Gartner hat endlich ausgesprochen, was wir über KI-Governance denken
Ich lese Gartner-Berichte schon länger, als mir lieb ist. Die meisten bestätigen, was Praktiker ohnehin vermuten. Manche stellen Annahmen infrage. Und gelegentlich erscheint ein Bericht, der einen innehalten lässt: Endlich spricht es jemand offen aus.
Der Bericht vom Dezember 2025 von Avivah Litan, Max Goss und Lauren Kornutick, „Enterprises Should Augment Microsoft Purview and Agent 365 With Independent AI TRiSM Controls“, ist genau so ein Bericht.
Schon der Titel ist bemerkenswert. Gartner sagt nicht, dass Microsofts neue Funktionen zur KI-Daten-Governance schlecht sind. Sie sagen, sie reichen nicht aus. Und sie begründen das sehr direkt.
Das Lock-in-Problem, über das niemand sprechen will
Das Besondere an Microsofts Ansatz zur KI-Governance: Er funktioniert hervorragend, solange man sich vollständig im Microsoft-Ökosystem bewegt. Entra Agent ID, die neuen Purview-KI-Agents, das Security Dashboard – das sind echte Fortschritte. Das meine ich ernst.
Aber Gartner weist auf etwas hin, das eigentlich offensichtlich sein sollte, es aber offenbar nicht ist: Die tiefgreifenden Prüfprotokoll- und Schutzfunktionen erfordern, dass Agents in Entra ID registriert sind. Sind sie es nicht? Dann gibt es bestenfalls grundlegende Transparenz. Und die Registrierung ist freiwillig. Ohne geeignete Zugriffskontrollen tappt man im Dunkeln.
Denken Sie einen Moment darüber nach. Ihre Strategie zum Schutz von KI-Daten hängt davon ab, dass sich KI-Agents freiwillig registrieren.
Der Bericht stellt zudem fest, dass mindestens 50 % der Unternehmen für viele Mitarbeitende E3-Lizenzen nutzen, während die erweiterten Purview-Kontrollen historisch ein E5-Abo voraussetzen. Selbst im Microsoft-Ökosystem gibt es also eine Governance-Lücke je nach Lizenzstufe. Das wirkt … problematisch.
Eigentlich muss ich das korrigieren. Es ist nicht nur problematisch, sondern schafft eine Zwei-Klassen-Sicherheitsstruktur innerhalb desselben Unternehmens. Einige Anwender erhalten KI-Governance, andere nicht. Die Einhaltung gesetzlicher Vorgaben wird unter diesen Bedingungen nahezu unmöglich. Das ist kein tragfähiges Modell.
„Herstellerschutz endet an der eigenen Grenze“
Das ist vermutlich der wichtigste Satz des gesamten Berichts. Gartner sagt klar: Kein Cloud-Anbieter kann zur Laufzeit Kontrolle über KI-Agents ausüben, sobald diese in einer anderen Umgebung laufen. Microsoft kann nicht steuern, was in AWS passiert. AWS kann nicht steuern, was in Azure passiert. Und On-Premises gibt es nur Governance, wenn man selbst etwas installiert.
Ich sage das seit Jahren in Bezug auf Data Governance und Datensouveränität – es ist gut zu sehen, dass Gartner diese Logik jetzt auch auf KI-Agents anwendet. Gleichzeitig ist es beunruhigend, wie wenige Unternehmen diese Zusammenhänge erkennen.
Wenn sensible Daten den Microsoft-Tenant verlassen – und das werden sie, weil Unternehmen so arbeiten –, greifen die Purview-Kontrollen nicht mehr. Ihre MIP-Sensitivitätslabels? Das sind Metadaten. Anweisungen. Aber ohne eine Instanz, die diese Anweisungen am Zielort durchsetzt, ohne echtes DRM, bleiben es … Labels.
Das Guardian-Agent-Konzept
Gartner führt das Konzept „unabhängiger Guardian Agents“ ein, die KI-Agents plattform- und cloudübergreifend überwachen. Im Bericht gibt es sogar ein Diagramm, das Guardian Agents oberhalb der plattformspezifischen Agent-Frameworks zeigt – als Kontrollinstanz für das gesamte Unternehmen.
