KI Datenhoheit 2026: Daten sicher mit Conditional Access

Pexon Consulting | 9 Min. Lesezeit | 10.07.2026

TL;DR

KI Datenhoheit bedeutet, dass euer Firmenwissen im Haus bleibt, auch wenn Mitarbeiter KI-Tools nutzen. Pexon baut die Kontrollschicht aus Entra Conditional Access, Microsoft Purview DLP und DSPM for AI in einem 6-Wochen-Pilot. Ergebnis: kontrollierter KI-Zugang statt Datenabfluss, 71 Prozent Schatten-Nutzung sichtbar gemacht.

Das Problem: eure Daten sind längst unterwegs

71 Prozent der Wissensarbeiter im DACH-Mittelstand geben Firmendaten in ChatGPT, Claude oder Gemini ein, ohne dass die IT davon weiß (Springer-Studie 2026, n>1.200). Das ist kein Randphänomen mehr, das ist der Normalzustand. Und 38 Prozent dieser heimlichen Nutzer laden dabei sensible Geschäftsdaten in öffentliche LLM-Endpunkte.

Der Anteil sensibler Inhalte in KI-Prompts ist explodiert: 34,8 Prozent der ChatGPT-Eingaben enthalten laut aktuellen Auswertungen sensible Daten, gegenüber 11 Prozent im Jahr 2023. Generative KI ist inzwischen der Kanal Nummer eins für unautorisierte Datenbewegungen und verantwortet 32 Prozent aller Abflüsse. Fast 40 Prozent der hochgeladenen Dateien enthalten personenbezogene oder Zahlungsdaten, 22 Prozent des eingefügten Texts fällt unter Regulatorik.

Wer jetzt reflexartig alles blockt, verliert. Die Nutzung findet trotzdem statt, dann eben auf dem Privathandy. Die eigentliche Frage ist nicht „KI erlauben oder verbieten“, sondern: Wie behaltet ihr die Kontrolle über die Daten, wenn KI-Nutzung ohnehin passiert? Genau das ist KI Datenhoheit.

Was KI Datenhoheit technisch heißt

KI Datenhoheit ist die Fähigkeit, jederzeit zu bestimmen, welche Daten in welches KI-System fließen, wer sie nutzt und wo sie verarbeitet werden. Sie steht auf drei Säulen: Identität (wer darf), Datenklassifizierung (was ist schützenswert) und Verarbeitungsort (wo landet es). Fehlt eine Säule, ist Datenhoheit ein Wunsch, keine Kontrolle.

In der Microsoft-Welt entsteht diese Kontrolle aus dem Zusammenspiel dreier Bausteine, die die meisten Unternehmen bereits lizenziert haben, aber nicht scharf gestellt betreiben:

Unsere klare Empfehlung: Fangt nicht mit dem teuersten Baustein an, sondern mit Sichtbarkeit. Ohne zu wissen, welche KI-Tools im Haus überhaupt genutzt werden, konfiguriert ihr Policies ins Blaue.

Conditional Access: der Türsteher für KI-Apps

Entra Conditional Access ist die günstigste und wirksamste erste Schicht. Ihr definiert Bedingungen, unter denen ein KI-Zugang erlaubt, blockiert oder mit zusätzlicher Authentifizierung versehen wird. Seit Juli 2026 gibt es dafür eigene Service-Pläne (Entra Conditional Access for Agents unter Microsoft 365 Agent beziehungsweise E7-Lizenz), aber die Kernlogik lässt sich mit bestehenden Policies bauen.

Ein typisches Muster: Zugang zu Microsoft 365 Copilot nur von verwalteten, compliant Geräten, mit MFA, und nur für Nutzer ohne aktuelles Insider-Risiko. Als Konzept sieht die Policy so aus:

{
  "displayName": "KI-Zugang nur von compliant Geraeten",
  "conditions": {
    "applications": {
      "includeApplications": ["Office365", "Microsoft365Copilot"]
    },
    "users": {
      "includeGroups": ["alle-mitarbeiter"],
      "excludeGroups": ["notfall-break-glass"]
    }
  },
  "grantControls": {
    "operator": "AND",
    "builtInControls": ["mfa", "compliantDevice"]
  }
}

Der Kommentar sagt es: nur verwaltete Geräte kommen durch. Die Break-Glass-Gruppe bleibt ausgenommen, sonst sperrt ihr euch im Ernstfall selbst aus. Das ist kein exotisches Feature, das ist Standard-Entra, den fast niemand konsequent auf KI-Apps anwendet.

