--- title: Sicherheitsrisiken und Sandbox-Grenzen url: https://platform.claude.com/docs/de/managed-agents/secure-deployment-risks description: Warum die Einstellungen eines Agenten für die Sicherheit wichtig sind und was die Managed-Agents-Sandbox kann und was nicht. featureMetadata: topic: title: Managed Agents url: https://platform.claude.com/docs/en/managed-agents/overview status: beta betaHeader: managed-agents-2026-04-01 --- Diese Seite erklärt, warum die Einstellungen in [Deine Managed-Agents-Bereitstellung absichern](https://platform.claude.com/docs/de/managed-agents/secure-deployment) wichtig sind und was die Sandbox kann und was nicht. ## Warum das wichtig ist Versteckte Anweisungen in Inhalten, die ein Agent liest, können den Agenten steuern. Dies wird als [Prompt-Injection](https://platform.claude.com/docs/de/test-and-evaluate/strengthen-guardrails/mitigate-jailbreaks) bezeichnet. Claude ist von Natur aus widerstandsfähig dagegen, aber das Modellverhalten ist keine Sicherheitskontrolle. Die Einstellungen in [Deine Managed-Agents-Bereitstellung absichern](https://platform.claude.com/docs/de/managed-agents/secure-deployment) begrenzen die Auswirkungen, falls ein Versuch erfolgreich ist. Claude kann außerdem einen Schritt unternehmen, den du nicht erwartet hast, während es weiter daran arbeitet, die Aufgabe zu erledigen, die du ihm gegeben hast. Zum Beispiel könnte es ein Tool oder Anmeldedaten verwenden, auf die es zugreifen kann, um ein Hindernis zu überwinden. Dieselben Einstellungen begrenzen, worauf ein solcher Schritt zugreifen kann, und ein [Offline-Reviewer](https://platform.claude.com/docs/de/managed-agents/secure-deployment-monitoring#optionally-have-an-offline-reviewer-read-every-transcript) kann ihn nachträglich markieren. | Was schiefgehen kann | Beispiel | Kontrollen | | ----------------------------------------------------------- | --------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | Nicht vertrauenswürdige Eingaben steuern den Agenten | Ein Ticket weist den Agenten an, jede offene Bestellung zu stornieren | [Kleinstmöglicher Tool-Satz](https://platform.claude.com/docs/de/managed-agents/secure-deployment#give-the-agent-the-smallest-tool-set), [nicht vertrauenswürdige Eingaben von mächtigen Tools fernhalten](https://platform.claude.com/docs/de/managed-agents/secure-deployment#keep-untrusted-input-away-from-powerful-tools), [Genehmigungen für riskante Aktionen](https://platform.claude.com/docs/de/managed-agents/secure-deployment#approve-risky-actions) | | Code in der Sandbox kann Anmeldedaten verwenden | Ein Skript, zu dessen Ausführung der Agent verleitet wurde, sendet den Schlüssel des Agenten an einen externen Host oder verwendet ihn, um die Bestellungen aller Kunden zu lesen | [Anmeldedaten in Vaults](https://platform.claude.com/docs/de/managed-agents/secure-deployment#keep-credentials-in-vaults), [eingeschränktes Networking](https://platform.claude.com/docs/de/managed-agents/secure-deployment#limit-the-network), [Genehmigungen für riskante Aktionen](https://platform.claude.com/docs/de/managed-agents/secure-deployment#approve-risky-actions) | | Ein offenes Netzwerk lässt Daten nach außen | Ein Bash-Befehl sendet eine Datei an einen externen Host | [Eingeschränktes Networking](https://platform.claude.com/docs/de/managed-agents/secure-deployment#limit-the-network), die [`web_fetch`-Domainliste](https://platform.claude.com/docs/de/managed-agents/secure-deployment#restrict-web-search-and-web-fetch) | | Claude unternimmt einen Schritt, den du nicht erwartet hast | Um ein Hindernis zu überwinden, verwendet es ein Tool oder Anmeldedaten, auf die es zugreifen kann | Die Einstellungen in [Deine Managed-Agents-Bereitstellung absichern](https://platform.claude.com/docs/de/managed-agents/secure-deployment). Ein [Offline-Reviewer](https://platform.claude.com/docs/de/managed-agents/secure-deployment-monitoring#optionally-have-an-offline-reviewer-read-every-transcript) kann den Schritt nachträglich markieren | Diese Einstellungen verringern das Risiko, beseitigen es aber nicht. Lege daher keine Daten in die Sandbox, die sie niemals verlassen dürfen. Ein Agent kann Daten, die er lesen darf, weiterhin in seine eigene Antwort oder Tool-Ausgabe einfügen. Beschränke die Berechtigungen eines Schlüssels bei dem Dienst, der ihn ausgestellt hat, denn diese Einstellungen beschränken sie nicht. Die Einstellungen sichern weder deine benutzerdefinierten Tools noch deine MCP-Server oder deine selbst gehostete Infrastruktur ab. ## Was die Sandbox kann und was nicht Managed Agents hält die Agentenschleife, den Session-Verlauf und die Vault-Secrets konzeptbedingt außerhalb der Sandbox. Hintergründe zum Design findest du unter [Scaling Managed Agents](https://www.anthropic.com/engineering/managed-agents). | Teil | Wo er ausgeführt wird | Was ihn begrenzt | | ---------------------------- | ------------------------------------------------------------------------------------------------------------------------------------ | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ | | Agentenschleife | Server von Anthropic | Der Tool-Satz, die Berechtigungsrichtlinien und das Budget, die du festlegst | | `bash` und Datei-Tools | Die Sandbox. In einer Cloud-Umgebung erhält jede Session ihren eigenen isolierten Linux-Container | Networking der Umgebung, der Tool-Satz und Berechtigungsrichtlinien | | `web_search` und `web_fetch` | Server von Anthropic | Die eigene Domainliste des Tools und, in einer `limited`-Cloud-Umgebung, die erlaubten Hosts der Umgebung. `web_fetch` öffnet außerdem nur URLs, die bereits in der Session aufgetaucht sind | | Vault-Secret | Außerhalb der Sandbox. MCP-Credentials gelangen nie hinein. Bei einem Umgebungsvariablen-Credential sieht der Code einen Platzhalter | Bei einem MCP-Credential die MCP-Server-URL, für die es bestimmt ist. Bei einem Umgebungsvariablen-Credential die Hosts, die das Credential erlaubt, sein Injektionsort und die erlaubten Hosts der Umgebung | | Session-Verlauf | Server von Anthropic, bis du die Session löschst | Die API-Keys für den Workspace, die Rollen Developer und Admin in der Claude Console sowie das Löschen von Sessions | | Benutzerdefinierte Tools | Deine Anwendung | Dein Code | In einer Cloud-Umgebung teilen Sessions keinen Dateisystemzustand. Ein Memory Store, der an mehr als eine Session angehängt ist, wird zwischen ihnen geteilt. Diese Begrenzungen ersetzen einander nicht. Zum Beispiel hindert die Beschränkung der Hosts der Umgebung den Agenten nicht daran, Anmeldedaten auf einem Host zu verwenden, den du erlaubt hast.