Seit Anfang Oktober 2026 schützt Microsoft Defender for Office 365 Postfächer standardmäßig vor Prompt-Injection-Angriffen. Der Prompt-Injection-Schutz greift bereits im Mailfluss, bevor ein Assistent wie Microsoft 365 Copilot eine verseuchte Nachricht überhaupt zu sehen bekommt. Für Administratoren lohnt sich ein genauer Blick, denn die Funktion läuft ohne Zutun, verlangt aber Kontrolle und Wissen über ihre Grenzen.

Hinter dem Prompt-Injection-Schutz steckt ein Filter im Mailfluss

Bei einer indirekten Prompt-Injection verstecken Angreifer Anweisungen in einer E-Mail, etwa als unsichtbaren Text, in HTML-Markup, in Anhängen oder in zitierten Antworten. Ein KI-Assistent, der das Postfach auswertet, könnte diese Anweisungen als Auftrag missverstehen und vertrauliche Daten preisgeben. Microsoft setzt deshalb früh an: Die Erkennung sitzt im Mailfluss und ergänzt die Schutzmechanismen, die das Sprachmodell selbst mitbringt.

Erkannte Nachrichten stuft Defender for Office 365 als High Confidence Phish ein und verschiebt sie in die Quarantäne. Die offizielle Anleitung zum Prompt-Injection-Schutz beschreibt außerdem den Erkennungstyp „Prompt Injection Protection“, nach dem Sie später filtern können. Die Funktion war seit Juli 2026 in der Vorschau und ist seit Anfang Oktober allgemein verfügbar.

Standardmäßig aktiv ist der Schutz nur mit Plan 2 oder Microsoft 365 E5

Eingeschaltet ist die Funktion für Mandanten mit Defender for Office 365 Plan 2 sowie mit Microsoft 365 E5, das Plan 2 enthält. Wer Plan 1 nutzt, etwa über Microsoft 365 Business Premium, bekommt diese automatische Erkennung nach aktuellem Stand der Dokumentation nicht. Prüfen Sie deshalb zuerst, welche Lizenz Ihre Postfächer tatsächlich abdeckt, bevor Sie sich auf den Schutz verlassen.

Konfigurieren müssen Sie nichts, Sie können die Funktion in der Praxis aber beobachten. Das ist wichtig, weil automatische Quarantäne auch Fehlalarme erzeugen kann. Newsletter mit versteckten Textelementen oder technische Mails mit ungewöhnlichem HTML sind typische Kandidaten, die Sie im Auge behalten sollten. Die aktuellen Neuerungen finden Sie gesammelt auf der Seite Was ist neu in Defender for Office 365.

Im Defender-Portal prüfen Sie in vier Schritten, was der Schutz abfängt

Das folgende Diagramm zeigt den Weg einer Nachricht vom Eingang bis zur Prüfung durch Ihr Security-Team.

flowchart TD
    A["Eingehende E-Mail"] --> B["Prüfung im Mailfluss"]
    B -->|"Anweisung erkannt"| C["High Confidence Phish"]
    B -->|"unauffällig"| D["Zustellung ans Postfach"]
    C --> E["Quarantäne"]
    E --> F["Prüfung durch SOC"]

Eine als Prompt-Injection erkannte Nachricht landet in der Quarantäne und wird dort geprüft.

Die Auswertung erledigen Sie im Microsoft Defender Portal unter security.microsoft.com. Sie benötigen dafür mindestens eine Rolle wie Security Reader für die Ansicht und Security Administrator, wenn Sie Nachrichten freigeben wollen.

  1. Öffnen Sie E-Mail und Zusammenarbeit und dort den Bereich „Explorer“ (Threat Explorer).
  2. Wählen Sie den Zeitraum, den Sie untersuchen wollen, etwa die letzten sieben Tage.
  3. Filtern Sie nach der Erkennungstechnologie „Prompt Injection Protection“, sofern der Wert in Ihrem Mandanten angeboten wird.
  4. Öffnen Sie einzelne Treffer und prüfen Sie Absender, Betreff und Zustellungsaktion. Fehlalarme geben Sie anschließend aus der Quarantäne frei oder melden sie an Microsoft.

