Consulting Briefing

18.06.2026 · boddenberg.de

Power Pages und Apps Roadmap

Executive Summary

Kurzversion für alle, die diese Seite zwischen zwei Teams-Calls überfliegen: Microsoft hat mit der 2026 Release Wave 1 (April bis September 2026) Power Pages und Power Apps vom „Low-Code-Baukasten“ zur „Agentic-Plattform“ umgebaut. Du beschreibst in natürlicher Sprache, was das Business braucht – und ein Coding-Agent baut, sichert und deployt die Lösung. Das ist kein Marketing-Nebel mehr, sondern allgemein verfügbar.

Das Power-Pages-Plugin für agentisches Coding ist GA – inklusive Anbindung an GitHub Copilot CLI und Claude Code. Dazu kommen ein Security Agent (für Maker UND Admins), AI-gestützte Freigaben von Dev nach Prod über Power Platform Pipelines, serverseitige Logik direkt in Power Pages, Log-Export und End-User-Auditing. Power Apps bekommt den Modern Look als Default, ernstzunehmendes Offline mit FetchXML-Profilen, smartere Suche, generative Pages und mit dem Agent Feed eine Aufsichts-Inbox für autonome Agenten.

Bottom Line: Citizen Development wird endlich erwachsen – und genau deshalb wird es gefährlich, wenn du jetzt nichts tust. Wer keine Leitplanken setzt, bekommt Shadow-IT auf Steroiden. Die Empfehlung: jetzt evaluieren, einen kontrollierten Piloten aufsetzen und Governance VOR der Breite ausrollen.

Worum geht es im Detail?

Fangen wir bei Power Pages an, denn hier ist der Sprung am größten. Bisher war ein Business-Portal ein Projekt: Anforderungen, Design, Entwickler, Security-Review, Go-live – gern mal ein halbes Jahr. Neu ist der agentische Weg. Du öffnest Claude Code oder die GitHub Copilot CLI, das Power-Pages-Plugin ist installiert, und du sagst dem Agenten in Prosa, was du willst. Der Agent kennt die Power-Pages-Skills, baut Seiten, legt Anmeldung, Registrierung und Profilseiten in einer einzigen Konversation an, verdrahtet mehrere Sign-in-Provider und rollenbasierte Zugriffe.

Der entscheidende Unterschied zu „irgendeine KI baut mir HTML“: Power Pages liefert das Enterprise-Drumherum ab Werk. Hosting, Skalierung, Governance und Sicherheit kommen von Microsoft, nicht aus deinem Bauchgefühl. Die Grafik unten zeigt den kompletten Weg vom Prompt bis zum produktiven Portal – inklusive der Station, die man am liebsten überspringt und auf keinen Fall überspringen darf.

Abb. 1: Agentic-Build-Pipeline für Power Pages – der Security Agent ist Pflicht, nicht Kür.

Diese Station ist der Security Agent, und den gibt es gleich in zwei Geschmacksrichtungen. Für den Maker hilft er beim Bauen: Er konfiguriert komplexe Rollen und Berechtigungen, scannt die Live-Seite, prüft Zugriffsrechte, richtet eine Web Application Firewall ein und stellt die Browser-Security-Einstellungen richtig – bevor das Portal online geht. Für den Admin läuft er im Betrieb: Er überwacht und entschärft Bedrohungen wie Phishing und DDoS-Attacken und flaggt Content-Verstöße wie Spam und anstößige Inhalte. Security wird damit Teil des Bauprozesses, statt eine Bußübung danach.

Drumherum stapelt Microsoft die Plattform-Disziplin: Die AI-gestützte Promotion von Dev nach Prod läuft über native Power Platform Pipelines – mit Review-Checkpoints, damit nicht jeder Prompt sofort in Produktion rauscht. Dazu kommen WAF-Managed-Rules, serverseitige Logik direkt in Power Pages, verschlüsselte ID-Tokens für Identity-Provider mit Token-Verschlüsselung und feingranulare Kontrolle, welche externen Auth-Provider überhaupt erlaubt sind. Für Compliance wichtig: Site-Analytics und Server-Logs lassen sich in dein eigenes System exportieren, und End-User-Transaktionen auf Dataverse-Records werden für Auditing protokolliert. Die vier zentralen Dynamics-365-Portal-Templates ziehen außerdem auf das Enhanced Data Model und Bootstrap 5 um.

