Compliance API – FAQ

Bei einer Claude Enterprise-Organisation aktiviert der primäre Eigentümer die Compliance API unter claude.ai > Organisationseinstellungen > API, und die Aktivierung wird von der übergeordneten Organisation an jede verknüpfte Organisation weitergegeben. Bei einer berechtigten eigenständigen Claude Console-Organisation (einer ohne übergeordnete Organisation) aktiviert ein Organisationsadministrator sie unter Claude Console > Settings > Security. Eine Claude Console-Organisation, die mit einer übergeordneten Organisation verknüpft ist, aktiviert die Compliance API nicht selbst; sie wird von der übergeordneten Organisation aus aktiviert. Die Schritte findest du unter Die Compliance API einrichten.

Ja. Bei einer eigenständigen Claude Console-Organisation kann ein Organisationsadministrator den Schalter Compliance API unter Claude Console > Settings > Security ausschalten, also an derselben Stelle, an der er eingeschaltet wird. Solange die Compliance API ausgeschaltet ist, werden für deine Organisation keine Aktivitätsereignisse aufgezeichnet, sodass der Activity Feed keine neuen Ereignisse erhält. Wenn deine Organisation für Access Transparency registriert ist, stoppt das Ausschalten der Compliance API auch die Zustellung von Access Transparency-Ereignissen. Aktivitäten, die nicht aufgezeichnet werden, während die Compliance API ausgeschaltet ist, können später nicht wiederhergestellt werden. Wenn du die Compliance API wieder einschaltest, wird die Aufzeichnung ab diesem Zeitpunkt fortgesetzt; bereits aufgezeichnete Aktivitäten werden nicht gelöscht.

Nein. Das Ausschalten der Compliance API stoppt die Aufzeichnung neuer Aktivitätsereignisse, löscht aber keine Ereignisse, die bereits erfasst wurden, während sie eingeschaltet war. Die Aufzeichnung wird ab dem Zeitpunkt fortgesetzt, an dem die Compliance API wieder eingeschaltet wird.

Ja. Wenn die Compliance API in Claude Console ausgeschaltet (oder wieder eingeschaltet) wird, wird die Änderung als Aktivität org_compliance_api_settings_updated im Activity Feed aufgezeichnet, sodass dein Audit-Trail zeigt, wer die Einstellung wann geändert hat. Diese Aktivität ist eine Ausnahme vom Aufzeichnungsstopp: Die Deaktivierung wird aufgezeichnet, obwohl keine anderen Aktivitäten aufgezeichnet werden, solange die Compliance API ausgeschaltet ist.

Das ist erwartetes Verhalten. Eine übergeordnete Claude Enterprise-Organisation zentralisiert die Identität über alle verknüpften Organisationen hinweg; sie trägt keine Workloads und erscheint überhaupt nicht in Claude Console. Claude Console zeigt immer nur die Claude Console-Organisationen an, die unterhalb der übergeordneten Organisation verknüpft sind.

Um die Compliance API aufzurufen, erstellst du stattdessen einen von zwei Key-Typen:

• Für vollständigen Compliance API-Zugriff (Activity Feed plus Chats, Dateien, Projekte, Sitzungen, Benutzer, Organisationsmetadaten und Organisationseinstellungen) erstellt der primäre Eigentümer der übergeordneten Organisation (oder ein Organisationseigentümer, für einen Key, der nur auf seine eigene Organisation beschränkt ist) einen Compliance Access Key in claude.ai.
• Für reinen Activity Feed-Zugriff erstellt ein Organisationsadministrator in deiner Claude Console-Organisation einen Admin API-Key in Claude Console. Die Compliance API muss für die Organisation bereits aktiviert sein, und der Administrator muss den Admin API-Key erstellen, während die Compliance API aktiviert ist, damit er den Scope read:compliance_activities trägt.

Nein. Ein Claude API-Key (sk-ant-api03-...) authentifiziert Aufrufe an Claude-Modelle über die Claude API; er authentifiziert keine Aufrufe an /v1/compliance/*. Die Compliance API akzeptiert nur Compliance Access Keys (sk-ant-api01-...) und Admin API-Keys (sk-ant-admin01-...). Die vollständige Zuordnung findest du unter Welchen Key brauchst du?.

