Claude Enterprise Security: Der vollständige Leitfaden zur unternehmensweiten Steuerung von Claude Code

Einführung

Anfang 2026 deckte Check Point Research CVE-2025-59536 auf – eine Schwachstelle in Claude Code mit einem CVSS-Wert von 8,7, die eine Remote-Code-Ausführung durch manipulierte Projektkonfigurationsdateien ermöglicht, noch bevor ein Vertrauensdialog erscheint. Eine zweite CVE, CVE-2026-21852, zeigte, wie ein Angreifer den gesamten Datenverkehr von Claude Code auf einen von ihm kontrollierten Server umleiten kann, indem er die Umgebungsvariable ANTHROPIC_BASE_URL manipuliert und so unbemerkt API-Schlüssel sowie Gesprächsinhalte exfiltriert.

Dies sind keine theoretischen Risiken. Es handelt sich um dokumentierte, reproduzierbare Angriffsketten, die jedes Unternehmen betreffen, das Claude Code ohne zentrale Governance bereitgestellt hat.

Claude Code wird mittlerweile auf Entwicklerrechnern in Tausenden von Unternehmen eingesetzt. Die meisten dieser Implementierungen weisen dieselben Merkmale auf: Entwickler authentifizieren sich mit persönlichen Anthropic-Konten, API-Schlüssel liegen in Umgebungsvariablen oder der .bash_profile, es gibt keinen Audit-Trail darüber, welcher Code-Kontext an die Server von Anthropic übertragen wird, und es existiert kein Mechanismus, um den Zugriff zu entziehen, wenn ein Mitarbeiter das Unternehmen verlässt.

Das Sicherheitsproblem liegt nicht an Claude Code selbst. Es liegt an der Annahme, dass ein Entwicklertool nur eine Governance auf Entwicklerebene erfordert.

Dieser Leitfaden behandelt die sechs Kontrollschichten, die jedes Platform-Engineering- und Sicherheitsteam benötigt, um Claude Code sicher im Unternehmensmaßstab bereitzustellen – von SSO und Identitätsmanagement bis hin zu MCP-Governance, Sandboxing, Audit-Logging und Compliance. Er zeigt zudem auf, wo TrueFoundry's AI Gateway und MCP Gateway fungiert als zentralisierte Durchsetzungsebene für alle diese Bereiche.

Die Angriffsfläche von Claude Code im Unternehmen

Bevor wir uns den Kontrollmechanismen widmen, ist es wichtig zu verstehen, warum die Angriffsfläche von Claude Code größer ist als die eines herkömmlichen SaaS-Tools.

Claude Code arbeitet im Terminal des Entwicklers mit denselben Berechtigungen wie der lokale Benutzer. Es kann Dateien lesen, Shell-Befehle ausführen, Verbindungen zu externen Diensten herstellen und – über MCP-Server – mit Datenbanken, internen APIs und SaaS-Tools interagieren. Genau das macht es so produktiv. Es ist aber auch der Grund, warum ein unkontrollierter Einsatz ein erhebliches Sicherheitsrisiko darstellt.

Es gibt vier primäre Angriffsvektoren:

1. Zugriff auf das Dateisystem. Ohne explizite Verbotsregeln kann Claude Code .env Dateien, SSH-Schlüssel, in ~/.aws/credentialsgespeicherte Anmeldedaten sowie jede andere Datei lesen, auf die der lokale Benutzer Zugriff hat. In einer typischen Entwicklerumgebung bedeutet dies den Zugriff auf Geheimnisse, die niemals den Rechner hätten verlassen dürfen.

2. Shell-Ausführung. Claude Code kann beliebige Bash-Befehle im Benutzerkontext des Entwicklers ausführen. Ein bösartiger Prompt, der entweder direkt eingeschleust wird oder über die Antwort eines MCP-Tools eintrifft, kann Shell-Befehle ohne explizite Genehmigung für jeden einzelnen Befehl auslösen, sofern nicht disableBypassPermissionsMode aktiviert ist.

