Claude Code im Unternehmen:
Sicherheitsleitfaden 2026

Claude Code ist der Coding-Agent von Anthropic. Er liest Ihren Code, führt Befehle aus und ändert Dateien im Terminal, in der IDE oder in der Desktop-App. Diese Autonomie macht seinen Wert aus. Sie ist auch der Grund, warum er einen Rahmen braucht, bevor Sie ihn in einem Team einführen.

Dieser Leitfaden stellt die sieben Sicherheitshebel vor, die Sie konfigurieren sollten: Berechtigungsmodi, Regeln, verwaltete Einstellungen der Organisation, Sandbox, MCP-Server, Hooks und Datenverwaltung. Die Namen der Einstellungen und die Beispiele stammen aus der offiziellen Dokumentation von Claude Code und ihrem Changelog, Stand Version 2.1.319.

1. Den richtigen Berechtigungsmodus wählen

Der Berechtigungsmodus legt fest, was Claude Code ohne Nachfrage tun darf. Sie stellen ihn mit permissions.defaultMode oder der Option --permission-mode ein.

Zwei Punkte sollten Sie kennen:

• Eine Projektdatei (.claude/settings.json) kann weder auto noch bypassPermissions aktivieren. Ein geklontes Repository kann sich diese Rechte also nicht selbst gewähren.
• Der Administrator kann diese Modi sperren. "permissions": {"disableBypassPermissionsMode": "disable"} blockiert bypassPermissions, und disableAutoMode blockiert den Auto-Modus. In den Tarifen Team und Enterprise ist der Auto-Modus standardmäßig verfügbar.

2. Regeln für allow, ask und deny schreiben

Die Regeln legen fest, was erlaubt ist (allow), was eine Bestätigung erfordert (ask) und was abgelehnt wird (deny). Beispiel:

{
  "permissions": {
    "allow": ["Bash(npm run lint)", "Bash(npm run test *)"],
    "ask": ["Bash(git push *)"],
    "deny": ["Read(./.env)", "Read(./.env.*)"]
  }
}

Claude Code wertet die Regeln in dieser Reihenfolge aus: deny, dann ask, dann allow. Die erste Übereinstimmung gilt. Eine Regel vom Typ allow kann eine Ablehnung daher nie aufheben.

Die Regeln gelten auch für Webdomains (WebFetch(domain:example.com)) und für MCP-Tools (mcp__serveur__outil).

Eine Einschränkung ist dokumentiert: Regeln, die die Argumente eines Bash-Befehls filtern, sind fragil. Eine Regel vom Typ deny lässt sich umgehen, wenn dasselbe Programm auf andere Weise aufgerufen wird, zum Beispiel über sh -c. Kombinieren Sie diese Regeln mit der weiter unten beschriebenen Netzwerk-Sandbox.

3. Die Konfiguration mit verwalteten Einstellungen zentralisieren

Claude Code liest seine Einstellungen auf mehreren Ebenen. Von der stärksten zur schwächsten: verwaltete Einstellungen der Organisation, Befehlszeile, lokales Projekt (.claude/settings.local.json), gemeinsames Projekt (.claude/settings.json), dann Benutzer (~/.claude/settings.json).

Die verwalteten Einstellungen gelten verbindlich für alle Arbeitsplätze. Es gibt drei Wege, sie zu verteilen:

• Datei managed-settings.json in /Library/Application Support/ClaudeCode/ (macOS), /etc/claude-code/ (Linux und WSL) oder C:\Program Files\ClaudeCode\ (Windows).
• Geräteverwaltung (MDM): Domain com.anthropic.claudecode unter macOS, Schlüssel HKLM\SOFTWARE\Policies\ClaudeCode unter Windows.
• Admin-Konsole für die Tarife Team und Enterprise: Organization settings > Claude Code > Managed settings, nur für die Rollen Owner und Primary Owner. Diese Einstellungen werden nicht abgerufen, wenn Claude Code über ein Gateway (ANTHROPIC_BASE_URL) oder einen Cloud-Anbieter läuft.

