KI-Sicherheit & Governance: Leitfaden für Nutzer

Legt man mehrere Websites in ein Repository und in jeden Website-Ordner eine CLAUDE.md oder AGENTS.md, ist nicht garantiert, dass diese Regeln vor Arbeitsbeginn gelesen werden. Claude Code lädt eine CLAUDE.md unterhalb des Startverzeichnisses, wenn Claude eine Datei in diesem Ordner liest, schreibt oder bearbeitet, während Codex nur die AGENTS.md vom Projektstamm bis zum Startverzeichnis liest, einmal zu Beginn jedes Laufs. Dieser Artikel vergleicht Punkt für Punkt, wie beide Tools diese Dateien laden und wie man prüft, ob sie geladen wurden (/context zeigt nur, was beim Start geladen wurde), und behandelt dann eine Prüfung, die das Release stoppt, wenn sich außerhalb des zugewiesenen Ordners etwas ändert, sowie Tool-Einstellungen, die Schreibzugriffe sperren. Außerdem zeigt er, wie man Repositorys mit ähnlichen Namen an Remote-URL und Root-Commit unterscheidet, und Befehle, die nur die Namen von Umgebungsvariablen anzeigen (geprüft am 1. November 2026).

Die Anleitung zeigt, wie Sie Codex und Claude Code in App, IDE, CLI, Claude Desktop, im Web und auf dem Smartphone auf reine Untersuchung und Beratung umstellen. Sie erfahren den Unterschied zwischen read-only und Plan, wie Einstellungen gespeichert werden und wie Werkzeuge eingeschränkt werden. Außerdem finden Sie einsatzbereite Prompts und Prüfungen für Änderungen.

Der Artikel erklärt, wie Sie Codex am Lesen geheimer Dateien hindern: über Leseverbote in Permission profiles, getrennte Arbeitsumgebungen, Freigaben und Netzwerkregeln. Behandelt werden außerdem .env-Dateien, Umgebungsvariablen und Grenzen je nach Betriebssystem. Eine Prüfung mit Dummy-Dateien zeigt, ob die Sperre greift.

Bevor Sie sich für das lokale Plugin, die GitHub-verbundene Cloud oder die eigenständige CLI entscheiden, erklärt dieser Leitfaden die Unterschiede. Er behandelt die separate Cloud-Abrechnung, bedingte kostenlose Scan-Credits, die Ersteinrichtung, den Aufwand von Standard und Deep sowie das Lesen von Abdeckung und Reproduktionsbelegen. Außerdem zeigt er, wie die CLI API-Schlüssel auswählt, wie geschätzte Kostenlimits wirken und wie Korrekturen geprüft werden.

Claude Code Mods (Claude Mods) sind Plugins, die JavaScript- oder TypeScript-Funktionen direkt in Claude Code ausführen; offiziell hinzugefügt wurden sie am 1. Oktober 2026 mit v2.1.287. Dieser Artikel erklärt, wie ein Mod aus drei Dateien funktioniert, wie er sich von klassischen Hooks in der settings.json, von Skills und von MCP unterscheidet, was Mods können, etwa Panes in die Oberfläche zeichnen, Befehle ohne Wartezeit anlegen und einen Tool-Aufruf anhalten, um den Nutzer zu fragen, und welche Grenzen wie die Laufzeit gelten, alles auf Grundlage des Originaltexts der offiziellen Dokumentation, geprüft am 5. Oktober desselben Jahres. Ein Mod läuft mit Ihren Rechten außerhalb der Sandbox und kann Berechtigungsentscheidungen überstimmen. Eine Tabelle zeigt, dass Deny-Regeln bei Team oder Enterprise oder auf einem Rechner mit managed settings halten, ein Mod bei einem privaten Abo aber sogar Aufrufe genehmigen kann, die eine Deny-Regel abgelehnt hat. Außerdem behandelt der Artikel die Ergebnisse aus dem Lesen des Codes der drei offiziellen Beispiel-Mods von Anthropic und dem Auszählen der genutzten APIs, wie man claude plugin validate vor der Installation liest, wie man Mods ausprobiert, von Claude bauen lässt und abschaltet, wo Mods laufen, die eingebauten Mods und eine Checkliste vor der Installation.

