Die Ausgangslage

AI, AI, AI überall! Doch als IT-Admins haben wir den Auftrag, Corporate Governance sicherzustellen und zu verhindern, dass sensible Informationen abfliessen, die nicht in die Hände Unbefugter gehören!

Können wir AI kontrollieren?

Für die Unternehmenswelt ja. Es ist aber eine Mischung aus organisatorischen Richtlinien, an die sich Mitarbeitende halten müssen, und technischen Massnahmen, sie durchzusetzen.

Vertrauen ist gut, Kontrolle ist besser 😉

Meine Meinung: Ich halte es nur für möglich, AI-Nutzung über Transparenz im Netzwerk-Layer zu erkennen, zu steuern und zu kontrollieren. In der Microsoft-Welt wurde das Netzwerk lange in den Hintergrund gestellt, und die Identität war der primäre Security-Perimeter.

Dann kamen Shadow IT und Shadow AI. Das heisst: Benutzer ausserhalb der IT-Abteilung fangen eigenständig (und unkontrolliert) an, Apps im Internet zu nutzen.

Am Ende erzeugt alles, was auf Endgeräten passiert, Netzwerk-Traffic. Um IT-Policies für AI durchzusetzen, müssen wir es also an der Quelle angehen.

Die Sicht der Benutzer

Wir alle sind selbst Benutzer. Und wir sind nicht dumm. Es wird also immer Wege geben, Technik zu umgehen und AI zu (miss)brauchen.

Aber wenn es strikte organisatorische Richtlinien gibt, die einzuhalten sind, zum Beispiel:

• Welche AI-Modelle genutzt werden dürfen (und unter welche Rechtsprechung Hosting und Training fallen)
• Welche Daten mit AI verarbeitet werden dürfen
• Welche Plattform und welche Identität verwendet werden soll

dann kann eine Organisation mit Verpflichtungen oder Regulierung Konsequenzen für Mitarbeitende ziehen, die sich nicht an die Regeln halten.

Adoption und Kontrolltechniken

In einer idealen Welt stimmen sich IT und Business ab bei:

1. Datenklassifizierung (Information Protection und Labeling)
2. Technischen Policies <- dieser Post handelt von Netzwerkkontrolle über AI
3. Best Practices für Adoption und Nutzung

Neben dem Netzwerk ist die Datenklassifizierung eine der wirksamsten Methoden, deine Daten im Blick zu behalten, weil sie mit den Daten mitwandert.

---

Die technische Lösung im Überblick

Microsoft bietet ein Produkt namens Global Secure Access (GSA), genauer Internet Access. Es ist ein Netzwerk-Security-Produkt, das in der E7-Lizenz enthalten ist oder als eigenständige Entra-Suite-Lizenz erhältlich ist (12 USD pro Benutzer und Monat).

Wir nutzen diese Technologie voll aus, indem wir das Netzwerk aller Endpoints, die den GSA-Agent installiert haben, überwachen, inspizieren und mit Policies steuern. Der Agent ist im Grunde nur eine Software, die auf deinem Windows-PC, Mac oder Mobilgerät installiert wird. (Du könntest GSA auch auf Netzwerkebene mit einem Remote Network umsetzen, aber das ist ein Thema für ein andermal)

GSA Internet Access leitet den lokalen Netzwerk-Traffic (Website-Verbindungen oder andere Ressourcen, die über HTTPS-Port 443 mit deinem Gerät kommunizieren) an einen Microsoft Point of Presence, wo er verarbeitet wird und Einschränkungen angewendet werden.

Was GSA dafür bei AI leistet

Die Entschlüsselung findet am Edge von Microsoft statt, was protokolliert wird, hängt aber von den Features ab, die du aktivierst. Für AI sind das die relevanten:

• Shadow AI discovery: welche AI-Apps genutzt werden, und von wem
• Content policies mit Purview DLP: verhindern, dass sensible (klassifizierte) Daten in AI-Apps hochgeladen werden
• Prompt injection protection: bösartige Prompts an unterstützte AI-Apps blockieren
• Generative AI Insights: protokolliert den vollständigen Prompt-Inhalt, der an unterstützte GenAI-Apps gesendet wird

Hier die vollständige Liste der Policy-Typen und Kontrollen von GSA:

TLS Inspection

Ein wichtiger technischer Teil ist die TLS Inspection, eine zusätzliche Konfiguration in GSA für volle Netzwerktransparenz.