Jetzt zu Power Apps. Hier ist die Schlagzeile: Der Modern Look wird Default. Model-driven Apps bekommen die aufgeräumte Kopfzeile und Navigation als GA – das ist die Oberfläche, an der Microsoft jahrelang geschraubt hat, und sie ist jetzt nicht mehr Opt-in. Canvas Apps werden mobil endlich ernst: Echtzeit-Zugriff auf Dataverse im Online-Modus, fortgeschrittene Offline-Profile per FetchXML und Push-Notifications auch in custom-gebrandeten und white-labeled Apps. Die Suche in Grids und Lookups wird schneller und unschärfetolerant – Fuzzy-Treffer und sauberes Hit-Highlighting inklusive.

Der AI-Layer wird dicker: Generative Pages sind breiter verfügbar und lokalisiert, Row Summaries in Model-driven Apps bekommen mehr Reichweite und – wichtig – Governance. Copilot lebt direkt in der App und kennt den Kontext dessen, was der Nutzer gerade tut. Über Work IQ holt sich die App kontextbezogen E-Mails, Meetings, Teams-Nachrichten und Dokumente aus dem M365-Tenant. Und der Agent Feed ist eine eingebaute Aufsichts-Inbox – ein Task-Board für Agenten-Aktivitäten, sauber sortiert in „Completed“ und „Needs Attention“. Korrekturen, die du dort machst, bleiben dank Closed-Loop Learning über den MCP-Server als strukturiertes Gedächtnis erhalten – der Agent wird mit der Zeit besser, ohne dass du Datenpipelines von Hand baust.

Ein Wort zur Einordnung, weil die Begriffe gern durcheinandergehen. „Agentic Coding“ heißt nicht, dass die KI heimlich im Hintergrund werkelt und du am Ende hoffst. Es heißt: Du sitzt mit einem Agenten an einem Tisch, beschreibst dein Ziel, der Agent schlägt vor, baut, zeigt dir das Ergebnis – und du korrigierst. Genau für diese Korrekturschleife ist der Agent Feed gemacht. Und weil das Plattform-Wissen in den Power-Pages-Skills steckt, baut der Agent nicht irgendein Web-Gerüst, sondern echte Power-Pages-Artefakte, die im Dataverse hängen, Berechtigungen kennen und sich versionieren lassen. Das ist der Unterschied zwischen einem hübschen Prototyp und etwas, das den Montagmorgen überlebt.

Abb. 2: Zeitstrahl der wichtigsten Bausteine, April bis September 2026.

Was sind Chancen? Was sind Risiken?

Die Chance ist riesig und gleichzeitig genau das Problem. Portale und Apps, die früher Monate und ein kleines Spezialistenteam gefressen haben, entstehen jetzt in Wochen – teils von Fachbereichs-Kollegen, die noch nie eine Zeile Code geschrieben haben. Das ist der Citizen-Development-Traum: Wer das Fachproblem versteht, baut die Lösung selbst, und die Plattform liefert Security, Hosting und Skalierung mit. Mit Modern Look, Offline und Work IQ ist das Ergebnis sogar ansehnlich und im M365-Alltag verankert.

Die Kehrseite: Genau diese Geschwindigkeit produziert Wildwuchs, wenn niemand bremst. Eine KI baut Blödsinn genauso schnell wie Sinnvolles – nur eben mit professioneller Optik, was die Sache schlimmer macht. Ohne Data Loss Prevention, Environment-Routing und Lizenzkontrolle bekommst du Shadow-IT auf Steroiden: 200 halbfertige Apps, von denen drei geschäftskritisch sind und keiner weiß, welche. Dataverse-Daten sickern aus dem Tenant, Kapazitäten laufen voll, und in 18 Monaten pflegt das Ganze niemand. Die folgende Matrix bringt es auf den Punkt.

Ein Beispiel aus der echten Welt, leicht anonymisiert. Ein Mittelständler aus dem Maschinenbau wollte ein Lieferanten-Portal: Bestellungen einsehen, Lieferscheine hochladen, Reklamationen melden. Klassisch hätte das vier Monate und einen externen Dienstleister gekostet. Der interne Power-Platform-Enthusiast – im Hauptberuf Einkäufer, nebenbei Excel-Magier – hat mit dem Agenten in anderthalb Wochen einen funktionierenden Stand gebaut. Klang nach Heldengeschichte. Bis im Review auffiel, dass jeder Lieferant die Bestelldaten aller anderen sehen konnte, weil der Agent die Tabellenberechtigung großzügig auf „alle authentifizierten Nutzer“ gesetzt hatte. Kein Drama, weil es im Review auffiel – aber genau das ist der Punkt: Ohne den menschlichen Checkpoint wäre das live gegangen. Die Geschwindigkeit ist real, die Notwendigkeit der Kontrolle leider auch.

Abb. 3: Chancen und Risiken im direkten Vergleich.

Was müssen wir jetzt schon vorbereiten?

