Agent 365 ist eine Grundvoraussetzung, keine Strategie: Was es regelt, was es kostet und welche Schwachstellen es offen lässt

Jeder lizenzierte Benutzer in einem Standard-Microsoft-365-Mandanten kann bereits einen Agenten erstellen und freigeben. Allein diese Tatsache ist der Grund, warum 2026 zum Jahr der Agenten-Wildwucherung geworden ist. Wir haben dieses Muster bereits beobachtet – zunächst bei Teams und dann bei der Power Platform –, wo Microsoft es jedem leicht gemacht hat, etwas auf die Beine zu stellen, und die Governance erst nachziehen musste. Bei Agenten wiederholt sich dieselbe Geschichte, nur in schnellerem Tempo. In den letzten zwölf bis achtzehn Monaten hat plötzlich jeder angefangen, sie zu erstellen, und die schwierigen Fragen folgen auf dem Fuße: Wer hat diesen Agenten erstellt, worauf hat er Zugriff und wer wird ihn wieder entfernen?

Gartner untermauert diese Sorge mit Zahlen. Rund 70 % der Unternehmen sind besorgt über die Ausbreitung von Agenten, und fast 90 % geben an, dass zusätzliche Kontrollen erforderlich sind, um Copilot-Agenten zu verwalten. Gleichzeitig drängt jeder auf KI, sodass die Akzeptanz weiter steigt. Der Anteil der Unternehmen, die KI-Agenten einsetzen, wird voraussichtlich innerhalb von zwei Jahren von derzeit rund 17 % auf über 60 % steigen. Wie einer unserer Moderatoren es ausdrückte: Man will nicht, dass der Fuchs die Hühner hütet. Man braucht eine gewisse Kontrolle hinter all dem.Microsofts Antwort darauf ist Agent 365. Wir haben eine Stunde lang das System anhand eines Live-Tenants unter die Lupe genommen – aus der Perspektive der Führungskräfte hinsichtlich der Risiken und aus der Sicht der Architekten hinsichtlich des Betriebs. Dies ist kein Verkaufsgespräch, auch wenn wir am Ende eine eigene Demo gezeigt haben. Es ist ein ehrlicher Blick darauf, was Agent 365 ist, wo er hilft und wo nicht. Die Kurzfassung: Das Gute ist echt, das Schlechte ist behebbar und das Hässliche ist strategisch.

Was Agent 365 eigentlich ist

Lässt man das Marketing einmal beiseite, ist Agent 365 eine kostenpflichtige Steuerungsebene, die im Microsoft 365-Verwaltungscenter angesiedelt ist und auf drei Produkten basiert, die Sie bereits kennen: Entra, Purview und Defender. Mit anderen Worten: Es handelt sich eher um ein Frontend für eine Reihe von Backend-Diensten als um eine brandneue Engine. Seit dem 1. Mai 2026 ist es für 15 US-Dollar pro Benutzer und Monat allgemein verfügbar.

Es erfüllt drei Aufgaben: Es überwacht und bietet Ihnen ein zentrales Verzeichnis sowie eine Bestandsaufnahme aller Agenten in Ihrer Microsoft-Umgebung. Es steuert, indem es jedem Agenten eine Entra-Agent-ID zuweist und Richtlinien sowie Blueprints anwendet, die festlegen, welche Berechtigungen ein Agent hat. Und es sorgt für Sicherheit, indem es die möglicherweise bereits von Ihnen genutzten Funktionen zur Verhinderung von Datenverlusten (Purview) sowie die Defender-Schutzmaßnahmen wiederverwendet, sodass Agenten zur Laufzeit keinen Schaden anrichten können.

Das wichtigste Detail ist die Tiefe, und die Tiefe folgt der Identität. Jeder Agent ist einer Entra-Agent-ID zugeordnet, und diese ID ist eine Voraussetzung für die meisten Steuerelemente. Bei allen nativen Agenten – also solchen, die in Copilot, Copilot Studio und Foundry erstellt wurden – erhalten Sie volle Kontrolle: eine tiefgreifende native Integration, DLP in Echtzeit, native Richtlinienvorlagen und automatische Synchronisierung mit dem Agent 365-Inventar. Unser Architekt hat dies live einem Belastungstest unterzogen und bestätigt, dass die Erstellung eines nativen Agenten die automatische Synchronisierung mit der Registrierung bewirkt.

