Claude Code Security und Code Review: so wird KI-Code geprüft, bevor er live geht

Claude Code schreibt in Minuten, wofür ein Team früher Tage brauchte. Ob dieser Code sicher ist, entscheidet aber nicht das Modell, sondern die Prüfung danach. Dieser Ratgeber erklärt, was Anthropic dafür selbst anbietet, wo diese Werkzeuge aufhören und wie Sie jeden Diff und jeden riskanten Befehl prüfen lassen, bevor er Ihre Software erreicht.

Stand: 10. November 2026. Die Angaben zu Anthropic stammen aus der offiziellen Dokumentation und Ankündigung (Quellen unten); Funktionen von Claude Code ändern sich häufig.

Wie sicher ist Code, den Claude Code schreibt?

So sicher wie die Prüfung, die er durchläuft: Anthropic schreibt in der Claude-Code-Dokumentation ausdrücklich, dass Sie selbst dafür verantwortlich sind, vorgeschlagenen Code und Befehle vor der Freigabe auf Sicherheit zu prüfen. Das Modell arbeitet schnell und meist plausibel, aber es kennt weder Ihre Geschäftsregeln noch Ihre Produktionsumgebung.

Claude Code bringt dafür Schutzmechanismen mit. Im manuellen Modus startet es nur mit Leserechten und fragt, bevor es Dateien ändert oder Befehle ausführt. Im Auto-Modus bewertet ein eigenes Klassifikator-Modell die Aktionen und blockiert, was es für unsicher hält. Dazu kommen eine Sandbox für Bash-Befehle und Freigaben für Netzwerkzugriffe. Diese Mechanismen schützen vor einzelnen gefährlichen Aktionen. Ob der fertige Code eine Lücke enthält, beantworten sie nicht.

Was ist Claude Code Security, und was prüft es?

Claude Code Security ist Anthropics Werkzeug, das eine ganze Codebasis nach Schwachstellen durchsucht und Patches vorschlägt; angekündigt am 20. Februar 2026 als begrenzte Forschungsvorschau, seit Ende April 2026 unter dem Namen „Claude Security“ als öffentliche Beta für Claude-Enterprise-Kunden (heise, 30.04.2026). Team- und Max-Kunden sollen laut heise folgen.

Laut Anthropic sucht das Werkzeug nicht nach bekannten Mustern wie ein klassischer Scanner, sondern verfolgt, wie Komponenten zusammenwirken und wie Daten durch die Anwendung fließen. Damit zielt es auf Fehler in der Geschäftslogik und in der Zugriffskontrolle, die Musterabgleich schlecht findet. Jeder Fund durchläuft eine mehrstufige Gegenprüfung, bekommt einen Schweregrad und eine Konfidenz und landet in einem Dashboard. Angewendet wird nichts ohne menschliche Freigabe.

Daneben gibt es zwei Werkzeuge, die näher am einzelnen Diff arbeiten:

Was prüft Claude Code Security nicht?

Alle drei Werkzeuge prüfen Code auf Schwachstellen; keines davon hält einen Befehl an, bevor er läuft, und keines prüft den Arbeitsablauf, also ob ein Plan freigegeben, ein Test wirklich rot und dann grün war oder eine Migration umkehrbar ist. Das ist keine Schwäche, sondern ein anderer Zweck: Sie finden Lücken im Code, nicht Fehler im Vorgehen.

Zwei Grenzen nennt Anthropic selbst. Die GitHub Action ist laut ihrer Beschreibung nicht gegen Prompt Injection gehärtet und soll nur vertrauenswürdige Pull Requests prüfen; für Beiträge von außen empfiehlt das Repository, Workflows erst nach Freigabe eines Maintainers laufen zu lassen. Und die Action blendet einige Fundarten bewusst aus, um Fehlalarme zu senken, darunter Denial of Service, fehlende Ratenbegrenzung und Open Redirects.

Wie lasse ich jeden Diff von Claude Code automatisch reviewen?

Mit einer Prüfung, die nicht vom Autor des Codes stammt: Code Guardian lässt den fertigen Diff, sobald er sicherheitskritische Bereiche berührt oder eine Größe überschreitet, von einem eigenen Prüf-Agenten lesen, der weder den Auftrag noch den Plan des schreibenden Agenten kennt, und meldet jeden Befund mit Beleg. Wer den Plan kennt, liest im Diff, was er erwartet; ein kalter Leser liest, was dasteht.

Das Paket bringt dafür 15 Prüf-Agenten mit, die unabhängig voneinander prüfen, dazu fünf Modi, sieben Gates und 22 Detektoren (Stand Code Guardian 17.17). Ohne Zusatzpaket gehen Sie so vor:

1. Vor jedem Commit /security-review über die offenen Änderungen laufen lassen.
2. Für Pull Requests die GitHub Action von Anthropic einrichten, nur für vertrauenswürdige Beiträge.
3. Den Review in einer neuen Sitzung oder einem Subagenten starten, der den Plan nicht kennt.
4. Jeden Befund nachstellen, bevor Sie ihn beheben: ein Befund ist eine Behauptung, bis ein Test oder ein Kommando ihn bestätigt.

