Claude Security ist in der öffentlichen Beta: Was „Scan to Fix“ verspricht – und was nicht

Das Sicherheitsprodukt von Anthropic ist jetzt eine öffentliche Beta für Claude Enterprise, und sein Ein-Satz-Pitch ist eher eine Abfolge als ein Adjektiv: vom Scan bis zur Behebung, nahtlos erledigt. Die Mechanik hinter diesem Satz steht klar auf der Produktseite: Claude durchsucht Ihre Codebasis mit Claude Mythos, validiert Funde und schlägt Patches vor, die Sie prüfen und freigeben können. Drei Verben, ein Modellname und eine Umfangsgrenze, die man leicht überliest: Dies ist eine Beta, und sie ist für Enterprise-Kunden gedacht, nicht für alle, die zufällig über ein Repository verfügen.

Die interessante Frage war nie, ob ein Sprachmodell eine Schwachstelle finden kann. Modelle tun das seit einer Weile, manchmal so gut, dass es den Menschen, die den Code geschrieben haben, peinlich ist. Die interessante Frage ist, was zwischen dem Moment, in dem ein Fund auftaucht, und dem Moment, in dem er geschlossen wird, passiert, denn in dieser Lücke leben Sicherheits-Backlogs: eine Warteschlange plausibler Probleme, von niemandem sortiert, allen zugewiesen, durch Zufall geschlossen. Anthropics Antwort ist eine Pipeline mit vier Stufen, und jede Stufe stellt eine Behauptung auf, die sich für sich genommen prüfen lässt.

Was “öffentliche Beta für Claude Enterprise” bedeutet

Die Verfügbarkeitszeile ist ungewöhnlich direkt und es lohnt sich, sie zu zitieren statt sie zu paraphrasieren: verfügbar in öffentlicher Beta für Claude Enterprise. Darunter stehen zwei Schaltflächen – Vertrieb kontaktieren und das Tutorial lesen. Keine davon ist ein Anmeldeformular. In der Praxis bedeutet das, dass der Käufer ein Unternehmen ist, das bereits eine Enterprise-Vereinbarung und ein Sicherheitsteam mit genug Gewicht hat, um einen neuen Scanner zu erbitten, und nicht ein einzelner Entwickler, der etwas auf ein Nebenprojekt richten möchte.

Es gibt einen zweiten, leichteren Einstieg. Das Claude Security-Plugin für Claude Code ist in der Beta-Phase. Es ist eine andere Software mit einer anderen Bereitstellungsgeschichte – Scannen, Validieren und Patchen innerhalb von Claude Code, während der Code in Ihrer Umgebung bleibt – und es ist die Version, die für ein Team entscheidend ist, dessen Hindernis nicht das Budget ist, sondern eine Regel dazu, wohin Quellcode gelangen darf.

Der Scan stoppt nicht

Das erste dokumentierte Verhalten ist der tiefe erste Scan: Claude führt ihn einmal über eine Codebasis aus und scannt dann weiter, während sich der Code ändert. Das ist ein kleiner Satz mit einer großen operativen Konsequenz. Ein einmaliger Scan ist ein Foto. Codebasen sind keine Fotos; sie sind Wetter. Ein Befund, der am Tag des Audits korrekt war und durch drei nachfolgende Merges halb behoben wurde, ist schlimmer als gar kein Befund, weil er die Aufmerksamkeit der Menschen bindet, die ihn erneut lesen müssen.

Kontinuierliches Scannen ist außerdem der Teil des Produkts, der am schwersten zu fälschen ist. Er erfordert, dass der Scanner versteht, welche Änderungen relevant sind, was eine andere Fähigkeit ist als das Finden einer Schwachstelle in einem statischen Baum. Die Seite beschreibt nicht, wie diese Priorisierung funktioniert, und dieser Artikel wird nicht darüber spekulieren.

Die eine Achse, auf der die Behauptung konkret ist

Anthropic behauptet, dass Claude Security Datenflüsse über Dateien und Repositories hinweg verfolgt, um Schwachstellen zu finden, die Pattern-Matching-Scanner möglicherweise nicht erkennen. Das ist die am besten überprüfbare Aussage in der gesamten Produktbeschreibung, weil sie einen Mechanismus statt ein Ergebnis benennt.