Bemerkenswert an dieser Darstellung ist, wie sehr sie unserem Private Data Network-Konzept ähnelt. Nicht, weil wir ursprünglich speziell an KI-Agents gedacht hätten, sondern weil das zugrundeliegende Problem dasselbe ist: Wie steuert man sensible Daten, wenn sie Systeme durchlaufen, die man nicht kontrolliert?
Unsere Antwort: Eine unabhängige Durchsetzungsebene schaffen. Nicht auf die Quellplattform zur Governance vertrauen. Nicht auf die Zielplattform. Governance in die Mitte legen, um Richtlinien konsistent durchzusetzen – unabhängig von Quelle oder Ziel. Dieser zero trust-Ansatz sorgt dafür, dass der Schutz mit den Daten reist.
Jetzt, wo ich darüber nachdenke: Genau das beschreibt Gartner für KI-Governance – nur mit anderer Wortwahl.
Worauf es bei der Governance von KI-Agents wirklich ankommt
Was brauchen Unternehmen wirklich? Basierend auf dem Bericht und auf Gesprächen mit CISOs im letzten Jahr sehe ich folgende Schwerpunkte – sie spiegeln sich auch in der CISO-Dashboard-Transparenz wider, die wir bieten.
Erstens: Authentifizierung und Identität müssen plattformübergreifend funktionieren. Wir haben unseren MCP Server mit OAuth 2.0 entwickelt, weil KI-Agents beim Zugriff auf Unternehmensdaten eine korrekte IAM-Prüfung und MFA benötigen. Jedes. Einzelne. Mal. Und diese Zugangsdaten dürfen niemals – ich betone: niemals – im LLM-Kontext landen. Prompt-Injection-Angriffe sind real und werden immer raffinierter.
Zweitens: Richtliniendurchsetzung muss zur Laufzeit erfolgen, nicht nur bei der Konfiguration. Es reicht nicht, eine Policy zu setzen und zu hoffen, dass sie hält. Jeder Datenzugriff muss in Echtzeit geprüft werden: Wer ist der Anwender, wo befindet er sich, wie sensibel sind die Daten, welche Aktion wird versucht? Das ist ABAC (Attribut-basierte Zugriffskontrolle) und muss in Echtzeit passieren. RBAC allein reicht für diese Granularität nicht aus.
Drittens – und hier werde ich leidenschaftlich – braucht es Audit-Logs, die wirklich alles erfassen. Ein vollständiger Audit-Trail ist unverzichtbar. Der Bericht erwähnt, dass Microsoft 365 Log-Einträge bis zu 72 Stunden verzögern und bei hoher Aktivität drosseln kann. Genau dann braucht man aber vollständige Logs. Angriffe erzeugen Aktivitätsspitzen. Wenn Logging in diesen Phasen gedrosselt wird, fehlt die Sichtbarkeit im entscheidenden Moment.
Die Realität der Insider-Bedrohung
Gartner widmet dem Thema Insider-Bedrohungen viel Raum. Sie stellen fest, dass versierte Insider weiterhin Daten über betrügerische KI-Agents exfiltrieren können – etwa indem sie den GSA-Client pausieren, nicht verwaltete Geräte nutzen oder nicht registrierte Agents einsetzen. Deshalb ist eine starke Incident-Response-Fähigkeit so wichtig.
Das deckt sich mit dem, was wir von Kunden hören. Die externe Bedrohung steht meist im Fokus, aber das Insider-Risiko – ob böswillig oder versehentlich – ist eine erhebliche und oft unterschätzte Gefahr. Effektive DLP-Strategien müssen beides berücksichtigen. KI-Agents schaffen neue Angriffsvektoren. Ein Insider, der zögert, sich selbst ein sensibles Dokument zu mailen, bittet vielleicht bedenkenlos eine KI-Assistenz, dieses Dokument zu „analysieren“ und die Einblicke zu exportieren.
