Claude Code auf eigener Infrastruktur: die Ausführung wandert zurück, das Transkript nicht

Anthropic hat am 6. August Self-hosted Environments für Claude Code angekündigt, als Public Beta. Eine Sitzung, die Sie im Web, auf dem Handy, im Desktop-Client oder aus einer Routine starten, läuft damit nicht mehr auf Anthropic-Infrastruktur, sondern in Ihrem Netz, neben Ihren internen Diensten, Werkzeugketten und Sicherheitskontrollen. Meine These: Die Ausführung wandert zurück hinter Ihre Netzgrenze, die Konversation nicht. Wer die Ankündigung als Datenschutzlösung liest, hat den Abschnitt zur Datenhaltung übersprungen.

Was sind Self-hosted Environments?

Es ist die Möglichkeit, Claude-Code-Sitzungen auf Rechnern auszuführen, die Sie selbst bereitstellen, statt auf von Anthropic betriebener Infrastruktur. Gestartet wird die Sitzung wie bisher von der Oberfläche Ihrer Wahl. Nur der Prozess, der Dateien liest, Befehle ausführt und Änderungen schreibt, sitzt danach bei Ihnen.

Anthropic nennt drei Gründe, aus denen Organisationen im Preview-Programm dazu gegriffen haben. Erstens Netzzugriff: Sitzungen laufen in Ihrem Netz und erreichen interne Dienste, Datenbanken und Registries, ohne dass Sie diese ins offene Internet stellen. Zweitens Anpassbarkeit: Compiler, SDKs und interne CLIs lassen sich vorinstallieren, sodass jede Sitzung arbeitsbereit startet. Drittens Compliance: Quellcode und Build-Artefakte bleiben auf Infrastruktur, die Sie kontrollieren.

Was bleibt bei Ihnen, was geht an Anthropic?

Bei Ihnen bleiben Repository-Checkouts, Build-Artefakte, Secrets und alle Dateien, die eine Sitzung anlegt oder verändert. An Anthropic geht die Konversation selbst: Prompts, Antworten und Werkzeugergebnisse, wobei Anthropic ausdrücklich schreibt, dass Werkzeugergebnisse Code enthalten können, den Claude liest. Die Inferenz passiert dort, und das Sitzungstranskript wird gespeichert, damit eine Sitzung von jeder Oberfläche aus aufgenommen werden kann.

Diese Trennung ist sauber formuliert, und sie ist der eigentliche Kern der Ankündigung. Was hier zurück ins Haus wandert, sind Daten im Ruhezustand und der Zugriff auf interne Systeme. Was das Haus weiterhin verlässt, ist das, was das Modell tatsächlich gesehen hat. Für eine Compliance-Bewertung sind das zwei verschiedene Fragen, und die zweite beantwortet Self-Hosting nicht. Dass die Speicherung des Transkripts hier ein Feature ist, nämlich die Fortsetzbarkeit über Geräte hinweg, macht die Sache nicht kleiner. Ich hatte das schon beim Global Workspace angemerkt: Das Transkript ist nicht der ganze Lauf, aber es ist der Teil, der Ihr Netz verlässt.

Wie läuft das technisch?

Sie betreiben eine Menge von Runnern. Das sind langlebige Prozesse, die Sitzungen aufnehmen und für jede einen Claude-Code-Prozess starten. Zwei Modi stehen zur Wahl. Im Fixed-Modus halten Sie eine feste Zahl von Runnern vor, über die Sitzungen verteilt werden. Im On-demand-Modus beobachtet ein Orchestrator die Warteschlange, startet Runner, wenn Sitzungen eintreffen, und stoppt sie, wenn die Arbeit fertig ist.

Ein Runner kann mehrere Sitzungen bedienen, jede Sitzung läuft aber in einem eigenen Checkout. Die Arbeit bleibt damit zwischen Entwicklern und Konten getrennt. Sitzungen von allen unterstützten Oberflächen laufen in dieselbe Umgebung, Sie richten sie also einmal ein.

