Claude Enterprise prüft Prompts jetzt vorab über Firmenserver
Inference Hooks schicken jeden Prompt an einen eigenen Prüfserver, bevor Claude ihn sieht. Die Beta greift auch bei Agenten und Werkzeugaufrufen.
Anthropic hat am 5. August 2026 eine Funktion namens Inference Hooks vorgestellt. Sie richtet sich an Unternehmen mit einem Claude-Enterprise-Vertrag und beantwortet eine Frage, die in jeder Einführungsdiskussion auftaucht: Was passiert, wenn jemand vertrauliche Daten in den Chat kopiert. Statt darauf zu hoffen, dass es nicht passiert, lässt sich jede Anfrage künftig von einem eigenen Server prüfen, bevor das Modell sie überhaupt zu sehen bekommt. Die Funktion ist als Beta verfügbar.
Wie die Prüfung abläuft
Sendet eine Mitarbeiterin einen Prompt, geht dieser nicht direkt an das Modell. Anthropic schickt zunächst eine HTTPS-Anfrage an einen Server, den das Unternehmen oder sein Sicherheitsdienstleister selbst betreibt. Im Rumpf dieser Anfrage steckt das Gesprächsprotokoll. Der Server bewertet den Inhalt und antwortet mit einem Urteil: erlauben oder ablehnen. Bei einer Ablehnung erreicht die Anfrage das Modell nie.
Für die Antwort gilt standardmäßig ein Zeitfenster von fünf Sekunden, das sich anpassen lässt. Signiert werden die Anfragen nach der Spezifikation Standard Webhooks, sodass der eigene Server nachprüfen kann, dass sie tatsächlich von Anthropic stammen.
Entscheidend für die Praxis ist der Ort der Prüfung: Sie läuft auf Anthropics Servern, nachdem die Anfrage das Gerät verlassen hat. Auf den Rechnern der Mitarbeiter muss nichts installiert werden.
Weil der Hook auf Anthropics Servern läuft, nachdem die Anfrage den Client verlassen hat und bevor das Modell startet, gilt er einheitlich für jede geprüfte Anfrage - ohne dass auf Endgeräten etwas installiert oder ausgerollt werden muss.
So beschreibt es die Dokumentation. Wird ein Prompt abgelehnt, sieht der Nutzer eine Sperrmeldung, die sich aus zwei Teilen zusammensetzt: der Begründung, die der Prüfserver für diesen Einzelfall mitgeliefert hat, und einem festen Text, den die Administratoren hinterlegen - etwa der Hinweis, an wen man sich für eine Ausnahme wendet. Jede Ablehnung landet zusätzlich im Aktivitätsprotokoll der Organisation.
Was der eigene Server zu sehen bekommt
Der Prüfserver sieht das, was auch der Nutzer sieht: den Text des Gesprächs, Werkzeugaufrufe samt Ergebnissen und den aus Anhängen extrahierten Text. Nicht übermittelt werden die Rohdaten von Dateien und Bildern, die System-Prompts sowie Anthropic-interner Kontext. Auch Nebenanfragen wie die automatische Titelgenerierung eines Chats werden nicht geprüft.
Daraus ergibt sich direkt eine Lücke, die Anthropic selbst benennt: Inhalte, die ausschließlich als Bild vorliegen, werden nicht inspiziert. Der Screenshot eines vertraulichen Dokuments passiert die Prüfung also unbeobachtet.
Die Kontrolle greift auch bei Agenten
Interessanter als der Chat ist der zweite Teil: Dieselbe Prüfung läuft bei Werkzeugaufrufen, einschließlich Verbindungen über MCP-Connectoren, Skills und Plugins. Eingerichtet wird sie einmal auf Ebene der Organisation und gilt dann für Gespräche in claude.ai, in Cowork und in Claude-Code-Sitzungen - im Browser, in der Desktop-App und auf der Kommandozeile.
Nicht abgedeckt sind der Sprachmodus sowie der Zugang über Amazon Bedrock und Google Cloud. Ebenfalls außen vor bleiben Organisationen, die Claude über die Programmierschnittstelle der Plattform nutzen.
Was passiert, wenn der eigene Server ausfällt
Diese Frage entscheidet über den Betrieb. Ist der Prüfserver nicht erreichbar, liefert er einen Fehler oder antwortet er nicht rechtzeitig, greift eine Einstellung, die das Unternehmen selbst festlegt: Entweder wird die Anfrage blockiert, oder sie läuft ungeprüft durch.
