Claude Duet for Teams: Was Admins tatsächlich steuern können

Die erste Frage, die ein IT-Team zu einer neuen Agent-App stellt, ist, ob sie auf einem verwalteten Laptop laufen kann. Für Claude Duet, Anthropics proaktiven, auf Claude Opus 5.5 aufbauenden Agenten, lautet die Antwort mit Stand 21. Oktober 2026, dass das Unternehmen zu diesem Thema nichts veröffentlicht hat. Es gibt keine Intune-Dokumentation, kein MDM-Profil, keinen Leitfaden zur Bereitstellung auf verwalteten Geräten und keine Angabe zur mobilen Geräteverwaltung – weder in der Ankündigung noch auf der Produktseite. Das ist eine Lücke in der Dokumentationslage und kein bekannter Defekt – doch sie gehört in die erste Zeile jeder internen Notiz, die diesen Monat verfasst wird, bevor jemand annimmt, die App sei bereitstellbar, weil sie als native Binärdatei ausgeliefert wird.

Was die Seiten tatsächlich beschreiben, ist eine Reihe von Kontrollen, die im Produkt selbst liegen und nicht darüber: im Umgang mit Anmeldedaten, in den Klassifikatoren, die Aktionen freigeben, und in der Liste der Dinge, die tabu bleiben, selbst wenn ein Benutzer auf Genehmigen klickt. Diese Kontrollen sind real und dokumentiert. Sie sind außerdem pro Benutzer und nicht pro Mandant angelegt, und genau das ist der Unterschied, der entscheidet, ob ein Sicherheitsteam eine teamweite Einführung absegnen kann oder nur einen individuellen Pilotversuch.

Was veröffentlicht ist und was einfach nicht da ist

Zur Verfügbarkeit gibt es wenig zu sagen. Duet ist eine Research Preview, nur in den Vereinigten Staaten verfügbar, in den Pro- und Max-Plänen enthalten und nutzt dieselben Nutzungslimits wie der Rest von Claude. Es läuft als eigenständige App auf iOS und Android sowie auf claude.ai. Anthropic hat kein Datum für die Verfügbarkeit in Team oder Enterprise veröffentlicht und auch keine Duet-spezifische API veröffentlicht — es ist eine Consumer-App, kein Plattformprodukt.

Darüber hinaus fehlt auf beiden Seiten eine Reihe von Punkten, nach denen ein Enterprise-Einkäufer normalerweise suchen würde. Es gibt keine Duet-Administrationskonsole. Es gibt keinen Schalter auf Organisationsebene, um Duet für einen Mandanten ein- oder auszuschalten. Es gibt keine Aussage zu SAML-Single-Sign-on oder SCIM-Bereitstellung für die App. Es gibt keinen Export von Audit-Logs, keinen Duet-spezifischen Aufbewahrungsplan und keine Dokumentation zur Bereitstellung auf verwalteten Geräten über Microsoft Intune oder ein anderes MDM. Nichts davon bedeutet, dass die Kontrollen intern nicht existieren; es bedeutet, dass ein Administrator sie nicht anführen kann und ein Beschaffungsfragebogen nicht auf ihrer Grundlage beantwortet werden kann.

Für Teams, die sich bereits auf verwaltete Geräte standardisiert haben, ist dies der praktische Blocker, und es lohnt sich, das klar zu sagen, statt es zu umgehen: Zum Zeitpunkt der Erstellung gibt es keinen veröffentlichten Weg, Claude Duet über die Geräteverwaltung bereitzustellen, zu konfigurieren oder aus der Ferne zu löschen. Ein Team, das dies vor der Einführung benötigt, wartet auf eine Dokumentation, die noch nicht existiert, nicht auf ein Feature-Flag, das jemand vergessen hat zu erwähnen.

Das Credential-Design ist die stärkste veröffentlichte Behauptung.

Der nützlichste Absatz auf der Duet-Seite für IT-Leser handelt von Passwörtern. Anthropic sagt, der Umgang von Claude Duet mit Anmeldedaten „folgt dem Design, das wir für Claude Managed Agents verwenden, sodass er Ihre Passwörter oder Anmelde-Tokens nie direkt sieht.“ Aus Sicht eines Administrators gelesen ist das eine Aussage über den Blast Radius: Die App ist kein Speicher für Anmeldedaten, daher gibt eine Kompromittierung der App keinen Satz wiederverwendbarer Geheimnisse preis, die dann über jeden verbundenen Dienst hinweg rotiert werden müssten.

