Microsoft KI-Agenten-Sicherheit: Claude Code in Defender

Was passiert ist

Nadim Abdo, bei Microsoft Corporate Vice President für Identity and Network Access, hat am 19. Oktober 2026 im Microsoft Security Blog beschrieben, wie Microsoft KI-Agenten absichern will. Der Titel „Agents are your newest insiders“ sagt es: Agenten sind wie neue Mitarbeiter mit Zugriff auf Daten und Systeme. Sie sind nicht böswillig, können aber Fehler machen, manipuliert oder übernommen werden.

Der Beitrag baut auf einem Blogpost von Satya Nadella auf, der am 10. Oktober 2026 gefordert hatte, KI-Modelle wie Insider-Risiken zu behandeln, mit Kontrolle außerhalb des Modells. Am selben Tag wie Abdo schrieb Hayete Gallot, Executive Vice President für Microsoft Security, in „Securing the agentic insider“, Guardian Agents sollten jede Aktion jedes Agenten prüfen, bevor sie passiert.

Microsoft gliedert das Konzept in vier Aufgaben: kennen, eingrenzen, schützen, anpassen. Das sind die Bausteine laut Blog:

• Entra Agent ID: Jeder Agent bekommt eine eigene Identität, getrennt vom Menschen, der ihn nutzt.
• Dynamic Permissions: Ein Agent startet ohne Rechte, bekommt sie nur für die aktuelle Aufgabe und zeitlich begrenzt. Nie mehr Rechte als der Nutzer selbst.
• Dynamic Agent Risk: Das Risiko wird laufend neu berechnet, aus Signalen von Identität, Daten, Endgerät, Cloud, Netzwerk und Verhalten des Agenten.
• Dynamic Conditional Access: Steigt das Risiko, fällt erst der Schreibzugriff weg, dann der Datenzugriff, am Ende wird der Agent isoliert oder gestoppt.
• Guardian Agents und Playbooks: Teil von Project Perception. Playbooks legen das Ziel fest, Guardian Agents setzen es um.

Microsofts Beispiel: Ein Reisekosten-Agent, der nach manipulierten Inhalten etwas anderes als Routinefreigaben versucht, verliert Schreibrechte, darf weiter lesen und braucht für heikle Schritte eine menschliche Bestätigung.

Defender erkennt Claude Code und 59 weitere Agenten

Greifbarster Teil ist die Erkennung lokaler Agenten in Defender, laut Blog erweitert um 35 Agententypen auf insgesamt 60. Die Support-Matrix bei Microsoft Learn listet für Windows unter anderem Claude Code, Claude Desktop, Codex CLI, ChatGPT Desktop, Cursor, Gemini CLI, GitHub Copilot CLI, Windsurf und die passenden VS-Code-Erweiterungen. Für macOS und das Windows Subsystem for Linux gilt die Erkennung als Preview (Stand: Oktober 2026).

Die Erkennung läuft aktivitätsbasiert: Ein Agent taucht erst auf, wenn Defender ihn auf einem Gerät arbeiten sieht. Im Defender-Portal siehst du pro Agent Gerät, Konto, Version und MCP-Server, außerdem, ob er in einem vertrauenswürdigen Prozess läuft und ob er Aktionen ohne Rückfrage selbst freigibt.

Dazu kommt ein Laufzeitschutz (Preview), der Inhalte, die der Agent liest, auf versteckte Anweisungen prüft, also Prompt Injection. Bei Claude Code, Codex CLI und GitHub Copilot CLI nutzt Defender dafür die Hook-Schnittstellen der Hersteller. Im Audit-Modus meldet Defender nur, im Block-Modus stoppt er die Aktion.

Project Perception und Entra Agent ID: Was dahintersteckt

Project Perception hat Microsoft am 27. Juli 2026 vorgestellt: Sicherheitsagenten, die als Red Team Angriffswege suchen, als Blue Team Risiken bewerten und als Green Team Lücken schließen. Mit dem Beitrag vom 19. Oktober kommen die Guardian Agents hinzu, die die eigenen Agenten überwachen sollen. Die Produktseite nennt ein verbrauchsbasiertes Preismodell ohne konkrete Preise.

Entra Agent ID ist laut Microsoft Learn für alle Entra-Kunden verfügbar. Conditional Access, Risikoerkennung und Governance für Agenten brauchen aber Microsoft Agent 365. Das ist in Microsoft 365 E7 enthalten und als Add-on zu E5 und Business Premium erhältlich. Agent 365 kostet auf der deutschen Produktseite 13 Euro pro Nutzer und Monat bei jährlicher Abrechnung, zuzüglich Mehrwertsteuer (Stand: Oktober 2026).

Wann Dynamic Permissions oder Dynamic Conditional Access kommen, sagt der Beitrag nicht, ebenso wenig Preview-Termine oder Lizenzen.