Admin API-Keys tragen einen festen Scope read:compliance_activities, der nur den Activity Feed autorisiert. Jeder andere Compliance API-Endpunkt erfordert einen Scope, den nur ein in claude.ai erstellter Compliance Access Key tragen kann. Der Aufruf eines Inhalts- oder Verzeichnis-Endpunkts mit einem Admin API-Key gibt einen 403 zurück, der den Scope nennt, den diese Endpunktfamilie erfordert: read:compliance_user_data für Chats, Dateien, Projekte, Projektanhänge, Sitzungen, Benutzer und Gruppenmitglieder sowie read:compliance_org_data für Organisationen, Rollen, Gruppen und effektive Organisationseinstellungen. Das Auflisten von Chats gibt beispielsweise die folgende Antwort zurück.

{
  "error": {
    "type": "permission_error",
    "message": "Missing required scopes. Got: ['read:compliance_activities'] Needed: ['read:compliance_user_data']"
  }
}

Um auf Inhalts-Endpunkte zuzugreifen, muss der primäre Eigentümer deiner übergeordneten Organisation (oder ein Organisationseigentümer, nur für seine eigene Organisation) einen Compliance Access Key erstellen, der read:compliance_user_data (und delete:compliance_user_data für Löschvorgänge) oder read:compliance_org_data für Organisations-, Rollen-, Gruppen- und Effective-Settings-Endpunkte trägt. Eine eigenständige Claude Console-Organisation (eine ohne übergeordnete Organisation) kann keinen Compliance Access Key erstellen, daher stehen ihr die Inhalts-Endpunkte nicht zur Verfügung; sie kann nur den Activity Feed abfragen. Den vollständigen Katalog pro Endpunkt findest du unter Compliance API-Fehler behandeln.

Der Activity Feed bewahrt 6 Jahre an Organisationsaktivitäten auf, und neue Ereignisse sind innerhalb von 1 Minute nach ihrem Auftreten abfragbar. Der Feed reicht höchstens bis zu dem Zeitpunkt zurück, an dem die Compliance API erstmals für deine Organisation aktiviert wurde: Die Aufzeichnung ist nicht rückwirkend, und Aktivitäten aus der Zeit vor der Aktivierung werden nicht nachträglich aufgefüllt. Die Aufbewahrung des Activity Feed ist unabhängig von der Inhaltsaufbewahrungsrichtlinie deiner Organisation: Chat-, Datei- und Projektinhalte folgen den für deine Organisation konfigurierten Aufbewahrungsregeln (standardmäßig unbegrenzt), sofern ein Benutzer sie nicht früher löscht.

Nein. Der Activity Feed zeichnet auf, wer was wann getan hat (Authentifizierung, Chat-Erstellung, Datei-Uploads, Projektänderungen, administrative Aktionen und ähnliche Ressourcenereignisse), erfasst aber nicht den Prompt-Text oder die Modellantworten innerhalb von Chats oder Nachrichten.

Um Nachrichteninhalte und Dateiinhalte abzurufen, verwende die Chat-, Nachrichten- und Datei-Endpunkte mit einem Compliance Access Key, der read:compliance_user_data trägt. Derselbe Key und Scope rufen Transkripte von Sitzungen auf den Rechnern der Benutzer (wie Cowork- und Claude Code-Sitzungen) über die Endpunkte für lokale Sitzungen sowie Transkripte von Cowork-Sitzungen in der Cloud über die Endpunkte für Remote-Sitzungen ab. Diese Endpunkte liefern ausschließlich Claude Enterprise-Inhalte; Claude Console-Workloads und mit einem API-Key authentifizierte Claude API-Workloads stellen administrative und Ressourcenereignisse über den Activity Feed bereit, stellen aber keinen Prompt-Text oder Modellantworten über die Compliance API bereit.

Ja. Cowork-Sitzungen in Claude Desktop, die auf den Rechnern der Benutzer laufen, Claude Code-Sitzungen (im Terminal, in Claude Desktop oder in einer IDE-Erweiterung), Sitzungen in der Claude Science-Desktop-App sowie Claude for Microsoft 365-Sitzungen in Excel, PowerPoint, Word und Outlook werden erfasst, solange Benutzer mit ihrem Claude Enterprise-Konto angemeldet sind, und sind über die Endpunkte für lokale Sitzungen verfügbar. Cowork-Sitzungen, die über claude.ai im Web oder mobil gestartet werden und in der Cloud in von Anthropic verwalteten Umgebungen laufen, sind über die Endpunkte für Remote-Sitzungen verfügbar. Jede Familie hat einen List-Endpunkt, der Sitzungsmetadaten zurückgibt, und einen Messages-Endpunkt, der das Sitzungstranskript zurückgibt (Benutzer-Prompts, Assistentenantworten sowie Tool-Aufrufe und -Ergebnisse). Die lokale Familie fügt einen dritten Endpunkt hinzu, der die Metadaten einer einzelnen Sitzung abruft. Alle diese Endpunkte verwenden deinen bestehenden Compliance Access Key mit read:compliance_user_data; es ist kein neuer Key oder Scope erforderlich.

