Was ist Claude Security?
Claude Security prüft deinen Code auf Sicherheitslücken, wie es ein Reviewer tun würde, nicht wie eine Regel-Engine. Es liest das Repository, schreibt ein Bedrohungsmodell, das du bearbeiten kannst, verfolgt Daten über Dateien und Dienste hinweg und prüft jeden Befund mehrfach, bevor es ihn zeigt, mit einer Schweregrad-Einstufung und einer Erklärung, wie ein Angreifer den Code erreichen würde. Ein Klick auf Fix übergibt den Befund an Claude Code.
Es begann im Februar 2026 als Claude Code Security, ging am 30. April 2026 für Claude Enterprise in die öffentliche Beta und bekam am 21. Oktober 2026 fortlaufende Scans neuer Commits, Nachverfolgung von Korrekturen, eine API, Webhooks und einen MCP-Connector. Die Scans laufen auf Claude Mythos, Anthropics auf Cybersicherheit ausgerichtetem Modell, das Nutzer nicht direkt aufrufen können. Laut Anthropic hat es in Tausenden Organisationen mehr als eine Million Schwachstellen gefunden.
Es bleibt Enterprise vorbehalten. Nutzer von Pro, Max, Team und der API können in Claude Code ein separates Claude-Security-Plugin verwenden, das die Modelle des jeweiligen Kontos nutzt.
Was kostet Claude Security?
| Tarif | Preis | Was enthalten ist |
|---|---|---|
| Claude Enterprise | $20/seat/month | Plus Nutzung zu Token-Kosten; Premium-Platz erforderlich |
| Launch credits | Up to $25,000 a month | Zwei Monate, bis zum 31. Dezember 2026 |
Nur Claude Enterprise (20 $/Platz/Monat plus Nutzung), mit einem Premium-Platz pro Nutzer. Scans werden zu Token-Kosten ohne Plattformgebühr abgerechnet; berechtigte Organisationen erhalten bis zu 25.000 $ im Monat an Guthaben für zwei Monate, bis zum 31. Dezember 2026.
Lohnt sich Claude Security?
Die meisten Code-Scanner sind gut bei offensichtlichen Fehlern und schlecht bei denen, die zu Sicherheitsvorfällen führen: der Berechtigungsprüfung, die in einem Dienst funktioniert und im nächsten fehlt.
Genau die nimmt Claude Security ins Visier. Es liest das ganze Repository, schreibt ein Bedrohungsmodell dessen, was in deinem System zählt, und verfolgt, wie Daten zwischen Dateien und bis zu acht Repositorys in einem Projekt fließen. Jeder Befund wird mehrfach geprüft, bevor du ihn siehst, kommt mit einem Schweregrad, der sich danach richtet, wie ausnutzbar er in deinem Code ist, und erklärt den Weg eines Angreifers. Vanta sagte Anthropic, es habe Logikfehler gefunden, die keines seiner anderen Tools entdeckt hatte, und IonQ berichtete von wesentlichen Problemen, die ein gleichzeitig durchgeführter Penetrationstest übersehen hatte.
Das Oktober-Update machte daraus einen laufenden Dienst statt eines einmaligen Audits. Nach einem Basis-Scan, der Minuten oder Stunden dauern kann, beobachtet es neue Commits und scannt je nach Risiko erneut, markiert Befunde als behoben, sobald die Korrektur eingeht, und öffnet sie wieder, wenn der Fehler zurückkehrt. Befunde gehen per Webhook an Slack oder Jira, und über eine API und einen MCP-Connector kann Claude Code sie aufgreifen.
Der Haken: Du musst Claude-Enterprise-Kunde sein, mit einem Premium-Platz für jeden Nutzer und aktivierter Nutzungsabrechnung. Team und Max wurde im April Zugang "bald" versprochen, und sie haben ihn noch immer nicht. Das Hilfecenter sagt außerdem, die Scans seien "stochastisch angelegt", zwei Läufe über denselben Code können also unterschiedliche Befunde liefern, was für einen Audit-Nachweis ungünstig ist. Eine Liste unterstützter Sprachen gibt es nicht.
Der Umgang mit Daten schließt manche Käufer aus. Zero Data Retention wird nicht unterstützt, und Anthropic kann Daten aufbewahren, wenn das Gesetz es verlangt oder um Missbrauch zu untersuchen. Scannen darfst du nur Code, der dir vollständig gehört, keine Projekte Dritter und keine fremden Open-Source-Projekte.
Der Preis ist die Token-Rechnung und sonst nichts, mit einem eigenen Ausgabenlimit und einer Ansicht der täglichen Kosten pro Projekt. Eine Schätzung pro Repository gibt Anthropic nicht, aber berechtigte Organisationen erhalten bis zum 31. Dezember 2026 zwei Monate lang bis zu 25.000 $ im Monat an Guthaben, genug für einen ernsthaften Test.
Unser Fazit: Claude Security ist ein zweiter Prüfer, kein Ersatz für den Scanner in deiner Build-Pipeline. Teams, die ohnehin für Claude Enterprise zahlen, sollten das Gratis-Guthaben auf ihren ältesten, verworrensten Dienst ansetzen und sehen, was dabei herauskommt.
Wo es sich lohnt
Ein Leiter Anwendungssicherheit in einem Fintech mit 400 Mitarbeitenden auf Claude Enterprise
Berechtigungslücken finden, die sich über das API-Gateway und drei Backend-Dienste ziehen
Die vier Repositorys in ein Projekt legen, Architekturdokumente in die Wissensbasis laden und das erzeugte Bedrohungsmodell vor dem Basis-Scan prüfen. Das Startguthaben von bis zu 25.000 $ im Monat deckt den Test bis zum 31. Dezember 2026.
