Agent-Sandboxing: Warum Ihr KI-Agent eine abgeschottete Werkbank braucht – und trotzdem einen Freigabe-Schritt

Stellen Sie sich vor, Ihr neuer Mitarbeiter bekommt am ersten Tag den Generalschlüssel für das gesamte Haus: Büros, Lager, Server-Raum, Tresor. Niemand hat ihm gesagt, welche Türen er benutzen soll, und niemand schaut ihm über die Schulter. Kein vernünftiger Geschäftsführer würde das tun. Bei KI-Agenten passiert genau das erstaunlich oft. Ein Agent bekommt Zugriff auf das Dateisystem, auf eine Datenbank, auf das Postfach, weil es in der Einrichtung am schnellsten geht. Das Risiko merkt man erst, wenn etwas schiefgeht.

Dieser Artikel behandelt ein Konzept, das unter dem Namen „Sandbox“ bekannt ist: eine abgeschottete Werkbank, auf der ein Agent arbeiten darf, ohne an alles andere heranzukommen. Es ist ein Evergreen-Thema, also keine Nachricht von heute. Wir greifen es dennoch auf, weil Anthropic im Mai 2026 eine konkrete Ausprägung vorgestellt hat, an der sich das Prinzip gut zeigen lässt. Wir halten uns dabei streng an das, was die Quellen belegen, und sagen ausdrücklich dazu, was Beta ist, was nicht und was wir nicht prüfen konnten.

Zugeordnet ist das Thema unserem Code-Operator. Auf unserer Webseite beschreiben wir diesen Agenten mit „Bugs, Fixes, Pull-Requests mit Ihrer Freigabe“. Das passt, denn dort, wo ein Agent Code ausführt, ist die Frage nach der Werkbank am dringendsten. Am Ende des Artikels steht der Unterschied, auf den es ankommt: ein Agent mit Grenzen und Freigabe-Schritt gegenüber einem Agenten, der einfach „machen darf“.

Was eine Sandbox ist, in Alltagssprache

Eine Sandbox ist eine abgeschottete Ausführungsumgebung. Wenn ein KI-Agent ein Skript startet, eine Datei schreibt oder ein Werkzeug aufruft, passiert das nicht auf Ihrem Hauptsystem, sondern in einem separaten, begrenzten Raum. Was dort geschieht, kann dort bleiben. Was der Agent nicht sehen soll, ist dort gar nicht vorhanden.

Ein Vergleich aus dem Betrieb: Ein Besucherausweis öffnet nur bestimmte Türen, ein Generalschlüssel öffnet alle. Ein Handwerker, der in Ihrem Haus eine Heizung repariert, bekommt Zugang zum Heizungskeller, nicht zu Ihrem Büro. Eine Sandbox übersetzt diese Logik in die Technik. Die Frage lautet nicht „Vertrauen wir dem Agenten?“, sondern „Was kann im schlimmsten Fall überhaupt passieren, wenn er sich irrt?“ Wer die Antwort auf die zweite Frage technisch begrenzt hat, muss sich bei der ersten weniger Sorgen machen.

Das ist wichtig, weil KI-Agenten sich irren. Das ist keine Bosheit, sondern eine Eigenschaft der Technik: Ein Agent liest Anweisungen, Dokumente, Webseiten und Mails und leitet daraus Handlungen ab. Enthält ein Dokument eine eingeschleuste Anweisung oder versteht der Agent eine Aufgabe falsch, führt er unter Umständen Schritte aus, die niemand wollte. Ob diese Schritte Schaden anrichten, hängt weniger vom Modell ab als davon, was der Agent technisch anfassen darf.

Die Frage „Wofür brauchen wir eine Freigabe durch einen Menschen?“ und die Frage „Was darf der Agent technisch überhaupt anfassen?“ sind zwei verschiedene Fragen. Ein sicheres Setup beantwortet beide.

Was Anthropic am 19. Mai 2026 veröffentlicht hat

Beginnen wir mit dem, was belegt ist. Die Primärquelle ist der Beitrag „New in Claude Managed Agents: self-hosted sandboxes and MCP tunnels“ auf claude.com, veröffentlicht am 19. Mai 2026. Er beschreibt zwei Neuerungen für „Claude Managed Agents“, also Anthropics Angebot, Agenten von Anthropic betreiben zu lassen.

