Claude Code Security: Claude Code im Unternehmen sicher einführen und betreiben

Claude Code arbeitet mit einem gestuften Berechtigungssystem. Lesen innerhalb des Arbeitsverzeichnisses ist ohne Rückfrage erlaubt. Für Shell-Befehle, Dateiänderungen und Webzugriffe fragt Claude Code im Standardmodus vorher nach. Die Sicherheit im Alltag hängt deshalb vor allem davon ab, welche Freigaben Ihre Mitarbeitenden erteilen und welche Regeln die IT vorgibt.

Auf was hat Claude Code Zugriff?

Claude Code läuft mit den Rechten des angemeldeten Benutzers auf dessen Rechner. Ohne weitere Regeln kann der Agent also grundsätzlich alles erreichen, was auch der Benutzer erreicht, sofern dieser die Aktion freigibt. Deshalb gehören drei Dinge in jedes Richtlinienkonzept:

1. Berechtigungsmodi begrenzen,
2. sensible Dateien per Deny-Regel sperren,
3. die Regeln zentral und unveränderbar verteilen.

Den Modus bypassPermissions kennen viele Nutzer als Startoption --dangerously-skip-permissions, die laut Anthropic gleichwertig ist. Anthropic empfiehlt ihn nur für isolierte Umgebungen wie Container oder virtuelle Maschinen ohne Internetzugang und weist ausdrücklich darauf hin, dass der Modus keinen Schutz vor Prompt-Injection oder unbeabsichtigten Aktionen bietet. Auf Arbeitsrechnern mit Zugriff auf Firmendaten hat er nichts verloren. Deny-Regeln bleiben in jedem Modus aktiv, auch in bypassPermissions.

bypassPermissions und auto zentral sperren

Mit der Einstellung permissions.disableBypassPermissionsMode, gesetzt auf "disable", verhindern Sie den Modus bypassPermissions. Entsprechend sperrt permissions.disableAutoMode den Modus auto. Am wirksamsten sind beide Einstellungen in den verwalteten Einstellungen, weil Benutzer sie dort nicht aufheben können.

Mit Deny-Regeln verbieten Sie Claude Code, bestimmte Dateien zu lesen. Typische Regeln für Unternehmen:

• Read(./.env) sperrt die .env-Datei im Projekt.
• Read(./secrets/**) sperrt ein ganzes Verzeichnis mit Schlüsseln.
• Read(//**/.env) sperrt .env-Dateien an jeder Stelle des Dateisystems.

Eine Deny-Regel auf einer Ebene kann keine andere Ebene wieder aufheben. Eine Deny-Regel aus den verwalteten Einstellungen lässt sich auch nicht per Befehlszeile oder Projekteinstellung aushebeln. Zugangsdaten gehören trotzdem nicht in Projektordner. Wir empfehlen einen Tresor für Secrets und Deny-Regeln als zweite Verteidigungslinie.

Verwaltete Einstellungen (Managed Settings) stehen in der Rangfolge über allen anderen Einstellungen. Benutzer, Projekte und Startparameter können sie nicht überschreiben. Darüber legen Sie unter anderem fest:

• erlaubte und verbotene Berechtigungsmodi,
• Deny-Regeln für sensible Dateien,
• mit allowManagedPermissionRulesOnly, dass ausschließlich Ihre zentralen Berechtigungsregeln gelten,
• den Release-Kanal und eine Mindestversion.

Release-Kanal und Mindestversion

Claude Code aktualisiert sich bei der nativen Installation automatisch. Mit autoUpdatesChannel wählen Sie zwischen "latest" (neue Funktionen sofort) und "stable" (Version etwa eine Woche alt, Releases mit größeren Fehlern werden übersprungen). Für Unternehmen empfehlen wir "stable". Mit minimumVersion legen Sie eine Untergrenze fest, unter die keine Aktualisierung zurückfällt. Wer Versionen außerhalb eines Bereichs gar nicht starten lassen will, nutzt requiredMinimumVersion und requiredMaximumVersion.

Prüfen lässt sich das auf jedem Rechner mit dem Befehl /status in Claude Code. Die Zeile „Setting sources“ zeigt, ob und woher verwaltete Einstellungen greifen.

Für die Verteilung der Richtlinien bietet Anthropic mehrere Wege:

Anthropic stellt Vorlagen für Intune und Gruppenrichtlinie bereit. Wir richten die Verteilung über Microsoft Intune für Sie ein, zusammen mit der Installation von Claude Code selbst.

Viele Unternehmen wissen nicht, auf welchen Rechnern schon KI-Agenten laufen. Microsoft Defender erkennt inzwischen lokale KI-Agenten und ihre MCP-Server. So sehen Sie, wo Claude Code im Einsatz ist, bevor Sie Regeln ausrollen. Mehr dazu in der News Schatten KI erkennen und auf unserer Seite zu Microsoft Defender XDR.

Unter dem Namen Claude Security bietet Anthropic eine eigene Funktion, die Ihre Codebasen kontinuierlich auf Sicherheitslücken überwacht. Sie prüft auch über Dateien und Repositories hinweg, scannt neue Commits, validiert Funde in mehreren Stufen, um Fehlalarme zu reduzieren, und schlägt Patches vor, die Menschen prüfen. Für die Umsetzung der Korrekturen übergibt Claude Security an Claude Code.

Voraussetzungen laut Anthropic: Claude Security befindet sich in der öffentlichen Beta und ist nur im Enterprise-Plan verfügbar, mit einem Premium-Platz pro Benutzer und aktivierten Nutzungsguthaben. Die Anbindung an GitHub erfolgt über die Claude GitHub App, an andere Git-Anbieter über Repository-Adresse und Token. Zero Data Retention unterstützt Claude Security nicht.

Claude Code ist in Pro, Max, Ultra, Team und Enterprise enthalten und teilt sich das Nutzungslimit mit dem Chat. Für Entwicklerteams empfehlen wir Team mit Premium-Plätzen für Vielnutzer, ab 20 Personen mit Compliance-Anforderungen Enterprise. Alle Preise in Euro und die Nutzungslimits finden Sie auf der Seite Claude Kosten.

Im Team- und Enterprise-Plan nutzt Anthropic Ihre Inhalte laut eigener Aussage standardmäßig nicht zum Training, auch nicht aus Coding-Sitzungen. Bewertungen per Daumen hoch oder runter können allerdings zum Training verwendet werden. Wir empfehlen daher, die Funktion „Chats bewerten“ in den Organisationseinstellungen abzuschalten. Mehr auf der Seite Claude im Unternehmen. Dies ist keine Rechtsberatung, bitte beziehen Sie Ihren Datenschutzbeauftragten ein.