Claude Security scannt jetzt laufend: was Enterprise-Teams wissen müssen
Am 21. Oktober 2026 hat Anthropic eine neue Version von Claude Security vorgestellt. Statt einzelner, manuell gestarteter Scans behält Claude Security deine Repositories jetzt dauerhaft im Blick, verfolgt Befunde bis zum Fix und lässt sich über API und MCP in eure Werkzeuge einbinden. Dieser Leitfaden fasst zusammen, was neu ist, für wen es gilt und wie du den Start vorbereitest. claude-os.de ist ein unabhängiger Beratungsdienst der lol.marketing LLC und nicht mit Anthropic verbunden. Die Produktangaben stammen aus den verlinkten Quellen von Anthropic, Stand 25. Oktober 2026.
Was ist neu an Claude Security?
Kurzantwort: Claude Security wartet nicht mehr darauf, dass jemand einen Scan startet. Es hält mit den Änderungen in deinen Repositories Schritt, merkt sich, welche Befunde behoben wurden, und nutzt Angaben deines Teams zur Umgebung, um zu entscheiden, was wichtig ist. Quelle: Anthropic.
Laut Anthropic haben seit dem Start der öffentlichen Beta im April Tausende Organisationen mit Claude Security über eine Million Schwachstellen gefunden. Claude Security nutzt die gesamte Modellfamilie einschließlich Claude Mythos; eine Teilnahme am Cyber Verification Program ist dafür nicht nötig. Quelle: Anthropic.
Wie funktioniert der kontinuierliche Scan?
Du legst ein Projekt an, verbindest Repositories über die Claude-GitHub-App (auch GitHub Enterprise Server) oder per Access Token von GitLab und anderen Git-Anbietern und wählst je Repository Branch und Umfang. Claude führt zuerst einen tiefen Basisscan durch und prüft danach Änderungen regelmäßig, abhängig von ihrem Risiko und ihrer Komplexität. Quelle: Anthropic.
Ein Projekt kann mehrere Repositories enthalten, laut Hilfe-Center bis zu acht. So kann Claude auch Probleme zwischen Diensten finden, etwa ein Backend, das Eingaben vertraut, die eigentlich der Client prüfen sollte. Einen festen Zeitplan für Folgescans gibt es nicht; der Basisscan kann je nach Größe Minuten bis Stunden dauern. Quelle: Claude Hilfe-Center.
Wie verfolgt Claude Security Fixes?
Die meisten Fixes entstehen außerhalb des Werkzeugs, das den Fehler gefunden hat. Claude Security gleicht offene Befunde deshalb mit dem geänderten Code ab und markiert sie als behoben, sobald der Fix im Code ist, egal ob dein Team ihn in Claude Code oder auf anderem Weg umgesetzt hat. Taucht das Problem später wieder auf, wird der Befund automatisch neu geöffnet. Quelle: Anthropic.
Aus einem Befund heraus kannst du per „Fix“ eine Claude-Code-Sitzung öffnen, die genau diese Schwachstelle behebt. Ohne Claude Code in der Cloud kopierst du einen Prompt in dein eigenes Claude Code. Quelle: Claude Hilfe-Center. Mehr zum Werkzeug steht im Ratgeber Claude Code für Teams.
Welche Rolle spielen Bedrohungsmodell und Teamwissen?
Jedes Projekt hat eine Wissensbasis. Dort beschreibt dein Team, wie der Code betrieben wird, welche Sicherheitsrichtlinien gelten und was ein neuer Security Engineer wissen müsste. Zusätzlich erzeugt Claude Security aus dem Code ein Bedrohungsmodell, das dein Team prüfen und bearbeiten kann. Folgescans nutzen es, um zu entscheiden, was gemeldet wird, und können Risiken überspringen, die eure Umgebung bereits abfängt. Quelle: Anthropic.
Jeder Befund bekommt eine Schweregrad-Einstufung gemessen am Bedrohungsmodell und eine Erklärung, wie ein Angreifer den verwundbaren Code erreichen könnte, teils mit Diagramm des Angriffspfads. Quelle: Anthropic. Laut Hilfe-Center prüft Claude seine Befunde mehrstufig, bevor sie angezeigt werden; Scans sind bewusst nicht deterministisch, zwei Läufe über denselben Code können also unterschiedliche Ergebnisse liefern. Quelle: Claude Hilfe-Center.