Pattern Matching sucht, wie der Name schon sagt, nach einer bekannt schlechten Form: ein Funktionsaufruf mit einem kontaminierten Argument, eine Zeichenkette, die in eine Abfrage eingefügt wird, eine bekannte unsichere API. Es ist schnell, es ist billig, und genau deshalb sind traditionelle Scanner gleichzeitig für zwei Dinge berühmt — dieselbe Fehlerklasse überall zu finden, wo sie auftritt, und das Team mit Befunden zu überhäufen, die sich als unerreichbar erweisen. Die Alternative besteht darin, einen Wert von seinem Eintritt ins System bis zu seiner Verwendung zu verfolgen, über die Grenzen zwischen Dateien und Diensten hinweg. Dort verstecken sich die echten Fehler, und dort wird die Analyse auch teuer, weil das Tool mehr Kontext halten muss, als in eine einzelne Funktion passt.

Beachten Sie jedoch die vorsichtige Formulierung im Satz. Könnte nicht erkennen. Das ist das richtige Wort, wenn ein Anbieter keinen Benchmark hat, auf den er verweisen kann, und es ist auch der Grund, warum diese Aussage an Ihrer eigenen Codebasis getestet werden sollte, statt sie als Eigenschaft des Produkts zu akzeptieren.

Adversariale Verifikation und ein Bedrohungsmodell, das Sie bearbeiten können

Die zweite Stufe ist diejenige, die auf das Falsch-positiv-Problem eingeht, das jedes Sicherheitsteam kennt. Jeder Befund durchläuft eine adversarische Überprüfung, bevor er das Team erreicht. Etwas versucht, den Befund zu entkräften, bevor ein Mensch ihn sieht: zu zeigen, dass die Eingabe den Sink tatsächlich nicht erreichen kann, dass der Pfad vorgelagert abgesichert ist oder dass es sich bei dem fraglichen Code um toten Code handelt.

Die zweite Hälfte desselben Satzes ist stillschweigend die interessanteste Designentscheidung auf der Seite. Ein Bedrohungsmodell, das Ihr Team bearbeiten kann, entscheidet, was es wert ist, markiert zu werden. Praktisch bringt das die Definition von Relevanz in die Hände des Kunden. Ein Scanner, der die Schwere selbst festlegt, liegt immer leicht daneben, weil Schwere kontextabhängig ist: Ein nicht authentifizierter Endpunkt in einem internen Admin-Tool ist ein anderes Problem als derselbe Endpunkt im öffentlichen Internet, und kein Anbieter kann wissen, welchen davon er gerade betrachtet. Zuzulassen, dass das Bedrohungsmodell bearbeitet werden kann, ist das ehrliche Eingeständnis dessen.

Es schafft auch Arbeit. Ein Bedrohungsmodell, das niemand pflegt, wird zu einem Filter, der die Dinge verbirgt, an die niemand gedacht hat – das Gegenteil dessen, wofür ein Scanner da ist. Den Nutzen daraus ziehen die Teams, die das Bedrohungsmodell als lebendes Dokument mit einem Verantwortlichen behandeln, so wie sie auch die Runbooks behandeln.

Ein Patch ist die Ausgabeeinheit.

Jeder Befund enthält einen empfohlenen Patch, den das Team prüfen und genehmigen kann, und Claude markiert den Befund als behoben, sobald der Fix ausgeliefert ist. In diesem Satz stecken zwei Behauptungen, und sie sollten getrennt werden.

Der erste Punkt ist, dass die Ausgabe eines Scans eine Änderung ist, kein Ticket. Das ist der Unterschied zwischen der Aussage gegenüber einer Entwicklerin bzw. einem Entwickler, dass der Code ein Problem hat, und der Aussage, wie der korrigierte Code aussieht. Es komprimiert den unerfreulichsten Teil der Sicherheitsarbeit – den Code anderer so gut zu verstehen, dass man ihn reparieren kann, ohne das zu beschädigen, was er bewirkt – und es komprimiert ihn für die Person, die den Code am wenigsten versteht. Das ist auch das Risiko: Ein Patch, der korrekt aussieht und das Review besteht, weil die prüfende Person müde war, ist ein neuer Bug mit einem grünen Häkchen.