Lokale Sitzungen werden erfasst, wenn ihre Anfragen die Claude API erreichen, sodass nichts auf dem Gerät installiert wird, und Aktivitäten auf dem Gerät, die die API nie erreichen, werden nicht erfasst. Claude Code-Sitzungen, die mit einem Claude Console API-Key authentifiziert sind, Claude Code-Sitzungen, die über eine Cloud-Plattform eines Drittanbieters (Amazon Bedrock, Google Cloud oder Microsoft Foundry) laufen, sowie Claude Code im Web werden nicht erfasst. Claude Code im Web läuft ebenfalls in der Cloud in von Anthropic verwalteten Umgebungen, ist aber keine Remote-Sitzung; die Endpunkte für Remote-Sitzungen geben nur Cowork-Sitzungen zurück. Organisationen mit aktivierter HIPAA-Bereitschaft erhalten keine Daten zu lokalen Sitzungen, und Sitzungen, für die Zero Data Retention (ZDR) gilt, sind ausgeschlossen.

Die Endpunkte für lokale und Remote-Sitzungen sind für Cowork- und Claude Code-Sitzungen stabil; die Abdeckung von Claude Science- und Claude for Microsoft 365-Sitzungen befindet sich in der Beta-Phase.

Transkripte lokaler und Remote-Sitzungen enthalten beide Benutzer-Prompts, Assistentenantworten sowie Tool-Aufrufe und -Ergebnisse. Bei lokalen Sitzungen (auf den Rechnern der Benutzer) ist das, worum Claude gebeten wurde und was es zurückgegeben hat, nicht das, was auf dem Gerät geschehen ist.

Die Endpunkte und Parameter findest du unter Sitzungen auf den Rechnern der Benutzer und Sitzungen in der Cloud.

Das OpenTelemetry-Logging von Cowork und das Claude Code-Monitoring überschneiden sich mit den Sitzungs-Endpunkten, erfüllen aber unterschiedliche Anforderungen: OTEL streamt ereignisbezogene Telemetrie an von dir betriebene Infrastruktur, während die Aktivität stattfindet, wohingegen die Compliance API es dir ermöglicht, aufbewahrte Transkripte pro Sitzung nachträglich von Anthropic abzurufen. OTEL kann ebenfalls Prompts und Antworten erfassen, aber Anthropic empfiehlt die Compliance API zum Abrufen der Inhalte von Cowork- und Claude Code-Sitzungen. Eine Tabelle, die lokale Sitzungen, Remote-Sitzungen und OTEL vergleicht, findest du in der Einleitung zu Sitzungstranskripte abrufen.

OTEL-Ereignisse und Compliance API-Datensätze teilen Organisations- und Benutzerkennungen, sodass du sie verknüpfen kannst.

Nein. Über die Compliance API durchgeführte Löschvorgänge sind sofort wirksam, dauerhaft und nicht wiederherstellbar. Der Inhalt eines Chats, den ein Benutzer in claude.ai löscht, ist ebenfalls nicht wiederherstellbar: Die Compliance API gibt den Chat und seine Nachrichten weiterhin zurück, mit ausgefülltem deleted_at, aber nicht deren Inhalt. Rufe alle Inhalte ab, die du aufbewahren musst (für Legal Hold oder Archivierung), solange sie noch verfügbar sind. Wann du Inhalte in dein eigenes Archiv exportieren solltest, erfährst du unter Inhaltsaufbewahrung planen.

Die Compliance API hat bekannte Abdeckungsgrenzen: Der Activity Feed zeichnet Ressourcenereignisse auf, aber keinen Prompt- oder Antworttext; Claude Console-Workloads und mit einem API-Key authentifizierte Claude API-Workloads stellen überhaupt keine Nachrichteninhalte bereit; und Inhalte, die durch deine Aufbewahrungsrichtlinie entfernt, von einem Benutzer in claude.ai gelöscht oder über die Compliance API endgültig gelöscht wurden, sind nicht wiederherstellbar. Die vollständigen Abdeckungsgrenzen und den Zustellungsvertrag findest du unter Zustellungsgarantien und Vollständigkeit.

