In vielen Microsoft-365-Tenants, die ich begleite, bleibt Prompt Injection in Copilot-Lösungen ein abstraktes Thema – bis der erste Fall aus dem Alltag auf dem Tisch liegt. Dann reicht ein harmlos wirkendes Word-Dokument von extern oder eine eingebettete Nachricht, und Copilot schlägt plötzlich verwirrende oder sogar gefährliche Aktionen vor. Das eigentliche Risiko ist die indirekte Prompt Injection. Dabei betten Angreifer Anweisungen so in Inhalte ein, dass Menschen sie nicht bemerken, KI-Agenten wie Copilot sie aber als eindeutige Instruktionen lesen. Mit bloßer Theorie hat das längst nichts mehr zu tun: EchoLeak (CVE-2025-32711) hat gezeigt, wie leicht es auch Umgebungen treffen kann, die als geschützt gelten (mehr dazu im Blog).

Prompt Injection nutzt aus, dass Copilot Daten und Befehle nicht trennt

Indirekte Prompt Injection funktioniert, weil Copilot und andere KI-Agenten Informationen aus Mails, Dokumenten oder Websites aufnehmen und mit ihren eigenen Anweisungen vermischen. Stecken darin Steuerbefehle, etwa in weißer Schrift, in Fußnoten, Kommentaren oder HTML-Metadaten, kann die KI sie nicht von legitimen Daten unterscheiden. Richtig kritisch wird es, sobald KI-Agenten nicht mehr bloß antworten, sondern auch handeln dürfen, also E-Mails verschicken, Dateien verschieben oder Systeme steuern. In Projekten erlebe ich regelmäßig, dass Teams sich auf Purview oder Defender verlassen und dabei die eigentlichen Einfallstore übersehen, nämlich breite Freigaben und unkontrollierte Agenten. Häufig höre ich auch den Satz: „Unsere Daten sind doch intern, da kann nichts passieren.“ Die Angriffe kommen aber immer öfter über externe Mails, geteilte Links oder Inhalte von Partnern.

Microsoft setzt auf XPIA-Classifiers und Prompt Shields

Bei Microsoft hat man erkannt, dass klassische Antiviren- oder DLP-Mechanismen gegen Prompt Injection in Copilot nicht ausreichen. In Microsoft 365 Copilot und Azure AI Content Safety arbeiten deshalb inzwischen mehrere Schutzebenen zusammen. Den Kern bilden die sogenannten XPIA-Classifiers (Cross-Process Injection Attack detection). Das sind KI-Modelle, die Prompts auf verdächtige Muster wie versteckte Anweisungen oder bekannte Jailbreak-Techniken prüfen (mehr dazu bei Microsoft). Prompt Shields überwachen alle eingehenden Prompts, vor allem im Dienst Azure AI Content Safety, und erkennen und blockieren Manipulationsversuche, zum Beispiel die Aufforderung, Sicherheitsregeln zu umgehen (Details zur Jailbreak-Erkennung).

Die folgende Übersicht zeigt, wie diese Schutzebenen ineinandergreifen:

flowchart TD
  Mail["E-Mail, Datei, Website"] --> Copilot["Microsoft 365 Copilot"]
  Copilot --> XPIA["XPIA-Classifiers"]
  XPIA --> PromptShield["Prompt Shields"]
  PromptShield --> Action["Antwort/Aktion"]

Abbildung: Schutzkette gegen Prompt Injection in Copilot – Microsofts Schutzebenen greifen, bevor eine Antwort ausgegeben oder eine Aktion ausgeführt wird.

Einen perfekten Filter gibt es trotzdem nicht. XPIA und Prompt Shields senken das Risiko, ausgefeilte Angriffe können aber durchrutschen. Hinzu kommt, dass jeder neue KI-Agent und jedes neue Tool die Angriffsfläche vergrößert.

