KI-Agenten in Windows 11: Was IT-Admins jetzt wissen müssen

Windows 11 bekommt eine eigene Infrastruktur für KI-Agenten: einen abgeschotteten Agent-Arbeitsbereich, separate Agent-Konten und Connectoren nach dem Model Context Protocol (MCP). Darüber können Agenten wie Copilot-Aktionen Dateien bearbeiten und Apps bedienen. Laut Microsoft sind das, Stand Oktober 2026, experimentelle Vorschaufunktionen für Windows-Insider, standardmäßig aus und nur mit Administratorrechten aktivierbar. Admins brauchen vor allem Wissen über Berechtigungen, Richtlinien und Prompt-Injection.

Copilot-Aktionen ist der erste Agent, der diese Bausteine nutzt. Er klickt, tippt und scrollt in Anwendungen wie ein Mensch und arbeitet dabei in einer eigenen Windows-Sitzung, während der Benutzer am selben Gerät weiterarbeitet. Verfügbar ist Copilot-Aktionen laut Microsoft bisher für Windows-Insider in Copilot Labs. Die zugehörige Support-Seite hat Microsoft zuletzt im Dezember 2025 inhaltlich ergänzt, eine allgemeine Freigabe nennt sie bis heute nicht. Wer im Unternehmen für die Clients zuständig ist, sollte die Technik kennen, bevor die ersten Anwender danach fragen.

Wer Agenten nicht nur verwalten, sondern für eigene Geschäftsprozesse einsetzen will, kann dafür einen Dienstleister einbinden. NEXperts etwa plant KI-Agenten laut eigener Beschreibung mit einer Canvas, die unter anderem Business-Ziel, Rolle des Agenten sowie Daten- und Tool-Integration festlegt, und baut einen Agenten in einem Bootcamp von wenigen Tagen gemeinsam mit dem Team des Unternehmens. Für den Betrieb unter Windows reicht zunächst ein Überblick über die Architektur.

Wie Agent-Arbeitsbereich und Agent-Konten funktionieren

Der Agent-Arbeitsbereich ist nach Microsofts Beschreibung ein separater, abgeschlossener Bereich in Windows. In der ersten Vorschau läuft er als eigene Windows-Sitzung, also leichter als eine virtuelle Maschine wie die Windows-Sandbox, aber mit eigener Laufzeitisolation. Jeder Agent bekommt ein eigenes Konto, getrennt vom Konto des Benutzers. Dadurch lassen sich Aktionen des Agenten von denen des Menschen unterscheiden, und es können eigene Richtlinien für Agent-Konten gelten.

Auf Dateien greifen Agenten standardmäßig über sechs bekannte Ordner im Benutzerprofil zu: Dokumente, Downloads, Desktop, Musik, Bilder und Videos. Ab den Vorschau-Builds 26100.7344 lässt sich der Zugriff je Agent einstellen, mit den Optionen „Immer zulassen“, „Jedes Mal fragen“ und „Niemals zulassen“. Wichtig für Admins ist ein Satz aus der Microsoft-Dokumentation: Agent-Konten haben Zugriff auf alle Ordner, auf die alle authentifizierten Benutzer zugreifen dürfen, zum Beispiel öffentliche Benutzerprofile.

Was MCP und die On-Device-Registry damit zu tun haben

Agent-Connectoren sind MCP-Server, die als Brücke zwischen einem Agenten und Apps oder Systemwerkzeugen dienen. Windows verwaltet sie in der On-Device Agent Registry (ODR). Der Datei-Explorer bringt einen eigenen Connector mit, über den Agenten Dateien lesen und ändern können. Laut Microsoft laufen Connectoren standardmäßig in einer abgeschotteten Umgebung mit eigener Identität. Die Kommunikation geht über einen MCP-Proxy, der Authentifizierung, Autorisierung und Protokollierung übernimmt.

Für die Verwaltung auf der Kommandozeile gibt es das Werkzeug odr.exe, mit dem sich registrierte MCP-Server anzeigen und verwalten lassen. Wer eigene Connectoren entwickelt oder Fremdsoftware prüft, sollte damit anfangen.