Basisbeispiel für ein Team:

{
  "permissions": {
    "disableBypassPermissionsMode": "disable",
    "deny": ["Read(./.env)", "Read(./.env.*)"]
  },
  "sandbox": {
    "enabled": true,
    "failIfUnavailable": true,
    "allowUnsandboxedCommands": false
  }
}

Die Einstellung allowManagedPermissionRulesOnly macht die Regeln der Organisation zu den einzig gültigen. Version 2.1.319 führt permissions.denyInsteadOfPrompting ein: Eine Aktion, die auf eine Bestätigung warten würde, wird abgelehnt, und die Sitzung läuft weiter. Das ist nützlich für Sitzungen, bei denen niemand vor dem Bildschirm sitzt. Diese Einstellung steht bisher im Changelog, aber noch nicht in der Dokumentation.

4. Die Sandbox aktivieren

Die Sandbox isoliert Bash-Befehle. Sie ist standardmäßig deaktiviert. Aktivieren Sie sie mit dem Befehl /sandbox oder der Einstellung "sandbox": {"enabled": true}. Sie funktioniert unter macOS, Linux und WSL2, aber nicht unter nativem Windows.

• Dateien: Schreibzugriffe sind auf den Arbeitsordner beschränkt. Standardmäßig umfassen Lesezugriffe fast den gesamten Rechner, einschließlich Schlüsselordnern wie ~/.ssh. Schützen Sie diese mit den Einstellungen sandbox.filesystem und sandbox.credentials.
• Netzwerk: Jede Verbindung läuft über einen Proxy, der Domainnamen filtert. Die Liste sandbox.network.allowedDomains ist anfangs leer. Auf Organisationsebene blockiert sandbox.network.allowManagedDomainsOnly jede nicht freigegebene Domain.

Die Sandbox hat Grenzen. Sie gilt nicht für integrierte Tools wie das Lesen von Dateien oder das Abrufen von Webseiten. Diese Tools folgen den Berechtigungsregeln. Ausgeschlossene Befehle (excludedCommands) und Befehle, die der Entwickler selbst mit ! startet, laufen ebenfalls außerhalb der Sandbox.

5. MCP-Server kontrollieren

MCP (Model Context Protocol) ist der Standard, der Claude mit Ihren Tools verbindet: Datenbank, Ticketsystem, CRM. Jeder MCP-Server erweitert, was Claude lesen und tun kann.

• Projektserver: Server, die in der Datei .mcp.json eines Repositorys deklariert sind, erfordern eine Freigabe. Ein geklontes Repository kann seine eigenen Server nicht freigeben.
• Listen der Organisation: allowedMcpServers und deniedMcpServers filtern Server nach URL, Befehl oder Name. Die Sperrliste hat immer Vorrang. allowManagedMcpServersOnly macht die Liste der Organisation zur einzig gültigen.
• Exklusive Kontrolle: Eine Datei managed-mcp.json legt die vollständige Liste der erlaubten Server fest.

Beispiel für eine Positivliste:

{
  "allowedMcpServers": [
    { "serverUrl": "https://*.intern.example.com/*" }
  ]
}

Neu in Version 2.1.319: Wenn ein MCP-Server einen Aufruf als Task ausführt, verschiebt Claude Code ihn in den Hintergrund und erhält das Ergebnis später. Die Variable CLAUDE_CODE_DISABLE_MCP_TASKS=1 deaktiviert dieses Verhalten.

6. Ihre Regeln mit Hooks durchsetzen

Hooks führen Ihre eigenen Skripte zu bestimmten Zeitpunkten aus. Der Hook PreToolUse läuft vor jeder Aktion und kann sie blockieren, zum Beispiel um einen Befehl abzulehnen, der auf eine Produktionsumgebung zielt. Er kann eine Regel vom Typ deny nicht umgehen.

Auf Organisationsebene beschränkt allowManagedHooksOnly die Ausführung auf die vom Administrator definierten Hooks.

7. Ihre Daten unter Kontrolle behalten

• Modelltraining. Unter kommerziellen Bedingungen (Tarife Team und Enterprise, API, Cloud-Plattformen) trainiert Anthropic seine Modelle nicht mit dem Code oder den Prompts, die an Claude Code gesendet werden, es sei denn, der Kunde entscheidet sich, seine Daten zu teilen. Bei persönlichen Konten (Free, Pro, Max, Ultra) hängt das von einer Kontoeinstellung ab. Schreiben Sie daher geschäftliche Konten vor.
• Aufbewahrung. Die Standarddauer beträgt 30 Tage für kommerzielle Konten. Auf dem Arbeitsplatz bleiben die Transkripte 30 Tage lang im Klartext in ~/.claude/projects/. Sie können diese Dauer mit cleanupPeriodDays anpassen.
• Null-Aufbewahrung. Eine Null-Aufbewahrung von Daten (englisch „zero data retention“) ist für berechtigte Enterprise-Organisationen auf Anfrage bei Anthropic möglich.
• Cloud-Anbieter und Gateways. Claude Code kann über Amazon Bedrock (CLAUDE_CODE_USE_BEDROCK=1), Google Cloud (CLAUDE_CODE_USE_VERTEX=1) oder ein internes LLM-Gateway (ANTHROPIC_BASE_URL) laufen. Die verwaltete Einstellung allowedProviders: ["customEndpoint"] erzwingt die Nutzung Ihres Gateways.