Bei Agenten von Drittanbietern sieht die Sache anders aus. Von Haus aus werden vier Plattformen unterstützt: Vertex, Bedrock, Databricks und Salesforce. Bei allen anderen Anbietern hängt die Steuerung von einem Software Development Kit (SDK) ab, das kostenlos und frameworkunabhängig ist; der Anbieter muss sich jedoch dafür entscheiden und das SDK veröffentlichen. Ohne dieses SDK stehen Ihnen lediglich die Netzwerk- und Endpunkt-Erkennung zur Verfügung. Sie können den Agenten zwar sehen, aber nicht auf die Laufzeiterkennung von Defender zurückgreifen, um ihn zu steuern.

Das Positive: eine solide Microsoft-eigene Basis

Drei Dinge stechen besonders hervor und verdienen echte Anerkennung. Erstens ist der Einstieg kostenlos. Normalerweise ist eine neue Funktion an eine neue Lizenz gebunden, doch hier steht jedem Microsoft-Cloud-Abonnenten eine Basisstufe zur Verfügung, die Ihnen die Agent-Identität, das Inventar und grundlegende Einblicke bietet. Ihre in Copilot Studio veröffentlichten Agenten sind auch ohne Lizenz sichtbar, es fallen also keine Kosten an, nur um zu sehen, was Sie haben.

Zweitens ist das Konzept „Identity-First“ ausgerichtet und strebt eine vorhersehbare Kostenstruktur an. Die Entra-Agent-ID ist die richtige architektonische Entscheidung. Die Preisgestaltung pro Benutzer ist clever, denn ein verbrauchsbasiertes Modell für die Governance wäre ein Glücksspiel. Und es wurde intern als strategisches Projekt mit erheblichen Ressourcen entwickelt – nicht einfach angeflanscht oder zugekauft –, was es vor Übernahmen schützt.

Drittens ist die Integration bei von Microsoft veröffentlichten Agenten wirklich tiefgreifend. Man erhält Datenverlustprävention in Echtzeit und native Vorlagen, und da der Agent nativ in der Microsoft-Umgebung läuft, hat man eine starke Kontrolle darüber. Für eine rein auf Microsoft basierende Infrastruktur ist dies eine legitime Basis. Der Haken ist einfach: Fast kein Unternehmen setzt ausschließlich auf Microsoft-Lösungen.

Unsere ehrliche Einschätzung ist, dass Microsoft hier schnell gehandelt hat. Es ist ein Schritt in die richtige Richtung, und die Grundlagen sind solide, aber das Projekt ist noch nicht abgeschlossen und wird Zeit brauchen, bis es ausgereift ist. Wenn Sie die Baseline lieber in Aktion sehen möchten, anstatt uns einfach beim Wort zu nehmen, finden Sie die Schritt-für-Schritt-Anleitung zu Agent 365 in einem Live-Tenant als Teil des „ full session on demand “.

Die Nachteile: Reifegrad und Lücken in der Abdeckung

Agent 365 wird zu einem hohen Preis angeboten, ist jedoch noch nicht ausgereift. Gartner bezeichnet es als vielversprechendes, noch in der Entwicklung befindliches Produkt mit hohem Preis, und wir stimmen dem zu. Die fortgeschrittenen agenteneigenen Steuerungsfunktionen, für die eine Control Plane eigentlich gedacht ist, fehlen noch oder befinden sich in der Preview-Phase. Es gibt noch kein Red-Team-Testing, sodass ein Administrator oder Compliance-Experte einen Agenten nicht vor, sondern erst nach der Veröffentlichung einem Stresstest unterziehen kann. Die absichtsbasierte Laufzeitautorisierung von Defender befindet sich größtenteils in der Preview-Phase. Die Erkennung von „Shadow-AI“ auf Endpunkten – eine Funktion, die mit Tools wie Scout und OpenClaw konkurriert – befindet sich ebenfalls in der Preview-Phase.