Erstens: Self-hosted Sandboxes. Standardmäßig laufen die Werkzeuge eines Managed Agents in Umgebungen, die Anthropic bereitstellt. Mit der neuen Option verlagern Sie die Ausführung der Werkzeuge in Ihre eigene Infrastruktur oder zu einem verwalteten Sandbox-Anbieter. Der Beitrag nennt Cloudflare, Daytona, Modal und Vercel. Ressourcengröße und Laufzeit-Abbild legen Sie selbst fest. Der Status laut Beitrag und laut Dokumentation: öffentliche Beta.

Wichtig ist, was dabei bei Anthropic bleibt. Laut Beitrag läuft die Steuerung des Agenten, also Orchestrierung, Kontextverwaltung und Fehlerbehandlung, weiter auf der Infrastruktur von Anthropic. Nur die Ausführung der Werkzeuge wandert zu Ihnen. Die Dokumentation ergänzt, dass Ein- und Ausgaben der Werkzeuge weiterhin an Anthropics Steuerungsebene fließen, damit das Modell die Ergebnisse erhalten und entscheiden kann, wie es weitergeht. Anthropic speichert außerdem Skills und Memory-Stores; Ihre Sandbox hält für die Dauer der Sitzung eine Kopie. Wer „self-hosted“ liest und denkt, damit verließen keine Daten das Haus, liegt also falsch. Gemeint ist: Wo Code läuft und Dateien liegen, bestimmen Sie, nicht: Alles bleibt bei Ihnen.

Zweitens: MCP-Tunnel. MCP ist der Standard, über den Agenten mit Werkzeugen und Datenquellen sprechen. Ein MCP-Tunnel verbindet Managed Agents mit MCP-Servern in Ihrem privaten Netzwerk, ohne diese Server öffentlich zugänglich zu machen. Ein von Ihnen bereitgestelltes Gateway baut dafür eine einzelne ausgehende Verbindung auf; eingehende Firewall-Regeln sind laut Beitrag nicht nötig. Der Status: Research Preview, der Zugang muss angefragt werden. Verwaltet wird das von Organisations-Admins in den Workspace-Einstellungen der Claude Console.

Die Dokumentation stellt klar, dass beide Neuerungen voneinander unabhängig sind. Eine Sitzung in Anthropics eigenen Sandboxes kann private MCP-Server über einen Tunnel erreichen, und eine selbst gehostete Sitzung kann getunnelte oder öffentliche MCP-Server nutzen. Wer Ausführung und Werkzeugzugriff innerhalb der eigenen Grenze halten will, braucht beides.

Verfügbarkeit: Was nutzbar ist und was auf Sie zukommt

Hier lohnt Genauigkeit, denn der Unterschied zwischen „Konzept“, „Beta“ und „Produkt“ entscheidet über Ihre Planung.

• Sandboxing als Prinzip ist kein Produkt und keine Beta. Es ist ein Sicherheitsgedanke, den Sie unabhängig von Anbieter und Modell anwenden können.
• Self-hosted Sandboxes bei Claude Managed Agents sind laut Quelle eine öffentliche Beta. Wir beschreiben sie deshalb nicht als etwas, das Sie heute ohne Weiteres in den produktiven Betrieb übernehmen sollten, sondern als das, was auf Unternehmen zukommt. Die Dokumentation nennt außerdem Einschränkungen: Sitzungen in selbst gehosteten Umgebungen unterstützen als Ressource nur Memory-Stores, Sitzungen mit Datei- oder GitHub-Repository-Ressourcen werden abgelehnt.
• MCP-Tunnel sind eine Research Preview mit Zugang auf Anfrage. Auch das ist nichts, worauf Sie einen Geschäftsprozess bauen sollten, bevor Sie die Bedingungen geprüft haben.
• Region und DACH: Die Quellen nennen keine Länderbeschränkung. Ob und zu welchen Bedingungen die Angebote für Ihr Unternehmen in Deutschland, Österreich oder der Schweiz gelten, ist damit nicht bestätigt. Wir behaupten dazu nichts.
• Preise und Lizenzbedingungen stehen nicht in den Quellen, auf die wir uns stützen. Klären Sie das mit dem Anbieter.

Für Sie heißt das: Sie müssen nicht auf eine Beta warten, um das Prinzip umzusetzen. Aber wenn Sie mit einem Dienstleister oder einer Plattform sprechen, die „Sandboxing“ verspricht, sollten Sie nachfragen, wo genau die Grenze verläuft und welcher Teil Beta ist.

Die Grenzen einer Sandbox: Was sie nicht löst

Eine Sandbox begrenzt, was im Fehlerfall technisch passieren kann. Sie entscheidet nicht, ob eine Handlung fachlich richtig ist. Das verwechseln viele. Drei Beispiele zeigen den Unterschied.