Hinweis für Teams hinter einem LLM-Gateway: Seit Version 2.1.319 werden im Auto-Modus Aufrufe, die der Server nicht prüfen kann, zur Bestätigung vorgelegt oder abgelehnt. Die Variable CLAUDE_CODE_AUTO_MODE_SERVER=0 stellt den integrierten Klassifikator wieder her.

8. Nachvollziehbarkeit sicherstellen

Claude Code exportiert seine Metriken und Ereignisse über OpenTelemetry (CLAUDE_CODE_ENABLE_TELEMETRY=1). Prompts und Tool-Inhalte werden standardmäßig nicht exportiert. In den Tarifen Team und Enterprise steht Administratoren ein Nutzungs-Dashboard zur Verfügung.

Aktuell: die E-Mail-Adresse in Webanfragen

Anfang November 2026 meldete ein GitHub-Ticket, dass Claude in Version 2.1.318 manchmal die E-Mail-Adresse des Kontos in den User-Agent-Header der von ihm geschriebenen Befehle einfügte, zum Beispiel bei curl. Es handelte sich nicht um einen fest codierten Header: Die Adresse stand im Kontext des Modells.

Version 2.1.317 hatte bereits eine Bestätigung eingeführt, bevor ein Web- oder Shell-Aufruf die E-Mail-Adresse des Kontos sendet. Laut dem Ticket deckt dieser Schutz noch nicht alle Fälle ab. Bis zu einer vollständigen Korrektur sollten Sie die Netzwerk-Sandbox mit einer Liste erlaubter Domains aktivieren und Claude Code aktuell halten. Version 2.1.319 behebt außerdem mehrere Umgehungen der Berechtigungsprüfungen.

Checkliste vor der Einführung

1. Geschäftliche Konten (Team, Enterprise oder API) für alle Benutzer.
2. Verwaltete Einstellungen auf allen Arbeitsplätzen verteilt, mit deaktiviertem bypassPermissions.
3. Regeln vom Typ deny für sensible Dateien: .env, Schlüssel, Zertifikate.
4. Sandbox aktiviert, mit einer Liste erlaubter Domains.
5. Positivliste der MCP-Server.
6. Hooks für kritische Aktionen wie Deployments.
7. OpenTelemetry-Telemetrie an Ihr Monitoring-Tool.
8. Regelmäßige Updates auf die neueste Version.

Häufige Fragen

Sendet Claude Code unseren Code, um Modelle zu trainieren?

Nicht unter kommerziellen Bedingungen (Team, Enterprise, API und Cloud-Plattformen), es sei denn, Sie entscheiden sich, Ihre Daten zu teilen. Bei persönlichen Konten hängt das von einer Kontoeinstellung ab.

Kann man verhindern, dass ein Entwickler die Schutzmaßnahmen deaktiviert?

Ja. Die verwalteten Einstellungen der Organisation haben Vorrang vor den Benutzer- und Projekteinstellungen. Sie können die Modi bypassPermissions und auto sperren, die Sandbox vorschreiben und MCP-Server einschränken.

Reicht die Sandbox aus?

Nein. Sie isoliert Bash-Befehle, aber keine integrierten Tools. Kombinieren Sie sie mit Berechtigungsregeln und einer Positivliste für Domains.

Kann man Claude Code ohne die API von Anthropic nutzen?

Ja, über Amazon Bedrock, Google Cloud oder Microsoft Foundry oder über ein internes LLM-Gateway. Dann gelten die Datenrichtlinien des gewählten Anbieters.

Sprechen wir darüber

ZetaBox hat den Status Certified im Claude Partner Network. Wir helfen Entwicklungsteams, Claude Code mit Einstellungen, MCP-Servern und Prozessen einzuführen, die zu ihren Sicherheitsanforderungen passen. Entdecken Sie unsere Implementierungsservices für Claude oder kontaktieren Sie unser Team.