Test kaputt, sondern am Dienstag darauf.
Diese drei Regeln sind manuell und funktionieren in einer Tabelle — und genau dort sollen sie anfangen. Wenn aus einem Agenten eine Flotte wird, trägt das handgeführte Register nicht mehr, und daraus wird eine operative Funktion mit einer einzigen Wahrheitsquelle, einer Testbatterie vor dem Ausrollen und einem Rückweg in einer Minute: das ist KI-Prompts testen und versionieren, und das ist eine Leistung, kein Ratschlag. Über den Sprung entscheidet nicht die Teamgröße, sondern die Zahl der Menschen, die das Dokument anfassen dürfen.
Und eine Warnung, die Wochen spart: Wenn der Agent scheitert, weil er die Information nicht findet, liegt das Problem nicht in den Anweisungen, und sie umzuschreiben behebt es nicht. Es liegt in dem, was er nachschlagen kann — wie das aufgebaut und bewertet wird, steht in einen KI-Agenten trainieren — oder in dem, was er sich zwischen Gesprächen merken sollte, und das ist das Gedächtnis eines KI-Agenten. Die drei werden unterschiedlich behoben, und sie zu verwechseln ist die häufigste Art, einen Monat zu verlieren.
Das Ein-Seiten-Blatt: wer es unterschreibt und wann es geprüft wurde
Schließ das Dokument mit einem Kopf aus fünf Feldern ab. Das ist keine Bürokratie: Das macht aus einem losen Text ein Artefakt, das jemand pflegt.
- Verantwortlicher. Eine Person mit Namen, keine Abteilung. Wer antwortet, wenn der Agent etwas Merkwürdiges tut.
- Version und Datum. Eine Nummer, die steigt, und der Tag, an dem sie stieg. Ohne das kannst du nicht sagen, was letzte Woche lief.
- Was sich geändert hat und warum. Zwei Zeilen pro Version. Das ist das Protokoll, das dich davor bewahrt, in sechs Monaten ein gescheitertes Experiment zu wiederholen.
- Testfälle. Wo die zehn oder fünfzehn Fälle liegen, mit denen jede Änderung geprüft wird, und wer sie aktuell hält.
- Nächste Prüfung. Ein Datum. Anweisungen verfallen, wenn sich Richtlinie, Katalog oder Zielsystem ändern, und niemand sagt Bescheid.
Wenn dein Agent schon in Produktion ist und dieses Dokument nicht existiert, ist die Reihenfolge diese: Schreib zuerst den Block, was er entscheiden darf, und den, wann er eskaliert — die beiden, bei denen Geld vor der Tür steht. Der Rest kann eine Woche warten. Und an dem Tag, an dem wieder jemand fragt »warum hat er das gemacht?«, kannst du eine Datei öffnen, eine Version anschauen und antworten.
Wir schreiben dieses Dokument mit dem Kunden am Tisch und hinterlassen es unterschrieben, versioniert und mit seinen Testfällen: Es gehört dazu, KI-Mitarbeiter aufzubauen, die wirklich arbeiten, innerhalb der allgemeinen Logik von einen KI-Agenten bauen, der Produktion aushält. Wir verkaufen nicht den Prompt. Wir kassieren dafür, dass jeder in deinem Team lesen kann, was dein Agent tut und warum — ohne jemanden fragen zu müssen.