Claude Agent SDK oder Managed Agents: wie dein Unternehmen eigene Claude-Agenten baut

Das Claude Agent SDK ist die Bibliothek, mit der Entwickler den Agenten aus Claude Code in eigene Software einbauen, in Python oder TypeScript. Wer Server und Sandbox nicht selbst betreiben will, nimmt Claude Managed Agents: Dort führt Anthropic die Arbeitsschleife aus und berechnet neben den Tokens 0,08 US-Dollar je Stunde, in der eine Sitzung läuft. Wir haben die Dokumentation von Anthropic am 28. Oktober 2026 durchgearbeitet und zeigen, worin sich beide Wege unterscheiden, was ein Agent im Monat kostet, wo die Daten landen und welche Freigaben vor dem Start feststehen sollten.

Wer das Agent SDK selbst betreibt, braucht eigene Server oder Container. Bei Managed Agents läuft die Arbeitsschleife bei Anthropic. Foto: Christina Morillo auf Pexels

Was das Claude Agent SDK ist und was aus dem Claude Code SDK wurde

Das Claude Agent SDK gibt dir laut Anthropic „dieselben Werkzeuge, dieselbe Arbeitsschleife und dasselbe Kontextmanagement, die Claude Code antreiben“, programmierbar in Python und TypeScript. Technisch ist es eine Bibliothek, die das Claude-Code-Programm in einem Prozess startet, den du selbst betreibst: auf einem Server, in einem Container oder in einer Pipeline. Zum KI-Agenten wird das, weil Claude die Werkzeuge in einer Schleife selbst aufruft, bis die Aufgabe erledigt ist oder eine Grenze greift. Wie sich ein solches fertiges Harness von einem Framework unterscheidet, steht in unserem Beitrag Harness, Framework, SDK: der Unterschied.

Bis Ende September 2025 hieß das Paket Claude Code SDK. Am 29. September 2025 hat Anthropic es umbenannt, weil das Harness hinter Claude Code auch andere Agenten antreiben kann als Programmier-Agenten. Alte Anleitungen erkennst du an den Paketnamen claude-code-sdk und @anthropic-ai/claude-code sowie an der Python-Klasse ClaudeCodeOptions, die heute ClaudeAgentOptions heißt. Seit Version 0.1.0 nutzt das SDK außerdem nicht mehr automatisch den Systemprompt von Claude Code.

Offiziell gibt es das SDK nur für diese beiden Sprachen. Das gleichnamige Rust-Paket claude-agent-sdk auf crates.io gehört einem einzelnen Nutzerkonto, die letzte Version stammt vom 30. September 2025, und das Repository unter github.com/anthropics, auf das es verweist, existiert nicht. Für andere Sprachen empfiehlt Anthropic, die Kommandozeile von Claude Code mit dem Schalter -p und JSON-Ausgabe als Unterprozess aufzurufen.

Was im SDK steckt, zählt die Dokumentation so auf:

• Eingebaute Werkzeuge zum Lesen, Schreiben und Bearbeiten von Dateien, für Shell-Befehle, Dateisuche, Websuche und den Abruf von Webseiten.
• Mit Hooks läuft eigener Code an festen Punkten, etwa vor und nach jedem Werkzeugaufruf. So blockierst du gefährliche Befehle oder schreibst jede Dateiänderung in ein Prüfprotokoll.
• Unteragenten übernehmen abgegrenzte Teilaufgaben.
• Über MCP dockt der Agent an eure Systeme an; was dabei sicher ist, steht in unserem Beitrag wie Claude über MCP an eure Firmensysteme andockt.
• Skills liegen als Ordner mit einer SKILL.md im Projekt, Claude lädt sie, wenn es sie braucht. Wie du einen eigenen Skill mit einer SKILL.md anlegst, zeigt unsere Anleitung.
• Eine Sitzung speichert den Gesprächsverlauf auf der Festplatte, damit du sie fortsetzen kannst. Den Stand der Dateien sichert sie nicht.

