AI Governance in M365: Purview, Agent 365 und Global Secure Access

Viele Unternehmen haben Microsoft 365 Copilot eingeführt, die ersten Agenten in Copilot Studio erstellt und gleichzeitig nutzen Mitarbeitende eigenständig öffentliche KI Tools wie ChatGPT oder Claude. KI verbreitet sich in Unternehmen schneller, als die meisten Prozesse zu Governance mithalten können. Nicht gut. Was tun also? Eine Möglichkeit sind die drei wichtigsten Microsoft Bausteine für KI Governance: Microsoft Purview für die Daten, Microsoft Agent 365 für die Agenten und Microsoft Entra Global Secure Access für das Netzwerk. Wir zeigen dir, welches Tool welches Risiko abdeckt.

Warum brauchen Unternehmen eine KI Governance?

Wenn wir mit Kunden über KI sprechen, sind die Bedenken fast immer dieselben drei:

Datenlecks: Ein Benutzer fügt Kundendaten in einen öffentlichen Chatbot ein, oder Copilot zeigt ein Dokument an, das nie ausreichend geschützt wurde.
Unkontrollierte Agenten: Jeder kann heutzutage einen Agenten erstellen. Aber wem gehört er? Worauf kann er zugreifen? Wer schaltet ihn ab, wenn der Eigentümer das Unternehmen verlässt?
Shadow AI: Mitarbeiter nutzen KI-Tools, von denen die IT noch nie gehört hat. Die IT kann nichts schützen, was sie nicht kennt.

Und es gibt einen vierten Faktor, der monatlich an Bedeutung gewinnt: Regulierung. Die europäischen Richtlinien zu Künstlicher Intelligenz werden schrittweise umgesetzt. Dabei tauchen ganz konkrete Fragen auf: Welche KI-Systeme nutzt das Unternehmen? Wer trägt die Verantwortung? Wie wird verhindert, dass sensible Daten in die falschen Systeme gelangen? Die Antwort vieler Unternehmen darauf: «Wir haben ein Richtliniendokument.» Aber genügt das? Nein. Kein einzelnes Produkt löst all diese Probleme.

Das ist das entscheidende Denkmodell: KI Governance im Microsoft Ökosystem ist kein einzelnes Tool, sondern besteht aus drei Ebenen – der Datenebene, der Agentenebene und der Netzwerkebene. Microsoft Defender ist in allen drei Ebenen integriert.

KI-Governance auf drei Ebenen in Microsoft 365

Was ist Microsoft Purview DSPM für KI?

Microsoft Purview Data Security Posture Management (DSPM) für KI ist der zentrale Einstiegspunkt für die Datenschicht. Du findest es im Purview-Portal. Es beantwortet die entscheidende Frage: Welche sensiblen Daten fliessen in und aus KI-Anwendungen in meinem Tenant?

Die wichtigsten Funktionen in der Praxis:

KI-Interaktionen erkennen und analysieren

DSPM für KI zeigt dir Eingabeaufforderungen und Antworten von Microsoft 365 Copilot, Agenten und KI-Apps von Drittanbietern. Du siehst, welche sensiblen Daten in KI-Interaktionen auftauchen, aufgeschlüsselt nach App und Benutzer. Dieser Bericht wandelt abstrakte Diskussionen in konkrete Zahlen um.

Vertraulichkeitsbezeichnungen übernehmen die zentrale Schutzfunktion

Wenn ein Dokument eine Bezeichnung ohne die Nutzungsberechtigung EXTRACT aufweist, dürfen Copilot und Agenten dessen Inhalt nicht in einer Antwort verwenden. Dies ist eine effiziente Kontrollmassnahme. Sie funktioniert jedoch nur, wenn die Bezeichnungen eingesetzt werden. Eine Bezeichnungstaxonomie, die nur in einem Paper existiert, bietet keinen Schutz.

