Schatten KI erkennen: Microsoft Defender findet jetzt lokale KI-Agenten und ihre MCP-Server

• Microsoft Defender for Endpoint erkennt laut Microsoft mehr als 50 lokale KI-Agenten auf Windows und macOS, darunter die Werkzeuge für Claude von Anthropic, ChatGPT Desktop, Cursor und GitHub Copilot, und listet die dafür eingerichteten MCP-Server auf.
• Die Erkennung ist allgemein verfügbar und startet ohne zusätzliche Konfiguration, wenn die Geräte in Defender for Endpoint eingebunden sind und Microsoft Defender Antivirus im aktiven Modus mit Echtzeitschutz läuft.
• Voraussetzung ist Microsoft Defender for Endpoint Plan 2, enthalten zum Beispiel in Microsoft 365 E5; Risikobewertung und Empfehlungen gibt es nur mit Microsoft 365 E7 oder Microsoft Agent 365.
• Das Inventar zeigt auch, ob ein Agent Aktionen ohne Rückfrage ausführt, und macht Schatten KI damit zu einem messbaren Risiko statt zu einer Vermutung.
• Ergänzend bietet Microsoft einen Laufzeitschutz gegen Prompt Injection für lokale Agenten unter Windows an, der sich derzeit in der Vorschau befindet.

Schatten KI ist die KI, von der die IT nichts weiß: Mitarbeitende installieren einen Coding-Assistenten, eine Desktop-App für ChatGPT oder Claude von Anthropic oder ein lokales Sprachmodell und verbinden es mit Dateien, Repositories oder Firmensystemen. Solche lokalen KI-Agenten laufen laut Microsoft mit den Rechten des Benutzers und können auf Dateien, Werkzeuge und Dienste des Geräts zugreifen. Ohne Überblick lässt sich weder das Risiko bewerten noch im Ernstfall reagieren.

Genau hier setzt eine neue Funktion in Microsoft Defender for Endpoint an. Microsoft hat sie im Oktober 2026 allgemein verfügbar gemacht und Anfang November in der Übersicht der Neuerungen für Microsoft Security vorgestellt: Defender erkennt lokale KI-Agenten auf Windows und macOS und zeigt zusätzlich, welche MCP-Server für diese Agenten eingerichtet sind.

Laut Microsoft erkennt Defender mehr als 50 lokale KI-Agenten. Die Liste in der Microsoft-Dokumentation umfasst unter anderem:

• Assistenten für Entwickler: Claude Code für Claude von Anthropic, GitHub Copilot CLI, Codex CLI, Gemini CLI, Cursor, Windsurf und Kiro.
• Desktop-Apps: die Desktop-App für Claude von Anthropic, ChatGPT Desktop, Perplexity Desktop und Microsoft Scout.
• Lokale Sprachmodelle: Ollama Desktop, LM Studio und Foundry Local.
• Erweiterungen für VS Code: etwa für Claude Code, GitHub Copilot, Codex, Gemini Code Assist, Cline und Roo Code.

Für viele dieser Agenten ermittelt Defender auch die konfigurierten MCP-Server. MCP steht für Model Context Protocol, den offenen Standard, über den KI-Agenten auf Software und Daten zugreifen. Defender unterscheidet dabei entfernte MCP-Server mit ihrer Adresse und lokale MCP-Server mit dem Befehl, der sie startet. Damit sehen Sie nicht nur, dass ein Agent installiert ist, sondern auch, mit welchen Systemen er verbunden ist. Wie solche Verbindungen sicher aufgebaut werden, beschreiben wir auf unserer Seite zu MCP Servern für Unternehmen.

Wichtig für die Einordnung: Laut Microsoft kann schon ein laufender Prozess für einen Eintrag im Inventar reichen. Ein Eintrag beweist also nicht, dass jemand den Agenten tatsächlich genutzt oder sich bei einem KI-Dienst angemeldet hat.

Die erkannten Agenten finden Sie im Microsoft Defender-Portal unter Assets > AI agents auf der Registerkarte Local agents. Für jeden Agenten sehen Sie unter anderem:

• Name, Hersteller und Version des Agenten.
• Gerät und Benutzerkonto, unter dem er läuft.
• Anzahl der entfernten und lokalen MCP-Server.
• Ob der Agent Aktionen ohne Rückfrage beim Benutzer ausführt.
• Ob der Prozess, in dem der Agent läuft, als vertrauenswürdig gilt.

