Defender for Office 365: Neuer Schutz vor Prompt Injection per E-Mail für Copilot und KI-Agenten

• Microsoft Defender for Office 365 erkennt jetzt E-Mails mit versteckten Anweisungen an KI-Assistenten und verschiebt sie als High Confidence Phish automatisch in die Quarantäne.
• Der Schutz greift, bevor Microsoft 365 Copilot oder ein KI-Agent die E-Mail lesen, zusammenfassen oder weiterverarbeiten kann.
• Voraussetzung ist Defender for Office 365 Plan 2, enthalten zum Beispiel in Microsoft 365 E5 und Office 365 E5, der Schutz ist dort ohne Konfiguration aktiv.
• Microsoft 365 Business Premium enthält nur Defender for Office 365 Plan 1 und damit diesen Schutz nicht.
• Auch freigegebene Postfächer, die externe E-Mails empfangen und auf die Copilot zugreifen kann, gehören zur Angriffsfläche und sollten bei der Lizenzierung berücksichtigt werden.

Microsoft hat Defender for Office 365 um einen neuen Schutz erweitert: E-Mails, die versteckte Anweisungen an KI-Assistenten und KI-Agenten enthalten, werden erkannt und automatisch in die Quarantäne verschoben. Die Funktion heißt Prompt Injection Protection. Microsoft hat sie im Sommer 2026 als Vorschau gestartet, der Rollout an alle berechtigten Tenants läuft laut Microsoft bis Oktober 2026.

Der Hintergrund ist einfach: Je mehr Unternehmen Microsoft 365 Copilot und KI-Agenten einsetzen, desto interessanter wird das Postfach als Einfallstor. Eine E-Mail muss heute nicht mehr nur einen Menschen täuschen. Es reicht, wenn sie die KI täuscht, die diese E-Mail für den Menschen liest.

Bei einer Prompt Injection schleust ein Angreifer Anweisungen in Inhalte ein, die eine KI verarbeitet. Kommen diese Anweisungen nicht vom Nutzer selbst, sondern aus einer E-Mail, einem Dokument oder einer Webseite, spricht man von einer indirekten Prompt Injection (Indirect Prompt Injection).

Ein typisches Beispiel: Eine scheinbar harmlose E-Mail enthält im Textkörper oder in einem Anhang weißen Text auf weißem Grund. Ein Mensch sieht ihn nicht. Microsoft Search indexiert ihn aber, und Copilot findet ihn, wenn ein Mitarbeiter später fragt: „Fasse meine E-Mails von heute zusammen.“ Steht im versteckten Text etwa die Aufforderung, nach Zugangsdaten zu suchen oder einen bestimmten Link als vertrauenswürdig zu empfehlen, wird aus einer gewöhnlichen Nachricht ein Werkzeug gegen das eigene Unternehmen.

Prompt Injection verhindern lässt sich deshalb nicht allein in der KI. Microsoft baut zwar Schutzmechanismen direkt in Copilot ein. Der neue Schutz in Defender for Office 365 setzt aber eine Stufe früher an: bevor die E-Mail überhaupt im Postfach landet.

Der Prompt-Injection-Schutz ist in die bestehende Prüfung des E-Mail-Flusses eingebaut, also dort, wo Defender for Office 365 bereits auf Phishing, Spam, Schadsoftware und Business Email Compromise prüft. Für Administratoren bedeutet das:

• Keine Konfiguration nötig: Für berechtigte Tenants ist der Schutz standardmäßig aktiv. Eine neue Richtlinie müssen Sie nicht anlegen.
• Einstufung als High Confidence Phish: Erkannte E-Mails werden wie hochwahrscheinliches Phishing behandelt und automatisch in die Quarantäne verschoben.
• Eigene Kennzeichnung: Im Microsoft Defender Portal tragen diese E-Mails im Feld Detection Technology den Wert Prompt Injection Protection. Darüber filtern Sie in Quarantäne und Threat Explorer gezielt nach solchen Angriffen.
• Fehlalarme melden: Wird eine legitime E-Mail blockiert, melden Sie sie über den normalen Einreichungsprozess in Microsoft Defender.

Informieren Sie Ihr Security-Team und Ihren Helpdesk über die neue Kategorie. Sonst wundert sich jemand über eine Quarantänemeldung, die er so noch nie gesehen hat.

Hier liegt der wichtigste Punkt für viele mittelständische Unternehmen: Microsoft nennt Defender for Office 365 Plan 2 und Microsoft 365 E5 als Voraussetzung. Plan 2 ist zum Beispiel auch in Office 365 E5 enthalten.

Microsoft 365 Business Premium enthält dagegen nur Defender for Office 365 Plan 1. Unternehmen mit Business Premium, die gleichzeitig Copilot einführen, bekommen diesen Schutz also nicht automatisch. Ob sich dafür eine Zusatzlizenz lohnt, hängt davon ab, wie stark Copilot und KI-Agenten bei Ihnen schon mit E-Mails arbeiten.

Ein Punkt wird in der Diskussion oft übersehen: Microsoft 365 Copilot kann auch Elemente in freigegebenen Postfächern lesen, auf die ein Mitarbeiter Zugriff hat. Postfächer wie info@, vertrieb@ oder rechnung@ empfangen besonders viele externe E-Mails. Genau dort landen also auch die meisten präparierten Nachrichten.

Freigegebene Postfächer, die externe E-Mails empfangen, sollten deshalb in die Lizenzplanung für Defender for Office 365 Plan 2 einbezogen werden. Wer das nicht tut, schützt zwar die persönlichen Postfächer, lässt aber eine der größten Angriffsflächen offen.

Der Schutz in Defender for Office 365 ist nicht die einzige Maßnahme. Microsoft bietet in Microsoft Purview außerdem eine DLP-Funktion, die verhindern kann, dass Copilot externe E-Mails für seine Antworten nutzt. Beide Ansätze greifen an unterschiedlichen Stellen:

• Defender for Office 365 stoppt die präparierte E-Mail, bevor sie das Postfach erreicht.
• Die DLP-Regel begrenzt, welche Inhalte Copilot überhaupt verwenden darf, und wirkt auch ohne Plan 2.

Für die Praxis empfehlen wir drei Schritte:

1. Prüfen Sie, welche Postfächer, einschließlich der freigegebenen Postfächer, mit Defender for Office 365 Plan 2 lizenziert sind.
2. Legen Sie im Defender Portal eine gespeicherte Abfrage mit dem Filter Prompt Injection Protection an und sehen Sie sich die Treffer regelmäßig an.
3. Bevor Sie Microsoft 365 Copilot einführen, legen Sie fest, ob Copilot externe E-Mails nutzen darf.

Die InSys AG^® ist Microsoft Solutions Partner für Security und für KI-Geschäftslösungen sowie Microsoft Direct CSP, Kunden lizenzieren über die InSys AG^® mehr als 80.000 Microsoft 365 Lizenzen. Wir richten Microsoft Defender XDR und Defender for Office 365 ein und prüfen im Microsoft Tenant Sicherheitscheck, ob Ihre Lizenzen und Richtlinien zu Ihrem Einsatz von KI passen. Einen Überblick über alle Leistungen finden Sie auf der Seite Microsoft 365 Partner für Security und Lizenzen.