Claude-Agenten selbst hosten: Wer die Logs hat, trägt die Verantwortung

Heute Morgen ging es hier um Notion und Fireworks AI: „Zero Data Retention“ war ein Vertragssatz, kein Zustand. Schon am Tag davor hatte Anthropic die Antwort auf genau diese Sorge veröffentlicht. Nicht als Vertragsklausel. Als Architektur.

Seit 12.11. gibt es Claude Managed Agents zum Selbsthosten, in privater Beta. Zugang nur über das Account-Team von Anthropic. Preis: nicht genannt. Kunden: keine genannt.

Was neu ist

Bisher konnten Firmen nur die Sandbox selbst betreiben, also den Ort, an dem ein Agent Code ausführt. Den Rest betrieb Anthropic, inklusive Zugangsdaten und Protokoll. Jetzt läuft laut Anthropic jeder Teil des Dienstes in der eigenen Cloud oder on-premise:

• Der Managed-Agents-Server, seine Datenbank (PostgreSQL, dort liegt der Sitzungsverlauf) und die Worker, auf denen Agenten Shell- und Datei-Tools nutzen.
• Zugangsdaten bleiben außerhalb der Sandbox. Ein Proxy hängt sie an Anfragen an MCP-Tools und unterstützte API-Aufrufe an. Speicherort: der eigene Secrets Manager.
• Jede Umgebung lässt sich auf eine Liste erlaubter Hosts begrenzen, durchgesetzt in der eigenen Firewall. Jeder Schritt, jeder Tool-Aufruf und jedes Ergebnis wird protokolliert und ist per OpenTelemetry exportierbar.
• Wohin die Anfragen an Claude gehen, entscheidet die Firma: direkt zu Anthropic, zu Amazon Bedrock, Googles Agent Platform, Microsoft Foundry oder über ein eigenes Gateway.

Das Protokoll ist das neue Owned Asset

Was ich daran spannend finde: Nicht das Hosting. Sondern wem der Verlauf gehört. Ein Agent, der Kampagnen vorbereitet, Leads sortiert oder Angebote baut, schreibt bei jedem Schritt mit, was er warum getan hat. Das ist Prozesswissen. Euer Prozesswissen.

Meine Faustregel für intern und extern: Intern bleibt, was Urteil, Kontext und Verantwortung braucht. Kundendaten, Freigaben, die Steuerung aller Partner, KI eingeschlossen. Bisher lag das Gedächtnis eurer Agenten beim Anbieter. Jetzt kann es dort liegen, wo auch eure Verantwortung liegt. Das ist der eigentliche Shift: KI als Betriebssystem im eigenen Haus, nicht als Assistent zur Miete.

Und strategisch? Anthropic sagt mit dem Routing auf Bedrock, Google und Microsoft im Grunde: Wir müssen nicht euer Vermieter sein, solange ihr unser Modell nutzt. Das ist ein Zugeständnis an Konzern-Einkäufer. Kein Altruismus.

Der Haken

Klingt nach voller Kontrolle. Ist es nicht ganz.

• Claude selbst läuft weiter außerhalb eures Netzes. Selbst gehostet wird alles drumherum, nicht das Modell.
• Server, Datenbank und Firewall-Regeln müsst ihr betreiben, patchen und konfigurieren. Wer die Logs hat, hat auch den Pager.
• Der Schutz der Zugangsdaten gilt laut Anthropic nur für MCP-Tools und unterstützte API-Aufrufe. Alles andere, was ein Agent erreicht, braucht eine eigene Prüfung.

Heißt: KI repariert keine kaputten Abläufe. Wer heute keinen sauberen Betrieb für einen Postgres-Server hat, bekommt mit dem Selbsthosten vor allem eine neue Baustelle.

Was ich jetzt tun würde

• Für jeden geplanten Agenten aufschreiben: Welche Systeme fasst er an, welche Zugangsdaten braucht er, wer gibt frei? Ohne diese Liste ist Hosting-Ort egal.
• Mit IT klären, wer einen solchen Server dauerhaft betreibt. Keine Antwort, kein Selbsthosting.
• Beim Anbieter, egal welchem, nachfragen: Wo liegt der Verlauf unserer Agenten, und können wir ihn exportieren?

FazitSelbsthosten ist kein Sicherheits-Feature, sondern eine Entscheidung, wer nachts den Alarm hört.