Wer die Schleife lieber selbst programmiert, nimmt das normale Client-SDK der Claude API. Dort schreibst du die Werkzeugschleife laut Anthropic selbst oder überlässt sie dem Tool Runner, der noch als Beta läuft.

Claude Managed Agents: Anthropic betreibt den Agenten

Claude Managed Agents hat Anthropic am 8. April 2026 als öffentliche Beta gestartet, und eine Beta ist es bis heute: Die Endpunkte verlangen den Beta-Header managed-agents-2026-04-01, Memory Stores einen eigenen, und freigeschaltet ist der Zugang standardmäßig für jedes API-Konto. Du konfigurierst den Agenten über die Claude API, Anthropic betreibt die Arbeitsschleife. Der Agent bündelt Modell, Systemprompt, Werkzeuge, MCP-Server und Skills. Das Environment legt fest, wo die Sitzungen laufen. Eine Session ist eine laufende Instanz für eine konkrete Aufgabe, und über Events tauschen deine Anwendung und der Agent Nachrichten, Werkzeugergebnisse und Statusmeldungen aus.

Für die Sandbox, in der der Agent Code ausführt und Dateien bearbeitet, gibt es zwei Varianten. In der Cloud-Umgebung bekommt jede Sitzung einen frischen Linux-Container bei Anthropic, mit Ubuntu 24.04, bis zu 8 GB Arbeitsspeicher und bis zu 10 GB Festplatte. Bei der selbst betriebenen Sandbox läuft ein Worker auf deiner Infrastruktur und führt Shell- und Dateibefehle aus. Claude selbst läuft auch dann bei Anthropic und entscheidet dort, welches Werkzeug als nächstes dran ist.

Dazu liefert Managed Agents fertig, was du beim SDK selbst bauen müsstest. Zugangsdaten für Drittdienste legst du einmal in einem Vault ab und verweist bei jeder Sitzung darauf. Memory Stores tragen Wissen über Sitzungen hinweg, etwa Projektkonventionen oder frühere Fehler. Bei Outcomes beschreibst du das Ziel mit einer Bewertungsrubrik, und ein eigener Prüfer mit separatem Kontextfenster bewertet das Ergebnis. Seit dem 9. Juni 2026 lassen sich Agenten per Cron-Zeitplan starten, und für jede Sitzung kannst du ein hartes Ausgabenlimit setzen. Innerhalb der Beta stecken nur noch MCP-Tunnel und Dreaming in einer engeren Research Preview mit Zugangsanfrage.

„Der Unterschied liegt darin, wo sie laufen: Das SDK läuft in einem Prozess, den du betreibst, Managed Agents laufen in der Infrastruktur von Anthropic.“

— Anthropic, Migrationsanleitung vom Agent SDK zu Managed Agents, abgerufen am 28. Oktober 2026 (übersetzt)

Agent SDK oder Managed Agents: der Vergleich

Beide Wege führen zu einem Claude-Agenten mit Werkzeugen, Rechten und Sitzungen. Sie unterscheiden sich darin, wer was betreibt und wohin die Daten fließen.

Wann du weder SDK noch Managed Agents brauchst

Beide Wege setzen jemanden voraus, der programmiert und Software betreibt. Für Wissensarbeit wie Berichte, Angebote nach Vorlage oder Recherchen reichen oft Claude-Projekte mit Skills und geplanten Aufgaben, für Abläufe über mehrere Systeme ein Baukasten wie n8n, in Häusern mit Microsoft 365 auch Copilot Studio. Welche Werkzeuge es gibt und welches Werkzeug für deinen ersten KI-Agenten passt, vergleicht unser Ratgeber mit Preisstand. Ideen, welche Aufgaben sich eignen, liefern die sieben Aufgaben, die Claude-Agenten heute schon selbstständig erledigen.

