Claude Managed Agents 2026: Guide für Unternehmen

Robin, Consultant für GenAI bei Pexon Consulting | 13 Min. Lesezeit | 21.09.2026

TL;DR: Claude Managed Agents in fünf Sätzen

Claude Managed Agents sind Anthropics fertiger Agenten-Harness: Agent, Sandbox und Sitzungszustand laufen verwaltet, Sie zahlen Tokens plus 0,08 USD je laufender Sitzungsstunde. Berechtigungen steuern Sie mit always_allow, always_ask und auto. Die Inferenz läuft nur in den USA oder weltweit, nicht in der EU. Pexon Consulting (ISO 27001) ordnet ein, wann das reicht. Stand: Beta, 21.09.2026.

Das Problem: der Agent läuft, die Freigabe nicht

Der Prototyp ist in einem Nachmittag gebaut. Agent anlegen, Sandbox starten, eine Aufgabe schicken, und Claude arbeitet eigenständig: liest Dateien, ruft Werkzeuge auf, schreibt ein Ergebnis. Dann kommen drei Fragen, die kein Tutorial beantwortet. Was darf der Agent ohne Rückfrage? Wo liegen die Daten? Und wer merkt, wenn das Ergebnis falsch ist?

Wir sehen genau an diesen drei Fragen die meisten Agenten-Projekte stehen bleiben, nicht am Modell. Dieser Guide beantwortet sie für Claude Managed Agents, mit den Werten aus der Anthropic-Dokumentation vom 21. September 2026.

Was Claude Managed Agents sind

Die kurze Antwort: ein verwalteter Harness statt eines eigenen Agent-Loops. Anthropic beschreibt Managed Agents als „pre-built, configurable agent harness that runs in managed infrastructure“, gedacht für lange und asynchrone Aufgaben. Die Messages API bleibt der Weg, wenn Sie den Loop selbst bauen wollen.

Vier Begriffe tragen das Modell:

Eingebaut sind Bash, Dateioperationen, Websuche und Web-Fetch sowie MCP-Server. Sitzungen sind zustandsbehaftet, lassen sich pausieren und fortsetzen und über zeitgesteuerte Deployments auch regelmäßig starten.

Typische Einsatzfälle, für die sich der verwaltete Harness lohnt: Code-Reviews bei jedem Pull Request, Recherche über viele Quellen, Analyse von Dokumentenbeständen und wiederkehrende Auswertungen über Nacht. Überall dort also, wo eine Aufgabe Minuten bis Stunden läuft und Sekunden Latenz egal sind.

Wo Claude Managed Agents laufen, und wo nicht

Das ist die Frage, an der sich die meisten Architekturen entscheiden. Managed Agents gibt es nur dort, wo Anthropic selbst die Plattform betreibt.

Stand 21.09.2026, Quelle: Anthropic-Dokumentation zu Claude Managed Agents und Preisseite.

Neu und oft übersehen ist die selbst gehostete Sandbox. Die Orchestrierung bleibt bei Anthropic, die Werkzeugausführung wandert auf Ihren Linux-Host: Dateisystem, Prozesse und ausgehender Netzverkehr bleiben in Ihrem Netz. Die Ein- und Ausgaben der Werkzeuge gehen aber weiter an Anthropic, weil dort das Modell entscheidet, und auch Skills und Memory-Inhalte liegen bei Anthropic. Das löst die Frage „erreicht der Agent interne Systeme ohne öffentlichen Endpunkt“, nicht die Frage „bleiben die Inhalte in der EU“.

Unsere klare Einordnung: Wer Agenten mit personenbezogenen oder vertraulichen Daten in der EU betreiben muss, baut sie mit dem Claude Agent SDK und betreibt sie selbst, etwa auf Bedrock AgentCore mit dem Agent SDK. Managed Agents passen für Daten, bei denen Verarbeitung in den USA oder weltweit zulässig ist.

Berechtigungen: always_allow, always_ask und auto

Managed Agents kennen drei Berechtigungsstufen für Werkzeuge, die der Server ausführt. Die Voreinstellungen sind wichtig, weil sie gegensätzlich sind: Das eingebaute Toolset startet mit always_allow, MCP-Toolsets mit always_ask.