Schau dir diesen Vergleich an, was mit und ohne TLS Inspection sichtbar ist:

Ohne TLS Inspection:

• IP-Adresse und Ports
• Hostnamen (über SNI beim ClientHello, z. B. oceanleaf.ch)
• Server-Zertifikat (nur TLS 1.2)
• Zeitstempel
• Datenmenge

Mit TLS Inspection:

TLS Inspection legt den gesamten HTTP-Layer offen, das heisst jede Anfrage und jede Antwort vollständig, inklusive Methode, Headern und Body in beide Richtungen.

• Vollständige URL inklusive Pfad und Query-Parametern, z. B. oceanleaf.ch/contact?ref=newsletter&utm_campaign=autumn
• HTTP-Methode, z. B. GET zum Anzeigen einer Seite, POST zum Absenden eines Formulars, DELETE zum Entfernen von etwas über eine API
• Alle Request-Header, z. B. Cookies, Session Tokens, Authorization: Bearer-Header, API-Keys in Custom Headers, User-Agent, Spracheinstellungen und der Referer, der zeigt, von welcher Seite der Benutzer kam
• Request-Bodies, z. B. Formulareingaben auf oceanleaf.ch/contact, Suchbegriffe, Chat-Nachrichten, hochgeladene Dateien, JSON, das an APIs gesendet wird, und möglicherweise Passwörter auf Login-Seiten
• Alle Response-Header, z. B. Set-Cookie (neue Cookies, die der Server vergibt), Redirects, Caching- und Security-Header
• Response-Bodies, z. B. der vollständige Seiteninhalt, heruntergeladene Dateien, API-Antworten
• WebSocket-Traffic, z. B. Live-Chat oder Echtzeit-Updates, die über eine dauerhafte Verbindung laufen

---

Architektur

1. Prepare: Intune verteilt den GSA Client und das Trusted Root Certificate auf verwaltete Geräte
2. Forward: Der GSA Client tunnelt den Internet-Traffic des Geräts an den Global Secure Access Edge
3. Inspect and enforce: TLS inspection entschlüsselt den Traffic, danach greifen die Policies. Das Baseline Profile gilt für alle, Conditional Access weist zusätzliche Profile pro Gruppe zu. Uploads können zur DLP-Prüfung an Purview übergeben werden
4. Deliver: Nur erlaubter Traffic erreicht AI-Apps, MCP-Server und Websites
5. Observe: Alle Aktivitäten landen in Logs und Insights (Shadow AI, GenAI-Prompts) und lassen sich an Sentinel streamen

Schliessen

Stolpersteine

• QUIC blockieren: GSA unterstützt QUIC nicht. Deaktiviere es in Edge und Chrome über Intune, sonst rutscht Traffic an deinen Policies vorbei
• Microsoft-Traffic wird nicht inspiziert: Steuere Microsoft 365 Copilot mit Purview, weil es den Internet-Access-Tunnel umgeht
• Lokale MCP-Server sind unsichtbar: GSA sieht nur Remote-MCP-Server, lokale musst du auf dem Endpoint kontrollieren
• Rechne mit Problemen: Developer-Tools, Certificate Pinning und ECH-Ziele brauchen ein eigenes CA-Bundle oder eine Bypass-Regel

So funktioniert TLS Inspection

GSA agiert als legitimer Man-in-the-Middle. Wenn sich ein Clientgerät mit einer Website verbindet, teilt TLS inspection diese eine verschlüsselte Verbindung in zwei auf.

Damit das funktioniert, müssen Clientgeräte deinem Root Certificate vertrauen. GSA nutzt ein Intermediate Certificate, das an dieses Root gekettet ist, um für jedes Ziel on the fly Leaf Certificates zu signieren.