Welche Integrationen und Rechte gibt es?
| Baustein | Was er leistet |
|---|---|
| API | Projekte und Befunde auflisten und lesen, Befunde schließen oder neu öffnen, Projekte und ihre Repositories anlegen und verwalten; persönliches Access Token sieht nur, was der Nutzer sieht |
| Webhooks | Benachrichtigen eure Systeme, wenn ein neuer Befund eingeht |
| MCP-Connector | In Claude.ai und Claude Code: Befund aufrufen, nachfragen, Fix starten und als gelöst markieren in einer Sitzung |
| Rollenbasierte Rechte | Admins legen fest, wer Projekte ansehen, Befunde bearbeiten und Projekte anlegen darf; Projekte lassen sich mit den Rollen Full, Triage oder View teilen |
Quellen der Tabelle: Anthropic und Claude Hilfe-Center. Wie MCP-Connectoren grundsätzlich funktionieren, erklärt der Ratgeber Model Context Protocol.
Wer bekommt Zugang und was kostet es?
Die neue Version ist seit dem 21. Oktober 2026 als öffentliche Beta für Kunden von Claude Enterprise verfügbar. Admins schalten Claude Security in der Admin-Konsole frei und legen fest, wer im Team Zugriff hat. Quelle: Anthropic. Voraussetzung sind laut Hilfe-Center ein aktiver Enterprise-Plan, ein Premium-Seat je Nutzer und aktivierte Usage Credits für die verbrauchsabhängige Abrechnung. Quelle: Claude Hilfe-Center.
| Punkt | Regelung |
|---|---|
| Abrechnung | Nur direkte Token-Kosten, keine zusätzliche Plattformgebühr; eigenes Ausgabenlimit für Claude Security möglich |
| Startguthaben | Bis zu 25.000 US-Dollar je Monat in zwei aufeinanderfolgenden Monaten, ohne Anmeldung, nur für Projekte in der neuen Version |
| Berechtigt | Claude-Enterprise-Organisationen, auch bei Kauf über den AWS Marketplace |
| Laufzeit | Für bestehende Enterprise-Kunden ab 21. Oktober 2026; das Angebot endet am 31. Dezember 2026 (UTC), nicht genutztes Guthaben wird nicht übertragen |
| Zero Data Retention | Nicht unterstützt; für ZDR-Anforderungen gibt es das separate Claude-Security-Plugin für Claude Code |
Quelle der Tabelle: Claude Hilfe-Center. Welche Pläne es gibt, zeigt der Ratgeber Claude Pro, Team und Enterprise.
So bereitest du den Start vor
Unsere Einordnung, keine Herstelleraussage: Claude Security ersetzt keine Sicherheitsverantwortung im Team, kann aber den Abstand zwischen Fund und Fix verkürzen. Damit die Beta im Unternehmen sauber anläuft, empfehlen wir:
- Rechte zuerst: Legt fest, wer Projekte anlegen darf und wer Befunde nur triagieren oder ansehen soll.
- Klein starten: Beginnt mit einem Projekt aus zusammengehörigen Repositories und einem klar gewählten Branch.
- Bedrohungsmodell pflegen: Prüft das erzeugte Modell und tragt Betrieb, Richtlinien und akzeptierte Risiken in die Wissensbasis ein.
- Fixes weiter prüfen: Vorgeschlagene Patches durchlaufen euren normalen Review, bevor sie gemergt werden.
- Guthaben-Zeitraum nutzen: Plant den Test so, dass er in die zwei Monate mit Startguthaben vor dem 31. Dezember 2026 fällt.
Einführung besprechen: Wir begleiten Rollout und Rechtekonzept im Rahmen unserer Claude-Enterprise-Beratung und binden Befunde auf Wunsch über MCP in eure Abläufe ein.
Quellen und Produktstand
Produktangaben wurden am 25. Oktober 2026 geprüft. Der Zugang kann je nach Tarif und Rollout abweichen.