Admins senken das Risiko vor allem mit klassischer Governance

Erfreulich ist, dass ein wirksamer Schutz gegen Prompt Injection in Copilot zu einem großen Teil auf klassischer Governance und gut verstandenen Freigabeprozessen beruht. In der Praxis haben sich folgende Maßnahmen bewährt:

  • Oversharing reduzieren: Sensible Daten haben in frei zugänglichen Bibliotheken oder Gruppen nichts verloren. Mit administrativen Maßnahmen wie Conditional Access, Vertraulichkeitsbezeichnungen und gezielten DLP-Richtlinien lässt sich einschränken, worauf die KI zugreifen kann (siehe auch Copilot-Oversharing: Blueprint, Site-Risiken und Praxis-Checks).
  • Agenten und Wissensquellen beschränken: In Copilot Studio gehören neben den Datenquellen auch die zulässigen Aktionen und APIs der Agenten streng begrenzt. Wer jedem Agenten Zugriff auf Postfächer oder SharePoint einräumt, hat die Kontrolle schnell verloren. Mehr dazu steht in meinem Beitrag Copilot-Studio-Sicherheit: Checkliste vor dem Go-live.
  • Externe Inhalte gesondert behandeln: Bei Mails von außen sollte man Copilot-Zugriffe auf die betroffenen Postfächer besonders genau kontrollieren oder ganz unterbinden. Das gilt vor allem für Abteilungen, die stark exponiert sind.
  • Agenten-Authentifizierung absichern: Copilot-Studio-Agenten brauchen grundsätzlich eine strenge Authentifizierung und Autorisierung. Multi-Faktor-Authentifizierung und dedizierte Service-Principals sind Pflicht.
  • Defender- und Purview-Signale auswerten: Die ersten Hinweise auf eine erfolgreiche Prompt Injection kommen oft aus Alerts zu verdächtigen Zugriffen, Dateiänderungen oder ungewöhnlichen Aktionen. Deshalb lohnt es sich, in Defender XDR und Microsoft Purview eigene Regeln anzulegen, die beispielsweise ungewöhnliche Freigaben oder unerwartete Automatisierungen melden.

Mein Tipp aus Projekten: Richtet im Defender-Portal Custom Detection Rules ein, die anschlagen, sobald Copilot-Studio-Agenten plötzlich aktiv werden oder KI-Dienste neue Freigaben erstellen. Damit habt ihr eine echte Frühwarnung, die deutlich mehr bringt als allgemeine DLP-Regeln.

Ohne geschulte Anwender bleibt jede technische Maßnahme lückenhaft

Prompt Injection in Copilot wird nie ein rein technisches Thema sein. In Anwenderschulungen merkt man schnell, wie leicht schädliche Inhalte unbemerkt ins System gelangen, etwa wenn Screenshots, importierte PDFs oder externe Webseiten unkritisch geteilt werden. Wer mit Copilot, SharePoint und Outlook arbeitet, sollte wissen, dass auch ein harmloser Link oder eine unscheinbare Datei zum Einfallstor für KI-Manipulation werden kann. Unverzichtbar sind deshalb Schulungen, Warnhinweise (z. B. bei E-Mails „Von außerhalb Ihrer Organisation“) und die klare Botschaft, dass ein KI-Assistent den gesunden Menschenverstand nicht ersetzt. Besonders wichtig ist mir, dass Anwender wissen, wie sie verdächtige Antworten oder Aktionen von Copilot melden können, und dass das Security-Team für solche Meldungen klare Abläufe hat.

Prompt Injection in Copilot bleibt Chefsache

Prompt Injection ist kein Zukunftsszenario mehr. Wer Microsoft 365 Copilot, Copilot Studio oder Azure AI heute produktiv nutzt, muss Governance, Schutzmechanismen und User Awareness zusammen denken. Mit Prompt Shields und XPIA liefert Microsoft eine gute Grundlage. Wirklich sicher wird es aber erst, wenn Datenzugriffe und Agenten-Berechtigungen konsequent kontrolliert werden und man jeder KI-Antwort mit einer gesunden Portion Skepsis begegnet. Rutscht trotzdem etwas durch, kommt es darauf an, den Vorfall schnell zu erkennen, die Spuren auszuwerten und die eigenen Prozesse und Freigaben anschließend noch einmal gründlich auf den Prüfstand zu stellen.