DLP für Prompts

Data Loss Prevention (DLP) kann inzwischen auch den Prompt selbst prüfen. Wenn ein Benutzer beispielsweise Kreditkartennummern oder Quellcode in eine KI-Anwendung einfügen möchte, kann die Richtlinie dies blockieren, bevor die Daten das Mandantennetzwerk verlassen. Prompt-basiertes DLP mit vertraulichen Informationstypen ist seit März 2026 allgemein verfügbar. Der Vorteil: Dafür ist keine E5-Lizenz erforderlich – E3 mit Copilot reicht aus.

DLP im Browser

Edge for Business kann sensible Daten in Echtzeit blockieren, wenn Benutzer diese in Anwendungen wie ChatGPT, Google Gemini oder DeepSeek eingeben. Damit wird eine grosse Lücke geschlossen, da ein erheblicher Teil der Nutzung von Shadow AI im Browser stattfindet. Ausserhalb dessen, was die Microsoft 365 DLP-Richtlinien zuvor erfassen konnten.

Überwachung, Aufbewahrung und eDiscovery

KI-Interaktionen werden im einheitlichen Prüfprotokoll protokolliert, können angehalten und in der eDiscovery durchsucht werden – wie E-Mails und Teams-Chats. Deine Rechtsabteilung wird diese Informationen früher oder später anfordern. Es ist wesentlich einfacher, die Daten von Anfang an verfügbar zu haben, als später erklären zu müssen, warum die ersten Monate fehlen.

Ein häufig übersehener Bestandteil: DSPM für KI beinhaltet auch Bewertungen zur übermässigen Freigabe von Daten (Oversharing Assessments). Die Bewertung analysiert deine SharePoint Umgebung und zeigt, wo Copilot möglicherweise auf deutlich mehr Informationen zugreifen kann, als vorgesehen ist – zum Beispiel bei der klassischen Berechtigung «Alle ausser externe Benutzer» auf einer Website mit Gehaltslisten. Copilot erzeugt keine Berechtigungsprobleme. Es macht bestehende Probleme sichtbar. Die Behebung übermässiger Zugriffsfreigaben ist zwar mühsam, aber die Grundlage für alles Weitere.

Hinweis: Führe die Analyse zur übermässigen Zugriffsfreigabe durch, bevor du Copilot oder Agenten für weitere Benutzer einführst. Jede KI-Einführung verstärkt bestehende Berechtigungsprobleme, und die anschliessende Behebung unter Zeitdruck ist mühsam.

Noch ein wichtiger Punkt: In Microsoft Copilot Studio erstellte Agenten erben diese Schutzmechanismen. Purview wendet Vertraulichkeitsbezeichnungen, DLP und Audit auf Agenten-Interaktionen genauso an wie auf Copilot selbst. Die Datenebene endet also nicht am Chatfenster – sie begleitet die Daten bis in die Agenten.

Was ist Microsoft Agent 365

Microsoft Agent 365 ist die Steuerungsebene für die Agentenschicht. Es ist seit dem 1. Mai 2026 als benutzerbasiertes Add-on (15 US-Dollar pro Benutzer und Monat) allgemein verfügbar und Bestandteil der neuen Microsoft 365 E7 Suite. Das Prinzip ist einfach: Agenten werden wie Mitarbeiter behandelt – sie erhalten eine Identität, einen Verantwortlichen, einen Lebenszyklus und Sicherheitsrichtlinien. Agent 365 basiert auf drei Säulen:

Überwachung. Eine zentrale Agentenregistrierung im Microsoft 365 Admin Center zeigt alle Agenten im Tenant an: Copilot Studio Agenten, benutzerdefinierte Agenten, die mit Microsoft Foundry erstellt wurden, und vorintegrierte Drittanbieter-Agenten, die du direkt über das Admin Center bereitstellen kannst. Die Agentenkarte geht noch einen Schritt weiter und visualisiert, wie Agenten mit Benutzern, Datenquellen und anderen Agenten verbunden sind. Wenn ein Agent sich nicht korrekt verhält, siehst du hier die Auswirkungen.
Verwaltung. Lebenszyklusmanagement, Zugriffskontrolle und Compliance an einem zentralen Ort. Administratoren können Agenten genehmigen, sperren oder deaktivieren. Geplante Überprüfungen stellen sicher, dass die Berechtigungen dauerhaft angemessen bleiben. So wird die Frage des Auditors nach eingesetzten KI Systemen und der Verantwortlichkeit mit einem Bericht statt einer blossen Antwort beantwortet.
Sicherheit. Der bestehende Sicherheits-Stack wird auf Agenten erweitert: Microsoft Entra erzwingt bedingten Zugriff für Agenten, Microsoft Purview wendet DLP und Informationsschutz auf Agenteninteraktionen an, und Microsoft Defender erkennt riskantes Agentenverhalten zur Laufzeit und kann unsichere Aktionen blockieren.

