Copilot-Erweiterungen stellen Admins nach der Build 2024 vor neue Aufgaben

Auf der Build 2024 hat Microsoft eine ganze Reihe von Neuerungen für Copilot in Microsoft 365 vorgestellt, die meisten davon unter dem Begriff „Copilot-Erweiterungen“. In vielen Tenants, die ich mir anschaue, tastet man sich bislang eher vorsichtig an Copilot heran. Mit den angekündigten Plugins, Graph-Connectors und autonomen Agenten wird nun drängender, wie man als Admin den Überblick behält und die Risiken beherrschbar macht.

Hinter dem Begriff Copilot-Erweiterungen stecken mehrere technische Wege

„Copilot-Erweiterungen“ ist ein Sammelbegriff für verschiedene Ansätze, Copilot über seinen Standardumfang hinaus auszubauen. Da sind einerseits Plugins und Konnektoren, die sich mit dem Teams Toolkit oder Copilot Studio entwickeln lassen (Übersicht bei Microsoft). Andererseits gibt es Graph-Connectors, die strukturierte Daten aus Drittanwendungen in den Index holen. Vor wenigen Tagen hat Microsoft mit Team Copilot außerdem eine völlig neue Kategorie angekündigt: sogenannte „Agenten“, die künftig selbstständig Aufgaben erledigen sollen. Dadurch kommen viele Integrationen zusammen. Aus Kundenprojekten weiß ich, dass daraus schnell ein Wildwuchs an Apps wird, die jemand administrieren muss.

Plugins, Konnektoren und Graph-Connectors bilden die neuen Bausteine

Grob lassen sich die Copilot-Erweiterungen in drei Gruppen einteilen:

• Plugins: In der Regel Erweiterungen für bestimmte Aufgaben oder Datenzugriffe, klassisch über eine REST-API angebunden und mit dem Teams Toolkit oder Copilot Studio entwickelt.
• Konnektoren: Low-Code-Integrationen, die häufig in den Fachbereichen entstehen, ebenfalls über Copilot Studio.
• Graph-Connectors: Sie binden strukturierte Datenquellen wie Salesforce oder ServiceNow an, machen sie durchsuchbar und stellen sie Copilot zur Verfügung.

Wie diese Teile zusammenspielen, ist nicht immer offensichtlich. Bevor man Copilot-Erweiterungen im Tenant freigibt, sollte man deshalb genau klären, wie und wo Daten sichtbar werden. Ein Graph-Connector sorgt zum Beispiel schnell dafür, dass interne Anwendungsdaten sowohl in Copilot als auch in der Microsoft Search erscheinen. Damit holt man sich dieselben Berechtigungsprobleme ins Haus, die wir von anderen „intelligenten“ Suchfunktionen schon kennen. Ausführlicher habe ich das in diesem Beitrag beschrieben.

Über Bau und Veröffentlichung von Erweiterungen entscheidet die Governance

Als Admin will ich zuerst wissen, wer solche Erweiterungen überhaupt bereitstellen kann. Plugins und Konnektoren entstehen meist in eigenen Power-Platform-Umgebungen. Wie kontrolliert dort gearbeitet wird, hängt vor allem davon ab, welche Umgebung man wählt und welche DLP-Richtlinien dafür gelten. Immer wieder erlebe ich, dass Fachabteilungen und ambitionierte Power-User als „Citizen Developer“ in kurzer Zeit eigene Prototypen bauen. Die Risiken sind dieselben wie damals bei Power Apps: Schatten-IT, abfließende Daten und kaum Dokumentation. Ohne saubere Governance geht das nicht gut. Wie weit die Selbstbedienung tatsächlich reicht, wird die Preview von Team Copilot zeigen, die später in diesem Jahr startet.

Mein Tipp: Legt für Copilot Studio eigene Umgebungen mit strengen DLP-Policies an, damit produktive Erweiterungen nicht unkontrolliert verteilt werden. Führt außerdem ein zentrales Inventar, am besten automatisiert über die Admin-APIs der Power Platform.

Das Admin Center bündelt immer mehr Integrationen an einer Stelle

Die Zahl der Integrationen, die sich im Microsoft 365 Admin Center zentral verwalten lassen, nimmt stetig zu. Installierte Copilot-Erweiterungen und Graph-Connectors tauchen bereits heute im Bereich „Integrierte Apps“ auf und lassen sich dort teilweise sperren oder genehmigen. Gern übersehen wird dabei, dass viele dieser Erweiterungen sensible APIs ansprechen und weitreichende Berechtigungen bekommen, die im Zweifel auch die Compliance betreffen. Um den Datenfluss wirksam zu begrenzen, muss man die Verwaltung im Admin Center mit den DLP-Richtlinien der Power Platform verzahnen.

Dazu kommt ein zweiter Punkt. Wer einen Microsoft-Graph-Connector baut, muss ausdrücklich festlegen, welche Nutzer oder Gruppen auf die indexierten Daten zugreifen dürfen. Ist diese Berechtigung zu großzügig, merkt man das schnell, etwa wenn auf einmal Supporttickets oder CRM-Daten für jeden durchsuchbar sind. Ich ziehe deshalb regelmäßig einen Export der Graph-Connector-Konfiguration und halte in der Dokumentation fest, welche Datenquellen angebunden sind. Für eine einfache Übersicht der Connectors reicht schon ein kurzes PowerShell-Snippet:

Get-SearchConnector | Select-Object Name, ConnectorType, Status, CreatedBy

Eine Copilot-Erweiterung durchläuft mehrere Stationen bis zum Nutzer

Oft werde ich gefragt, auf welchem Weg eine neue Erweiterung eigentlich in Copilot ankommt. Das Diagramm unten zeigt den Ablauf von der Entwicklung über die Freigabe bis zur Nutzung und Verwaltung. Gerade Admins sollten diesen Weg kennen.

flowchart TD
  dev["Dev (Copilot Studio/Toolkit)"] --> powerplatform["Power Platform Umgebung"]
  powerplatform --> admincenter["M365 Admin Center"]
  admincenter --> user["Nutzer mit Copilot"]
  admincenter --> inventory["App-Inventar"]

Abbildung: Der Lebenszyklus einer Copilot-Erweiterung von der Entwicklung bis zur Nutzung und Inventarisierung.

Klare Freigabeprozesse verhindern den Wildwuchs bei Copilot-Erweiterungen

Nach den Ankündigungen der Build 2024 ist klar, dass Copilot-Erweiterungen viele neue Möglichkeiten eröffnen und zugleich neue Governance-Hausaufgaben mit sich bringen. Wer als Admin nicht frühzeitig verbindliche Entwicklungs- und Freigabeprozesse etabliert, hat bald einen kaum noch überschaubaren Wildwuchs im Tenant. Ich arbeite daher mit eigenen Power-Platform-Umgebungen, restriktiven DLP-Policies und regelmäßigen Reviews der Graph-Connector-Berechtigungen. Dass die Erweiterungen im Admin Center auftauchen, hilft, nimmt einem aber keine Grundsatzentscheidung ab. Sobald autonome Agenten wie Team Copilot breit ausgerollt werden, wird Governance endgültig zur Daueraufgabe. Wer die Weichen jetzt stellt, erlebt später weniger Überraschungen. Wer sich zunächst grundsätzlich mit Copilot beschäftigen möchte, findet weitere Hinweise in meinem Beitrag Copilot für Microsoft 365: Tenant vorbereiten und im offiziellen Build 2024 Book of News.