Was ist security-guidance plugin (Claude Code)?
security-guidance ist ein offizielles Plugin im Plugin-Verzeichnis von Anthropic für Claude Code. Es hat drei Schichten. Bei jedem Edit oder Write prüft es rund 25 bekannte gefährliche Muster, etwa yaml.load, pickle.load auf nicht vertrauenswürdigen Daten, rohes innerHTML und fest einprogrammierte Secrets, ohne Modellaufruf. Wenn Claude eine Runde beendet, prüft ein separater Modellaufruf den Diff und schickt schwerwiegende Befunde zur Behebung an Claude zurück. Bei git commit liest ein agentischer Reviewer verwandte Dateien, um Daten durch die Codebasis zu verfolgen, und findet so Probleme wie Insecure Direct Object References, Umgehung der Authentifizierung und SSRF über mehrere Dateien hinweg.
Teams können in .claude/claude-security-guidance.md eigene Regeln in normaler Sprache hinzufügen. Die Zahl der Sterne gehört zum gesamten Plugin-Verzeichnis, nicht zu diesem Plugin; das Verzeichnis hat keine getaggten Releases.
Lohnt sich security-guidance plugin (Claude Code)?
Wenn dieselbe KI den Code schreibt und prüft, neigt sie dazu, sich selbst zuzustimmen. security-guidance umgeht das, indem es den Diff jeder Runde an einen frischen Modellaufruf schickt, der sich nicht daran erinnert, warum der Code geschrieben wurde.
Es arbeitet in drei Tiefen. Jede Bearbeitung bekommt eine sofortige Prüfung gegen rund 25 riskante Muster wie pickle und innerHTML, die nichts kostet. Jede abgeschlossene Runde bekommt ein Modell-Review des Diffs. Jeder Commit bekommt einen gründlicheren Agenten, der umliegende Dateien liest, und so findet er Bugs, die sich über mehrere Dateien erstrecken, etwa wenn ein Nutzer die Datensätze eines anderen lesen kann.
Der Haken: Nichts davon blockiert irgendetwas. Befunde gehen als Anweisungen an Claude zurück, und Claude kann sie trotzdem übersehen oder ignorieren. Die beiden modellgestützten Reviews verbrauchen bei jeder Runde und jedem Commit Nutzung, und die eigene Dokumentation des Plugins empfiehlt, es mit einem blockierenden Hook oder einer CI-Prüfung zu kombinieren. Die angezeigte Zahl der Sterne gehört zum ganzen Plugin-Verzeichnis, nicht zu diesem Plugin: rund 44.000 zum Zeitpunkt des Schreibens. Es braucht Claude Code 2.1.144 oder neuer und Python 3.8+.
Unser Fazit: Sieh es als Kollegen, der dir über die Schulter schaut, nicht als Schloss an der Tür. Für den Preis eines Installationsbefehls lohnt es sich, solange etwas wie Semgrep in der CI weiterhin zwischen Code und Produktion steht.
Wo es sich lohnt
Ein Startup mit zwei Leuten, das mit Claude Code eine Web-App ausliefert
Injection- und Auth-Bugs abfangen, bevor sie in main landen
/plugin install security-guidance@claude-plugins-official. Die Musterprüfungen sind kostenlos; die Reviews pro Runde und pro Commit erhöhen die Modellnutzung jeder Sitzung.
Eine AppSec-Leiterin in einem Unternehmen, das Claude Code einführt
Hauseigene Sicherheitsregeln einmal für alle Entwickler festschreiben
Committe .claude/claude-security-guidance.md mit den Regeln in normaler Sprache und behalte einen blockierenden CI-Scanner als eigentliche Schranke.
Bevor du dich festlegst
- Einrichtung
- Führ /plugin install security-guidance@claude-plugins-official in Claude Code aus; braucht Python 3.8+ im PATH.
- Integrationen
- Hooks von Claude Code; Reviews laufen über deine Claude-Anmeldung, einen API-Key oder Bedrock, Vertex oder Foundry.
- Daten und Datenschutz
- Diffs und zugehöriger Code gehen an das Claude-Modell, das du für Reviews nutzt, zu den Bedingungen dieses Kontos. Musterprüfungen laufen lokal.
- Kosten im großen Maßstab
- Kostenloses Plugin; das Diff-Review pro Runde und das agentische Review pro Commit laufen standardmäßig auf dem neuesten Opus, einstellbar über SECURITY_REVIEW_MODEL, und werden als normale Nutzung abgerechnet.
- Grenzen
- Konstruktionsbedingt nicht blockierend; die Qualität der Reviews hängt vom Modell ab und kann Probleme übersehen.
Was gut ist
- Ein Installationsbefehl, keine Konfiguration
- Ein separater Modellaufruf prüft jeden Diff mit frischem Kontext
- Das Commit-Review verfolgt Daten über Dateien hinweg
- Eigene Regeln in normaler Sprache
Was nicht
- Gibt nur Hinweise; blockiert nie einen Schreibvorgang oder Commit
- Modellgestützte Reviews kosten bei jeder Runde Nutzung
- Braucht Python im PATH
- Die Sterne spiegeln das ganze Plugin-Verzeichnis wider
Am besten für
Nutzer von Claude Code, die bei jeder Änderung ein Sicherheits-Review wollen, ohne etwas einzurichten.
Alternativen zu security-guidance plugin (Claude Code)
security-guidance plugin (Claude Code): häufige Fragen
- Lohnt sich security-guidance plugin (Claude Code)?
- Für Nutzer von Claude Code ist das ein Sicherheitsgewinn mit einem einzigen Befehl, mit einem Reviewer, der nicht seine eigenen Hausaufgaben benotet. Wir bewerten es mit 4.2 von 5.
- Was kostet security-guidance plugin (Claude Code)?
- Kostenloses Plugin unter Apache 2.0; die beiden modellgestützten Reviews verbrauchen deine Claude- oder API-Nutzung.
- Welche Nachteile hat security-guidance plugin (Claude Code)?
- Gibt nur Hinweise; blockiert nie einen Schreibvorgang oder Commit; Modellgestützte Reviews kosten bei jeder Runde Nutzung; Braucht Python im PATH; Die Sterne spiegeln das ganze Plugin-Verzeichnis wider.
- Für wen eignet sich security-guidance plugin (Claude Code)?
- Nutzer von Claude Code, die bei jeder Änderung ein Sicherheits-Review wollen, ohne etwas einzurichten.
- Was kostet security-guidance plugin (Claude Code) für ein Team oder im Produktivbetrieb?
- Kostenloses Plugin; das Diff-Review pro Runde und das agentische Review pro Commit laufen standardmäßig auf dem neuesten Opus, einstellbar über SECURITY_REVIEW_MODEL, und werden als normale Nutzung abgerechnet.
- Ist security-guidance plugin (Claude Code) sicher für Firmendaten?
- Diffs und zugehöriger Code gehen an das Claude-Modell, das du für Reviews nutzt, zu den Bedingungen dieses Kontos. Musterprüfungen laufen lokal.
- Was sind die besten Alternativen zu security-guidance plugin (Claude Code)?
- Die nächsten Alternativen, die wir getestet haben, sind Trail of Bits Skills und Cloudflare Security Audit Skill.
Antworten geprüft am 24. Okt. 2026.