Dasselbe Design zeigt sich bei Zahlungen. Käufe laufen über Stripes digitale Wallet Link, wo Duet den Artikel bestätigt, Link den Nutzer um Genehmigung der Ausgabe bittet und die Zahlung über eine virtuelle Karte abgewickelt wird, sodass die echte Kartennummer nicht weitergegeben wird. Shopify's Shop Pay wird nach demselben Muster unterstützt, und Anthropic sagt, dass die Anmeldung bei Websites mit in 1Password gespeicherten Logins kommt. Das Muster ist konsistent – die App bittet eine Wallet oder einen Passwortmanager zu handeln, anstatt das Geheimnis selbst zu verwahren.

Eine Konsequenz, die eher der Finanzabteilung als der IT gemeldet werden sollte: Die Ausgabenfreigabe in diesem Ablauf gehört zur Wallet der einzelnen Person, nicht zu einer organisatorischen Richtlinie. Ein Kartenlimit ist eine Link-Einstellung. Es ist keine Duet-Einstellung, und nichts auf der Seite deutet darauf hin, dass ein Administrator sehen oder begrenzen kann, was die Duet-Sitzung eines Nutzers ausgibt.

Zwei Klassifikatoren und eine Liste von Dingen, die es nicht tun wird

Duet wird mit einer eigenen Sicherheitsebene ausgeliefert, die auf der Seite ausführlicher beschrieben wird, als es die meisten Launch-Beiträge schaffen. Ein dedizierter Klassifikator und ein Sicherheitssystem-Prompt prüfen jede Nachricht und schützen vor der Offenlegung sensibler Informationen. Die Design-Absicht besteht darin, Anfragen abzulehnen, „die strengste Informationsstufe, einschließlich Kreditkartennummern und staatlicher Ausweisdokumente“, weiterzugeben. Andere sensible Materialien wie Gesundheitsinformationen oder persönliche Finanzen werden nur durchgelassen, wenn der Nutzer Duet ausdrücklich angewiesen hat, sie zu senden.

Aktionen sind separat abgesichert. Anthropic zufolge werden Aktionen von seinem Auto-Mode-Klassifikator genehmigt, „dieselbe Schutzmaßnahme, die Claude und Claude Code davor bewahrt, Schritte zu unternehmen, um die du nicht gebeten hast." Darüber hinaus gibt es ein menschliches Gate: Bevor Duet eine Nachricht sendet, eine Zahlung leistet, ein Dokument unterschreibt oder irgendetwas löscht, zeigt es an, was es zu tun beabsichtigt, und wartet.

Dann gibt es den Teil, der bei einer Richtlinienprüfung am wichtigsten ist – die Aktionen, die unabhängig von der Zustimmung abgelehnt werden. Anthropic nennt zwei: den Handel mit Wertpapieren und das Verschieben von Geld zwischen Konten. Diese sind selbst mit Genehmigung tabu. Nutzer können außerdem jede App trennen, auf die Duet Zugriff hat, was dem am nächsten kommt, was die Seite als Kill Switch pro Verbindung beschreibt.

Die Absicherung hinter all dem wird auf einem Niveau dargestellt, mit dem ein Sicherheitsteam arbeiten kann, das es aber nicht prüfen kann: Red Teams innerhalb von Anthropic und ein externes Unternehmen haben Duet per Penetrationstest geprüft, die Prompt-Injection-Abwehr stützt sich auf die Browser-Nutzungsforschung des Unternehmens, und das Produkt ist durch das öffentliche Bug-Bounty-Programm abgedeckt. Das ist eine vernünftige Sicherheitshaltung für eine Forschungsvorschau. Es ist kein Bericht, und es wurde kein Bericht veröffentlicht.

Die auf Organisationsebene vorhandenen Steuerelemente gehören zu Cowork

Anthropic verkauft tatsächlich eine Administration für ein Agentenprodukt, und sie ist recht ausführlich dokumentiert – allerdings auf der Cowork-Seite, nicht auf der Duet-Seite. Es wäre einfach, diese Steuerelemente auf Duet zu übertragen, und es wäre falsch, daher hier die Abgrenzung.

