--- title: "Policy Decision Point (PDP): Definition | KYA-Glossar" url: https://knowyouragent.ch/wissen/glossar/policy-decision-point lang: de-CH updated: 2026-10-12 license: © Innopulse Consulting GmbH --- # Policy Decision Point (PDP) Ein Policy Decision Point (PDP) ist die Stelle, die anhand von Regeln entscheidet, ob eine angefragte Handlung erlaubt ist; ein Policy Enforcement Point (PEP) setzt diese Entscheidung durch. Die Trennung von Entscheidung und Durchsetzung stammt aus der Zugriffskontrolle und ist etwa im Standard XACML und in der Zero-Trust-Architektur des NIST beschrieben. Der PEP sitzt im Datenfluss, etwa in einem Gateway, und fragt beim PDP an. Der PDP wertet Regeln, Attribute und Kontext aus und antwortet mit Erlauben oder Ablehnen. Verbreitete Werkzeuge sind Open Policy Agent und Cedar. Für KI-Agenten ist diese Trennung zentral: Die Entscheidung über eine Handlung darf nicht im Sprachmodell liegen, das sich durch Inhalte beeinflussen lässt, sondern in einer eigenen Stelle mit festen Regeln. ## Beispiel Ein Agent will eine Zahlung über 900 Franken auslösen. Das Gateway (PEP) fragt den PDP, der das Mandat prüft: Grenze 500 Franken. Der PDP lehnt ab und signiert diesen Entscheid; das Gateway führt nichts aus. ## Abgrenzung Der PDP entscheidet, der PEP setzt durch, das Mandat liefert die Regeln für den konkreten Auftrag. Ein [Entscheid-Token](https://knowyouragent.ch/wissen/glossar/entscheid-token) ist das signierte Ergebnis des PDP, das sich später prüfen lässt. ## In der Praxis - Legen Sie die Entscheidung über Handlungen von Agenten in eine eigene Stelle, nie in das Sprachmodell. - Lassen Sie den PDP jede Entscheidung signieren, damit sie später nachvollziehbar ist. - Halten Sie Regeln versioniert, damit klar ist, welche Fassung bei einer Entscheidung galt. ## Bezug zu KYA In der KYA-Architektur übernimmt die Entscheidstelle die Rolle des PDP. KYA prüft den signierten Entscheid und ob er zum Mandat und zur ausgeführten Handlung passt. Zugehöriger Prüfschritt: [Umfang der Handlung](https://knowyouragent.ch/methode/pruefschritte) (`intent_scope`). Liegt die Handlung innerhalb von Handlungstyp, Betragsgrenze, Währung und Gegenpartei des Mandats? [Jetzt prüfen: passendes Beispiel öffnen](https://knowyouragent.ch/pruefen?beispiel=abgelehnt) ## Häufige Fragen ### Was ist ein Policy Decision Point? Die Stelle, die anhand von Regeln und Kontext entscheidet, ob eine Handlung erlaubt ist. Sie trifft die Entscheidung, setzt sie aber nicht selbst durch. ### Was ist ein Policy Enforcement Point? Die Stelle im Datenfluss, etwa ein Gateway, die beim PDP anfragt und dessen Entscheidung durchsetzt, also die Handlung ausführt oder blockiert. ### Warum gehört die Entscheidung nicht ins Sprachmodell? Weil Sprachmodelle sich durch Inhalte beeinflussen lassen, etwa durch Prompt Injection. Eine eigene Stelle mit festen Regeln bleibt davon unberührt. ### Welche Werkzeuge gibt es für PDPs? Verbreitet sind Open Policy Agent mit der Regelsprache Rego und Cedar. Für [Agenten-Mandate](https://knowyouragent.ch/wissen/glossar/agenten-mandat) kommt eine Prüfung der Grenzen aus dem Mandat hinzu. ### Wie hängt der PDP mit KYA zusammen? Der PDP entspricht der Entscheidstelle. Sein signiertes Ergebnis, der Entscheid, ist einer der Nachweise, die KYA prüft. ## Quellen - [NIST SP 800-207: Zero Trust Architecture](https://csrc.nist.gov/pubs/sp/800/207/final) - [Open Policy Agent](https://www.openpolicyagent.org/) ## Verwandte Begriffe - [Entscheid-Token](https://knowyouragent.ch/wissen/glossar/entscheid-token) - [Zero Trust](https://knowyouragent.ch/wissen/glossar/zero-trust) - [Agenten-Mandat](https://knowyouragent.ch/wissen/glossar/agenten-mandat) - [Human in the Loop](https://knowyouragent.ch/wissen/glossar/human-in-the-loop) --- Quelle: https://knowyouragent.ch/wissen/glossar/policy-decision-point · KYA – Know Your Agent