Der gefährlichste Office-Befehl lautet nicht „Schreiben“, sondern „Senden“
Ein kurzer Office-Auftrag verbirgt vier verschiedene Rechte: lesen, entwerfen, überschreiben und senden. Erst ihre Trennung macht agentische Dokumentenarbeit kontrollierbar.
Der Auftrag klingt harmlos: „Aktualisiere die Quartalszahlen, passe die Präsentation an und schicke sie an die Geschäftsführung.“ Für einen Menschen ist das ein Satz. Für einen Office-Agenten sind es mindestens vier verschiedene Eingriffe: Daten lesen, einen Entwurf erzeugen, bestehende Dateien überschreiben und das Ergebnis versenden. In dieser Kette liegen zwischen einer hilfreichen Automatisierung und einem peinlichen oder teuren Fehler nur wenige unsichtbare Klicks.
Das Beispiel ist bewusst hypothetisch. Es zeigt aber, warum die übliche Frage nach dem „besten Modell“ am Problem vorbeigeht. Entscheidend ist nicht, ob Microsoft Copilot oder ein externer Agent einen guten Text formuliert. Entscheidend ist, welche Handlung das System ohne erneute Freigabe ausführen darf. Welche Rechte braucht ein Office-Agent also, damit er Arbeit abnimmt, ohne selbst zum Herausgeber zu werden?
Vier Verben, vier Rechte
Lesen, entwerfen, überschreiben und versenden dürfen nicht in einer pauschalen Berechtigung verschwinden. Lesen öffnet den Kontext. Entwerfen erzeugt eine neue, noch reversible Variante. Überschreiben verändert den maßgeblichen Bestand. Versenden trägt das Ergebnis aus dem kontrollierten Arbeitsraum nach außen. Jeder Schritt vergrößert die mögliche Wirkung – und verlangt deshalb eine eigene technische Grenze.
Diese Trennung klingt zunächst bürokratisch. Tatsächlich macht sie Automatisierung erst praktikabel. Ein Agent kann hundert Folien aktualisieren, ohne das Original anzutasten. Er kann Formeln vorschlagen, ohne sie zur neuen Wahrheit der Arbeitsmappe zu erklären. Und er kann eine fertige Mail vorbereiten, ohne den Adressatenkreis selbst zu bestimmen.
Copilot kennt den Zugriff, nicht die Wahrheit
Microsoft 365 Copilot arbeitet dort, wo viele Unternehmen ihre Dokumente ohnehin verwalten: in Word, Excel, PowerPoint, Outlook und Microsoft Graph. Microsoft beschreibt, dass Copilot nur Organisationsdaten zeigt, auf die der jeweilige Nutzer zugreifen darf. Diese bestehende Identitäts- und Berechtigungslogik ist ein großer Vorteil. Der Agent muss nicht neben dem Tenant eine zweite Schattenwelt mit kopierten Dateien aufbauen.
Doch die Berechtigung beantwortet nur eine Zugriffsfrage. Sie sagt nicht, ob eine Excel-Formel die Kennzahl korrekt definiert, ob ein Absatz die aktuelle Vertragslage wiedergibt oder ob eine Präsentation die freigegebene Zahl statt eines alten Entwurfs verwendet. Ein Nutzer kann vollkommen berechtigt sein, eine falsche Datei zu lesen. Copilot erbt dann den erlaubten Kontext – nicht automatisch dessen Wahrheit.
OfficeCLI gibt dem Agenten Augen
OfficeCLI wählt ein anderes Kontrollmodell. Das Open-Source-Werkzeug arbeitet als einzelnes Binary ohne installierte Office-Anwendung und kann Dateien aus Word, Excel und PowerPoint lesen, verändern und neu erzeugen. Besonders interessant ist der eingebaute Rendering-Schritt: Dokumente lassen sich als HTML oder PNG darstellen. Ein Agent kann dadurch nicht nur die Dateistruktur prüfen, sondern auch sehen, ob ein Titel überläuft oder zwei Elemente übereinanderliegen.
Das schließt eine wichtige Lücke im üblichen Agenten-Workflow. Ohne Rendering kann ein System eine Präsentation technisch korrekt erzeugen und trotzdem ein visuelles Wrack abliefern. Aber auch hier folgt der Wendepunkt: Sehen ist noch keine fachliche Abnahme. Eine sauber ausgerichtete Umsatzgrafik kann auf der falschen Tabelle beruhen. Eine perfekt formatierte Klausel kann veraltet sein. OfficeCLI macht die technische Kontrolle sichtbarer; die inhaltliche Verantwortung bleibt beim Betreiber.
Die Entscheidungskette
Eine belastbare Regel kann deshalb erstaunlich einfach aussehen. Der Agent liest nur freigegebene Quellen. Er schreibt seinen Entwurf in eine neue Datei. Danach folgen zwei voneinander unabhängige Prüfungen: technisch auf Struktur, Formeln, Dateiintegrität und Darstellung; fachlich auf Zahlen, Aussagen, Quellen und Empfänger.
Erst wenn beide Prüfungen bestanden sind, darf eine bestehende Datei ersetzt werden. Versand und Veröffentlichung bleiben trotzdem ein eigener, bewusst ausgelöster Schritt. Dafür kann ein Mensch zuständig sein oder eine eng definierte Regel, die Version, Ziel und Adressatenkreis eindeutig festlegt. Was nicht akzeptabel ist: Der Agent bewertet seinen eigenen Entwurf, erklärt ihn selbst für korrekt und verschickt ihn anschließend unter derselben pauschalen Freigabe.
Damit ist die Ausgangsfrage beantwortet. Ein Office-Agent darf viel Arbeit übernehmen: suchen, zusammenführen, formulieren, rechnen, gestalten und vorbereiten. Er darf sogar eine nahezu fertige Datei bauen. Der letzte Schritt gehört ihm jedoch nicht automatisch. Der wichtigste Sicherheitsmechanismus ist kein besserer Prompt, sondern eine unspektakuläre Trennung der Verben. Der Agent darf „schreiben“ ausführen. Über „senden“ muss das System noch einmal neu entscheiden.