Defender for Endpoint: Prompt Injection in lokalen KI-Agenten erkennen und blockieren

In Entwicklung und Administration kommen KI-Agenten zum Einsatz, die selbst handeln: Sie lesen Dateien, ändern Code und führen Befehle aus. Das spart Zeit, verschiebt aber ein Risiko auf das Endgerät, das klassische Schutzmechanismen bisher nicht abdecken. Defender for Endpoint hat dafür eine eigene Schutzfunktion.

Was ist Prompt Injection, einfach erklärt?

Ein KI-Agent unterscheidet nicht zuverlässig zwischen Ihrer Anweisung und Text, den er unterwegs liest. Prompt Injection nutzt das aus: Jemand versteckt eine Anweisung in einer Datei, einer Webseite, einer Mail oder der Dokumentation eines Softwareprojekts. Liest ein Coding-Agent wie Claude Code oder GitHub Copilot CLI diesen Inhalt, kann er die versteckte Anweisung befolgen, als käme sie von Ihnen.

Ein typisches Muster: Ein Agent ruft eine Dokumentationsseite ab, in der unsichtbarer Text ihn auffordert, lokale Konfigurationsdateien mit Zugangsdaten an eine externe Adresse zu senden. Der Agent hält das für einen Teil der Aufgabe.

Warum ist das für die Geschäftsführung relevant?

Lokale Agenten laufen mit den Rechten der angemeldeten Person. Auf dem Laptop einer Administratorin oder eines Entwicklers sind das oft weitreichende Rechte: Zugriff auf Quellcode, Zugangsdaten für Cloud-Umgebungen, Verbindungen zu produktiven Systemen. Eine einzige eingeschleuste Anweisung kann dann dazu führen, dass Daten abfließen, Code verändert oder schädliche Befehle ausgeführt werden.

Für Sie heißt das: Wer KI-Agenten erlaubt, braucht eine Regel, welche Agenten wo arbeiten dürfen, und eine technische Kontrolle, die Missbrauch erkennt. Ohne beides ist im Ernstfall schwer nachzuweisen, dass angemessene Maßnahmen getroffen wurden.

Was macht der Laufzeitschutz in Defender for Endpoint?

Defender prüft die Stellen im Arbeitsablauf des Agenten, an denen Inhalte in die Verarbeitung hineinkommen oder sie verlassen. Dafür gibt es zwei Verfahren:

• Prüfung über Agenten-Schnittstellen (agent-native event inspection): Agenten wie Claude Code und GitHub Copilot CLI stellen vom Hersteller unterstützte Ereignisschnittstellen bereit. Defender nutzt sie, um Eingaben und geplante Aktionen kurz vor der Ausführung zu prüfen und bei Bedarf zu stoppen.
• Netzwerkprüfung (network inspection): Für Agenten ohne solche Schnittstellen prüft Defender den Datenverkehr zwischen Agent und Sprachmodell. Agenten mit Zertifikats-Pinning oder HTTP/3 werden dabei nicht unterstützt.

Welche Agenten mit welchem Verfahren abgedeckt sind, steht in der Supportmatrix zum Laufzeitschutz. Die Liste ändert sich in der Vorschauphase, prüfen Sie sie vor jeder Planung.

Bei einem Fund erzeugt Defender die Warnung Suspicious AI prompt injection und ordnet sie Vorfällen zu. Im Blockiermodus wird die Aktion verhindert, die Person sieht eine Meldung im Agenten und eine Windows-Benachrichtigung. Im Audit-Modus läuft die Aktion weiter, die Warnung wird als informativ eingestuft. Die Einstellung ist durch den Manipulationsschutz von Defender gesichert.

Welche Voraussetzungen gelten?

Stand Oktober 2026 gilt:

• Lizenz: Microsoft Defender for Endpoint Plan 2, Microsoft 365 E5, Microsoft Agent 365 oder Microsoft 365 E7.
• Gerät: in Defender for Endpoint eingebunden, unterstützte Windows-Version, Microsoft Defender Antivirus im aktiven Modus mit Echtzeitschutz und aktuellen Plattform-, Engine- und Signatur-Updates. Die Signaturversion muss mindestens 1.451.224.0 sein.
• Vorschau: Testgeräte sollen Plattform- und Engine-Updates während der öffentlichen Vorschau aus dem Beta-Kanal beziehen.
• Verwaltung: für die Verteilung per Intune eine Rolle mit Rechten für Gerätekonfigurationen, für die Auswertung eine Rolle wie Security Reader.

Ist auf den Geräten ein anderes Antivirenprodukt aktiv und Defender nur im passiven Modus, greift die Funktion nicht.

Wie führe ich den Schutz ohne Störung ein?

