Englisch: Embedded workplace AI assistant (copilot)
Beschäftigte rufen den Assistenten direkt in E-Mail, Textverarbeitung, Tabellen und Chat auf, und er greift mit ihren Rechten auf Postfach und Dateiablage zu.
Den Anwendungsfall verstehen
Der Assistent entwirft E-Mails, fasst Besprechungen und Dokumente zusammen und beantwortet Fragen zu allem, was die Person sehen darf. Die britische Regierung hat ihn erprobt, ein IT-Dienstleister führt ihn ein, und eine niederländische Gemeinde arbeitet bereits damit.
Die Seite beschreibt einen typischen Aufbau. Die tatsächlichen Datenwege und Befugnisse ergeben sich aus Ihrer Umsetzung.
Aufbau und Datenwege
Eine Person stellt in E-Mail, Textverarbeitung, Tabelle oder Chat eine Frage oder gibt einen Auftrag.
Eingehende E-Mails, Einladungen und geteilte Dokumente stammen auch von Außenstehenden; bei EchoLeak genügte eine präparierte E-Mail. Postfach, Kalender und Chats enthalten Namen, Kontaktdaten und Inhalte von Gesprächen.
Der Assistent durchsucht mit ihren Rechten Postfach, Kalender und Dateiablage und reicht die Treffer an ein Sprachmodell weiter.
Die Büroanwendung stellt dem Modell den Auftrag und den verfügbaren Arbeitskontext bereit, etwa ein geöffnetes Dokument oder eine ausgewählte Nachricht. Das Modell formuliert einen Vorschlag innerhalb dieser Anwendung. Welche weiteren Dateien einbezogen werden, hängt von den angebundenen Diensten und den Berechtigungen ab.
Der Assistent liefert einen Entwurf, eine Zusammenfassung oder eine Antwort mit Verweisen auf die verwendeten Inhalte.
Ein generiertes Ergebnis ist neu formuliert oder erzeugt. Für seine Einordnung muss erkennbar bleiben, auf welchem Auftrag und welchem Kontext es beruht.
Die Person verschickt oder speichert das Ergebnis; so fließt es in E-Mails, Dokumente und Entscheidungen ein.
Die Einbindung bestimmt, ob das Ergebnis lediglich angezeigt, nach Freigabe übernommen oder direkt in ein Fachverfahren geschrieben wird. Diese Varianten unterscheiden sich in ihren Datenwegen und Befugnissen.
Aufbau aktiv erkunden: Wählen Sie einen Baustein, um seine Aufgabe, die ein- und ausgehenden Daten und die Einbindung im Anwendungsfall zu sehen. Der geführte Ablauf erläutert jede Phase. Mit Ja, Offen und Nein können Sie anschließend Ihre konkrete Systemvariante abbilden.
23 zuerst zu prüfen17 zu klären9 Grundlagen
Das Bild zeigt den Anwendungsfall, wie er typischerweise gebaut ist. Wählen Sie einen Baustein, um zu sehen, was dort geschieht, und stellen Sie seine Merkmale auf Ihr System um. Mit „Analysehinweise“ sehen Sie anschließend, welche Prüfkandidaten zu diesem Aufbau gehören. Die Prüfliste der Seite bleibt auf den typischen Fall bezogen.
Noch keine. Jede Umstellung erscheint hier.
Im gezeigten Aufbau: 23 zuerst zu prüfen, 17 zu klären, 9 Grundlagen.