Für nicht verwaltete Schatten-KI wie das private ChatGPT-Konto greift Conditional Access allein nicht. Dafür braucht ihr die nächste Schicht.

DLP: verhindern, dass sensibles Wissen im Prompt landet

Data Loss Prevention ist die Schicht, die am Inhalt ansetzt statt an der Identität. Microsoft Purview DLP arbeitet auf zwei Ebenen, die zusammengehören.

Endpoint DLP blockt oder warnt auf verwalteten Windows-Geräten, wenn jemand sensible Inhalte in eine KI-Website einfügt. Purview erkennt zum Beispiel, wenn ein Nutzer eine Kreditkartennummer in ChatGPT pasten will, und stoppt das oder zeigt eine Warnung, die überschrieben werden kann. Das setzt voraus, dass die Geräte an Purview onboarded sind, sonst greift die Regel im Browser nicht.

DLP für Copilot (verfügbar seit März 2025) ist der zweite Hebel: Er verhindert, dass Copilot Dateien mit bestimmten Sensitivity Labels überhaupt verarbeitet. Wer ein Dokument mit dem Label „Streng vertraulich“ versieht, sorgt dafür, dass Copilot es nicht in eine Antwort zieht, selbst wenn der Nutzer theoretisch Zugriff hätte.

Ein Praxis-Beispiel ohne Kundennamen: Ein Versicherer klassifiziert Schadenakten mit einem Sensitivity Label und verknüpft eine DLP-Regel. Ab dem Moment kann kein Mitarbeiter mehr Aktendetails in ein öffentliches LLM kopieren, ohne dass die Aktion geblockt und protokolliert wird. Die Fachabteilung merkt im Alltag fast nichts, die Kontrolle liegt trotzdem bei der IT.

Wir sehen bei unseren Kunden immer wieder denselben Fehler: DLP-Regeln werden im „Audit“-Modus gelassen und nie scharf geschaltet. Das produziert schöne Reports und null Schutz. Unsere Empfehlung: nach zwei bis vier Wochen Audit die kritischsten Regeln auf „Block“ ziehen, sonst war die Arbeit umsonst.

Purview DSPM for AI: Sichtbarkeit als Fundament

Data Security Posture Management for AI ist das Cockpit, das die anderen beiden Schichten steuerbar macht. Es zeigt, welche KI-Apps genutzt werden, welche sensiblen Daten in Prompts fließen und wo Oversharing droht. Ohne diese Sichtbarkeit optimiert ihr blind.

Wichtig für die Planung 2026: Die neue DSPM-Erfahrung ist seit Mai 2026 weltweit allgemein verfügbar (General Availability). Die alten Varianten heißen jetzt DSPM (classic) und DSPM for AI (classic) und werden am 30. September 2026 abgeschaltet. Wer noch auf der classic-Version aufsetzt, sollte die Migration jetzt einplanen, nicht im September unter Zeitdruck.

DSPM for AI deckt nicht nur Microsoft-eigene Copilots ab. Über die Kategorie „Enterprise AI apps“ lassen sich auch ChatGPT Enterprise, Anthropic Claude (Enterprise), Microsoft Foundry und Entra-registrierte KI-Apps einbinden. Über die Defender-for-Cloud-Apps-Kategorie „Generative AI“ werden mehr als 1.200 KI-Dienste erkannt, inklusive der Consumer-Varianten von ChatGPT, Gemini und DeepSeek. Das ist der Baustein, der Schatten-KI sichtbar macht.