Nicht abwarten, aber auch nicht blind die Türen aufreißen. Der vernünftige Weg ist ein kontrollierter Pilot mit harten Leitplanken. Konkret heißt das: Bevor der erste Fachbereich loslegt, brauchst du eine Governance-Basis, die die Geschwindigkeit der Plattform aushält.

Erstens: Environment-Strategie und Routing aufsetzen, damit nicht jeder im Default-Environment baut. Zweitens: Data-Loss-Prevention-Policies definieren – inklusive der neuen Option, anonymen Nutzern den Zugriff auf Dataverse-Tabellendaten aus Power Pages zu verwehren. Drittens: Den Security Agent für Admins aktivieren und seine Befunde in euren Betrieb einbinden, statt sie in einem Dashboard verstauben zu lassen. Viertens: Lizenz- und Kapazitätsmodell klären, bevor die erste Rechnung euch überrascht – Power Pages und Power Apps haben eigene Lizenzlogiken, die man besser vorher versteht.

Fünftens, und das wird gern vergessen: Pipelines für Dev nach Prod einrichten und Review-Checkpoints wirklich besetzen. Ein Checkpoint, den niemand prüft, ist Dekoration. Sechstens: Den Agent Feed als echten Betriebsprozess etablieren – jemand muss „Needs Attention“ tatsächlich abarbeiten. Und siebtens: Eine kleine Gruppe Citizen Developer schulen und zu Multiplikatoren machen, statt zu hoffen, dass sich Best Practices von selbst verbreiten.

Zum Hintergrund, warum gerade Lizenzen so oft zur Falle werden: Power Pages rechnet anders ab als Power Apps, und beide haben über die Jahre ihr Modell mehrfach gedreht. Power Pages kennt unter anderem nutzungsbasierte Abrechnung nach authentifizierten und anonymen Besuchern, während Power Apps je nach Szenario pro App oder pro Nutzer lizenziert wird – und obendrauf liegen die AI-Funktionen, die Microsoft 365 Copilot voraussetzen. Wer das nicht vorher durchrechnet, baut begeistert eine Lösung, die im Pilot drei Nutzer hat und in der Breite plötzlich fünfstellig pro Jahr kostet. Die gute Nachricht: Genau dafür ist der Pilot da. Miss die tatsächliche Nutzung, hochskaliert auf die Zielgruppe, und du hast eine belastbare Zahl, bevor der Einkauf fragt.

Wenn ihr diese sieben Punkte vor der Breite erledigt, wird aus dem Citizen-Development-Risiko ein Produktivitätshebel. Wenn nicht, wird es ein Aufräumprojekt für 2027 – und die sind erfahrungsgemäß teurer als alles, was man vorher hätte tun können. Der Trick ist nicht, die Bremse zu ziehen, sondern Leitplanken zu bauen, an denen die Fachbereiche schnell UND sicher fahren können.

Häufig gestellte Fragen

Brauche ich zwingend Claude Code oder GitHub Copilot CLI, um Power Pages zu bauen?

Nein. Das agentische Coding ist ein zusätzlicher, sehr schneller Weg – das klassische Design Studio mit den Workspaces für Seiten, Styling, Daten und Setup bleibt vollständig erhalten. Du kannst beide Welten mischen und etwa einen vom Agenten gebauten Entwurf im Studio feinschleifen.

Ist agentisch gebautes Citizen Development sicher genug für den Produktivbetrieb?

Grundsätzlich ja, weil Power Pages Hosting, Skalierung und der Security Agent das Enterprise-Fundament liefern. Sicher wird es aber erst durch eure Governance – DLP-Policies, Environment-Routing und besetzte Review-Checkpoints in den Pipelines sind kein Nice-to-have, sondern Voraussetzung.

Was ist der Unterschied zwischen dem Security Agent für Maker und dem für Admins?

Der Maker-Agent hilft beim Bauen: Rollen, Berechtigungen, WAF und Browser-Security werden vor dem Launch konfiguriert und gescannt. Der Admin-Agent läuft im Betrieb und überwacht laufend Bedrohungen wie Phishing und DDoS und flaggt Content-Verstöße.

Muss ich nach dem Update sofort auf den Modern Look in meinen Model-driven Apps umstellen?

Mit der 2026 Release Wave 1 wird der Modern Look zum Default, du musst also eher aktiv werden, wenn du ihn nicht willst. Plane einen kurzen Test eurer wichtigsten Apps ein, denn Kopfzeile und Navigation ändern sich sichtbar für die Endnutzer.

Wann genau stehen diese Features in meinem Tenant bereit?

Die Release Wave 1 liefert zwischen April und September 2026 aus, und zwar wellenweise statt an einem Stichtag. Verfolge die konkreten Termine im Release-Plan deines Tenants und plane Adoption als fortlaufenden Prozess über das halbe Jahr.