Zugang von außen: Hängt von Ihrem System ab
Zu klären
Eingabe: Gehört zu jedem KI-System
Zuerst prüfen
Zu klären
Grundlage für jedes KI-System
Inhalte Dritter: Vorhanden
Zuerst prüfen
KI-Modell: Gehört zu jedem KI-System
Zuerst prüfen
Grundlage für jedes KI-System
Dienst eines Anbieters: Vorhanden
Zuerst prüfen
Zu klären
Dokumentensammlung: Vorhanden
Zuerst prüfen
Zu klären
Gedächtnis: Hängt von Ihrem System ab
Zu klären
Training und Rückmeldung: Hängt von Ihrem System ab
Zu klären
Werkzeuge und Schnittstellen: Hängt von Ihrem System ab
Zu klären
Ergebnis: Gehört zu jedem KI-System
Zuerst prüfen
Zu klären
Grundlage für jedes KI-System
Fachanwendung oder Anlage: Hängt von Ihrem System ab
Mensch: Gehört zu jedem KI-System
Grundlage für jedes KI-System
Betroffene Person: Hängt von Ihrem System ab
KI-Dienste ohne Freigabe: Hängt von Ihrem System ab
Zu klären
Lieferkette und technische Basis: 5 Grundlagen, die für jedes KI-System gelten
Grundlage für jedes KI-System
Generativer KI-Assistent für Beschäftigte
Arbeitet nur mit dem, was Beschäftigte eingeben, ohne Zugriff auf Postfach und Ablage
KI-Wissensassistent (Enterprise Search)
Antwortet aus einem festgelegten, redaktionell gepflegten Dokumentbestand
Erledigt Aufgaben in mehreren Schritten selbst, mit eigenen Rechten in Fachanwendungen
Eingehende E-Mails, Einladungen und geteilte Dokumente stammen auch von Außenstehenden; bei EchoLeak genügte eine präparierte E-Mail. Postfach, Kalender und Chats enthalten Namen, Kontaktdaten und Inhalte von Gesprächen.
Sprachmodell und Suchdienst stellt der Anbieter der Büroanwendung bereit.
Der Assistent sucht in Postfach, Kalender, Chats und Dateiablage nach passenden Inhalten. Er formuliert seine Antworten aus den gefundenen E-Mails und Dokumenten.
Je nach Produkt ruft der Assistent Funktionen anderer Anwendungen oder Erweiterungen auf. Je nach Produkt und Einstellung verschickt der Assistent selbst E-Mails, legt Termine an und ändert Dateien oder legt nur Entwürfe vor.
Ein eingebundener Anbieter legt den Verarbeitungsort nicht automatisch fest. Speicherort, Unterauftragnehmer, Löschfristen und die Nutzung für Training sind im konkreten Betrieb zu prüfen.
Risiken einordnen und Maßnahmen festlegen
Daten, Beteiligte, Schnittstellen und Rechte erfassen. Offene Merkmale im Modell klären.
Prüfkandidaten auf die tatsächlichen Datenwege beziehen: Was könnte passieren und wer wäre betroffen?
Auswirkungen und Eintrittswahrscheinlichkeit im Einsatzkontext bewerten. Die Anzahl der Prüfkandidaten ist kein Risikowert.
Geeignete Kontrollen auswählen, Verantwortliche und Wirksamkeitsprüfungen festlegen. Restrisiken und Freigaben dokumentieren.
Insgesamt kommen bei diesem Anwendungsfall 49 Bedrohungen aus dem Bedrohungskatalog infrage.
Jemand von außen schickt eine E-Mail mit versteckten Anweisungen, die der Assistent beim nächsten Suchlauf mitliest. Er befolgt sie, ohne dass die Person die E-Mail je geöffnet hat.
Exfiltration aus der ML-Anwendung
Eingeschleuste Anweisungen bringen den Assistenten dazu, interne Inhalte in einen Link oder ein Bild einzubauen. Lädt die Anwendung das Bild, landen die Daten auf einem fremden Server, so geschehen bei EchoLeak.
Cross-Tenant-Leakage (Multi-Tenant Vector-DB)
In der Dateiablage sind Ordner mit Personal- oder Vorstandsunterlagen versehentlich für alle freigegeben. Der Assistent findet sie und gibt ihren Inhalt an jeden weiter, der danach fragt.
RAG-spezifische Angriffe (Document Poisoning)
Jemand legt ein Dokument mit falschen Angaben in eine gemeinsame Ablage. Der Assistent zitiert es als Quelle und trägt den Fehler in Antworten an viele Beschäftigte weiter.
Über Trainingsdaten oder ein übernommenes Grundmodell kann das Modell versteckte Auslöser für Fehlverhalten enthalten.
