Google gegen Microsoft: Wer kontrolliert die KI-Agenten im Unternehmen?
Googles universeller Arbeitsagent trifft auf Microsofts Kontrollarchitektur für viele KI-Agenten. Beide Ansätze versprechen Sicherheit und Nutzen – aber auf unterschiedlichen Ebenen.
Google Cloud stellte am 8. Oktober 2026 einen universellen Gemini-Arbeitsagenten vor. Microsoft erläuterte am 19. Oktober die Absicherung unterschiedlicher Agenten durch Identitäten, Aufgabenrechte und laufende Kontrollen. Beide Strategien überschneiden sich; ein unabhängig gemessener Sicherheitsvorsprung ist nicht belegt.
Fakten und Evidenzgrenzen
- Google-Ankündigung
Universeller Arbeitsagent
Herstellerdokumentation; Verfügbarkeit und Wirksamkeit bedürfen der Prüfung.
- Microsoft-Strategie
Unabhängige Kontrollschicht
Herstellerdokumentation; Verfügbarkeit und Wirksamkeit bedürfen der Prüfung.
Google und Microsoft im Vergleich
| Dimension | Microsoft | |
|---|---|---|
| Perspektive | Ein universeller Arbeitsagent | Identität und Kontrolle |
| Ausführung | Daueraufträge und Subagenten | Governance vieler Agenten |
| Identität | Persönliche und Coworker-Agenten | Eigene Agenten-ID und Verantwortliche |
| Evidenz | Herstellerclaims; Zugang prüfen | Herstellerclaims; Wirksamkeit prüfen |
Herstellerseitig beschriebene Ansätze, keine Sicherheitszertifizierung oder Verfügbarkeitsgarantie.
Zwei KI-Strategien, eine Machtfrage
Die entscheidende Frage lautet nicht mehr allein, welches Modell am besten formuliert. Wenn KI-Agenten Dokumente lesen, Programme ausführen und Geschäftsprozesse verändern, müssen Unternehmen wissen, wer die Aufgaben auslöst, welche Rechte gelten und wer einen Fehler stoppen kann.
Google und Microsoft adressieren die neue Arbeitswelt aus unterschiedlichen Richtungen. Google stellt einen universellen Arbeitsagenten in den Mittelpunkt. Microsoft konzentriert seine jüngste Sicherheitskommunikation auf Identität, Inventar und Kontrolle vieler Agenten. Das sind Schwerpunkte, keine ausschließenden Geschäftsmodelle.
Google: Das Ziel delegieren und die Arbeit zurückbekommen
Google Cloud kündigte am 8. Oktober den Gemini agent an. Er soll Ziele entgegennehmen, Arbeit planen, Tools verwenden und mit freigegebenen Unternehmenssystemen arbeiten. Gemeinsamer Kontext und Cloud-Ausführung sollen lange Aufgaben über Geräte und Sitzungen hinweg fortsetzen können.
Google beschreibt temporäre Subagenten für Teilaufgaben und dauerhaftere Coworker-Agenten mit eigener Identität und eigenem Speicher. Verschiedene Modelle lassen sich nach Googles Darstellung einsetzen. Wichtig ist die Unterscheidung zwischen angekündigter Architektur und tatsächlich freigeschalteten Funktionen in einem bestimmten Kundenmandanten.
Microsoft: Agenten nicht blind vertrauen
Microsoft betrachtet Agenten als handelnde Akteure innerhalb der IT. Agent 365, Entra Agent ID und Project Perception sollen helfen, Agenten zu entdecken, einem Eigentümer zuzuordnen, ihre Zugriffe zu verstehen und begrenzte Berechtigungen zu vergeben.
In der Veröffentlichung vom 19. Oktober beschreibt Microsoft zeitlich und aufgabenbezogen beschränkte Rechte, Änderungen der Risikobewertung und abgestufte Schutzmaßnahmen. Eine unerwartete Anweisung aus einer externen Datei sollte einen Agenten nicht dazu befähigen, ungeprüft Daten zu übertragen oder Zahlungen auszulösen. Das Sicherheitsprinzip ist stärker als die Frage nach dem verwendeten Sprachmodell.
Kein Gegensatz zwischen nützlich und sicher
Die Gegenüberstellung darf nicht so gelesen werden, als biete Google keine Governance. Google beschreibt selbst Richtlinien, Identitäten, Sandboxes und Ausgabenlimits. Ebenso verfügt Microsoft über Assistenten und Agenten, die konkrete Arbeit erledigen. Der Unterschied liegt darin, welche Perspektive die aktuellen Ankündigungen betonen.
Googles Leitbild beginnt beim Nutzer, der ein Ergebnis delegiert. Microsoft beginnt beim Unternehmen, das viele Agenten und ihre Berechtigungen überblicken muss. Eine tragfähige Architektur braucht beide Seiten – Arbeitsqualität und technische Durchsetzung von Grenzen.
