NetBird Agent Network: KI-Agenten ohne API-Keys auf interne Systeme lassen

WZ-IT führt birdhost weiter. Aktuelles Hosting ab 349,90 € netto/Monat; Einrichtung und Service Level gemäß Angebot. Frühere Paketpreise, Standortlisten und Kostenvergleiche in diesem datierten Artikel beschreiben das damalige Angebot, nicht die aktuellen WZ-IT-Konditionen. Aktuellen Leistungsumfang ansehen.

Wer ein Entwicklungsteam mit Claude Code oder Codex arbeiten lässt, steht schnell vor derselben Frage: Legt man einen gemeinsamen API-Key an, den alle nutzen, oder einen Key pro Person, den niemand mehr überblickt? NetBird Agent Network beantwortet sie anders: Der Agent bekommt keinen Key, sondern eine Identität. Der echte Anbieter-Key liegt serverseitig, der Endpunkt ist nur über den verschlüsselten Tunnel erreichbar, und Budget-Grenzen sowie eine Modell-Allowlist hängen an derselben Gruppenstruktur, die auch den übrigen Netzwerkzugriff steuert. Dieser Beitrag ordnet ein, was das Feature kann, wo es steht und was es voraussetzt.

Auch interessant: NetBird vs. Tailscale · NetBird v0.71: IPv6 im Overlay · Reverse Proxy und L4-Support in NetBird

Inhaltsverzeichnis

• Das Problem: der geteilte Key
• Was Agent Network technisch tut
• Grenzen: Tokens, Budget, Modelle
• Der praktische Fall: Claude Code und Codex
• Verhältnis zu einem AI Gateway
• Was das voraussetzt
• Datenhoheit: was sich ändert und was nicht
• Lizenz und Betriebsmodell
• Für wen sich das lohnt
• Was das für birdhost-Kunden bedeutet
• Fazit
• Quellen

Das Problem: der geteilte Key

NetBird beschreibt den Ausgangspunkt in der Ankündigung selbst recht direkt: Wer einmal einen API-Key an das ganze Team weitergegeben hat, damit alle OpenAI oder Anthropic nutzen können, kennt das entstehende Durcheinander [2].

Das Durcheinander hat mehrere Ebenen. Ein geteilter Key lässt sich nicht widerrufen, ohne alle gleichzeitig auszusperren. Er lässt sich keiner Person zuordnen, wenn die Rechnung im nächsten Monat auffällig hoch ausfällt. Und er wandert an Orte, an die er nicht gehört: in Umgebungsvariablen, in CI-Konfigurationen, in die Konfigurationsdateien lokaler Werkzeuge. Die Alternative, ein Key pro Person, verlagert das Problem nur: Statt eines unkontrollierten Keys gibt es dann dreißig.

Dazu kommt eine Eigenschaft, die LLM-Keys von anderen Zugangsdaten unterscheidet: Sie erzeugen laufende Kosten. Ein Key, der irgendwo liegen bleibt, ist nicht nur ein Sicherheitsproblem, sondern ein Kostenposten ohne Obergrenze.

Was Agent Network technisch tut

Agent Network ist laut Dokumentation NetBirds Zugriffssteuerung für KI-Agenten und die Menschen, die sie betreiben [3]. Jeder Agent bekommt eine echte Identität, die an einen Identity Provider gebunden ist, und Richtlinien bestimmen, was er erreichen darf: welche LLM-APIs und AI Gateways er aufrufen und auf welche internen Ressourcen er zugreifen kann [3].

Der Ablauf im Detail [2]:

1. Im Netzwerk entsteht ein privater Endpunkt, in der Dokumentation als Beispiel https://mirror.netbird.ai.
2. Die Teams konfigurieren ihre Agenten auf diesen Endpunkt, statt einzelne API-Keys zu verwenden.
3. Der Endpunkt ist nur erreichbar, wenn der Nutzer mit dem NetBird-Netzwerk verbunden und über den Identity Provider authentifiziert ist. Aus dem öffentlichen Internet ist er nicht ansprechbar [3].
4. Der Proxy stellt die Identität des Aufrufers aus dem Tunnel fest, prüft sie gegen die Richtlinien und fügt den echten Anbieter-Key serverseitig ein [2].

Der entscheidende Unterschied zu einem reinen Proxy liegt in Schritt 3. Die Erreichbarkeit hängt nicht an einem Geheimnis, das kopiert werden kann, sondern an der Netzwerkzugehörigkeit plus Anmeldung. Ein abgeflossener Endpunkt-Name nützt einem Angreifer nichts, solange er nicht im Netz ist.

Grenzen: Tokens, Budget, Modelle

Weil jede LLM-Anfrage durch einen identitätsbewussten Proxy läuft, lassen sich Obergrenzen setzen. NetBird nennt zwei Arten [2]:

• Token-Caps: maximale Token-Zahl über ein festes Zeitfenster
• Budget-Caps: maximale Ausgaben in USD über ein festes Zeitfenster

Beide gelten je Nutzer und je Gruppe. Die README formuliert es als harte Deckel, die Anfragen stoppen, sobald ein Budget erreicht ist [1].

