Vom Aktivitätsprotokoll zur zentralen Prüfschnittstelle
Die Claude Compliance API ist die Schnittstelle, über die Sicherheits-, Rechts- und Compliance-Teams auf die Claude-Nutzung ihres Unternehmens zugreifen. Was als Aktivitätsprotokoll begann, deckt inzwischen fast alle Oberflächen ab, auf denen Beschäftigte mit Claude arbeiten. Allein seit Mitte September hat Anthropic die Abdeckung viermal erweitert, zuletzt am 15. Oktober 2026.
Die Compliance API richtet sich an Kunden von Claude Enterprise und der Claude Console. Der volle Umfang mit Inhalten steht nur Claude Enterprise zur Verfügung, reine Console-Organisationen sehen lediglich den Activity Feed.
Was die API heute liefert:
- Activity Feed: einzelne Ereignisse wie angelegte Chats, mit Nutzer, IP-Adresse und Zeitpunkt
- Verzeichnis: Nutzer, Rollen und Gruppen aller verknüpften Organisationen sowie die jeweils wirksamen Einstellungen
- Inhalte: Chats, Dateien und Projekte aus claude.ai, inklusive Löschen auf Anforderung
- Session-Transkripte: Sitzungen aus Cowork, Claude Code, Claude Science, Claude für Microsoft 365, den Add-ins für Google Docs, Sheets und Slides sowie Claude in Chrome
Die Neuerungen seit September
Laut den Release Notes der Claude Platform kamen in kurzer Folge mehrere Bausteine hinzu:
- 18.09.2026: Sitzungen aus Claude in Chrome erscheinen in den Session-Endpunkten (Beta).
- 24.09.2026: Sitzungen aus Claude für Microsoft 365 (Excel, PowerPoint, Word, Outlook) sind aus der Beta heraus. Gleichzeitig liefert der Activity Feed keine Dateinamen, Projektdokument-Namen und Artefakt-Titel mehr.
- 08.10.2026: Die Chat-Endpunkte liefern auch Chats aus der vereinheitlichten Claude-Oberfläche (Beta).
- 15.10.2026: Die API gibt die Texte zurück, die Nutzer als „Instructions for Claude“ in claude.ai und als globale Anweisungen in Cowork hinterlegt haben (Beta).
Für bestehende Integrationen ist vor allem der 24. September wichtig: Wer im SIEM Regeln auf Dateinamen aus dem Activity Feed gebaut hat, muss diese Information jetzt über die Inhalts-Endpunkte holen.
Session-Transkripte: was erfasst wird und was nicht
Für Sitzungen auf den Rechnern der Beschäftigten zeichnet Anthropic die Anfragen serverseitig auf, sobald sie die Claude API erreichen. Auf den Geräten wird nichts installiert. Die Transkripte zeigen damit, was Claude tun sollte und was zurückkam, aber nicht, was auf dem Gerät tatsächlich passiert ist.
Wichtige Eckdaten laut Dokumentation:
- Aufbewahrung: standardmäßig 6 Jahre oder die eigene, kürzere Aufbewahrungsfrist der Organisation; bei aktivierter HIPAA-Readiness 30 Tage
- Tool-Ein- und -Ausgaben: standardmäßig auf 10.000 Byte je Eintrag gekürzt, auf Anfrage bis etwa 1 MiB
- Nicht erfasst: Claude Code mit Console-API-Key oder über Amazon Bedrock, Google Cloud und Microsoft Foundry, Claude-Code-Sitzungen in der Cloud sowie Sitzungen unter Zero Data Retention
- Ratenlimit: 600 Anfragen pro Minute je übergeordneter Organisation, über alle Compliance-Endpunkte
Die Lücken sind relevant: Wer Claude Code teilweise über einen Cloud-Anbieter oder mit API-Keys betreibt, hat für diese Nutzung keine Transkripte in der Compliance API.
Abgrenzung zu OpenTelemetry und Audit-Log-Export
Anthropic grenzt die Compliance API von drei benachbarten Funktionen ab:
- Audit-Log-Export: CSV-Download in den Organisationseinstellungen, mit begrenztem Rückblick und ohne Inhalte. Für den laufenden Betrieb empfiehlt Anthropic die Compliance API.
- OpenTelemetry für Cowork und Claude Code: schiebt Ereignisse mit Token-, Kosten- und Gerätedaten in Echtzeit an einen eigenen Collector. Für die Inhalte der Sitzungen empfiehlt Anthropic trotzdem die Compliance API.
- Inference Hooks (Beta): prüfen Prompts vor der Verarbeitung und können sie blockieren. Die Compliance API arbeitet dagegen nachträglich.
Für die Architektur heißt das: Echtzeit-Kontrolle über Hooks oder einen DLP-Proxy, Nachweis und eDiscovery über die Compliance API, Betriebsdaten über OpenTelemetry.
Was Unternehmen in Deutschland klären sollten
Session-Transkripte zeigen sehr genau, woran einzelne Beschäftigte arbeiten. Damit ist die Compliance API ein Werkzeug, das sich zur Leistungs- und Verhaltenskontrolle eignet. Vor dem Anschluss an ein SIEM oder ein eDiscovery-System gehören deshalb drei Punkte geklärt:
- Zweck und Zugriff: Wer darf Transkripte lesen, aus welchem Anlass, und wie wird das protokolliert?
- Mitbestimmung: Die Einführung mit dem Betriebsrat abstimmen, idealerweise in einer Betriebsvereinbarung zur KI-Nutzung.
- Aufbewahrung: Sechs Jahre sind lang. Eine kürzere Frist in den Organisationseinstellungen passt oft besser zum eigenen Löschkonzept.
Außerdem sollte der Compliance Access Key nur die Scopes bekommen, die wirklich gebraucht werden. Ein Schlüssel mit Löschrecht gehört nicht in ein Drittwerkzeug.
Fazit
Mit Microsoft 365, Chrome und den Nutzeranweisungen ist die Compliance API zur zentralen Prüfschnittstelle für Claude Enterprise geworden. Wer sie bereits nutzt, sollte Regeln prüfen, die auf Dateinamen im Activity Feed bauen, und die neuen Oberflächen in Auswertungen aufnehmen. Wer sie erst einführt, klärt zuerst Zweck, Zugriff und Aufbewahrung, dann die Technik.