Claude Projects: Team- und Enterprise-Features erweitert

Executive Summary

Claude ist in vielen Beratungshäusern über die Hintertür eingezogen: erst ein Einzelabo auf der Privatkreditkarte, dann ein Team-Plan für die Fachabteilung, und irgendwann sitzt das halbe Projektgeschäft in einem Werkzeug, das nie durch die Governance gelaufen ist. Genau diese Lücke hat Anthropic in den letzten Monaten konsequent geschlossen. Der Enterprise-Plan bringt heute SAML-basiertes Single Sign-on samt Domain Capture, SCIM-2.0-Provisionierung, rollenbasierte Rechte, eine Compliance API mit vollem Activity Feed und konfigurierbare Aufbewahrungsfristen. Projects sind vom Notizzettel zum geteilten Arbeitsraum geworden, inklusive Freigabe an Verzeichnisgruppen und eines Gedächtnisses, das pro Projekt getrennt geführt wird.

Für dich als Berater bedeutet das zwei Dinge. Erstens: Du kannst Mandantentrennung endlich technisch begründen, statt sie zu behaupten. Zweitens: Du kannst dich nicht mehr herausreden. Wer Audit-Logs bekommt, bekommt auch die Frage, warum er sie nicht auswertet. Wer Aufbewahrungsfristen konfigurieren kann, muss erklären, warum bei ihm immer noch "unbegrenzt" steht.

Die entscheidende Erkenntnis vorweg, weil sie in jedem zweiten Projekt schmerzhaft nachgeholt wird: Projects trennen Kontext, nicht Berechtigungen. Sie sind ein hervorragendes Ordnungsmittel und ein miserabler Mandantenschutz. Wenn zwei Kunden sich aus vertraglichen Gründen nicht sehen dürfen, brauchst du getrennte Organisationen unter einer Parent Organization — und kein zweites Projekt mit einem strengeren Namen.

Abbildung 1: Vom Identity Provider bis ins SIEM — wo Identität, Kontext und Nachweis in einem Claude-Enterprise-Tenant tatsächlich liegen.

Worum geht es im Detail?

Fangen wir bei der Identität an, weil dort alles hängt. Ein Claude-Enterprise-Mandant besteht aus einer Parent Organization und den darunter verbundenen Organisationen. Die Parent Organization trägt selbst keine Arbeitslast; sie ist der Ort, an dem SSO, SCIM und die Domänenzuordnung zentralisiert sind. Darunter hängen zwei Sorten: claude.ai-Organisationen, in denen Menschen chatten, Dateien ablegen und Projects pflegen, und Console-Organisationen, in denen API-Workloads laufen. Wichtig für die erste Verwirrung im Betrieb: Die Parent Organization taucht in der Console gar nicht auf. Wer dort nach ihr sucht, sucht lange.

SAML-SSO läuft über eine WorkOS-Integration, weshalb die Einrichtung über die gängigen Verzeichnisse hinweg erfreulich gleichförmig aussieht — Microsoft Entra ID, Okta, Google Workspace, OneLogin, JumpCloud. Danach kommt die Frage, wie Konten überhaupt entstehen. Just-in-Time-Provisionierung legt den Benutzer beim ersten erfolgreichen Login an und ist auch auf Team-Plänen verfügbar. Das ist bequem und hat einen unangenehmen Haken: Das Entfernen ist nicht automatisch. Wer im Verzeichnis deaktiviert wird, kommt zwar nicht mehr hinein, bleibt aber als Objekt in der Organisation stehen, bis jemand aufräumt. Für die Lizenzabrechnung ist das ein stiller Kostenposten, für den Zugriffsnachweis ein hässlicher Befund.

SCIM 2.0 räumt genau das auf, ist aber Enterprise- und Console-Organisationen vorbehalten. Auf einem Team-Plan gibt es kein SCIM, auch nicht über Umwege. Die Einrichtung setzt voraus, dass SSO bereits sauber läuft und die Domäne verifiziert ist; erst dann wird in den Sicherheitseinstellungen ein Token erzeugt und im Verzeichnis gegen den SCIM-Endpunkt gesetzt. Gruppenzuordnungen übernehmen anschließend Rolle und Seat-Tier, statt dass ein Administrator das von Hand nachpflegt. Und jetzt die Stelle, an der schon viele Rollouts einen sehr schlechten Nachmittag hatten.