Welche Stellschrauben Admins haben

Ebene	Was sich steuern lässt	Wo
Gerät	Experimentelle Agentenfunktionen ein- oder ausschalten	Einstellungen unter System, KI-Komponenten, nur mit Administratorkonto
Gerät, verwaltet	Agent-Arbeitsbereich sowie lokale und entfernte Connectoren erlauben oder sperren, Mindest-Sicherheitsstufe für Connectoren festlegen	Intune oder andere MDM über CSP, alternativ Gruppenrichtlinien
Agent	Dateizugriff auf die sechs bekannten Ordner, benötigte Connectoren	Einstellungsseite je Agent
Software	Verteilung von Connectoren als MSIX-Paket	Bestehende Werkzeuge wie Intune und Managed Installer
Kontrolle	Aufrufe von Connectoren, Fehler, Änderungen an der Registry	Ereignisprotokolle

Eine Eigenheit sollte man kennen: Hat ein Administrator die Einstellung einmal aktiviert, gilt sie für alle Benutzer des Geräts, auch für Standardbenutzer. Auf gemeinsam genutzten Rechnern ist das ein Grund, die Entscheidung zentral per Richtlinie zu treffen statt sie einzelnen lokalen Admins zu überlassen.

Wo die Risiken liegen

Microsoft nennt selbst zwei Probleme. Sprachmodelle können halluzinieren und unerwartete Ergebnisse liefern. Dazu kommt Cross-Prompt-Injection: Schadhafte Anweisungen, versteckt in einem Dokument oder einem Element der Benutzeroberfläche, überschreiben die Anweisungen des Agenten. Das kann laut Microsoft bis zum Abfluss von Daten oder zur Installation von Schadsoftware führen.

Microsofts eigene Grundsätze geben die Richtung für die Absicherung vor. Agenten sollen nach dem Prinzip der geringsten Rechte arbeiten und nie mehr Rechte bekommen als der Benutzer, der sie startet, auch keine Administratorrechte. Ihre Aktionen sollen protokolliert und von Benutzeraktionen unterscheidbar sein. Für die Praxis ergibt sich daraus eine kurze Prüfliste:

1. Freigaben für „Authentifizierte Benutzer“ auf Clients und Netzlaufwerken prüfen, weil Agent-Konten diese Rechte mitnehmen.
2. Den Standard für Dateizugriff auf „Jedes Mal fragen“ belassen, solange keine Erfahrungen vorliegen.
3. Nur Connectoren aus bekannter Quelle zulassen, verteilt als signiertes Paket.
4. Ereignisprotokolle der Connectoren in das bestehende Monitoring aufnehmen.
5. Testgeräte im Insider-Kanal von Produktivgeräten trennen.

Welche Kenntnisse IT-Admins brauchen

Mit klassischer Client-Verwaltung allein kommt man hier nicht weit. Gefragt sind Grundlagen zu Sprachmodellen und ihren Grenzen, ein Verständnis von MCP und API-Authentifizierung, Erfahrung mit Intune-Richtlinien und Berechtigungskonzepten und ein Blick für neue Angriffswege wie Prompt-Injection. Wer Agenten im Unternehmen produktiv einsetzen will, braucht außerdem jemanden, der Abläufe so beschreibt, dass ein Agent sie zuverlässig erledigen kann.

Für Arbeitgeber kommt eine rechtliche Seite hinzu, nämlich was die KI-Kompetenzpflicht nach dem KI-Omnibus verlangt. Nach Artikel 4 der europäischen KI-Verordnung müssen Unternehmen, die KI-Systeme einsetzen, Maßnahmen ergreifen, um die KI-Kompetenz ihres Personals zu unterstützen. Ein Zertifikat schreibt die Verordnung nicht vor, die Bundesnetzagentur empfiehlt aber, die Maßnahmen zu dokumentieren.

Ein sinnvoller erster Schritt: Aktivieren Sie die experimentellen Agentenfunktionen auf einem einzelnen Testgerät im Insider-Kanal, sehen Sie sich an, welche Agent-Konten und Ordnerrechte dabei entstehen, und schreiben Sie auf dieser Grundlage die Richtlinie für den Rest der Flotte.