Übersicht
Claude Security ist eine in Claude integrierte Funktion, die Ihre Codebases kontinuierlich auf Sicherheitslücken überwacht, jeden Fund bis zur Behebung verfolgt und gezielte Patches zur menschlichen Überprüfung vorschlägt. Es hilft Teams, Probleme zu finden und zu beheben, die traditionelle Methoden oft übersehen.
Claude Security ist jetzt in der öffentlichen Beta für Benutzer mit Enterprise-Plänen verfügbar.
Erfahren Sie hier, wie Sie anfangen und wie führende Unternehmen das Tool nutzen: Erste Schritte mit Claude Security.
Claude Security ermöglicht Ihnen:
Scannen Sie Ihre Codebasis ganzheitlich — Claude Security versteht, wie Ihr Code zusammenhängt, verfolgt Datenflüsse über Dateien und Repositories in einem Projekt hinweg und identifiziert komplexe, mehrteilige Sicherheitslücken und Fehler, die traditionelle regelbasierte Scanner nicht erkennen können.
Deep Scan — Erstellen Sie ein Projekt und verbinden Sie bis zu acht Repositories von GitHub oder anderen Git-Anbietern. Claude liest den Code, schreibt ein Bedrohungsmodell und führt einen umfassenden Basis-Scan durch.
Kontinuierliches Scannen — Claude Security führt einen effizienten Scan durch, wenn neue Commits eingehen, und zeigt neue Erkenntnisse zur schnellen Behebung an.
Fügen Sie hinzu, was der Code nicht zeigen kann — Teilen Sie Claude mit, wie Ihr Code bereitgestellt wird, wer darauf zugreifen kann und welche Risiken Sie akzeptiert haben. Jedes Projekt speichert dies in einem Bedrohungsmodell, und Claude nutzt es, um zu entscheiden, was gekennzeichnet werden soll und wie es bewertet wird.
Erkenntnisse validieren — Jeder Fund durchläuft eine mehrstufige Überprüfung, wobei Claude seine eigenen Erkenntnisse kritisch überprüft, bevor sie angezeigt werden. Das Ergebnis: weniger falsch positive Ergebnisse, weniger Rauschen.
Überprüfen und patchen — Wechseln Sie nahtlos von einem Fund zu einer Claude Code-Sitzung, um einen gezielten Fix zu generieren. Beheben Sie Sicherheitslücken schnell, anstatt einen Rückstand aufzubauen.
Fixes verfolgen — Claude überprüft offene Erkenntnisse anhand des geänderten Codes und markiert sie als behoben, wenn der Fix eingecheckt wird.
In Ihren Workflow integrieren — Lesen und beheben Sie Erkenntnisse über die Claude Security API oder den Claude Security Connector (MCP) in Claude und Claude Code, und erhalten Sie einen Webhook, wenn ein neuer Fund hinzugefügt wird.
Zugriff kontrollieren — Teilen Sie jedes Projekt mit einer Rolle „Vollständig
Fundtypen
Erkenntnisse fallen in die folgenden Beispielkategorien.
Injection (SQL, Command, Code, XSS): Nicht vertrauenswürdige Eingaben ändern die Abfragestruktur oder werden ausgeführt. Z. B. ' OR 1=1--, ; rm -rf /, <script> in einem Kommentar.
Injection (XXE, ReDoS): Parser oder Regex werden durch manipulierte Eingaben missbraucht. Z. B. XML <!ENTITY> liest /etc/passwd.
Pfad & Netzwerk (Pfadtraversal, SSRF, Open Redirect): Eingaben steuern Dateipfade, Anfrageziele oder Umleitungen. Z. B. ../../etc/passwd, Abrufen von http://169.254.169.254/.
Auth & Zugriff (AuthN-Umgehung, PrivEsc, IDOR/BOLA, CSRF, Race): Zugriffsprüfungen fehlen, sind übersprungbar oder racy. Z. B. GET /orders/123 gibt die Bestellung einer anderen Person zurück.
Speichersicherheit (Buffer/Integer-Overflow, UAF, unsicherer Missbrauch): Eingaben schreiben über Grenzen hinaus, wickeln Arithmetik um oder treffen freigegebenen Speicher. Hauptsächlich C/C++/Rust unsafe.
Kryptographie (Timing-Lecks, Algorithmus-Verwechslung, schwache Primitive): Geheimnis-abhängige Branches, JWT alg=none oder MD5/SHA-1/DES/ECB in Sicherheitspfaden.