Dazu kommt eine Modell-Allowlist: Eine Gruppe erreicht nur die Modelle, die Sie freigeben. Anfragen an nicht freigegebene Modelle werden mit einer klaren Meldung abgelehnt [2]. Das ist mehr als Kostensteuerung. Es ist der Hebel, mit dem sich festlegen lässt, welche Gruppe überhaupt ein externes Modell erreichen darf und welche auf ein selbst betriebenes beschränkt bleibt.

Für die Nachvollziehbarkeit protokolliert jede Anfrage die Identität des Aufrufers, den Anbieter, das Modell, die Tokens und die Kosten [2]. Die README ergänzt die Zuordnung nach Identität, Gruppe oder Kostenstelle [1].

Der praktische Fall: Claude Code und Codex

Die Dokumentation nennt ausdrücklich zwei Einsatzarten: Werkzeuge mit Mensch im Ablauf wie Claude Code und Codex sowie vollständig autonome Arbeitslasten auf VMs, Mac minis oder anderer Infrastruktur [3].

Ein Punkt aus der README verdient Aufmerksamkeit, weil er beim Rollout Zeit kostet, wenn man ihn nicht kennt: Der größte Teil des Agenten-Verkehrs folgt der konfigurierten Basis-URL, aber einige clientseitige Prüfungen rufen ihren Hersteller direkt auf und erreichen den Proxy nie [1]. In einem Netz, das direkten Ausgang blockiert, schlagen diese Prüfungen fehl, obwohl die eigentliche Inferenz funktioniert.

Für Claude Code dokumentiert NetBird konkrete Schalter: CLAUDE_CODE_SKIP_FAST_MODE_ORG_CHECK=1, wenn sich der Agent allein mit ANTHROPIC_AUTH_TOKEN authentifiziert, was die übliche Form ist, wenn der Proxy den echten Anbieter-Key einfügt, und CLAUDE_CODE_SKIP_FAST_MODE_NETWORK_ERRORS=1, wenn das Netz die Verbindung rundheraus ablehnt [1].

Das ist genau die Art Detail, die zwischen einem funktionierenden Rollout und einem halben Tag Fehlersuche entscheidet.

Verhältnis zu einem AI Gateway

Agent Network und ein AI Gateway sind keine konkurrierenden Konzepte, sie liegen auf verschiedenen Ebenen. Ein Gateway kümmert sich um Routing, Anbieterwahl, Caching und Budgets. Agent Network kümmert sich darum, wer den Gateway überhaupt erreicht.

NetBird macht das explizit: Die README nennt die Möglichkeit, einen bereits betriebenen AI Gateway weiterzuverwenden, indem der Proxy davorgesetzt wird. Routing und Konfiguration bleiben bestehen, Identität kommt dazu, und die Verteilung von API-Keys entfällt [1].

Wer bei uns im Ökosystem unterwegs ist: Das ist die Stelle, an der sich das mit dem AI Gateway in Pangolin 1.22 verbinden lässt. Pangolin bringt Budgets auf sechs Ebenen und eine breite Anbieterliste mit, NetBird bringt die Identität und den Tunnel davor.

Was das voraussetzt

Drei Dinge, die vor dem Einsatz geklärt sein müssen.

Eine eigene NetBird-Installation. NetBird schreibt in der Ankündigung ausdrücklich, dass Agent Network vorerst nur self-hosted verfügbar ist und noch nicht in NetBird Cloud angekommen ist [2]. Wer NetBird Cloud nutzt, kann das Feature derzeit nicht einschalten.

Ein Identity Provider. Die Dokumentation nennt Okta, Microsoft Entra ID und Google als Beispiele [3]. Ohne Identity Provider gibt es keine Identität, an der Richtlinien hängen könnten. Wer noch keinen hat, hat hier die eigentliche Vorarbeit. Für diesen Fall betreiben wir mit authhost Authentik, Keycloak und Zitadel als eigene Instanz.

Beta-Bewusstsein. Die Dokumentation bezeichnet Agent Network als Beta und ergänzt, es sei stabil und laufe bereits in Produktionsumgebungen [1][3]. Das ist die Aussage des Herstellers. Für den produktiven Einsatz heißt das: in einer abgegrenzten Gruppe pilotieren, das Verhalten bei erreichtem Budget testen und einen Rückfallweg bereithalten.

Datenhoheit: was sich ändert und was nicht

Hier ist Genauigkeit wichtiger als eine griffige Formulierung. Agent Network sorgt nicht dafür, dass Prompts im eigenen Rechtsraum bleiben. Geht die Anfrage an OpenAI oder Anthropic, verlässt der Inhalt den Rechtsraum wie zuvor.

Was sich ändert, ist die Steuerbarkeit. Über die Modell-Allowlist lässt sich festlegen, welche Gruppe welchen Anbieter überhaupt erreichen darf. Eine Gruppe, die mit personenbezogenen Daten arbeitet, kann auf ein selbst betriebenes Modell beschränkt werden, während andere Gruppen weiterhin externe Modelle nutzen. Und weil jede Anfrage mit Identität, Anbieter und Modell protokolliert wird, ist im Nachhinein belegbar, wohin Daten geflossen sind [2].

