Die kurze Antwort
Salesforce' Missionforce National Security teilte am 5. August 2026 mit, dass die Plattform Agentforce 360 die DoD-Freigabe Impact Level 5 (IL5) erhalten hat, sodass KI-Agenten auf Controlled Unclassified Information (CUI) und nicht klassifizierten Daten aus National Security Systems arbeiten dürfen. Die Plattform läuft in einer isolierten Amazon-Web-Services-GovCloud-Region, die nur von US-Personal betrieben wird, und das US Army Human Resources Command ist der erste Verband des Verteidigungsministeriums, der sie einsetzt – mit Agenten, die Fallzusammenfassungen über zweistellige Millionenzahlen an monatlichen Konversationen erstellen.
Die Schlagzeile ist ein Meilenstein: Agenten haben eine der strengsten Cloud-Hürden überhaupt genommen. Die Lehre steckt in der Fußnote – Berichten zufolge wurde ein generatives Modell deaktiviert, um IL5 zu erreichen, während die Plattform für später modellagnostisch bleibt. Genau dieses Muster sollte jedes regulierte Team verinnerlichen: An der Spitze der Compliance-Leiter ziehen Fähigkeit und Freigabe gegeneinander, und die Grenze, die man um einen Agenten zieht, entscheidet, was er sein darf.
Was tatsächlich freigegeben wurde
Im Kern ist die Nachricht eng und präzise. Salesforce' Geschäftsbereich für nationale Sicherheit, Missionforce, teilte mit, dass die Plattform Agentforce 360 die Freigabe Impact Level 5 (IL5) des US-Verteidigungsministeriums erhalten hat. IL5 gibt die Plattform frei, Controlled Unclassified Information (CUI) und nicht klassifizierte Daten aus National Security Systems (NSS) zu speichern und zu verarbeiten – sensibel, aber nicht klassifiziert. Die Umgebung läuft in einer Amazon-Web-Services-GovCloud-Region, die als physisch und logisch isoliert beschrieben wird und ausschließlich von US-Personal betrieben wird. Das ist keine Marketing-Stufe, sondern eine formale Freigabe, autonome Software auf Daten zu richten, die die Regierung als sensibel behandelt.
Der erste Anwender macht die Tragweite greifbar. Das US Army Human Resources Command ist der erste Verband des Verteidigungsministeriums, der die neu freigegebenen Agenten einsetzt – zur Erstellung von Fallzusammenfassungen, berichtet mit mehr als 1.500 automatisierten Zusammenfassungen pro Tag, über rund 55 Millionen Konversationen im Monat mit Soldaten, Zivilbeschäftigten, Angehörigen und Veteranen. Die breitere kommerzielle Beziehung liegt unter einem mehrjährigen Rahmenvertrag mit einem Volumen von bis zu 5,6 Milliarden US-Dollar, der Anfang 2026 angekündigt wurde. Für alle, die ernsthafte KI-Agenten-Systeme bauen, ist nicht die Zahl interessant, sondern dass einem Agenten zugetraut wird, sensible Datensätze innerhalb einer Grenze zusammenzufassen, die das DoD abgezeichnet hat.
Warum IL5 eine andere Art von Hürde ist
Die meisten Engineering-Teams begegnen Cloud-Compliance über FedRAMP oder SOC 2. IL5 liegt in beiderlei Hinsicht darüber. Es steht nahe der Spitze des Cloud Computing Security Requirements Guide des Verteidigungsministeriums, eine Stufe unter IL6, das für klassifizierte Daten reserviert ist. Wo FedRAMP Moderate den allgemeinen Schutz von Regierungsinformationen adressiert, verlangt IL5 dedizierte, isolierte Infrastruktur, strikten Betrieb durch US-Personal und Kontrollen im Maßstab nationaler Sicherheitsdaten. Es zu bestehen, ist weniger das Abhaken einer längeren Liste als der Nachweis, dass eine konkrete, abgegrenzte Umgebung nicht auf relevante Weise lecken kann.