Steht hier wegen dieser Eigenschaft
Sleepy Agent (zeit-/ereignisgetriggerte verdeckte Instruktionen)
Ein Modell, das Anweisungen befolgt, kann sein Verhalten zu einem bestimmten Zeitpunkt oder bei einem bestimmten Ereignis ändern.
Steht hier wegen dieser Eigenschaft
Nutzerinnen und Nutzer können mit ihren Eingaben die Arbeitsanweisungen des Systems aushebeln.
Steht hier wegen dieser Eigenschaft
Wer das System Inhalte erzeugen lässt, kann versuchen, die vorgesehenen Grenzen zu umgehen.
Steht hier wegen dieser Eigenschaft
Geschickte Abfragen können die Arbeitsanweisungen des Systems offenlegen. Sie dürfen deshalb keine Geheimnisse enthalten.
Steht hier wegen dieser Eigenschaft
Denial-of-Service auf das Modell
Aufwendige oder massenhafte Eingaben können die Rechenleistung des Modells erschöpfen.
Steht hier wegen dieser Eigenschaft
Mit gezielten Abfragen lassen sich personenbezogene und schutzbedürftige Trainingsdaten teilweise aus dem Modell zurückgewinnen.
Steht hier wegen dieser Eigenschaften
Offenlegung sensibler Informationen
Vertrauliche Inhalte können in Antworten, im mitgegebenen Kontext oder in Protokollen auftauchen.
Steht hier wegen dieser Eigenschaften
Frei erzeugte Inhalte können diskriminierende oder hasserfüllte Aussagen enthalten.
Steht hier wegen dieser Eigenschaften
Frei formulierte Antworten können im Ton danebenliegen.
Steht hier wegen dieser Eigenschaften
Gewalt / gefährliche Handlungen
Frei erzeugte Inhalte können Gewalt darstellen oder bei gefährlichen Handlungen helfen.
Steht hier wegen dieser Eigenschaften
Antworten zu umstrittenen Themen brauchen unter Umständen eine eigene redaktionelle Prüfung.
Steht hier wegen dieser Eigenschaften
Frei erzeugte Inhalte können rechtswidrige Handlungen erleichtern. Wie streng Sie prüfen, hängt von Zweck und Nutzerkreis ab.
Steht hier wegen dieser Eigenschaften
Frei erzeugte Inhalte können zur Belästigung verwendet werden.
Steht hier wegen dieser Eigenschaften
Frei erzeugte Vorschläge können im konkreten Einsatz ethische Grenzen überschreiten.
Steht hier wegen dieser Eigenschaften
Erzeugte Bilder, Stimmen und Texte lassen sich nutzen, um zu täuschen oder Personen nachzuahmen.
Steht hier wegen dieser Eigenschaften
Erzeugte Inhalte können Betrug erleichtern, etwa mit gefälschten Nachrichten oder Dokumenten.
Steht hier wegen dieser Eigenschaften
Künstlich erzeugte Inhalte können als echt ausgegeben und irreführend verbreitet werden.
Steht hier wegen dieser Eigenschaften
Faktische Fehler (Halluzinationen)
Erzeugte Texte können Tatsachen erfinden oder beim Umformulieren verfälschen.
Steht hier wegen dieser Eigenschaft
Je nach Aufbau Ihres Systems kommen bis zu 17 weitere hinzu. Neun Bedrohungen prüfen Sie bei jedem KI-System.
Jedes Ja setzt weitere Bedrohungen auf Ihre Prüfliste, insgesamt bis zu 17. Können Sie eine Frage noch nicht beantworten, prüfen Sie die Bedrohungen mit.
Wie Ihr System gebaut ist
Wie Sie das System betreiben
In einigen Büroanwendungen erzeugt der Assistent auch Bilder, etwa für Präsentationen.
Wenn ja, kommt hinzu
Wenn ja, kommt hinzu
Manche Produkte merken sich Vorlieben und Angaben aus früheren Unterhaltungen.
Wenn ja, kommt hinzu
Je nach Produkt ruft der Assistent Funktionen anderer Anwendungen oder Erweiterungen auf.