Gerade der Punkt „ohne Rückfrage“ ist aus unserer Sicht entscheidend. Ein Agent, der Werkzeuge selbstständig aufruft, kann mit den Rechten des Benutzers handeln, ohne dass ein Mensch jeden Schritt bestätigt. Über die erweiterte Suche (Advanced Hunting) lassen sich solche Agenten gezielt herausfiltern, zum Beispiel auf Geräten, die in Ihrer Umgebung als kritisch eingestuft sind.

Microsoft nennt diese Voraussetzungen:

• Lizenz: Microsoft Defender for Endpoint Plan 2. Er ist laut Microsoft in Microsoft 365 E5 und Microsoft 365 E7 enthalten.
• Risikobewertung: Risikostufe, Risikoindikatoren und Sicherheitsempfehlungen zu den Agenten gibt es nur mit Microsoft 365 E7 oder mit Microsoft Agent 365 zusammen mit Defender for Endpoint Plan 2. Ohne diese Lizenzen sehen Sie das Inventar und alle Details, aber keine Bewertung.
• Geräte: Windows und macOS, eingebunden in Defender for Endpoint, mit Microsoft Defender Antivirus im aktiven Modus und eingeschaltetem Echtzeitschutz. Unter Windows ist mindestens die Antivirus-Plattformversion 4.18.26090.9 nötig, unter macOS mindestens Defender for Endpoint 101.26072.0017.
• Cloud: nur die kommerzielle Microsoft Cloud, nicht die nationalen Clouds.

Erfüllen die Geräte diese Voraussetzungen, startet die Erkennung laut Microsoft automatisch. Zusätzliche Skripte oder Richtlinien sind nicht nötig. Die Erkennung im Windows-Subsystem für Linux (WSL) befindet sich noch in der Vorschau.

Ob Ihre Geräte vollständig eingebunden sind und Defender im aktiven Modus läuft, ist in der Praxis oft die eigentliche Hürde. Wie wir Defender einführen, lesen Sie auf unserer Seite zu Microsoft Defender XDR.

Sichtbarkeit ist der erste Schritt. Zusätzlich bietet Microsoft für lokale Agenten unter Windows einen Laufzeitschutz an, der sich derzeit in der Vorschau befindet. Er prüft die Stellen, an denen Inhalte in den Agenten hinein- oder aus ihm herausfließen, und erkennt versteckte Anweisungen in Dateien, Webseiten oder Antworten von Werkzeugen. Microsoft beschreibt als Beispiel eine Dokumentationsseite mit verstecktem Text, der einen Coding-Agenten auffordert, eine lokale Datei mit Zugangsdaten an eine fremde Adresse zu senden.

Der Laufzeitschutz kennt einen Prüfmodus und einen Blockiermodus. Microsoft empfiehlt, mit dem Prüfmodus zu beginnen und erst nach einer Auswertung der Erkennungen auf Blockieren umzustellen. Die Einstellung lässt sich zentral über Microsoft Intune verteilen.

Aus unserer Sicht ist diese Reihenfolge sinnvoll:

1. Voraussetzungen prüfen: Lizenz, Onboarding aller Geräte, Antivirus im aktiven Modus, aktuelle Plattformversion.
2. Inventar auswerten: Welche Agenten laufen auf wie vielen Geräten, und welche MCP-Server sind verbunden?
3. Risiken priorisieren: zuerst Agenten, die ohne Rückfrage handeln oder auf kritischen Geräten und bei Administratoren laufen.
4. Regeln festlegen: Welche KI-Werkzeuge sind erlaubt, für wen und mit welchen Verbindungen? Erlaubte Werkzeuge offiziell bereitstellen, statt sie nur zu verbieten.
5. Laufzeitschutz testen: im Prüfmodus auf einer Pilotgruppe.

Weil das Inventar zeigt, welche Person welches Werkzeug verwendet, sollten Sie die Auswertung mit Ihrem Datenschutzbeauftragten und, wo vorhanden, mit dem Betriebsrat abstimmen. Die InSys AG^® unterstützt bei der technischen Umsetzung, nicht bei der rechtlichen Bewertung.

Als Microsoft Solutions Partner für Security richtet die InSys AG^® Defender for Endpoint ein, wertet das Inventar der lokalen KI-Agenten mit Ihnen aus und setzt Regeln über Intune und Conditional Access um. Mit unserer KI-Beratung für den Mittelstand helfen wir Ihnen, aus Schatten KI einen geregelten und produktiven Einsatz von KI zu machen. Einen Überblick über alle Sicherheitsleistungen finden Sie unter Microsoft 365 Security.

Sie möchten wissen, welche KI-Agenten in Ihrem Unternehmen schon laufen? Rufen Sie uns an unter +49 (521) 260105-0 oder nutzen Sie das Kontaktformular.