Copilot Studio: Low-Code-Erweiterungen für Custom Agents

Executive Summary

Copilot Studio hat die Phase hinter sich gelassen, in der es der nette Chatbot-Baukasten für den Service-Desk war. Was du im Sommer 2026 vor dir hast, ist eine ausgewachsene Agent-Plattform: generative Orchestrierung, ein Werkzeugkasten mit Connectoren, Agent Flows, MCP-Servern und REST-Endpunkten, Multi-Agent-Ketten über das A2A-Protokoll – und seit Mai Computer Use in allgemeiner Verfügbarkeit. Letzteres lässt deinen Agenten per virtueller Maus und Tastatur durch Anwendungen klicken, die nie eine Schnittstelle hatten und auch nie eine bekommen werden. Dein 22 Jahre altes Warenwirtschaftsportal hat gerade seine Schonfrist verloren.

Die gute Nachricht: Was früher ein Entwicklungsprojekt mit Kickoff, Sprints und Lenkungsausschuss war, steht heute an einem Nachmittag. Ein Agent mit SharePoint-Wissen, drei Connector-Tools und einem Agent Flow – fertig vor dem Feierabend. Die schlechte Nachricht ist exakt dieselbe: Der Kollege aus dem Controlling schafft das auch. In der Default-Umgebung. Mit seinen Anmeldedaten. Ohne dich zu fragen. Und er nennt den Agenten „Test2_final“.

Drei Entscheidungen musst du treffen, bevor der erste produktive Agent live geht: Umgebungsstrategie, Datenrichtlinien und Kostendeckel. Seit Juli 2026 bekommt jeder neue Agent zwingend eine Microsoft Entra Agent ID – ein Opt-out gibt es nicht mehr. Das ist keine Schikane, das ist dein Rettungsanker: Agenten werden endlich zu Identitäten, die man inventarisieren, mit Conditional Access belegen, auditieren und im Ernstfall abschalten kann. Wer diese drei Punkte vorher klärt, baut eine Plattform. Wer sie danach klärt, betreibt eine Aufräumaktion mit Vorstandsbeteiligung.

Worum geht es im Detail?

Ein Copilot-Studio-Agent besteht im Kern aus vier Dingen: Anweisungen, Wissen, Werkzeugen und einem Orchestrator, der entscheidet, was wann zum Einsatz kommt. Der Orchestrator ist der interessante Teil. Bei aktivierter generativer Orchestrierung – und die ist der Standard – wählt das Modell selbst aus, ob es ein Tool aufruft, ein Topic startet oder im Wissen sucht. Es trifft diese Entscheidung auf Basis von genau zwei Informationen: dem Namen und der Beschreibung des Tools. Das ist der Grund, warum ein Tool namens „Flow_3“ mit der Beschreibung „macht was mit Daten“ niemals aufgerufen wird und der Ersteller anschließend drei Tage lang das Modell beschimpft.

Abb. 1: Die vier Schichten eines Copilot-Studio-Agenten – und der Governance-Rahmen, der sie zusammenhält.

Der Werkzeugkasten ist es, was Copilot Studio 2026 von einem gewöhnlichen Bot-Framework unterscheidet. Du hast sieben Wege, Funktionalität anzuhängen: vorgefertigte und eigene Power-Platform-Connectoren, Agent Flows als deterministische Schrittketten, Prompts als Ein-Schritt-KI-Aufrufe inklusive Code Interpreter für Excel-, CSV- und PDF-Analyse, REST-APIs direkt als Tool, MCP-Server, Computer Use und schließlich andere Agenten – als Child Agents oder über das seit April allgemein verfügbare A2A-Protokoll. Technisch verkraftet der Orchestrator bis zu 128 Tools pro Agent. Microsoft empfiehlt 25 bis 30. Halte dich daran. Ein Agent mit 90 Tools ist kein besonders leistungsfähiger Agent, sondern ein besonders verwirrter.

MCP, das Model Context Protocol, ist dabei der Baustein mit dem größten Hebel und dem größten Schadenspotenzial. Ein MCP-Server bringt seine Tools und Ressourcen dynamisch mit – du bindest ihn einmal ein, und der Server entscheidet, was er anbietet. Fügt der Serverbetreiber morgen ein neues Tool hinzu, ist es bei aktivem Schalter „Alle zulassen“ sofort in deinem Agenten. Dieser Schalter steht standardmäßig auf An. Schaltest du ihn aus, sind neue Server-Tools künftig per Voreinstellung deaktiviert und du entscheidest bewusst. Immerhin läuft die Anbindung über die Power-Platform-Connector-Infrastruktur – deine DLP-Datenrichtlinien greifen also auch für MCP-Server und deren Tools.