Genau deshalb ist es bemerkenswert, dass ein Agent IL5 nimmt. Eine klassische SaaS-Anwendung hat einen recht statischen Datenpfad: Ein Nutzer stellt eine Anfrage, die App liest und schreibt Datensätze, und der Schadensradius ist überschaubar. Ein Agent ist anders – er führt Aktionen aus, verkettet Tool-Aufrufe und kann mit echten Zugangsdaten über Systeme hinweggreifen. Dieses Verhalten auf sensiblen Daten freizugeben, heißt: Ein Prüfer muss nicht nur überzeugt sein, dass der Speicher isoliert ist, sondern dass die Aktionen des Agenten eingegrenzt, zurechenbar und protokolliert sind. Dass dies ein Novum ist, liegt daran, dass „beweisen Sie, was Ihre autonome Software tun und lassen wird" auf diesem Rigorositätsniveau bislang schwer zu beantworten war.
Das Signal: ein Modell wurde abgeschaltet
Das lehrreichste Detail überliest man leicht: Um IL5 zu erreichen, wurde die generative Fähigkeit von Anthropic in der freigegebenen Konfiguration deaktiviert, und Salesforce hielt die Plattform modellagnostisch, damit Komponenten später ausgetauscht werden können. Lesen Sie das nicht als Kritik an irgendeinem Modell, sondern als Aussage darüber, wie Freigaben funktionieren. Eine Freigabe wird einer Konfiguration erteilt, keiner Marke. Jedes Modell, jeder Datenconnector und jede Integration innerhalb der Grenze muss separat bewertet werden, und der schnellste Weg über eine hohe Hürde ist oft, die Grenze kleiner zu machen – ausschalten, was noch nicht geprüft ist, den freigegebenen Kern ausliefern und Fähigkeit durch dieselbe strenge Tür wieder hinzufügen.
Für Teams, die Agenten entwerfen, rahmt das eine vermeintlich rein technische Entscheidung neu. Zu wählen, welches Modell einen Agenten antreibt, ist auch eine Compliance-Entscheidung, denn sobald sensible Daten im Spiel sind, ist eine ungeprüfte Komponente eine Kontrolllücke – so leistungsfähig sie auch sein mag. Die überzeugenden Architekturen behandeln das Modell als austauschbaren Teil hinter einer stabilen, geprüften Grenze – sodass eine Kontrolle zu bestehen ein Umkonfigurieren bedeutet, kein Neubauen. Das ist der Unterschied zwischen einer Agentenplattform, die die Freigabeleiter hochklettern kann, und einer, die bei jeder Anhebung der Latte neu architektiert werden muss.
Was das für US- & DACH-Software-Teams bedeutet
Die erste Konsequenz: Die Deployment-Grenze ist jetzt ein erstklassiges Design-Artefakt. Für jeden Agenten, der regulierte Daten berührt, legen Sie vorab fest, welche Datenklassen er sehen darf, fixieren Sie Modell und Region und dokumentieren Sie die Integrationen innerhalb des Perimeters. Teams, die diese Grenze früh ziehen, können sie einem Prüfer vorlegen; Teams, die Agenten erst über Modelle und Datenpfade wuchern lassen, versuchen hinterher, eine Grenze zu rekonstruieren – was einer Prüfung selten standhält.
Die zweite: Das deckt sich mit Pflichten, die Sie ohnehin tragen, auch ohne Verteidigungsauftrag. IL5 ist DoD-spezifisch, doch die Form wiederholt sich: In der EU verlangen DSGVO, DORA, der EU AI Act und Erwartungen an souveräne Clouds zunehmend Isolation, Datenresidenz und den Nachweis, dass jede Aktion autorisiert war. Ein Audit-Trail auf Tool-Call-Ebene und eine eng gefasste, widerrufbare Identität pro Agent sind genau die Belege, die diese Regime wollen – dieselbe Grundlage, die aus „unsere Agenten sind geregelt" etwas macht, das Sie unter SOC 2 nachweisen können. Für regulierte Arbeit in FinTech und HealthTech ist ein Agent, der ohne diese Grenze auf sensible Daten zugreift, ein wartender Prüfbefund.