Deserialisierung (Beliebige Typinstanziierung): Nicht vertrauenswürdige Bytes steuern die Objektkonstruktion — pickle, Java readObject, YAML load. Oft gleich RCE.
Protokoll & Codierung (Cache-Sicherheit, Codierungs-Verwechslung, Längenpräfix-Vertrauen): Schichten sind sich uneinig oder vertrauen deklarierten Größen. Z. B. Cache-Poisoning über Host-Header.
Schweregrade
Der Schweregrad wird pro Fund basierend darauf zugewiesen, wie ausnutzbar er in Ihrer Codebasis ist, nicht die Kategorie selbst – daher kann die gleiche Kategorie in verschiedenen Repos unterschiedliche Schweregrade haben. Claude nutzt das Bedrohungsmodell des Projekts, um den Schweregrad zu bewerten.
Schweregrad | Kriterien | Typisches Beispiel |
Kritisch | Über das Netzwerk von jedem ausnutzbar, ohne Anmeldung, ohne Aktion durch ein Opfer und ohne spezielle Bedingungen. Es ermöglicht dem Angreifer, Daten zu lesen und zu ändern. | Unauthentifizierte Remote-Code-Ausführung in einem internetgestützten Service. |
Hoch | Schwerwiegende Auswirkungen, aber nicht kritisch: Der Angreifer benötigt eine Anmeldung oder eine Aktion des Opfers, oder der Schaden ist teilweise (z. B. können Daten gelesen, aber nicht geändert werden). | SQL-Injection hinter einer Anmeldung, die es einem Angreifer ermöglicht, Daten zu lesen und zu ändern. |
Mittel | Begrenzte Auswirkungen (z. B. eine kleine Menge nicht sensibler Daten) mit einer realistischen Vorbedingung wie einer Anmeldung. | SQL-Injection hinter einer Anmeldung, die nur wenige nicht sensible Felder offenlegt. |
Niedrig | Begrenzte Auswirkungen und erfordert eine Anmeldung oder Netzwerknähe plus spezielle Bedingungen außerhalb der Kontrolle des Angreifers. | Timing-Seitenkanal, der Netzwerknähe und Tausende von Anfragen erfordert. |
Fundstruktur
Jeder Fund enthält die folgenden Felder:
Titel — kurzer beschreibender Name des Funds
Schweregrad — Kritisch / Hoch / Mittel / Niedrig
Kategorie — Fundtyp mit seiner CWE-ID, falls zutreffend
Standort — Dateipfad und Zeilenbereich, verlinkt zur Quelle. Ein Fund kann mehrere Dateien und Repositories zitieren.
Status — Offen oder Gelöst, mit dem Datum, an dem es gefunden wurde.
Verantwortlicher — die Person, der der Fund zugewiesen ist, falls vorhanden
Was Claude gefunden hat — Beschreibung des Befunds und warum er wichtig ist. Kann ein Diagramm des Angriffspfads enthalten.
So beheben Sie das Problem — Anleitung zur Behebung
Beweis — die Dateien und Zeilenbereiche, auf die Claude verweist, gruppiert nach Repository, mit dem gescannten Branch und Commit
So funktioniert der Angriff — wie ein Angreifer das Problem erreichen und ausnutzen würde
Warum Claude es glaubt — Claudes Bewertung, die das Exploit-Szenario, seine Vorbedingungen und die Auswirkungen abdeckt
Verlauf — jede Änderung am Befund, neueste zuerst
Wird nur angezeigt, wenn der Befund behoben wurde:
Auflösung — Als behoben markiert, durch einen zusammengeführten Pull Request behoben oder als falsch positiv, akzeptiertes Risiko, Duplikat oder aus einem anderen Grund abgelehnt
Triage-Notiz — optional
Fehlerbehebung
Die Sicherheitsseite leitet ständig zu "GitHub App installieren" um
Die Seite claude.ai/security führt eine benutzerabhängige Überprüfung für Ihr eigenes verbundenes GitHub-Konto durch, daher kann dies für Sie fehlschlagen, auch wenn die organisationsweite Installation für andere funktioniert. Es gibt mehrere mögliche Ursachen:
Kein GitHub-Konto in Claude verbunden. Gehen Sie zu Anpassen > Connectors, um dies zu überprüfen.
Das verbundene GitHub-Konto ist kein Mitglied der GitHub-Organisation, in der die App installiert ist. Verbinden Sie das Konto, das zu dieser Organisation gehört.
SSO ist für diese Organisation nicht autorisiert. Wenn Ihre GitHub-Organisation SSO erfordert, müssen Sie die Claude-App separat dafür autorisieren. Folgen Sie den Schritten in GitHub-Integration verwenden.
