Sicherheit von Claude ist Chefsache

Die Verantwortung für den KI-Einsatz liegt nicht in der Fachabteilung, sondern bei der Leitung. Drei Pflichtenkreise greifen gleichzeitig ineinander:

• Datenschutz (DSGVO): Sobald personenbezogene Daten (z.B. Namen und Adressen von Personen) in einen Prompt gelangen, ist Anthropic Auftragsverarbeiter. Das setzt einen Auftragsverarbeitungsvertrag (AVV/DPA) voraus – den es bei privaten Consumer-Konten nicht gibt. Wenn der Mitarbeiter also Kundendaten in sein persönliches Claude-Konto überführt, entsteht das erste knackige Problem.
• EU AI Act: Seit Februar 2025 verpflichtet Art. 4 KI-VO Unternehmen, für ausreichende KI-Kompetenz der Mitarbeitenden zu sorgen. Wer Claude einsetzt, muss die Belegschaft schulen. Wer das bisher versäumt hat, kann auch gerne unsere KI-Kompetenzschulung in Anspruch nehmen.
• Geschäftsgeheimnisschutz & Haftung: Unkontrollierte Tool-Nutzung,  zu deutsch: Schatten-KI bzw. „Shadow AI“, kann Betriebsgeheimnisse in Trainingsdaten überführen und die Sorgfaltspflichten der Geschäftsleitung verletzen. Auch die meisten Arbeitsverträge von Mitarbeitern sind auf dieses Szenario längst nicht vorbereitet.

Die zentrale Erkenntnis vorweg: Nicht Claude selbst ist das Risiko, sondern die gewählte Nutzungsvariante und der zugrunde liegende Vertrag.  Erst in der zweiten Ebene kommen zusätzliche Risiken durch die technische Integration auf dem Endgerät (z.B. Claude Code oder Claude Cowork) zum Tragen.

Dieselbe Technologie ist in einem Enterprise-Vertrag mit Zero Data Retention compliancetauglich und im privaten Pro-Konto eines Mitarbeiters ein kritischer Datenschutzvorfall in Lauerstellung. Werfen wir also zunächst einen Blick auf die Nutzungsvarianten von Claude.

Die Nutzungsvarianten von Claude im Überblick

Claude lässt sich auf sehr unterschiedlichen Wegen einsetzen. Entscheidend für die Sicherheit sind drei Dimensionen:

• der Datenfluss (was verlässt das Unternehmen?),
• der Systemzugriff (kann das Tool Dateien lesen oder Befehle ausführen?) und
• der Vertrag (Consumer oder Commercial Terms?).

Die nachfolgende Tabelle gibt einen kompakten Überblick über Nutzungsvariante, Anwendung und Sicherheitsrisiko für Claude:

Ein verbreiteter Irrtum: Die Claude-App sei „harmlos“ und Claude Code per se ein „hohes Sicherheitsrisiko“.

In der Praxis entscheidet beim Datenschutz nicht die Oberfläche, sondern der Vertrag und die rechtlichen Rahmbedingungen. Eine Web-App unter einem privaten Pro-Konto ist riskanter als die API unter Commercial Terms, obwohl die API technisch mächtiger ist. Die Nutzung von Claude Code ist durch die direkte Systemintegration natürlich grundsätzlich ein technisches Sicherheitrisiko, das im Rahmen eines durchdachten Setups aber aktiv eingegrenzt werden kann.

Datenschutz & DSGVO: der entscheidende Unterschied zwischen den Plänen

Anthropic trennt seine Angebote in zwei vertragliche Welten : Einzelpersonen (Consumer) und Enterprise (oder Team-Konten). Genau hier entscheidet sich die Compliance-Tauglichkeit.

Nutzungsvarianten und Pläne von Claude (© Claude.ai)

Einzelperson bzw. Consumer-Konten (Free, Pro, Max)

Diese Pläne laufen unter den Consumer Terms. Seit der Richtlinienänderung im Herbst 2025 werden Chats und Coding-Sessions standardmäßig zur Modellverbesserung genutzt – es sei denn, der Nutzer widerspricht aktiv. Konkret bedeutet das:

• Opt-out ist Pflicht, nicht Voreinstellung: Unter Einstellungen → Datenschutz → „Claude für alle verbessern“ bzw. „Hilf uns, unsere KI-Modelle zu verbessern“ muss der Schalter manuell auf Aus gestellt werden.
• Verlängerte Speicherung: Mit aktiviertem Training steigt die Datenaufbewahrung auf bis zu fünf Jahre. Wer widerspricht, bleibt nach aktuellem Stand bei 30 Tagen (Juni 2026).
• Kein AVV: Für Consumer-Konten gibt es keinen Auftragsverarbeitungsvertrag . damit fehlt die rechtliche Grundlage für die Verarbeitung personenbezogener Daten im Unternehmenskontext, die nach Art. 28 DSGVO notwendig ist.
• Wichtige Einschränkung: Das Opt-out wirkt nur in die Zukunft. Bereits für das Training verwendete Inhalte lassen sich nicht zurückholen. Zudem können sicherheitsmarkierte Konversationen unabhängig von der Einstellung weiter ausgewertet werden.