So erlauben Sie das Toolset grundsätzlich, verlangen aber für Shell-Befehle und Schreibzugriffe eine Freigabe:

import anthropic

client = anthropic.Anthropic()

# Agent mit Standardfreigabe, Bash und Schreiben nur nach Bestätigung
agent = client.beta.agents.create(
    name="Dokumenten-Analyst",
    model="claude-sonnet-5",
    tools=[
        {
            "type": "agent_toolset_20260401",
            "default_config": {"permission_policy": {"type": "always_allow"}},
            "configs": [
                {"name": "bash", "permission_policy": {"type": "always_ask"}},
                {"name": "write", "permission_policy": {"type": "always_ask"}},
                # Web-Fetch ganz abschalten, wenn der Agent nur interne Daten braucht
                {"name": "web_fetch", "enabled": False},
            ],
        }
    ],
)

Pausiert die Sitzung, meldet sie requires_action mit den betroffenen Event-IDs. Ihre Anwendung antwortet je Aufruf mit einer Bestätigung:

# Aufruf freigeben oder mit Begründung ablehnen
client.beta.sessions.events.send(
    session.id,
    events=[
        {
            "type": "user.tool_confirmation",
            "tool_use_id": tool_use_event.id,
            "result": "deny",
            "deny_message": "Keine Änderungen im Produktivverzeichnis.",
        }
    ],
)

Zu auto eine deutliche Warnung, die Anthropic selbst ausspricht: auto ist kein menschlicher Kontrollpunkt. Hält der Server einen Aufruf für sicher, läuft er, bevor ihn jemand sieht. Wo ein Mensch prüfen muss, gehört always_ask hin. Hilfreich für die Revision: Jedes Werkzeug-Event trägt das Feld evaluated_permission mit allow, ask oder deny, bei auto samt Begründungscode. Das gehört in Ihr Audit-Log. Für Websuche und Web-Fetch begrenzen Sie die erreichbaren Domains mit allowed_domains, bis zu 64 je Werkzeug.

Im Produktivbetrieb: Outcomes statt Hoffnung

Der größte Unterschied zwischen Demo und Betrieb ist nicht die Technik, sondern die Frage, wann ein Ergebnis gut genug ist. In einem Gespräch dreier Produktteams über ihren Alltag mit Managed Agents fiel ein Satz, den wir teilen: Lieber zeigt der Agent nichts an als ein falsches Ergebnis, etwa ein Meeting-Briefing über die falsche Person.

Dafür gibt es Outcomes. Sie schicken statt einer Nachricht eine Zieldefinition mit Bewertungsraster, einer Rubric in Markdown. Ein separater Grader mit eigenem Kontextfenster prüft das Ergebnis gegen jedes Kriterium, und der Agent überarbeitet, bis das Raster erfüllt ist oder die Iterationen aufgebraucht sind.

# Ergebnis gegen ein Raster prüfen lassen, höchstens fünf Überarbeitungen
client.beta.sessions.events.send(
    session_id=session.id,
    events=[
        {
            "type": "user.define_outcome",
            "description": "Prüfbericht zur Lieferantenbewertung als Markdown",
            "rubric": {"type": "text", "content": RUBRIC},
            "max_iterations": 5,  # Standard 3, höchstens 20
        }
    ],
)

Das Ergebnis endet mit satisfied, needs_revision, max_iterations_reached, failed oder interrupted. Unsere Empfehlung für die Rubric: prüfbare Einzelkriterien („Jede Aussage nennt ihre Quelle“) statt Qualitätsurteile („wirkt professionell“). Vage Kriterien machen die Bewertung verrauscht.

Zwei Lehren aus dem Betrieb gehören dazu. Erstens: Evals erst bauen, wenn der Agent Nutzen stiftet, und dann aus echten Anfragen, nicht aus ausgedachten Testfällen. Zweitens: Zwei Probleme sind offen, auch bei Anthropic. Agenten mit wachsendem Gedächtnis lassen sich offline kaum prüfen, und Werkzeuge, deren Daten sich laufend ändern, lassen Testsuiten driften.

Was Claude Managed Agents kosten

Zwei Posten, beide transparent: Tokens zum normalen Listenpreis und die Laufzeit der Sitzung.

Wartezeit auf Ihre Freigabe zählt nicht als Laufzeit. Anthropics eigenes Rechenbeispiel: eine Stunde mit Opus 5, 50.000 Eingabe- und 15.000 Ausgabe-Tokens kostet 0,705 USD, mit Prompt Caching 0,525 USD. Die Laufzeit macht davon 0,08 USD aus. Heißt für die Planung: Die Tokens sind fast immer der größere Posten, die Modellwahl der größte Hebel. Den Rabatt der Batch-API gibt es für Sitzungen nicht.