Eine Plattformingenieurin in einem Softwareunternehmen mit 1.000 Entwicklern
Neue Befunde ohne weiteres Dashboard an das zuständige Team leiten
Webhooks schicken neue Befunde an Jira oder Slack, Fix öffnet den Befund in Claude Code, und die API schließt ihn, wenn der Pull Request gemergt ist. Behobene Befunde öffnen sich von selbst wieder, wenn der Fehler zurückkehrt.
Ein Compliance-Verantwortlicher bei einer regulierten Krankenversicherung
Entscheiden, ob Quellcode an den Scanner gehen darf
Claude Security unterstützt kein Zero Data Retention, eine ZDR-Pflicht schließt es also aus. Anthropic verweist solche Teams auf das Claude-Code-Plugin, das auch mit anderen Modellanbietern laufen kann.
Bevor du dich festlegst
- Einrichtung
- Ein Owner aktiviert es unter Organization settings > Claude Security; Nutzer brauchen Premium-Plätze und aktiviertes Nutzungsguthaben. Repositorys über die Claude GitHub App, GitHub Enterprise Server oder ein Token für GitLab, Bitbucket und andere Git-Server verbinden und einen Basis-Scan starten.
- Integrationen
- GitHub, GitHub Enterprise Server, GitLab, Bitbucket und andere Git-Server; eine API mit persönlichen Zugriffstokens; Webhooks für Slack oder Jira; ein MCP-Connector für Claude und Claude Code; E-Mail-Benachrichtigungen nach abgeschlossenen Scans.
- Daten und Datenschutz
- Zero Data Retention wird nicht unterstützt, und Anthropic darf Daten aufbewahren, wenn das Gesetz es verlangt oder um Verstöße gegen die Nutzungsrichtlinien zu bearbeiten. Gescannt werden darf nur Code, der dir oder deinem Unternehmen gehört.
- Kosten im großen Maßstab
- Nur Token-Kosten, keine Plattformgebühr; ein eigenes Ausgabenlimit sowie tägliche und monatliche Kosten pro Projekt. Keine veröffentlichte Schätzung pro Repository oder Scan.
- Grenzen
- Bis zu acht Repositorys pro Projekt, reine Kontext-Repositorys eingerechnet; Scans sind stochastisch und können abweichende Ergebnisse liefern; große Monorepos müssen auf Ordner eingegrenzt werden; GitHub-Enterprise-Projekte der alten Version lassen sich nicht migrieren.
Was gut ist
- Verfolgt Daten über Dateien und bis zu acht Repositorys, um mehrstufige Fehler zu finden
- Ein bearbeitbares Bedrohungsmodell und eine Wissensbasis steuern, was es meldet
- Fortlaufende Scans mit automatischer Nachverfolgung und Wiedereröffnung
- API, Webhooks und ein MCP-Connector für Claude Code
- Keine Plattformgebühr und bis zu 25.000 $ im Monat an Startguthaben
Was nicht
- Nur Claude Enterprise, mit einem Premium-Platz pro Nutzer
- Ergebnisse können zwischen Läufen über denselben Code abweichen
- Keine Zero-Data-Retention-Option
- Keine veröffentlichte Liste unterstützter Sprachen
- Keine veröffentlichten Kosten pro Scan oder pro Repository
Am besten für
Sicherheitsteams in Unternehmen mit Claude Enterprise, die einen Prüfer für Logik- und dienstübergreifende Fehler in eigenem Code suchen.
Alternativen zu Claude Security
Claude Security: häufige Fragen
- Lohnt sich Claude Security?
- Claude Security findet die Logikfehler, die dein Scanner übersieht, und verfolgt sie bis zur Korrektur, aber nur Enterprise-Kunden können es kaufen, und die Ergebnisse können sich von Scan zu Scan ändern. Wir bewerten es mit 3.9 von 5.
- Was kostet Claude Security?
- Nur Claude Enterprise (20 $/Platz/Monat plus Nutzung), mit einem Premium-Platz pro Nutzer. Scans werden zu Token-Kosten ohne Plattformgebühr abgerechnet; berechtigte Organisationen erhalten bis zu 25.000 $ im Monat an Guthaben für zwei Monate, bis zum 31. Dezember 2026.
- Welche Nachteile hat Claude Security?
- Nur Claude Enterprise, mit einem Premium-Platz pro Nutzer; Ergebnisse können zwischen Läufen über denselben Code abweichen; Keine Zero-Data-Retention-Option; Keine veröffentlichte Liste unterstützter Sprachen; Keine veröffentlichten Kosten pro Scan oder pro Repository.
- Für wen eignet sich Claude Security?
- Sicherheitsteams in Unternehmen mit Claude Enterprise, die einen Prüfer für Logik- und dienstübergreifende Fehler in eigenem Code suchen.
- Was kostet Claude Security für ein Team oder im Produktivbetrieb?
- Nur Token-Kosten, keine Plattformgebühr; ein eigenes Ausgabenlimit sowie tägliche und monatliche Kosten pro Projekt. Keine veröffentlichte Schätzung pro Repository oder Scan.
- Ist Claude Security sicher für Firmendaten?
- Zero Data Retention wird nicht unterstützt, und Anthropic darf Daten aufbewahren, wenn das Gesetz es verlangt oder um Verstöße gegen die Nutzungsrichtlinien zu bearbeiten. Gescannt werden darf nur Code, der dir oder deinem Unternehmen gehört.
- Was sind die besten Alternativen zu Claude Security?
- Die nächsten Alternativen, die wir getestet haben, sind CodeRabbit, OpenAI Codex, Claude Code und GitHub Copilot.
Antworten geprüft am 6. Nov. 2026.