Copilot Cowork ist da: 6 Punkte, die Schweizer KMU vor dem Aktivieren prüfen sollten

Stand: 24. Juni 2026. Microsoft hat Copilot Cowork am 16. Juni 2026 allgemein verfügbar gemacht - einen autonomen Agenten, der eigenständig SharePoint, Mails und Dateien durcharbeitet. Dieser Beitrag ordnet ein, was Schweizer KMU im eigenen Tenant prüfen sollten, bevor sie ihn aktivieren. Quellen am Ende des Artikels.

Was ist am 16. Juni passiert?

Microsoft hat Copilot Cowork weltweit für Microsoft-365-Copilot-Kunden freigegeben, angekündigt von Charles Lamanna, EVP für Copilot, Agents und Platform, im Microsoft 365 Blog. Cowork ist kein weiterer Chat-Assistent, sondern ein Agent: Er durchsucht die Organisation über die Enterprise-Suche, verwaltet Dateien in OneDrive und SharePoint, sortiert und beantwortet Mails, postet in Teams, pflegt Kalender, erstellt Word-, Excel-, PowerPoint- und PDF-Dokumente, führt Deep Research über mehrere Quellen aus und arbeitet geplante Prompts zu festen Zeiten ab. Das alles läuft in einer Cloud-Umgebung über Minuten bis Stunden autonom weiter - auch wenn der Laptop zugeklappt ist. Browser-Aufgaben erledigt Cowork lokal in Microsoft Edge, mit den bestehenden Logins des Users. Was einen Agenten grundsätzlich von einem Chatbot unterscheidet, habe ich im Überblick zu KI-Agenten beschrieben.

Der Weg zur Verfügbarkeit war kurz: Erstankündigung als Research Preview am 9. März 2026, ab 30. März in der Frontier-Preview, am 16. Juni General Availability (GA). Microsoft nennt Cowork die am schnellsten wachsende Funktion in der Geschichte des Frontier-Programms; über die Hälfte der Fortune 500 hat den Agenten in der Preview genutzt, darunter Zurich Insurance.

Ganz autonom ist Cowork nicht: Vor sensiblen Aktionen wie dem Senden einer Mail oder einem Teams-Post fragt der Agent um Freigabe - diese Freigaben lassen sich allerdings pro Aktionstyp und Empfänger dauerhaft überspringen. Dateien löschen kann er by design nicht, lokale und verschlüsselte Dateien liest er nicht.

Zwei Abgrenzungen. Erstens die Lizenzlogik: Voraussetzung ist die Microsoft 365 Copilot Lizenz (USL). Die Cowork-Nutzung selbst wird verbrauchsbasiert in Copilot Credits verrechnet - die Copilot-Lizenz enthält keine Cowork-Credits. Zweitens: Agent 365, seit 1. Mai 2026 verfügbar, ist ein separates Produkt - eine Kontrollebene zum Überwachen und Absichern von Agenten, nicht die Heimat von Cowork.

Und die wichtigste Nachricht vorweg: Cowork ist standardmässig deaktiviert. Nichts läuft, bevor ein Admin den Schalter umlegt. Genau darum lohnt sich die Vorprüfung - sie kostet Tage, nicht Monate.

Warum sind alte SharePoint-Berechtigungen plötzlich ein KI-Problem?

Der entscheidende Satz steht in Microsofts eigener FAQ: “Cowork inherits your permissions” - der Agent sieht genau das, was der angemeldete User sehen darf. Das klingt beruhigend, ist aber der Kern des Risikos. In den meisten Microsoft-365-Umgebungen hat sich über Jahre Oversharing angesammelt: Sites mit der Freigabe “Everyone except external users”, Ordner mit gebrochener Berechtigungsvererbung, verwaiste Team-Ablagen mit Lohnlisten oder Offerten. Ein Mensch stösst auf solche Inhalte selten, weil niemand systematisch danach sucht. Ein Agent mit Enterprise-Suche stösst zuverlässig darauf - er kann bei jeder Aufgabe alles durchsuchen, was die Berechtigungen hergeben.