Die konkreten Schritte, Sensitivity Labels und Policy-Beispiele stehen in der offiziellen Microsoft-Learn-Dokumentation zu Purview für generative KI, Stand 27. Mai 2026. Für die Architektur-Entscheidung, welche Bausteine in welcher Reihenfolge scharf gehen, lohnt sich der Blick auf ein sauberes Governance-Modell statt Einzel-Policies.

Wo Microsoft an seine Grenze kommt: Datensouveränität

Conditional Access und DLP kontrollieren den Zugang und den Inhalt. Sie beantworten aber nicht die Frage, wo die Verarbeitung physisch stattfindet. Wenn eure Compliance verlangt, dass Daten Deutschland oder die EU nicht verlassen, reicht die Microsoft-Cloud-Kontrollschicht allein nicht in jedem Fall aus.

Für stark regulierte Bereiche (Banking, Versicherung, Energie, KRITIS) empfehlen wir, die dritte Säule ernst zu nehmen: den Verarbeitungsort. Das kann heißen, ein LLM in einer EU-Region zu betreiben, oder in sensiblen Fällen ein on-premise gehostetes Modell. Das ist teurer und langsamer im Aufbau, aber bei bestimmten Regulatorik-Anforderungen die einzige ehrliche Antwort. Wer hier „läuft eh in der EU-Cloud“ behauptet, ohne Datenresidenz-Zusagen und Verarbeitungsverträge geprüft zu haben, riskiert im Audit ein böses Erwachen.

Die drei Microsoft-Bausteine plus Datenresidenz ergeben zusammen echte KI Datenhoheit. Einzeln sind sie Stückwerk.

Häufig gestellte Fragen

Was kostet die Einführung von KI Datenhoheit mit Conditional Access und Purview?

Kommt auf euren Lizenzstand an. Conditional Access und Basis-DLP sind in vielen Microsoft-365-E5-Plänen bereits enthalten, hier fällt vor allem Konfigurationsaufwand an. Ein geführter 6-Wochen-Pilot mit Klassifizierungs-Konzept, Policy-Design und Betriebsübergabe liegt bei uns im Bereich von 50.000 bis 90.000 Euro, abhängig von Umfang und Zahl der KI-Apps.

Conditional Access oder DLP: was zuerst?

Weder noch. Zuerst DSPM for AI für Sichtbarkeit, dann Conditional Access als Türsteher, dann DLP am Inhalt. Wer mit DLP startet, ohne die genutzten KI-Tools zu kennen, baut Regeln gegen Phantome. Sichtbarkeit ist immer der erste Schritt.

Reicht Conditional Access, um Schatten-KI wie privates ChatGPT zu stoppen?

Nein. Conditional Access schützt den Zugang zu registrierten Unternehmens-Apps. Das private ChatGPT-Konto im Browser fängt erst Endpoint DLP auf verwalteten Geräten ab, kombiniert mit Defender for Cloud Apps zur Erkennung. Auf unverwalteten Privatgeräten bleibt eine Lücke, die nur Richtlinie plus attraktive interne KI-Alternative schließt.

Ab wann muss ich von DSPM for AI classic migrieren?

Die classic-Versionen laufen bis zum 30. September 2026 weiter und werden dann abgeschaltet. Bis dahin läuft die neue DSPM-Erfahrung parallel, sodass nichts bricht. Wir raten, die Migration im dritten Quartal 2026 zu planen, nicht auf den letzten Drücker.

Ersetzt Microsoft Purview eine eigene KI-Governance?

Purview ist das Werkzeug, nicht die Strategie. Es setzt Regeln durch, aber jemand muss vorher definieren, welche Datenklassen in welche KI-Systeme dürfen und wer haftet. Diese Governance-Ebene braucht ihr unabhängig vom Tool, sonst konfiguriert ihr Technik ohne Leitplanken.

Nächster Schritt

Wenn ihr wisst, dass KI im Haus genutzt wird, aber nicht kontrolliert, ist der schnellste Hebel ein sauberes Governance-Modell mit den passenden Purview-Policies. Genau das setzen wir gemeinsam auf.

Verwandte Themen