Claude Sicherheit: 10 Punkte für die Security-Freigabe 2026

Robin Werner, Consultant für GenAI bei Pexon Consulting | 10 Min. Lesezeit | 22.09.2026

TL;DR: Claude Sicherheit in fünf Sätzen

Security-Freigaben für Claude dauern selten wegen des Modells, sondern weil der Rahmen fehlt. Auf Amazon Bedrock lässt sich dieser Rahmen prüfbar bauen: eigener Account, PrivateLink, IAM und SCP, Logging und Guardrails. Wichtig ist die Wahl des Endpunkts, denn Mantle kann einiges davon nicht. Diese zehn Punkte beantworten die typischen Fragen.

Das Problem: Das Assessment dauert Monate

In einem gewonnenen Projekt nannte der Kunde es im ersten Gespräch ganz offen: langwierige Security-Assessments. Das Muster sehen wir oft. Das Fachteam will Claude nutzen, die IT-Sicherheit bekommt einen Fragebogen mit 80 Punkten zurück, der Hersteller antwortet mit Marketing-Folien, und nach drei Monaten ist das Projekt tot oder läuft als Schatten-IT weiter.

Der Grund ist fast nie das Modell. Die Security prüft nicht, ob Claude gut ist. Sie prüft, wo Daten hinfließen, wer darauf zugreifen kann, was protokolliert wird und wie sich Regeln erzwingen lassen. Auf diese Fragen gibt es bei Amazon Bedrock belegbare Antworten, wenn man den Rahmen bewusst baut, statt Claude einfach in einem bestehenden Konto einzuschalten.

Die folgenden zehn Punkte sind so formuliert, dass sie sich einzeln prüfen und abhaken lassen.

Punkt 1 bis 3: Daten, Zugriff, Speicherung

1. Kein Training, keine Weitergabe. AWS schreibt in der Bedrock-Doku, dass Inhalte nicht zur Verbesserung der Basismodelle genutzt und nicht mit Modellanbietern geteilt werden. Die Modellanbieter haben keinen Zugriff auf die Konten, in denen Bedrock läuft, und damit weder auf Logs noch auf Prompts und Antworten.

2. Kein Zugriff durch Betreiber. Bedrock arbeitet laut Doku nach dem Prinzip „Zero Operator Access“: Betreiber des Dienstes können Ein- und Ausgaben der Modelle nicht einsehen. Das gilt für den Standard-Endpunkt bedrock-runtime und für bedrock-mantle, weil beide dieselbe Inferenz-Engine nutzen.

3. Keine Speicherung, mit einer Ausnahme. Standardmäßig speichert Bedrock keine Ein- und Ausgaben. Die Ausnahme sind Claude Fable 5 und 5.1: Dort wird der gesamte Traffic bis zu 30 Tage für die Missbrauchserkennung gespeichert, markierter Traffic kann von AWS-Mitarbeitern geprüft werden. Aufrufen lassen sich diese Modelle nur mit dem Datenmodus aws_review. Für Modelle vor Fable ändert sich nichts. Mehr dazu im Beitrag zu Claude Fable 5 im Unternehmen.

Punkt 4 bis 6: Netzwerk, Rechte, Regeln

4. Kein Weg übers Internet. Bedrock lässt sich über VPC-Interface-Endpunkte mit PrivateLink ansprechen, laut AWS so, als läge der Dienst im eigenen VPC, ohne Internet-Gateway, NAT oder VPN. Die Endpunkte gibt es getrennt für bedrock-runtime und bedrock-mantle.

5. Rechte nach dem Minimalprinzip. Für Claude Code reichen laut Doku wenige IAM-Aktionen: Modelle aufrufen, Inferenz-Profile lesen und das Marketplace-Abonnement. Auf Mantle heißt die Aktion bedrock-mantle:CreateInference. Anthropic empfiehlt in der Claude-Code-Doku zudem einen eigenen AWS-Account für Claude, um Kosten und Zugriffe sauber zu trennen. Ein Punkt, den wir in Prüfungen oft finden: Bedrock-API-Keys. Kurzlebige Keys gelten laut AWS höchstens zwölf Stunden, langlebige bis zu einem festgelegten Ablaufdatum, und AWS selbst empfiehlt langlebige Keys nur zum Ausprobieren. Für den Betrieb gehören Rollen mit kurzlebigen Anmeldedaten oder SSO in das Konzept, keine Keys in Konfigurationsdateien.

6. Regeln per SCP erzwingen. Zwei Service Control Policies sind aus unserer Sicht Pflicht. Erstens eine Regel, die den Datenmodus über den Condition Key bedrock:DataRetentionMode festlegt, damit niemand versehentlich Fable mit Speicherung freischaltet. Zweitens eine Regionsbeschränkung auf die EU. Aber Vorsicht: Laut AWS scheitert eine Anfrage mit Cross-Region-Profil, wenn auch nur eine Zielregion des Profils per SCP gesperrt ist.

