Microsoft Entra: Neue Agent-Blueprint-Berechtigung ab November 2026 – was Administratoren jetzt prüfen sollten
Microsoft kündigt eine neue Standardberechtigung in Entra ID an: Ab November 2026 sollen normale Benutzer sogenannte Agent Identity Blueprints registrieren können, sofern Administratoren diese Möglichkeit nicht einschränken. Für Unternehmen ist das ein guter Anlass, die Verwaltung von KI-Agentenidentitäten und die eigenen Sicherheitsrichtlinien zu überprüfen.
Kurz zusammengefasst: Eine bereits deaktivierte Registrierung klassischer Anwendungen schützt nicht automatisch vor der Erstellung von Agent Identity Blueprints. Prüfen Sie die separate Einstellung „Users can register agent identity blueprints“ vor dem Rollout ab 4. November 2026 und setzen Sie sie bei Bedarf auf „No“.
Inhalt: Was ändert sich? · Was sind Agent Identity Blueprints? · Risiken · Deaktivieren · FAQ
Was ändert Microsoft ab November 2026?
Mit der Message-Center-Mitteilung MC1506733 beschreibt Microsoft eine Änderung der Standardberechtigungen in Microsoft Entra ID. Der Rollout soll am 4. November 2026 beginnen und bis Ende November abgeschlossen werden. Nach der angekündigten Änderung dürfen normale Benutzer grundsätzlich Agent Identity Blueprints registrieren, sofern die Organisation dies nicht ausdrücklich unterbindet.
Die Berechtigung ist von der bekannten Einstellung „Users can register applications“ getrennt. Deshalb sollten Sie nicht allein darauf vertrauen, dass die App-Registrierung für Benutzer in Ihrem Tenant bereits gesperrt ist.
Unsere Empfehlung: Prüfen Sie die neue Einstellung vor dem Rollout und dokumentieren Sie, welche Personen in Ihrer Organisation KI-Agentenidentitäten anlegen dürfen.
Was sind Agent Identity Blueprints?
KI-Agenten können Informationen verarbeiten, Anwendungen ansprechen und automatisierte Aufgaben ausführen. Damit ein Agent gegenüber Microsoft-Diensten eindeutig identifiziert werden kann, benötigt er eine digitale Identität.
Ein Agent Identity Blueprint ist eine Identitätsvorlage innerhalb von Microsoft Entra Agent ID. Auf dieser Grundlage können Identitäten für KI-Agenten erstellt und verwaltet werden. Während ein Benutzerkonto einen Menschen repräsentiert und eine App-Registrierung eine Anwendung abbildet, ist der Blueprint für die Bereitstellung von Agentenidentitäten gedacht.
| Objekt | Repräsentiert |
|---|---|
| Benutzerkonto | einen Menschen |
| App-Registrierung | eine Anwendung |
| Agent Identity Blueprint | die Vorlage für Identitäten von KI-Agenten |
Damit wird die Verwaltung von Agenten zu einer neuen Aufgabe für die IT-Governance: Wer darf einen Blueprint anlegen? Wer trägt die Verantwortung? Welche Berechtigungen erhält ein Agent – und wann wird seine Identität wieder entfernt? Wenn Sie selbst Agenten bauen, etwa mit Copilot Studio, lohnt ein Blick in unsere Copilot-Schulung für Administratoren und Copilot Studio.
Warum ist die neue Berechtigung sicherheitsrelevant?
1. Mehr Identitäten erfordern mehr Überblick
Wenn Teams oder Abteilungen eigene Agentenidentitäten anlegen, kann schnell eine unübersichtliche Landschaft entstehen. Ohne zentrale Vorgaben ist möglicherweise nicht klar, welcher Agent welchem Zweck dient und wer für seine Konfiguration zuständig ist.
2. Verantwortlichkeiten müssen eindeutig sein
Bei der Erstellung von Blueprints entstehen Verwaltungs- und Besitzerzuständigkeiten. Unternehmen sollten deshalb festlegen, wer Agentenidentitäten betreut, Änderungen freigibt und die Berechtigungen regelmäßig überprüft – auch wenn Mitarbeitende ihre Rolle wechseln oder das Unternehmen verlassen.
3. Berechtigungen sind entscheidend
Die Registrierung eines Blueprints bedeutet nicht automatisch, dass ein Agent auf sämtliche Unternehmensdaten zugreifen kann. Maßgeblich sind die tatsächlich eingeräumten Berechtigungen und Zustimmungen. Deshalb gehören User Consent, Admin Consent und die Kontrolle von Anwendungsberechtigungen in jede Sicherheitsbetrachtung.
4. Vorhandene App-Sperren reichen nicht automatisch aus
Die neue Blueprint-Berechtigung wird separat gesteuert. Selbst wenn normale Benutzer keine klassischen Anwendungen registrieren dürfen, sollten Sie diese zusätzliche Option ausdrücklich prüfen.
Anleitung: Agent Identity Blueprints in Microsoft Entra deaktivieren
Wenn normale Benutzer in Ihrer Organisation keine eigenen Agent Identity Blueprints registrieren sollen, prüfen Sie folgende Einstellung:
- Öffnen Sie das Microsoft Entra Admin Center unter entra.microsoft.com.
- Navigieren Sie zu Entra ID → Benutzer → Benutzereinstellungen.
- Öffnen Sie den Bereich „Default user role permissions“ beziehungsweise „Standardberechtigungen für Benutzerrollen“.
- Suchen Sie nach „Users can register agent identity blueprints“; abhängig vom Rollout kann die Bezeichnung abweichen.
- Setzen Sie die Option auf „No“ („Nein“) und speichern Sie die Änderung.