Wer Claude sicher nutzen will, muss diese zentrale Einstellung für die Modellverbesserung kennen. (© Claude.ai)

Vorsicht beim Team-Plan: Trotz des Namens läuft der reine Claude-Team-Plan in wesentlichen Teilen weiterhin unter Consumer-Logik. Erst Enterprise liefert die volle vertragliche Absicherung. Im Zweifel den konkreten Vertragsstatus prüfen. Gerne beraten wir Sie bei der Auswahl des richtigen Plans über unsere Claude Code Beratungsleistung.

Commercial-Konten (Claude for Work / Enterprise, API, Bedrock, Vertex AI)

Claude Enterprise / Commercial Plans (© claude.ai)

Wie der Name schon verrät, laufen diese Konten unter den Commercial Terms, was für Unternehmen und Mitarbeiter den entscheidenden Unterschied macht:

• Kein Training auf Ihren Daten: Inputs und Outputs werden standardmäßig nicht zur Modellverbesserung verwendet – ohne dass Sie etwas umstellen müssen.
• AVV/DPA verfügbar: Anthropic stellt einen Auftragsverarbeitungsvertrag (AVV) bereit und nutzt EU-Standardvertragsklauseln (SCC) für Datenübermittlungen.
• Kürzere API-Aufbewahrung: Die Standard-Aufbewahrung der API liegt bei nur 7 Tagen, was deutlich strenger als die meisten Wettbewerber. Auf Wunsch per DPA (Data Processing Agreement) auf 30 Tage erweiterbar.
• Zero Data Retention (ZDR): Für qualifizierende Enterprise-Kunden verfügbar. Daten werden über die unmittelbare Verarbeitung hinaus gar nicht gespeichert. Der Goldstandard für sensible Branchen oder hoch brisante Unternehmensinformationen, wie sie in Banken, Versicherungen, Medizintechnik, Gesundheitswesen oder Rüstungsindustrie vorkommen.
• Branchenspezifika: Für das Gesundheitswesen ist ein Business Associate Agreement (BAA) verfügbar, Standard-Consumer-Claude ist nicht HIPAA-konform und darf nicht mit Gesundheitsdaten genutzt werden. Daher erfordert es hier gesonderter Vereinbarungen.

Claude Code sicher einsetzen: Ein Sonderfall mit eigenem Risiko

Das KI-Werkzeug Claude Code verdient einen eigenen Abschnitt, weil es sich grundlegend von der Chat-App unterscheidet. Es ist kein abgeschotteter Chatbot, sondern ein Agent mit echter Entwicklungs-Autorität, das als direkte Integration im Betriebssystem eines Nutzers laufen kann: Es liest Quellcode, ändert Dateien, führt Shell-Befehle aus und kann externe Werkzeuge über das Model Context Protocol (MCP) ansprechen und nutzen – und zwar mit denselben Rechten wie der Nutzer, der es startet.

Damit entsteht eine Angriffsfläche, die klassische IDE-Plugins nie hatten. Denn Claude Code kann insbesondere im „Auto mode“ erhebliche Sicherheitsrisiken mit sich bringen, wenn ein Nutzer keine adäquate Rechteverwaltung beherrscht oder Claude Code als abgeschotteter Agent z.B. in einer isolierten Container-Umgebung läuft.

Claude Code ist ein Sonderfall mit eigenen Risiko-Klassen und kann direkt im Terminal mit User-Rechten laufen

Die zentralen Risiken

• Dateizugriff: Ohne Sperren kann Claude Code sensible Dateien wie Umgebungsvariablen (.env), SSH-Schlüssel und Zugangsdaten lesen.
• Befehlsausführung: Der Agent führt Bash-Befehle im Kontext der Entwickler-Shell aus, ein fehlgeleiteter Befehl kann Daten komplett löschen oder überschreiben.
• Prompt Injection: In Dateien, READMEs oder Paket-Metadaten versteckte Anweisungen können den Agenten manipulieren. Sicherheitsforscher haben gezeigt, dass repository-gesteuerte Hooks und MCP-Konfigurationen zu Befehlsausführung oder Schlüsselabfluss führen können. Öffentlich verfügbare MCP-Packages, Libraries oder andere Open-Source Komponenten können hier ein erhebliches Einfallstor für schadhaften Code und böswillige Software sein.