So kann eine SCP aussehen, die Aufrufe mit einem anderen Datenmodus als none verbietet. Prüfen Sie die genauen Werte gegen die aktuelle AWS-Doku zur Datenaufbewahrung:

{
  "Version": "2012-10-17",
  "Statement": [{
    "Sid": "NurOhneDatenspeicherung",
    "Effect": "Deny",
    "Action": ["bedrock:*", "bedrock-mantle:*"],
    "Resource": "*",
    "Condition": {
      "StringNotEqualsIfExists": {
        "bedrock:DataRetentionMode": "none",
        "bedrock-mantle:DataRetentionMode": "none"
      }
    }
  }]
}

Punkt 7 bis 9: Protokollierung, Filter, Kosten

7. Protokollierung bewusst entscheiden. Das Model Invocation Logging ist standardmäßig aus. Wer es einschaltet, speichert Prompts und Antworten in CloudWatch Logs oder S3, im selben Account und in derselben Region, bis die Konfiguration gelöscht wird. Das ist gut für Nachvollziehbarkeit und schlecht für Datensparsamkeit. Die Entscheidung gehört in das Sicherheitskonzept, nicht in die Voreinstellung eines Entwicklers.

8. Guardrails für Inhalte. Amazon Bedrock Guardrails filtern Inhalte und sperren Themen. Für Claude Code werden sie über ANTHROPIC_CUSTOM_HEADERS mit den Headern X-Amzn-Bedrock-GuardrailIdentifier und X-Amzn-Bedrock-GuardrailVersion eingebunden. Wer Cross-Region-Profile nutzt, muss Cross-Region-Inferenz auch auf dem Guardrail aktivieren.

9. Kosten je Nutzer sichtbar. Bedrock erfasst die IAM-Identität jedes Aufrufs automatisch, die Daten fließen in Cost Explorer und Cost and Usage Reports. Mit Application Inference Profiles lassen sich zusätzlich Kostenstellen-Tags je Modell vergeben. Für die Security ist das mehr als ein Controlling-Thema: Ungewöhnlicher Verbrauch ist oft das erste Zeichen für einen geleakten Schlüssel.

Punkt 10: Den richtigen Endpunkt wählen

Hier liegt die Falle, die in keinem Fragebogen steht. Bedrock hat zwei Endpunkte für Claude, und sie können nicht dasselbe:

Wer Einzelregion will, verliert Logging und Guardrails. Wer Logging und Guardrails will, bekommt das eu.-Profil, also Verarbeitung verteilt über mehrere EU-Regionen. Beides zugleich gibt es für aktuelle Claude-Modelle auf Bedrock nicht. Das ist keine Schwäche, die man verschweigen sollte, sondern genau die Art Entscheidung, die eine Security-Abteilung treffen will, bevor sie unterschreibt.

Was bleibt: die Punkte, die kein Setting löst

Auch mit allen zehn Punkten bleiben Fragen, die Security und Datenschutz selbst bewerten müssen. AWS ist ein US-Unternehmen, der CLOUD Act gilt unabhängig vom Standort. Das bewerten wir im Beitrag Claude und der CLOUD Act. Und die Sicherheit der Anwendungen, die Claude nutzen, ist eine eigene Baustelle: Prompt Injection, Rechte von Agenten, Zugriff auf interne Systeme über MCP-Server.

Unsere Empfehlung für die Reihenfolge: erst den Rahmen auf Bedrock bauen und freigeben lassen, dann die Anwendungen einzeln bewerten. Wer beides in einem Assessment mischt, bekommt die Monate, über die sich alle beschweren.

Häufig gestellte Fragen

Ist Claude sicher für Unternehmensdaten?

Das hängt vom Zugang ab. Auf Amazon Bedrock trainiert niemand mit den Daten, Anthropic hat keinen Zugriff, und Ein- und Ausgaben werden standardmäßig nicht gespeichert, außer bei Fable 5 und 5.1. Entscheidend ist der Rahmen: Netzwerk, Rechte, Regeln und Protokollierung.

Sieht Anthropic meine Daten, wenn ich Claude über Bedrock nutze?

Nein. Laut AWS-Doku haben die Modellanbieter keinen Zugriff auf die Konten, in denen Bedrock läuft, und damit weder auf Logs noch auf Prompts und Antworten. Inhalte werden nicht mit Modellanbietern geteilt und nicht zum Training genutzt.

Wie verhindere ich, dass Daten bei Bedrock gespeichert werden?

Standardmäßig speichert Bedrock für die meisten Claude-Modelle nichts. Mit einer Service Control Policy auf den Condition Key bedrock:DataRetentionMode lässt sich erzwingen, dass nur ohne Speicherung aufgerufen wird. Damit sind Modelle mit Pflichtspeicherung wie Fable faktisch gesperrt.

Funktionieren Guardrails mit Claude auf Bedrock?

Ja, auf dem Standard-Endpunkt bedrock-runtime. Auf dem Mantle-Endpunkt werden Guardrails laut AWS nicht unterstützt. In Claude Code werden sie über zusätzliche HTTP-Header in den Settings eingebunden.

Wie lange dauert eine Security-Freigabe für Claude?

Das hängt weniger von Claude ab als davon, ob der Rahmen schon steht. Liegen Account, PrivateLink, SCPs, Logging-Entscheidung und Guardrails dokumentiert vor, prüft die Security bekannte Bausteine statt eines unbekannten Dienstes. Das verkürzt die Freigabe erfahrungsgemäß deutlich.

Nächster Schritt

Verwandte Themen