Wie ein Review von KI-Code im Detail abläuft, beschreibt unser Ratgeber Code Review für KI-generierten Code.

Welche Sicherheitslücken muss ein Review von KI-Code prüfen?

Dieselben wie bei menschlichem Code, nur bei höherem Tempo: Anthropics eigene Security-Review-Action prüft zehn Kategorien, von Injection über Authentifizierung und Datenexposition bis zu Abhängigkeiten in der Lieferkette.

• Injection: SQL, Befehle, LDAP, XPath, NoSQL, XXE
• Authentifizierung und Autorisierung: fehlende Rechteprüfung, Rechteausweitung, Session-Fehler
• Datenexposition: fest eingebaute Geheimnisse, sensible Daten in Logs, personenbezogene Daten
• Kryptografie: schwache Verfahren, Schlüsselverwaltung, unsichere Zufallszahlen
• Eingabeprüfung und Geschäftslogik: fehlende Validierung, Race Conditions
• Konfiguration: unsichere Voreinstellungen, fehlende Security-Header, zu offenes CORS
• Lieferkette: verwundbare Abhängigkeiten, Typosquatting
• Code-Ausführung und XSS: unsichere Deserialisierung, eval, Cross-Site-Scripting

Bei KI-Agenten kommt eine Gefahr hinzu, die kein Diff zeigt: der Befehl selbst. Ein Agent, der Rechte zum Ausführen hat, kann löschen, deployen oder eine Datenbank migrieren, bevor irgendein Review läuft.

Wie verhindere ich, dass Claude Code gefährliche Befehle ausführt?

Mit einer Sperre vor dem Kommando statt einer Rüge danach: Code Guardian hängt sich über Hooks in Claude Code ein und verweigert vier Arten von Befehlen, bevor sie laufen, nämlich Löschen, Geheimnisse im Commit, Deploy und Migration. Der Agent bekommt den Grund als Text zurück und muss erst den fehlenden Nachweis bringen.

Ein Deploy-Kommando ohne frischen Prüfbericht hält Code Guardian zum Beispiel mit dieser Meldung an (gekürzt):

DEPLOY GATE (code-guardian): Deploy-Kommando ohne frischen Gate-Report.

Mit Bordmitteln von Claude Code kommen Sie ein Stück weit: Befehle in permissions.deny eintragen, die Sandbox mit /sandbox einschalten und im Team verwaltete Einstellungen nutzen. Eine Deny-Regel greift allerdings nur auf den Befehl, wie er geschrieben ist; dieselbe Wirkung über einen anderen Befehl fängt sie nicht. Wie Sie fremde Skills und Erweiterungen vorher prüfen, steht im Ratgeber Claude Code Skills.

Funktioniert das auch mit Codex?

Code Guardian gibt es für Claude Code und für OpenAI Codex; gesperrt wird in beiden Ausgaben von denselben Riegeln. Einige Skills, die Sitzungsmitschriften von Claude Code lesen, liegen nur im Claude-Code-Paket. Anthropics /security-review und die GitHub Action sind dagegen an Claude gebunden; die Action braucht einen Claude-API-Schlüssel.

Häufige Fragen

Ist Claude Security kostenlos?

Nein, Claude Security steht laut heise Kunden von Claude Enterprise zur Verfügung; für Maintainer von Open-Source-Projekten hat Anthropic bei der Ankündigung einen kostenlosen, beschleunigten Zugang angeboten. Die GitHub Action ist quelloffen, verbraucht aber Ihr Claude-API-Kontingent.

Ersetzt ein KI-Review den menschlichen Review?

Nein. Auch Anthropic lässt bei Claude Security nichts ohne menschliche Freigabe anwenden. Ein KI-Review findet mehr in kürzerer Zeit; die Entscheidung, was live geht, bleibt bei Ihnen. Wer bei Schäden durch KI-Code haftet, erklärt unser Ratgeber zur Haftung für KI-generierten Code.

Was ist der Unterschied zwischen einem Code Review und einem Quality Gate?

Ein Code Review beurteilt fertigen Code. Ein Quality Gate setzt vor einem Vorgang an und lässt ihn erst laufen, wenn der Nachweis vorliegt, etwa vor einem Deploy oder einer Migration. Beides ergänzt sich.

Code von Claude Code prüfen lassen, bevor er live geht

Code Guardian läuft in Claude Code und Codex, lässt riskante Diffs von einem kalten Prüf-Agenten lesen und hält riskante Befehle an, bevor sie Ihre Software erreichen. Wie das im Alltag aussieht, zeigt die Funktionsweise in Folien; Lizenz und Produkt-Rundgang finden Sie auf der Seite Code Guardian.

Quellen

• Anthropic: Making frontier cybersecurity capabilities available to defenders (20.02.2026)
• heise online: Claude Security – Anthropic bringt KI-Schwachstellenscanner für Unternehmen (30.04.2026)
• Claude Code Dokumentation: Security
• GitHub: anthropics/claude-code-security-review

Stand: 10. November 2026. Allgemeine Information, keine Rechtsberatung.