Lesen
Bestellungen, Kundenstamm, Bestände, Kalender abfragen. Geringes Risiko, wenn Rechte stimmen.
Glossar
Tool-Aufruf:
wie ein Modell Werkzeuge nutzt.
Ein Sprachmodell kann nur Text erzeugen. Damit daraus ein Agent wird, braucht es Werkzeuge: Datenbanken abfragen, Kalender prüfen, Entwürfe anlegen. Der Tool-Aufruf ist das Verfahren dahinter.
Kurz gesagtEin Tool-Aufruf (auch Function Calling) ist eine strukturierte Anforderung des Sprachmodells an das umgebende System, ein bestimmtes Werkzeug mit bestimmten Angaben auszuführen. Das System führt es aus, prüft Rechte und gibt das Ergebnis an das Modell zurück.
Was ein Tool-Aufruf ist
Ein Sprachmodell führt selbst nichts aus. Es schreibt Text. Damit es trotzdem Daten abfragen oder Aktionen anstoßen kann, bekommt es eine Liste von Werkzeugen beschrieben: Name, Zweck und benötigte Angaben, zum Beispiel „bestellung_abrufen, benötigt Bestellnummer“. Hält das Modell ein Werkzeug für nötig, schreibt es eine strukturierte Anforderung in diesem Format.
Das umgebende System, nicht das Modell, führt die Anforderung aus. Es prüft, ob der Aufruf erlaubt ist, spricht die Schnittstelle des Zielsystems an und gibt das Ergebnis an das Modell zurück. Dieses formuliert daraus die nächste Antwort oder fordert ein weiteres Werkzeug an. Diese Schleife aus Anfordern, Ausführen und Auswerten macht aus einem Textmodell einen KI-Agenten.
Entscheidend ist die Trennung der Rollen. Das Modell schlägt vor, das System entscheidet, ob es geschieht. Genau an dieser Trennstelle lassen sich Rechte, Grenzen und Freigaben technisch durchsetzen.
Der Ablauf im Beispiel
Fiktives Beispiel, kein Kundenfall.
- AnfrageEin Kunde fragt: „Wo ist meine Bestellung 4711?“
- AnforderungDas Modell fordert das Werkzeug „bestellung_abrufen“ mit der Nummer 4711 an.
- AusführungDas System prüft die Berechtigung, fragt das Shopsystem ab und erhält Status und Sendungsnummer.
- AntwortDas Modell formuliert aus den gelieferten Daten einen Entwurf. Ein Mensch gibt frei, wenn so festgelegt.
Das Modell hat die Bestelldaten nie „gewusst“. Es hat sie über das Werkzeug geholt und nur wiedergegeben. Dadurch sind sie aktuell und nachvollziehbar.
Für Ihr Team ist daran wichtig: Jeder Aufruf hinterlässt eine Spur. Im Protokoll lässt sich nachlesen, welches Werkzeug mit welchen Angaben angesprochen wurde und was zurückkam. Das macht Fehler auffindbar und Antworten überprüfbar.
Welche Werkzeuge es gibt
Suchen
Wissensbasis durchsuchen, siehe RAG. Standardwerkzeug eines Wissensagenten.
Entwerfen
Dokumente, Antworten oder Tickets als Entwurf anlegen. Ein Mensch gibt frei.
Schreiben
Daten ändern oder Nachrichten versenden. Höheres Risiko, daher nur mit Freigabe oder engen Regeln.
Abgrenzung
- Tool-Aufruf und API: Der Tool-Aufruf ist die Anforderung des Modells. Die API ist die Schnittstelle, über die das System dann tatsächlich auf das Zielsystem zugreift.
- Tool-Aufruf und Webhook: Beim Tool-Aufruf fragt das System aktiv. Ein Webhook meldet umgekehrt ein Ereignis von außen.
- Tool-Aufruf und MCP: MCP ist ein Standard, wie Werkzeuge einheitlich beschrieben und angebunden werden.
Sicherheit und Grenzen
- Rechte sparsam vergeben. Ein Werkzeug darf nur, was der Vorgang braucht. Lesen genügt, wo möglich, Schreiben nur gezielt.
- Eingaben prüfen. Angaben des Modells werden validiert, bevor etwas ausgeführt wird. Eine Bestellnummer hat ein festes Format.
- Freigabe bei Wirkung. Aktionen, die Geld bewegen, etwas löschen oder nach außen gehen, laufen über Menschen.
- Eingeschleuste Anweisungen. Texte aus Mails oder Webseiten können das Modell zu unerwünschten Aufrufen verleiten. Das BSI beschreibt solche Risiken generativer Modelle und mögliche Gegenmaßnahmen.
- Protokoll. Jeder Aufruf wird festgehalten: wer, was, wann, mit welchem Ergebnis. Siehe Protokollierung.
Worauf Sie beim Entwurf von Werkzeugen achten sollten
- Eindeutiger Name und Zweck. Das Modell wählt Werkzeuge nach ihrer Beschreibung. Zwei Werkzeuge mit ähnlicher Beschreibung führen zu Verwechslungen.
- Feste Parameter. Jede Angabe hat Typ und Format. Freitext, wo eine Nummer erwartet wird, lädt zu Fehlern ein.