Beispiel 1: Die Zahlung. Ein Agent bereitet im Auftrag Ihrer Buchhaltung eine Überweisung vor. Die Sandbox sorgt dafür, dass er dabei keine fremden Dateien liest und keine Systeme erreicht, die er nicht braucht. Ob die Überweisung an den richtigen Empfänger geht, kann die Sandbox nicht beurteilen. Dafür braucht es einen Menschen, der vor der Ausführung freigibt.

Beispiel 2: Die externe Mail. Ein Agent formuliert eine Antwort an einen Kunden. In der Sandbox kann er nichts löschen, was nicht ihm gehört. Aber ob der Ton stimmt, ob eine Zusage vertretbar ist oder ob ein Vertragsdetail falsch dargestellt wird, entscheidet keine Technik, sondern Ihre Verantwortung. Deshalb werden Mails bei uns zum Beispiel als Entwurf erstellt und nicht direkt versendet. So steht es auch auf unserer Webseite.

Beispiel 3: Das Löschen. Ein Agent räumt Dateien auf. In einer gut gezogenen Sandbox betrifft das nur den dafür vorgesehenen Ordner. Ob dieser Ordner aber wirklich nur Überflüssiges enthält, ist eine fachliche Frage. Bevor etwas unwiderruflich verschwindet, gehört ein Mensch dazwischen.

Die Sandbox ist also die technische Grenze, der Freigabe-Schritt die fachliche. Ohne Grenze kann ein Fehler weit reichen, ohne Freigabe kann er unbemerkt bleiben. Eine seriöse Einrichtung hat beides.

Warum das Thema gerade jetzt Aufmerksamkeit bekommt

In unserer Quellenübersicht fällt auf, dass das Thema „Agent mit Grenzen“ immer wieder auftaucht. Die Konferenz „AI Engineer“ hat im Oktober 2026 Vorträge veröffentlicht, deren Titel sich um Sandboxing, Sicherheit und Governance von Agenten drehen. Wir konnten die Inhalte dieser Vorträge für diesen Artikel nicht im Einzelnen prüfen und stützen keine Aussage darauf. Wir erwähnen sie nur als Hinweis darauf, dass die Fachwelt über dieselbe Frage nachdenkt: nicht, welches Modell das beste ist, sondern wie man Agenten betreibt, ohne ihnen mehr zu geben, als sie brauchen.

Auch die Sicherheitsgemeinde hat reagiert. Das OWASP GenAI Security Project hat am 9. Dezember 2025 ein Rahmenwerk mit dem Titel „OWASP Top 10 for Agentic Applications for 2026“ veröffentlicht, das die kritischsten Sicherheitsrisiken autonomer und agentischer KI-Systeme benennt. Welche Risiken im Einzelnen aufgeführt sind, konnten wir auf der frei zugänglichen Seite nicht einsehen; die Liste steckt im herunterladbaren Dokument. Wir verzichten deshalb darauf, einzelne Punkte zu zitieren. Wenn Sie intern Sicherheitsvorgaben für Agenten erarbeiten, lohnt sich ein Blick in dieses Dokument.

Vier Fragen, die Sie jedem Anbieter und Ihrem eigenen Team stellen sollten

Sie müssen kein Technikexperte sein, um ein Agenten-Setup zu beurteilen. Diese vier Fragen genügen für ein erstes Bild.

1. Wo läuft der Code, den der Agent erzeugt oder startet? Auf dem Rechner des Mitarbeiters, auf einem Firmenserver oder in einer abgeschotteten Umgebung? Wenn die Antwort „auf dem Rechner, auf dem auch alles andere liegt“ lautet, gibt es keine Sandbox.

2. Welche Zugänge hat der Agent, und warum genau diese? Jeder Zugang sollte begründet sein. Ein Agent, der Rechnungen vorbereitet, braucht keinen Zugriff auf Personaldaten. Die Dokumentation von Anthropic gibt dazu einen anschaulichen Hinweis: Den API-Schlüssel, mit dem Sitzungen gestartet werden, solle man vom Rechner fernhalten, auf dem der Agent Werkzeuge ausführt, weil Werkzeugaufrufe ihn dort lesen könnten. Das ist das Prinzip in Reinform: Was der Agent nicht lesen können soll, darf dort nicht liegen.

3. Was passiert im schlimmsten Fall? Spielen Sie es durch. Wenn der Agent sich vollständig irrt, was ist das Schlimmste, das er auslösen kann? Wenn die Antwort „Das wissen wir nicht“ lautet, ist die Grenze zu weit.