Bewährt haben sich vier Schritte:

1. Testen: Laufzeitschutz im Audit-Modus auf wenigen Geräten aktivieren, auf denen unterstützte Agenten tatsächlich genutzt werden.
2. Auswerten: Warnungen ein bis zwei Wochen im Microsoft-Defender-Portal beobachten, Fehlalarme als False Positive klassifizieren.
3. Verteilen: den Audit-Modus auf weitere Gerätegruppen ausrollen.
4. Durchsetzen: nach bestätigter Treffsicherheit in den Blockiermodus wechseln.

In Intune erfolgt die Verteilung über Endpoint security > Antivirus > Create policy, Plattform Windows, Profil Microsoft Defender AI agent runtime protection. Dort setzen Sie Ai Agent Protection auf Audit oder Block. Das Profil steuert die Prüfung über Agenten-Schnittstellen; die Netzwerkprüfung wird über ein PowerShell-Plattformskript verteilt. Kontrollieren Sie anschließend im Defender-Portal auf der Geräteseite unter Configuration management > Effective settings, ob der Wert angekommen ist. Offene Terminal-Sitzungen müssen danach neu gestartet werden.

Für einen ungefährlichen Funktionstest gibt es eine Demonstration mit einer harmlosen Testeingabe. Nutzen Sie sie nur auf Geräten, für die Sie die Freigabe haben.

Was deckt die Funktion nicht ab?

• Agenten in der Cloud: Der Laufzeitschutz gilt für lokale Agenten auf Endgeräten. Agenten, die in Cloud-Diensten laufen, sind nicht Gegenstand dieser Funktion.
• Browserbasierte KI-Werkzeuge: Sie sind in der Supportmatrix für den Laufzeitschutz nicht aufgeführt.
• Andere Betriebssysteme: Für den Laufzeitschutz ist derzeit nur Windows aufgeführt. Für macOS gibt es bislang nur die Erkennung lokaler Agenten (ebenfalls Vorschau), keinen Laufzeitschutz.
• Nicht gelistete Agenten: Was nicht in der Supportmatrix steht, gilt als nicht unterstützt.

Was gehört außerdem in eine Richtlinie für KI-Agenten?

Der Laufzeitschutz ist eine Kontrolle, keine Richtlinie. Ergänzend sollten Sie festlegen:

• Zugelassene Agenten: welche Agenten erlaubt sind und in welcher Version. Die Erkennung lokaler Agenten in Defender for Endpoint zeigt, was tatsächlich im Einsatz ist.
• Arbeitsbereiche: in welchen Repositories und Umgebungen Agenten arbeiten dürfen, und wo nicht, etwa mit Zugriff auf Produktivsysteme.
• Umgang mit Geheimnissen: keine Zugangsdaten in lokalen Dateien, die ein Agent lesen kann; stattdessen Secret-Manager wie Azure Key Vault.
• Freigaben: riskante Aktionen wie Befehle mit Systemrechten nur nach Bestätigung durch die Person am Gerät.
• Zuständigkeit: wer Warnungen aus dem Laufzeitschutz bewertet und in welcher Zeit.

Der nächste Schritt

Sie tragen die Verantwortung für den Einsatz von KI im Unternehmen. Wir liefern die technischen Kontrollen und die Nachweise. Im Rahmen von Endpoint Security richten wir den Laufzeitschutz über Intune ein und begleiten die Auswertung im Audit-Modus. Mit der AI Foundation schaffen wir den organisatorischen Rahmen: zugelassene Agenten, Richtlinien und Dokumentation.

Erstgespräch vereinbaren

Häufig gestellte Fragen

Ist der Laufzeitschutz für KI-Agenten schon für den Produktivbetrieb freigegeben?

Nein. Die Funktion ist eine Vorschau, Stand Oktober 2026. Funktionen und Unterstützung können sich bis zur allgemeinen Verfügbarkeit ändern. Ein Einsatz im Audit-Modus auf Testgeräten ist sinnvoll, um Erfahrungen zu sammeln, bevor die Funktion breit ausgerollt wird.

Bremst der Schutz die Arbeit mit dem Agenten aus?

Es handelt sich um kurze Prüfungen an definierten Stellen, keine dauerhafte Überwachung des Agentenprozesses, sodass die zusätzliche Verzögerung gering ist. Im Audit-Modus wird nichts blockiert. So lässt sich die Wirkung im Alltag prüfen, bevor Sie in den Blockiermodus wechseln.

Reicht Microsoft Defender for Business für diese Funktion?

Vorausgesetzt werden Defender for Endpoint Plan 2, Microsoft 365 E5, Microsoft Agent 365 oder Microsoft 365 E7. Defender for Business ist nicht aufgeführt. Prüfen Sie die Voraussetzungen vor einer Lizenzentscheidung erneut, sie können sich in der Vorschau ändern.

Ersetzt der Laufzeitschutz eine Richtlinie für KI-Agenten?

Nein. Er erkennt und blockiert eingeschleuste Anweisungen auf unterstützten Geräten. Welche Agenten erlaubt sind, auf welche Daten sie zugreifen und wie Zugangsdaten geschützt werden, muss das Unternehmen selbst festlegen und dokumentieren.