Die Erkennungstechnologie steht laut Dokumentation auch in Advanced Hunting und auf den E-Mail-Entitätsseiten bereit. Welche Spalten dort im Detail verfügbar sind, entnehmen Sie bitte der Schemadokumentation Ihres Mandanten, ich nenne hier bewusst keine Feldnamen. Mehr zur Arbeit mit dem Werkzeug steht in der Beschreibung des Threat Explorers.

Bei Fehlalarmen dokumentieren Sie die Ursache vor der Freigabe

Notieren Sie bei jedem Fehlalarm Absender, Betreff und den Grund, warum die Nachricht aufgefallen ist. Wiederholt sich ein Muster, etwa bei einem bestimmten Newsletter-Dienst, sprechen Sie zuerst mit dem Absender, statt sofort eine Ausnahme einzurichten. Eine pauschale Ausnahme öffnet genau die Lücke, die der Filter schließen soll. Gerade Teams mit vielen externen Partnern profitieren davon, solche Fälle in einer kurzen, gemeinsamen Liste festzuhalten.

Ebenso hilfreich ist ein kurzer Test mit Kolleginnen und Kollegen: Fragen Sie nach, ob jemand erwartete Mails vermisst. So erkennen Sie früh, ob die Quarantäne im Alltag stört, und können gezielt nachsteuern, bevor sich Frust aufbaut.

Mit der Quarantäne-Richtlinie steuern Sie, wer Treffer sieht und freigibt

Nachrichten mit dem Verdikt High Confidence Phish unterliegen in der Regel der strengsten Quarantäne-Richtlinie. Endanwender können solche Mails deshalb normalerweise nicht selbst freigeben, und das ist auch gut so. Wie die Verwaltung der Quarantäne funktioniert, erklärt die Übersicht zur Quarantäne in Microsoft 365.

Tipp: Legen Sie fest, wer im Team Prompt-Injection-Treffer prüft, und besprechen Sie eine Freigabe immer mit der Person, die den Absender kennt. Eine freigegebene Mail landet danach wieder im Postfach und damit im Zugriff von Copilot.

In Kombination mit weiteren Schutzebenen wirkt der Filter am stärksten. Wie Sie Phishing-Richtlinien sinnvoll abstimmen, habe ich im Beitrag Impersonation-Schutz in Defender gegen CEO-Fraud beschrieben. Und wer Incidents im Defender-Portal nicht verpassen will, findet im Artikel zu den Incident-Benachrichtigungen in Defender XDR passende Hinweise.

Der Filter ersetzt keine Governance für KI-Assistenten

Ein Mailfilter erkennt Muster, kein Vorhaben. Gut versteckte oder ungewöhnlich formulierte Anweisungen können durchrutschen, und Prompt-Injection kann auch über andere Kanäle kommen, etwa über Dokumente oder Webseiten. Behandeln Sie den Schutz deshalb als eine Schicht von mehreren und halten Sie die Berechtigungen von Copilot und Agenten eng.

Gerade weil Copilot mit den Rechten der jeweiligen Person arbeitet, sollten Sie außerdem prüfen, auf welche Postfächer, Dateien und Chats einzelne Benutzer Zugriff haben. Je weniger ein Konto sieht, desto weniger kann eine eingeschleuste Anweisung bewirken. Auch Agenten mit Zugriff auf Postfächer verdienen einen kritischen Blick, denn sie handeln oft ohne direkte Rückfrage. Schulungen für Mitarbeitende ergänzen die Technik sinnvoll.

Meine Empfehlung für die nächsten Tage: Lizenz prüfen, Quarantäne beobachten, Zuständigkeiten klären und die Treffer nach zwei Wochen auswerten. Danach wissen Sie, ob in Ihrem Mandanten echte Angriffe oder vor allem Fehlalarme überwiegen.