Sitzungstranskripte haben eigene Grenzen. Lokale Sitzungen werden nur erfasst, wenn ihre Anfragen die Claude API erreichen, sodass Aktivitäten auf dem Gerät, die die API nie erreichen, nicht erfasst werden. Claude Code-Sitzungen, die mit einem Claude Console API-Key authentifiziert sind, Claude Code-Sitzungen, die über eine Cloud-Plattform eines Drittanbieters (Amazon Bedrock, Google Cloud oder Microsoft Foundry) laufen, sowie Claude Code im Web werden ebenfalls nicht erfasst; Organisationen mit aktivierter HIPAA-Bereitschaft erhalten keine Daten zu lokalen Sitzungen; und Sitzungen, für die Zero Data Retention gilt, sind ausgeschlossen. Kein Sitzungstranskript, ob lokal oder remote, enthält Thinking-Blöcke oder Tool-Definitionen. Organisationen, die kundenverwaltete Verschlüsselungsschlüssel verwenden, erhalten Transkripte lokaler Sitzungen wie gewohnt. Solange der Schlüssel nicht verwendet werden kann, gibt der Messages-Endpunkt 503 Service Unavailable anstelle von Transkriptinhalten zurück, und Sitzungsmetadaten werden weiterhin aufgelistet.

Verknüpfe Activity-Datensätze mit deinem SIEM über actor.user_id, actor.email_address, actor.ip_address, actor.user_agent und created_at. Die Join-Key-Tabelle und Nutzungsmuster findest du unter Deine Compliance-Integration entwerfen.

Ja. Eine übergeordnete Claude Enterprise-Organisation kann viele verknüpfte Organisationen haben, einschließlich einer Mischung aus claude.ai-Organisationen und Claude Console-Organisationen (zum Beispiel getrennte Claude Console-Organisationen für Produktion und Staging). Identität, SSO und SCIM werden über die übergeordnete Organisation hinweg geteilt; Abrechnung, Mitglieder, Projekte und API-Keys bleiben für jede Organisation getrennt. Die Aktivierung der Compliance API erfolgt auf Ebene der übergeordneten Organisation und wird an alle verknüpften Organisationen weitergegeben, und ein Compliance Access Key, der die übergeordnete Organisation abdeckt und read:compliance_org_data trägt, kann über GET /v1/compliance/organizations jede Organisation unterhalb der übergeordneten Organisation auflisten.

Aktivitäten werden mit den neuesten zuerst zurückgegeben, wobei Gleichstände bei created_at durch die Aktivitäts-ID aufgelöst werden. Um aufzuholen, gehe die Seiten mit before_id vorwärts durch, bis has_more false ist; die first_id dieser letzten Antwort ist dein neuer Cursor, und du hast die Gegenwart erreicht. Die vollständige Schleife, einschließlich des anfänglichen Backfills und der Sicherheitsbedingungen für die Cursor-Persistenz, findest du unter Cursor-gesteuerte inkrementelle Lesevorgänge.

Um nur den Activity Feed zu testen, benötigst du keine Claude Enterprise-Organisation: Ein Organisationsadministrator kann die Compliance API auf einer berechtigten eigenständigen Claude Console-Testorganisation aktivieren und den Feed mit einem neuen Admin API-Key abfragen. Wenn der Abschnitt Compliance API in den Security-Einstellungen dieser Organisation nicht sichtbar ist, ist die Organisation nicht für die Self-Service-Aktivierung berechtigt.

Um jeden Endpunkt zu testen, richte eine Claude Enterprise-Sandbox-Organisation ein, die mit einer Claude Console-Organisation unter derselben übergeordneten Organisation verknüpft ist. So kann die Sandbox sowohl den Activity Feed (über einen Admin API-Key) als auch die Chat-, Datei-, Projekt- und Sitzungs-Endpunkte (über einen Compliance Access Key) nutzen.

1. Die Claude Enterprise-Organisation bereitstellen. Kontaktiere deinen Anthropic-Ansprechpartner, um eine Claude Enterprise-Sandbox-Organisation einzurichten. Bei einer bestehenden Claude Enterprise-Organisation kann der primäre Eigentümer die Compliance API direkt in claude.ai aktivieren.
2. Die Claude Console-Organisation erstellen. Erstelle selbst eine Claude Console-Organisation unter platform.claude.com mit derselben E-Mail-Adresse.
3. Die beiden Organisationen verknüpfen. Melde dich als primärer Eigentümer der Claude Enterprise-Organisation an, gehe zu claude.ai > Organisationseinstellungen > Identität und Zugriff und verwende Merge Organizations, um die beiden unter einer gemeinsamen übergeordneten Organisation zu verknüpfen.

Sobald sie verknüpft sind, folge Die Compliance API einrichten, um Keys zu erstellen und mit dem Abfragen zu beginnen. Testorganisationen verwenden denselben Aktivierungsprozess wie Produktionsorganisationen.