Beides hat Konsequenzen. Blockieren bedeutet, dass ein Ausfall der eigenen Sicherheitsinfrastruktur die Arbeit mit Claude im ganzen Unternehmen anhält. Durchlassen bedeutet, dass die Schutzwirkung genau dann entfällt, wenn etwas nicht funktioniert. Die Entscheidung ist keine technische Feinheit, sondern eine Abwägung, die vor der Einführung getroffen und dokumentiert sein sollte.
Für den Einstieg gibt es drei Stellschrauben: Ein Schattenmodus beobachtet die Urteile im laufenden Betrieb, ohne etwas zu blockieren. Über einen Rollout-Prozentsatz lässt sich zunächst nur ein Teil der Anfragen prüfen. Und einzelne Rollen können ganz ausgenommen werden.
Anschluss an vorhandene Systeme
Das Protokoll ist offen dokumentiert, das Schema veröffentlicht. Anthropic nennt Netskope, Palo Alto Networks, Proofpoint und Zscaler als Anbieter, deren Systeme sich als Prüfstelle verwenden lassen. Wer bereits eine Lösung zur Verhinderung von Datenabfluss betreibt, kann Claude auf denselben Server zeigen lassen. Alternativ lässt sich ein eigener Server bauen.
Neben der Prüfung vor der Ausführung nennt Anthropic weitere Einsatzzwecke für denselben Mechanismus: die laufende Archivierung von Gesprächsprotokollen, Auswertungen zur tatsächlichen Nutzung im Moment der Nutzung sowie eigene Regelwerke, etwa Freigabelisten für Modelle oder Beschränkungen auf Arbeitszeiten.
Aktuell existiert nur ein einziges Ereignis, das eine Prüfung auslöst: der Prompt, einmal pro geprüfter Anfrage, vor der Verarbeitung. Eine Kontrolle der Antwortseite ist angekündigt, aber noch nicht verfügbar. Und die Urteile kennen bislang nur zwei Werte - ein Umschreiben oder Schwärzen einzelner Passagen ist nicht vorgesehen. Ein Prompt geht entweder ganz durch oder gar nicht.
Was das für Ihr Unternehmen heißt
- Die Kontrolle rückt an eine Stelle, an der sie wirkt. Bisher hing der Schutz am Endgerät oder an einer Betriebsvereinbarung. Eine Prüfung, die zwischen Client und Modell sitzt, lässt sich nicht durch ein anderes Gerät oder einen privaten Zugang umgehen.
- Ohne eigenen Server bringt die Funktion nichts. Anthropic liefert die Schnittstelle, nicht die Regeln. Wer heute keine Lösung gegen Datenabfluss betreibt, muss erst eine aufbauen oder einkaufen - der Aufwand verschiebt sich zum Kunden.
- Klären Sie das Verhalten im Fehlerfall vorher. Blockieren oder durchlassen ist eine Grundsatzentscheidung zwischen Verfügbarkeit und Schutz. Sie gehört in die Richtlinie, nicht in eine Konfigurationsmaske.
- Bilder bleiben ein blinder Fleck. Solange nur Text geprüft wird, ist der Screenshot der einfachste Weg an der Kontrolle vorbei. Das ist ein Argument für Schulung, nicht gegen die Funktion.
- Der eigentliche Hebel liegt bei den Agenten. Dass auch Werkzeugaufrufe über MCP geprüft werden, ist der praktisch wichtigere Teil. Ein Agent, der auf Fachanwendungen zugreift, bewegt mehr Daten als jeder Chat.
- Nur mit Enterprise-Vertrag. Für kleinere Firmen mit Team-Tarif oder API-Zugang ist die Funktion nicht verfügbar. Dort bleibt es bei organisatorischen Regeln und der Auswahl der Zugänge.
Einordnung für die Praxis
Der Schritt ist bemerkenswert, weil er ein Zugeständnis enthält: Anthropic räumt ein, dass die Kontrolle darüber, was in ein Modell hineingeht, beim Kunden liegen muss und nicht beim Anbieter. Genau das ist der Punkt, an dem in Deutschland die meisten KI-Projekte hängen bleiben - nicht an der Leistungsfähigkeit der Modelle, sondern an der Frage, wie sich der Umgang mit Daten nachweisen lässt.
Für die Bewertung im eigenen Haus zählt weniger die Funktion selbst als die Vorarbeit: Welche Daten dürfen überhaupt in ein KI-Werkzeug, wer entscheidet über Ausnahmen, und wie wird das protokolliert. Wer diese Fragen beantwortet hat, kann eine solche Schnittstelle sinnvoll bestücken. Wer sie nicht beantwortet hat, bekommt einen Prüfserver, der alles durchwinkt. Wenn Sie das für Ihren Betrieb einmal sortieren möchten, sprechen Sie mich gern an.
