KI-Guardrails (Sicherheitsleitplanken)
Der KI-Assistent ist durch mehrere serverseitige Schichten abgesichert. Keine davon hängt davon ab, dass sich das Sprachmodell „an die Regeln hält“ — sie greifen, bevor ein Werkzeug überhaupt aufgerufen wird.1. Nur lesende Werkzeuge
Über die Werkzeug-Schnittstelle erreicht der Assistent ausschließlich lesende Abfragen: Tickets, Wissensartikel, Geräte, Benutzer, Compliance, Lizenzen, Secure Score und Ähnliches. Werkzeuge, die Ihren Microsoft-Tenant verändern würden (Konten sperren, Geräte zurücksetzen, Apps zuweisen, Richtlinien ändern), sind für den Assistenten gesperrt. Braucht es eine Änderung, schlägt der Assistent sie als Karte im Chat vor. Tickets legt er erst an, wenn Sie auf die Karte klicken. Aktionskarten werden Service-Desk-Anträge: Schlägt der Assistent einen Eingriff vor (z. B. „Gerät synchronisieren“), zeigt die Karte fest an, welches Werkzeug auf welches Ziel wirken würde — nicht nur eine vom Modell formulierte Beschriftung. Nach Ihrer Bestätigung entsteht ein Ticket beim twisb Service Desk, keine Ausführung und keine Freigabe. Kritische Eingriffe laufen ausschließlich über das Approval Center mit 4-Augen-Freigabe. Portal-Admins können Aktionskarten in den Einstellungen ganz abschalten.2. Rollenprüfung bei jedem Werkzeugaufruf
Jedes Werkzeug ist einer Berechtigungsstufe zugeordnet. Neue Werkzeuge sind gesperrt, bis sie ausdrücklich eingestuft sind.Die Prüfung findet serverseitig bei jedem einzelnen Aufruf statt — in der Portal-Schnittstelle und ein weiteres Mal in der Laufzeitumgebung der Agenten. Mitgliedschaft und Rolle werden dabei jedes Mal frisch gelesen; eine im Browser manipulierte Rolle hat keine Wirkung.
3. Kurzlebige, gebundene Freigaben
Die Agenten erhalten keinen dauerhaften Zugang zu Ihren Microsoft-Daten. Für jede Chat-Anfrage stellt das Portal eine verschlüsselte, auf 90 Sekunden befristete Freigabe aus, die an Person, Mandant und Rolle gebunden ist. Nur damit kann die Agenten-Laufzeit Werkzeuge im Portal aufrufen — und zwar höchstens zwölfmal je Freigabe; das Portal zählt jeden Aufruf. Zugangsdaten zu Ihrem Tenant verlassen das Portal nie.
4. Schutz vor Manipulation (Prompt Injection)
- Daten bleiben Daten: Ticket-Texte, E-Mails und andere Inhalte Dritter werden als Daten behandelt. Selbst wenn darin „Ignoriere alle vorherigen Anweisungen“ steht, ändert das nichts an den verfügbaren Werkzeugen — denn die bestimmt die Rolle, nicht der Text.
- Begrenzte Runden: Pro Anfrage höchstens drei Werkzeugrunden mit je bis zu vier Abfragen. Danach antwortet der Assistent mit dem, was er hat.
- Begrenzte Last: 30 Anfragen pro Minute und höchstens 2.000 Zeichen pro Nachricht; zusätzlich begrenzen Kontingente die Nutzung.
5. Nachvollziehbarkeit und Datensparsamkeit
- Protokolle ohne Geheimnisse: Kennwörter, Wiederherstellungsschlüssel und Tokens werden aus Betriebsprotokollen entfernt; technische Protokolle enthalten zusätzlich keine E-Mail-Adressen oder IDs.
- Bereinigte Werkzeugergebnisse: Auch was die Werkzeuge zurückliefern (Ticket-Texte, Notizen, Postfachdaten), wird vor der Weitergabe an das Sprachmodell von Geheimnissen bereinigt.
- Befristete Gesprächsprotokolle: Protokolle der Chat-Anfragen werden nach 180 Tagen gelöscht, bei Löschung Ihres Zugangs sofort.
- Nachweise: Aktionen, die aus einem Chat-Vorschlag entstehen (z. B. ein Ticket), sind im Ticketsystem bzw. im Audit-Log nachvollziehbar.
- Kein Modelltraining: Das Modell läuft über Microsoft Azure AI Foundry in der EU Data Boundary; laut Microsoft werden Eingaben nicht zum Training verwendet.