Die IP-Zulassungsliste Ihrer GitHub-Organisation blockiert die Überprüfung. Die GitHub-Einstellung „IP-Zulassungslisten-Konfiguration für installierte GitHub-Apps aktivieren
Häufig gestellte Fragen
Erste Schritte
Was benötige ich, um Claude Security zu nutzen?
Ein aktiver Claude Enterprise-Plan, ein Premium-Platz für jeden Benutzer und aktivierte Nutzungsguthaben für verbrauchsbasierte Abrechnung. Ein Besitzer aktiviert Claude Security in Organisationseinstellungen > Claude Security. Siehe Leitfaden für erste Schritte für Einrichtungsschritte.
Wie gebe ich Claude Security Zugriff auf meine Repositories?
Für GitHub.com und GitHub Enterprise Server installiert ein Besitzer die Claude GitHub App und gewährt ihr Zugriff auf die Repositories, die Sie scannen möchten. Für andere Git-Provider wie GitLab und Bitbucket benötigen Sie die Repository-Adresse und ein Auth-Token.
Kann ich Repositories scannen, die sich nicht auf GitHub befinden?
Ja. Projekte können mit Repositories erstellt werden, die auf GitHub.com und GitHub Enterprise Server gehostet sind, oder mit Repositories, die auf anderen Git-Servern mit einem Auth-Token gehostet sind (einschließlich öffentlich zugänglicher selbstgehosteter Git-Server).
Welche IP-Adressen muss ich zulassen?
Verwenden Sie den Anthropic-Leitfaden für IP-Adressen-Whitelisting. Wenn Sie GitHub Enterprise Server oder einen anderen Git-Provider verwenden, muss Ihre Instanz eingehenden Datenverkehr von diesen IP-Adressen zulassen, damit Claude Security Ihre Repositories erreichen kann.
Unterstützt Claude Security Zero Data Retention (ZDR)?
Nein. Anthropic kann Daten beibehalten, wenn dies gesetzlich erforderlich ist oder um Verstöße gegen die Nutzungsrichtlinie zu beheben.
Was passiert mit meinen bestehenden Projekten mit dem neuesten Update?
Bestehende Projekte werden wie bisher ausgeführt und sind weiterhin auf der Claude Security-Startseite verfügbar. Neue Projekte verwenden die neue Oberfläche.
Kann ich meine bestehenden Projekte migrieren?
Ja, wenn Sie der Besitzer des Projekts sind. Öffnen Sie es und klicken Sie auf "Projekt migrieren", oder klicken Sie auf der Claude Security-Startseite auf "Ihre Projekte migrieren", um alle Ihre Projekte zu migrieren. Claude Security erstellt ein neues Projekt, kopiert die Befunde darin und archiviert das Original. Mitglieder, Webhooks, ausgeschlossene Verzeichnisse, Scan-Verlauf und geplante Scans werden nicht kopiert. GitHub Enterprise-Projekte können nicht migriert werden.
Kontinuierliche Überwachung
Wie lange dauert der erste Scan?
Je nach Größe der Repositories kann der Basis-Scan mehrere Minuten oder Stunden dauern. Sie können die Seite verlassen, während er läuft. Wenn Sie E-Mail-Benachrichtigungen für Claude Security aktiviert haben, erhalten Sie eine E-Mail, wenn der Scan Ihres Projekts abgeschlossen ist und neue Befunde vorhanden sind.
Wie lange dauert ein Folge-Scan?
Die Scan-Zeit variiert je nach Repository und den Aktionen des Agenten.
Wie oft scannt Claude nach dem Basis-Scan?
Claude prüft regelmäßig auf neue Commits und scannt Änderungen basierend auf deren Risiko und Komplexität. Es gibt keinen festen Zeitplan.
Warum können zwei Scans desselben Codes unterschiedliche Ergebnisse liefern?
Scans sind absichtlich stochastisch. Im Gegensatz zu traditionellen statischen Analysatoren verwendet Claude Security einen Agenten, der seine Analyse an jeden Durchlauf anpasst und über Code-Kontext nachdenkt, anstatt feste Mustererkennung anzuwenden. Dies ermöglicht die Tiefe der Analyse, die erforderlich ist, um Sicherheitslücken auf Logik-Ebene zu erkennen.
Wie sollte ich ein großes Repository oder Monorepo einrichten?