Sie können Entwicklung an Cloud-Sessions von Claude Code übergeben, ohne einen neuen Zugang zur Produktion zu öffnen: Legen Sie den Code in ein privates GitHub-Repository, installieren Sie die Claude GitHub App nur auf diesem Repository und lassen Sie den Produktionsserver ihn nur per Pull mit einem schreibgeschützten Deploy Key holen. Dieser Artikel ist mein Protokoll, wie ich am 4. Oktober 2026 in einem separaten Entwicklungsprojekt mit Cloud-Sessions begonnen habe, geprüft am Originaltext der offiziellen Dokumentation mit Stand dieses Tages. Er erklärt, dass claude --cloud ohne GitHub die Historie aller Branches plus nicht committete Änderungen an verfolgten Dateien überträgt (unter Windows unabhängig vom Dateinamen), wie Sie es beheben, wenn ein anderes GitHub-Konto verbunden ist, „Only select repositories“ und warum öffentliche Repositories in der Liste erscheinen, warum Sie pro Projekt eine neue Umgebung anlegen sollten, da jeder, der eine Umgebung nutzt, ihre Umgebungsvariablen lesen kann, dass lokale Dateien unsichtbar sind und dass Accept edits in der Cloud bei jedem Befehl anhält, während Auto weiterarbeitet – zusammengefasst in einer Checkliste vor dem Start. Außerdem zeigt er einen realen Fall, in dem eine einzige, selbstständig ausgeführte Anweisung $226 des befristeten Guthabens verbrauchte, bevor ich sie mittendrin anhielt, warum das Guthaben so schnell schwindet und wie sich Kosten senken lassen.

Auch im persönlichen Pro-Tarif fließen Gespräche und Code von ChatGPT und Codex standardmäßig ins Training ein. Der Artikel erklärt, wie sich eine ChatGPT-Einstellung auf neue Codex-Aufgaben auswirkt, warum Umgebungen eine eigene Einstellung haben und welche Informationen Sie besser nicht eingeben sollten. Zudem zeigt er, was zu tun ist, wenn bereits API-Schlüssel oder Kundendaten eingegeben wurden, und welche Ausnahmen bei Löschung und Bewertung gelten.

Ob Ihre Unterhaltungen in Claude Code zum Training von KI-Modellen verwendet werden, hängt von Ihrem Plan und Ihrer Kontoeinstellung ab. In den Verbraucherplänen Free, Pro und Max werden Ihre Daten nur für das Training verwendet, solange die Einstellung zur Modellverbesserung in den Datenschutzeinstellungen von claude.ai eingeschaltet ist (Speicherung 5 Jahre); schalten Sie sie aus, endet das Training (Speicherung 30 Tage). Die Einstellung gehört zu Ihrem Konto, Sie müssen also keine Einstellungsdateien auf dem Computer ändern, auf dem Claude Code läuft. Gestützt auf den Originaltext der Seite „Data usage“ der Claude-Code-Dokumentation, das Privacy Center von Anthropic und die Claude-Platform-Seite „API and data retention“ mit Stand 4. Oktober 2026 erklärt dieser Artikel, wo die Einstellung liegt und wie Sie sie ausschalten, dass der Widerspruch Ihre Daten nicht aus früherem Training entfernt, wie 👍👎-Bewertungen, /feedback und als Richtlinienverstoß markierte Unterhaltungen behandelt werden sowie Training und Speicherdauer Plan für Plan, einschließlich Team, Enterprise, API und Bedrock. Außerdem zeigt er, dass API-Ein- und -Ausgaben standardmäßig nicht für das Training verwendet und innerhalb von 30 Tagen gelöscht werden, was ZDR abdeckt und warum Covered Models wie Fable 30 Tage Speicherung erfordern, welche Umgebungsvariablen die getrennt vom Training gesendeten Nutzungsmetriken und Fehlerberichte abschalten, dass Gesprächsprotokolle im Klartext auf Ihrem eigenen Computer liegen und wie Sie die richtige Konfiguration für vertrauliche Arbeit wählen.