Fairerweise muss man sagen, dass dieser Preview-Status einen Fortschritt darstellt. Früher stand die Funktion an erster Stelle, die Governance an zweiter. Jetzt kommen Funktion und Governance parallel, was gesünder ist, auch wenn die Funktionen noch Aufholbedarf haben. Das andere strukturelle Problem ist die einheitliche Steuerungsebene. In der Praxis handelt es sich um vier Portale – ein Agent 365 sowie drei Lösungsportale –, sodass man, um das System voll auszuschöpfen, nach wie vor Experte in Purview, Defender und Entra sein muss. Die zentrale Übersicht ist ein Frontend, kein fertiger Workflow.

Die Abdeckung weist dasselbe Muster auf, und genau das sollte den meisten Organisationen Sorgen bereiten: Die bereits vorhandene Infrastruktur ist am wenigsten abgedeckt. Agenten, die in Copilot Studio erstellt wurden, bevor es die Entra-Agent-ID gab, haben keine ID. Um sie in den Abdeckungsbereich aufzunehmen, müssen sie nach Erwerb einer Lizenz neu erstellt werden. Deklarative Agenten, einschließlich SharePoint-Agenten, erhalten keine Entra-Agent-ID. Sie werden sie zwar im Bestand sehen und erkennen können, an wen sie freigegeben sind, aber Sie können keine Zugriffs- und Sicherheitsfunktionen von Purview, Defender und Entra für sie nutzen. Genau das sind die Agenten, die von normalen Benutzern – nicht von Power-Usern – erstellt wurden, und sie sind es, die heute am ehesten übermäßige Berechtigungen besitzen.

Copilot Cowork, das Microsoft derzeit aktiv vorantreibt, ist ebenfalls noch nicht abgedeckt, und die Laufzeitsteuerungen für lokale Agenten befinden sich weiterhin in der Vorschau. Und bei Drittanbietern bleibt es ohne ein Anbieter-SDK bei der Erkennung, nicht bei der Steuerung. Die Agenten, die am ehesten Probleme bereiten – veraltete, von Laien erstellte und plattformübergreifende –, sind also diejenigen, die Agent 365 zuletzt erreicht.

Einige Fragen aus dem Publikum haben dies noch deutlicher gemacht. Ein Teilnehmer fragte, welche Administratorrolle man tatsächlich benötige, um all das zu betreiben. Die Antwort war in einem Punkt beruhigend und in einem anderen aufschlussreich: Es ist keine neue Lizenz oder Rolle erforderlich; mit einem globalen Reader können Sie die Situation einsehen, und mit Ihren bestehenden Entra- und Purview-Rollen können Sie Konfigurationen vornehmen – dennoch müssen Sie in Entra, Purview und Defender wechseln, um Einstellungen vorzunehmen. Ein anderer fragte, ob benutzerdefinierte Agenten, die außerhalb von Microsoft entwickelt wurden, verwaltet werden könnten. Die ehrliche Antwort lautete: nur, wenn sie von einer der vier unterstützten Plattformen stammen oder der Anbieter ein SDK veröffentlicht. Andernfalls erhält man zwar eine Erfassung, aber keine Kontrolle – und genau das ist für die meisten IT-Umgebungen die entscheidende Lücke.

Das Hässliche: Kosten, Lizenzierung und Lock-in

Das Unschöne ist die Art und Weise, wie all dies lizenziert wird. Ab Juli 2026 ist eine Kombination aus E3 und Agent 365 nicht mehr möglich, da Purview Teil des Pakets sein muss, was Sie in Richtung E5 drängt. Dann kommen das Copilot-Add-on, das Agent 365-Add-on und die Entra Suite ins Spiel – oder das E7-Bundle für 99 US-Dollar pro Benutzer und Monat. Je nach Vertrag belaufen sich die Kosten damit auf etwa 1.260 US-Dollar pro Benutzer und Jahr vor etwaigen nutzungsabhängigen Kosten – das ist ein Aufschlag von etwa 65 % gegenüber E5 und führt zu einer dauerhaft höheren Basis für Vertragsverlängerungen. Dieser Aufschlag ist ein wesentlicher Grund, warum Unternehmen zögern, da das Preis-Leistungs-Verhältnis noch unklar ist.