Das SDK lohnt sich, wenn der Agent in eure eigene Software, ein Kundenportal oder eine Build-Pipeline gehört, wenn ihr Rechte und Protokolle bis ins Detail selbst bestimmen wollt oder wenn die Datenvorgaben einen Cloud-Anbieter mit EU-Endpunkt verlangen.

Was ein eigener Claude-Agent im Monat kostet

Die Bibliothek kostet nichts. Du zahlst die Tokens des Modells nach der API-Preisliste, Stand 28. Oktober 2026, je Million Tokens für Eingabe und Ausgabe: Claude Haiku 5.5 kostet bei Prompts bis 100.000 Tokens 0,10 und 0,50 US-Dollar, Claude Sonnet 5.5 kostet 2 und 10 US-Dollar, Claude Opus 5.5 4 und 20 US-Dollar. Ein Cache-Treffer kostet bei Sonnet 5.5 und Opus 5.5 nur 5 Prozent des Eingabepreises, das hilft bei Agenten, die in jeder Runde dieselben Anweisungen mitschicken. Eine Websuche kostet 10 US-Dollar je 1.000 Suchen. Wer die Inferenz auf die USA festlegt, zahlt das 1,1-Fache. Vorsicht bei alten Messwerten: Claude 4.7 und neuere Modelle erzeugen für denselben Text rund 30 Prozent mehr Tokens.

Ein Beispiel mit Annahmen der Redaktion: Ein Agent prüft 600 Eingangsrechnungen im Monat gegen Bestellung und Wareneingang. Je Rechnung verbraucht er 25.000 Eingabe- und 2.500 Ausgabe-Tokens, über mehrere Runden mit Werkzeugaufrufen, und rechnet zwei Minuten.

Den Containerpreis nennt Anthropic selbst als Richtwert für einen minimal ausgestatteten Container und schreibt dazu, dass die Token-Kosten die Infrastruktur meist um eine Größenordnung oder mehr übersteigen. Für Sonnet und Opus mit Containern nur während der Läufe bestätigt die Rechnung das. Mit Haiku oder einem Container rund um die Uhr liegen Server- und Token-Kosten in derselben Größenordnung, und bei Haiku mit Dauer-Container kostet der Server sogar mehr als alle Tokens. Ähnlich bei Managed Agents: Bei Sonnet und Opus fällt die Laufzeitgebühr kaum ins Gewicht, bei Haiku hebt sie die Monatskosten von 2,25 auf 3,85 US-Dollar. Sie zählt nur, solange die Sitzung rechnet; Wartezeit auf die nächste Nachricht oder eine Freigabe kostet nichts. Den größten Hebel hat die Modellwahl, zwischen Haiku 5.5 und Opus 5.5 liegt hier der Faktor 40. Teste deshalb mit dem kleinsten Modell, das die Aufgabe sauber erledigt. Die Preislogik im Detail, mit Cache und Batch, steht in unserem Beitrag Claude-API-Kosten kalkulieren.

Für kleine Teams interessant: Seit dem 7. Oktober 2026 enthalten Max- und Team-Pläne monatliche API-Guthaben, die auch für das Agent SDK und für Managed Agents gelten. Im Team-Plan sind es 20 US-Dollar je Standard- und 100 US-Dollar je Premium-Platz, zusammengelegt und bei 500 US-Dollar gedeckelt. Ein Team mit zehn Standard-Plätzen bekommt also 200 US-Dollar im Monat, mehr als die Sonnet-Rechnung oben braucht. Das Guthaben verfällt am Ende jedes Abrechnungszeitraums, gilt nur mit API-Schlüsseln der verknüpften Console-Organisation und nicht über Bedrock, Vertex AI oder Foundry.

Eine Falle bei der Abrechnung: Die Kostenfelder im SDK sind laut Anthropic nur Schätzungen auf deiner Seite. Wer intern oder gegenüber Kunden abrechnet, nimmt die Usage and Cost API oder die Verbrauchsseite der Claude Console.