1. Der Client verbindet sich mit einer Website. GSA antwortet mit einem Leaf Certificate für diese Seite, das der Client akzeptiert, weil er dem Root vertraut.
2. GSA entschlüsselt den Traffic, analysiert ihn und setzt deine Policies durch.
3. GSA öffnet eine separate TLS-Verbindung zum Zielserver, validiert dessen echtes Zertifikat und leitet die Anfrage weiter. Antworten nehmen denselben Weg zurück.

Schliessen

---

Technische Konfiguration

Für die vollständige Einführung und das Setup von GSA schau dir meinen letzten Blog-Post an:

Introduction to Microsoft Global Secure Access (GSA)Introduction A new star is on the horizon: Global Secure Access. As part of the identity security portfolio of Microsoft Entra, GSA is the new network security component to provide holistic security. Global Secure Access in Microsoft Entra combines Internet Access and Private Access based on Zero Trust principles. ItOceanleaf · Niklas Tinner

Im Überblick:

#2 TLS Inspection

Microsoft bietet jetzt eine von Microsoft verwaltete Certificate Authority für TLS inspection an. Statt ein CSR mit deiner eigenen PKI zu signieren, erstellt und rotiert Microsoft für dich ein tenant-spezifisches Root und Intermediate CA. GSA erzeugt die Leaf Certificates pro Ziel weiterhin on the fly.

So richtest du es ein:

1. Gehe zu den TLS-inspection-Einstellungen, erstelle ein von Microsoft verwaltetes Zertifikat und aktiviere es
2. Lade das Root Certificate herunter und verteile es mit einem Intune-Trusted-Certificate-Profil auf deine verwalteten Geräte
3. Erstelle eine TLS-inspection-Policy mit der Aktion Inspect und verknüpfe sie mit einem Security Profile (Baseline oder Conditional Access)

Schliessen

#3 Logs

Eingebaute Dashboards und Traffic Logs sind die wichtigste Quelle für Insights. Ich empfehle aber, die Logs an einen Azure-Log-Analytics-Workspace zu senden, um:

• Eigene KQL-Abfragen über den gesamten Traffic auszuführen
• Workbooks für Reporting zu nutzen
• Alerts zu erstellen und mit Microsoft Sentinel zu korrelieren
• Daten über die eingebaute Aufbewahrungsdauer hinaus zu behalten

Streame die Logs über Entra ID > Diagnostic settings an einen Log-Analytics-Workspace. Zwei Kategorien sind für AI wichtig:

Dashboard

Willst du das alles an einem zentralen Ort? Ich habe es für dich gebaut: das Oceanleaf AI Command Center, eine Azure Workbook für Global Secure Access.

Die kostenlose Azure Workbook holen: AI Command Center

Was heisst das für Schweizer Firmen?

• Lizenz: Internet Access ist in der E7-Lizenz und in der Entra Suite enthalten. Prüfe vor dem Start die aktuellen Lizenzvoraussetzungen und Preise bei Microsoft. Für das Dashboard und die Generative AI Insights brauchst du zusätzlich einen Log-Analytics-Workspace, der separat Kosten verursachen kann
• revDSG: Mit TLS inspection sind Prompts, Formulareingaben und Dateien sichtbar. Das sind oft Personendaten, auch von Kunden. Kläre Zweck, Zugriff und Aufbewahrung der Logs und informiere die Mitarbeitenden vorab
• Arbeitsrecht: Systeme, die allein das Verhalten der Mitarbeitenden überwachen sollen, sind in der Schweiz nicht erlaubt (Art. 26 ArGV 3). Kontrollen aus anderen Gründen wie Datensicherheit müssen verhältnismässig sein. Halte die AI-Richtlinie und die Kontrolle zusammen schriftlich fest, am besten mit Mitarbeitenden und Datenschutzverantwortlichen
• Starte mit Shadow AI discovery und Web content filtering. Das schafft Transparenz, ohne gleich Prompt-Inhalte zu protokollieren

---

powered by Oceanleaf

OceanleafTechnology blog on Microsoft Cloud. Learn about cutting edge tech, explained simply & straightforward in quality focused blog posts.Oceanleaf · Niklas Tinner