Unser Ansatz: Wir gehen vom Worst-Case aus und entwickeln entsprechend. SafeVIEW ermöglicht es Anwendern, Daten einzusehen, ohne sie zu besitzen – die Datei wird nicht heruntergeladen, sondern als wasserzeichengeschützter Bildstream angezeigt. SafeEDIT funktioniert ähnlich beim Bearbeiten: Das Dokument bleibt auf unseren Servern, der Anwender bearbeitet es über einen gestreamten virtuellen Desktop. Dieses besitzlose Bearbeiten sorgt dafür, dass sensible Daten auch bei Kompromittierung nicht die geschützte Umgebung verlassen.
Ist das unbequem? Ja. Aber es ist angemessene Sicherheit für sensible Daten. Die richtige Datenklassifizierung in Kombination mit der Data Policy Engine entscheidet dynamisch, wann diese Schutzmaßnahmen greifen – abhängig von Daten, Anwender und Kontext.
Warum wir nicht Microsoft sind
Mir ist wichtig: Ich bin nicht gegen Microsoft. Wir integrieren Microsoft umfassend. Unsere Kunden nutzen SharePoint, OneDrive und Outlook über unser Microsoft Office 365-Plugin. Wir übernehmen MIP-Sensitivitätslabels und setzen Richtlinien darauf aufbauend durch.
Aber Gartner hat recht: Wer sich ausschließlich auf Microsoft verlässt, geht Risiken im Security Risk Management ein. Nicht, weil Microsoft etwas falsch macht, sondern weil kein einzelner Anbieter alles steuern kann. Der Bericht bringt es auf den Punkt: „Nur eine neutrale, vertrauenswürdige Guardian-Agent-Schicht kann universelle Registrierung und Routing durchsetzen, um die Lücke zu schließen, die kein einzelner Anbieter allein lösen kann.“
Genau das wollen wir sein. Kein Ersatz für Microsofts Governance-Funktionen, sondern eine Ergänzung. Eine Ebene, die diese Fähigkeiten über die Tenant-Grenzen hinaus erweitert – in die externe Zusammenarbeit via Kiteworks secure file sharing, in Drittanbieter-KI-Systeme über unser AI Data Gateway, in die komplexe Realität, wie Unternehmen tatsächlich arbeiten.
Was für mich noch offen bleibt
Ich habe hier nicht auf alles eine Antwort. Die Governance von KI-Risiken entwickelt sich rasant – schneller, als wir alle Schritt halten können. Microsofts Preview-Funktionen werden irgendwann GA erreichen. Andere Plattformen entwickeln eigene Ansätze. Das Model Context Protocol, das unser MCP Server implementiert, stammt von Anthropic – wir setzen darauf, dass es Standard wird, aber vielleicht liege ich damit falsch.
Worauf ich vertraue, ist das Architekturprinzip: Unabhängige Governance-Schichten, die nicht von einem einzelnen Anbieter abhängen. Ein echter zero trust-Architekturansatz ist in jedem Fall sinnvoll, unabhängig davon, wie sich die Technologien im Detail entwickeln.
Und ich bin überzeugt: Unternehmen, die KI-Governance und Daten-Compliance jetzt ernst nehmen – bevor ein Vorfall sie dazu zwingt –, sind deutlich besser aufgestellt als jene, die auf eine Lösung durch die Anbieter warten.
Das Analystengespräch
Falls Sie Zugang zu diesen Gartner-Analysten haben, empfehle ich Ihnen, das Thema mit ihnen zu diskutieren. Besonders Avivah Litan beschäftigt sich seit Langem mit KI-Risiken und TPRM, und das TRiSM-Framework ist substanziell. Wir planen, alle drei Analysten zu unseren Ansätzen zu informieren – ich bin sicher, diese Gespräche werden unsere Roadmap beeinflussen, auf eine Weise, die ich heute noch nicht absehen kann.
So sollte es laufen, finde ich. Anbieter, die nur mit Analysten sprechen, wenn sie Berichterstattung wollen, verkennen das Wesentliche. Der eigentliche Mehrwert liegt im Dialog.
Und wenn Sie mehr darüber erfahren möchten, wie Kiteworks diese Herausforderungen adressiert, kontaktieren Sie uns oder vereinbaren Sie noch heute eine individuelle Demo.