3. Manipulation von ANTHROPIC_BASE_URL (CVE-2026-21852). Wenn ein Angreifer die Umgebung, in der Claude Code ausgeführt wird, manipulieren kann – etwa durch eine bösartige .claude/settings.json in einem Repository, einer manipulierten Dotfile oder einer Hook-Injection – sie können den gesamten Datenverkehr auf einen von ihnen kontrollierten Server umleiten. Jeder Prompt, jede Antwort und jeder API-Schlüssel, der während dieser Sitzung übertragen wird, wird abgefangen.

4. Missbrauch von MCP-Tools und Prompt-Injection. MCP-Server verbinden Claude mit externen Systemen. Ohne eine Governance-Ebene können Entwickler Claude mit jedem beliebigen MCP-Server verbinden – auch mit bösartigen, deren Tool-Beschreibungen darauf ausgelegt sind, das Verhalten von Claude zu manipulieren. Inhalte, die von MCP-Tools aus externen Quellen (Webseiten, Dokumente, API-Antworten) abgerufen werden, können injizierte Anweisungen enthalten, die Claude im Hintergrund ausführt.

Das Verständnis dieser vier Vektoren ist die Voraussetzung dafür, warum die unten aufgeführten Kontrollmechanismen existieren.

Schritt 1: Identität vor allem anderen absichern

Die wichtigste Sicherheitsentscheidung bei der Einführung von Claude ist, ob sich Entwickler mit persönlichen Konten oder mit unternehmenskontrollierten Identitäten anmelden. Persönliche Konten bedeuten keine Audit-Protokolle, keinen Widerruf von Zugriffsrechten und keine Transparenz bei der Nutzung. Enterprise-SSO bedeutet, dass jede Interaktion mit Claude von einer zentralen Stelle aus zugeordnet, widerrufen und geprüft werden kann.

SSO-Konfiguration

Claude unterstützt SAML 2.0 und OIDC mit jedem konformen Identitätsanbieter – Okta, Azure AD (Entra ID), Auth0 und Google Workspace. Konfigurieren Sie SSO in der Claude Admin Console, bevor Sie das System flächendeckend einführen.

Zwei Einstellungen sind dabei besonders wichtig:

• SSO für Konsole erzwingen – erzwingt die Administrator-Authentifizierung über Ihren IdP
• SSO für Claude erzwingen – erzwingt alle Web-Logins bei Claude.ai über Ihren IdP und verhindert das Ausweichen auf persönliche Konten

Domain-Erfassung aktivieren zusammen mit SSO. Sobald die Domain-Erfassung aktiv ist, wird jeder Anmeldeversuch mit einer geschäftlichen E-Mail-Adresse automatisch an den Enterprise-Workspace weitergeleitet. Mitarbeiter können keine persönlichen Konten mit geschäftlichen E-Mail-Adressen verwenden – die Identitätsgrenze wird auf Ebene des Anbieters durchgesetzt.

Ordnen Sie Ihre IdP-Gruppen bei der Bereitstellung den Claude-Rollen zu:

Das Sperren eines Benutzers in Ihrem IdP unterbindet sofort den Zugriff über alle Schnittstellen – Web und CLI. Dies ist die Grundvoraussetzung für jeden produktiven Rollout.

API-Schlüsselverwaltung für Claude Code

SSO deckt die interaktive Web-Authentifizierung ab. Claude Code authentifiziert sich über API-Schlüssel – und diese erfordern einen separaten Governance-Ansatz.

• Erlauben Sie Entwicklern niemals die Verwendung persönlicher API-Schlüssel im geschäftlichen Kontext. Stellen Sie alle Claude Code-Schlüssel über die Admin-Konsole mit explizitem Gültigkeitsbereich und Ablaufdatum aus.
• Speichern Sie Schlüssel in einem zentralen Secrets-Manager – wie AWS Secrets Manager, HashiCorp Vault oder Azure Key Vault. Schlüssel sollten niemals in .bash_profile, der Shell-Historie oder in Konfigurationsdateien im Repository gespeichert werden.
• Rotieren Sie Schlüssel mindestens vierteljährlichund entziehen Sie diese sofort bei Verdacht auf Kompromittierung oder beim Ausscheiden von Mitarbeitern.
• Für Unternehmen, die TrueFoundry's AI Gatewaynutzen, erhalten Entwickler begrenzte virtuelle Schlüssel vom Gateway – der zugrunde liegende Anthropic-API-Schlüssel verlässt niemals den Secrets-Manager des Gateways. Dies eliminiert das Risiko einer direkten Schlüsseloffenlegung vollständig.

