Zero Trust for AI: Warum Agents jetzt ihren eigenen Pillar bekommen und was das für euch bedeutet

KI ist längst im Unternehmensalltag angekommen: Chatbots für Kunden, Agents für interne Prozesse, Copilot in jeder Abteilung. Mit jeder neuen Agenten-Instanz stellen sich dieselben Fragen:

Wer hat diesen Agent deployed?
Was darf er?
… und wer merkt es, wenn er kompromittiert wird?

Diese Frage adressiert Microsoft mit Zero Trust for AI (ZT4AI), vorgestellt Ende März 2026 auf der RSAC: Das Zero-Trust-Framework bekommt einen dedizierten AI-Pillar, als eigenständigen Baustein in der neuen Referenzarchitektur, mit eigenem Workshop-Track und erweitertem Assessment-Tooling. In unserem aktuellen Webcast haben wir uns das Ganze aus zwei Perspektiven angesehen: Cybersecurity bzw. SOC und Data Security.

Das Problem: Agents sind Identitäten, wurden aber nie so behandelt

Die drei Zero-Trust-Grundprinzipien bleiben unverändert:

•  Verify explicitly gilt jetzt auch für Agents. Im Identity-Bereich des Frameworks taucht der Agent als eigene Identität mit Agent ID auf.
•  Least privilege: Zugriff auf Modelle, Prompts, Plugins und Datenquellen nur soweit nötig.
•  Assume breach über den gesamten AI-Lebenszyklus: Ist das Modell sauber? Woher kommt das LLM, wie wurde es trainiert? Wurde in der Entwicklung schon etwas eingeschleust, das später ausgenutzt wird?

Neu ist die Angriffsfläche: Prompt Injection, manipulierte Modelle in der Supply Chain und sogenannte Double Agents – falsch konfigurierte oder kompromittierte Agents, die gegen die eigene Organisation arbeiten. Noch wird dies eher selten ausgenutzt. Die Risiken sind aber absehbar, und genau jetzt lassen sie sich noch adressieren.

Zwei Faktoren vergrößern den Blast Radius eines kompromittierten Agents erheblich:

1. Geschwindigkeit, weil Agents um vielfach schneller agieren als menschliche Angreifer und
2. Datenzugriff, weil Agents mit hohen Rechten und Anbindung an sensible Datenquellen das perfekte Ziel sind.

Hinzu kommt Shadow AI. Abteilungen bauen sich Chatbots und deployen Agents für interne Arbeiten, ohne Agent Identity und ohne Owner. Über die Security-Implikationen wird dabei selten nachgedacht. Kommt dann ein Incident, fehlt genau das Wissen, das für Response Actions entscheidend ist: Darf ich den deaktivieren? Ist das, was er tut, überhaupt erlaubt?

Was Microsoft released hat

Mit dem ZT4AI-Announcement kamen vier Bausteine. Zusammen bilden sie einen Weg von der Strategie über das Assessment zur Implementierung:

Der neue AI-Pillar im Workshop

Der AI-Pillar deckt sieben Implementierungsbereiche ab:

•  Map and assess AI risk: AI-Agents, -Anwendungen und -Services organisationsweit entdecken, inventarisieren und Risiken priorisieren
•  Register agents: alle Agents in einer zentralen Registry erfassen, klassifizieren und mit Ownership versehen
•  Secure AI authentication and access: Conditional Access, risikobasierte Policies und Identity Governance auf AI-Systeme anwenden
•  Secure AI network access: Traffic-Steuerung, Filterung und Inspektion für AI-Interaktionen, inkl. Schutz vor Prompt Injection
•  Secure AI data access: Klassifizierung, Labeling und DLP für Daten in Prompts, Grounding und Outputs; Monitoring auf Oversharing
•  Build agents securely: sichere Entwicklung und Deployment inkl. Content-Safety-Controls, Validierung und Red Teaming
•  Detect and respond for AI: AI-Signale in die Security Operations integrieren, Missbrauch und promptbasierte Angriffe erkennen

Jeder Task ist nach Implementierungsaufwand und User Impact (High/Medium/Low) eingeordnet. Das hilft bei der Frage, womit man startet: Quick Wins mit wenig Aufwand und hohem Nutzen natürlich zuerst. Der Report gliedert die Maßnahmen zusätzlich in 30-, 60- und 90+-Tage-Actions. Damit habt ihr direkt einen Plan vor euch und könnt jederzeit reporten, wo ihr steht und was die nächsten Schritte sind.

Ergebnisse lassen sich als JSON oder CSV exportieren, importieren und als Report teilen, auch direkt in Projektmanagement-Tools wie ADO oder Jira. Kein Excel-Dokument mehr, das per Mail durch die Organisation wandert.

