Erste Schritte mit Claude Security



Claude Security ist eine in Claude.ai integrierte Funktion, die deine Codebasen kontinuierlich auf Sicherheitslücken überwacht, jedes Ergebnis verfolgt, bis es behoben ist, und gezielte Software-Patches zur Überprüfung vorschlägt, sodass du und dein Team Sicherheitsprobleme finden und beheben können, die traditionelle Methoden oft übersehen. Es handelt sich um eine Beta-Funktion, die für Claude Enterprise-Konten verfügbar ist.

Die meisten Engineering-Teams haben nicht die Reviewer-Stunden und Fähigkeiten, um komplexe Schwachstellen bei jeder Änderung zu identifizieren, und viele Probleme sind ohne eine sicherheitsorientierte Denkweise leicht zu übersehen. Claude Security hilft, diese Lücke zu schließen: Es scannt deine Codebasis, hebt die tatsächlich wichtigen Probleme hervor und schlägt Patches vor, die du oder dein Team überprüfen und anwenden können. Claude Security läuft auf unserer gesamten Modellfamilie, einschließlich Claude Mythos, und erfordert keinen Zugang zum Cyber Verification Program.

Dieser Leitfaden behandelt alles, was du benötigst, um Claude Security einzurichten, dein erstes Projekt zu erstellen, Ergebnisse zu überprüfen und Tipps für die fortlaufende Nutzung zu finden.

Voraussetzungen

Bevor du Claude Security verwenden kannst, müssen die folgenden Voraussetzungen erfüllt sein:

• Berechtigte Pläne: Deine Organisation muss ein aktives Claude Enterprise-Konto haben.
• Zugriff auf deine Repositories:
  • Für Repositories auf GitHub muss dein Administrator die Claude GitHub-App installiert und ihr Zugriff auf die Repositories gewährt haben, die du scannen möchtest, und jede Person, die ein Repository hinzufügt, muss ihr eigenes GitHub-Konto mit Claude verbinden. Dies ist dieselbe Claude GitHub-App, die für Claude Code in the cloud verwendet wird.
  • Für GitHub Enterprise Server muss die App auf deiner GHES-Instanz installiert sein, und diese Instanz muss bereits mit Claude Code in the cloud verbunden sein.
• Für Repositories, die bei anderen Git-Anbietern gehostet werden (z. B. GitLab, BitBucket usw.), benötigst du die Adresse des Repositorys und ein Auth-Token.
• Berechtigung zum Erstellen von Projekten: Admins können festlegen, welche RBAC-Rollen Claude Security-Projekte erstellen können.
• Nutzer-Sitzplätze: Jede Person, die Claude Security nutzt, benötigt einen Sitzplatz, der Claude Code enthält (welche Sitzplätze Claude Code enthalten).
• Claude Code in the cloud (optional): Ermöglicht es Nutzern, vorgeschlagene Fixes mit Claude Code in the cloud auszuführen. Ohne diese Funktion kopieren sie einen Prompt in ihr eigenes Claude Code.

Einrichtung

Wenn deine Organisation Claude Code in the cloud bereits nutzt, ist der Großteil der Einrichtung bereits abgeschlossen. Hier ist, was du bestätigen musst:

1. Prüfe die Abrechnung. Scans werden zu den direkten Token-Kosten abgerechnet, ohne zusätzliche Plattformgebühr. Wenn dein Plan Standard- und Premium-Sitzplätze hat, aktiviere zuerst Nutzungsguthaben (Anleitung). Bei anderen Enterprise Plänen siehe Wie wird mein Enterprise Plan abgerechnet?. Die Kosten skalieren mit der Größe deiner Repositories und damit, wie oft sie sich ändern, also lege Ausgabenlimits fest, die deinem erwarteten Nutzungsverhalten entsprechen. Nachdem Claude Security aktiviert wurde, kannst du auch ein separates Ausgabenlimit für die Funktion festlegen.
2. Gib Claude Zugriff auf deine GitHub-Repositories. Installiere die Claude GitHub-App in den Repositories, die du scannen möchtest (in einer GitHub-Organisation muss möglicherweise ein Inhaber dieser Organisation sie genehmigen), und aktiviere den GitHub connector unter Organization settings > Connectors. Für GitHub Enterprise Server folge dem Leitfaden für GitHub Enterprise Server. Für Repositories, die auf anderen Git-Servern gehostet werden, erstelle ein Auth-Token für die Repositories, die du hinzufügen möchtest.
3. Aktiviere die Funktion Claude Security in der Admin-Konsole: http://claude.ai/admin-settings/claude-security
4. Konfiguriere Zugriff und Capabilities. Admins können festlegen, welche RBAC-Rollen Projekte erstellen können und wer alle Projekte ansehen, triagieren oder verwalten kann, indem sie die Capabilities in benutzerdefinierten Rollen konfigurieren.
5. Aktiviere Claude Code in the cloud (optional). Damit können Nutzer Fixes in der Cloud ausführen. Ansonsten ist es optional.

