GitHub Copilot: Server-to-Server-Authentifizierung für Apps in öffentlicher Vorschau
GitHub Copilot unterstützt nun Server-to-Server-Authentifizierung für GitHub Apps auf Organisationsebene. Services und Agenten können ohne Nutzer-Anmeldedaten agieren — ideal für automatisierte Arbeitslasten im großen Maßstab.
Was ist neu
GitHub Copilot erhält eine neue Authentifizierungsmethode für GitHub Apps: die sogenannte Server-to-Server-Authentifizierung ist ab sofort in öffentlicher Vorschau verfügbar. Mit dieser Funktion können Services und Agenten, die mit dem GitHub Copilot SDK erstellt werden, Anfragen im Namen einer Organisation stellen, ohne dass ein angemeldeter Nutzer seine Anmeldedaten bereitstellen muss.
Der Kern des Updates liegt darin, dass nicht mehr einzelne Nutzer als Authentifizierungsquelle fungieren, sondern die Organisation selbst. Laut GitHub ermöglicht dies eine „workload-owned identity" — eine Identität, die der Arbeitsaufgabe selbst gehört. Das bedeutet konkret: Agenten und automatisierte Services können zuverlässiger in größerem Maßstab arbeiten, ohne dass ihre Authentifizierung oder Nutzung an einzelne Personen gebunden ist.
Die technische Umsetzung funktioniert so: Entwickler gewähren einer GitHub App die read-only Berechtigung „Copilot Requests" auf Organisationsebene, installieren die App in der Organisation und übergeben dem Copilot SDK ein kurzlebiges Installation-Access-Token. Alle Anfragen werden dann der Organisation zugerechnet und unter deren Budgets und Ausgabenkontrollen abgerechnet. Diese Abrechnung erfolgt nach den Modellrichtlinien der Organisation.
Organisationsadministratoren erhalten Sichtbarkeit über die installierten Apps: Sie können einsehen, welche Apps Zugriff auf Copilot haben, die Nutzung pro App in AI-Usage-CSV-Reports mittels des Feldes app_client_id identifizieren und den Zugriff durch Deaktivierung oder Deinstallation der App jederzeit stoppen. Das Modell adressiert damit Szenarien, in denen Organisationen mehrere Agenten gleichzeitig einsetzen und deren Ressourcenverbrauch granular kontrollieren möchten.
Für wen, ab wann, zu welchen Bedingungen
Die Server-to-Server-Authentifizierung ist ab dem 27. Oktober 2026 in öffentlicher Vorschau (Public Preview) verfügbar. Sie gilt für GitHub Apps, die auf Organisationen installiert sind — nicht für persönliche Konten.
Voraussetzungen sind das GitHub Copilot SDK und eine GitHub App, der die read-only Berechtigung „Copilot Requests" auf Organisationsebene zugewiesen wird. Nach der Installation wird ein kurzlebiges Installation-Access-Token benötigt, das an das SDK übergeben wird.
Die Nutzung wird der Organisation in Rechnung gestellt, nicht einzelnen Nutzern. Welche Tarife oder Kostenmodelle GitHub auf diese neue Authentifizierungsmethode anwendet, nennt GitHub in der Meldung nicht. Ob und in welchem Umfang diese Funktion kostenlos bleibt oder zukünftig in ein Bezahlmodell übergeht, bleibt offen. Die Meldung erwähnt keine Einschränkungen nach Region, API-Verfügbarkeit oder geplante allgemeine Verfügbarkeit (GA).
Administratoren können Apps über die Dokumentation zu Server-to-Server-Authentifizierung und zur Verwaltung des Copilot-Zugriffs durch GitHub Apps konfigurieren — GitHub verweist auf externe Dokumentation statt diese inzuhalten.
Einordnung für DACH
Für Teams im deutschsprachigen Raum bedeutet diese Entwicklung einen Schritt zu Enterprise-reiferer Automation mit Copilot. Bislang war die Nutzung von Copilot-basierten Services eng an einzelne, angemeldete Nutzer gekoppelt — ein Modell, das sich für zentrale, ständig laufende Agenten in größeren Organisationen als unpraktisch erwies. Mit Server-to-Server-Authentifizierung können Organisationen nun beispielsweise Code-Review-Agenten oder Dokumentations-Tools implementieren, die unabhängig von Nutzersitzungen funktionieren.
Die Abrechnung und Kontrolle auf Organisationsebene ist für DACH-Unternehmen relevant, die streng nachverfolgen möchten, welche internen oder externen Tools auf ihre Copilot-Ressourcen zugreifen. Die Möglichkeit, App-basierte Nutzung via CSV-Reports zu identifizieren und Zugriffe jederzeit zu suspendieren, unterstützt Governance-Anforderungen — insbesondere in Branchen mit hohem Compliance-Anspruch.
Die Verfügbarkeit der Funktion ist derzeit auf öffentliche Vorschau begrenzt. Wann GitHub diese in der Coding mit KI Kategorie allgemein verfügbar macht und ob sich Preismodelle ändern, bleibt offen. Für EU-Organisationen, die Datenschutz ernst nehmen, wird relevant bleiben, wo diese Authentifizierungs-Token und Anfrage-Daten verarbeitet werden — GitHub nennt dazu nichts in dieser Meldung.
Quellen
Häufige Fragen
Was ist Server-to-Server-Authentifizierung bei GitHub Copilot?
Server-to-Server-Authentifizierung ermöglicht es GitHub Apps und Agenten, Anfragen an Copilot im Namen einer Organisation zu stellen, ohne dass ein einzelner Nutzer angemeldet sein muss. Services erhalten ein kurzlebiges Installation-Access-Token und agieren unabhängig von Nutzerkonten.
Wer kann die neue Funktion nutzen und wie wird sie abgerechnet?
Organisationen können die Funktion einsetzen, indem sie eine GitHub App mit der Berechtigung "Copilot Requests" installieren. Die Nutzung wird der Organisation zugerechnet und unterliegt deren Modellrichtlinien, Budgets und Ausgabenkontrollen.
Wie können Administratoren kontrollen, welche Apps Zugriff haben?
Organisationsadministratoren können einsehen, welche Apps installiert sind, die Nutzung pro App in AI-Usage-CSV-Reports über das Feld app_client_id identifizieren und den Zugriff durch Suspension oder Deinstallation der App jederzeit unterbrechen.