Claude Code im Unternehmen einrichten: Rechte, Sandbox, Einführung

Vor der ersten Installation klären

Technisch ist Claude Code schnell installiert. Die eigentliche Arbeit liegt in den Rahmenbedingungen, die in deutschen Unternehmen früh auf den Tisch gehören:

• Zugangsweg: Claude Team- oder Enterprise-Plan, API-Schlüssel aus der Claude Console oder Zugriff über Cloud-Anbieter wie Amazon Bedrock oder Google Cloud Vertex AI. Davon hängen Abrechnung, Vertragspartner und Datenverarbeitung ab.
• Datenschutz: Welche Daten dürfen in den Kontext gelangen? Quellcode mit eingebetteten Kundendaten oder Testdaten aus der Produktion gehören in der Regel nicht dazu. Die vertragliche Grundlage nach DSGVO sollte vorher geprüft sein – dies ist keine Rechtsberatung.
• Betriebsrat: Werkzeuge, die Nutzungsdaten erfassen, können mitbestimmungspflichtig sein. Das betrifft insbesondere Telemetrie und Auswertungen pro Person. Binden Sie die Arbeitnehmervertretung früh ein.

Die Konfigurationsebenen

Verteilen Sie die verwalteten Einstellungen über Ihr bestehendes Gerätemanagement. So hat jeder Rechner dieselbe Grundkonfiguration, und Abweichungen sind nicht möglich.

Berechtigungen und Isolation

Berechtigungsregeln legen fest, welche Werkzeuge der Agent ohne Rückfrage nutzen darf. Es gibt die Kategorien allow, ask und deny, wobei Verbote immer Vorrang haben. Bewährt hat sich:

1. Lesende und alltägliche Befehle freigeben, etwa Tests oder git diff.
2. Zugriff auf Geheimnisse verbieten, zum Beispiel Read(./.env).
3. Paketinstallationen, Netzwerkzugriffe und Deployments auf Rückfrage oder ganz sperren.
4. Den Modus zum Umgehen aller Berechtigungen zentral deaktivieren.

Rückfragen allein schützen nur, solange Menschen aufmerksam bleiben. Deshalb gehört eine technische Isolation dazu: Claude Code bringt eine Sandbox für Shell-Befehle mit, die Schreibzugriffe im Dateisystem und Netzwerkverbindungen auf Betriebssystemebene einschränkt. Für autonome Läufe eignen sich Entwicklungscontainer oder Cloud-Umgebungen ohne Produktivzugänge. Hooks ergänzen das: Ein Hook vor jeder Werkzeugnutzung kann Befehle prüfen und blockieren.

CLAUDE.md und MCP-Server

Eine CLAUDE.md im Repository gibt dem Agenten zu Beginn jeder Sitzung den nötigen Kontext: Build- und Testbefehle, Architektur, Stilregeln, Tabuzonen. Halten Sie sie knapp, prüfen Sie Änderungen wie Code und verweisen Sie auf längere Dokumente, statt sie einzufügen. Unternehmensweite Regeln, etwa zum Umgang mit personenbezogenen Daten, lassen sich zentral hinterlegen. Mehr dazu in unserem Leitfaden zu Claude-Code-Best-Practices.

MCP-Server verbinden den Agenten mit Ticketsystem, Wiki, Datenbanken oder internen APIs. Jeder Server ist ein zusätzlicher Datenweg. Geben Sie Server zentral frei, nutzen Sie eigene Dienstkonten mit möglichst lesenden Rechten und beschränken Sie die erlaubten Server über die verwaltete Konfiguration.

Kosten steuern und schrittweise einführen

Setzen Sie Ausgabenlimits, wo die Plattform sie anbietet, und werten Sie die Nutzung pro Team über die OpenTelemetry-Anbindung von Claude Code aus – abgestimmt mit dem Betriebsrat. Gewohnheiten wirken ebenso stark: neue Sitzung pro Aufgabe, passendes Modell je Aufgabe, schlanke Kontextdateien.

Für die Einführung hat sich ein gestuftes Vorgehen bewährt:

• Pilotphase: ein bis zwei Teams arbeiten einige Wochen mit fertig konfigurierten verwalteten Einstellungen.
• Auswertung: Berechtigungsregeln, CLAUDE.md-Muster und typische Fehlerfälle aus dem Pilot sammeln und in Vorlagen überführen.
• Schulung: alle weiteren Teams vor der Freischaltung trainieren, nicht erst nach dem ersten Vorfall.
• Review-Regeln: Agenten-Code durchläuft denselben Pull-Request-Prozess wie jeder andere Code, die Verantwortung bleibt beim Menschen, der ihn zusammenführt.

So unterstützt jocapps

Unsere Trainingsmarke neooutput bietet Praxis-Workshops und 1:1-Beratung zu Claude Code – auf Deutsch oder Englisch, vor Ort oder remote, direkt an Ihren Repositories inklusive Berechtigungen, CLAUDE.md und Review-Prozess. Für individuelle Apps, KI-Integration und Produktivsetzung steht mit OnlineAppCreator unser ISO-zertifiziertes Delivery-Team in Deutschland bereit. Details zu den Agentic-Coding-Workshops oder ein kostenloses 30-minütiges Erstgespräch über den Terminplaner.