Microsoft Agent 365: KI-Agenten steuern und Schatten-KI vermeiden

Microsoft Agent 365 ist die zentrale Steuerungsebene für KI-Agenten im Unternehmen. Die Lösung hilft Organisationen dabei, Agenten sichtbar zu machen, Zugriffe zu kontrollieren und Risiken durch Schatten-KI frühzeitig zu erkennen. Denn je mehr KI-Agenten eigenständig auf Daten, Systeme und Prozesse zugreifen, desto wichtiger wird die Frage: Wer steuert diese Agenten und wer trägt die Verantwortung, wenn etwas schiefläuft?  

Drei Entwicklungen haben das Thema akut gemacht. Erstens: Agenten handeln. Was als Chatbot begann, der Antworten lieferte, greift heute aktiv auf Dokumente zu, ruft APIs auf, verschickt automatisiert E-Mails und trifft zunehmend Entscheidungen im Namen eines Nutzers. Zweitens: Agenten entstehen überall. Früher bauten einige wenige Vorreiter aus der IT einen Agenten – heute genügen ein Nachmittag, Copilot Studio und etwas Neugier, damit auch der Fachbereich seinen eigenen Agenten erstellt. Entwickler starten lokale Coding-Agenten, andere abonnieren einen SaaS-Dienst und holen sich so einen weiteren Akteur ins Haus. Drittens: Die etablierten Kontrollen greifen nicht. Unternehmen verwalten Menschen, Anwendungen und Geräte; es gibt ein Device-Management und ein Application-Management. Ein Agenten-Management gibt es hingegen selten. Agenten sind ein neuer Akteurstyp, der irgendwo dazwischen arbeitet. 

Microsoft hat für dieses Phänomen bereits einen Begriff geprägt: „Agent Sprawl“. Etwas Marketing schwingt dabei mit, das Phänomen selbst ist aber real: Agenten vermehren sich in unterschiedlichsten Umgebungen, jeder kennt ein paar, mit denen er arbeitet, aber niemand hat den vollständigen Überblick. Und mit der Menge wachsen die Risiken.  

• Da ist der Agent, dem man aus Bequemlichkeit mehr Berechtigungen gibt, als er braucht, und der plötzlich Informationen liefert, die der Mitarbeiter gar nicht sehen dürfte. Das ist eine Fehlkonfiguration.  
• Da ist der Werkzeugmissbrauch: Ein auf den ersten Blick harmloser Agent verschiebt Dateien, schließt Tickets oder verschickt E-Mails mit unscharf gesetzten Grenzen.  
• Da sind überprivilegierte Identitäten, weil hinter jedem Agenten ein technisches Konto steht, das – wie manches Servicekonto – schnell mehr darf als gedacht.  
• Und schließlich die prompt-basierten Angriffe, bei denen ein Agent auf Basis manipulierter Eingaben Daten ausliest und weitergibt. Mittlerweile liest man in den Medien regelmäßig von Fällen, in denen Agenten sogar selbstständig andere Unternehmen attackieren. 

Die naheliegende Reaktion – einfach alles zu sperren – klingt sicher, ist aber ein Trugschluss. Ein Agent ist nicht per se gefährlich; entscheidend ist, wie er eingesetzt wird. Steuern lässt sich nur, was man sieht. Absichern lässt sich nur, was man versteht. Jeder sinnvolle Umgang mit Agenten beginnt deshalb mit Sichtbarkeit. 

Hier setzt Microsoft Agent 365 an. Es ist keine weitere Plattform, um Agenten zu bauen. Agent 365 ist die Steuerungsebene darüber – es verwaltet, überwacht und visualisiert die Agenten, die anderswo in Ihrem Unternehmen entstehen, und regelt, was sie dürfen. Aufgebaut ist die Lösung entlang von drei Prinzipien: Observe, Govern und Secure. Observe macht sichtbar, welche Agenten überhaupt existieren. Govern steuert Zugriffe, prüft Richtlinien und kontrolliert etwa API-Zugriffe. Secure kümmert sich um Datenschutz und Bedrohungserkennung und zeigt an, welcher Agent ein Risiko birgt. 

Das Praktische daran: Agent 365 stützt sich auf Bausteine, die in den meisten Unternehmen längst im Einsatz sind – Entra ID, Purview, Defender, Intune. Diese Werkzeuge liefern jeweils einzelne Informationen. Was bislang fehlte, war die Klammer darüber, die alles zusammenführt und so aufbereitet, dass man damit arbeiten kann. 