Dazu kommt ein zweiter Vektor, der schon vor der GA dokumentiert war: indirekte Prompt Injection. Der Sicherheitsanbieter PromptArmor hat am 13. Mai 2026 einen Practitioner’s Guide zu Cowork publiziert. Kernrisiko: Präparierte Mails, Dokumente oder Webinhalte enthalten versteckte Anweisungen, die der Agent beim Einlesen als Auftrag interpretiert. Die Empfehlungen decken sich weitgehend mit Microsofts eigenen Werkzeugen: Restricted Content Discovery und Restricted Access Control aus SharePoint Advanced Management (in der Copilot-Lizenz enthalten), automatische Klassifizierungs-Labels, kleine Pilotgruppen statt Tenant-weiter Aktivierung.

Was kostet Cowork wirklich?

Die Abrechnung läuft über Copilot Credits: Pay-as-you-go zu 0.01 USD pro Credit, monatlich nachschüssig. Microsofts eigener Copilot Credits Guide (Juni 2026) nennt illustrative Szenarien - und markiert sie explizit als grobe Planungswerte, nicht als Preisliste:

Aufgabentyp	Credits (Microsoft-Szenario)	Kosten Pay-as-you-go
Leichte Aufgabe	70-200	0.70-2 USD
Mittlere Aufgabe	400-600	4-6 USD
Schwere Aufgabe	über 1500	über 15 USD

Der Verbrauch hängt an vier Komponenten: Modelle, Laufzeit, Kontext und Tools. Ein Agent, der stundenlang autonom arbeitet, verbraucht auch stundenlang Credits - und geplante Prompts laufen jede Woche wieder. Das Kostenrisiko liegt weniger im Einzelpreis als in der Summierung ohne Limits.

Credits sind auf Tenant-Ebene gepoolt. Wer Volumen plant, kann einen Prepurchase-Plan abschliessen: ab 300’000 Credits pro Jahr, mit 5-20% Rabatt je nach Stufe - ungenutzte Credits verfallen am Ende der einjährigen Laufzeit. Für die meisten KMU ist Pay-as-you-go mit Limits der realistischere Einstieg.

Ein Termin für Preview-Nutzer: Frontier-Tenants wurden bisher nicht verrechnet; die Verrechnung beginnt gemäss Ankündigung am 1. Juli 2026. Wer den Agenten seit Wochen gratis laufen hat, sollte vorher Budgets setzen.

Wo werden die Daten verarbeitet?

Die Antwort ist zweigeteilt, und die Unterscheidung ist für Schweizer Firmen zentral.

Speicherung: Cowork folgt dem Datenresidenz-Modell von Microsoft 365 Copilot. Interaktionsinhalte - Prompts, Antworten, Zitate - werden at rest in der lokalen Region gespeichert; die Schweiz ist als Local Region aufgeführt, das Microsoft-365-Datenverarbeitungsaddendum (DPA) gilt.

Verarbeitung: Hier wird es heikler. Laut Microsofts FAQ erledigen Anthropic-Claude-Modelle den Grossteil der Reasoning-, Entwurfs- und Tool-Arbeit in Cowork - und diese Modelle sind von der EU Data Boundary ausgenommen, also von Microsofts Zusage, europäische Daten innerhalb Europas zu verarbeiten. Für Tenants in EU, EFTA und UK sind die Anthropic-Modelle deshalb standardmässig deaktiviert. Die Schweiz ist EFTA-Mitglied: Ein Schweizer Tenant muss Anthropic als Subprozessor aktiv im Admin Center freischalten. Eine explizite Zusage, dass die Cowork-Verarbeitung in der Schweiz oder der EU bleibt, gibt es nicht - sie existiert nur für die Speicherung. Preview-Modelle mit Datenaufbewahrung fallen zudem unter Anthropics eigene Vertragsbedingungen statt unter das Microsoft-DPA; auch sie sind standardmässig aus.

Für die Datenschutz-Bewertung heisst das: Der Subprozessor-Entscheid ist ein bewusster Governance-Schritt mit Dokumentationspflicht, kein Häkchen beim Onboarding.