Anthropic grenzt das ausdrücklich von Remote Control ab. Dort setzen Entwickler eine Sitzung fort, die auf ihrer eigenen Maschine läuft, vom Telefon oder aus dem Browser. Diese Sitzung endet, wenn die Maschine sie nicht mehr ausführt, und sie hängt an dem Nutzer, der claude gestartet hat. Self-hosted Environments laufen auf geteilter Infrastruktur, die ein Plattform-Team betreibt, und stehen jedem Nutzer offen. Das ist der Unterschied zwischen einem Laptop, der weiterläuft, und einem Dienst, den jemand verantworten muss.

Für wen ist das gedacht?

Bemerkenswert deutlich: Anthropic empfiehlt den meisten Unternehmen weiterhin das gehostete Angebot, wegen der operativen Einfachheit, ohne Infrastruktur, die betrieben und gewartet werden muss. Self-hosted Environments seien für Teams, deren Netz-, Werkzeug- oder Compliance-Anforderungen es verlangen, die Agenten-Ausführung auf eigener Infrastruktur zu halten. Wer diesen Weg geht, solle Personal dafür einplanen.

Was dazugehört, benennt die Ankündigung konkret: ein Team für Plattform, Developer Experience oder Entwicklerproduktivität übernimmt Einrichtung und laufenden Betrieb, dazu Bau und Pflege des Runner-Images, Updates der Runner und den Betrieb des Orchestrators, wenn Sie den On-demand-Modus nutzen. Das ist keine Konfigurationsoption, das ist ein Systemdienst mit Bereitschaft.

Verfügbar ist die Public Beta für Organisationen in den Plänen Claude Team und Enterprise. Sie ist standardmäßig aus, und für Organisationen mit Zero Data Retention steht sie nicht zur Verfügung. Die letzte Einschränkung ist der aufschlussreichste Satz der Ankündigung. Wenn Ihre Compliance-Anforderung lautet, dass nichts gespeichert wird, dann löst eigene Rechenleistung sie nicht, weil das Transkript weiterhin gespeichert wird.

Ein Kunde kommt in der Ankündigung zu Wort. George Jacob, Senior Engineering Manager, beschreibt den Aufbau so: Claude erzeuge PRs, helfe bei CI-Problemen und reagiere auf Ereignisse im Entwickler-Workflow, mit Rechenleistung, die mit dem Bedarf skaliert. Das ist ein präziser Anwendungsfall und zugleich die Stelle, an der ich genauer hinsehen würde: Ein Agent, der auf Workflow-Ereignisse reagiert, arbeitet ohne dass jemand ihn gerade gestartet hat.

Was heißt das für Ihre Arbeit?

Erstens: Der Vorteil ist der Zugriff, und der Zugriff ist das Risiko. Ein Agent, der interne Dienste, Datenbanken und Registries erreicht, ohne dass diese im offenen Internet stehen, ist genau deshalb nützlich. Er erreicht sie dann aber auch bei einem Lauf, der schiefgeht. Wenn Sie das einführen, gehören eigene Zugangsdaten pro Umgebung, ein enger Netzbereich und ein klarer Wirkungsradius zur Einführung, nicht in eine spätere Ausbaustufe.

Zweitens: Lesen Sie die Datenaussage als das, was sie ist. Sie gewinnen Kontrolle über Checkouts, Artefakte und Secrets. Sie gewinnen keine Kontrolle darüber, welcher Code als Werkzeugergebnis in der Konversation landet. Für eine Abstimmung mit Datenschutz oder Security ist das die Unterscheidung, die Sie sauber treffen müssen, bevor jemand die Beta einschaltet.

Drittens: Die Richtung ist bemerkenswert. Bei den Managed Agents wanderte die Ausführung zum Anbieter, hier wandert sie zum Kunden. Beides nimmt sie vom Laptop des Entwicklers weg, und beides ändert nichts an der Frage, wer das Ergebnis prüft. Genau das ist die Linie im Agentic Engineering: Verlässlichkeit steckt in der Architektur, nicht im Ort der Ausführung. Ein Runner in Ihrem Rechenzentrum ist ein Stück dieser Architektur. Die Prüfung des Diffs bleibt bei dem Menschen, der ihn verantwortet.

Quellen

• Anthropic: Run Claude Code sessions on your own compute