Microsoft Agent 365 | Die Kontrollebene für Agenten

Deine Anwender bauen längst eigene Agenten. Einer im Vertrieb hat sich über den Agent Store einen Lead-Recherche-Bot geholt, das Marketing lässt einen Copilot-Studio-Agenten auf SharePoint-Daten los, und in einem Teams-Kanal werkelt ein selbstgebauter Helfer, von dem die IT nichts weiß. Diese unkontrollierte Verbreitung hat einen Namen: Shadow AI, das neue Shadow IT.

Agenten verhalten sich dabei so, wie sich Endgeräte vor zehn Jahren verhalten haben. Sie vermehren sich schnell, werden uneinheitlich bereitgestellt und sind für die IT weitgehend unsichtbar. IDC rechnet bis 2028 mit über 1,3 Milliarden Agenten weltweit, eine von Microsoft gesponserte Prognose, deren Richtung aber stimmt. Ohne zentrale Verwaltung wird aus Produktivitätsgewinn ein Governance-Risiko, das sich selbst skaliert.

Agent 365 ist Microsofts Antwort darauf, angekündigt auf der Ignite 2025 und seit dem 1. Mai 2026 allgemein verfügbar. Microsoft nennt es die Control Plane für Agenten, also die Ebene, um jeden KI-Agenten im Tenant zu beobachten, zu steuern und abzusichern, egal ob er in Copilot Studio, in Microsoft Foundry, mit einem Open-Source-Framework oder bei einem Partner entstanden ist.

Charles Lamanna, bei Microsoft für Business Apps und Agents zuständig, fasst die Designidee in einem Satz: Der beste Weg, Agenten zu verwalten, ist die Infrastruktur zu erweitern, die du schon für deine Nutzer einsetzt. Genau das macht Agent 365. Es baut keine neue Verwaltungswelt auf, sondern setzt auf Entra ID, Defender und Purview auf. Für dich heißt das: Du lernst kein zweites Sicherheitsmodell, sondern wendest dein vorhandenes auf Agenten an.

Ein Agent ist keine klassische App. Er handelt autonom, greift im Namen von Nutzern auf Daten zu und kann mit anderen Agenten kommunizieren. Bekommt ein finanzfokussierter Agent Zugriff auf Vertragsdaten und niemand kontrolliert, was er damit tut, hast du dieselbe Angriffsfläche wie bei einem überprivilegierten Servicekonto. Nur dass dieses Konto eigenständig Entscheidungen trifft und sich in Minuten statt Monaten vervielfacht.

Die Zugriffssteuerung weist jedem Agenten über Microsoft Entra Agent ID eine eindeutige Identität zu, sodass du Least-Privilege durchsetzen kannst. Die Observability macht über Telemetrie, Dashboards und Alerts sichtbar, was die Agenten tatsächlich tun. Die Interoperabilität zieht auch Open-Source- und Partner-Agenten unter dieselbe Verwaltung. Die Security-Ebene koppelt Defender zur Bedrohungsabwehr und Purview zur Erkennung von Datenabflüssen an. Auffällige Agenten kannst du in Quarantäne setzen, wodurch sie für Nutzer ausgeblendet und von Verbindungen zu anderen Agenten oder Ressourcen abgeschnitten werden.

Hier lohnt ein genauer Blick, weil die Lizenzierung oft falsch verstanden wird. Agent 365 wird pro Nutzer lizenziert, nicht pro Agent.

Die Lizenz hängt an dem Menschen, der einen Agenten nutzt, besitzt, verwaltet oder als Sponsor verantwortet. Die Agenten selbst brauchen keine eigene Lizenz, und eigene Verbrauchskosten fallen für Agent 365 derzeit nicht an.

