Manus für agentische Workflows: Recherche, Umsetzung und Kontrolle sauber verbinden

Agentische KI ist dann nützlich, wenn sie nicht nur Antworten formuliert, sondern Arbeitsschritte plant, Werkzeuge nutzt und Ergebnisse als prüfbare Artefakte abliefert. Manus agentische Workflows versprechen genau diese Verbindung aus Recherche, Ausführung und Ergebnis. Für Unternehmen ist jedoch nicht die größtmögliche Autonomie das Ziel. Entscheidend ist ein Ablauf, in dem Zuständigkeiten, Datenwege, Freigaben und Qualitätskriterien vor dem Start feststehen.

Dieser Beitrag zeigt, wie Teams Manus für wiederkehrende Wissens- und Umsetzungsaufgaben strukturieren können. Er grenzt sinnvolle Delegation von risikoreicher Automatisierung ab und liefert ein belastbares Betriebsmodell für Marketing, Operations, Produktteams und interne Recherche.

Was einen agentischen Workflow mit Manus ausmacht

Ein Chat liefert primär Text; ein agentischer Workflow verfolgt ein Ziel über mehrere Schritte. Das Modell wählt dabei innerhalb eines vorgegebenen Aktionsraums nächste Aktionen, nutzt Werkzeuge und verarbeitet deren Beobachtungen wieder im Kontext. Manus beschreibt diesen Ablauf als Schleife aus Tool-Aufruf, Ausführung in einer Umgebung und Rückgabe der Beobachtung an das Modell. Die Plattform nutzt dabei unter anderem eine virtuelle Sandbox als Ausführungsumgebung. 1

Das ist mehr als eine technische Nuance. Ein guter Auftrag definiert nicht nur das gewünschte Endergebnis, sondern auch Quellenbasis, Dateien, zulässige Tools, Abnahmekriterien und Stopppunkte. Erst dann wird aus „Recherchiere Wettbewerber“ ein prüfbarer Prozess: Quellen sammeln, Aussagen belegen, Dubletten entfernen, Vergleichstabelle erstellen, offene Punkte markieren und den Entwurf zur Freigabe vorlegen.

Manus kann komplexe Aufträge über eine Aufgabenliste strukturiert verfolgen. Nach eigener technischer Beschreibung aktualisiert das System bei komplexen Aufgaben typischerweise eine To-do-Datei; sie hält Ziele im aktuellen Arbeitskontext präsent. Die gleiche Beschreibung weist aber auch darauf hin, dass Fehler, fehlerhafte Tool-Antworten und unerwartete Sonderfälle in mehrstufigen Abläufen dazugehören. 1 Deshalb ist ein Agent kein Ersatz für Prozessverantwortung, sondern ein ausführender Baustein in einem kontrollierten Prozess.

Vom Geschäftsziel zur ausführbaren Aufgabenzerlegung

Die belastbarste Aufgabenzerlegung beginnt außerhalb des Tools. Zunächst formuliert das Fachteam die fachliche Entscheidung, die am Ende möglich sein soll. Danach trennt es Ermittlung, Bewertung und Handlung voneinander. Eine Marktübersicht darf automatisiert recherchiert und strukturiert werden; die strategische Positionierung oder die Freigabe einer öffentlichen Aussage bleibt eine menschliche Entscheidung.

Als Faustregel eignet sich: Jeder Teilauftrag braucht einen klaren Input, eine erwartete Ausgabe, ein Qualitätskriterium und einen Eigentümer. Auf diese Weise lassen sich Abhängigkeiten sichtbar machen. Für eine Content-Analyse wäre die Reihenfolge beispielsweise: Briefing prüfen, Primärquellen ermitteln, Belege extrahieren, Aussagen klassifizieren, Entwurf erstellen und Fachfreigabe einholen. Muss ein Schritt scheitern, bleibt nachvollziehbar, welches Zwischenergebnis fehlt und wer entscheidet.

Ein Auftrag, der kontrollierbar bleibt

Statt eines offenen Einzeilers sollte das Briefing explizite Leitplanken enthalten. Das folgende Muster ist kein Programmcode, sondern ein präziser Arbeitsauftrag, der sich an den jeweiligen Anwendungsfall anpassen lässt:

ziel: "Entwurf einer Wettbewerbsübersicht für die interne Produktplanung"
quellen: "Nur offizielle Produktseiten, Geschäftsberichte und behördliche Register"
ausgabe: "Tabelle mit URL, Abrufdatum, belegter Aussage, Unsicherheit und Quellenzitat"
regeln:
  - "Keine personenbezogenen Daten oder Zugangsdaten verarbeiten"
  - "Behauptungen ohne Primärquelle als offen markieren"
  - "Keine externe Veröffentlichung, Nachricht oder Bestellung auslösen"
freigabe: "Produktverantwortung prüft Quellen, Einordnung und finale Empfehlung"

Diese Form verhindert zwei typische Fehler: Ein Agent ergänzt keine Lücken stillschweigend mit plausiblen Vermutungen, und ein Team verwechselt einen Textentwurf nicht mit einer beschlossenen Empfehlung. Besonders wertvoll ist das Feld „Unsicherheit“. Es zwingt dazu, fehlende Informationen sichtbar zu lassen, statt sie sprachlich zu glätten.