Ein realistischer Test: Rechnungen prüfen
Ein Agent soll Eingangsrechnungen sortieren, Bestellungen abgleichen und eine Zahlung zur Freigabe vorbereiten. Der Produktivitätstest fragt, ob der Agent Informationen korrekt zusammenführt und eine zuverlässige Vorlage erzeugt. Der Sicherheitstest fragt, ob er eine falsche Kontonummer eigenmächtig setzen oder eine Überweisung ohne Freigabe ausführen kann.
Für einen belastbaren Pilot gehören manipulierte PDFs, abgelaufene Tokens, widerrufene Berechtigungen und ausdrücklich verbotene Aktionen zum Testumfang. Ein erfolgreich blockierter Vorgang ist oft aussagekräftiger als zehn gelungene Standardaufträge. AgentenCode hat solche End-to-End-Tests nicht selbst durchgeführt.
Identität ist nicht gleich Berechtigung
Ein eigener Agenten-Ausweis macht Handlungen nachvollziehbar. Er sagt aber noch nicht, was der Agent tun darf. Wenn verschiedene Konnektoren gemeinsam verwendet werden, kann ein kleiner Satz einzelner Rechte insgesamt große Befugnisse ergeben.
Nötig sind minimale Rechte, begrenzte Laufzeiten, überprüfte menschliche Freigaben, verlässliche Protokolle und ein tatsächlich funktionierender Rechteentzug. Besonders kritisch sind Prompt Injection, versehentliche Datenweitergabe und der Übergang von einer erlaubten Recherche zu einer nicht autorisierten Änderung.
Kosten, Verfügbarkeit und Datenschutz
Google nennt Modellwahl und Kostenkontrollen; Microsoft beschreibt Governance- und Sicherheitsdienste. Ein neutraler Preisvergleich erfordert jedoch konkrete Tarife, Regionen und real gemessene Abläufe. Tokens sind nur ein Kostenfaktor neben Speicher, Laufzeit, Konnektoren, Monitoring und Kontrolle.
Für europäische Unternehmen gehören Datenresidenz, Aufbewahrung, Protokollzugriff, Auftragsverarbeitung und Drittmodelle zur Pflichtprüfung. Wir behaupten keine universelle EU-Datenhaltung, keine pauschale Compliance-Eignung und keinen einheitlichen allgemeinen Freigabestatus aller beschriebenen Funktionen.
Die fünf wichtigsten Nachweise vor dem Rollout
Unternehmen sollten vor der Einführung ein vollständiges Inventar mit Verantwortlichen, die wirksamen Rechte für reale Aufgaben, nachvollziehbare Tool- und Datenzugriffe, einen dokumentierten Widerrufstest und eine vollständige Kostenrechnung verlangen. Danach ist zu prüfen, ob Arbeitsergebnisse reproduzierbar und fachlich kontrollierbar sind.
Ein Agent muss mit fehlenden Daten, widersprüchlichen Anweisungen und unterbrochenen Verbindungen umgehen können. Ebenso muss sich eine falsche Änderung zurücknehmen lassen. Ein hoher Funktionsumfang ist kein Beweis, dass diese schwierigen Fälle gelöst sind.
Die vier Ebenen eines kontrollierten Agentensystems
Für eine saubere Bewertung lohnt es sich, die Architektur in vier getrennte Ebenen zu zerlegen. Die erste ist das Sprachmodell, das mögliche nächste Schritte formuliert. Die zweite ist die Orchestrierung, die Aufgaben und Teilagenten koordiniert. Die dritte umfasst Werkzeuge und Unternehmensdaten. Die vierte entscheidet unabhängig von der Antwort des Modells, welche tatsächliche Aktion erlaubt ist. Wenn Hersteller verschiedene Ebenen in einem Produktnamen bündeln, kann das die Unterschiede verschleiern.
Genau hier lassen sich Googles und Microsofts Schwerpunkte verorten: Google beschreibt prominent die Orchestrierung und den einheitlichen Zugang zur Arbeit; Microsoft legt besonderen Nachdruck auf die externe Durchsetzung von Identität, Risiko und Rechten. Das ist eine analytische Strukturierung ihrer Ankündigungen, keine Behauptung, dass ein Anbieter die jeweils anderen Ebenen nicht besitzt. Im Beschaffungsprozess sollten alle vier unabhängig geprüft werden.
Agenten, die andere Agenten beauftragen
Mehrstufige Agentenarbeit erzeugt eine schwierige Verantwortungsfrage. Ein Hauptagent kann eine Recherche delegieren, ein zweiter Agent führt ein Tool aus und ein dritter erstellt ein Ergebnis. Wem gehören dann die Berechtigungen? Gelten die Rechte des ersten Agenten weiter, oder muss jede Übergabe erneut autorisiert werden? Welche Stelle dokumentiert, welcher Teilagent welche Datei gelesen hat?
Google beschreibt für Subagenten eigene Identitäten. Microsoft betont die Trennung von Identität und zugelassener Autorität. Entscheidend ist aber nicht, dass ein System mit mehreren Agenten umgehen kann, sondern dass eine Delegation niemals stillschweigend Rechte erweitert. Unternehmen sollten die komplette Auftragskette, die Herkunft der Daten und jede Rechteentscheidung nachvollziehen können.