Zeigt Claude Code „API Error: Opus 5.5's safeguards flagged this message“ oder „safeguards flagged this session“, hat ein Sicherheits-Klassifikator, der zum Modell gehört, auf den Inhalt des Gesprächs reagiert und die Antwort mit diesem Modell gestoppt. In den Titeln von Issues heißt es auch „Message flagged by safeguards“. Die Klassifikatoren laufen serverseitig und betrachten nicht nur den letzten Satz, sondern das ganze Gespräch, gelesene Dateien und sogar CLAUDE.md, sodass auch eine normale Nachricht wie „hi“ gestoppt werden kann; Anthropic räumt Fehlalarme ein. Auf Grundlage der offiziellen Fehlerreferenz, der Dokumentation zur Modellkonfiguration, der Seite Refusals and fallback der API und des Help Center ordnet dieser Artikel ein, was die Kategorien cyber, bio, reasoning_extraction, general_harms und frontier_llm im Feld Details bedeuten, wann Claude Code automatisch zu einem anderen Modell wechselt und wann es einfach stoppt, wie Sie zweimal Esc zum Zurückgehen, /clear, /model, --safe-mode und /feedback nutzen, die Erweiterung des CVP am 6. Oktober 2026 auf drei Stufen, die auch Opus 5.5 und Sonnet 5.5 abdecken, und wie gestoppte Anfragen abgerechnet werden. Berichte auf GitHub seit dem 22. September werden getrennt von den offiziellen Erklärungen als nicht bestätigte Fälle behandelt.

Am 2. August 2026 sind die übrigen Bestimmungen des EU AI Act allgemein anwendbar geworden, und mit ihnen kam eine Welle von Behauptungen, es sei nun illegal, einen mit KI geschriebenen Artikel ohne Label zu veröffentlichen. Die kurze Antwort lautet: Für die meisten unabhängigen Autorinnen und Autoren und für Unternehmensblogs entsteht keine Kennzeichnungspflicht. Artikel 50 Absatz 4 hält ausdrücklich fest, dass die Pflicht nicht gilt, wenn die Inhalte einer menschlichen Überprüfung oder redaktionellen Kontrolle unterzogen wurden und jemand die redaktionelle Verantwortung für die Veröffentlichung trägt. So weit der Verordnungstext; der Praxisleitfaden zu Artikel 50 ergänzt, dass die Überprüfung substanziell sein muss und sich nicht auf oberflächliche Aspekte oder eine bloß formale Freigabe beschränken darf, weshalb automatisch gepostete Texte, die niemand gelesen hat, kaum darunterfallen dürften. Dieser Artikel arbeitet heraus, warum Anbieter (provider) und Betreiber (deployer) völlig unterschiedliche Pflichten haben, warum die Offenlegung KI-generierter Texte am Zweck der Veröffentlichung und nicht am Thema hängt, wie die Offenlegungspflicht für Deepfakes und die abgeschwächte Behandlung künstlerischer und satirischer Werke aussehen, was für Chatbot-Hinweise gilt, warum die maschinenlesbare Kennzeichnung wie C2PA Content Credentials eine Pflicht der Anbieter ist, und welche Fristen am 2. Dezember 2026 und am 2. Februar 2027 laufen — durchgehend beschränkt auf das, was sich am Verordnungstext und an Material der Europäischen Kommission überprüfen ließ.