Damit zu Projects, dem eigentlichen Grund, warum Berater das Werkzeug überhaupt mögen. Ein Projekt bündelt Custom Instructions, einen Wissensspeicher und die zugehörigen Chats. Der Wissensspeicher arbeitet auf bezahlten Plänen mit Retrieval-Augmented Generation, sobald die Kontextgrenze in Sicht kommt — praktisch heißt das, dass sich die nutzbare Kapazität gegenüber dem reinen Kontextfenster grob um den Faktor zehn strecken lässt, weil nur die relevanten Passagen geladen werden. Auf Enterprise kommt zusätzlich ein Kontextfenster von 500.000 Token dazu, gegenüber 200.000 auf den übrigen bezahlten Plänen. Das ist der Unterschied zwischen "ich lade das Lastenheft hoch" und "ich lade das Lastenheft, drei Protokolle und den Altvertrag hoch".

Freigegeben wird auf zwei Wegen. Ein Projekt ist entweder privat, dann sehen es nur eingeladene Mitglieder, oder es ist organisationsweit sichtbar und taucht im Team-Tab auf. Bei privaten Projekten gibt es zwei Rechtestufen: Ansehen erlaubt Nutzung und Chat im Projekt, Bearbeiten erlaubt zusätzlich das Ändern von Anweisungen, Wissensspeicher und Mitgliedern. Enterprise-Kunden können darüber hinaus an Gruppen freigeben — der Zugriff folgt dann der Verzeichnisgruppe, wer später hinzukommt, bekommt den Zugriff automatisch. Diese Gruppenfreigabe ist derzeit als Beta gekennzeichnet, und Administratoren müssen sie pro Gruppe über eine eigene Sichtbarkeitseinstellung erst erlauben. Chats innerhalb eines Projekts bleiben übrigens in allen Varianten privat, solange sie niemand aktiv teilt.

Das Gedächtnis ist die zweite Neuerung, die im Beratungsalltag sofort weh tut oder sofort hilft, je nach Vorbereitung. Für Team- und Enterprise-Pläne merkt sich Claude Arbeitskontext über Sitzungen hinweg, und zwar pro Projekt getrennt. Was du im Projekt "Kunde X, Carve-out" besprichst, wandert nicht in das Projekt "Kunde Y, Ausschreibung". Nutzer sehen und bearbeiten ihre Gedächtnisinhalte, können sie exportieren oder aus anderen Werkzeugen importieren, und ein Incognito-Chat schreibt gar nichts mit. Organisationsadministratoren können das Gedächtnis jederzeit organisationsweit abschalten — was in stark regulierten Umgebungen der erste Reflex ist und meistens der falsche, weil man damit den halben Produktivitätsgewinn wegkonfiguriert.

Der Nachweisteil heißt Compliance API und lebt unter "/v1/compliance/" auf der Anthropic-API, authentifiziert über den Header "x-api-key". Sie liefert den Activity Feed der Organisation, das Verzeichnis aus Nutzern, Rollen und Gruppen über alle verbundenen Organisationen hinweg, die tatsächlich wirksamen Einstellungen je Organisation und — für claude.ai-Organisationen — die dahinterliegenden Chats, Dateien und Projekte. Der Activity Feed umfasst über 150 Ereignistypen in mehr als 35 Kategorien, von "sso_login_succeeded" über "admin_api_key_created" bis "claude_chat_viewed", jeweils mit Zeitstempel, Akteur, Nutzer-ID, IP-Adresse und User-Agent. Was nicht darin steht: die Inferenz selbst. Der Feed protokolliert Administration und Ressourcen, nicht jeden Modellaufruf.

Daneben existiert weiterhin der schlichte CSV-Export der Audit-Logs in den Organisationseinstellungen unter Datenschutz. Der ist absichtlich schmal: begrenztes Rückblickfenster, nur Download, keine Inhalte. Für einen einmaligen Nachweis reicht das; für laufende Auswertung nimmt man die API. Ein Detail wird dabei gern übersehen: Die Protokollierung beginnt mit der Freischaltung, einen rückwirkenden Datenbestand gibt es nicht. Wer die Compliance API erst einschaltet, wenn der Vorfall schon da ist, hat einen leeren Feed und ein volles Problem.

Bleibt die Aufbewahrung. Enterprise-Organisationen können eine eigene Frist setzen, Minimum 30 Tage, wobei ein Monat pauschal als 30 Tage gerechnet wird. Der Stichtag ist die letzte Aktivität: bei Chats die letzte Nachricht, bei Projekten die letzte Änderung an Wissensspeicher oder Chats. Ohne eigene Konfiguration wird unbegrenzt aufbewahrt. Und beim Speichern einer neuen Frist verschwindet sofort alles, was außerhalb liegt. Das ist keine Warteschlange, das ist ein Schalter.