Abo oder API-Schlüssel: was Anthropic erlaubt

Für eigene Zwecke kannst du das Agent SDK mit deinem Claude-Plan nutzen: Wer damit angemeldet ist, verbraucht die Nutzungslimits des Abos. Eine angekündigte Trennung in eigene Agenten-Kontingente hat Anthropic am 15. Juni 2026 pausiert, ein neues Datum nennt der Hilfeartikel nicht. Für einen Agenten, der im Betrieb läuft, ist der API-Schlüssel trotzdem der saubere Weg, weil Abrechnung, Limits und Zugriff dann an der Organisation hängen statt am persönlichen Login eines Mitarbeiters. Wie du ihn anlegst, steht in unserer Anleitung Claude-API-Schlüssel erstellen.

Strenger sind die Regeln, sobald Kunden den Agenten nutzen. Ohne vorherige Genehmigung von Anthropic darfst du in deinem Produkt weder den claude.ai-Login noch die Nutzungslimits eines Claude-Abos anbieten, das gilt ausdrücklich auch für Agenten auf Basis des Agent SDK. Beim Namen ist „Claude Agent“ erlaubt, ebenso „Dein Agentenname Powered by Claude“, wenn dein Agent schon einen eigenen Namen hat; „Claude Code“ oder „Claude Code Agent“ sind tabu, und das Produkt darf nicht wie ein Anthropic-Produkt auftreten.

Für die Nutzung des SDK gelten die Commercial Terms of Service von Anthropic, auch wenn du damit Produkte für eigene Kunden betreibst. Quelloffen ist nur der Python-Teil unter MIT-Lizenz, das TypeScript-Repository steht unter „All rights reserved“, und bei den meisten Installationen bringen beide Pakete das Claude-Code-Programm mit, dessen Version an die SDK-Version gekoppelt ist.

Datenregion, Aufbewahrung und DSGVO

Bei der Claude API ist Anthropic Auftragsverarbeiter, und der Auftragsverarbeitungsvertrag mit EU-Standardvertragsklauseln ist automatisch Teil der Commercial Terms. Ein- und Ausgaben aus kommerziellen Produkten wie der API nutzt Anthropic standardmäßig nicht für das Training seiner Modelle. Das klingt gut, löst aber die Ortsfrage nicht: Für die Inferenz kennt die Claude API nur die Werte „global“ und „us“, der Speicherort eines Workspace kann derzeit nur „us“ sein. Eine EU-Region gibt es nicht. Was das für Team-Pläne und Verträge bedeutet, steht in unserem Beitrag zu Zero Data Retention und Speicherfristen bei Claude.

Für das Agent SDK gibt es einen Ausweg. Es läuft auch über Amazon Bedrock, Google Cloud und Microsoft Foundry, du schaltest das über eine Umgebungsvariable um, etwa CLAUDE_CODE_USE_BEDROCK=1. Regionale und Multi-Region-Endpunkte kosten dort 10 Prozent mehr als globale, und bei Bedrock und dem von Google betriebenen Angebot ist der Cloud-Anbieter der Auftragsverarbeiter. Welche Modelle es in welcher Region gibt, prüfst du je Modell beim Anbieter; Google bietet für neuere Modelle nur noch globale und Multi-Region-Endpunkte an. Die Feinheiten des AWS-Wegs, etwa welche Regionen zur EU-Geografie von Bedrock zählen, erklärt unser Beitrag Claude auf AWS Bedrock.

Managed Agents fehlt dieser Ausweg. Über Bedrock, Foundry und das von Google betriebene Angebot ist es nicht verfügbar. Auch mit selbst betriebener Sandbox gehen Gesprächsverlauf, Werkzeugergebnisse, Skills und Memory Stores an Anthropic, nur Dateien und Prozesse der Sandbox bleiben auf deinem Worker; Websuche und Webabruf laufen immer bei Anthropic. Weil Managed Agents Verlauf, Sandbox-Zustand und Ergebnisse serverseitig speichert, ist es laut Anthropic derzeit nicht für Zero Data Retention geeignet. Sitzungsprotokolle bleiben gespeichert, bis du sie löschst. Lege deshalb von Anfang an fest, wer abgeschlossene Sitzungen per API löscht und in welchem Rhythmus.

