Claude Admin Console 2026: SSO, SCIM, Rollen, Limits

Pexon Consulting | 10 Min. Lesezeit | 01.10.2026

TL;DR: Claude Admin Console in fünf Sätzen

Die Claude Admin Console sind die Organisationseinstellungen unter claude.ai/admin-settings. Team bietet SSO, JIT, Domain-Verifizierung und feste Rollen. SCIM, Gruppen, Custom Roles, Audit Logs, Compliance API und das Einsammeln privater Accounts gibt es nur in Enterprise. Pexon Consulting richtet die Konsole ein und betreut sie danach im laufenden Betrieb.

Quelle aller Zeilen: Anthropic Help Center und Plattform-Doku, abgerufen am 01.10.2026.

Das Problem: zwei Konsolen, verstreute Doku, kein Betriebsplan

Wer nach „Claude Admin Console“ oder „Claude Admin Konsole“ sucht, landet bei zwei verschiedenen Oberflächen. Das ist der erste Stolperstein.

Die Organisationseinstellungen in claude.ai (claude.ai/admin-settings) steuern die Chat-, Cowork- und Claude-Code-Nutzung Ihrer Belegschaft im Team- oder Enterprise-Plan. Die Claude Console unter platform.claude.com ist dagegen die API-Seite: Workspaces, API-Keys, Rate Limits, mit eigenem Rollenmodell (User, Claude Code User, Limited Developer, Developer, Billing, Admin). Beide teilen sich Begriffe wie „Admin“ und „Spend Limit“, meinen aber verschiedene Dinge. In diesem Artikel geht es um die erste, also um die Verwaltung der Claude-Apps für Ihre Mitarbeitenden.

Das zweite Problem ist die Doku. Anthropic beschreibt jede Funktion in einem eigenen Help-Center-Artikel, getrennt nach Plan, mit Häkchen-Tabellen. Eine Anleitung, die aus Sicht der IT-Abteilung von der Domain bis zum Offboarding durchgeht, gibt es auf Deutsch bisher nicht. In unseren Kundengesprächen sind private Accounts oft schon im Umlauf, bevor es überhaupt einen Firmenplan gibt. Ein Leiter Softwareentwicklung aus dem Fahrzeugbau sagte uns: „ein Großteil hat wahrscheinlich eine private Cloud-Lizenz […] im Geschäftsumfeld fangen wir jetzt gerade an“. Private Accounts zuerst, Firmenplan danach: Diese Reihenfolge bestimmt, welchen Plan Sie brauchen.

Die Bitkom hat im September 2026 erhoben, dass 57 Prozent der Unternehmen ab 20 Beschäftigten in Deutschland KI nutzen (603 befragte Unternehmen, repräsentativ). Bitkom-Präsident Wintergerst fasst das Kernproblem in einem Satz zusammen: „Wer nur eine Lizenz kauft, hat KI eingekauft, aber noch nichts verändert“ (Bitkom, 14.09.2026). Die Admin Console ist der Ort, an dem aus der Lizenz ein gesteuerter Dienst wird.

Team oder Enterprise: was die Wahl für die Administration bedeutet

Unsere klare Empfehlung: Entscheiden Sie den Plan nach der Frage, ob Sie bestehende Privat-Accounts einsammeln und Nutzer automatisch aus dem Identity Provider steuern müssen. Wenn ja, führt kein Weg an Enterprise vorbei. Das Kontextfenster ist laut Help Center in allen bezahlten Plänen gleich und taugt nicht mehr als Argument.

Drei Punkte entscheiden in der Praxis:

1. Lizenz-Wildwuchs. Für das Lizenzmanagement zählt zuerst, was mit bestehenden Accounts passiert. Team kann eine Domain verifizieren und neue private Accounts blocken. Bestehende Accounts übernehmen kann Team nicht: „admins can’t claim or migrate existing accounts“ (Help Center). Domain Claiming gibt es nur in Enterprise, auch beim Bezug über den AWS Marketplace.
2. Lebenszyklus der Nutzer. SCIM ist „available for Enterprise and Console organizations only“. Ohne SCIM bleibt ein ausgeschiedener Mitarbeiter im Team-Plan so lange Mitglied, bis ihn jemand von Hand entfernt.
3. Nachweisbarkeit. Die Datenkontrollen Audit Logs, Compliance API und eigene Aufbewahrungsfristen sind Enterprise-only. Wenn Ihre Revision oder der Datenschutz fragt, wer wann was getan hat, hat Team keine Antwort.