Abbildung 2: Vier Trennebenen mit sehr unterschiedlichem Härtegrad — die Unfälle passieren zuverlässig zwischen Projekt und Chat.

Was sind Chancen? Was sind Risiken?

Die Chance ist zuerst eine kaufmännische. Ein Beratungsteam, das je Mandat ein Projekt mit Angebotshistorie, Methodik, Terminologie und Kundenkontext pflegt, spart sich das ewige Neuerklären. Ein Kollege, der neu ins Mandat kommt, bekommt über die Gruppenfreigabe binnen Sekunden denselben Kontext wie das Kernteam — ohne dass jemand eine Wissensdatenbank pflegt, die ohnehin niemand liest. In einem Migrationsprojekt mit vier Teilprojekten haben wir so den Einarbeitungsaufwand für neue Teammitglieder von guten zwei Tagen auf einen Vormittag gedrückt. Der Trick war nicht das Modell, sondern die Disziplin, die Anweisungen je Projekt wie ein Briefing zu schreiben statt wie einen Wunschzettel.

Die zweite Chance ist der Nachweis. Wer bisher in Ausschreibungen bei der Frage "Wie stellen Sie sicher, dass unsere Daten in Ihrem KI-Werkzeug nicht bei anderen Mandanten landen?" ins Schwimmen kam, hat jetzt eine erwachsene Antwort: getrennte Organisationen, verzeichnisgesteuerte Rollen, auditierbarer Activity Feed, definierte Löschfrist, auf Wunsch abgeschaltetes Gedächtnis. Das ist kein Marketingsatz, das ist eine Konfiguration, die man vorzeigen kann.

Damit sind wir bei den Risiken, und das größte ist nicht technisch, sondern kognitiv. Nutzer halten ein Projekt für einen Tresor. Es ist ein Regal. Ein einziger Wechsel der Sichtbarkeit auf "organisationsweit" macht Anweisungen und Wissensspeicher für jeden im Team-Tab sichtbar. Die Chats bleiben zwar privat, aber der hochgeladene Entwurf des Übernahmeangebots liegt dann eben im Regal. Wir hatten einen Fall, in dem ein Berater ein Projekt "kurz für den Kollegen" freigegeben hat und es danach freigegeben blieb — vier Wochen lang, mit Mandantenunterlagen darin. Aufgefallen ist es beim ersten Durchlauf des Activity Feeds. Ohne den wäre es nie aufgefallen.

Risiko zwei ist der Betriebsmodus "Team-Plan mit Enterprise-Erwartung". Wer Mandantendaten in einem Team-Plan verarbeitet, hat kein SCIM, keine Audit-Logs, keine Compliance API und keine einstellbare Aufbewahrungsfrist. Das ist für interne Nutzung völlig in Ordnung, aber es ist kein auditfähiges Setup, egal wie ordentlich die Projekte benannt sind. Risiko drei ist die Abrechnung: Enterprise trennt Seat-Preis und Nutzung, und die Nutzung läuft zu API-Preisen ohne eingeschlossenes Kontingent. Wer das nicht mit Spend Controls und den Analytics-Auswertungen begleitet, erlebt am Monatsende eine Zahl, die niemand budgetiert hat.

Und Risiko vier, das leise: Ein Gedächtnis macht Menschen bequem. Wenn ein Berater sich darauf verlässt, dass Claude den Mandantenkontext "schon weiß", wandern Formulierungen und Annahmen durch die Zeit, ohne dass sie jemand neu prüft. Projektgebundenes Gedächtnis schützt vor Mandantenvermischung, nicht vor veralteten Wahrheiten.

Was müssen wir jetzt schon vorbereiten?

Die Reihenfolge ist keine Geschmackssache. Wer SCIM vor funktionierendem SSO angeht, baut SCIM zweimal. Wer Organisationen schneidet, nachdem 200 Projekte existieren, verschiebt Inhalte per Kopieren und Einfügen. Und wer die Compliance API erst nach dem ersten Vorfall freischaltet, hat für genau diesen Vorfall keine Daten.

Abbildung 3: Ein realistischer 90-Tage-Fahrplan — jede Stufe setzt die vorherige voraus.