Es gibt drei Stufen:

Du musst also nicht auf E7 wechseln, um Agent 365 produktiv zu nutzen. Für einen kleinen Kreis aus IT, Security oder einem KI-Kompetenzteam reicht die Standalone-Lizenz auf E5-Basis. E7 lohnt sich erst, wenn du ohnehin alle vier Bestandteile ausrollst. Achtung bei der Aktivierung: Mindestens ein Nutzer im Tenant muss eine qualifizierende Agent-365-Lizenz tragen, damit du Agent 365 überhaupt einschalten kannst. Die Observability-Signale erscheinen, sobald du die erste Lizenz zugewiesen hast.

Für die Verwaltung brauchst du eine Rolle mit den passenden Rechten. Microsoft hat dafür die Rolle Microsoft Entra AI Administrator vorgesehen, deren Berechtigungen auf Copilot, Agenten und verwandte KI-Dienste zugeschnitten sind. Governance-Aktionen wie das Genehmigen von Agentenanfragen oder das Zuweisen von Besitz sind ausschließlich dieser Rolle und dem Global Administrator vorbehalten. Andere Rollen sehen die Governance-Lücken, können aber nicht eingreifen. Den Global Administrator hältst du wie immer für Notfälle zurück.

Die zentrale Anlaufstelle ist das Microsoft 365 Admin Center unter admin.microsoft.com. Den Agenten-Workload findest du in der linken Navigation unter Agents, gegebenenfalls erst nach einem Klick auf Alle anzeigen. Bevor du loslegst, prüfst du drei Dinge:

Die Settings-Seite bündelt fünf Stellschrauben:

Damit rollst du Agenten kontrolliert nach Abteilung oder Pilotgruppe aus, statt den ganzen Tenant auf einmal zu öffnen. Für den Anfang empfiehlt sich der enge Weg: erst eine Testgruppe über User access freischalten, eine Security-Vorlage als Default setzen, dann schrittweise erweitern.

Das Herzstück ist der Agent Registry, erreichbar über Agents, All Agents, Registry. Hier siehst du jeden Agenten, der deiner Organisation zur Verfügung steht, mit Besitzer, Publisher, Status und aggregierten Risiken. Die Liste lässt sich nach Status filtern und als Excel-Datei exportieren, mit über 30 Datenfeldern je Agent für Reporting und Audit.

Die Agenten teilen sich in vier Typen:

Gerade die letzte Kategorie ist der Wildwuchs-Kandidat, den du im Blick behalten musst. Praktisch dabei: Agenten, die mit Copilot Studio gebaut werden, landen automatisch im Registry, senden Telemetrie an Agent 365 und bekommen ohne Zutun eine Entra Agent ID. Du musst sie also nicht manuell registrieren, sondern findest sie direkt im Inventar wieder.

Achtung beim Löschen: Bei Agenten mit dem Tag AI teammate erzeugen Nutzer einzelne Instanzen. Löschst du eine Instanz, werden Instanzkonten und Daten nach 30 Tagen endgültig entfernt, die Audit-Logs bleiben erhalten.

Wie konkret die Detailansicht ausfällt, zeigt der Microsoft-Agent Researcher im Registry. Über Agents, All Agents öffnest du sein Flyout. Oben stehen die Aktionen Lizenz verwalten, Deinstallieren und Blockieren sowie der Status Verfügbar. Darunter gliedert sich die Ansicht in acht Tabs: Details, Benutzer, Daten und Tools, Sicherheit, Berechtigungen, Aktivität, Computernutzung und Verbundene Agents.

Der Tab Details fasst die Stammdaten zusammen: Version, Erstellungsdatum, letzte Aktualisierung, Publisher, Herausgebertyp, Besitzer, Verfügbarkeit, Entra-Agent-ID und Vertraulichkeit. Bei einem Microsoft-1P-Agenten wie Researcher steht beim Publisher die Microsoft Corporation, beim Besitzer und bei der Entra-Agent-ID dagegen ein Strich, weil Microsoft den Agenten verantwortet und keine eigene Tenant-Identität nötig ist. Genau hier siehst du auf einen Blick, ob ein Agent einen Besitzer hat, ein wichtiges Signal bei selbstgebauten Agenten.