Schritt 2: Leiten Sie den gesamten Claude-Datenverkehr über ein Gateway

Die effektivste Einzelmaßnahme, die Sie bei einer Claude Code-Bereitstellung ergreifen können, ist die Weiterleitung des gesamten Datenverkehrs über ein zentrales Gateway mittels  ANTHROPIC_BASE_URL. Damit erhält Ihr Plattform-Team einen zentralen Kontrollpunkt für Authentifizierung, Modellzugriffssteuerung, Ratenbegrenzung, Budgetverwaltung und Observability – unabhängig davon, welcher Entwickler, welche Maschine oder welche Anwendung die Anfrage stellt.

Warum Gateway-Routing wichtig ist

Ohne ein Gateway authentifiziert sich jede Claude Code-Sitzung direkt bei der Anthropic-API. Es gibt keine zentrale Transparenz darüber, welche Modelle verwendet werden, wie viele Token verbraucht werden oder ob Anfragen sensible Daten enthalten. Es gibt keine Möglichkeit, Budgetlimits durchzusetzen, den Zugriff auf nicht genehmigte Modelle zu blockieren oder den Zugriff zu entziehen, ohne das gesamte Anthropic-Konto des Entwicklers zu deaktivieren.

Mit einem Gateway steuern Sie all das über ein einziges Dashboard.

TrueFoundry AI Gateway fungiert als einheitliche Proxy-Ebene. Leiten Sie Claude Code einfach auf das Gateway um:

export ANTHROPIC_BASE_URL=https://<your-truefoundry-gateway-url>

‍Ab diesem Zeitpunkt erzwingt das Gateway:

• Modellzugriffssteuerung – nur Modelle, die explizit in der Gateway-Richtlinie zugelassen sind, sind verfügbar
• Ratenbegrenzungen und Budgetobergrenzen – Token-Limits pro Entwickler und pro Team
• Vollständige Anfragen-Nachverfolgung – jeder Prompt und jede Antwort wird mit Benutzerzuordnung protokolliert
• Fallback-Routing – falls ein Anbieter nicht verfügbar ist, versucht das Gateway die Anfrage über ein konfiguriertes Fallback erneut.

Gateway-Routing unternehmensweit durchsetzen

Einstellung ANTHROPIC_BASE_URL auf einem einzelnen Rechner ist unkompliziert. Die konsistente Durchsetzung auf Hunderten von Entwicklerrechnern ist die eigentliche Herausforderung. Es gibt drei Ansätze, von denen jeder unterschiedliche Vor- und Nachteile bietet:

Die empfohlene Vorgehensweise für unternehmensverwaltete Geräteflotten ist MDM + TrueFoundry AI Gateway. Das MDM überträgt eine managed-settings.json an systemweite Pfade, die von Entwicklern nicht geändert werden können, und das Gateway erzwingt die Richtlinie bei jeder Anfrage:

• macOS: /Library/Application Support/ClaudeCode/managed-settings.json
• Linux: /etc/claude-code/managed-settings.json

Wichtig: Serverseitig verwaltete Einstellungen aus der Claude Admin Console werden umgangen, wenn ANTHROPIC_BASE_URL festgelegt ist. Wenn Sie das Routing über TrueFoundry vornehmen, verwenden Sie die per MDM bereitgestellte managed-settings.json für die Konfiguration des Modell-Routings.

Vollständige Integrationsanweisungen finden Sie im TrueFoundry Claude Code Integrationsleitfaden.

Schritt 3: Steuerung aller von Claude genutzten Tools

Dies ist die Kontrollschicht, die die meisten Unternehmen vernachlässigen – und die bei Missachtung das größte Schadenspotenzial birgt.

MCP-Server (Model Context Protocol) verbinden Claude mit externen Systemen: GitHub, Jira, Slack, internen Datenbanken, Dateispeichern und benutzerdefinierten APIs. Jeder MCP-Server, mit dem sich ein Entwickler verbindet, stellt eine neue Angriffsfläche dar. Ohne zentralisierte Governance wird die Tool-Ebene zu einem Bereich, in dem Prompt-Injection zu einem systemischen Risiko wird, anstatt nur ein Problem auf Anwendungsebene zu bleiben.