Die zweite Aussage betrifft den Abschluss. Claude markiert einen Fund als behoben, sobald der Fix ausgeliefert ist, sodass Funde geschlossen werden, statt sich anzuhäufen. Ein Backlog ist kein Versagen der Erkennung. Er ist ein Versagen der Buchführung: Dieselbe Schwachstelle wird über sieben Scans hinweg sieben Mal gemeldet, und die Warteschlange wächst schneller, als irgendjemand sie abarbeiten kann. Einen Fund bis zu dem Commit zu verfolgen, der ihn behebt, ist der Mechanismus, der einen kontinuierlichen Scanner erträglich statt demoralisierend macht.

Anthropic stellt ausdrücklich klar, dass der Mensch eingebunden bleibt und jeder Patch geprüft und freigegeben werden muss. Wer dies einsetzt, sollte diesen Satz als tragenden Satz verstehen und nicht als den Haftungsausschluss am Ende.

Zwei Releases, eine Richtung

Claude Security ist nicht isoliert erschienen. Anthropic hat Code Review am 15. Oktober 2026 als allgemein verfügbar veröffentlicht, und die kontinuierlichen Scans plus das Fix-Tracking von Claude Security kamen am 21. Oktober 2026 als öffentliche Beta für Claude Enterprise. Zusammen betrachtet sagen die beiden etwas über die Richtung aus: Die Review entwickelt sich von einem Kontrollpunkt, den eine Änderung am Ende durchläuft, zu einem Prozess, der parallel zur Änderung läuft, während diese geschrieben wird. Die Tage zwischen diesen beiden Daten sind kurz genug, dass die Produkte als eine Geschichte darüber bewertet werden sollten, wohin die Sicherheitsarbeit geht, nicht als zwei unabhängige Releases.

Was nicht veröffentlicht wird – und die Zahl, die es klären würde

Die Liste der Unbekannten ist hier länger als die Liste der Behauptungen, und das ist für eine öffentliche Beta normal und kein Skandal. Wie viel einer Codebasis ein Scan abdeckt, wird nicht veröffentlicht. Die Scandauer wird nicht veröffentlicht. Falsch-Positiv-Raten werden nicht veröffentlicht. Erkennungs-Benchmarks werden nicht veröffentlicht. Es gibt keine unabhängige Bewertung. Die Preise pro Sitzplatz werden nicht veröffentlicht, und ebenso wenig die Liste der unterstützten Sprachen.

Von diesen ist der fehlende Erkennungs-Benchmark derjenige, der eine Kaufentscheidung verändert. Ohne ihn ist “fängt ab, was Pattern-Matching-Scanner übersehen” eine Richtungsaussage, die nicht mit dem Scanner verglichen werden kann, der bereits im Budget steht. Die Liste der unterstützten Sprachen ist der zweite Punkt: Ein polyglottes Repository ist in einem Unternehmen jeder Größe der Normalfall, und ein Scanner, der in drei Sprachen exzellent ist und in den anderen fünf fehlt, ist ein Scanner, der ein irreführendes Bild der Risikooberfläche erzeugt.

Nichts davon bedeutet, dass das Produkt nicht funktioniert. Es bedeutet, dass die Evaluierung durch den Käufer erfolgen muss, und zwar mit dem eigenen Code des Käufers, und dass eine Demo dafür nicht ausreicht.

Wie kann man es trotzdem bewerten?

Wenn Ihr Team es ausprobieren möchte, ist das nützliche Experiment nicht ein frisches Repository mit einer absichtlich eingebauten Schwachstelle. Es ist ein Repository, das bereits eine Geschichte hat: ein Dienst, der letztes Jahr einen Vorfall hatte, eine Bibliothek mit einer bekannten Schwachstelle, deren Behebung zwei Wochen dauerte, ein Modul, vor dem alle ein wenig Angst haben. Richten Sie den Scan darauf und vergleichen Sie, was er findet, mit den Erkenntnissen, die Ihr Team bereits festgehalten hat. Die Trefferquote bei bekannten Problemen ist messbar, selbst wenn ein Anbieter keinen Benchmark veröffentlicht hat, weil die Ground Truth in Ihrem eigenen Incident-Tracker liegt.

