Claude Inference Hooks: Der eigene Server gibt jeden Prompt frei

Anthropic hat am 5. November 2026 ein Paket neuer Sicherheitsfunktionen für Claude Enterprise angekündigt, und das Spannendste daran sind die Claude Inference Hooks, die sofort allgemein verfügbar sind. Laut Ankündigung von Anthropic schickt Claude jeden Prompt und jeden Tool-Aufruf an den Server der Organisation und macht erst nach der Antwort „allow“ weiter.

Wie funktionieren die Claude Inference Hooks?

Laut Help Center gibt es zwei Arten von Prüfungen:

1. Prompt Hooks: Bevor Claude mit der Antwort beginnt, geht der Prompt an einen Server, den die Firma selbst betreibt. Der Server prüft ihn gegen die Richtlinien der Firma und antwortet mit allow oder deny.
2. Pre-Tool-Call Hooks: Dasselbe passiert mit jedem Tool-Aufruf, bevor das Tool läuft. Das gilt auch für Tools, die Skills, Plugins und verbundene Konnektoren aufrufen.

Interessant ist, dass die Prüfung in der Infrastruktur von Claude läuft und nicht auf den Laptops der Mitarbeitenden. Eine einzige Konfiguration wirkt deshalb in der ganzen Organisation: im Chat, in Claude Code, in Cowork und in den übrigen Produkten von Claude Enterprise. Einschalten können das nur Owner und Primary Owner.

Anthropic nennt drei typische Einsatzzwecke: DLP (Data Loss Prevention), Archivierung von Unterhaltungen in Echtzeit und die Durchsetzung eigener Firmenrichtlinien. Die technische Dokumentation (Implementierung des Endpoints, Prüfung der Anfragesignaturen) steht in der Dokumentation der Claude Platform.

Was ist sonst neu in Claude Enterprise?

Der Rest des Pakets ist in der Beta. Dazu gehören unter anderem:

1. Security Center, eine Seite in den Organization Settings, die die Einstellungen von Chat, Cowork und Claude Code mit der von Anthropic empfohlenen Konfiguration vergleicht. Für jede Kontrolle zeigt sie den aktuellen Wert, den empfohlenen Wert und einen Status, und sie bietet einen PDF-Bericht für Auditoren zum Download. Die Daten lassen sich auch über die Compliance API abrufen (Details im Help Center).
2. Centralized Management: Eine übergeordnete Organisation bekommt eine zentrale Konsole unter admin.claude.com für SSO, SCIM, Domain-Verifizierung, Gruppen und Compliance-API-Schlüssel, mit Unterstützung für mehrere Identity Provider.
3. EDR in Cowork: Admins können den EDR-Sensor (Endpoint Detection and Response) ihrer Firma in der virtuellen Maschine von Cowork auf dem Rechner der Nutzer laufen lassen. Claude prüft die Signatur des Sensorpakets bei jedem Start der VM.
4. Verwaltung von Claude Desktop ohne Konfiguration per MDM, darunter das Sperren privater Claude-Konten auf Firmenrechnern und die Einschränkung der nutzbaren Ordner.
5. Eine selbst verwaltete IP-Allowlist und das Abmelden eines Mitglieds der Organisation auf allen Geräten über die Admin API. Beides habe ich separat im Beitrag zur Claude IP-Allowlist beschrieben.

Worauf sollten wir achten?

Erstens darauf, was in der Dokumentation fehlt. Die Seite zu den Inference Hooks beschreibt „allow“ und „deny“, sagt aber nicht, was passiert, wenn unser Server nicht antwortet oder nicht erreichbar ist (prüfen wir das in der technischen Dokumentation, bevor wir den Hook für die ganze Firma aktivieren). Zahlen oder Namen unterstützter DLP-Anbieter gibt es dort auch nicht.

Zweitens auf die Grenzen des Security Centers. Laut Anthropic sind das Empfehlungen und kein Zertifikat: „guidance based on Anthropic’s recommendations, not a certification or a guarantee of compliance“. Die Seite zeigt Einstellungen nur an und ändert sie nicht, und einige davon (etwa aus MDM oder einem Proxy) kann sie nicht auslesen, also muss sie jemand von Hand bestätigen.

Drittens auf Details der neuen Funktionen. Ein Centralized Management lässt sich nicht rückgängig machen, deshalb rät Anthropic, zuerst festzulegen, wer Admin der übergeordneten Organisation wird. Die EDR-Sensoren arbeiten wiederum im Erkennungsmodus: Sie melden Aktivitäten, blockieren sie aber nicht, und sie decken nur die lokale VM ab, nicht die Cowork-Sitzungen in der Cloud.

Ist das etwas Neues in der KI-Welt?

Hooks kennen wir aus Claude Code: Skripte, die unter anderem vor der Nutzung eines Tools laufen. Hier wandert dieselbe Idee auf die Ebene der ganzen Organisation und läuft auf der Seite von Anthropic, ohne dass bei den Mitarbeitenden etwas installiert werden muss. Bei Agenten, die selbst Tools aufrufen, ist das eine sinnvolle Richtung, wie ich im Leitfaden zur Sicherheit von KI-Agenten geschrieben habe. Wer gerade erst einsteigt, fängt am besten mit dem Text Was ist ein KI-Agent an.

FAQ

Wer kann die Inference Hooks in Claude nutzen?

Organisationen im Plan Claude Enterprise. Die Funktion ist allgemein verfügbar, einschalten und verwalten können sie Owner und Primary Owner.

Muss für die Inference Hooks etwas auf den Rechnern installiert werden?

Nein. Laut Help Center läuft die Prüfung in der Infrastruktur von Claude, und die Firma betreibt nur einen Server, der mit „allow“ oder „deny“ antwortet.

Ist das Security Center ein Compliance-Zertifikat?

Nein. Anthropic betont, dass weder die Seite noch ihr PDF-Bericht ein Sicherheitszertifikat ist, sondern nur ein Vergleich mit der empfohlenen Konfiguration.