Managed Agents oder Agent SDK auf eigener Infrastruktur?

Wir raten nicht pauschal zu einem Weg. Die Entscheidung hängt an Datenort, Aufwand und Kontrolle.

Unsere Faustregel: Ist der Harness nicht Ihr Kerngeschäft und sind die Daten für eine Verarbeitung in den USA freigegeben, sparen Managed Agents viel Bau. Gilt eine EU-Pflicht, ist das Agent SDK der Weg. Wie mehrere Agenten zusammenspielen und wie wir solche Systeme aufbauen, beschreibt unsere Seite zur Orchestrierung von KI-Agenten.

DSGVO: was mit Managed Agents geht und was nicht

Die ehrliche Antwort zuerst: Für Daten, die in der EU verarbeitet werden müssen, sind Claude Managed Agents Stand September 2026 nicht der richtige Weg.

Drei Punkte bestimmen das. Anthropic ist bei Managed Agents selbst Auftragsverarbeiter, der AVV läuft also mit Anthropic. Die Inferenz lässt sich nur auf global oder USA festlegen, eine EU-Option gibt es nicht, und damit ist jede Nutzung mit personenbezogenen Daten ein Drittlandtransfer. Und weil Sitzungen zustandsbehaftet sind, speichert Anthropic Verlauf, Sandbox-Zustand und Ausgaben serverseitig. Zero Data Retention und HIPAA gibt es für Managed Agents deshalb nicht, löschen können Sie Sitzungen und Dateien aber jederzeit per API.

Was das praktisch heißt: Managed Agents für interne, freigegebene Daten ohne Personenbezug, etwa Code-Reviews oder öffentliche Recherche. Für alles andere das Agent SDK über einen Cloud-Anbieter mit EU-Verarbeitung. Welche Wege zu Claude in der EU es gibt, steht in unserer Übersicht Claude in der eigenen Cloud.

Häufig gestellte Fragen

Was kosten Claude Managed Agents?

Tokens zum normalen Listenpreis, etwa 2 USD Eingabe und 10 USD Ausgabe je Million Tokens bei Sonnet 5, dazu 0,08 USD je Stunde, in der die Sitzung tatsächlich läuft. Wartezeit auf Freigaben kostet nichts. Websuche kostet 10 USD je 1.000 Suchen. In der Praxis sind die Tokens der größere Posten.

Gibt es Claude Managed Agents auf Amazon Bedrock?

Nein. Anthropic bietet Managed Agents auf der Claude API und auf Claude Platform on AWS an, nicht auf Bedrock, Google Vertex AI oder Microsoft Foundry. Wer Agenten im eigenen AWS-Konto betreiben will, nutzt das Claude Agent SDK, zum Beispiel auf Bedrock AgentCore.

Sind Claude Managed Agents DSGVO-konform nutzbar?

Für Daten mit EU-Pflicht nicht. Die Inferenz läuft global oder in den USA, Anthropic ist Auftragsverarbeiter und speichert Sitzungen serverseitig, Zero Data Retention ist nicht verfügbar. Für freigegebene Daten ohne Personenbezug ist der Einsatz vertretbar, die Bewertung gehört in Ihr Verarbeitungsverzeichnis.

Managed Agents vs. Agent SDK, was ist der Unterschied?

Managed Agents liefern den fertigen Harness mit Sandbox, Zustand, Berechtigungen und Bewertungsraster, betrieben von Anthropic. Mit dem Agent SDK bauen Sie denselben Agenten-Loop selbst und betreiben ihn, wo Sie wollen, auch mit Claude über Bedrock oder Vertex AI in der EU.

Kann ich Claude Managed Agents auf eigener Infrastruktur betreiben?

Teilweise. Mit einer selbst gehosteten Sandbox laufen Werkzeuge, Dateisystem und Netzverkehr auf Ihrem Linux-Host. Orchestrierung und Modell bleiben bei Anthropic, und die Ein- und Ausgaben der Werkzeuge gehen dorthin. Das hilft beim Zugriff auf interne Systeme, nicht beim Datenort.

Nächster Schritt

Verwandte Themen