Für Cowork können Admins das Produkt in den Admin Settings für ihre Organisation deaktivieren und den Zugriff teamübergreifend mit rollenbasierten Zugriffskontrollen verwalten. In den Tarifen Teams und Enterprise legen Admins den Zugriff nach Team fest, verwalten Ausgabenlimits und steuern Tool-Berechtigungen nach Abteilung, wobei Aktivitäten über OpenTelemetry an ein SIEM gestreamt werden. Enterprise ergänzt Admin-Kontrollen, Nutzungsanalysen, eine Analytics API und OpenTelemetry-Observability, und auf der Seite wird darauf hingewiesen, dass Enterprise-Admins Berechtigungen entsprechend ihren Sicherheitsanforderungen konfigurieren können. Cowork stellt außerdem Berechtigungseinstellungen bereit, sodass der Agent seinen Plan anzeigt und vor allen bedeutenden Aktionen wartet, und Löschungen erfordern stets eine Genehmigung.

Das ist eine vollständige Tenant-Story: ein Umschalter, ein Rollenmodell, eine Ausgabenkontrolle, eine abteilungsbezogene Berechtigungsgrenze und ein Telemetriepfad. Es ist genau die Checkliste, die ein Enterprise-Reviewer zu Duet mitbringen würde. Nichts davon wird für Duet genannt. Die naheliegende Schlussfolgerung ist, dass dieselbe administrative Maschinerie irgendwann auf das neuere Produkt ausgeweitet wird, da beide Agenten desselben Unternehmens auf denselben Account-Plänen sind – aber das ist eine Schlussfolgerung, und keine Seite sagt das. Ein Administrator, der eine Kontrollbewertung verfasst, sollte die Cowork-Kontrollen als zu Cowork gehörend erfassen und die organisatorischen Kontrollen von Duet als unveröffentlicht erfassen.

Die Abrechnung ist die Frage, die der Einkauf als Zweites stellt.

Duet ist in der Vorschau in Pro und Max enthalten, mit denselben Nutzungslimits wie beim Rest von Claude. Die Produktseite von Anthropic führt Pro mit 17 US-Dollar pro Monat bei jährlicher Abrechnung (200 US-Dollar im Voraus) oder 20 US-Dollar bei monatlicher Abrechnung auf, Max 5x mit 100 US-Dollar pro Monat, Max 20x mit 200 US-Dollar pro Monat und Team mit 20 US-Dollar pro Sitzplatz pro Monat für 2 bis 150 Personen. Was dort nicht steht, ist, dass Duet für Team verfügbar ist. Die Seite stellt ausdrücklich klar, dass die Vorschau Pro und Max umfasst, und zwar in den USA.

Das Nutzungsdetail ist folgenreicher als der Listenpreis. Duets Hintergrundprüfungen werden auf dieselben Limits angerechnet wie alles andere, und größere Aufgaben „erfordern mehr Modellrunden und Hintergrundarbeit“. Ein Agent, der alle paar Stunden verbundene Konten prüft, verbraucht konstruktionsbedingt fortlaufend. Für eine Einzelperson ist das ein Planlimit. Für ein Team ist es ein Budgetierungsproblem, für das keine administrative Antwort veröffentlicht ist – es gibt keine Duet-SKU pro Arbeitsplatz, keinen veröffentlichten Enterprise-Tarif und keine Konsole, in der ein Manager sehen könnte, was der Agent eines Mitarbeiters verbraucht hat. Anthropics eigene Warnung auf der Cowork-Seite, dass agentische Arbeit Limits schneller verbraucht als Chat, gilt umso stärker für ein Produkt, dessen gesamte Prämisse darin besteht, zu arbeiten, während man selbst nicht da ist.

Was sich ein Pilot ansehen kann, ohne auf eine Beschaffungsentscheidung zu warten

Es gibt eine saubere Trennung, die es wert ist, benannt zu werden, denn sie löst den Großteil der obigen Sackgasse. Claude Duet ist die geschlossene Oberfläche eines Anbieters: eine App, in zwei Consumer-Tarifen, in einem Land, hinter einer Warteschlange. Das Modell, um das herum sie gebaut wurde, ist es nicht. Claude Opus 5.5 ist heute über eine API erreichbar, was bedeutet, dass ein Team, das Nachweise dafür möchte, wie sich das Modell bei seiner eigenen Arbeit verhält, diese erhalten kann, ohne eine MDM-Entscheidung, ein Tarif-Upgrade oder eine Sicherheitsprüfung einer App, für die es keine Admin-Dokumentation gibt.