Das Assessment: der Blick auf den Ist-Zustand

Das Zero Trust Assessment automatisiert die Prüfung hunderter Security-Konfigurationen über Identity, Devices und jetzt auch Data und Network. Manuell wäre das aufwendig und fehleranfällig. Die Tests speisen sich aus Industriestandards wie NIST, CISA und den CIS-Benchmarks, aus Microsofts eigenen Learnings der Secure Future Initiative (SFI) sowie aus Customer Insights von tausenden Security-Implementierungen.
Der Start ist bewusst einfach gehalten: PowerShell 7, Modul installieren, verbinden, Invoke. Beim ersten Lauf wird ein Global Admin benötigt (Consent), danach reicht der Global Reader. In unserem Test-Tenant lief die Generierung rund 40 Minuten; laut Microsoft-Dokumentation kann ein Assessment in großen Umgebungen bis zu 24 Stunden dauern. Also auf einer Maschine starten, die durchlaufen kann.

Der Report liefert auf der ersten Seite generelle Tenant-Informationen: Benutzer, Authentifizierungsmethoden, Geräte. Das gibt es heute verteilt über verschiedene Portale, hier steht es kompakt auf einer Seite. Danach folgen die Ergebnisse, sortierbar nach Risiko und Status. Zu jedem Finding stehen konkrete Remediation-Schritte dabei, also auch gleich der Weg zur Behebung.

Übrigens: Das Assessment lohnt sich als wiederkehrender Lauf, um zu prüfen, ob Konfigurationen noch dem Soll-Zustand entsprechen, ob etwas modifiziert wurde und ob neue Tests von Microsoft dazugekommen sind. Der Aufwand ist überschaubar, der Erkenntnisgewinn hoch.
Zum Zeitpunkt unserer Aufnahme war der AI-Pillar im automatisierten Assessment noch nicht enthalten und für Sommer 2026 angekündigt. Inzwischen hat Microsoft die ersten AI-Checks nachgeliefert, mit Fokus auf Agent-Identitäten: Authentifizierung, Berechtigungen, Ownership. Für den vollständigen AI-Teil bleibt der Workshop die Basis.

Agent 365 und die SOC-Perspektive

Für Detection & Response ist Agent 365 der entscheidende Baustein: die zentrale Sammlung aller Agents mit Registrierung, Ownership und Berechtigungen. Erst auf dieser Governance-Grundlage lassen sich im SOC Signale sinnvoll verarbeiten. Die Agent-Informationen fließen in die Defender-Welt ein und lassen sich mit Security-Daten anreichern.
Aus Data-Security-Sicht kommt hinzu: Ein Agent lässt sich wie eine menschliche Indentiät behandeln, inklusive Insider-Risk-Bewertung. Das liefert Triage-Kontext: Ist diese Aktion höher oder niedriger zu bewerten? Kümmere ich mich zuerst um den Agent oder den User?

Ergänzend schließt Entra Internet Access mit Shadow-AI-Detection eine Lücke auf Netzwerkebene: Traffic-Inspektion macht sichtbar, welche AI-Anwendungen in der Umgebung laufen, von denen IT und Security nichts wissen.

Allerdings: Das Thema ist frisch. Viele Workflows existieren noch nicht, es braucht Tuning und schlicht Erfahrung mit den Daten. Die Erwartung „Ich habe jetzt AI, das muss überwacht werden" ist richtig. Der Weg dahin dauert allerdings; per Knopfdruck passiert hier nichts.

Der EU AI Act: ein wichtiger Disclaimer

Workshop und Assessment sind an regulatorische Anforderungen angelehnt und eine gute Basis für die technischen und teilweise prozessualen Maßnahmen. Aber: Das Durchlaufen der Tools macht euch nicht automatisch compliant. Für eine Compliance mit dem AI-Act fehlt weiterhin ein erheblicher Teil an regulatorischen und rechtlichen Maßnahmen, gerade in den anspruchsvollen Regulatorien im DACH-Raum.

Was aber gilt: Alles, was ihr im Tool dokumentiert, hilft euch nachzuweisen, dass ihr euch strukturiert mit den Themen auseinandergesetzt habt. Aus Compliance-Sicht wird genau das immer wichtiger.

Wichtig zu verstehen: Es ist ein Microsoft-only View, die Daten kommen aus dem Microsoft-Universum. Für andere Plattformen liefert das Framework zumindest den Ansatzpunkt für die Frage: Was ist unser Pendant dazu in der jeweiligen Welt?

So startet ihr – heute, besser gestern

Der Weg ist immer derselbe, ob auf eigene Faust oder mit uns an der Seite:

1. Assessment laufen lassen: den ungeschönten Ist-Zustand der Umgebung ziehen, automatisiert und mit priorisierten Findings.
2. Workshop durchführen: je nach Reifegrad fokussiert auf die relevanten Pillars. Wer den Zero Trust Workshop bereits durchlaufen hat, nimmt sich jetzt vor allem den neuen AI-Pillar vor.
3. Projektplan bauen: Ergebnisse aus Report und Workshop zusammenführen und in einen konkreten, priorisierten Projektplan überführen auf 30/60/90 Tage.

Fast jede Organisation hat bereits Agents im Einsatz, deployed und produktiv, oft ohne Governance. Framework, Workshop und Assessment geben dafür erstmals einen strukturierten Rahmen. Die wichtigste Handlungsempfehlung lautet daher, am besten heute noch damit anzufangen. Wir haben uns intensiv mit dem Tooling beschäftigt und zeigen euch gern den passenden Weg für euer Unternehmen, vom Assessment bis zur Umsetzung.