Der Tab Daten und Tools beantwortet die entscheidende Frage, worauf der Agent zugreift. Bei Researcher steht unter Kann lesen der Eintrag Öffentliche Websites, während Graph-Connectors, Wissensquellen und Tools nicht konfiguriert sind. So erkennst du, ob ein Agent nur im Web recherchiert oder tief in deine Unternehmensdaten greift.

Im Tab Sicherheit siehst du die aktiven Schutzmaßnahmen. Der Purview-Schutz überwacht die Agent-Aktivität, schützt vertrauliche Daten gegen Lecks und übermäßiges Teilen und bietet eine KI-Baselinebewertung für Compliancelücken. Die Entra-Schutzmaßnahmen greifen, sobald der Agent eine Identität hat. Bei Researcher steht hier, dass der Agent keine Berechtigungen von Entra ID besitzt.

Der Tab Aktivität liefert die 30-Tage-Telemetrie: aktive Benutzer, Sitzungen, Ausnahmen und Agentlaufzeit, dazu Verlaufskurven und die Liste der aktiven Nutzer mit Datum der letzten Nutzung. Damit siehst du, ob ein Agent wirklich genutzt wird oder als Karteileiche im Tenant liegt.

Besonders für die Absicherung zählt der Tab Computernutzung. Researcher kann eine VM nutzen, um Websites aufzurufen und Aktionen im Namen von Nutzern auszuführen. Du steuerst, ob das für alle, für niemanden oder nur für bestimmte Gruppen erlaubt ist, ob der Agent dabei auf Arbeitsdaten zugreifen darf und welche Websites zulässig sind, wahlweise alle, nur bestimmte URLs oder eine Ausschlussliste. Voraussetzung ist eine aktivierte Websuche.

Der Tab Verbundene Agents zeigt, mit welchen anderen Agenten Researcher zusammenarbeitet. Du verbindest bis zu zehn Agenten, ausgenommen jene, die der Ersteller bereits hinzugefügt hat.

Für wiederkehrende Aufgaben gibt es Agent Management Rules unter Agents, Settings. Mit der Regel Reassign Ownerless Agents überträgst du verwaiste Agenten, deren Ersteller die Organisation verlassen hat, per Massenaktion an den Manager des bisherigen Besitzers entlang der Entra-Hierarchie.

Diese Regel greift bisher nur bei Agenten aus dem Microsoft 365 Copilot Agent Builder, also nicht bei allen Typen. Mit Install Microsoft (1P) Agents verteilst du Microsoft-eigene Agenten proaktiv im Tenant. Das Modell folgt einer einfachen Wenn-Dann-Logik, wodurch Lifecycle-Governance automatisierbar wird. Microsoft hat weitere Szenarien angekündigt, etwa das automatische Blockieren riskanter und das Löschen inaktiver Agenten.

Die Identitäten laufen über Microsoft Entra Agent ID. Hier bist du als Admin nah an der PowerShell, denn Blueprints und Identitäten lassen sich per Microsoft Graph erstellen. Ein Blueprint ist die Vorlage, aus der einzelne Agentenidentitäten entstehen, vergleichbar mit dem Verhältnis von App Registration und Enterprise Application. Wichtig vorweg: Die Agent-ID-APIs laufen weiterhin über den Beta-Endpunkt von Microsoft Graph. Wer produktiv automatisiert, sollte Skripte gegen API-Änderungen absichern.

Du brauchst PowerShell 7 und die passenden Graph-Module:

Stolperfalle bei der Authentifizierung: Tokens aus der Azure CLI funktionieren nicht. Sie tragen die Berechtigung Directory.AccessAsUser.All, die von den Agent-ID-APIs mit 403 abgewiesen wird. Du musst über Connect-MgGraph mit den expliziten Scopes arbeiten.