Legen Sie einen Ordner-Umfang im Repository fest, anstatt das gesamte Repository zu scannen, und schließen Sie Ordner aus, die Sie nicht abdecken müssen. Claude kann bei Bedarf weiterhin Kontext aus dem Rest der Codebasis abrufen.
Wie viele Repositories kann ein Projekt haben?
Bis zu acht. Ein Repository kann im Umfang enthalten sein, sodass Claude es scannt und Befunde meldet, oder nur für Kontext verwendet werden, sodass Claude es während Scans liest, aber keine Befunde darin meldet. Beide zählen zum Limit. Verwalten Sie die Repositories eines Projekts auf der Registerkarte „Ressourcen"."
Wie teile ich Claude meine Umgebung mit?
Öffnen Sie die Registerkarte „Wissen
Welche Modelle verwendet Claude Security?
Claude Security-Scans werden vom Claude Mythos-Modell unterstützt. Benutzer erhalten Befunde ohne direkten Modellzugriff. Jeder Chat eines Projekts mit Claude verwendet ein Modell, das Ihr Team aus den von Ihrer Organisation zulässigen Modellen auswählt. Bestimmte Unterkomponenten von Claude Security können andere Modelle verwenden, wenn Mythos-Klasse-Reasoning nicht erforderlich ist, z. B. zum Aufzählen eines Projektverzeichnisses.
Befunde und Fixes
Wie wird der Schweregrad zugewiesen und kann ich ihn ändern?
Claude bewertet jeden Fund anhand des Bedrohungsmodells deines Projekts, das dein Team bearbeiten und korrigieren kann.
Was ist, wenn ein Fund einen Angriff beschreibt, der in meiner Umgebung nicht möglich ist?
Claude erstellt das Bedrohungsmodell aus deinem Code, daher kann es den Bereitstellungskontext und die Muster, die dein Unternehmen akzeptiert hat, übersehen. Erkläre Claude im Projekt-Chat, warum der Fund falsch ist, und bitte es, das Bedrohungsmodell zu aktualisieren. Claude nutzt das Bedrohungsmodell, um zu entscheiden, was gekennzeichnet werden soll und wie es bewertet wird.
Wie behebe ich einen Fund?
Klicke auf „Fix
Wie funktioniert die Verfolgung von Behebungen?
Claude überprüft Funde erneut, wenn sich der Code im Repository ändert. Ein als behoben gekennzeichneter Fund wird automatisch erneut geöffnet, wenn Claude das Problem später erneut findet.
Was passiert, wenn ich einen Fund ablehne?
Abgelehnte Funde werden in zukünftigen Scans nicht erneut angezeigt. Du kannst einen Fund als falsch positiv, akzeptiertes Risiko, Duplikat oder aus einem anderen Grund ablehnen und eine Triage-Notiz hinzufügen.
Integrationen und Benachrichtigungen
Wie exportiere ich Funde in meine eigenen Tools?
Um Funde in deine eigenen Tracking- und Benachrichtigungssysteme zu exportieren, verwende die Claude Security API, den Claude Security Connector oder Webhooks.
Wie verwende ich die Claude Security API?
Erstelle ein persönliches Zugriffstoken in den Claude Security-Einstellungen. Ein Token handelt in deinem Namen: Es kann nur sehen und ändern, was du kannst. Mit der API kannst du Projekte und Funde auflisten und lesen, Funde auflösen und erneut öffnen sowie Projekte und ihre Repositories erstellen und verwalten.
Was kann der Claude Security Connector (MCP) tun?
Mit dem Claude Security Connector können Claude und Claude Code deine Projekte und Funde auflisten und lesen sowie einen Fund auf deine Anfrage hin auflösen oder erneut öffnen.
Wie werde ich benachrichtigt, wenn es einen neuen Fund gibt?
Erstelle einen Webhook in den Claude Security-Einstellungen, um neue Fund-Events in deine eigenen Systeme wie Slack oder Jira zu übertragen.
Zugriff und Freigabe
Wie kontrollieren Admins, wer Claude Security nutzen kann?
Admins können entscheiden, welche RBAC-Rollen Projekte erstellen können und welche alle Projekte anzeigen, triagieren oder verwalten können, indem sie die Funktionen in benutzerdefinierten Rollen konfigurieren.
Wie teile ich ein Projekt und was kann jede Rolle tun?
Klicke in einem Projekt auf „Share
Preisgestaltung
Wie viel kostet Claude Security?