Welche Claude-Produkte kann TrueFoundry steuern?

Verschiedene Claude-Produkte bieten unterschiedliche Stufen der Unternehmenskontrolle. Die folgende Tabelle fasst zusammen, wo TrueFoundry AI Gateway und MCP Gateway derzeit Governance-Richtlinien durchsetzen können.

Was passiert ohne MCP-Governance

Ohne zentralisierte MCP-Kontrollen ist Ihre Claude-Implementierung folgenden Risiken ausgesetzt:

• Prompt-Injection durch Tool-Antworten. Eine bösartige Webseite, ein Dokument oder eine API-Antwort, die von einem MCP-Tool abgerufen wird, kann injizierte Anweisungen enthalten. Claude verarbeitet diesen Inhalt als Kontext – und führt eingebettete Befehle möglicherweise im Hintergrund aus, noch bevor eine Benutzerprüfung stattfindet.
• Unkontrollierte Verbreitung von Zugangsdaten. Jeder MCP-Server, mit dem sich ein Entwickler direkt verbindet, erfordert eigene Authentifizierungsdaten, die lokal auf dem jeweiligen Rechner gespeichert werden.
• Schatten-IT. Entwickler installieren öffentliche MCP-Server ohne Sicherheitsüberprüfung. Es gibt keinen Audit-Trail darüber, welche Tools von wem aufgerufen wurden oder auf welche Daten zugegriffen wurde.
• Datenabfluss durch Tool-Ketten. Eine injizierte Anweisung kann mehrere Tool-Aufrufe verketten – etwa das Lesen einer sensiblen Datei und das anschließende Schreiben ihres Inhalts an eine externe API –, ohne dass ein expliziter Berechtigungsdialog ausgelöst wird.

Das MCP-Gateway-Muster

Die korrekte Architektur besteht darin, den gesamten Zugriff auf MCP-Server über ein zentrales Gateway zu leiten und in Ihren verwalteten Einstellungen ausschließlich die URL dieses Gateways auf die Positivliste zu setzen. Dies bietet Ihnen einen zentralen Kontrollpunkt, unabhängig davon, wie viele MCP-Server in Ihrem Unternehmen im Einsatz sind.

TrueFoundry MCP-Gateway wurde speziell für dieses Muster entwickelt:

• Zentrales MCP-Verzeichnis – Registrieren und verwalten Sie alle zugelassenen MCP-Server an einem Ort. Entwickler verbinden sich mit dem Gateway, anstatt einzelne Serververbindungen lokal zu verwalten.
• Einheitliche Authentifizierung – Entwickler authentifizieren sich einmalig mit einem TrueFoundry-API-Schlüssel oder Ihrem IdP-Token. Das Gateway übernimmt die ausgehende Authentifizierung für jeden nachgelagerten Server.
• Rollenbasierter Tool-Zugriff – Steuern Sie, welche Benutzer und Teams auf welche MCP-Server und die einzelnen Tools innerhalb eines Servers zugreifen dürfen.
• Sicherheitsvorkehrungen vor und nach der Ausführung – Führen Sie Prüfungen durch, bevor Tool-Aufrufe ausgeführt werden, und validieren Sie Antworten, bevor diese den Kontext von Claude erreichen.
• Vollständige Audit-Protokollierung – Jeder Tool-Aufruf wird mit Benutzerzuordnung, Anfrage-/Antwort-Nutzdaten und Latenzdaten nachverfolgt. Exportierbar via OpenTelemetry an Ihr SIEM.

Konfigurieren Sie Ihre verwalteten Einstellungen so, dass nur das Gateway auf der Positivliste steht:‍


{
  "allowedMcpServers": [
    { "serverUrl": "https://truefoundry-mcp-gateway.your-company.com/*" }
  ],
  "strictKnownMarketplaces": []
}

Das Setzen von strictKnownMarketplaces auf ein leeres Array blockiert die Installation aller MCP-Server aus dem Marketplace. Entwickler können keine Server aus dem Claude-MCP-Marketplace hinzufügen, es sei denn, Ihr Administrator genehmigt diese explizit über das Gateway-Verzeichnis.