Jede Person, die Claude Security nutzt, verbindet außerdem ihr eigenes GitHub-Konto mit Claude (so prüfst du das).

Ein Projekt erstellen

Sobald Claude Security aktiviert ist, ist das Erstellen eines Projekts unkompliziert:

1. Navigiere über Claude.ai zu Claude Security. Gehe zu claude.ai und klicke auf das Sicherheitssymbol in der linken Seitenleiste, oder gehe zu claude.ai/security.
2. Klicke auf „New project“ und gib dem Projekt einen Namen. Ein Projekt ist die Einheit für Zugriffskontrolle und Abrechnung.
3. Füge Repositories hinzu. Verbinde bis zu acht Repositories von GitHub oder anderen Git-Anbietern. Für jedes Repository kannst du optional einen Branch, einen Ordnerbereich und ausgeschlossene Ordner festlegen.
4. Ergänze, was der Code nicht zeigen kann (optional). Teile Claude mit, wie dein Code bereitgestellt wird, wer ihn erreichen kann und welche Risiken du akzeptiert hast, als Notizen oder als Dokumente wie Architekturdokumente. Du kannst sie später bearbeiten.
5. Erstelle das Projekt. Klicke auf „Create project“. Claude liest den Code, erstellt ein Bedrohungsmodell und führt einen gründlichen Baseline-Scan aus. Je nach Größe der Repositories kann der Baseline-Scan mehrere Minuten oder Stunden dauern, und du kannst die Seite verlassen, während er läuft.
6. Überprüfe die Ergebnisse. Ergebnisse erscheinen im Findings-Tab des Projekts, sobald Claude sie meldet, mit Details einschließlich Schwachstellentyp, Schweregrad, betroffener Datei und Zeile sowie einer Beschreibung des Problems.

Danach prüft Claude auf neue Commits und scannt kontinuierlich nach Schwachstellen.

Ergebnisse überprüfen und darauf reagieren

Der Findings-Tab eines Projekts listet seine offenen Ergebnisse auf. Du hast für jedes Ergebnis mehrere Optionen:

• Details überprüfen. Jedes Ergebnis enthält eine Beschreibung der Schwachstelle, die betroffenen Code-Standorte, die Belege und die Begründung dafür sowie einen vorgeschlagenen Fix. Du kannst Claude im Chat des Projekts auch zu einem Ergebnis befragen.
• Einen Fix starten. Klicke bei einem Ergebnis auf „Fix“, um Claude Code zu öffnen und diese spezifische Schwachstelle zu beheben.
• Ein Ergebnis triagieren. Markiere es als behoben oder verwirf es als Fehlalarm, als akzeptiertes Risiko, als Duplikat oder aus einem anderen Grund.
• Fixes verfolgen. Claude gleicht offene Ergebnisse mit dem geänderten Code ab und markiert sie als behoben, sobald der Fix übernommen wurde. Ein als behoben markiertes Ergebnis wird automatisch wieder geöffnet, wenn Claude das Problem später erneut findet.
• Ergebnisse exportieren. Um Ergebnisse in deine eigenen Tracking- und Benachrichtigungssysteme zu exportieren, nutze die Claude Security API, den Claude Security-Konnektor oder Webhooks.

Ergebnisse werden nach Schweregrad kategorisiert, um dir zu helfen, deine Behebungsbemühungen zu priorisieren. Wir empfehlen, mit den Elementen mit der höchsten Priorität zu beginnen und die Liste durchzuarbeiten.

Tipps für die fortlaufende Nutzung

Diese Tipps erleichtern die fortlaufende Nutzung.