4. Welche Aktionen haben echte Wirkung und brauchen eine Freigabe? Zahlungen, externe Mails, Löschungen, Änderungen in Produktivsystemen. Für diese Liste gilt: Ein Mensch gibt frei, bevor etwas passiert.

Was Sie diese Woche vorbereiten können

Weil die konkreten Produkte teils noch in der Beta sind, empfehlen wir Vorbereitung statt Einführung. Diese Schritte kosten wenig und zahlen sich in jedem Fall aus, unabhängig davon, welche Plattform Sie später wählen.

1. Inventur der Zugänge. Listen Sie auf, auf welche Systeme KI-Werkzeuge in Ihrem Unternehmen heute schon zugreifen können: Postfächer, Laufwerke, Datenbanken, Entwicklungsumgebungen. Oft ist das mehr, als der Geschäftsführung bewusst ist.
2. Die Freigabe-Liste. Schreiben Sie eine kurze Liste von Aktionen, die nie ohne menschliche Freigabe stattfinden dürfen: Zahlung, externer Versand, Löschung, Änderung im Produktivsystem. Eine halbe Seite genügt.
3. Geheimnisse trennen. Prüfen Sie, wo Zugangsdaten und Schlüssel liegen, und ob ein Agent sie erreichen könnte. Was der Agent nicht lesen soll, gehört nicht in seine Reichweite.
4. Einen kleinen Pilot mit enger Grenze. Wenn Sie einen Agenten ausprobieren, dann zuerst mit einer Aufgabe, bei der im Fehlerfall wenig passieren kann, und mit einem getrennten Arbeitsbereich.
5. Beta-Status erfragen. Fragen Sie bei jedem Anbieter, welche Funktionen allgemein verfügbar sind und welche Beta oder Preview. Planen Sie produktive Prozesse nur auf Allgemeinverfügbares.

Wie das bei Amazing Agents aussieht

Wir beschreiben hier bewusst unser Vorgehen und keine Erfolgszahlen. Bei jedem Agenten, den wir einrichten, klären wir zuerst zwei Dinge: was er können soll und was er nicht können darf. Der Code-Operator ist dafür ein gutes Beispiel. Auf unserer Webseite steht, dass er Bugs, Fixes und Pull-Requests mit Ihrer Freigabe bearbeitet. Das „mit Ihrer Freigabe“ ist kein Zusatz, sondern ein Teil der Aufgabenbeschreibung: Der Agent bereitet vor, ein Mensch gibt frei. Unsere Webseite formuliert es allgemein so: Jeder Agent läuft in einem definierten Rahmen mit Freigabe-Schritten bei kritischen Aktionen.

Das ist der Unterschied zwischen einem Agenten mit Grenzen und Freigabe-Schritt und einem Agenten, der einfach „machen darf“. Der erste fällt im Fehlerfall auf eine begrenzte Umgebung und eine menschliche Prüfung zurück. Der zweite hat beides nicht.

Einordnung: Werkbank ja, Blankoscheck nein

Fassen wir zusammen. Eine Sandbox ist eine abgeschottete Werkbank, auf der ein Agent arbeiten kann, ohne an alles andere heranzukommen. Anthropic hat dazu am 19. Mai 2026 selbst gehostete Sandboxes als öffentliche Beta und MCP-Tunnel als Research Preview vorgestellt. Das zeigt, in welche Richtung der Markt geht: Die Ausführung von Werkzeugen soll dort stattfinden können, wo Sie es bestimmen. Gleichzeitig zeigt die Dokumentation, dass die Grenze nicht absolut ist, denn Ein- und Ausgaben fließen weiter zur Steuerungsebene des Anbieters.

Eine Sandbox ersetzt keinen Freigabe-Schritt. Sie begrenzt nur, was im Fehlerfall technisch passieren kann. Die Entscheidung, ob eine Zahlung, eine Mail oder eine Löschung stattfinden darf, bleibt bei einem Menschen. Wer beides zusammen denkt, die technische Grenze und die menschliche Freigabe, hat ein Setup, das auch dann trägt, wenn ein Agent sich einmal irrt.

Quellen

• Anthropic: „New in Claude Managed Agents: self-hosted sandboxes and MCP tunnels“, claude.com/blog/claude-managed-agents-updates, 19. Mai 2026 (Primärquelle).
• Anthropic: Dokumentation „Self-hosted sandboxes“, platform.claude.com (Status: Beta; abgerufen am 28. Oktober 2026).
• OWASP GenAI Security Project: „OWASP Top 10 for Agentic Applications for 2026“, genai.owasp.org, 9. Dezember 2025 (nur Titel und Datum geprüft, Einzelrisiken nicht eingesehen).