Für einen tieferen Einblick in die MCP-Sicherheitsarchitektur siehe TrueFoundry MCP Gateway-Dokumentation und Risiken durch Prompt-Injection bei Claude Code.

Schritt 4: Sandbox für Claude Code auf Entwicklerrechnern

Identitäts- und Gateway-Kontrollen steuern, worauf Claude auf Netzwerkebene zugreifen kann. Die Sandbox steuert, was Claude auf dem lokalen Rechner ausführen darf. Beides ist notwendig – ein Gateway verhindert nicht, dass Claude eine lokale .env -Datei liest, bevor der Inhalt in einem Prompt übertragen wird.

Die grundlegende managed-settings.json

Die folgende Konfiguration stellt eine sichere Basis für die meisten Claude Code-Bereitstellungen in Unternehmen dar. Sie blockiert lokale Vorgänge mit dem höchsten Risiko, erfordert eine explizite Genehmigung für destruktive Aktionen und verhindert, dass Entwickler die Richtlinie außer Kraft setzen:

{
  "permissions": {
    "disableBypassPermissionsMode": "disable",
    "deny": [
      "Bash(curl:*)",
      "Bash(wget:*)",
      "Read(**/.env)",
      "Read(**/.env.*)",
      "Read(**/secrets/**)",
      "Read(**/.ssh/**)",
      "Read(**/credentials/**)"
    ],
    "ask": ["Bash(git push:*)", "Write(**)"]
  },
  "allowManagedPermissionRulesOnly": true,
  "allowManagedHooksOnly": true,
  "transcriptRetentionDays": 14,
  "sandbox": {
    "enabled": true,
    "network": {
      "httpProxyPort": 8080,
      "socksProxyPort": 8081
    }
  }
}

Jede Einstellung erfüllt einen spezifischen Sicherheitszweck:

Sandbox auf Betriebssystemebene

Die native Sandbox von Claude Code erzwingt eine Isolierung des Dateisystems und des Netzwerks auf Betriebssystemebene – unabhängig von den oben genannten Berechtigungsregeln. Die Sandbox verhindert, dass Claude auf Dateien oder Netzwerkziele außerhalb explizit definierter Grenzen zugreift, selbst wenn eine Berechtigungsregel umgangen wurde.

Aktivieren Sie die Sandbox für alle Entwickler. Wenn Ihr Unternehmen die Verbindung über TrueFoundry leitet, konfigurieren Sie die Netzwerk-Proxy-Ports so, dass sie mit dem Ingress Ihres Gateways übereinstimmen:‍


{
  "sandbox": {
    "enabled": true,
    "network": {
      "httpProxyPort": 8080,
      "socksProxyPort": 8081
    }
  }
}

Setzen Sie außerdem "allowUnsandboxedCommands": false , um den Ausweg zu deaktivieren, der die Ausführung von Befehlen außerhalb der Sandbox ermöglicht. Dadurch wird erzwungen, dass alle Shell-Befehle in der Sandbox ausgeführt oder explizit aufgelistet werden in ausgeschlosseneBefehle durch einen Administrator.

Führen Sie Claude Code niemals als Root-Benutzer aus. Stellen Sie sicher, dass Entwickler es unter ihren eigenen Benutzerkonten mit den minimal erforderlichen Dateisystemberechtigungen ausführen. Ein in einer Sandbox laufendes Claude Code, das als Root ausgeführt wird, macht die Sandbox vollständig wirkungslos.

Schritt 5: Aufbau eines Audit-Trails, der wirklich nützlich ist

Audit-Logging ist nutzlos, wenn die falschen Daten erfasst werden, diese am falschen Ort gespeichert werden oder die Abfrage manuellen Aufwand erfordert. Das Ziel ist eine vollständige, zuordenbare und abfragbare Aufzeichnung jeder Claude-Interaktion – sowohl LLM-Aufrufe als auch MCP-Tool-Aufrufe –, die in Ihr SIEM exportiert und für Ihren Compliance-Zeitraum aufbewahrt werden kann.