Zwei Details für das Datenschutzkonzept. Anthropic beschreibt die Standard-Aufbewahrung der API an zwei Stellen unterschiedlich: Das Privacy Center nennt eine Löschung binnen 30 Tagen, die API-Doku sagt, Gesprächsinhalte würden standardmäßig nicht aufbewahrt, außer bei den Covered Models mit 30 Tagen. Zu diesen Modellen gehört Claude Fable 5.1, für das Zero Data Retention ohne ausdrückliche Genehmigung nicht möglich ist. Und auch mit ZDR-Vertrag kann Anthropic Ein- und Ausgaben bis zu zwei Jahre aufbewahren, wenn die automatische Sicherheitsprüfung eine Sitzung markiert.

Rechte und Freigaben: wie du den Agenten begrenzt

Ein Agent, der Dateien schreibt, Befehle ausführt und Mails verschickt, braucht Grenzen, bevor er zum ersten Mal läuft. Anthropic nennt als Risiko ausdrücklich Prompt Injection, also Anweisungen, die in verarbeiteten Inhalten wie einer Rechnung oder einer Webseite versteckt sind, sowie schlichte Modellfehler.

Im SDK prüft jede Werkzeuganfrage eine feste Reihenfolge: erst Hooks, dann Verbotsregeln, Nachfrageregeln, der Rechtemodus, Erlaubnisregeln und zuletzt der Callback canUseTool, über den deine Anwendung einen Menschen fragen kann. Eine Verbotsregel greift selbst im Modus bypassPermissions. Von den sechs Rechtemodi passt dontAsk für Hintergrund-Agenten ohne Menschen zur Freigabe: Er fragt nie und lehnt jeden Aufruf ab, der sonst eine Freigabe bräuchte und nicht vorab erlaubt ist; Lesezugriffe im Arbeitsverzeichnis laufen trotzdem. bypassPermissions führt Werkzeugaufrufe ohne Rückfrage aus, Verbotsregeln ausgenommen, und ist nur für isolierte Umgebungen gedacht. Eine Falle steckt in allowedTools: Die Liste genehmigt die genannten Werkzeuge automatisch, sperrt aber die übrigen nicht, und eine Regel wie Bash(npm *) genehmigt nur passende Befehle, ohne andere zu blockieren. Sperren geht über disallowedTools, auch eng gefasst wie Bash(rm *), über Hooks oder über allowedTools zusammen mit dem Modus dontAsk, den Anthropic für abgeschottete Agenten empfiehlt. Rundenzahl und Budget sind ohne eigene Werte unbegrenzt, und eine Sitzung hat kein eingebautes Zeitlimit.

Anthropic schreibt selbst, die Befehlsprüfung von Claude Code sei eine Freigabeschranke und keine Sandbox. Für den Betrieb empfiehlt die Doku deshalb mehrere Schichten: nur benötigte Verzeichnisse einbinden, möglichst schreibgeschützt, ausgehenden Verkehr über einen Proxy auf freigegebene Ziele begrenzen und Zugangsdaten über diesen Proxy einspeisen, damit sie nie im Container liegen. Läuft der Agent nur über einen solchen Proxy ins Netz, kann er laut Anthropic selbst nach einer Prompt Injection keine Daten an beliebige Server schicken.

Bei Managed Agents setzt du je Werkzeug eine Richtlinie. Prüfe die Voreinstellungen: Das eingebaute Werkzeugpaket mit Shell, Dateizugriff und Web steht auf always_allow, nur MCP-Werkzeuge stehen auf always_ask. Per API angelegte Cloud-Umgebungen haben standardmäßig uneingeschränkten Netzzugang, und Vaults gelten für den ganzen Workspace, jeder API-Schlüssel mit Zugriff auf den Workspace kann sie nutzen. Ein eigener Workspace je produktivem Agenten hält das klein.