Recherche, Tools und Umsetzung sinnvoll koppeln

Die Tool-Auswahl bestimmt Reichweite und Risiko. Manus kann beispielsweise in einer isolierten Umgebung mit Dateien und Kommandos arbeiten. Für browsergestützte Abläufe beschreibt Manus zudem einen Browser Operator, der nach erteilter Berechtigung mit bereits geöffneten Seiten und bestehenden Sitzungen arbeiten kann. Der Zugriff ist daher keine harmlose Recherchefunktion: Er kann Inhalte aus authentifizierten Diensten lesen sowie Klicks, Navigation und Formulareingaben im Namen der nutzenden Person ausführen. 2

Daraus folgt ein einfaches Prinzip: Lesen, vorbereiten und strukturieren darf weiter delegiert werden als veröffentlichen, versenden oder verbindlich disponieren. Je näher ein Schritt an einem Rechtsgeschäft, einer externen Zusage oder einer sensiblen Datenquelle liegt, desto enger müssen Rechte und Freigaben sein. Für externe Aktionen sollte der Agent höchstens einen vorbereiteten Entwurf, eine Liste oder einen ausgefüllten, aber nicht abgesendeten Vorgang erzeugen.

Prozessphase	Sinnvolle Agentenleistung	Menschliche Kontrolle
Recherche	Quellen finden, Inhalte extrahieren, Belegliste strukturieren	Quellenrelevanz und Aussagekraft prüfen
Analyse	Kriterien anwenden, Unterschiede tabellieren, Lücken markieren	Kriterien, Gewichtung und Schlussfolgerung verantworten
Umsetzung	Entwurf, Datei, Code oder Formularvorbereitung erstellen	Abnahme gegen Briefing und fachliche Standards
Externe Aktion	Versand, Veröffentlichung oder Transaktion vorbereiten	Verbindliche Freigabe und tatsächliche Auslösung

Ein sinnvoller Workflow liefert nicht allein das Enddokument. Er hinterlegt Arbeitsdateien, Quellenliste, Annahmen und einen kurzen Prüfpfad. Das erleichtert Korrekturen und verhindert, dass ein überzeugend formulierter Output ohne Herkunftsnachweis weitergegeben wird. Manus selbst nutzt das Dateisystem als persistente, externe Arbeitsgedächtnis-Schicht, damit Informationen bei langen Aufträgen wieder gelesen werden können. 1 Für Teams folgt daraus: Benennungsregeln, Versionen und ein definierter Ablageort sind Teil der Qualität, nicht Bürokratie.

Menschliche Kontrolle als Entscheidungssystem

„Human in the loop“ ist nur dann wirksam, wenn klar ist, wer an welcher Stelle entscheidet und welche Evidenz vorliegen muss. Eine Endkontrolle allein reicht nicht, wenn bereits ungeprüfte Quellen, unzulässige Daten oder falsche Bewertungskriterien in den Ablauf gelangt sind. Besser sind drei Kontrollpunkte: vor dem Start die Auftragsfreigabe, vor einer folgenreichen Tool-Aktion die Aktionsfreigabe und vor Nutzung oder Veröffentlichung die Ergebnisfreigabe.

Die Prüfung sollte risikobasiert sein. Bei einer internen Ideensammlung kann eine Stichprobe reichen. Bei Personalbezug, rechtlicher Kommunikation, Preisen, Vertragsdaten, Finanzentscheidungen oder Kundenaussagen braucht es eine fachkundige Vollprüfung und eine klar dokumentierte Eskalation. Das NIST-Profil für generative KI empfiehlt, menschliche Moderation dort einzusetzen, wo sie angemessen ist oder Modelle nachweislich schwächer arbeiten. Es nennt außerdem Monitoring, Einspruchs- und Override-Mechanismen sowie Incident Response als Bestandteile des Betriebs nach der Einführung. 5

Kontrolle bedeutet ebenfalls, den Agenten stoppen zu können. Teams sollten bei jeder Ausführung erkennen können, welche Quellen und Tools genutzt wurden, welche Zwischenstände existieren und welche Annahmen das Ergebnis tragen. Wenn eine Abweichung auftritt, wird nicht nur der Output verworfen: Der Fehlerfall wird im Prozess festgehalten, die Ursache bewertet und die Vorlage angepasst. So wird ein einzelner Fehlschlag zur Prozessverbesserung statt zur stillen Wiederholung.