In der Praxis lebt Agent 365 im Microsoft 365 Admin Center als eigener Menüpunkt, ohne Zusatzinstallation. Herzstück ist die Registry: eine Gesamtliste aller Agenten im Tenant, gleich ob sie über Copilot Studio oder den Microsoft 365 Agent Builder erstellt wurden. Pro Agent sehen Sie, wer ihn erstellt hat und wann, wer ihn verantwortet, mit wem er geteilt wurde, auf welche Daten er zugreift, welche Berechtigungen hinterlegt sind und wie oft er tatsächlich genutzt wird. Besonders wertvoll ist das Prinzip Eigentümerschaft: Jeder Agent hat einen Owner, eine konkrete Ansprechperson. Die ist nachträglich änderbar, aber immer vorhanden. 

Und die Schatten-KI außerhalb der Microsoft-Welt? Über sogenannte Connected Platforms lassen sich weitere Anbieter anbinden, sodass auch Agenten aus anderen Ökosystemen – etwa Google oder GitHub Copilot – erkannt und in die Registry geholt werden. Aktuell ist das eine überschaubare Zahl an Plattformen, aber erkennbar der Anfang. Die Agent Map visualisiert schließlich, welche Agenten auf welche Plattformen – SharePoint, Microsoft 365, Copilot Studio, Drittanbieter – zugreifen, inklusive Drilldown. Spielt ein Agent einmal verrückt, sehen Sie sofort, worauf er Zugriff hatte und was kompromittiert sein könnte. Das dazugehörige Dashboard liefert obendrein einen Management-Report, der eine ganz andere Gesprächsgrundlage schafft mit Vorstand, Revision oder Wirtschaftsprüfer. 

Von der Sichtbarkeit zur Steuerung führen vier Ebenen, die auf den bekannten Microsoft-Werkzeugen aufsetzen. Über Entra ID erhält jeder Agent – wie jeder Benutzer – ein eigenes Identitätsobjekt, das sich gezielt berechtigen lässt. Mit Purview legen Sie fest, wie Informationen geschützt werden; Data-Loss-Prevention-Richtlinien werden dabei auch von den Agenten respektiert. Defender überwacht das Verhalten, blockiert auffällige Agenten und löst Alarme aus. Und Microsoft Entra sichert auf Netzwerkebene, welche Verbindungen ein Agent aufbauen darf und welche nicht. Erst im Zusammenspiel entsteht daraus echte Kontrolle. 

So vielversprechend das Bild ist: Agent 365 löst nicht alles, und einiges ist noch nicht fertig. Teile der Funktionen befinden sich im Preview-Status; Microsoft selbst rät hier vom produktiven Einsatz ab. Vor allem bei der Erkennung von Schatten-KI über Drittanbieter wird sich noch einiges verändern. Hinzu kommt die regionale Verfügbarkeit: Manche Integrationen – etwa Purview mit Windows 365 für Agents – sind vorerst nur in den USA und noch nicht im DACH-Raum verfügbar.  

Und die Kosten? Agent 365 ist eine Erweiterung. Im höchsten E7-Plan ist sie enthalten, ansonsten kostet sie rund 15 US-Dollar pro Nutzer und Monat als Add-on, etwa zu einem bestehenden E5-Plan. Was in Ihrem Fall sinnvoll ist, hängt von Ihrer bestehenden Lizenzsituation ab und sollte individuell geprüft werden. 

Was heißt das konkret? Der erste Schritt ist eine Inventur: Welche Agenten habe ich überhaupt? Der zweite Schritt ist, Eigentümerschaft zu klären. Wer hat sie erstellt, wer nutzt sie, mit wem spreche ich, wenn ein Agent einen Connector verwendet, den er besser nicht verwenden sollte. Drittens: Leitplanken schaffen, statt pauschal zu verbieten – Datenklassifizierungen definieren, festlegen, welche Aktionen ein Agent nicht eigenständig ausführen darf und was zunächst nur im Testszenario läuft. Erst dann setzen Sie das Ganze technisch mit Entra, Purview und Defender durch. 

Der wichtigste Rat ist dabei ein pragmatischer: Starten Sie kein halbes Jahr Gremienarbeit. Ein riesiges Projekt ist der falsche Ansatz, solange die Erfahrung fehlt. Halten Sie stattdessen mit einem kleinen Team in zwei, drei Tagen eine Momentaufnahme fest. Sie brauchen einen ersten Eindruck und die Gewissheit, handlungsfähig zu bleiben.