Den Blueprint legst du über einen Graph-Request an. Der Header OData-Version 4.0 und der Typ @odata.type sind Pflicht. Fehlen sie, erzeugt die API eine normale Application statt eines Agent-Blueprints:

Beachte: Das Anlegen eines Blueprints erzeugt nicht automatisch sein Service-Principal. Ohne diesen Principal scheitert jede Identitätserstellung, also musst du ihn separat anlegen. Wem der reine Graph-Weg zu sperrig ist: Mit dem Microsoft Entra PowerShell Modul ab Version 1.2.0 gibt es Invoke-EntraBetaAgentIdInteractive, einen siebenstufigen Assistenten, der Blueprint, Secret und Identität in einem Durchlauf einrichtet. Jeder Blueprint braucht einen Sponsor, also den Menschen oder die Gruppe, die für den Agenten verantwortlich ist. Das ist kein Formalismus, sondern die Adresse, an die ein Sicherheitsvorfall eskaliert wird.

Auch der Developer-Pfad nutzt PowerShell zur Kontrolle. Nach a365 publish prüfst du das erzeugte Manifest mit Bordmitteln:

Vergiss neben den Agenten nicht die Admins. Die Rolle AI Administrator darf Agenten genehmigen und Besitz zuweisen, also viel. Eine Daueraktivierung dieser Rolle ist ein unnötiges Risiko. Sichere sie über Microsoft Entra Privileged Identity Management ab: Just-in-Time-Aktivierung, Genehmigungs-Workflow und erzwungene MFA bei der Aktivierung. So aktiviert ein Admin die Rechte nur für die Dauer der Aufgabe, und jede Aktivierung ist protokolliert.

Die Überwachung läuft über mehrere Dashboards. Die Agent Overview im Admin Center zeigt eine 30-Tage-Momentaufnahme samt handlungsorientierter Karten:

Jede Karte führt per Klick in eine vorgefilterte Registry-Ansicht, in der du sofort handeln kannst.

Im Registry führt die Spalte Risks die hochkritischen Risiken aus Entra, Defender und Purview zusammen. Ein Klick darauf öffnet den Security-Tab des Agenten, wo die Risiken nach Plattform aufgeschlüsselt sind und du direkt blockieren oder weiter untersuchen kannst. Für die Datenseite liefert Purview den tieferen Blick: Über AI Observability und den Activity Explorer siehst du, welche Agenten auf sensible Inhalte zugreifen, überwacht über Exchange, SharePoint, OneDrive und Endgeräte. Damit schließt Microsoft die Sichtbarkeitslücke, die bislang die größte Schwäche bei der Agentenverwaltung war: Du siehst nicht nur, dass ein Agent existiert, sondern auch, wie riskant sein Verhalten ist und an welche Daten er kommt.

Neben der Listenansicht im Registry gibt es die Agent Map (Agentzuordnung). Sie gruppiert deine Agenten visuell nach der Plattform, auf der sie gebaut wurden, sodass du Cluster und Einführungsmuster auf einen Blick erkennst. Du filterst nach Status, Publisher-Typ, Plattform, Kanal, Datenquelle oder Nutzung, machst einen Drilldown auf einzelne Agenten und siehst, wie Agenten miteinander in Beziehung stehen, also Abhängigkeiten und Interaktionen. Die nutzungsbasierte Ansicht wird über Agent-365-Insights für Tenants mit unter 4.000 Agenten unterstützt.

Agent 365 ist architektonisch konsequent. Statt eine separate Verwaltungswelt für Agenten aufzuziehen, erweitert Microsoft die Werkzeuge, die deine IT und dein Security-Team ohnehin betreiben. Das senkt die Einstiegshürde, weil du kein neues Verwaltungsmodell lernen musst. Wer seinen Tenant über Entra, Defender und Purview schon im Griff hat, ist für Agent 365 vorbereitet. Für Junior-Admins ist der saubere Startweg klar: Testgruppe freischalten, Security-Vorlage als Default setzen, Registry beobachten, verwaiste und riskante Agenten zuerst aufräumen.