Hinweis: Seit Mai 2026 befindet sich die Agentenregistrierung im Microsoft 365 Admin Center unter Agent 365. Die älteren Registrierungsseiten im Entra-Portal wurden entfernt. Falls du dies während der Vorschauphase genutzt hast, überprüfe bitte den neuen Speicherort.

Was ist die Entra Agent ID?

Die Identitätskomponente von Agent 365 ist die Microsoft Entra Agent ID, die seit April 2026 allgemein verfügbar ist. Jeder Agent erhält in Entra eine eigene Identität – vergleichbar mit einem Benutzerkonto, jedoch für eine eigenständige Software. Dadurch stehen Agenten alle Möglichkeiten der Identitätsverwaltung offen:

Bedingter Zugriff: Agenten können, genau wie Benutzer, auf bestimmte Ressourcen, Standorte oder Risikostufen beschränkt werden.
Risikoerkennung: Der Entra ID-Schutz wertet Agentenanmeldungen aus und kann Agenten sperren, die sich plötzlich anders verhalten.
Identitätsverwaltung: Mit Zugriffspaketen definieren Sie die Berechtigungen eines Agenten. Regelmäßige Zugriffsüberprüfungen stellen sicher, dass diese Berechtigungen weiterhin benötigt werden.
Sponsoren: Jeder Agent erhält einen verantwortlichen menschlichen Sponsor. Verlässt der Sponsor das Unternehmen, wird der Agent im Lebenszyklus-Workflow erfasst und läuft nicht länger unbeaufsichtigt weiter.

Das Sponsorenkonzept mag wie eine Kleinigkeit erscheinen, ist aber eines der wichtigsten Feature. Das grösste Agentenrisiko in realen Projekten ist nicht ein gehackter Agent – es ist der vergessene Agent, den ein Kollege vor zwei Jahren gebaut hat, der immer noch Schreibzugriff auf ein Postfach hat und an den sich niemand mehr erinnert.

Lebenszyklus eines verwalteten Agenten in Microsoft Agent 365

Was leistet Global Secure Access für KI?

Microsoft Purview schützt deine Daten und Agent 365 verwaltet deine eigenen Agenten. Doch was ist mit den KI-Tools, die dir nicht gehören? Hier kommt die Netzwerkschicht ins Spiel – genauer gesagt Entra Internet Access, das jetzt als sicheres Web- und KI-Gateway fungiert.

Die relevanten Funktionen:

Erkennung von Shadow AI. Global Secure Access analysiert den Netzwerkverkehr deiner Benutzer und erkennt Verbindungen zu generativen KI-Anwendungen, APIs von KI-Modellanbietern (z.B. Anthropic oder DeepSeek) und sogar SaaS MCP-Servern. Die Ergebnisse werden mit dem Microsoft Defender for Cloud Apps-Katalog abgeglichen, sodass jede erkannte Anwendung eine Risikobewertung basierend auf Sicherheits-, Compliance- und Rechtsfaktoren erhält. Du findest die Ergebnisse unter Global Secure Access → Anwendungen → Einblicke und Analysen mit einem Filter für generative KI-Anwendungen und -Tools. Das Dashboard zeigt ausserdem den Datenfluss zu jeder Anwendung an. Die an einen KI-Dienst gesendeten Bytes sind ein aussagekräftiger Indikator für das Risiko von Datenlecks.
Webinhaltsfilterung. Sobald du weisst, welche KI-Apps verwendet werden, kannst du diese nach Kategorie oder einzelner App blockieren oder zulassen – netzwerkweit und nicht nur im Browser. Auch Nutzer, die von Edge zu einem anderen Browser wechseln, sind von der Richtlinie nicht ausgenommen.
Generative AI Insights. Hier geht es ins Detail: Mit TLS-Inspektion kann Global Secure Access die tatsächlichen Eingabeaufforderungen und MCP-Operationen protokollieren, die an KI-Dienste gesendet werden. Shadow AI Discovery zeigt dir, welche Apps verwendet werden. Generative AI Insights, was an diese gesendet wird. Beide sind für die gemeinsame Verwendung konzipiert – Inventarisierung auf der einen Seite, Payload-Transparenz auf der anderen.
Schutz vor Eingabeaufforderungsmanipulation und Dateifilterung. Beide befinden sich in der öffentlichen Vorschauphase: Schädliche Eingabeaufforderungen können in Echtzeit auf Netzwerkebene blockiert werden, und die Netzwerkdateifilterung verhindert, dass vertrauliche Dateien an nicht autorisierte KI-Dienste hochgeladen werden.

Die Reihenfolge ist hier entscheidend. KI-Tools sofort zu blockieren, führt meist zu Problemen. Nutzer wechseln zu ihren privaten Geräten, und du verlierst die vollständige Transparenz. Empfehlung: Zuerst ermitteln, Risiko bewerten, eine autorisierte Alternative anbieten und erst dann die Richtlinie durchsetzen.

Hinweis: Führe die Shadow AI Analyse zwei Wochen lang im Überwachungsmodus durch, bevor du mit dem Management über die KI-Richtlinien sprichst. Die Liste der tatsächlich eingesetzten Tools ist in der Regel viel länger als erwartet, wodurch die Budgetdiskussion über genehmigte KI-Tools sehr kurz ausfällt.

Welche Rolle spielt Microsoft Defender?

Microsoft Defender ist in allen drei Ebenen:

Auf der Daten- und Anwendungsebene stellt Microsoft Defender for Cloud Apps dem Anwendungskatalog Risikobewertungen zur Verfügung, die von der Shadow AI Erkennung verwendet werden, und kann KI-Anwendungen sanktionieren oder die Sanktionen aufheben.
Auf der Agentenebene bietet Defender Laufzeitschutz. Er überwacht die Aktivitäten der Agenten, erkennt riskantes Verhalten, z.B. den plötzlichen Zugriff eines Agenten auf ungewöhnliche Ressourcen, und kann unsichere Aktionen in Echtzeit stoppen.
Auf der Workload-Seite deckt Defender for Cloud selbst erstellte KI-Workloads ab, z.B. Agenten und Modelle, die in Azure ausgeführt werden – das KI-Sicherheitsmanagement deckt Fehlkonfigurationen auf, bevor sie zu Vorfällen führen.

Du verwaltest Defender nicht über das Agent 365 Portal. Die Signale landen wie jeder andere Vorfall im Defender-Portal. Das ist vorteilhaft: Dein SOC benötigt keine neue Konsole für KI und die Agentenwarnungen erscheinen in der bereits vorhandenen Warteschlange.

Wie passen die drei Ebenen zusammen?

In der Grafik anbei siehst du eine vereinfachte Übersicht.

Die drei Ebenen referenzieren sich gegenseitig. Ein im Agent 365 Register gefundener Agent besitzt eine Entra Agent-ID, seine Interaktionen werden in Purview DSPM for AI angezeigt, und wenn er einen externen MCP-Server aufruft, ist dieser Datenverkehr in Global Secure Access sichtbar. Genau darin liegt der eigentliche Vorteil, in einem einzigen Ökosystem zu bleiben: Die Signale sind miteinander verbunden, und du kannst einen Agenten durch alle drei Ebenen verfolgen.

Empfehlung für den Start.