Projekte einrichten

• Bündle zusammengehörige Repositories in einem Projekt: Erstelle ein Projekt pro Service oder Team, damit Ergebnisse zuordenbar bleiben und Reviewer sich nicht durch Ergebnisse arbeiten müssen, die jemand anderem gehören. Lege Repositories, die zusammenarbeiten, etwa ein Backend und seine Client-App, in dasselbe Projekt, damit Claude Probleme über sie hinweg nachverfolgen kann. Ein Projekt kann bis zu acht Repositories von GitHub oder anderen Git-Anbietern enthalten.
• Grenze große Repositories ein: Lege bei großen Repositories und Monorepos für jedes Repository einen Ordnerbereich fest und schließe die Ordner aus, die nicht abgedeckt werden müssen. Ein engerer Umfang erhöht den Determinismus und fokussiert Claudes Aufmerksamkeit. Claude kann weiterhin die Logik nachvollziehen und bei Bedarf Kontext aus der breiteren Codebasis, einschließlich ausgeschlossener Ordner, heranziehen.
• Ergänze, was der Code nicht zeigen kann: Teile Claude mit, wie dein Code bereitgestellt wird, wer ihn erreichen kann und welche Risiken du akzeptiert hast. Claude hält dies im Bedrohungsmodell jedes Projekts fest und nutzt es, um zu entscheiden, was gemeldet und wie es eingestuft wird. Um das Bedrohungsmodell zu lesen und zu bearbeiten oder Dokumente wie Architekturdokumente hinzuzufügen, öffne den Resources-Tab des Projekts. Personen mit der Rolle „Full“ können sie bearbeiten.

Triagieren und zusammenarbeiten

• Gib beim Triagieren einen Grund und eine Notiz an: Wenn du ein Ergebnis triagierst, wähle den Grund aus und füge eine Triage-Notiz hinzu, um eine Nachweiskette zu schaffen und zukünftigen Reviewern Kontext zu geben. Claude liest auch die Notizen zu verworfenen Ergebnissen und nutzt sie für das Projekt. Für Audit- und Compliance-Zwecke hält jedes Ergebnis außerdem in einer „History“ fest, wer es wann geändert hat.

• Teile Projekte mit Teammitgliedern: Klicke in einem Projekt auf „Share“, um bestimmten Mitgliedern eine Rolle zuzuweisen:

  • Full: Ergebnisse und Einstellungen verwalten sowie festlegen, wer Zugriff hat
  • Triage: Ergebnisse ansehen, ihren Status aktualisieren und Fixes starten
  • View: einfach informiert bleiben

  Du kannst ein Projekt auch mit deiner gesamten Organisation teilen.

Deine Tools verbinden

• Übernimm Ergebnisse mit der API in deine Systeme: Erstelle in den Claude Security-Einstellungen ein persönliches Zugriffstoken. Nutze dann die Claude Security API, um Ergebnisse in deine Ticketing-, Schwachstellenmanagement- und Reporting-Tools zu übernehmen und sie von dort aus zu erledigen, damit Triage und Status neben allem anderen bestehen, was das Team nutzt.
• Behebe und erledige Ergebnisse in einer Sitzung mit dem Konnektor: Mit dem Claude Security-Konnektor können Entwickler ein Ergebnis in Claude oder Claude Code aufrufen, es beheben und es in derselben Sitzung erledigen.
• Benachrichtige dein Team mit Webhooks: Erstelle in den Claude Security-Einstellungen Webhooks, um Ereignisse zu neuen Ergebnissen in Echtzeit an deine eigenen Systeme zu übermitteln. Verbinde sie mit Tools wie Slack oder Jira, damit die Triage beginnen kann, ohne dass jemand das Dashboard überprüfen muss.

Kosten und Zugriff verwalten

• Behalte die Kosten jedes Projekts im Blick: Öffne in den Einstellungen eines Projekts „Usage“, um seine Kosten seit Monatsbeginn und pro Tag zu sehen.
• Weite die Nutzung mit benutzerdefinierten Rollen auf weitere Teams aus: Admins können mit benutzerdefinierten Rollen festlegen, welche RBAC-Rollen Projekte erstellen können und wer alle Projekte ansehen, triagieren oder verwalten kann.