Spricht der Agent direkt mit Kunden, etwa als Chat auf deiner Website, kommt die KI-Verordnung dazu: Nach Artikel 50 Absatz 1 und 5 müssen Menschen seit dem 2. August 2026 spätestens bei der ersten Interaktion erfahren, dass sie mit einem KI-System sprechen, außer es ist offensichtlich. Wann dein Unternehmen dabei als Anbieter gilt, erklärt unser Ratgeber KI-Agent erstellen.

Betrieb: was nach dem Start Arbeit macht

Das SDK sieht aus wie eine normale Bibliothek, im Betrieb verhält es sich anders. Laut Anthropic startet es für jede Sitzung einen eigenen Claude-Code-Unterprozess mit Shell, Arbeitsverzeichnis und Sitzungsdateien, und das zu hosten sei etwas anderes als eine zustandslose API-Hülle. Als Startwert je Agent nennt die Doku 1 GiB Arbeitsspeicher, 5 GiB Festplatte und eine CPU, der Speicherbedarf wächst mit Sitzungsdauer und Werkzeugnutzung.

Drei Punkte kosten im Alltag Zeit. Sitzungsprotokolle, CLAUDE.md und Arbeitsdateien liegen standardmäßig im Container und überstehen keinen Neustart; wer Sitzungen über kurzlebige Container fortsetzen will, braucht einen SessionStore. Weil das mitgelieferte Claude-Code-Programm an die SDK-Version gekoppelt ist, aktualisierst du beides zusammen; Anthropic empfiehlt, Patch-Releases laufend zu übernehmen und vor jedem Minor-Release den Changelog zu lesen. Und wer mehrere Kunden aus einem Container bedient, muss Einstellungen und CLAUDE.md-Dateien abschotten, sonst kann Kontext eines Mandanten in die Sitzung eines anderen geraten; Anthropic nennt dafür unter anderem settingSources: [].

Bei Managed Agents mit Cloud-Sandbox betreibt Anthropic Container und Sitzungsspeicher. Dafür arbeitest du mit einer Beta, deren Schnittstelle über den Header managed-agents-2026-04-01 versioniert ist, und mit Limits von 300 Erstell- und 1.200 Leseanfragen pro Minute je Organisation.

Der erste eigene Agent: so gehst du vor

1. Eine Aufgabe, ein messbares Ergebnis. Ein eng geschnittener Ablauf wie die Rechnungsprüfung aus dem Beispiel oben lässt sich nach vier Wochen bewerten, ein Allzweck-Assistent nicht.
2. Die Datenfrage vor der Technikfrage. Welche Daten sieht der Agent, und dürfen sie in die USA? Die Antwort entscheidet zwischen SDK über einen Cloud-Anbieter, SDK über die Claude API und Managed Agents.
3. Budget und Rundenzahl gehören in die Konfiguration, bevor der erste Lauf startet: max_budget_usd und max_turns im SDK, das Sitzungsbudget bei Managed Agents.
4. Alles, was das Haus verlässt oder Geld bewegt, geht über eine menschliche Freigabe, im SDK per canUseTool, bei Managed Agents per always_ask.
5. Ein Protokoll jedes Laufs über Hooks oder die Events der Sitzung. Nach vier Wochen zählst du Fehlerquote, Kosten je Vorgang und gesparte Arbeitszeit.

Bevor ein eigener Agent entsteht, steht in vielen Unternehmen die Einführung von Claude im Team an. Wie wir die begleiten, steht auf unserer Seite Claude für Unternehmen; einen Überblick über Modelle, Pläne und Werkzeuge gibt Claude im Unternehmen.

Celina Finger

Content Strategist, Collective Brain GmbH · Hamburg

Content Strategist bei Collective Brain. Spezialisiert auf B2B-Content für den Mittelstand.

Beratung anfragen