KI-Agenten als Shadow IT 2.0

Copilot, Power Automate und Graph-Berechtigungen sicher steuern

Copilot-Studio-Bots, Power-Automate-Flows und großzügige Graph-Berechtigungen machen KI-Agenten zur Shadow IT 2.0: Sie verschieben unbemerkt Daten – oft ohne eigene Identität, Sponsor oder Audit-Protokolle. Diese Folge beleuchtet beide Seiten, also wo Agenten echte Produktivität bringen und wo sie in der Praxis versagen. Dazu gibt es eine Referenzarchitektur für verwaltete Agenten in Microsoft 365 und ein einfaches Risikobewertungsschema.

▶ KI-Agenten als Shadow IT 2.0: Copilot, Power Automate und Graph-Berechtigungen sicher steuern (KI-Synchronfassung)

Das erfahren Sie:

1. Warum Agenten zur Shadow IT 2.0 werden: delegierte Graph-Berechtigungen mit Vollzugriff, Browser-Tools, MCP-Brücken und Datenabfluss per Copy-Paste oder Upload – und Copilot findet übermäßig freigegebene Daten in SharePoint und OneDrive
2. Identität zuerst: eine eigene Entra Agent ID pro Agent, Blueprints pro Agententyp mit verantwortlichem Sponsor, bedingtem Zugriff und Kill-Switch – denn Conditional Access für Menschen schützt keine Agenten, die als Benutzer laufen
3. Geringste Rechte: Graph-App-Rollen statt delegierter Berechtigungen, SharePoint-Zugriff nur auf bestimmte Sites und Exchange-Zugriff nur auf festgelegte freigegebene Postfächer
4. Leitplanken zur Laufzeit: automatische Purview-Labels, Endpunkt- und Browser-DLP für KI-Domänen mit Coaching-Meldungen, Global Secure Access erst eine Woche im Protokollmodus, dann Positivlisten inklusive MCP-Servern, sowie verwaltete Power-Platform-Umgebungen
5. Das Risikobewertungsschema: sechs Bereiche (Identität, Daten, Berechtigungen, Netzwerk, Überwachung, Lebenszyklus) mit je 0 bis 5 Punkten, dazu ein Betriebs-Playbook mit Agentenregister, vierteljährlichen Zugriffsprüfungen und Incident-Response

Diese Folge ist eine KI-synchronisierte deutsche Fassung des animierten Erklärvideos aus der M365 Show von Microsoft MVP Mirko Peters.