Der Pre-Flight-Check: 6 Punkte vor dem Aktivieren

1. Berechtigungen aufräumen

Vor der Aktivierung ein Oversharing-Assessment fahren - Microsoft Purview bringt dafür DSPM for AI mit (Data Security Posture Management, eine Risikoanalyse über Freigaben und Datenbestände). Auffällige Sites mit Restricted Content Discovery aus der Suche nehmen, kritische Bereiche mit Restricted Access Control absichern. Das ist der Punkt mit dem grössten Hebel: Ein Agent erbt nicht nur Berechtigungen, sondern den gesamten Zustand Ihrer Datenhygiene.

2. Datenregion und Subprozessor entscheiden

Anthropic freischalten - ja oder nein? Der Entscheid gehört dokumentiert, mit Begründung und Verantwortlichem. Wer ihn ablehnt, sollte im Pilot prüfen, welche Cowork-Funktionen dann überhaupt nutzbar bleiben (dazu unten mehr). Preview-Modelle mit Datenaufbewahrung separat beurteilen.

3. DSFA prüfen, wenn Personendaten im Spiel sind

Ein Agent, der Mails, HR-Ablagen und Kundendossiers durcharbeitet, verarbeitet fast zwangsläufig Personendaten. Dann gehört die Frage einer Datenschutz-Folgenabschätzung (DSFA) auf den Tisch - den Rahmen dazu liefert der revDSG-Leitfaden für den KI-Einsatz. Wer auch EU-Kunden bedient, behält zusätzlich die Transparenzpflichten aus dem EU AI Act im Blick - Einordnung im Beitrag zum Digital Omnibus.

4. Sensitivity Labels und Purview-Basis legen

Cowork zeigt Sensitivity Labels (Vertraulichkeits-Etiketten auf Dokumenten) an und vererbt sie auf neu erstellte Inhalte. Audit, eDiscovery, Insider Risk Management und Aufbewahrungsrichtlinien werden unterstützt. Wer noch keine Label-Struktur hat, legt sie vor dem Rollout an - sonst vererbt der Agent konsequent nichts.

5. Nutzungsregeln festlegen

Intern klären, was der Agent tun darf und was nicht: welche Aufgabentypen, welche Datenbereiche, welche Empfänger. Besonders wichtig ist Freigabe-Disziplin: Die Approval-Abfragen vor Mails und Teams-Posts lassen sich pro Aktionstyp und Empfänger überspringen - bequem, aber genau dort entsteht das Blind-Approve-Muster, bei dem niemand mehr liest, was der Agent verschickt. Auch das separate Tenant-Setting für Cowork Browsing gehört bewusst entschieden: Browser-Aufgaben laufen lokal mit den echten Logins der Mitarbeitenden.

6. Kostenlimits setzen

Die Aktivierung setzt Usage-Billing voraus - direkt dabei Limits pro User oder Gruppe, Spend Policies und Usage Thresholds im Microsoft 365 Admin Center konfigurieren. Einzelne User lassen sich über eine Security Group ausschliessen; ein Discovery-Setting steuert, wer den Agenten überhaupt sieht. Sinnvoller Start: eine kleine Pilotgruppe, ein Monatslimit, Review nach vier Wochen.

Diese sechs Punkte sind kein IT-Grossprojekt - für ein typisches KMU sind es wenige Arbeitstage, verteilt auf IT und Geschäftsleitung. Genau diese Vorprüfung gehe ich in meinen KI-Schulungen für Schweizer KMU mit beiden Rollen durch, inklusive der Frage, welche Aufgaben sich für einen Agenten-Pilot überhaupt lohnen.

Was zum GA-Zeitpunkt fehlt oder offen ist

Vier Punkte sind Stand heute ungelöst oder unklar:

• DLP fehlt. Data Loss Prevention - Regeln, die den Abfluss sensibel markierter Inhalte automatisch blockieren - ist für Cowork erst angekündigt (“coming soon”). Wer seine Schutzarchitektur stark auf DLP stützt, hat mit Cowork vorerst eine Lücke.
• Die Dokumentation ist im Fluss. Microsoft hat die Cowork-Seiten auf Learn allein in der vergangenen Woche mehrfach aktualisiert. Einzelne Details - etwa die verfügbaren Modelle - können sich kurzfristig ändern; vor dem Rollout die jeweils aktuelle Doku prüfen.
• Folgen des Anthropic-Entscheids sind unscharf. Microsoft sagt lediglich, dass ohne die Anthropic-Modelle gewisse Funktionen nicht zugänglich sein können. Wie gut Cowork für einen Schweizer Tenant ohne diese Freischaltung funktioniert, ist nicht dokumentiert - das muss ein Pilot zeigen.
• Keine Schweiz-Zusage für die Verarbeitung. Die Datenresidenz gilt für die Speicherung; wo die Modellverarbeitung stattfindet, bleibt ohne explizite Schweiz-Garantie.