Die dritte ist architektonische Disziplin rund um die Infrastruktur. Die freigegebene Umgebung hier ist eine isolierte AWS-GovCloud-Region, betrieben von befugtem Personal – eine Erinnerung, dass wo und durch wen ein Agent läuft, Teil der Kontrolle ist, nicht ein Nachgedanke. Sie brauchen vielleicht keine GovCloud, aber das Prinzip überträgt sich: Kennen Sie Ihre Region, Ihr Betreibermodell und Ihre Residenzgarantien, bevor Agenten produktiv gehen, und halten Sie das Ganze portabel, damit eine strengere Anforderung eine Konfigurationsänderung bedeutet, kein Migrationsprojekt.
Was jetzt zu tun ist
Sie brauchen kein IL5-Programm, um hier zu handeln. Sie müssen Agenten-Freigaben als etwas behandeln, auf das Sie hin entwerfen, nicht als etwas, das Sie spät entdecken. Hier die auslieferbare Fassung.
- Definieren Sie zuerst die Datengrenze. Entscheiden Sie, welche Datenklassen jeder Agent berühren darf, und schreiben Sie es auf, bevor Sie ein einziges Tool verdrahten.
- Fixieren Sie Modell und Region. Behandeln Sie Modell, Cloud-Region und Betreibermodell als Teil der freigegebenen Konfiguration, nicht als austauschbare Standards.
- Geben Sie jedem Agenten eine eng gefasste Identität. Ersetzen Sie geteilte Schlüssel durch least-privilege, widerrufbare Identitäten, damit jede Aktion zurechenbar ist.
- Protokollieren Sie Tool-Aufrufe als Compliance-Nachweis. Führen Sie einen Audit-Trail auf Tool-Call-Ebene und bilden Sie ihn auf den Rahmen ab, dem Sie unterliegen – DSGVO, DORA, EU AI Act, BSI C5 oder SOC 2.
- Rechnen Sie damit, etwas abschalten zu müssen. Halten Sie die Architektur modellagnostisch, damit das Deaktivieren einer ungeprüften Komponente eine Konfigurationsänderung ist, kein Neubau.
- Bauen Sie für die nächste Stufe. Bauen Sie Isolation und Residenz früh ein; sie nachzurüsten, nachdem Agenten Produktionsdaten berühren, ist der teure Weg.
Nichts davon ist ein Urteil über Agentforce im Speziellen; es ist ein starkes Beispiel für eine Schwelle, die die gesamte Branche gerade überschreitet. Die dauerhafte Erkenntnis: Wenn Agenten vom Beantworten von Fragen dazu übergehen, auf sensiblen Daten zu handeln, wird die Umgebung um sie herum – Isolation, Identität, Audit und eine definierte Modellgrenze – zur Compliance-Story des Produkts. Die Teams, die diese Grenze jetzt entwerfen, nehmen die nächste Hürde durch Umkonfigurieren, nicht durch Neubauen.
Häufig gestellte Fragen
Was ist DoD Impact Level 5 (IL5)?
Impact Level 5 (IL5) ist eine Cloud-Freigabestufe des US-Verteidigungsministeriums nach dem DoD Cloud Computing Security Requirements Guide. Es ist die höchste Stufe für kommerzielle Cloud-Umgebungen, die Controlled Unclassified Information (CUI) und nicht klassifizierte Daten aus National Security Systems (NSS) speichern und verarbeiten, und sie verlangt starke physische und logische Isolation, Betrieb durch US-Personal und dedizierte Infrastruktur. Klassifizierte Daten liegen eine Stufe höher bei IL6. In der Praxis ist IL5 eine deutlich härtere Hürde als das geläufigere FedRAMP Moderate oder High. Die deutsche Entsprechung zur Datenklasse CUI ist am ehesten die Einstufung VS-NfD (Verschlusssache – Nur für den Dienstgebrauch).