Computer Use verdient einen eigenen Absatz, weil es die Kategorie „dafür gibt es keine Schnittstelle“ ersatzlos streicht. Ein Modell mit Bildverstehen und Reasoning-Fähigkeit schaut auf den Bildschirm einer Windows-Maschine, klickt Schaltflächen, füllt Felder und liest Werte aus. Du beschreibst die Aufgabe in natürlicher Sprache, kein Code, keine Selektoren. Ändert sich die Oberfläche, passt sich das Modell an – anders als ein klassisches RPA-Skript, das bei einem verschobenen Button den Dienst quittiert und ein Ticket erzeugt. Als Modelle stehen der OpenAI-CUA und Claude Sonnet 4.5 allgemein zur Verfügung, Claude Sonnet 4.6 und Claude Opus 4.6 als experimentelle Optionen.

Seit Juni gibt es zusätzlich die neue Agent-Experience als produktionsreife Vorschau: eine verbesserte Orchestrierungslaufzeit, Microsoft IQ als Brücke zu Mails, Kalender, Dateien und Teams-Nachrichten, Skills als wiederverwendbare Instruktionspakete – einmal bauen, in mehrere Agenten einhängen, als Markdown exportieren – und Memory für persistenten Kontext je Benutzer. Bei der Modellauswahl bist du längst nicht mehr auf einen Anbieter festgelegt: ChatGPT-5 ist global allgemein verfügbar, Claude Sonnet 4.5, Claude Sonnet 4.6 und Claude Opus ebenfalls, Mistral Medium 3.5 und GPT-5.5 Reasoning (Deep) laufen als experimentelle Optionen. GPT-4o ist Ende 2025 in Rente gegangen, Standardmodell ist GPT-4.1. Wer externe Modelle nutzen will, braucht dafür eine Freigabe des Administrators – und sollte vorher klären, ob die damit verbundene Datenverarbeitung außerhalb der eigenen geografischen Grenze akzeptabel ist.

Was sind Chancen? Was sind Risiken?

Die Chance ist offensichtlich und wird trotzdem regelmäßig unterschätzt: Time-to-Value. Prozesse, für die du früher ein Integrationsprojekt aufgesetzt hättest, sind heute ein Nachmittag Konfiguration. Besonders wertvoll ist die Kombination aus Computer Use und Agent Flows: Der Agent klickt sich durch das Altsystem, extrahiert die Daten strukturiert als JSON und übergibt sie an einen deterministischen Flow, der sie sauber nach Dataverse schreibt. Die KI macht das Unscharfe, der Flow macht das Verlässliche. Das ist die Arbeitsteilung, die tatsächlich funktioniert – und nicht der Versuch, das Modell auch noch die Buchhaltung machen zu lassen.

Dazu kommt Messbarkeit, und die ist neu. Agent-Evaluations sind seit März allgemein verfügbar: Du definierst Testsets mit Referenzantworten, lässt mehrstufige Dialoge simulieren, vergleichst Agent-Versionen nebeneinander und stößt das Ganze über eine REST-API aus deiner CI/CD-Pipeline an. Eigene Metriken erlauben Erfolgskategorien jenseits der Standardauswertung. Wer bisher „der Bot antwortet halt irgendwie“ als Qualitätssicherung hatte, bekommt endlich Zahlen, die man einem Auditor zeigen kann, ohne rot zu werden.

Und jetzt das Risiko, das dich wirklich trifft: die Kosten. Copilot Studio wird in Copilot Credits abgerechnet, die seit September 2025 die früheren „Messages“ abgelöst haben. Ein Pack sind 25.000 Credits für 200 US-Dollar im Monat, nicht verbrauchte Credits verfallen zum Monatsende. Die Einzelraten wirken harmlos – bis du sie mit deinen Nutzerzahlen multiplizierst.

Abb. 2: Copilot-Credit-Raten je Aktion. Nicht die Skala ist das Problem – die Multiplikation ist es.

Zwei Fallen lauern im Detail. Erstens: Reasoning-Modelle werden doppelt abgerechnet – einmal die Feature-Rate für die eigentliche Aktion, und zusätzlich „Text- und generative KI-Werkzeuge (Premium)“ mit 10 Credits je 1.000 Token. Wer sein Modell auf tiefes Reasoning stellt, weil sich das hochwertiger anfühlt, zahlt dafür in Token. Zweitens: Tenant Graph Grounding kostet 10 Credits pro Anfrage. Ein Agent, der bei jeder Frage den gesamten Microsoft Graph durchpflügt, obwohl die Antwort in einer einzigen SharePoint-Bibliothek steht, ist der mit Abstand teuerste Weg, eine Telefonnummer zu finden.