Häufige Fragen

Ist Cowork automatisch aktiv, wenn wir Microsoft 365 Copilot haben?

Nein. Cowork ist standardmässig deaktiviert. Ein Admin muss verbrauchsbasierte Abrechnung aktivieren und den Zugriff freigeben; ein separates Discovery-Setting steuert die Sichtbarkeit. Ohne diese Schritte können Mitarbeitende den Agenten höchstens beantragen, nicht nutzen.

Was ist der Unterschied zwischen Copilot Cowork und Agent 365?

Cowork ist der Agent selbst, der Aufgaben in Microsoft 365 erledigt - lizenziert über die Copilot-Lizenz plus Credits. Agent 365 ist ein separates Produkt (verfügbar seit 1. Mai 2026): eine Kontrollebene, um Agenten im Unternehmen zu beobachten, zu steuern und abzusichern. Das eine ersetzt das andere nicht.

Reicht unsere Copilot-Lizenz, oder kommen neue Kosten dazu?

Die Microsoft 365 Copilot Lizenz ist die Voraussetzung, enthält aber keine Cowork-Credits. Jede Cowork-Nutzung wird zusätzlich verbrauchsbasiert verrechnet - Pay-as-you-go zu 0.01 USD pro Credit oder über einen Prepurchase-Plan ab 300’000 Credits pro Jahr. Ohne gesetzte Limits gibt es keine eingebaute Kostenbremse.

Kann Cowork Dateien löschen oder auf lokale Dateien zugreifen?

Nein. Löschen von Dateien ist by design ausgeschlossen, lokale Dateien liest der Agent nicht, verschlüsselte Dateien kann er auch mit Nutzerberechtigung nicht öffnen. Verwalten, verschieben und neu erstellen in OneDrive und SharePoint kann er hingegen - entsprechend wichtig bleiben saubere Berechtigungen.

Praxis-Fazit

Cowork bringt agentisches Arbeiten in genau die Umgebung, die viele Schweizer KMU ohnehin im Einsatz haben - das macht die Hürde niedrig und die Vorprüfung wichtig. Alarmismus ist fehl am Platz: Der Agent ist standardmässig aus, fragt vor sensiblen Aktionen nach, und Microsoft liefert die Governance-Werkzeuge gleich mit. Die Arbeit liegt trotzdem beim Tenant. Meine Einschätzung nach den ersten Tagen seit GA: Das Risiko steckt 2026 weniger im Modell als im eigenen Datenbestand - ungepflegte Berechtigungen und fehlende Limits sind die realen Schwachstellen, nicht die KI. Wer die sechs Punkte durcharbeitet, kann den Schalter mit ruhiger Hand umlegen; wer sie überspringt, macht seinen SharePoint-Wildwuchs maschinell durchsuchbar.

---

Quellen (geprüft 24. Juni 2026):

• Copilot Cowork is now generally available (Microsoft 365 Blog, Charles Lamanna) (16. Juni 2026)
• Copilot Cowork: A new way of getting work done (Microsoft 365 Blog, Erstankündigung) (9. März 2026)
• Manage Copilot Cowork for your organization (Microsoft Learn) (16. Juni 2026)
• Microsoft Copilot Credits Guide (PDF) (15. Juni 2026)
• Use Microsoft Purview to manage data security & compliance for Microsoft 365 Copilot Cowork (Microsoft Learn) (22. Juni 2026)
• Data Residency for Microsoft 365 Copilot (Microsoft Learn) (1. September 2025)
• Copilot Cowork common questions (Microsoft Learn) (abgerufen 24. Juni 2026)
• Securing Microsoft Copilot Cowork: A Security Practitioner’s Guide (PromptArmor) (13. Mai 2026)
• Copilot Cowork ist live: Was KMU vor der Aktivierung prüfen müssen (Collective Brain) (20. Juni 2026)