Was erfasst werden sollte

TrueFoundry Gateway Observability

Wenn der gesamte Claude Code-Datenverkehr über das TrueFoundry AI Gatewaygeleitet wird, erhalten Sie ohne zusätzliche Instrumentierung Traces auf Anforderungsebene für die LLM- und MCP-Ebenen. Jede Anfrage wird mit vollständiger Benutzerzuordnung protokolliert – Entwickleridentität, ausgewähltes Modell, Token-Anzahl, Latenz, Kosten und die Routing-Entscheidung des Gateways.

Wichtige Observability-Funktionen:

• Anfrage-Tracing – jeder API-Aufruf wird mit Identität des Aufrufers, Modell, Anbieter und Antwort-Metadaten protokolliert
• MCP-Trace-Korrelation – Tool-Aufrufe werden mit der übergeordneten LLM-Anfrage korreliert, die sie ausgelöst hat
• Kostenzuordnung – Echtzeit-Token-Verbrauch, aufgeschlüsselt nach Entwickler, Team, Modell und Anwendung
• Anomalieerkennung – Nutzungsspitzen, wiederholte verweigerte Aktionen und ungewöhnliche Zugriffsmuster auf Tools werden in Dashboards angezeigt

Alle Traces lassen sich in jede OpenTelemetry-kompatible Plattform exportieren – Grafana, Datadog, Splunk oder Ihr bestehendes SIEM.

Lesen Sie die TrueFoundry OpenTelemetry-Exportdokumentation für Anweisungen zur Einrichtung.

Bewahren Sie Audit-Logs für mindestens 90 Tage auf, um die SOC-2-Anforderungen zu erfüllen. Für HIPAA-regulierte Workloads beachten Sie bitte die Mindestaufbewahrungsfristen gemäß Ihrer BAA-Vereinbarung.

Schritt 6: Legen Sie Datenaufbewahrungsrichtlinien fest, bevor sensible Daten in das System gelangen

Der kostspieligste Fehler bei der Daten-Governance ist die nachträgliche Feststellung, dass regulierte Daten ohne die erforderlichen vertraglichen und technischen Kontrollen verarbeitet wurden.

Standardeinstellungen für die Aufbewahrung

Standardmäßig kann Anthropic Prompts und Ausgaben zur Verbesserung von Sicherheit und Qualität speichern. Enterprise-Pläne bieten Optionen, um dies deutlich zu reduzieren. Stellen Sie die Aufbewahrungsdauer für Konversationen auf maximal 30 Tage unter „Organisationseinstellungen“ → „Daten und Datenschutz“ in der Admin-Konsole ein.

Für das Claude Code CLI werden lokale Sitzungsprotokolle auf dem Rechner des Entwicklers unter ~/.claude/gespeichert. Verwenden Sie transcriptRetentionDays in Ihren verwalteten Einstellungen, um sie nach 7–14 Tagen automatisch zu löschen.

Zero Data Retention (ZDR) für HIPAA

Wenn Ihr Unternehmen geschützte Gesundheitsinformationen (PHI) mit Claude verarbeitet, ist ein Zusatz zur Zero Data Retention (ZDR) erforderlich, bevor PHI in eine Claude-Schnittstelle eingegeben werden. ZDR verhindert, dass Anthropic Prompts und Ausgaben über das für die Bearbeitung der Anfrage notwendige Maß hinaus speichert – Prompts werden nach der Antwort nicht aufbewahrt und Sitzungsdaten werden nicht für das Training verwendet.

ZDR muss über Ihr Claude-Account-Team angefordert werden und erfordert einen vertraglichen Zusatz. Geben Sie keine PHI in eine Claude-Schnittstelle ein, bevor die Aktivierung des Zusatzes bestätigt wurde.

DSGVO-Datenresidenz

Für DSGVO-regulierte Workloads, die eine Datenresidenz in der EU erfordern, leiten Sie den Claude-Datenverkehr über AWS EU-Regionen via Bedrock oder Google Vertex AI mit Private Service Connect. Das AI Gateway von TrueFoundry unterstützt das Routing zu beiden – die Gateway-Richtlinie kann erzwingen, dass Anfragen von bestimmten Teams oder Anwendungen nur EU-Region-Endpunkte erreichen.