OrcaRouter bietet Claude Opus 5.5 für 4,00 US-Dollar pro Million Eingabe-Tokens und 20,00 US-Dollar pro Million Ausgabe-Tokens, mit einem Kontextfenster von 1 Mio. Tokens und Cache-Lesevorgängen zu 0,20 US-Dollar pro Million. Es gibt keinen Aufschlag auf den Listenpreis des Anbieters, sodass eine Preisänderung des Anbieters noch am selben Tag bei uns ankommt, und ein OpenAI-kompatibler Schlüssel erreicht über 200 Modelle mit automatischem Failover zwischen Anbietern. Für einen Piloten ist die praktische Umsetzung unspektakulär: ein API-Schlüssel, ein vorhandener Client und eine Woche echter Aufgaben – ein weitaus günstigerer Weg, herauszufinden, ob ein auf diesem Modell basierender Agent für Ihr Team nützlich ist, als auf einer Warteliste zu warten, um es zu erfahren.

Um die Abgrenzung genau zu benennen – denn das ist die Art von Sache, die leicht missverstanden wird: OrcaRouter hostet weder Claude Duet noch Claude Cowork noch Claude Code noch Claude Security. Das sind Anthropic-Produkte. Was hier verfügbar ist, ist das Modell, das etwas anderes ist als die App, die darum herum gebaut ist – und bei einem Pilotprojekt oft der einzige Teil, den man testen musste.

Was ein Sicherheitsprüfer der Reihe nach lesen sollte

Vier Dokumente tragen die Argumentation, und alle vier sind unternehmenseigene Quellen. Das Trustworthy-Agents-Framework ist die Richtlinienebene, und Anthropic merkt an, dass es auch Claude Code und Claude in Chrome anleitet, sodass es die allgemeine Position des Unternehmens und nicht eine Duet-spezifische ist. Das Credential-Design von Claude Managed Agents ist die technische Grundlage für die Aussage „sieht niemals deine Passwörter“, und indem man es liest, entscheidet man, ob man dieser Aussage glaubt. Die Browser-Use-Forschung ist die Quelle der Prompt-Injection-Abwehrmaßnahmen, und sie ist das relevanteste Dokument für alle, die sich Sorgen machen, dass ein Agent im Auftrag eines Nutzers feindselige Webseiten liest. Das öffentliche Bug-Bounty-Programm ist die fortlaufende Absicherung, und sein Umfang zeigt, was Anthropic bereit ist testen zu lassen.

Anthropic hat erklärt, dass es „in den kommenden Tagen weitere Details dazu mitteilen wird, wie Claude Duet auf Sicherheit ausgelegt ist“. Dieses Dokument existierte zum Zeitpunkt des Verfassens dieses Textes noch nicht. Sobald es erscheint, ist es das Erste, was gelesen werden sollte, denn es ist die einzige erwartbare Quelle, die die Lücke zwischen „die Kontrollen werden beschrieben“ und „die Kontrollen sind spezifiziert“ schließen könnte.

Was würde diese Einschätzung ändern?

Vier Veröffentlichungen würden Duet von einem Einzeltool zu etwas machen, auf das ein Team standardisieren kann, und keine davon existiert bisher. Eine Admin-Oberfläche mit organisationsweitem Schalter und rollenbasiertem Zugriff, passend zu dem, was Cowork bereits dokumentiert. Eine Erklärung zur Identität – ob die App SAML-Single-Sign-on und SCIM-Bereitstellung unterstützt und wie der Zugriff eines ausscheidenden Mitarbeiters entzogen wird. Dokumentation zur Geräteverwaltung, die Intune oder ein anderes MDM abdeckt, einschließlich dessen, was ein Remote-Wipe tatsächlich entfernt. Und ein Verfügbarkeitsdatum für Team oder Enterprise samt Preis.

Bis eines davon auftaucht, ist die zutreffende interne Zusammenfassung kurz: Die Steuerungen auf Benutzerebene sind für eine Vorschau ungewöhnlich gut dokumentiert, die Steuerungen auf Mandantenebene sind überhaupt nicht veröffentlicht, und die Bereitstellungsfrage hat keine dokumentierte Antwort. Ein Sicherheitsteam, das das jetzt festhält, muss später nicht zurückrudern, und ein Team, das das zugrunde liegende Modell bewerten möchte, muss auf nichts davon warten.