Viele Unternehmen haben Microsoft 365 Copilot eingeführt, die ersten Agenten in Copilot Studio erstellt und gleichzeitig nutzen Mitarbeitende eigenständig öffentliche KI Tools wie ChatGPT oder Claude. KI verbreitet sich in Unternehmen schneller, als die meisten Prozesse zu Governance mithalten können. Nicht gut. Was tun also? Eine Möglichkeit sind die drei wichtigsten Microsoft Bausteine für KI Governance: Microsoft Purview für die Daten, Microsoft Agent 365 für die Agenten und Microsoft Entra Global Secure Access für das Netzwerk. Wir zeigen dir, welches Tool welches Risiko abdeckt.
Wenn wir mit Kunden über KI sprechen, sind die Bedenken fast immer dieselben drei:
Datenlecks: Ein Benutzer fügt Kundendaten in einen öffentlichen Chatbot ein, oder Copilot zeigt ein Dokument an, das nie ausreichend geschützt wurde.
Unkontrollierte Agenten: Jeder kann heutzutage einen Agenten erstellen. Aber wem gehört er? Worauf kann er zugreifen? Wer schaltet ihn ab, wenn der Eigentümer das Unternehmen verlässt?
Shadow AI: Mitarbeiter nutzen KI-Tools, von denen die IT noch nie gehört hat. Die IT kann nichts schützen, was sie nicht kennt.
Und es gibt einen vierten Faktor, der monatlich an Bedeutung gewinnt: Regulierung. Die europäischen Richtlinien zu Künstlicher Intelligenz werden schrittweise umgesetzt. Dabei tauchen ganz konkrete Fragen auf: Welche KI-Systeme nutzt das Unternehmen? Wer trägt die Verantwortung? Wie wird verhindert, dass sensible Daten in die falschen Systeme gelangen? Die Antwort vieler Unternehmen darauf: «Wir haben ein Richtliniendokument.» Aber genügt das? Nein. Kein einzelnes Produkt löst all diese Probleme.
Das ist das entscheidende Denkmodell: KI Governance im Microsoft Ökosystem ist kein einzelnes Tool, sondern besteht aus drei Ebenen – der Datenebene, der Agentenebene und der Netzwerkebene. Microsoft Defender ist in allen drei Ebenen integriert.
Microsoft Purview Data Security Posture Management (DSPM) für KI ist der zentrale Einstiegspunkt für die Datenschicht. Du findest es im Purview-Portal. Es beantwortet die entscheidende Frage: Welche sensiblen Daten fliessen in und aus KI-Anwendungen in meinem Tenant?
Die wichtigsten Funktionen in der Praxis:
Ein häufig übersehener Bestandteil: DSPM für KI beinhaltet auch Bewertungen zur übermässigen Freigabe von Daten (Oversharing Assessments). Die Bewertung analysiert deine SharePoint Umgebung und zeigt, wo Copilot möglicherweise auf deutlich mehr Informationen zugreifen kann, als vorgesehen ist – zum Beispiel bei der klassischen Berechtigung «Alle ausser externe Benutzer» auf einer Website mit Gehaltslisten. Copilot erzeugt keine Berechtigungsprobleme. Es macht bestehende Probleme sichtbar. Die Behebung übermässiger Zugriffsfreigaben ist zwar mühsam, aber die Grundlage für alles Weitere.
Hinweis: Führe die Analyse zur übermässigen Zugriffsfreigabe durch, bevor du Copilot oder Agenten für weitere Benutzer einführst. Jede KI-Einführung verstärkt bestehende Berechtigungsprobleme, und die anschliessende Behebung unter Zeitdruck ist mühsam.
Noch ein wichtiger Punkt: In Microsoft Copilot Studio erstellte Agenten erben diese Schutzmechanismen. Purview wendet Vertraulichkeitsbezeichnungen, DLP und Audit auf Agenten-Interaktionen genauso an wie auf Copilot selbst. Die Datenebene endet also nicht am Chatfenster – sie begleitet die Daten bis in die Agenten.
Microsoft Agent 365 ist die Steuerungsebene für die Agentenschicht. Es ist seit dem 1. Mai 2026 als benutzerbasiertes Add-on (15 US-Dollar pro Benutzer und Monat) allgemein verfügbar und Bestandteil der neuen Microsoft 365 E7 Suite. Das Prinzip ist einfach: Agenten werden wie Mitarbeiter behandelt – sie erhalten eine Identität, einen Verantwortlichen, einen Lebenszyklus und Sicherheitsrichtlinien. Agent 365 basiert auf drei Säulen:
Überwachung. Eine zentrale Agentenregistrierung im Microsoft 365 Admin Center zeigt alle Agenten im Tenant an: Copilot Studio Agenten, benutzerdefinierte Agenten, die mit Microsoft Foundry erstellt wurden, und vorintegrierte Drittanbieter-Agenten, die du direkt über das Admin Center bereitstellen kannst. Die Agentenkarte geht noch einen Schritt weiter und visualisiert, wie Agenten mit Benutzern, Datenquellen und anderen Agenten verbunden sind. Wenn ein Agent sich nicht korrekt verhält, siehst du hier die Auswirkungen.