Ohne Kontrollstelle ist beides eine Absichtserklärung. Mit Kontrollstelle ist es eine Konfiguration und ein Protokoll. Für die rechtliche Bewertung Ihrer konkreten Verarbeitung bleibt qualifizierter Rechtsrat nötig; dieser Beitrag ordnet technisch ein.

Lizenz und Betriebsmodell

Das NetBird-Repository steht unter der BSD-3-Clause-Lizenz, ausgenommen die Verzeichnisse management/, signal/, relay/ und combined/, die unter der GNU Affero General Public License Version 3 stehen [4]. Wer NetBird selbst betreibt, betreibt damit AGPLv3-Komponenten. Für den internen Betrieb ist das unproblematisch, bei einer Weiterverbreitung gehört es geprüft.

Die Entwicklung läuft weiter: Der Agent-Network-Bereich im Repository hat seit dem ersten Commit Ende Juni 2026 weitere Änderungen erhalten, zuletzt Anfang September 2026 Zugriffsrollen und Self-Service für Agent Network [5].

Für wen sich das lohnt

Passt gut, wenn mehrere Personen oder Dienste dieselben LLM-Anbieter nutzen, wenn Kosten je Team zugeordnet werden sollen und wenn ohnehin ein Identity Provider im Haus ist. Der Nutzen steigt mit der Zahl der Beteiligten: Bei drei Entwicklern ist ein geteilter Key noch überschaubar, bei dreißig nicht mehr.

Passt weniger, wenn Sie NetBird Cloud nutzen und nicht auf eine eigene Instanz wechseln wollen, wenn kein Identity Provider vorhanden ist oder wenn Sie ein Beta-Feature nicht in einen kritischen Pfad legen möchten.

Was das für birdhost-Kunden bedeutet

Agent Network setzt eine eigene NetBird-Installation voraus, und genau die betreiben wir. Die Instanz ist bei uns in allen Stufen identisch, unterschieden wird der Support: In der Region Deutschland kostet Essential 99,90 € im Monat netto, Business 199,90 € und Enterprise 449,90 €, außerhalb Deutschlands jeweils 20 € mehr. Business und Enterprise enthalten zusätzlich den Reverse Proxy und eine eigene Domain.

Wer Agent Network ausprobieren möchte, spricht uns vorher an. Es ist ein Beta-Feature, das eine Konfiguration am Identity Provider und am Client verlangt, und die oben beschriebenen Client-Schalter gehören zu den Dingen, die man einmal richtig setzt und dann nie wieder anfasst. Den vollständigen Ablauf dokumentiert NetBird im Quickstart [6]. Genau dafür sind wir da.

Leistungsumfang und Bereitstellung mit WZ-IT abstimmen. Bereitstellung und Vertragsbedingungen werden mit WZ-IT im Angebot vereinbart. Es gibt kein Self-Service-Portal und kein automatisches Testabonnement.

Preise ansehen · Kontakt aufnehmen

Fazit

Agent Network löst ein Problem, das viele Teams gerade erst als Problem erkennen: KI-Zugriff, der über geteilte Keys organisiert ist und den niemand zuordnen oder begrenzen kann. Die Antwort, dem Agenten eine Identität statt eines Geheimnisses zu geben, ist die richtige, und dass sie an derselben Gruppenstruktur hängt wie der übrige Netzwerkzugriff, macht sie praktikabel.

Zwei Einschränkungen gehören dazu: Es ist self-hosted-only und laut Hersteller Beta. Wer eine eigene Instanz betreibt und einen Identity Provider hat, bekommt damit eine Kontrollstelle, die es vorher so nicht gab. Wer beides nicht hat, hat zuerst andere Hausaufgaben.

birdhost ist ein unabhängiger Managed-Hosting-Anbieter und steht in keiner Verbindung zur NetBird GmbH, zu OpenAI, Anthropic, Okta, Microsoft oder Google. „NetBird" ist eine Marke der jeweiligen Rechteinhaber, WireGuard ist eine eingetragene Marke von Jason A. Donenfeld. Dieser Beitrag ordnet unabhängig betriebene Produkte zu Informationszwecken ein und ersetzt keine Rechtsberatung.

Quellen

• [[1]] netbirdio/netbird · agent-network/README.md – Identität je Agent, harte Budget-Deckel, Wiederverwendung eines vorhandenen AI Gateways, Beta-Hinweis, Claude-Code-Schalter
• [[2]] NetBird Knowledge Hub: „Introducing NetBird Agent Network: Keyless AI Access for People and Agents" (28.06.2026)
• [[3]] NetBird Docs: What is NetBird Agent Network? (Identity Provider, privater Endpunkt, Claude Code und Codex, Beta, self-hosted)
• [[4]] netbirdio/netbird · LICENSE – BSD-3-Clause, ausgenommen management/, signal/, relay/ und combined/ unter AGPLv3
• [[5]] netbirdio/netbird · Commit-Historie des Verzeichnisses agent-network
• [[6]] NetBird Docs: Agent Network Quickstart
• birdhost.de – Managed NetBird Hosting