- Verständliche Fehlermeldungen. Das Modell liest die Meldung. „Bestellung nicht gefunden“ hilft, „Error 500“ nicht.
- Sichere Voreinstellung. Im Zweifel nur lesen, im Zweifel Entwurf statt Versand.
- Ein Werkzeug, ein Zweck. Je enger, desto einfacher lassen sich Rechte und Tests festlegen.
Wer so vorgeht, bekommt Agenten, deren Verhalten sich erklären lässt. Im Fehlerfall sieht man im Protokoll genau, welches Werkzeug mit welchen Angaben aufgerufen wurde und was zurückkam. Das erleichtert Abnahme, Fehlersuche und Gespräche mit der Datenschutzbeauftragten.
Wie wir Werkzeuge zuschneiden
Wir bauen keine Alleskönner-Werkzeuge. Jedes Werkzeug erfüllt eine enge Aufgabe mit festen Parametern und eigenen Rechten. „Bestellung lesen“ ist ein Werkzeug, „Datenbank abfragen“ wäre eines zu viel. Diese Enge macht den Agenten berechenbar und die Prüfung einfach.
Welche Werkzeuge ein Vorgang braucht, klären wir im Erstgespräch. Eine erste Einschätzung bietet der Entlastungs-Check. Leistungen: KI-Agenten entwickeln und Prozess-Automatisierung.
Dabei gilt der Grundsatz, dass ein Werkzeug nur kann, was für den Vorgang nötig ist. Lesende Werkzeuge kommen zuerst; schreibende Zugriffe werden einzeln begründet und freigegeben.
Weitere Fragen aus der Praxis
Ist ein Tool-Aufruf dasselbe wie Function Calling?
Ja, die Begriffe werden fast gleichbedeutend verwendet. Function Calling betont die technische Seite, Tool-Aufruf die Sicht des Agenten, der ein Werkzeug nutzt.
Wie viele Werkzeuge sollte ein Agent haben?
So wenige wie möglich. Jedes zusätzliche Werkzeug erhöht die Gefahr, dass das Modell das falsche wählt, und erweitert die Angriffsfläche. Wir starten mit zwei bis vier Werkzeugen für einen Vorgang und erweitern nach den Testläufen nur bei Bedarf.
Wie prüfen Sie, ob ein Agent Werkzeuge richtig einsetzt?
Mit Testfällen, bei denen wir vorher wissen, welches Werkzeug mit welchen Angaben aufgerufen werden muss. Dazu kommen absichtlich irreführende Eingaben. Das Protokoll zeigt, ob das Modell den richtigen Weg wählt und ob das System unerlaubte Aufrufe blockiert.
Häufige Fragen
Führt das Sprachmodell die Aktion selbst aus?
Nein. Es formuliert die Anforderung. Das umgebende System prüft sie und führt sie aus oder lehnt sie ab.
Kann ein Agent unerlaubte Werkzeuge nutzen?
Nur, wenn sie ihm bereitgestellt wurden. Er kennt ausschließlich die Werkzeuge, die wir ihm beschreiben, und das System erzwingt die Rechte unabhängig vom Modell.
Was passiert, wenn ein Werkzeug einen Fehler meldet?
Das System gibt die Fehlermeldung an das Modell zurück. Es kann es erneut versuchen, eine Rückfrage stellen oder den Vorgang an einen Menschen übergeben. Wiederholungen sind begrenzt.
Muss ich dafür meine Software ändern?
In der Regel nicht. Voraussetzung ist eine Schnittstelle oder ein anderer geregelter Zugang. Bei älteren Systemen gibt es Umwege, die wir im Einzelfall prüfen.
Wie viel Kontrolle habe ich?
Sie legen fest, welche Werkzeuge es gibt, mit welchen Rechten und welche Aufrufe eine Freigabe brauchen. Das Protokoll zeigt jeden Schritt.
Quellen und rechtlicher Rahmen
- BSI: Generative KI-Modelle, Chancen und Risiken für Industrie und Behörden (21.1.2025): Das BSI beschreibt neben den Chancen neuartige IT-Sicherheitsrisiken generativer KI-Modelle sowie mögliche Gegenmaßnahmen. Es richtet sich an Unternehmen und Behörden, die den Einsatz in ihren Arbeitsabläufen erwägen. (abgerufen 21. Oktober 2026)
- DSGVO, Art. 22 (automatisierte Entscheidungen): Betroffene haben das Recht, nicht einer ausschließlich automatisierten Entscheidung unterworfen zu werden, die ihnen gegenüber rechtliche Wirkung entfaltet oder sie ähnlich erheblich beeinträchtigt. (abgerufen 21. Oktober 2026)
Die Zusammenfassungen sind sinngemäß; maßgeblich sind die verlinkten Originaltexte. Das ist ein allgemeiner Überblick zu Ihrem Umfeld, keine Rechtsberatung und keine Aussage zu Ihrem Einzelfall.
Autor: Melvin Mümken, Gründer & Technischer Leiter. Stand: 22.10.2026. Die Hinweise sind ein allgemeiner Überblick und keine Rechtsberatung.