Die Identitätskomponente von Agent 365 ist die Microsoft Entra Agent ID, die seit April 2026 allgemein verfügbar ist. Jeder Agent erhält in Entra eine eigene Identität – vergleichbar mit einem Benutzerkonto, jedoch für eine eigenständige Software. Dadurch stehen Agenten alle Möglichkeiten der Identitätsverwaltung offen:
Bedingter Zugriff: Agenten können, genau wie Benutzer, auf bestimmte Ressourcen, Standorte oder Risikostufen beschränkt werden.
Risikoerkennung: Der Entra ID-Schutz wertet Agentenanmeldungen aus und kann Agenten sperren, die sich plötzlich anders verhalten.
Identitätsverwaltung: Mit Zugriffspaketen definieren Sie die Berechtigungen eines Agenten. Regelmäßige Zugriffsüberprüfungen stellen sicher, dass diese Berechtigungen weiterhin benötigt werden.
Microsoft Purview schützt deine Daten und Agent 365 verwaltet deine eigenen Agenten. Doch was ist mit den KI-Tools, die dir nicht gehören? Hier kommt die Netzwerkschicht ins Spiel – genauer gesagt Entra Internet Access, das jetzt als sicheres Web- und KI-Gateway fungiert.
Die relevanten Funktionen:
Erkennung von Shadow AI. Global Secure Access analysiert den Netzwerkverkehr deiner Benutzer und erkennt Verbindungen zu generativen KI-Anwendungen, APIs von KI-Modellanbietern (z.B. Anthropic oder DeepSeek) und sogar SaaS MCP-Servern. Die Ergebnisse werden mit dem Microsoft Defender for Cloud Apps-Katalog abgeglichen, sodass jede erkannte Anwendung eine Risikobewertung basierend auf Sicherheits-, Compliance- und Rechtsfaktoren erhält. Du findest die Ergebnisse unter Global Secure Access → Anwendungen → Einblicke und Analysen mit einem Filter für generative KI-Anwendungen und -Tools. Das Dashboard zeigt ausserdem den Datenfluss zu jeder Anwendung an. Die an einen KI-Dienst gesendeten Bytes sind ein aussagekräftiger Indikator für das Risiko von Datenlecks.
Die Reihenfolge ist hier entscheidend. KI-Tools sofort zu blockieren, führt meist zu Problemen. Nutzer wechseln zu ihren privaten Geräten, und du verlierst die vollständige Transparenz. Empfehlung: Zuerst ermitteln, Risiko bewerten, eine autorisierte Alternative anbieten und erst dann die Richtlinie durchsetzen.
Hinweis: Führe die Shadow AI Analyse zwei Wochen lang im Überwachungsmodus durch, bevor du mit dem Management über die KI-Richtlinien sprichst. Die Liste der tatsächlich eingesetzten Tools ist in der Regel viel länger als erwartet, wodurch die Budgetdiskussion über genehmigte KI-Tools sehr kurz ausfällt.
Microsoft Defender ist in allen drei Ebenen:
Auf der Daten- und Anwendungsebene stellt Microsoft Defender for Cloud Apps dem Anwendungskatalog Risikobewertungen zur Verfügung, die von der Shadow AI Erkennung verwendet werden, und kann KI-Anwendungen sanktionieren oder die Sanktionen aufheben.
Auf der Agentenebene bietet Defender Laufzeitschutz. Er überwacht die Aktivitäten der Agenten, erkennt riskantes Verhalten, z.B. den plötzlichen Zugriff eines Agenten auf ungewöhnliche Ressourcen, und kann unsichere Aktionen in Echtzeit stoppen.
Auf der Workload-Seite deckt Defender for Cloud selbst erstellte KI-Workloads ab, z.B. Agenten und Modelle, die in Azure ausgeführt werden – das KI-Sicherheitsmanagement deckt Fehlkonfigurationen auf, bevor sie zu Vorfällen führen.
In der Grafik anbei siehst du eine vereinfachte Übersicht.
Die drei Ebenen referenzieren sich gegenseitig. Ein im Agent 365 Register gefundener Agent besitzt eine Entra Agent-ID, seine Interaktionen werden in Purview DSPM for AI angezeigt, und wenn er einen externen MCP-Server aufruft, ist dieser Datenverkehr in Global Secure Access sichtbar. Genau darin liegt der eigentliche Vorteil, in einem einzigen Ökosystem zu bleiben: Die Signale sind miteinander verbunden, und du kannst einen Agenten durch alle drei Ebenen verfolgen.
Wenn du noch am Anfang stehst, empfehlen wir folgende Reihenfolge:
Übersicht behalten. Vergebe Vertraulichkeitsbezeichnungen, führe DSPM zur KI-Bewertung durch und behebe übermässige Zugriffsrechte. Andernfalls verschärft jede KI-Einführung bestehende Berechtigungsprobleme.
Blockieren vor der Erkennung. So wird die KI-Nutzung am schnellsten auf private Smartphones verlagert, wo du keinerlei Einblick hast. Erkenne die Nutzung, biete eine Alternative an und blockiere erst dann.
Labels als Nebenprojekt behandeln. Jede Purview KI-Steuerung basiert auf Sensibilitätslabels. Wenn die Label-Einführung bei „Pilotprojekt mit 20 Nutzern seit 2024“ feststeckt, behebe das zuerst – alles Weitere baut darauf auf.