Wenn du noch am Anfang stehst, empfehlen wir folgende Reihenfolge:

Übersicht behalten. Vergebe Vertraulichkeitsbezeichnungen, führe DSPM zur KI-Bewertung durch und behebe übermässige Zugriffsrechte. Andernfalls verschärft jede KI-Einführung bestehende Berechtigungsprobleme.
Aktiviere die Überwachung von KI-Interaktionen. Das ist kostenlos, und du benötigst den Verlauf später.
Shadow AI aufspüren. Wenn du über globalen sicheren Zugriff verfügst, aktiviere die Erkennung und analysiere die Daten zwei Wochen lang. Die Ergebnisse sind für das Management in der Regel sehr aufschlussreich.
Agenten inventarisieren. Öffne die Agent 365 Registry und prüfe die vorhandenen Einträge. Weise jedem Agenten ohne Verantwortlichen einen Verantwortlichen zu.
Richtlinien durchsetzen. DLP-Richtlinien für Eingabeaufforderungen, bedingten Zugriff für Agenten und Webinhaltsfilter für die KI-Anwendungen, gegen die du dich entschieden hast.

Du benötigst dafür kein grosses Projekt. Die Schritte 1 bis 4 dienen der Transparenz. Sie sind für Benutzer nicht sichtbar, es entstehen keine Probleme, und jeder Schritt liefert dir einen Bericht, den du präsentieren kannst.

Vermeide folgende Fehler.

Blockieren vor der Erkennung. So wird die KI-Nutzung am schnellsten auf private Smartphones verlagert, wo du keinerlei Einblick hast. Erkenne die Nutzung, biete eine Alternative an und blockiere erst dann.
Labels als Nebenprojekt behandeln. Jede Purview KI-Steuerung basiert auf Sensibilitätslabels. Wenn die Label-Einführung bei „Pilotprojekt mit 20 Nutzern seit 2024“ feststeckt, behebe das zuerst – alles Weitere baut darauf auf.
Agenten ohne Verantwortliche. Wenn du die Erstellung von Agenten ohne Sponsorenprozess zulässt, entstehen innerhalb weniger Monate verwaiste Agenten. Aktiviere den Sponsor und überprüfe die Workflows von Anfang an, solange die Anzahl der Agenten noch gering ist.
MCP-Traffic ignorieren. Agenten, die externe MCP-Server aufrufen, stellen einen neuen Datenpfad dar, den klassische Webfilter nicht erfassen. Die Shadow AI Erkennung erkennt SaaS MCP-Server – schau dir die Liste an, sie ist in der Regel nicht leer.
Zielbild erstellen, bevor die Lizenzen geprüft werden. Purview DSPM für KI benötigt für die meisten Funktionen E5 oder Purview-Add-ons (mit Ausnahme von Prompt DLP). Agent 365 ist ein separates Add-on pro Benutzer, und Global Secure Access benötigt die Entra Suite oder eine eigenständige Internet-Access-Lizenz. Prüfe zunächst, was du bereits besitzt – oft ist mehr enthalten als gedacht, und manchmal verändert das fehlende Element die gesamte Architektur.
KI-Governance als einmaliges Projekt behandeln. Monatlich kommen neue Agenten, neue KI-Tools und neue Funktionen hinzu. Die Überprüfungen, die Discovery-Dashboards und die DSPM-Berichte sind nur dann hilfreich, wenn sie auch tatsächlich beachtet werden. Trage daher eine monatlich wiederkehrende Aufgabe in deinen Kalender ein und erledige die Sache.

KI-Governance klingt nach einem umfangreichen Compliance-Projekt, lässt sich im Microsoft Ökosystem aber in drei überschaubare Ebenen unterteilen: Datenschutz mit Purview, Agentenverwaltung mit Agent 365 und Netzwerküberwachung mit Global Secure Access – mit Defender als Sicherheitsnetz für alles. Du musst nicht alles auf einmal umsetzen, solltest aber jetzt mit der Transparenz beginnen, da die Agenten und die Shadow AI bereits in deinem Tenant vorhanden sind.

Austausch gefällig?

Meld dich bei mir. Schreib mir einfach.

Kontakt

KI-Governance in Microsoft 365: Purview, Agent 365 und Global Secure Access