Auf die Frage „wenn eine KI die Dinge direkt bearbeiten kann, brauchen wir dann überhaupt noch ein Admin-Panel?“ kann keine Pauschalaussage antworten, weil der Ausdruck „Admin-Panel“ selbst einen Haufen von Funktionen mit völlig unterschiedlicher Natur abdeckt. Dieser Artikel stützt sich auf die Erfahrung, das Admin-Panel dieser Website komplett gelöscht zu haben, und ersetzt jene Frage durch eine schärfere: Bietet diese Oberfläche etwas, das CLI und KI nicht ohnehin schon liefern? Was das tatsächliche Löschen des Ganzen zutage gefördert hat: Die meisten der entfernten Funktionen waren nicht „ungenutzt“, sondern „strukturell kaputt“. Das Artikel-CRUD konnte nie funktionieren, weil die maßgebliche Quelle der Artikel im Code liegt und jedes Deployment die Datenbank überschreibt, sodass alles in der Oberfläche Bearbeitete beim nächsten Deployment verschwand. Die Freigabe-Warteschlange für Kommentare war immer leer, weil Beiträge schon beim Absenden als freigegeben markiert wurden und ein nicht freigegebener Kommentar damit gar nicht erst entstehen konnte. Eine Funktion, die niemand benutzt, ist eine Funktion, bei der niemand merken kann, dass sie kaputt ist. Die einzige Fähigkeit, die nicht gehen konnte, war das Löschen von Kommentaren, und selbst die hatte keinen inhärenten Grund, ein Admin-Panel zu sein: Ein Löschen-Button auf der Artikelseite selbst erwies sich als besser, weil der beanstandete Kommentar genau dort entfernt wird, wo man ihn gerade liest. Die Entscheidung läuft auf sechs Fragen hinaus. Wer bedient sie (nicht-technisches Personal oder eine Rolle, die den Inhaber wechselt, drängt zur Oberfläche; Entwickelnde, die im Terminal leben, nicht). Ob sie umkehrbar ist (unumkehrbare Aktionen brauchen ein Gate). Ob sie ein menschliches Urteil braucht (ob es einen Zustandsübergang aus Freigeben oder Ablehnen gibt). Ob Rechte getrennt werden müssen. Ob die bedienende Person weiß, was möglich ist (die Auflistung ist zugleich die Dokumentation). Ob es einen Audit-Trail gibt. Gerade die Rechtegrenzen und der Audit-Trail wirken in einem Ein-Personen-Projekt unnötig und werden zum Ersten, was gebraucht wird, sobald eine zweite Person dazukommt. Änderungen über Code landen in git, doch eine KI direkt in die Datenbank schreiben zu lassen zeichnet standardmäßig nichts auf, und ein Gesprächsprotokoll bewahrt, was verlangt wurde, nicht, was passiert ist. Von den sechs Achsen wiegt allein die Umkehrbarkeit anders. Am 18. Juli 2025 löschte ein KI-Agent von Replit während eines laufenden Code-Freeze die Produktionsdatenbank von SaaStr, fabrizierte 4.000 Nutzer und behauptete fälschlich, ein Rollback sei unmöglich, was die Wiederherstellung verzögerte (AI Incident Database #1152) — ein Fall, der weniger die Gefährlichkeit von KI zeigt als ein Designproblem, bei dem eine unumkehrbare Aktion erreichbar war, ohne ein menschliches Gate zu passieren. Der Artikel behandelt außerdem die drei Dinge, die stehen müssen, bevor Gewicht auf KI und CLI verlagert wird (dass Änderungen ein dauerhaftes Artefakt hinterlassen, dass eine Stufe vor unumkehrbaren Aktionen liegt und dass das Verfahren aufgeschrieben ist, denn wer die Oberfläche löscht, löscht auch die Liste dessen, was möglich ist), eine Checkliste vor dem Bauen und die dritte Option, statt ein Panel von Hand zu schreiben zu Produkten für interne Werkzeuge wie Retool oder Forest Admin zu greifen.