Zweitens: Achten Sie auf das Bedrohungsmodell. Wenn das Erste, was Ihr Team tut, darin besteht, die meisten Kategorien abzuschalten, um die Warteschlange zu reduzieren, haben Sie gelernt, dass das Standardmodell nicht zu dem Risiko passt, das Ihr Team tatsächlich trägt, und Sie sollten das Modell statt den Filter korrigieren. Drittens: Messen Sie den Schritt, der zählt: wie lange es von der Entdeckung eines Findings bis zum Merge eines Patches dauert. Diese Zahl gehört Ihnen, sie ist toolübergreifend vergleichbar, und sie ist diejenige, die das Produkt tatsächlich zu bewegen vorgibt.

Wo ein Router steht – und wo nicht

Es lohnt sich, die Grenze klar zu benennen. Claude Security ist eine Anwendung von Anthropic. Wir hosten sie nicht, wir verkaufen sie nicht, und wir können Ihnen nicht sagen, was sie in Ihrem Repository gefunden hat oder nicht. Der Scanner läuft auf Claude Mythos, und wir erheben keinen Anspruch darauf, dieses Modell zu hosten.

Was wir tun, ist Modelle zu betreiben. Ein OpenAI-kompatibler Endpunkt, ein Schlüssel, mehr als 200 Modelle dahinter, der Listenpreis der Anbieter wird ohne Aufschlag weitergegeben, und automatisches Failover zwischen Anbietern, wenn einer von ihnen instabil wird. Claude Opus 5.5 ist in diesem Katalog zu $4.00 pro Million Eingabe-Tokens und $20.00 pro Million Ausgabe-Tokens, mit einem 1-Million-Token-Kontext und Cache-Lesevorgängen zu $0.20 pro Million. Das ist eine Tatsache über unseren Katalog, keine Behauptung über den Scanner.

Relevant wird es bei dem Teil eines Sicherheitsprogramms, der kein Scanner ist: dem internen Tool, das tausend Befunde zu etwas zusammenfasst, das ein Mensch triagieren kann, dem Agenten, der den Sicherheitshinweis entwirft, dem Prüfschritt, den ein Team um seine eigenen Regeln herum bauen möchte. Das sind gewöhnliche Modellaufrufe, und ein Router ist ein vernünftiger Weg, sie umzusetzen, ohne einen Anbieter fest zu verdrahten. Die Routing-DSL ist wichtig, wenn ein Schritt ein kleines Modell für Volumen will und der nächste ein sorgfältiges für Urteilsvermögen; automatisches Failover ist wichtig, wenn der Aufruf in einer Pipeline sitzt, die um drei Uhr morgens läuft und niemand zusieht.

Was die Beta eigentlich von dir verlangt zu vertrauen

Blendet man das Framing aus, setzt das Produkt auf drei Wetten. Dass ein Modell, das über Code nachdenkt, Dinge findet, die Pattern Matching nicht findet. Dass ein adversarialer zweiter Durchgang ausreicht, um das Rauschen gering zu halten. Dass ein Befund erst abgeschlossen ist, wenn ein Patch ausgeliefert wird und die Warteschlange sich dahinter schließt. Die dritte Wette ist die am wenigsten glamouröse und die mit der größten Wahrscheinlichkeit, richtig zu sein, denn sie ist eine Aussage über den Prozess und nicht über Intelligenz.

Die erste Wette ist die, die getestet werden muss. Anthropic hat den Mechanismus veröffentlicht – die Datenflussverfolgung über Dateien und Repositories hinweg – und keine Zahl veröffentlicht, die zeigt, wie gut er funktioniert. Das ist kein Grund, das Produkt abzutun. Es ist ein Grund, es an einem Repository zu testen, dessen Historie Sie bereits kennen, und es anhand der Befunde zu beurteilen, die Sie überprüfen können, statt anhand derer, die in einer Demonstration beeindruckend wirken.