Die eigentliche Kostenfalle steckt nicht in Agent 365 selbst, sondern eine Ebene tiefer. Agent 365 verwaltet und sichert, deckt aber nicht die Rechenkosten der Agenten. Wer Agenten in Copilot Studio oder Foundry baut und betreibt, zahlt nutzungsbasiert über Copilot Credits oder Azure. Wenn ein Agent zusätzlich eine eigene Desktop-Umgebung über Windows 365 for Agents braucht, kommen 0,40 US-Dollar pro VM und Stunde obendrauf, abgerechnet als separate Position. Ein Agent in einer Endlosschleife oder ein vergessener Test-Bot kann so binnen Tagen ein vierstelliges Budget verbrennen, ohne dass es jemand bemerkt. Plane den Verbrauch getrennt vom Lizenzpreis ein.

Zwei weitere Punkte gehören auf den Zettel:

Die Botschaft bleibt: Governance ist bei Agenten keine Kür mehr, sondern Pflicht. Ein Agent ohne Identität, ohne Besitzer und ohne Überwachung ist ein Risiko, das sich selbst vervielfacht. Der richtige Zeitpunkt, die Kontrollebene aufzusetzen, ist nicht, wenn der erste Vorfall passiert, sondern jetzt, solange du deine Agenten noch an einer Hand abzählen kannst. Wer früh anfängt, verwaltet später eine geordnete Flotte statt eines Wildwuchses.

Wird Agent 365 pro Nutzer oder pro Agent lizenziert? Pro Nutzer. Die Lizenz hängt an der Person, die einen Agenten nutzt, besitzt, verwaltet oder als Sponsor verantwortet. Die Agenten selbst brauchen keine eigene Lizenz, und eine Lizenz deckt alle Agenten ab, mit denen dieser Nutzer zu tun hat.

Was kostet Agent 365? Als Standalone-Lizenz 15 US-Dollar pro Nutzer und Monat, im Microsoft 365 E7 für 99 US-Dollar pro Nutzer und Monat. Eigene verbrauchsbasierte Kosten fallen für Agent 365 derzeit nicht an. Alle Interaktionen der Agenten eines Nutzers laufen unter dessen Lizenz.

Brauche ich E7, um Agent 365 zu nutzen? Nein. Agent 365 gibt es als Standalone-Add-on. E7 liefert das vollständigste Paket, weil es E5, Microsoft 365 Copilot, Agent 365 und die Entra Suite bündelt. Für einen kleinen Governance-Kreis reicht die Standalone-Lizenz.

Welche Basislizenz setzt Agent 365 voraus? Als Enterprise-Kunde brauchst du Microsoft 365 E5 oder alternativ Defender Suite und Purview Suite zusammen als Standalone. Frontline-Worker brauchen Microsoft 365 F5 mit Defender plus Purview Suite. Im Mittelstand setzt es Business Premium voraus, plus Defender Suite und Purview Suite für SMB, um die Funktionen freizuschalten. Im Bildungsbereich gilt A5 for Faculty oder Defender plus Purview Suite for Education.

Reicht Microsoft 365 Copilot allein für den Agentenschutz? Nein. Copilot bringt die KI-Funktionen für Endanwender, Agent 365 verwaltet, steuert und sichert die Agenten selbst, auch über Copilot hinaus. Kurz gesagt: Copilot regelt, was KI kann, Agent 365 regelt, was KI darf.

Welche Funktionen sind ohne Lizenz nutzbar? Jeder Tenant mit Microsoft-Cloud-Abo bekommt die Basisstufe: Agentenidentität, Registry, einfache Nutzungsinsights, die Kern-Governance (veröffentlichen, bereitstellen, blockieren, löschen, genehmigen, neu zuweisen), Audit-Logs und eDiscovery für Agentenaktivität, das Blocken nicht sanktionierter lokaler Agenten und die Erkennung von KI auf Endgeräten.