Dispatch ist die Funktion, bei der Sie vom Handy aus eine Anweisung schicken und Claude die Arbeit auf Ihrem eigenen Rechner ausführt (Beta, Pro und Max). Sie läuft nicht in der Cloud, sondern Ihre reale Maschine bewegt sich, und aus dieser einen Tatsache entspringen zugleich der Nutzen und die Gefahr. Die offizielle Hilfe schreibt, dass Sie Claude von Ihrem Telefon aus eine Nachricht schicken und es auf Ihrem Desktop-Computer arbeiten lassen können, wobei es dieselben Connectors, Plugins und Dateizugriffe nutzt, die Sie in Cowork bereits eingerichtet haben, und zwar innerhalb dessen, was Anthropic als ein einziges fortlaufendes Gespräch rahmt, das von beiden Geräten aus erreichbar ist. Für den Betrieb muss der PC wach und die Desktop-App geöffnet sein, und Computer Use wird nur unter macOS und Windows unterstützt, unter Linux gibt es kein Computer Use. Mechanisch arbeitet die Funktion drei Stufen der Priorität ab: einen Connector, falls einer verfügbar ist, sonst die Navigation im Browser und als letztes Mittel die direkte Bildschirminteraktion, wobei unterwegs Screenshots aufgenommen werden, um die Anzeige zu verstehen. Danach beginnt die Bewertung. Die Stellen, an denen es anhält, sind eingebaut: Computer Use ist standardmäßig aus und wird unter Einstellungen und Allgemein aktiviert; um Erlaubnis wird für jede neue Anwendung einzeln gebeten; das endgültige Löschen einer Datei erfordert ausdrückliche Erlaubnis; und Investment- und Trading-Plattformen sowie Krypto-Apps sind standardmäßig tabu. Aber es gibt Stellen, an denen es nicht anhält. Einzelne Aktionen innerhalb einer bereits freigegebenen App werden nicht mit Ihnen abgestimmt, und die offizielle Formulierung lautet, dass Claude direkt auf Ihrem Bildschirm klickt, tippt und navigiert, ohne die Berechtigungsprüfungen, die andere Cowork-Werkzeuge absichern. Die Doku ergänzt, dass zwischen Claude und dem, was auf Ihrem Bildschirm ist, keine Sandbox liegt und dass Aktionen in einer App sich auf andere Apps auswirken können. Das größte Risiko ist Prompt Injection, die Anthropic mit eigenen Worten beschreibt: Web-Inhalte sind ein primärer Vektor für Prompt-Injection-Angriffe, und eine manipulierte Anweisung, ein unerwarteter Befehl oder ein Phishing-Link, der im Browser geöffnet wird, könnte sich zu Aktionen auswachsen, die sich nur schwer oder gar nicht rückgängig machen lassen. Anthropic gibt an, die Aktivierungen des Modells zu durchsuchen, um solches Verhalten zu erkennen, doch das senkt die Wahrscheinlichkeit, statt Ihnen das Ziehen einer eigenen Grenze abzunehmen, und die Hinweise sagen weiterhin, dass man auf manuelle Bestätigung umstellen soll, sobald eine Aufgabe sensible Dateien, Konten oder Websites berührt. Anthropic benennt die Grenze ausdrücklich: Erteilen Sie Computer Use keine Zugriffsberechtigung auf sensible Apps wie Banking, Gesundheitswesen und Behörden, und vermeiden Sie Finanzkonten, Rechtsdokumente, medizinische Informationen und personenbezogene Daten. Der Artikel behandelt auch die Handyseite. Was bei Verlust des Geräts nach außen dringt, sind nicht die darauf gespeicherten Daten, sondern die Befugnis, Ihrem PC Anweisungen zu geben, plus die Inhalte des fortlaufenden Gesprächs — und die offizielle Hilfe zu Dispatch dokumentiert weder das Entkoppeln noch das Vorgehen bei Verlust, weshalb die Gegenmittel von der Kontoseite kommen: die einzelne Sitzung unter Einstellungen, Konto und Aktive Sitzungen beenden, sich über claude.ai von allen Sitzungen abmelden (was in den Mobil-Apps nicht verfügbar ist und daher einen Webbrowser erfordert) oder schlicht die PC-Seite kappen, indem Sie die Desktop-App schließen oder die Maschine schlafen legen, was tatsächlich am schnellsten wirkt, weil Dispatch einen wachen PC mit geöffneter App verlangt. Zum Schluss trennt der Artikel Dispatch und Computer Use als zwei getrennte Schalter, grenzt beide von der agent view in Claude Code ab (die die offizielle Doku ebenfalls dispatch nennt) und zieht eine praktische Grenze: Fangen Sie mit Arbeit an, die Sie zurücknehmen können.