Was die Seats kosten, rechnen wir hier bewusst nicht vor. Die Preismodelle von Team und Enterprise samt Nutzungsabrechnung stehen in unserer Rechnung zu Claude-Lizenzen und Token-Kosten. Wer stattdessen über Amazon Bedrock oder Google Vertex AI bezieht, hat keine claude.ai-Admin-Console, sondern verwaltet Zugriffe in der Cloud. Den Vergleich der Bezugswege finden Sie weiter unten unter „Verwandte Themen“.

Die Rollen in der Claude Admin Console

Die Berechtigungen sind enger geschnitten, als viele erwarten: Ein Admin in claude.ai darf Mitglieder einladen und entfernen, aber keine Connectoren freischalten und kein SSO konfigurieren. Das dürfen nur Owner und Primary Owner. Wir haben die Häkchen-Tabelle im Help Center am 01.10.2026 zellweise ausgelesen:

Quelle: Roles and permissions, Help Center. Im Team-Plan sehen nur Owner und Primary Owner die Nutzungsanalysen.

Den Primary Owner gibt es genau einmal, er belegt einen Seat und darf ein Service-Account sein. Wir raten dazu, ihn als Service-Account anzulegen und nicht an eine Person aus der Geschäftsführung zu binden. Der Grund ist praktisch: Nur der Primary Owner kann die Compliance API aktivieren und Analytics-API-Keys erzeugen. Verlässt diese Person das Unternehmen, hängt die halbe Administration an einem Ownership-Transfer.

In Enterprise kommen Custom Roles dazu. Sie hängen an Gruppen, und Mitglieder mit der Rolle „Custom“ haben ohne Gruppe gar keine Rechte. Hat jemand mehrere Gruppen, addieren sich die Rechte („they get the union of all permissions from all roles“). Custom Roles steuern Funktionen, Admin-Bereiche, Connectoren und Modellzugriff.

Claude Admin Console einrichten: die Reihenfolge, die funktioniert

Die Reihenfolge ist wichtiger als jede einzelne Einstellung. SSO zu erzwingen, bevor die Gruppen im Identity Provider stehen, sperrt Nutzer aus. So gehen wir vor:

1. Primary Owner festlegen, idealerweise als Service-Account, plus mindestens einen zweiten Owner als Vertretung.
2. Domain verifizieren per DNS-TXT-Eintrag unter Organization settings > Organization and access. Ohne verifizierte Domain kein SSO.
3. SSO anbinden. Dokumentiert ist SAML, die Einrichtung läuft über WorkOS. Anleitungen gibt es für Okta, Microsoft Entra ID, Google, OneLogin, JumpCloud und Duo. Erst testen, dann „Require SSO“ einschalten.
4. Provisionierung wählen: nur Einladung, JIT (Team und Enterprise) oder SCIM (nur Enterprise). Über Group Mappings ordnen JIT und SCIM Rollen und Seat-Typen automatisch nach IdP-Gruppe zu. Die Nutzer müssen vor dem Speichern in den richtigen Gruppen sein.
5. Privat-Accounts klären. Team: neue blocken. Enterprise: bestehende per Domain Claiming übernehmen.
6. Gruppen und Custom Roles anlegen (Enterprise). Per SCIM synchronisierte Gruppen gehören dem IdP und lassen sich in Claude nicht umbenennen.
7. Limits setzen auf Organisation, Gruppe und Nutzer (Details im nächsten Abschnitt).
8. Connectoren und Skills freigeben. Org-Skills provisioniert ein Owner, sie sind für alle aktiv und lassen sich vom Nutzer abschalten. Custom Connectoren fügt im Team-Plan nur ein Owner hinzu, jeder Nutzer verbindet sie danach einzeln.
9. Aufbewahrung und Nachweise (Enterprise): Standard ist unbegrenzte Speicherung, eine eigene Frist beträgt mindestens 30 Tage. Audit-Log-Export und Compliance API aktivieren.