Berechtigungsmodus: vom Vorsichtigen zum Riskanten

Claude Code folgt einem „ask before act“-Prinzip. Standardmäßig fragt es vor jeder relevanten Aktion nach. Drei Stufen sind relevant:

• Plan-/Standardmodus: Claude schlägt Änderungen vor, führt sie aber erst nach Freigabe aus. Für sensible Repositories die richtige Wahl. Die sicherste Methode, wenn ein Nutzer weiß, worauf er achten muss. Allerdings ist diese Methode zeitfressend und erfordert manuelle Prüfung der generierten Code-Artefakte.
• Accept-Edits / Allowlist: Vertraute Befehle (z. B. npm run test) werden vorab freigegeben, der Rest fragt weiter nach. Guter Kompromiss für den Alltag. Kostet aber deutlich mehr Zeit in der Entwicklung von Software.
• Auto-Mode: Vor jedem Tool-Aufruf prüft ein Klassifikator die Aktion auf potenziell destruktive Vorgänge wie Massenlöschungen, Exfiltration sensibler Daten oder Ausführung schädlichen Codes. Als sicher eingestufte Aktionen laufen automatisch, riskante werden geblockt und Claude auf einen anderen Weg umgeleitet; besteht Claude wiederholt auf einer geblockten Aktion, wird schließlich doch eine Rückfrage an den Nutzer ausgelöst.
• –dangerously-skip-permissions: Hebt alle Sicherheitsabfragen auf. Der Name ist eine bewusste Warnung. Niemals auf der lokalen Maschine! Diese Permission  sollte nur in einer isolierten Sandbox / Container laufen.

Claude Code Berechtigungen im Überblick:

Lokal vs. Container/VM: die Entscheidungslogik

Hier liegt die wichtigste Sicherheitsentscheidung für technische Teams:

Faustregeln aus der Cybersecurity:

• Die Sandbox ist die Wand, die Berechtigungen sind das Schloss an der Tür.
• Erst die Isolation (Container/VM) macht die volle Autonomie verantwortbar, weil der maximale Schaden auf den Container begrenzt bleibt.
• Konkrete Schutzmaßnahmen im Container: nur das eine Projektverzeichnis mounten, Egress auf eine Allowlist beschränken (Anthropic-API, nötige Paket-Registries)
• Secrets gar nicht erst in den Container lassen, sondern parametrisiert einsteuern

Enterprise-Kontrollen, die nicht umgangen werden können

Einzelne Berechtigungsabfragen sind keine Unternehmenspolitik. Für durchsetzbare Vorgaben nutzen Organisationen Managed Settings (per MDM oder server-seitig ausgeliefert, nicht durch Repository-Dateien überschreibbar).

Wer Claude Code sicher nutzen will, sollte ein paar zentrale Faktoren berücksichtigen und sicherstellen:

• Least-Privilege-Berechtigungen,
• Deny-Regeln für Secret-Dateien und Hochrisiko-Befehle,
• Sperre von –dangerously-skip-permissions außerhalb isolierter Container,
• genehmigte MCP-Server,
• Audit-Logging via OpenTelemetry und ein
• LLM-Proxy für Sichtbarkeit über alle Tool-Aufrufe.

Damit lässt sich Claude Code als effizientes, agentisches Tool in der KI-Entwicklung schon sehr sicher einsetzen.

Claude sicher nutzen: Governance-Rahmen für Unternehmen

Technische Einstellungen allein genügen nicht. Sicherer Claude-Einsatz braucht einen organisatorischen Rahmen (Leitplanken) und der ist zugleich AI-Act-Pflicht:

• KI-Richtlinie (Policy): Schriftlich regeln, welche Varianten und Pläne erlaubt sind, welche Daten eingegeben werden dürfen und wer freigibt.
• Freigabe- und Beschaffungsprozess: Keine privaten Konten für dienstliche Zwecke. Zentrale Bereitstellung von Enterprise-/API-Zugängen verhindert Shadow AI.
• KI-Inventar: Erfassen, welche KI-Systeme im Einsatz sind – inklusive der unbemerkt gewachsenen. Das ist zugleich die Grundlage für die Risikoklassifizierung nach AI Act.
• Mitarbeiterschulung (Art. 4 EU AI Act): Seit Februar 2025 verpflichtend. Die Belegschaft muss KI verstehen, Halluzinationen erkennen und die internen Regeln kennen.
• Audit & Review: Regelmäßige Prüfung der Einstellungen (Training-Opt-out, Plan-Status, Konten) und Bereinigung alter Konversationen.

