Zusammenfassung

Schatten-KI im Microsoft 365 Admin Center wird steuerbar: Microsoft hat dort eine neue Seite mit dem Namen „Schatten-KI (Frontier)“ eingeführt. Sie soll IT-Administratoren dabei helfen, nicht verwaltete KI-Agents in der Organisation zu erkennen, zu überwachen und zu steuern. Die Funktion ist Teil des Frontier-Vorschauprogramms und befindet sich in der öffentlichen Vorschau (Public Preview). In dieser Phase wird zunächst ein einzelner Agent unterstützt.

Schatten-KI-Seite im Microsoft 365 Admin Center zur Erkennung nicht verwalteter KI-Agents

Ankündigung

Als Schatten-KI (Shadow AI) bezeichnet Microsoft KI-gestützte Tools und Agents, die von Nutzern ohne Wissen oder Genehmigung der IT verwendet werden. Laut Dokumentation können solche Werkzeuge die Produktivität steigern, bei unkontrollierter Nutzung aber Risiken wie Datenlecks, Complianceverstöße, Sicherheitsrisiken sowie fehlende Überprüfbarkeit und Governance mit sich bringen. Als typische Beispiele nennt Microsoft nicht autorisierte KI-Coding-Assistenten, lokale Agents, MCP-Server (Model Context Protocol), agentische Kommandozeilen-Tools und Browser-Erweiterungen mit KI-Funktionen.

Die neue Seite „Schatten-KI (Frontier)“ ist bewusst von der Seite „Alle Agents“ getrennt und konzentriert sich ausschließlich auf nicht verwaltete KI-Agents, die Erkennung und Governance erfordern. In der öffentlichen Vorschau lässt sich genau ein Agent erkennen und blockieren: OpenClaw, ein von Microsoft als Beispiel genannter nicht autorisierter KI-Coding-Assistent.

Technische Details

Erkennung und Blockierung gelten laut Microsoft derzeit nur für verwaltete Windows-Geräte, die bei Microsoft Intune registriert sind. Administratoren erreichen die Seite im Microsoft 365 Admin Center über „… Alle anzeigen“, den Bereich „Agents“ und den Eintrag „Shadow AI (Frontier)“. Im Detailbereich eines Agents lassen sich Agenttyp, Zeitpunkt der letzten Überprüfung und der Status angewendeter Intune-Sicherheitsrichtlinien einsehen.

Die Erkennung wird über die Sicherheitsrichtlinie „Verwaltete Geräte fortlaufend erkennen“ aktiviert. Anschließend zeigt die Registerkarte „Erkannte Geräte“ Gerätename, Gerätetyp, Betriebssystem und den Zeitpunkt der letzten Intune-Überprüfung. Beim Blockieren erstellt Microsoft eine neue Intune-Richtlinie, die automatisch an alle registrierten, verwalteten Windows-Geräte verteilt wird; für OpenClaw trägt sie den Namen „A365 – OpenClaw blockieren“. Je nach Intune-Konfiguration dauert die Anwendung des Richtlinienupdates zwischen 15 Minuten und 8 Stunden. Die Richtlinie kann in Intune weiter bearbeitet werden, um zusätzliche Steuerelemente zu ergänzen.

Als Voraussetzungen nennt Microsoft eine Microsoft 365 E3 Lizenz zum Anzeigen der Schatten-KI-Agents, mindestens eine passende Microsoft-Entra-Rolle (unter anderem Sicherheitsadministrator, KI-Administrator, Globaler Reader, Sicherheitsleseberechtigter, Sicherheitsoperator, Berichtsleser, User Experience Success Manager oder Intune Administrator), die Intune-Registrierung verwalteter Windows-Geräte sowie die Anmeldung zur Frontier-Vorschau im Admin Center.

Business- und IT-Relevanz

Mit der Schatten-KI-Seite erhalten IT- und Security-Teams eine zentrale, produktnahe Sicht auf nicht genehmigte KI-Agents auf verwalteten Windows-Geräten – ohne separates Drittanbieter-Werkzeug. Für Organisationen, die Microsoft 365 Copilot und Agenten produktiv einführen, adressiert die Funktion einen wachsenden Governance-Bedarf: die Kontrolle über KI-Tools, die außerhalb der offiziellen Freigabeprozesse entstehen. Microsoft betont, dass die Erfahrung Risiken identifizieren und verwalten soll, ohne legitime Geschäftsworkflows zu stören.

Community-Perspektive

Für die Microsoft-Community ist die Preview ein früher Einblick in eine entstehende KI-Governance-Fläche im Admin Center. Zugleich sind die aktuellen Grenzen deutlich: Unterstützt wird bislang nur der Agent OpenClaw, und Erkennung wie Blockierung beschränken sich auf Intune-verwaltete Windows-Geräte. Nicht verwaltete oder private Geräte werden nicht erfasst. Da es sich um eine Frontier-Vorschau handelt, können sich Features, unterstützte Agents und Verhalten bis zur allgemeinen Verfügbarkeit ändern. Administratoren, die die Funktion testen möchten, benötigen einen für Frontier angemeldeten Tenant.

Fazit

Die Schatten-KI-Seite bringt die Erkennung und Blockierung nicht verwalteter KI-Agents an eine Stelle, an der Administratoren ohnehin arbeiten, und stützt sich dabei auf etablierte Intune-Mechanismen. In der aktuellen Preview ist der Funktionsumfang mit einem Agent und der Beschränkung auf verwaltete Windows-Geräte noch eng gefasst. Als Ausgangspunkt für strukturierte KI-Governance ist die Richtung für die Community relevant und beobachtenswert.

Quellen