Schlimmer noch: Niemand kann Ihnen eine klare Abrechnung vorlegen. Microsoft empfiehlt, jeden zu lizenzieren, der mit einem verwalteten Agenten interagiert, doch die Grenze zwischen kostenloser und kostenpflichtiger Nutzung ist nicht dokumentiert, und es gibt keinen Schwellenwert für Pilotprojekte. Sie beginnen vielleicht mit einer kleinen Anzahl an Lizenzen, doch ein Proof-of-Concept mit 25 Lizenzen kann sich unbemerkt zu einer unternehmensweiten Lizenzierung ausweiten, wenn der Agent gemeinsam genutzt wird. Sprechen Sie mit den Spezialisten, die sich beruflich mit Microsoft-Lizenzierung beschäftigen, und selbst sie werden Ihnen sagen, dass die Grenze eine Frage der Auslegung ist. Solange Microsoft keine klareren Leitlinien bereitstellt, können Sie die Gesamtbetriebskosten für Agent 365 nicht zuverlässig ermitteln, und das ist eine der größten Herausforderungen, mit denen wir derzeit konfrontiert sind.

Dann ist da noch die Strategie. Agent 365 verstärkt die Bindung an einen einzigen Anbieter genau in dem Moment, in dem viele Unternehmen versuchen, sich alle Optionen offen zu halten. Sie setzen nicht ausschließlich auf Microsoft Copilot, Copilot Studio und Foundry. Sie prüfen auch Claude, OpenAI, Gemini, Glean, ServiceNow AI und Salesforce Agentforce. Sich voll und ganz auf eine Richtung festzulegen, erhöht Ihre Abhängigkeit und erleichtert es diesem Anbieter, im Laufe der Zeit mehr von Ihnen zu verlangen.

Auch die Laufzeitsteuerung ist ausschließlich auf Microsoft beschränkt. Kein Anbieter kann die Laufzeitsteuerung auf der Infrastruktur eines anderen Anbieters durchsetzen. Wenn Sie also verhindern wollen, dass Probleme auftreten, wie sie bei Microsoft, Gemini und ServiceNow AI vorkommen, bringt jeder seinen eigenen Pod mit, und es gibt keine einheitliche Steuerungsebene über alle Plattformen hinweg. Konkurrenten hingegen bündeln die Governance in der Lizenz und berechnen keine zusätzlichen Kosten. Microsoft drängt stark darauf, Kunden auf E7 umzusteigen oder Agent 365 zusätzlich zu erwerben – oft mit langfristigen Verträgen –, was angesichts der rasanten Entwicklung des KI-Marktes ein riskantes Unterfangen ist. Pioniermodelle überholen sich alle paar Wochen gegenseitig, und bei den Agent-Plattformen ist es dasselbe. Gartners Rat lautet im Wesentlichen: abwarten und beobachten. Zum Vergleich: Nur etwa 3,3 % der kommerziellen M365-Nutzer verfügen derzeit über eine kostenpflichtige Copilot-Lizenz – das sind rund 15 Millionen von 450 Millionen, laut Microsofts eigenen Zahlen für das zweite Quartal des Geschäftsjahres 26. Es handelt sich also um einen aggressiven Vorstoß in einen noch jungen Markt.