Das Thema ist für Ihren Schreibtisch zu komplex? Kein Problem – Elsen GRC berät Unternehmen im Rahmen der KI-Governance Beratung zu den relevanten Aspekten rund um die Vorbereitung auf den EU AI Act. Einfach ein Erstgespräch buchen und wir kümmern uns um die Umsetzung dieser Leitplanken in Ihrem Unternehmen.

Sicherheits-Checkliste: Claude im Unternehmen

Kompakt zusammengefasst – die zentralen Punkte für den sicheren Claude-Einsatz im Unternehmen:

• Nur Commercial-Verträge (Enterprise/API) für dienstliche Nutzung – keine privaten Pro-Konten!
• AVV/DPA mit Anthropic abgeschlossen
• Bei hohem Schutzbedarf: Zero Data Retention aktiviert
• Auf verbliebenen Consumer-Konten: Training-Opt-out geprüft und dokumentiert
• KI-Richtlinie verabschiedet und kommuniziert
• KI-Inventar erstellt, Shadow-AI-Konten identifiziert
• Art.-4-Schulung durchgeführt und dokumentiert
• Claude Code nur im Container/VM mit Secret-Sperren und Egress-Allowlist betrieben
• Autonomer Modus ohne Sicherheitsabfragen außerhalb der Sandbox gesperrt
• Audit-Logging und regelmäßige Reviews etabliert

Die Checkliste gibt es natürlich auch noch als PDF Version zum Download:

• Claude sicher nutzen Checkliste (PDF, 1 Seite)

Wie Elsen GRC Sie unterstützt

Der sichere Einsatz von Claude berührt genau die Schnittstelle von Datenschutz, KI-Governance und AI-Act-Compliance, auf die Elsen GRC spezialisiert ist:

• KI-Kompetenzschulung nach Art. 4 EU AI Act: Erfüllt die gesetzliche Schulungspflicht – inklusive Mitarbeiter-Zertifikat, Schulungsregister und KI-Richtlinien-Entwurf.
• AI Act Readiness Scan: KI-Inventar, Risikoklassifizierung und Roadmap mit Blick auf die AI Act Fristen bis August 2026.
• KI-Governance-Beratung: Vollständiges Governance-Framework mit Policies, Rollen und Freigabeprozessen für den kontrollierten KI-Einsatz.

So wird aus einem unkontrollierten Tool ein gesteuerter, prüffester Bestandteil Ihrer GRC-Struktur.

Ein paar häufige Fragen zur Claude Sicherheit im Überblick (FAQ)

Ist Claude DSGVO-konform nutzbar?

Ja -aber nur unter Commercial Terms (Enterprise oder API) mit abgeschlossenem AVV. Private Consumer-Konten (Free, Pro, Max) bieten keinen AVV und nutzen Daten standardmäßig zum Training, wenn nicht aktiv widersprochen wird.

Werden meine Chats zum Training von Claude verwendet?

Bei Consumer-Konten standardmäßig ja, solange nicht widersprochen wird. Bei Commercial-Konten (Enterprise, API) standardmäßig nein.

Reicht der Team-Plan für Unternehmen?

Der Team-Plan läuft in wesentlichen Teilen unter Consumer-Logik. Für volle vertragliche Absicherung mit AVV und Trainings-Ausschluss ist Enterprise oder die API erforderlich.

Warum ist Claude Code riskanter und nicht so sicher wie die App?

Weil Claude Code mit den vollen Rechten des Nutzers auf das Dateisystem zugreift und Befehle ausführt. Es sollte deshalb in einem Container oder einer VM betrieben werden – nicht ungeschützt auf dem lokalen Gerät.

Was ist Zero Data Retention?

Ein Modus für qualifizierende Enterprise-Kunden, bei dem Daten über die unmittelbare Verarbeitung hinaus nicht gespeichert werden – der höchste Datenschutzstandard ohne eigene Infrastruktur.

Verwandte Themen

• ChatGPT sicher nutzen: Guideline für Sicherheit bei OpenAI ChatGPT und Codex
• EU AI Act: Definition, Bedeutung & Pflichten
• KI-Governance: Definition, Bedeutung & GRC-Relevanz
• Shadow AI: Definition, Risiken & Maßnahmen

Quellen & Bilder

Bilder: Screenshots, © Claude.ai

• Anthropic: Updates to Consumer Terms and Privacy Policy
• Anthropic Privacy Center: Is my data used for model training?
• Claude Code Docs: Development containers / Security

Der Beitrag Claude sicher nutzen: Guideline für Claude Code, Cowork und die Claude Desktop App erschien zuerst auf ELSEN GRC.