Schritt 7: Mapping Ihrer Compliance-Anforderungen

Enterprise-Referenzarchitektur: Sichere Claude-Bereitstellung

Eine produktionsreife Claude-Code-Bereitstellung im Unternehmensmaßstab sieht wie folgt aus:

Entwickler-Rechner > MDM-erzwungene managed-settings.json -> Truefoundry AI Gateway -> Truefoundry MCP Gateway -> Modellanbieter (Anthropic / Bedrock / Vertex)

Jede Ebene übernimmt spezifische Kontrollfunktionen:

MDM-Ebene: Überträgt managed-settings.json und managed-mcp.json auf Systempfade, die von Entwicklern nicht geändert werden können. Setzt ANTHROPIC_BASE_URL auf das TrueFoundry-Gateway. Konfiguriert Sandbox- und Deny-Regeln. Gesperrt mit dem macOS schg immutable-Flag auf verwalteten Geräten.

TrueFoundry AI Gateway: Empfängt alle LLM-Anfragen von Claude Code. Validiert die Identität des Entwicklers über einen bereichsspezifischen virtuellen Schlüssel. Erzwingt Richtlinien für den Modellzugriff. Wendet Ratenbegrenzungen und Budgetobergrenzen an. Leitet Anfragen an den entsprechenden Modellanbieter weiter. Protokolliert Anfragemetadaten mit vollständiger Zuordnung.

TrueFoundry MCP Gateway: Empfängt alle Anfragen an MCP-Server. Validiert die Identität des Entwicklers. Überprüft RBAC auf Tool-Ebene. Wendet Guardrails vor und nach der Ausführung an. Leitet Anfragen an genehmigte MCP-Server weiter. Protokolliert jeden Tool-Aufruf mit vollständigem Payload.

Modellanbieter: Anthropic direkt, AWS Bedrock (für VPC-Isolierung und CloudTrail-Protokollierung) oder Google Vertex AI (für GCP-native Datenresidenz). Die Anwendungsebene und der Entwickler müssen zu keinem Zeitpunkt wissen, welcher Anbieter eine bestimmte Anfrage bearbeitet hat.

Observability-Ebene: Alle Gateway-Traces werden über die OpenTelemetry-Integration von TrueFoundryan Ihr OTEL-kompatibles SIEM exportiert, was eine einheitliche Sichtbarkeit über LLM- und MCP-Ebenen hinweg in der Observability-Plattform ermöglicht, die Ihr Unternehmen bereits nutzt.

Weitere Informationen darüber, wie diese Architektur Multi-Team-KI-Bereitstellungen handhabt, finden Sie unter Claude Code Governance: So steuern Sie Agent-Rollouts mit einem KI-Gateway.

Fazit

Claude Code ist ein echter Produktivitätsmultiplikator für Engineering-Teams. Gleichzeitig stellt es die größte Angriffsfläche dar, die die meisten Entwicklungsteams in den letzten Jahren in ihre Arbeitsumgebungen integriert haben. Dateisystemzugriff, Shell-Ausführung, Netzwerkverbindungen und erweiterbare Tool-Integrationen – alles läuft mit Entwicklerrechten, sendet Kontext an externe APIs und ist über Dateien konfigurierbar, die in jedem Projekt-Repository abgelegt werden können.

Die gute Nachricht ist: Die Kontrollmöglichkeiten existieren bereits. SSO, Gateway-Routing, MCP-Governance, Sandboxing und Audit-Logging lassen sich mit heute verfügbaren Tools umsetzen. Unternehmen, die Sicherheitsvorfälle vermeiden wollen, betrachten den Einsatz von Claude von Anfang an als Infrastrukturentscheidung – und nicht erst als nachträgliche Konfigurationsmaßnahme, wenn bereits etwas schiefgelaufen ist.

Die sechs Schritte in diesem Leitfaden bilden das notwendige Sicherheitsminimum für jedes Unternehmen, das Claude Code im großen Stil einsetzt. Das AI Gateway und das MCP Gateway von TrueFoundry bieten die zentrale Durchsetzungsebene, die diese Kontrollen operativ nutzbar macht, ohne dass jedes Entwicklungsteam die Governance eigenständig implementieren muss.