Für Claude Code gibt es zusätzlich server-managed Settings, die in Team und Enterprise nur Owner und Primary Owner sehen. Sie stehen über allen anderen Einstellungen, gelten aber für alle Nutzer gleich, Gruppen werden „not yet supported“. Und sie wirken laut Anthropic „as a client-side control, not a security boundary“. Wer Claude Code im Unternehmen ausrollt, sollte das mit MDM oder managed-settings.json absichern; wie, beschreibt unser Claude-Code-Rollout für Unternehmen.

Spend Limits, Gruppen und Budgets

Die kurze Antwort: Kostenkontrolle läuft im Enterprise Plan über Limits auf drei Ebenen, und das Einzel-Limit schlägt das Gruppen-Limit. Die Seat-Gebühr in Enterprise deckt laut Help Center keine Nutzung ab („The seat fee only covers access to the platform and doesn’t include any usage“). Ohne Limits ist die Monatsrechnung also offen.

Die Hierarchie laut Spend Limits API: Ein Nutzer ohne eigene Grenze erbt das Limit seiner Gruppe, seines Seat-Typs oder der Organisation. Ein Gruppen-Limit ist ein Limit pro Mitglied, kein gemeinsamer Topf. Gemeinsame Töpfe heißen Pooled Budgets, zählen erst ab Anlage und setzen sich monatlich zurück. Abgerechnet wird monatlich, der Zähler springt am Monatsersten um 00:00 UTC auf null. Mitarbeitende können über „Request more usage“ mehr Budget anfragen, die Anfrage landet bei den Admins.

Aus unseren Gesprächen kennen wir den Fall, der ohne diese Grenzen eintritt: Ein CIO berichtete, sein CFO habe „1200€ Credits in 3 Wochen verbraucht“, allerdings mit Microsoft Copilot, nicht mit Claude. Das Muster ist dasselbe. Wie Sie Warnschwellen, Budgets je Abteilung und Abweichungsberichte als festen Prozess aufsetzen, steht in unserer Seite zur Kosten-Governance für Claude.

Was im laufenden Betrieb anfällt: Joiner, Mover, Leaver, Audit

Nach der Einrichtung beginnt die eigentliche Arbeit, vor allem in der Benutzerverwaltung. Unsere Einschätzung: An der Einrichtung scheitert die Konsole selten. Schwieriger ist, dass sechs Monate später niemand mehr weiß, warum eine Gruppe ein bestimmtes Recht hat.

Leaver sind der kritische Fall. Mit SCIM entfernt der IdP den Nutzer automatisch. Ohne SCIM muss es jemand tun, entweder in der Oberfläche oder über die Admin API. Seit dem 26.08.2026 ist die Admin API zusätzlich im ant CLI und in den SDKs verfügbar, die Enterprise-Endpunkte für Nutzerverwaltung bleiben laut Release Notes aber curl-only. Ein Offboarding sieht so aus:

# Admin-API-Key mit Scope write:members, erzeugt vom Primary Owner
# unter claude.ai > Organization settings > API
export ANTHROPIC_ADMIN_KEY="..."

# 1. Mitglied per E-Mail finden
curl "https://api.anthropic.com/v1/organizations/users?email=ausgeschieden@firma.de" 
  -H "x-api-key: $ANTHROPIC_ADMIN_KEY" 
  -H "anthropic-version: 2023-06-01"

# 2. Mitglied entfernen, der Seat geht zurück in den Pool
curl -X DELETE "https://api.anthropic.com/v1/organizations/users/<user_id>" 
  -H "x-api-key: $ANTHROPIC_ADMIN_KEY" 
  -H "anthropic-version: 2023-06-01"

Zwei Fallen dabei. Wenn SCIM die Mitgliedschaft verwaltet, liefert das Löschen über die API einen Fehler 400, dann gehört der Schritt in den IdP. Und Admin-API-Keys überleben ihren Ersteller: „Removing the creator from the organization …] ends their own access, but not the keys they created“ ([User management). Das Offboarding muss also auch die Keys der ausgeschiedenen Person löschen.