Ein Trostpflaster gibt es: Nutzt ein mit Microsoft 365 Copilot lizenzierter Mitarbeiter einen internen Agenten unter seiner eigenen Identität, ist das im Rahmen von Fair-Use-Grenzen ohne zusätzliche Credits enthalten. Aber Vorsicht: Computer Use ist von dieser Inklusion ausdrücklich ausgenommen und wird immer berechnet – 5 Credits je Schritt beim Standardmodell, 15 beim Premium-Modell. Ein Formular mit vier Schritten kostet also 20 beziehungsweise 60 Credits. Rechne das einmal auf 500 Rechnungen am Tag hoch, bevor du im Lenkungsausschuss den Satz „das ist ja quasi geschenkt“ sagst.

Das zweite große Risiko ist Identität und Berechtigung. Ein Agent, der mit den Anmeldedaten seines Erstellers läuft, hebelt das gesamte Berechtigungskonzept aus, das du jahrelang gepflegt hast. Und ein Agent, der SharePoint als Wissensquelle nutzt, macht gnadenlos sichtbar, wo dein Oversharing-Problem sitzt – er liest brav, was der jeweilige Benutzer lesen darf, und der darf in der Praxis oft deutlich mehr, als irgendjemand jemals vermutet hätte. Immerhin: Die Vertraulichkeitsbezeichnungen aus SharePoint werden im Chat angezeigt, du siehst also die höchste Stufe der verwendeten Quellen. Das ist Symptombehandlung, keine Heilung. Die Heilung heißt Berechtigungsbereinigung, und die macht keinen Spaß.

Was müssen wir jetzt schon vorbereiten?

Die Reihenfolge ist nicht verhandelbar. Wer mit dem Bauen anfängt und die Governance nachschiebt, macht die Erfahrung, dass man 200 Agenten nachträglich deutlich schlechter einfängt, als man sie vorher kanalisiert hätte.

Abb. 3: 90 Tage bis zum ersten produktiven Agenten – in dieser Reihenfolge, nicht in einer anderen.

Erstens: die Umgebungsstrategie. Die Default-Umgebung ist der Ort, an dem Agenten entstehen, die niemand kennt und für die sich niemand verantwortlich fühlt. Aktiviere Environment Routing, damit neue Ersteller automatisch in einer persönlichen Entwicklerumgebung landen statt in der Default-Umgebung. Zieh dir parallel ein Inventar: Seit Mai gibt es ein Agent-Inventory-Schema, mit dem du alle Copilot-Studio-Agenten deiner Organisation über das Admin Center, eine API oder den Azure Resource Graph auflisten kannst. Du wirst überrascht sein, was da schon läuft. Die meisten sind es.

Zweitens: die Datenrichtlinien. DLP ist für Copilot Studio inzwischen standardmäßig aktiv, und Ausnahmen je Agent gibt es nicht mehr. Die Richtlinien steuern deutlich mehr als nur Connectoren – sie regeln die Authentifizierung, einschließlich der Frage, ob unauthentifizierte Nutzung überhaupt erlaubt ist, sowie Wissensquellen, Aktionen und Skills, HTTP-Anfragen, die Veröffentlichung in Kanäle, Application Insights und die Trigger autonomer Agenten. Tenant-weite Richtlinien schlagen dabei Umgebungsrichtlinien und lassen sich lokal nicht aufweichen. Nutze genau das.

Drittens: die Identität. Seit Juli 2026 erhält jeder neue Agent automatisch eine Microsoft Entra Agent ID, ein Opt-out auf Umgebungsebene ist nicht mehr möglich. Bestehende Agenten laufen übergangsweise auf App-Registrierungen weiter und werden später migriert; die Governance-Funktionen greifen während der Übergangsphase für beide Varianten. Der eigentliche Gewinn liegt darin, was beim Veröffentlichen passiert: Copilot Studio hängt die Connector-Berechtigungen als API-Berechtigungen an die Agent-Identität. Dein Entra-Administrator sieht damit ohne Umweg über das Power Platform Admin Center, was ein Agent überhaupt darf – und kann diese Berechtigungen mit Conditional Access adressieren, etwa über Netzwerkstandort, Gerätekonformität oder Risikobewertung. Zum ersten Mal kannst du einen Agenten behandeln wie ein Dienstkonto, das man ernst nimmt.