Claude Security wird nur zu direkten Token-Kosten berechnet. Es gibt keine zusätzliche Plattformgebühr. Die Nutzung umfasst Scans und andere Arbeiten, die Claude Security in einem Projekt ausführt: Schreiben eines Bedrohungsmodells, das Projekt-Chat und Überprüfung von Behebungen.
Wie kontrolliere und verfolge ich, was Claude Security kostet?
Du kannst ein separates Ausgabenlimit für Claude Security festlegen. Öffne Usage in den Einstellungen eines Projekts, um seine Kosten für den bisherigen Monat und pro Tag zu sehen.
Gibt es ein Startangebot für die aktualisierte Claude Security?
Ja, berechtigte Claude Enterprise-Organisationen erhalten kostenlose Nutzungsguthaben bis zu 25.000 USD pro Monat für zwei Monate bis zum 31. Dezember 2026. Vollständige Startangebotsbedingungen unten.
Gilt das Startangebot auch für die alte Erfahrung?
Nein, das Startangebot gilt nur für Projekte, die mit der neuen Erfahrung erstellt wurden.
Claude Security Plugin für Claude Code
Was ist das Claude Security Plugin für Claude Code?
Das Claude Security Plugin für Claude Code ist eine separate Funktion, die auf der gleichen Technologie wie Claude Security basiert. Es ist für Benutzer verfügbar, die den Scanner direkt in ihre Workflows integrieren möchten, ohne sich auf die gehostete Agent-Infrastruktur von Anthropic zu verlassen, die Zero Data Retention (ZDR)-Anforderungen haben oder Modellzugriff über einen Drittanbieter benötigen. Weitere Informationen hier: Scanne deine Codebasis auf Sicherheitslücken.
Verwendet das Claude Security Plugin für Claude Code das gleiche Modell?
Nicht unbedingt. Das Plugin verwendet die Modelle, die in deinem Claude Code-Konto verfügbar sind.
Nutzungsumfang: Du wirst Claude Security nur verwenden, um Code zu scannen, den du oder dein Unternehmen besitzt und für den du oder dein Unternehmen alle erforderlichen Rechte zum Scannen hast. Du wirst Claude Security nicht verwenden, um Code zu scannen, der von Dritten besessen oder lizenziert ist, einschließlich, aber nicht beschränkt auf Open-Source-Projekte oder Repositories, die nicht in der/den Codebasis(sen) deines Unternehmens enthalten sind.
Claude Security Startangebotsbedingungen
Wer ist berechtigt: Claude Enterprise-Organisationen, einschließlich Claude Enterprise, das über AWS Marketplace erworben wurde.
Was du erhältst: Bis zu 25.000 USD an Werbeguthaben für die Claude Security-Nutzung in jedem von zwei aufeinanderfolgenden Monaten. Jeder Monat läuft vom Startdatum deiner Organisation bis zum gleichen Datum im folgenden Monat. Ungenutztes Guthaben aus einem Monat wird nicht übertragen.
So erhältst du es: Es ist keine Anmeldung erforderlich. Guthaben wird automatisch auf die Nutzung in der neuen Claude Security angewendet. Die Nutzung in Projekten aus der früheren Version ist nicht abgedeckt, bis sie migriert werden.
Wann es beginnt: Organisationen, die bereits Claude Enterprise haben, beginnen am 21. Oktober 2026. Organisationen, die sich nach diesem Datum für Claude Enterprise anmelden, beginnen am Tag ihrer Anmeldung. Die zwei Monate laufen, unabhängig davon, ob deine Organisation Claude Security nutzt.
Wann es endet: Das Angebot endet am Ende des Tages am 31. Dezember 2026 (UTC), auch wenn deine zwei Monate noch nicht vorbei sind. Organisationen, die sich nach dem 1. November 2026 anmelden, erhalten keine zwei vollen Monate.
Wie Guthaben angewendet wird: Guthaben wird vor der zugesagten Ausgabe oder den Nutzungsguthaben deiner Organisation verwendet und ist separat von allen vorausbezahlten Nutzungsguthaben. Nach Verwendung des Guthabens oder Ende des Angebots wird die Claude Security-Nutzung zu direkten Token-Kosten berechnet.
Wo du es sehen kannst: Organisationsadmins können das Werbeguthaben in Organisationseinstellungen > Nutzung unter Services oder in Organisationseinstellungen > Claude Security unter Ausgabenlimit sehen.
Die Claude Promotional Credit Offer Terms gelten ebenfalls, einschließlich wann Guthaben verfallen kann und wann das Angebot geändert werden kann. Falls diese von diesem Artikel zu diesem Angebot abweichen, hat dieser Artikel Vorrang.