Mover wechseln die Gruppe und damit Rechte und Limit. Joiner bekommen über Group Mappings oder per Einladung mit rbac_group_ids direkt die richtige Gruppe.

Für Audit gilt: Seit dem 01.09.2026 erwartet Anthropic auf allen Enterprise-Endpunkten der Admin API, der Analytics API und der Compliance API den Header anthropic-version. Am 26.08.2026 kamen die Compliance-API-Endpunkte für Cowork- und Claude-Code-Sitzungen aus der Beta. Und seit dem 24.09.2026 liefert der Activity Feed der Compliance API keine Dateinamen und Artefakt-Titel mehr; wer sie braucht, löst sie mit einem Key mit Scope read:compliance_user_data über die ID auf (Release Notes). Wer seine SIEM-Anbindung vor diesem Datum gebaut hat, sollte prüfen, ob dort jetzt leere Felder ankommen.

Wo die Konsole nicht reicht

Ehrlich gesagt: Die Admin Console löst Identität, Rechte und Budgets. Sie löst nicht, welche Daten in Claude landen dürfen, welche Anwendungen gebaut werden und wer neue Modelle bewertet.

Drei Grenzen sehen wir regelmäßig:

• Kein EU-Schalter. Enterprise bietet US-only Inference und eigene Schlüssel (CMEK), eine EU-Option für den Verarbeitungsort nennt der Enterprise-Artikel im Help Center nicht (Stand 01.10.2026). Wer echte Daten unter §203 oder strengen Datenschutzauflagen verarbeiten muss, landet oft bei Bedrock oder Vertex in der EU, und dort gibt es diese Konsole nicht.
• Managed Settings ohne Gruppen. Für Claude Code gelten sie organisationsweit gleich. Abteilungsspezifische Regeln brauchen einen anderen Weg.
• Rollen sind kein Betriebsmodell. Die Konsole sagt, wer etwas darf. Sie sagt nicht, wer es jede Woche tut.

Nicht zu verwechseln ist das alles mit Claude Managed Agents, Anthropics Laufzeitumgebung für Agenten. Das ist ein anderes Produkt mit eigener Verwaltung in der Claude Console.

Häufig gestellte Fragen

Wo finde ich die Claude Admin Console?

Für Team und Enterprise unter claude.ai/admin-settings, sichtbar für Admins, Owner und Primary Owner. Die Claude Console unter platform.claude.com ist die API-Verwaltung mit Workspaces und API-Keys und hat ein eigenes Rollenmodell.

Gibt es SCIM im Claude Team-Plan?

Nein. SCIM ist laut Help Center nur für Enterprise und Console-Organisationen verfügbar. Team kann SSO mit JIT-Provisionierung nutzen, dann entstehen Nutzer beim ersten Login, werden beim Ausscheiden aber nicht automatisch entfernt.

Was kostet die Claude Admin Console?

Nichts extra, sie ist Teil von Team und Enterprise. Kosten entstehen über Seats und in Enterprise über die nutzungsbasierte Abrechnung. Die Preise rechnen wir im verlinkten Kosten-Artikel durch, und den Aufwand für die laufende Administration nennen wir nach einem kurzen Scoping.

Was ist der Unterschied zwischen Admin und Owner in Claude?

Ein Admin verwaltet Mitglieder: einladen, entfernen, in Enterprise die Nutzung sehen. Ein Owner steuert zusätzlich Integrationen, SSO, Audit Logs, Aufbewahrung und Abrechnung und darf Rollen vergeben. Neue Seats kauft nur der Primary Owner.

Kann ich private Claude-Accounts meiner Mitarbeitenden in den Firmenplan übernehmen?

Nur in Enterprise, per Domain Claiming. Team kann neue Privat-Accounts auf der verifizierten Domain blocken, bestehende aber nicht übernehmen. Private Accounts sind in unseren Kundengesprächen das häufigste Problem rund um Claude-Lizenzen.

Nächster Schritt

Verwandte Themen