- Kontrollieren Sie nach dem November-Rollout, ob die gewünschte Einstellung weiterhin aktiv ist.
Hinweis: Die genaue Darstellung kann sich während des Rollouts ändern. Verwenden Sie für die interne Dokumentation einen aktuellen Screenshot aus Ihrem Tenant.
Entra ID sicher administrieren lernen: Rollen, Consent-Einstellungen und Benutzerrichtlinien sind Kernthemen unserer Firmenschulung. Microsoft 365 Admin Schulung entdecken →
Was ist mit bereits vorhandenen Blueprints?
Eine Änderung der Standardberechtigung ist keine automatische Bereinigung bestehender Identitäten. Prüfen Sie deshalb zusätzlich, welche Blueprints und Agentenidentitäten bereits vorhanden sind, wer sie verwaltet und welche Zugriffe sie benötigen. Bestehende Objekte und Rollen sollten anhand der aktuellen Microsoft-Dokumentation gesondert bewertet werden. Wenn Sie dabei Unterstützung wünschen: Microsoft-365-Sicherheit prüfen lassen – mit PDF-Bericht und Maßnahmenplan.
Sollten Sie KI-Agenten grundsätzlich verbieten?
Nein. KI-Agenten können Prozesse sinnvoll automatisieren. Entscheidend ist, dass ihre Erstellung und Verwaltung kontrolliert erfolgen. Microsoft sieht dafür spezialisierte Rollen und Berechtigungsmodelle vor, etwa für die Entwicklung und Administration von Agentenidentitäten.
Statt allen Benutzern die Registrierung zu erlauben, empfiehlt sich eine gezielte Vergabe der notwendigen Rollen an verantwortliche Personen. Ergänzend können Freigabeprozesse, Dokumentationspflichten und regelmäßige Berechtigungsprüfungen sinnvoll sein.
Microsoft 365 Admin Schulung: Neue Funktionen sicher beherrschen
Die neue Agent-Blueprint-Einstellung zeigt, wie schnell sich Microsoft 365 verändert. Wer die Umgebung sicher administrieren möchte, sollte nicht nur Benutzerkonten und Lizenzen verwalten, sondern auch Rollen, Identitäten, Consent-Einstellungen und Sicherheitsrichtlinien verstehen.
In unserer Microsoft 365 Admin Schulung vermitteln wir Ihnen praxisnah die Grundlagen und Zusammenhänge moderner Microsoft-365-Administration – darunter Microsoft Entra ID, Benutzer- und Rollenverwaltung, Exchange Online, Teams, SharePoint und wichtige Sicherheitskonfigurationen.
▶ Microsoft 365 Admin Schulung entdecken
KI-Schulung für Unternehmen: Chancen sicher nutzen
Neben der technischen Absicherung ist der kompetente Umgang mit künstlicher Intelligenz wichtig. In unseren KI-Schulungen erfahren Sie, wie Sie Microsoft Copilot, ChatGPT und weitere KI-Werkzeuge produktiv und verantwortungsvoll einsetzen können – mit Blick auf Datenschutz, vertrauliche Informationen und konkrete Anwendungsszenarien.
Fazit: Prüfen Sie die neue Berechtigung rechtzeitig
Agent Identity Blueprints sind ein wichtiger Baustein für KI-Agenten in Microsoft Entra. Die angekündigte Standardberechtigung macht es umso wichtiger, dass Sie bewusst festlegen, wer solche Identitäten registrieren darf.
Prüfen Sie die Einstellung vor dem geplanten Rollout im November 2026, dokumentieren Sie Ihre Entscheidung und kontrollieren Sie bestehende Agentenidentitäten sowie die zugehörigen Berechtigungen. So schaffen Sie eine verlässliche Grundlage für einen sicheren und nachvollziehbaren KI-Einsatz. Passend dazu: Passkeys in Microsoft 365 und Entra ID.
Sie möchten Ihre Microsoft-365-Umgebung sicherer administrieren? Die Frank Miller GmbH unterstützt Sie mit praxisnahen Schulungen und technischer Beratung.
Häufig gestellte Fragen (FAQ)
Was ist ein Agent Identity Blueprint?
Eine Identitätsvorlage in Microsoft Entra Agent ID, auf deren Grundlage Identitäten für KI-Agenten erstellt und verwaltet werden können.
Dürfen ab November 2026 alle Benutzer KI-Agenten erstellen?
Die angekündigte Änderung betrifft die Standardberechtigung zur Registrierung von Agent Identity Blueprints. Sie bedeutet keinen pauschalen Zugriff auf KI-Dienste oder Unternehmensdaten.
Wo deaktiviere ich Agent Identity Blueprints?
Im Microsoft Entra Admin Center unter Entra ID → Benutzer → Benutzereinstellungen → Default user role permissions. Dort prüfen Sie „Users can register agent identity blueprints“ und wählen bei Bedarf „No“.
Reicht das Deaktivieren von App-Registrierungen aus?
Nein. Die Registrierung von Agent Identity Blueprints wird über eine separate Einstellung gesteuert.
Wer sollte Agentenidentitäten erstellen dürfen?
Idealerweise ausgewählte, verantwortliche Personen mit den dafür vorgesehenen Rollen und dokumentierten Freigabeprozessen.
Wann soll die Änderung kommen?
Microsoft hat den Beginn des Rollouts für den 4. November 2026 und den Abschluss für Ende November 2026 angekündigt.
Quellen und weiterführende Informationen
- Microsoft Learn – Create an agent identity blueprint
- Microsoft 365 Message Center – MC1506733 (Spiegel)
Redaktioneller Stand: 16. Oktober 2026.