Wenn ja, kommt hinzu
Je nach Produkt und Einstellung verschickt der Assistent selbst E-Mails, legt Termine an und ändert Dateien oder legt nur Entwürfe vor.
Wenn ja, kommt hinzu
Wenn ja, kommt hinzu
Wenn ja, kommt hinzu
Wenn ja, kommt hinzu
In Tabellen schreibt der Assistent auch Formeln und Skripte.
Wenn ja, kommt hinzu
Wenn ja, kommt hinzu
Diese Fragen stellen sich bei fast jedem KI-System.
Wenn ja, kommt hinzu
Wenn ja, kommt hinzu
Wenn ja, kommt hinzu
Wenn ja, kommt hinzu
Wenn ja, kommt hinzu
Maßnahmen zu den Prüfschwerpunkten sind direkt geöffnet. Die verlinkten Maßnahmen erläutern jeweils die Umsetzung.
Maßnahmen gegen die übrigen Bedrohungen finden Sie auf deren Seiten im Bedrohungskatalog.
Für jedes KI-System Gilt seit dem 2. Februar 2025.
Je nach Einsatz Prüfanlass seit dem 2. August 2026.
Greift, wenn Beschäftigte oder Beauftragte KI-Systeme betreiben oder nutzen.
Gilt seit dem 2. Februar 2025.
Die Pflichten im Einzelnen
Greift, wenn mit dem Assistenten erstellte Texte zu Themen von öffentlichem Interesse veröffentlicht werden und niemand sie redaktionell prüft und verantwortet.
Gilt seit dem 2. August 2026.
Die Pflichten im Einzelnen
Beschäftigte rufen den Assistenten in ihrer Büroanwendung bewusst auf, sodass offensichtlich ist, dass sie mit einem KI-System arbeiten.
Die Pflichten im Einzelnen
Ihr System im Schnellprüfer einordnen Alle Pflichten im Pflichtenkompass
Diese Bedrohungen prüfen Sie bei jedem KI-System, egal wofür es eingesetzt wird.
Trifft eine dieser Fragen bei Ihrem System doch zu, kommen die genannten Bedrohungen hinzu.
Legt das System seine nächsten Arbeitsschritte selbst fest, je nachdem, was vorher herauskam?
Der Assistent erledigt einzelne Aufträge und plant keine eigenen Arbeitsschritte.
Wenn ja, kommt hinzu
Können Menschen außerhalb Ihrer Organisation das System nutzen, auch ohne Anmeldung?
Wenn ja, kommt hinzu
Soll das System eine vorgegebene Kennzahl möglichst verbessern, etwa Umsatz, Auslastung oder Klicks?
Wenn ja, kommt hinzu
GOV.UK, Microsoft 365 Copilot Experiment: Cross-Government Findings Report
Zwölf britische Regierungsorganisationen erprobten den Assistenten von September bis Dezember 2024 mit 20.000 Beschäftigten.
Bechtle AG, Bechtle führt bei 5.000 Mitarbeitenden Copilot für Microsoft 365 ein, Pressemeldung 2024 Nach Angabe des Betreibers
Das Unternehmen gibt an, den Assistenten bei 5.000 Beschäftigten einzuführen.
Algoritmeregister NL, Microsoft M365 Copilot, Gemeente Raalte
Die Gemeinde nutzt den Assistenten seit Januar 2025. Er greift auf Dokumente, E-Mails, Kalender und Chats zu, die die angemeldete Person sehen darf.
Checkmarx, EchoLeak (CVE-2025-32711) Shows Us That AI Security Is Challenging
Eine präparierte E-Mail im Postfach genügte, damit Microsoft 365 Copilot interne Daten ohne Zutun der Person nach außen gab. Die Lücke ist unter CVE-2025-32711 erfasst.
MITRE ATLAS, atlas-data CHANGELOG
Die Fallstudien AML.CS0026 und AML.CS0059 behandeln Assistenten dieser Art.
Stand: 30. September 2026. Regelwerk der Prüfliste in Fassung 0.3.2, Bedrohungskatalog in Fassung 2026.10.24.2. Wie diese Seiten aufgebaut sind