Domänen verifizieren und früh entscheiden, ob Domain Capture gezogen wird. Bestehende Einzelabos deiner Mitarbeiter unter derselben Domäne sind sonst eine Überraschung mit Ansage.

Verzeichnisgruppen bauen, bevor SCIM aktiviert wird — und zwar mit dem Gedanken, dass diese Gruppen später Rollen, Seat-Tier und Projektfreigaben steuern. Eine Gruppe je Mandat ist selten falsch.

Das E-Mail-Attribut zwischen SAML und SCIM vereinheitlichen. Ein einziges Feld, überall dasselbe.

Mandantenschnitt festlegen: Welche Vertraulichkeitsklasse bekommt eine eigene claude.ai-Organisation, welche reicht als Projekt? Das ist eine Vertrags- und Risikofrage, keine Werkzeugfrage.

Projektnamenskonvention und eine verbindliche Regel zur Sichtbarkeit festschreiben. Standard ist privat; organisationsweit ist eine bewusste Entscheidung mit Namensnennung.

Compliance API freischalten, bevor du sie brauchst, Schlüssel nach Scope trennen, den Activity Feed in das vorhandene SIEM ausleiten und mit den Anmeldeereignissen aus dem Verzeichnis korrelieren.

Aufbewahrungsfrist bewusst setzen und vor dem Speichern gegenprüfen, was dabei sofort gelöscht wird. Der Vorgang ist nicht rückholbar.

Eine Richtlinie zum Gedächtnis schreiben: global an oder aus, Incognito für definierte Fälle, und eine kurze Anweisung, was dort nichts zu suchen hat.

Schlüsselrotation und Löschprozess einmal echt durchspielen. Ein Compliance Access Key hat kein Ablaufdatum — er verschwindet nur, wenn ihn jemand löscht.

Wenn du nur eine Sache aus diesem Briefing mitnimmst: Mach den Mandantenschnitt zuerst und schriftlich. Alles andere lässt sich nachziehen, umkonfigurieren und nachbessern. Ein falsch geschnittener Mandant wandert später nur von Hand um — und das macht dann garantiert niemand freiwillig.

Häufig gestellte Fragen

Reicht der Team-Plan aus, wenn wir mit Mandantendaten arbeiten?

Für interne Arbeit ja, für regulierte oder vertraglich besonders geschützte Mandantendaten in der Regel nicht. Der Team-Plan bietet Projektfreigabe und JIT-Provisionierung, aber kein SCIM, keine Audit-Logs, keine Compliance API und keine konfigurierbare Aufbewahrungsfrist — also genau die Nachweise, nach denen ein Auditor fragt.

Sehen andere Kollegen meine Chats, wenn ein Projekt organisationsweit freigegeben ist?

Deine Chats bleiben privat, solange du sie nicht aktiv teilst; sichtbar werden die Projektanweisungen und der Wissensspeicher. Das ist trotzdem kein Freibrief, denn hochgeladene Dokumente gehören zum Wissensspeicher und damit für alle im Team-Tab zum Lesestoff.

Kann ein Administrator meine Unterhaltungen mit Claude auslesen?

Über die normale Oberfläche nicht, über die Compliance API sehr wohl: Ein Schlüssel mit dem Scope read:compliance_user_data liest Chats, Dateien und Projekte in allen verbundenen Organisationen. Deshalb gehören solche Schlüssel in einen Secrets Manager, und ihre Nutzung taucht ihrerseits im Protokoll auf, nämlich unter dem Ereignistyp compliance_api_accessed.

Was passiert mit unseren Daten, wenn wir eine Aufbewahrungsfrist setzen?

Alles, was älter ist als die neue Frist, wird beim Speichern unmittelbar gelöscht und nicht erst nach einer Karenzzeit. Die Frist beträgt mindestens 30 Tage, rechnet einen Monat pauschal als 30 Tage und misst ab der letzten Aktivität — bei Chats die letzte Nachricht, bei Projekten die letzte Änderung.

Trennt das Gedächtnis unsere Mandate zuverlässig voneinander?

Innerhalb von Projekten ja, denn das Gedächtnis wird pro Projekt geführt, sodass Inhalte aus einem Mandat nicht in einem anderen Projekt auftauchen. Was außerhalb eines Projekts im allgemeinen Chat besprochen wird, landet dagegen im persönlichen Profil des Nutzers — und genau dafür gibt es Incognito-Chats und die organisationsweite Abschaltung.