Datenschutz: Datenminimierung vor Tool-Komfort

Bei Manus agentischen Workflows müssen Auftraggebende die vollständige Datenkette betrachten: Prompt, Upload, erzeugte Datei, Tool-Protokoll, Connector und Ergebnis. Die aktuelle Manus-Datenschutzrichtlinie nennt Eingaben, Prompts, hochgeladene Inhalte und zugehörige Metadaten als verarbeitete Informationen. Sie erläutert zudem, dass bei Sandbox-Aufgaben Dateien, Shell-Kommandos, Code und Ausführungsprotokolle für Debugging und Sicherheit erfasst werden können. 3

Bei verbundenen Diensten ist besondere Vorsicht nötig. Für den Browser Operator werden laut Richtlinie autorisierte Seiteninhalte und Browseraktionen zur Aufgabenverarbeitung an Manus-Server übertragen; die Zugangsdaten selbst werden nach dieser Angabe nicht gespeichert. Der Zugriff lässt sich in den Einstellungen entziehen. 3 Das reduziert nicht die Pflicht, Berechtigungen minimal zu vergeben und vorab zu prüfen, welche Inhalte eine aktive Sitzung zugänglich macht.

Für Organisationen in der EU bleibt die Datenschutz-Grundverordnung der Maßstab. Sie fordert unter anderem Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung sowie angemessene Sicherheit. 4 Daraus folgt praktisch: Personenbezogene, vertrauliche oder besonders schützenswerte Inhalte gehören nicht in einen Agentenauftrag, wenn sie für das Ziel nicht erforderlich sind. Wo Verarbeitung nötig ist, müssen Verantwortlichkeiten, Rechtsgrundlage, Auftragsverarbeitung, Löschkonzept und gegebenenfalls eine Datenschutz-Folgenabschätzung vor der Produktivnutzung geklärt sein. Sicherheitszertifikate oder Verschlüsselung ersetzen diese fachliche Prüfung nicht.

Qualitätsgrenzen offen behandeln

Agentische Systeme können Quellen verwechseln, Inhalte unvollständig erfassen, Tool-Fehler falsch interpretieren oder aus einem unstimmigen Kontext eine glaubwürdige, aber falsche Aussage erzeugen. Die Automatisierung mehrerer Schritte erhöht daher nicht automatisch die Verlässlichkeit; sie kann einen frühen Fehler lediglich schneller fortschreiben. Qualitätskriterien müssen deshalb vorab messbar sein: Welche Quellen sind zulässig? Welche Felder sind Pflicht? Wann ist eine Aussage als unbelegt zu markieren? Welche Abweichung führt zum Abbruch?

Die wirksamste Gegenmaßnahme ist die Trennung von Erzeugung und Prüfung. Lassen Sie den Agenten Belege samt URL und Abrufdatum ausgeben, prüfen Sie zentrale Aussagen gegen die Originalquelle und lassen Sie eine zweite Rolle – Fachbereich, Redaktion oder Compliance – nur die risikoreichen Passagen bewerten. Der NIST-Leitfaden behandelt „Confabulation“, also nicht belastbare Modellinhalte, ausdrücklich als Risikofeld und verbindet den Betrieb generativer KI mit Tests, Vorfallserfassung und laufender Überwachung. 5

Praktische Start-Checkliste

Ziel und Nicht-Ziele sind in einem Satz festgelegt; der Agent erhält keine offene Entscheidungsvollmacht.
Datenklassen sind geprüft; sensible Daten, Zugangsdaten und nicht erforderliche personenbezogene Informationen bleiben ausgeschlossen.
Quellen- und Tool-Grenzen sind dokumentiert; Connectoren erhalten nur die nötigen Rechte.
Abnahmekriterien verlangen Belege, gekennzeichnete Unsicherheiten und einen nachvollziehbaren Ablageort.
Freigabepunkte vor externen Aktionen und vor der Veröffentlichung haben benannte Verantwortliche.
Fehler- und Stoppprozess legt fest, wer Ausführungen beendet, Vorfälle bewertet und Vorlagen korrigiert.

Fazit: Autonomie dort erhöhen, wo sie überprüfbar bleibt

Manus entfaltet seinen Nutzen dort, wo Teams aufwendige Recherche und Vorbereitung in klare Teilaufträge übersetzen. Die richtige Frage lautet nicht, ob ein Agent einen Prozess vollständig übernehmen kann. Sie lautet, welche Schritte er mit welchen Daten, Werkzeugen und Belegen zuverlässig vorbereiten darf – und an welcher Stelle eine verantwortliche Person entscheidet.

Wer Aufgabenzerlegung, minimalen Zugriff, prüfbare Zwischenartefakte und risikobasierte Freigaben kombiniert, macht aus agentischer KI einen kontrollierbaren Produktionsprozess. Weiterführend passen unsere Beiträge zu KI-Content ohne Blindflug, Datenschutz und Sichtbarkeit durch Contentstruktur.

Weiterführende Quellen

Diese offiziellen Dokumentationen und Standards vertiefen die im Beitrag behandelten Entscheidungen.