Prompt Injection und das Problem glaubwürdiger Falschbefehle
Ein eingeschleuster Befehl muss nicht wie ein Angriff aussehen. Er kann als Fußnote in einem Lieferanten-PDF, als Kommentar in einem Repository oder als vermeintliche Anweisung einer Führungskraft auftreten. Ein Agent verarbeitet solchen Text möglicherweise als Teil der Aufgabe. Wird aus einer Datenquelle plötzlich ein Auftrag, ist die Grenze zwischen Inhalt und Autorität überschritten.
Deshalb reichen gute Systemprompts und Modellbenchmarks allein nicht. Der Schutz muss verhindern, dass fremde Texte zusätzliche Berechtigungen auslösen, geheime Daten an andere Stellen weitergeben oder eine menschliche Freigabe umgehen. Ein belastbarer Nachweis wäre ein dokumentierter Negativtest mit erlaubten und untersagten Aktionen, einschließlich einer Erklärung, welcher technische Kontrollpunkt die unerlaubte Handlung gestoppt hat.
Plattformbindung und Reversibilität
Der Wunsch nach einem universellen Arbeitsagenten wirft eine strategische Frage auf: Wie leicht lässt sich ein bestehender Ablauf später zu einem anderen Anbieter verschieben? Modelle lassen sich möglicherweise austauschen, aber Speicher, Unternehmenskonnektoren, Agentenidentitäten, Policies und Auditprotokolle sind nicht automatisch portabel. Auch eine übergreifende Verwaltungsplattform kann von herstellerspezifischen Schnittstellen abhängig werden.
Ein guter Architekturtest exportiert daher Konfigurationen, dokumentiert verwendete Standards und prüft die Wiederherstellung in einer anderen Umgebung. Dazu gehört, eine Aufgabe nach einem Fehler zu stoppen, ihren letzten verlässlichen Zustand zu rekonstruieren und gegebenenfalls Änderungen zurückzunehmen. Interoperabilität sollte im praktischen Betrieb bewertet werden, nicht nur anhand der Erwähnung offener Protokolle.
Ein kontrollierter Rollout statt eines großen Agenten-Big-Bang
Ein sinnvoller Einstieg beginnt mit einem einzigen risikoarmen Ablauf und synthetischen Daten. Das Team definiert erlaubte Werkzeuge, Datenklassen, Kostenobergrenzen, Eigentümer und Freigabepunkte. Anschließend werden absichtlich falsche Anweisungen, Ausfälle, abgelaufene Rechte und unerwartete Datenzugriffe getestet. Ein Pilot ist erst dann aussagekräftig, wenn die Fehlerfälle ebenso sorgfältig protokolliert werden wie die erfolgreichen Arbeitsschritte.
Erst danach sollten zusätzliche Systeme oder komplexe Teilagenten eingebunden werden. Jede neue Integration verändert den tatsächlichen Berechtigungsraum und damit die Sicherheitsannahmen. Besonders bei HR-, Finanz- oder Kundendaten braucht es nachvollziehbare Zustimmung, klare Zuständigkeiten und eine Möglichkeit zur sofortigen Unterbrechung. Aus den öffentlichen Ankündigungen kann niemand ableiten, dass solche Prüfungen in jedem Unternehmen bereits erfolgt sind.
Unsere Einordnung: Kontrolle und Nutzen gehören zusammen
Googles Vision eines einheitlichen Arbeitsagenten reduziert die Reibung zwischen vielen Anwendungen. Microsoft stellt die Frage, wie eine Organisation zahlreiche eigene und fremde Agenten unter gemeinsamen Regeln betreiben kann. Beide Gedanken sind sinnvoll, und beide benötigen den Nachweis im Einzelfall.
Unser Maßstab bleibt: nachvollziehbare Quellen, reproduzierbar gute Arbeit, eng begrenzte Rechte und transparent dokumentierte Risiken. Wer allein nach der Zahl von Modellen, Integrationen oder beeindruckenden Demos entscheidet, verwechselt Produktmarketing mit Betriebssicherheit. Einen unabhängigen Sieger liefern die herangezogenen Herstellertexte nicht.
Häufige Fragen
Ist Microsoft nachweislich sicherer?
Nein. Herstellerversprechen ersetzen keine identisch ausgeführten unabhängigen Sicherheitstests.
Was unterscheidet Gemini Agent und Agent 365?
Google beschreibt einen Arbeitsagenten, Microsoft Agent 365 vor allem eine Governance-Ebene über verschiedene Agenten hinweg.
Kann Google mehrere KI-Modelle einsetzen?
Google beschreibt modellübergreifende Steuerung. Die tatsächliche Auswahl hängt vom jeweiligen Produkt und Zugang ab.
Wie sollten Unternehmen beginnen?
Mit einem eng begrenzten Test, dokumentierten Rechten, absichtlich verbotenen Aktionen und menschlichen Freigaben.
Originalquellen und Prüfgrenzen
Herstellerprimärquellen; keine unabhängige Zertifizierung, Mandantenprüfung oder universelle Preisangabe.