Häufig gestellte Fragen

Was ist Claude Enterprise Security?

‍Claude Enterprise Security bezeichnet die Gesamtheit der Kontrollen, die den Zugriff regeln, Daten schützen und Transparenz über Claude-Implementierungen in einem Unternehmen hinweg gewährleisten. Dies umfasst Identitätsmanagement (SSO, API-Key-Verwaltung), Modell-Routing (Gateway-gestützte Zugriffskontrolle), Tool-Governance (MCP-Gateway), Sandboxing (lokale Berechtigungsregeln und OS-Isolierung) sowie Compliance (Audit-Logging, Datenaufbewahrung, ZDR). Ohne diese Kontrollen hat Claude Code auf Entwicklerrechnern Zugriff auf sensible Dateien und externe Netzwerke, ohne dass eine unternehmensweite Überwachung stattfindet.

Wie verhindere ich, dass Claude Code .env -Dateien und SSH-Schlüssel liest?

‍Fügen Sie explizite Verbotsregeln zu Ihrer managed-settings.json hinzu und verteilen Sie diese systemweit per MDM. Die Verbotsregeln "Read(**/.env)", "Read(**/.env.*)"und "Read(**/.ssh/**)" blockieren Sie diese Dateizugriffe vollständig. Kombinieren Sie dies mit allowManagedPermissionRulesOnly: true , um zu verhindern, dass Projekteinstellungen in Repositories diese Regeln außer Kraft setzen. Lesen Sie den Integrationsleitfaden für Claude Code von TrueFoundry für die vollständige Basiskonfiguration.

Benötige ich ein AI-Gateway, um Claude Code abzusichern?

Nicht zwingend – aber ohne ein solches Gateway ist eine zentrale Governance in großem Maßstab nicht möglich. Ein AI-Gateway bietet Ihnen einen zentralen Kontrollpunkt für die Zugriffskontrolle auf Modelle, Ratenbegrenzungen, Budgetobergrenzen und Audit-Logging für alle Entwickler und Anwendungen. Ohne ein Gateway müssen diese Kontrollen in jeder einzelnen Claude-Code-Konfiguration implementiert und gewartet werden, was betrieblich anfällig ist und zu inkonsistenten Richtlinien führt. Für Teams mit mehr als einer Handvoll Entwicklern ist ein Gateway der einzig praktikable Ansatz.

Was ist ein MCP-Gateway und warum ist es wichtig?

‍Ein MCP-Gateway ist eine zentrale Steuerungsebene zwischen Claude und den externen Tools, auf die es zugreifen kann – wie Datenbanken, APIs, SaaS-Integrationen oder Dateisysteme. Ohne ein solches Gateway verbinden Entwickler Claude individuell mit MCP-Servern, ohne zentrale Sichtbarkeit, ohne rollenbasierte Zugriffskontrolle und ohne Audit-Protokoll darüber, welche Tools aufgerufen oder welche Daten abgerufen wurden. Prompt-Injection durch MCP-Tool-Antworten ist einer der kritischsten Angriffsvektoren bei agentenbasierten Bereitstellungen – ein MCP-Gateway mit Sicherheitsvorkehrungen ist hierbei die primäre Verteidigungslinie. Das MCP-Gateway von TrueFoundry wird ausführlich in der MCP-Gateway-Dokumentationbehandelt.

Welche Rolle spielt TrueFoundry bei der Sicherheit von Claude im Unternehmen?

TrueFoundry stellt die Infrastruktur-Steuerungsebene bereit, die zwischen Claude Code und Ihren Modellanbietern fungiert. Das AI Gateway zentralisiert Authentifizierung, Modell-Routing, Ratenbegrenzung, Budgetkontrolle und die Beobachtbarkeit auf Anfrageebene. Das MCP Gateway zentralisiert die Zugriffskontrolle für Tools, Sicherheitsrichtlinien und die Protokollierung von Tool-Aufrufen. Gemeinsam bieten sie Plattform- und Sicherheitsteams die notwendige Durchsetzungsebene, um Claude Code in großem Unternehmensmaßstab mit nachvollziehbarer und konsistenter Governance zu betreiben, ohne dass jedes Entwicklungsteam eigene Kontrollmechanismen implementieren muss.

‍