Was hat Salesforce am 5. August 2026 angekündigt?
Salesforce' Missionforce National Security gab bekannt, dass die Plattform Agentforce 360 die DoD-Freigabe Impact Level 5 (IL5) erhalten hat, sodass KI-Agenten sicher mit Controlled Unclassified Information und nicht klassifizierten Daten aus National Security Systems arbeiten dürfen. Die Plattform läuft in einer isolierten Amazon-Web-Services-GovCloud-Region, die ausschließlich von US-Personal betrieben wird. Das US Army Human Resources Command ist der erste Verband des Verteidigungsministeriums, der die Agenten einsetzt – zur skalierten Erstellung von Fallzusammenfassungen über zweistellige Millionenzahlen an monatlichen Konversationen für Soldaten, Veteranen und ihre Familien.
Warum hat Salesforce für IL5 ein Modell abgeschaltet?
Berichten zufolge wurden die generativen KI-Fähigkeiten von Anthropic in der freigegebenen Konfiguration deaktiviert, um IL5-Compliance zu erreichen, während die Plattform für spätere Konfigurationsänderungen modellagnostisch bleibt. Die Lehre: Eine Freigabe gilt für eine konkrete, geprüfte Konfiguration. Jedes Modell, jeder Datenpfad und jede Integration innerhalb der Grenze muss bewertet werden, und der schnellste Weg über eine hohe Hürde ist oft, den Umfang zu verkleinern. Fähigkeit und Compliance ziehen gegeneinander, und in den höchsten Stufen gewinnt Compliance, bis jede Komponente separat freigegeben ist.
Ist das relevant, wenn wir kein Regierungsauftragnehmer sind?
Ja. IL5 ist verteidigungsspezifisch, das Muster aber nicht. Jedes Team, das KI-Agenten auf regulierte Daten setzt, steht vor einer vergleichbaren Hürde – im DACH-Raum ein Stapel aus DSGVO, DORA, dem EU AI Act, BSI-Vorgaben wie dem C5-Katalog und Erwartungen an souveräne Clouds. Der rote Faden ist derselbe: Agenten, die auf sensible Daten zugreifen, brauchen eine isolierte, prüfbare, EU-verortete Umgebung, eine definierte Modell- und Datengrenze und den Nachweis, dass jede Aktion autorisiert war. Wer Agenten auf FinTech- oder HealthTech-Daten plant, sieht hier eine Vorschau auf die Kontrollen, nach denen Prüfer fragen werden.
Was sollten Engineering-Teams jetzt tun?
Behandeln Sie die Deployment-Grenze als Design-Entscheidung, nicht als Deployment-Detail. Legen Sie früh fest, welche Datenklassen ein Agent berühren darf, und fixieren Sie Modell, Region und Integrationen innerhalb einer dokumentierten Grenze. Geben Sie jedem Agenten eine eng gefasste, widerrufbare Identität statt geteilter Schlüssel, und protokollieren Sie jeden Tool-Aufruf als Compliance-Nachweis. Gehen Sie davon aus, dass Sie eine Fähigkeit abschalten müssen, um eine Kontrolle zu bestehen, und halten Sie die Architektur modellagnostisch und portabel. Und bilden Sie das gesamte Design auf den Rahmen ab, dem Sie tatsächlich unterliegen – DSGVO, DORA, EU AI Act, BSI C5 oder SOC 2 – bevor Agenten in Produktion gehen, nicht danach.
Quellen
DefenseScoop — Salesforce previews plans to deliver newly authorized 'AI agents' across DOD
SC Media — Salesforce's Agentforce 360 platform approved for sensitive Defense Department data
Salesforce — Missionforce National Security unveils IL5-authorized AI agents and apps