Viertens: Betrieb und Nachweis. Die Audit-Logs der Ersteller landen in Microsoft Purview, Agent-Aktivitäten lassen sich über Microsoft Sentinel überwachen und alarmieren. Agent 365 ist seit April allgemein verfügbar und liefert die übergreifende Sicht auf Inventar, Berechtigungen, Verhalten und Aktivität – das Cockpit, nach dem alle gefragt haben. Für Umgebungen mit erhöhten Anforderungen gibt es kundenverwaltete Verschlüsselungsschlüssel und Customer Lockbox, mit einer wichtigen Einschränkung: Lockbox deckt die Daten nicht ab, die im Rahmen der Sicherheitsprotokollierung von Agent 365 aus Copilot Studio herausgehen. Das solltest du wissen, bevor es dein Datenschutzbeauftragter herausfindet – vorzugsweise von dir.

Fünftens: der Lebenszyklus. Bau Entwicklung, Test und Produktion sauber mit Solutions auf, halte Komponentensammlungen für wiederverwendbare Bausteine vor und nutze die seit Januar allgemein verfügbare Visual-Studio-Code-Erweiterung, wenn deine Entwickler Agenten versionieren wollen wie Code. Und häng die Evaluations in die Pipeline. Ein Agent ohne Regressionstests ist kein Produkt, sondern ein Versprechen – und Versprechen skalieren bekanntlich schlecht.

Häufig gestellte Fragen

Brauche ich für Copilot Studio eine Microsoft-365-Copilot-Lizenz?

Nein, Copilot Studio wird separat lizenziert – entweder über Kapazitätspakete zu 25.000 Copilot Credits für 200 US-Dollar im Monat oder über ein nutzungsbasiertes Pay-as-you-go-Modell ohne Vorabbindung. Eine Microsoft-365-Copilot-Lizenz hilft trotzdem spürbar: Die interne Nutzung eines Agenten durch einen so lizenzierten Mitarbeiter unter dessen eigener Identität ist im Rahmen von Fair-Use-Grenzen ohne zusätzliche Credits enthalten – mit Ausnahme von Computer Use, das immer berechnet wird.

Wie verhindere ich, dass Mitarbeiter unkontrolliert eigene Agenten bauen?

Über drei Hebel: Environment Routing lenkt neue Ersteller automatisch in persönliche Entwicklerumgebungen statt in die Default-Umgebung, tenant-weite DLP-Datenrichtlinien schränken Connectoren, Kanäle, Wissensquellen und Trigger ein, und im Power Platform Admin Center lässt sich die Veröffentlichung von Agenten mit generativen KI-Funktionen tenant-weit sogar komplett abschalten. Was bereits existiert, findest du über das Agent-Inventar per Admin Center, API oder Azure Resource Graph.

Was passiert, wenn wir unsere Copilot Credits aufbrauchen?

Microsoft gewährt zunächst eine gewisse Überziehung als Karenzzeit, aber bei 125 Prozent der vorausbezahlten Kapazität greift die Enforcement und deaktiviert die Custom Agents – laufende Gespräche werden zu Ende geführt, alle neuen Aufrufe abgewiesen. Vermeiden lässt sich das durch Umverteilung von Kapazität zwischen Umgebungen, Zukauf weiterer Credits, Aktivierung von Pay-as-you-go oder – am sinnvollsten – durch monatliche Verbrauchsgrenzen je Agent, die du vorab im Admin Center setzt.

Ist Computer Use ein vollwertiger Ersatz für klassische RPA-Werkzeuge?

Nur teilweise. Computer Use ist deutlich robuster gegenüber Änderungen an der Oberfläche, weil es die Anwendung wie ein Mensch sieht und nicht auf feste Selektoren angewiesen ist, und es kommt ohne Skripting aus. Dafür arbeitet es nicht deterministisch, kostet Credits je Schritt und verlangt eine abgesicherte, dedizierte Maschine mit minimalen Rechten – für hochvolumige, streng regelkonforme Massenverarbeitung bleibt ein klassischer, vollständig getesteter Automatisierungspfad häufig die bessere Wahl.

Wie schütze ich einen Agenten gegen Prompt Injection?

Vollständig gar nicht – aber du kannst das Schadenspotenzial klein halten. Betreibe Tools mit den Anmeldedaten des Endbenutzers statt mit denen des Erstellers, beschränke bei Computer Use die erlaubten Websites und Anwendungen per Positivliste, erzwinge HTTPS und aktiviere die menschliche Überwachung, die bei erkannten manipulativen Anweisungen einen benannten Freigeber per Mail einbindet. Ergänzend warnt dich der automatische Sicherheitsscan vor der Veröffentlichung, wenn die Standardeinstellungen der Absicherung aufgeweicht wurden.