Welche Lizenz du für die Agenten-Erkennung brauchst

Hier wird es für kleine Teams unangenehm. Die Erkennung lokaler Agenten setzt laut Microsoft Learn mindestens Defender for Endpoint Plan 2 voraus. Microsoft 365 Business Premium enthält aber Defender for Business, also Plan 1 plus einige Plan-2-Funktionen. Ob die Agenten-Erkennung dazugehört, dokumentiert Microsoft nicht.

Das Lizenzbild im Überblick (Stand: Oktober 2026):

Funktion	Voraussetzung	Quelle
Lokale Agenten im Inventar sehen, Advanced Hunting	Defender for Endpoint Plan 2	Microsoft Learn
Risikostufe und Empfehlungen pro Agent	Microsoft 365 E7 oder Agent 365 plus Plan 2	Microsoft Learn
Laufzeitschutz gegen Prompt Injection (Preview, nur Windows)	Plan 2, Microsoft 365 E5, Agent 365 oder E7	Microsoft Learn
Entra-Sicherheitsfunktionen für Agenten	Agent 365 (in E7 enthalten, Add-on zu E5 und Business Premium)	Microsoft Learn

Was es für dich bedeutet

Du bist solo unterwegs oder ein Team ohne Microsoft-Sicherheitspaket? Dann ändert sich technisch nichts. Das Konzept stellt trotzdem die richtigen Fragen: Welche Agenten laufen auf deinen Rechnern, was dürfen sie, wer merkt Fehler? Wenn du Claude Code nutzt, regelst du einen Teil selbst: Berechtigungen nicht pauschal mit „immer erlauben“ durchwinken, keine Zugangsdaten im Projektordner, skeptisch bleiben bei fremden Inhalten.

Du hast ein kleines Team mit Business Premium? Prüfe, ob Mitarbeiter schon Coding-Agenten oder ChatGPT Desktop installiert haben. Das Defender-Inventar würde das sichtbar machen, braucht aber Plan 2. Ohne diese Lizenz hilft eine klare KI-Richtlinie im Unternehmen, die erlaubte Agenten und Datenzugriffe festlegt.

Du setzt auf Microsoft Copilot? Dann betrifft dich Agent 365 früher oder später, weil Microsoft die Agenten-Governance dort bündelt. Was Copilot im Büro kann und kostet, habe ich separat aufgeschrieben.

Für alle gilt: Ein Agent ist ein Programm mit Werkzeugen und Zugriffsrechten. Behandle ihn wie einen neuen Kollegen in der Probezeit: eigene Zugänge, nur die nötigen Rechte, bei folgenreichen Schritten fragt er nach. Das geht heute ohne jede Lizenz.

Quellen

• Microsoft Security Blog, 19.10.2026: Agents are your newest insiders
• Official Microsoft Blog, 19.10.2026: Securing the agentic insider
• Microsoft Learn: AI agent support matrix
• Microsoft Learn: Local AI agent discovery
• Microsoft Learn: Discover local AI agents
• Microsoft Learn: AI agent runtime protection
• Microsoft Learn: What is Microsoft Entra Agent ID
• Microsoft Learn: What is Microsoft Defender for Business
• Official Microsoft Blog, 27.07.2026: Rethinking security for the age of AI
• Microsoft: Microsoft Agent 365
• Satya Nadella, 10.10.2026: Models as insider risks

Häufige Fragen

Welche KI-Agenten erkennt Microsoft Defender?

Die Support-Matrix bei Microsoft Learn listet für Windows 60 lokale Agenten, darunter Claude Code, Claude Desktop, Codex CLI, ChatGPT Desktop, Cursor, Gemini CLI, GitHub Copilot CLI, Windsurf und die passenden VS-Code-Erweiterungen. Für macOS und das Windows Subsystem for Linux ist die Erkennung noch Preview (Stand: Oktober 2026).

Reicht Microsoft 365 Business Premium für die Agenten-Erkennung in Defender?

Nach der Dokumentation von Microsoft Learn nicht. Die Erkennung lokaler KI-Agenten setzt mindestens Defender for Endpoint Plan 2 voraus. Business Premium enthält Defender for Business, das auf Plan 1 basiert und nur einige Plan-2-Funktionen mitbringt. Risikostufen und Empfehlungen pro Agent brauchen zusätzlich Microsoft 365 E7 oder Agent 365.

Was ist Project Perception von Microsoft?

Project Perception ist ein System aus Sicherheitsagenten, das Microsoft am 27. Juli 2026 vorgestellt hat. Red-Agenten suchen Angriffswege, Blue-Agenten bewerten Risiken, Green-Agenten beheben Lücken. Seit dem 19. Oktober 2026 gehören Guardian Agents dazu, die die eigenen KI-Agenten eines Unternehmens überwachen sollen. Das Preismodell ist verbrauchsbasiert, konkrete Preise nennt Microsoft nicht.