Wo eine herstellerneutrale Governance-Ebene ihren Platz findet

Hier kommt eine Governance-Ebene oberhalb der Plattform ins Spiel – und um es klar zu sagen: Sie ist ergänzend, kein Entweder-oder. Rencore ist keine Laufzeitkontrolle innerhalb einer bestimmten Plattform. Es handelt sich um eine Governance-Lösung, die den Lebenszyklus aller von Ihnen genutzten Dienste steuert – angefangen bei Microsoft 365, Teams, SharePoint und OneDrive über die Power Platform bis hin zu KI und Agent-Governance. Sie verbindet sich über die Standard-Graph-API, sammelt kontinuierlich Daten von jedem Dienst und führt diese in einem einzigen Bestand zusammen, der bereits Copilot, Copilot Studio, Microsoft Foundry und Agent 365 selbst sowie den Rest Ihrer Infrastruktur bis hinunter auf Dateiebene umfasst.

Die Demo folgte einem einfachen Schema: „See, Act, Save, Comply“. „See“ steht für ein dienstübergreifendes Inventar der gesamten Infrastruktur mit denselben Agenten, die Sie auch in Agent 365 finden würden, sowie weitaus mehr Kontextinformationen – darunter die Wissensquellen, auf die ein Agent zugreift, und die Angabe, ob eine verknüpfte SharePoint-Site mit einer Vertraulichkeitskennzeichnung versehen ist. „Handeln“ steht für richtlinienbasierte Korrekturmaßnahmen, einschließlich von Anwendern erstellter Agenten, mit Automatisierungen, die Inhalte blockieren, aus der Veröffentlichung entfernen, die Eigentumsrechte neu zuweisen oder eine Genehmigung an den Eigentümer des Agenten weiterleiten können – und zwar über eine Teams-App, die wie Teams aussieht und sich auch so anfühlt. „Save“ optimiert die Copilot-Lizenzierung sowie die Pay-as-you-go- und Connector-Kosten. „Comply“ sorgt für die Bereitschaft zur Einhaltung der DSGVO und des EU-KI-Gesetzes, dessen Durchsetzung in Kürze beginnt, und ist als SaaS oder als selbst gehostete Lösung von einem EU-Anbieter in Deutschland erhältlich.

Ein praktischer Aspekt stach in Bezug auf die Kosten besonders hervor: Um Agent 365-Daten heute in Rencore zu importieren, benötigt man lediglich eine Agent 365-Lizenz für 15 US-Dollar pro Benutzer und Monat – und nicht eine für jeden einzelnen Benutzer –, was diese zusätzliche Kostenbelastung beseitigt. Niemand kann die zukünftige Lizenzierung von Microsoft vorhersagen, aber nach dem derzeitigen Stand können Sie die Daten mit einer einzigen Lizenz abrufen, anstatt einer flächendeckenden Lizenzierung bedarf zu haben.

Was sollten Sie also tun?

Die Sitzung endete mit einem einfachen Entscheidungsrahmen, der den richtigen Ansatz bietet. Wenn Sie gerade erst experimentieren und ausschließlich Microsoft-Lösungen nutzen, beginnen Sie mit der kostenlosen „Foundational Tier“-Stufe plus Purview DSPM für KI und kaufen Sie Agent 365 noch nicht flächendeckend ein, da noch zu unklar ist, in welche Richtung sich Microsoft entwickelt. Wenn Sie Agenten für geschäftskritische Anwendungen skalieren, betrachten Sie Agent 365 als Basis, ergänzen Sie diese jedoch, sichern Sie sich mit einem 12-Monats-Vertrag ab und überprüfen Sie die Situation erneut, anstatt sich langfristig zu binden, solange sich der Markt so schnell verändert. Wenn Sie plattformübergreifend arbeiten – was bei den meisten Unternehmen der Fall ist –, ist Agent 365 zwar hilfreich, reicht jedoch nicht aus; richten Sie daher eine herstellerneutrale Governance-Ebene über den Plattformen ein. Und wenn Kosten, übermäßige Datenweitergabe oder die Einhaltung von EU-Vorschriften Ihr eigentliches Problem sind, sind das Lücken, die Agent 365 überhaupt nicht schließt – daher können Sie noch heute mit einer Governance-Ebene beginnen, unabhängig von der Lizenzstufe.