Welche Funktionen sind lizenzpflichtig? Die Premium-Stufe. Dazu zählen erweiterte Nutzungsanalysen, Agent Map, Registry Sync, Graph API, Identity Governance und Lifecycle-Automatisierung für Agenten, Policy-Vorlagen, DSPM, Insider Risk Management, Sensitivity Labels und DLP für Agenten, Conditional Access und Identity Protection, SASE, Gerätecompliance sowie Threat Detection, Blocking und Hunting.

Wen sollte ich lizenzieren? Alle Nutzer, die mit Agenten interagieren, sie verwalten oder sponsern. Wer Premium-Funktionen nutzt oder davon profitiert, ohne lizenziert zu sein, bringt dich in die Non-Compliance. Multiplexing, also das Poolen von Lizenzen zur Reduzierung der Lizenzzahl, ist nicht erlaubt.

Zählen Blueprints, Agenten und Instanzen einzeln? Nein. Sie sind keine eigenen Lizenzeinheiten. Ein lizenzierter Nutzer kann beliebig viele Blueprints, Agenten und Instanzen anlegen und verwalten, ohne Aufpreis pro Agent oder Instanz.

Kann ein einzelner Sponsor eine ganze Agenten-Flotte verwalten? Ja. Das Lizenzmodell kennt keine feste Obergrenze für die Zahl der Agenten je lizenziertem Nutzer, auch nicht bei Agent-to-Agent- oder Agent-to-Tool-Szenarien. Standard-Schutzmechanismen und Fair-Use-Limits der Plattform greifen weiterhin.

Kostet die Absicherung eines Foundry-Agenten extra gegenüber Copilot Studio? Nein. Agent 365 unterscheidet nicht, ob ein Agent in Foundry oder Copilot Studio gebaut wurde. Da die Lizenz am Nutzer hängt, sind Security und Governance ohne Aufpreis enthalten.

Ist Windows 365 for Agents in Agent 365 enthalten? Nein. Es ist ein eigenes Produkt, das mit Agent 365 zusammenspielt, aber separat gekauft wird. Abgerechnet wird nutzungsbasiert mit 0,40 US-Dollar pro VM und Stunde als eigene Position. Agent 365 liefert die Governance, Windows 365 for Agents die Laufzeitumgebung, wenn ein Agent einen vollen Desktop braucht.

Erfüllt E7 mit Agent 365 die EU-Data-Boundary? Ja. Microsoft 365 E7 inklusive Agent 365 ist auf Microsofts EU-Data-Boundary-Zusagen ausgelegt und wie andere kommerzielle Angebote mit und ohne Microsoft Teams verfügbar.

Ab wann greifen die Funktionen nach der Lizenzzuweisung? Sobald du die erste Agent-365-Lizenz zuweist. Ab diesem Moment erscheinen die Observability-Signale und Insights auf der Agent-365-Overview-Seite.

Welche Reports helfen bei der Bedarfsermittlung? Zwei, die du zusammen nutzt. Der Report "Active users using agents in Microsoft 365 Copilot" unter Reports, Usage, Microsoft 365 Copilot, Agents zeigt die eindeutigen Agenten-Nutzer der letzten 30 Tage. Der Report "Registry agent owners" unter Agents, All agents listet die Besitzer aller Agenten im Registry, inklusive Drittanbieter- und 1P-Agenten. Beide brauchen keine Lizenz und lassen sich exportieren.

Worin unterscheiden sich E5 und Agent 365? E5 schützt Nutzer und Daten, also wie Menschen mit KI arbeiten. Agent 365 schützt die Agenten selbst, über ihren gesamten Lebenszyklus und über die Interaktionsarten Agent-to-Human, Agent-to-Agent und Agent-to-Tool hinweg. E7 deckt beides ab.

Hier ist dein Leitfaden, um die Kontrolle über deine Agenten-Flotte zurückzugewinnen.

Konfiguriere unter Agents > Settings die Leitplanken für deine Anwender:

Nutze das Agent Registry (Agents > All Agents > Registry) als dein zentrales Cockpit: