Ein Browser-Fenster, in dem Claude selbstständig klickt, tippt und zwischen Tabs wechselt, klang vor einem Jahr noch nach Zukunftsmusik. Seit dem 26. August 2026 ist genau das für jeden bezahlten Claude-Zugang freigegeben, nach einem Jahr aus Pilotprogramm und Beta. Was Claude in Chrome im Arbeitsalltag eines Unternehmens tatsächlich übernimmt, wo die Erweiterung an ihren Sicherheitsgrenzen scheitert und warum Enterprise-Admins gerade jetzt in die Organisationseinstellungen schauen sollten.
Ein Chat-Fenster reicht Claude in Chrome nicht mehr, die Erweiterung greift direkt in die Seite ein. Foto: Matheus Bertelli auf Pexels
Inhalt · 9 Abschnitte
Was Claude in Chrome technisch von einem Chatfenster unterscheidet
Der normale Claude-Chat beantwortet Fragen und schreibt Text, mehr nicht, er sieht die Website vor dir nicht und kann nichts anklicken. Claude in Chrome ist eine eigene Erweiterung, die als Seitenleiste neben dem eigentlichen Browserfenster sitzt und dabei permanent mitliest, was gerade auf dem Bildschirm passiert. Erteilt man ihr die Erlaubnis, handelt sie auch: Buttons klicken, Formularfelder ausfüllen, zwischen Tabs wechseln, Konsolenfehler und den DOM-Zustand einer Seite direkt auslesen. Wer sich noch keinen Grundüberblick über Claude im Unternehmenseinsatz verschafft hat, findet dort den Einstieg, denn Chrome-Zugriff setzt ein bestehendes bezahltes Konto voraus, ein eigenständiges Produkt ist die Erweiterung nicht.
Der Unterschied zu reinen Automatisierungstools wie klassischen Browser-Makros liegt darin, dass Claude die Seite versteht statt nur vordefinierte Klick-Koordinaten abzuspielen. Ändert sich das Layout einer Webanwendung, merkt ein starres Makro-Skript das nicht und klickt ins Leere. Claude liest stattdessen, was tatsächlich auf dem Bildschirm steht, und passt seine nächste Aktion daran an. Das macht die Erweiterung robuster gegenüber Layoutänderungen, aber auch unberechenbarer, denn niemand kann vorab exakt festlegen, welchen Weg der Agent zu einem Ziel nimmt.
Der Weg von der Pilotphase zur allgemeinen Freigabe
Anthropic hat die Erweiterung über ein volles Jahr in klar dokumentierten Etappen ausgerollt, was für ein Unternehmen, das über die eigene Einführung nachdenkt, ein brauchbarer Gradmesser für den Reifegrad ist:
Am 26. August 2025 startete der erste Testlauf mit tausend Max-Nutzern, ausdrücklich als Experiment deklariert. Am 16. September wurde der Kreis auf zehntausend Max-Nutzer erweitert, ergänzt um langlaufende Workflows und Slash-Befehle für gespeicherte Prompts. Am 29. September übernahm Sonnet 4.5 die Standardrolle mit besserer Mehrfach-Tab-Unterstützung und cleverer Navigation auf verbreiteten Plattformen wie Slack, Gmail und GitHub. Am 15. Oktober wechselte der Standard auf das schnellere Haiku 4.5, dazu kamen automatisierte Bildupload-Verarbeitung und Screenshot-Markierungen. Am 24. November öffnete sich die Beta für alle Max-Abonnenten, inklusive geplanter Aufgaben und Workflow-Freigaben. Am 18. Dezember 2025 öffnete sich die Beta für Pro-, Team- und Enterprise-Konten, mit Claude-Code-Integration, Aufzeichnung von Automatisierungsabläufen und Admin-Kontrollen für Organisationen.
Danach vergingen noch einmal gut acht Monate. Am 26. August 2026 erklärte Anthropic Claude in Chrome für allgemein verfügbar, auf jedem bezahlten Plan. Mit diesem Schritt änderte sich die Grundeinstellung: Claude arbeitet eine Aufgabe durch, ohne jeden Klick einzeln bestätigen zu lassen, und ein Sicherheitsklassifikator prüft jede Aktion vor der Ausführung. Wer lieber weiter jeden Schritt abnickt, findet den alten Modus in den Einstellungen. Auf Team-Konten ist die Erweiterung seither standardmäßig für die Organisation freigegeben. Auf Enterprise-Konten war sie zunächst aus und schaltet sich seit dem 10. September 2026 von selbst ein, sofern ein Admin sie nicht vorher deaktiviert hat.
Diese Schrittfolge zeigt, dass Anthropic bei einem Produkt, das direkten Zugriff auf reale Webseiten samt Zahlungsformularen und Kundendaten bekommt, bewusst langsamer vorgegangen ist als bei reinen Text-Features. Für ein Unternehmen heißt das: Hinter der Erweiterung liegt ein Jahr dokumentierter Härtetest, vom ersten Experiment mit tausend Nutzern bis zur allgemeinen Freigabe.
Wofür Unternehmen die Erweiterung heute tatsächlich einsetzen
Anthropic selbst nennt in der eigenen Ankündigung interne Beispiele: Kalender verwalten, Termine koordinieren, Antwortentwürfe für E-Mails vorbereiten, Spesenabrechnungen bearbeiten und neue Website-Funktionen testen. Das sind Bürotätigkeiten, keine Ausnahmefälle, und genau darin liegt der Unterschied zu früheren KI-Tools, die vor allem Text produzierten und den Rest dem Menschen überließen.
In der Praxis kristallisieren sich drei Einsatzfelder heraus. Vertriebsteams lassen sich Salesforce-Opportunities zusammenfassen und E-Mail-Entwürfe direkt in Gmail vorbereiten, ohne Daten manuell zwischen Systemen hin und her zu kopieren, ein Arbeitsschritt, der bei vielen Vertrieblern täglich mehrfach anfällt. Verwaltungskräfte nutzen die Erweiterung, um Postfächer nach Marketingmails und Newslettern zu durchsuchen und Kalendertermine abzustimmen, ohne jede Anfrage einzeln zu bearbeiten. Support-Teams in Zendesk bekommen KI-gestützte Antwortvorschläge direkt im Ticket-Kontext angezeigt, statt in ein separates Chatfenster wechseln zu müssen.
Dazu kommt ein Einsatzfeld, das speziell IT-nahe Teams betrifft: Wer bereits mit Claude Code im Team automatisiert, kann im Terminal bauen und direkt im Browser testen und verifizieren, samt Zugriff auf Konsolenfehler und DOM-Zustand. Der Wechsel zwischen Entwicklungsumgebung und Browser, der bislang viel manuelles Kopieren von Fehlermeldungen bedeutete, entfällt dadurch weitgehend.
Claude for Chrome lets Claude handle tasks across your browser tabs.
— Anthropic, Ankündigung „Piloting Claude in Chrome”, claude.com
Das Sicherheitsrisiko, das Anthropic selbst offenlegt
Ein Agent, der Buttons klickt und Formulare ausfüllt, ist ein attraktives Angriffsziel, denn eine Webseite kann versteckte Anweisungen enthalten, die den Agenten zu Handlungen verleiten, die der eigentliche Nutzer nie erteilt hat. Anthropic nennt dieses Risiko offen beim Namen und hat es in eigenen Tests systematisch gemessen, statt es zu beschönigen: In 123 Testfällen über 29 Angriffsszenarien lag die Erfolgsquote solcher Prompt-Injection-Angriffe ohne Schutzmaßnahmen bei 23,6 Prozent, mit den implementierten Abwehrmechanismen sank sie auf 11,2 Prozent im autonomen Modus. Bei browserspezifischen Angriffsmustern, die gezielt auf Chrome-Erweiterungen zugeschnitten waren, fiel die Quote von 35,7 auf 0 Prozent.
Die Abwehr bestand damals aus mehreren Schichten: Nutzer mussten jeder Website einzeln Zugriff erteilen und konnten ihn jederzeit wieder entziehen, hochriskante Aktionen wie Veröffentlichen, Kaufen oder das Teilen persönlicher Daten erforderten eine explizite Bestätigung, ein verbesserter Systemprompt gab Claude klare Regeln zum Umgang mit sensiblen Daten mit, und Websites aus Hochrisiko-Kategorien wie Finanzdienstleistungen, Erwachseneninhalten und Piraterie-Plattformen waren standardmäßig gesperrt.
Mit der allgemeinen Freigabe im August 2026 hat Anthropic diese Architektur umgebaut. Die Bestätigung für jeden einzelnen Schritt ist als Grundeinstellung gefallen, an ihre Stelle tritt ein Sicherheitsklassifikator, der jede Aktion vor der Ausführung prüft, auf Risiko und auf Anweisungen, die eine Seite im Text versteckt hat. Es ist derselbe Mechanismus, der im Auto-Modus von Claude Code arbeitet. In den Angriffstests zur Freigabe kam mit diesen Schutzschichten kein einziger Angriff mehr gegen Sonnet 5, Opus 5 und Mythos 5 durch, gegen Fable 5 gelangen 0,3 Prozent der Versuche. Die Website-Freigaben und die Sperrlisten für Hochrisiko-Kategorien gelten weiter.
Was unabhängige Forscher an Browser-Agenten messen
Diese Zahlen stammen aus Anthropics eigenem Haus. Ein Team der University of Washington um Franziska Roesner und David Kohlbrenner hat sieben agentische Browser von außen untersucht, darunter Claude in Chrome, Chrome mit Gemini, Perplexity Comet, Brave Leo, Edge mit Copilot, Firefox AI Mode und den inzwischen am 9. August 2026 abgeschalteten ChatGPT Atlas. Das Ergebnis, veröffentlicht am 30. Juni 2026 und im April auf dem Workshop Agents in the Wild in Rio de Janeiro vorgestellt: Bei vier der sieben lässt sich die Same-Origin-Policy aushebeln, also jene Grundregel des Webs, die verhindert, dass eine geöffnete Seite die Daten einer anderen mitliest. Das Bild dazu liefert die Gruppe selbst: eine Anzeige auf einer Mailseite, die sich aus dem Postfach daneben bedient.
Funktionierend vorgeführt haben die Forscher den Datendiebstahl beim Agent-Modus von Atlas. Die Voraussetzungen dafür fanden sie auch bei Chrome mit Gemini, bei Perplexity Comet und bei Claude in Chrome. Vor Claude in Chrome warnen sie dabei ausdrücklich, weil die Erweiterung als Browser-Erweiterung mehr darf als die Konkurrenz, bis hin zum Einschleusen von JavaScript in eine offene Seite. Brave, Edge und Firefox kommen besser weg, können dafür aber auch weniger.
Zwei Einschränkungen gehören zu diesem Befund. Die Messungen stammen aus Januar und Februar 2026 und damit aus der Zeit vor dem Sicherheitsumbau zur allgemeinen Freigabe. Und einen geglückten Angriff auf Claude in Chrome hat die Gruppe nicht gezeigt, nur die Bedingungen dafür. Das Urteil fällt trotzdem deutlich aus:
Browser agents aren’t ready for the public. You should not trust that these systems are ready to truly protect your information.
— Forschungsteam der University of Washington, Mitteilung vom 30. Juni 2026
Wie der Rollout im eigenen Unternehmen aussehen sollte
Seit dem 10. September 2026 stellt sich diese Frage anders als noch im Sommer. Auf Team-Konten ist die Erweiterung ohnehin standardmäßig freigegeben, auf Enterprise-Konten schaltet sie sich seitdem von selbst ein, wenn niemand aktiv widersprochen hat. Der erste Schritt heißt deshalb Bestandsaufnahme: In den Organisationseinstellungen unter Claude in Chrome steht, ob bei euch längst läuft, was ihr noch für ungenutzt haltet. Die Installation auf dem einzelnen Rechner läuft wie bei jeder anderen Chrome-Erweiterung über den Chrome Web Store; Organisationen können sie auch über die Google-Workspace-Admin-Konsole oder ihr MDM ausrollen. Der eigentliche Aufwand steckt in der Rechtevergabe: Jeder Mitarbeiter entscheidet zunächst selbst, welchen Websites er Zugriff gewährt, und genau hier lohnt sich eine klare interne Leitlinie, welche Domänen grundsätzlich freigegeben werden dürfen und welche tabu bleiben, etwa das eigene Buchhaltungssystem oder Kundendatenbanken mit besonders sensiblen Feldern.
Team- und Enterprise-Konten bekommen dafür zusätzliche Werkzeuge an die Hand: zentrale Freigabe- und Sperrlisten auf Organisationsebene, wobei die Sperrliste unabhängig von allen anderen Einstellungen greift, die Möglichkeit, den Zugriff auf bestimmte Claude-Modelle zu beschränken, und eine Übersicht, wie die Erweiterung im Unternehmen tatsächlich genutzt wird. Eine Stolperfalle steckt in der Trennung zweier Schalter: Claude in Chrome und Claude Cowork werden getrennt verwaltet. Wer die Erweiterung für die Organisation freigibt, hat damit noch nicht entschieden, ob Claude sie auch innerhalb von Cowork benutzen darf. Wer bereits einen DSGVO-konformen Claude-Rollout mit AVV und Team-Regeln aufgesetzt hat, sollte die Chrome-Erweiterung als eigenen Punkt in diese Regeln aufnehmen, denn anders als der reine Chat greift sie aktiv auf Live-Daten in Webanwendungen zu, nicht nur auf Texteingaben.
Sinnvoll ist außerdem, mit einem eng abgegrenzten Pilotkreis zu starten, etwa dem Vertriebsteam für CRM-Zusammenfassungen oder der Buchhaltung für wiederkehrende Formularaufgaben, statt die Erweiterung sofort unternehmensweit laufen zu lassen. So lässt sich beobachten, welche Aktionen der Klassifikator von sich aus durchwinkt und ob die Standard-Sperrlisten für den eigenen Software-Stack ausreichen, bevor der Kreis wächst. Für die ersten Wochen im Pilotkreis lohnt es sich, den eigenständigen Modus abzuschalten und jeden Schritt bestätigen zu lassen. Das kostet Zeit, zeigt aber, welche Wege der Agent in euren Webanwendungen tatsächlich nimmt.
Wo die Erweiterung an ihre Grenzen stößt
So nützlich Claude in Chrome für wiederkehrende Browseraufgaben ist, für drei Situationen taugt die Erweiterung heute noch wenig. Erstens bei Websites aus den standardmäßig gesperrten Hochrisiko-Kategorien: Finanzdienstleister, Erwachseneninhalte und Piraterie-Plattformen bleiben blockiert, unabhängig davon, wie viel Vertrauen ein Unternehmen intern in den eigenen Einsatz hat. Wer also etwa das eigene Online-Banking-Portal per Agent bedienen lassen will, läuft gegen eine bewusste Anthropic-Sperre, keine Fehlkonfiguration.
Zweitens bei Aufgaben, die eine Entscheidung mit echten finanziellen oder rechtlichen Folgen enthalten. Bei allem, was nach Veröffentlichen, Kaufen oder dem Teilen persönlicher Daten aussieht, holt Claude weiterhin eine Bestätigung ein, auch im eigenständigen Modus. Ein vollständig durchlaufender End-zu-Ende-Prozess, etwa eine automatische Bestellauslösung ohne jede Zwischenprüfung, ist damit weiter nicht vorgesehen. Wer das erwartet, wird enttäuscht, wer es als eingebaute Sicherung versteht, kann damit arbeiten.
Drittens überall dort, wo eure internen Regeln über die Unbedenklichkeit einer Aktion entscheiden. Der Sicherheitsklassifikator urteilt in Sekundenbruchteilen und kennt nur die Aktion, die gerade ansteht. Ob ein Angebot im CRM überschrieben werden darf, ob ein Ticket ohne Rückfrage geschlossen werden darf, ob ein Formular an einen Lieferanten rausgehen darf: Das regelt eure Arbeitsorganisation, keine Systemeinstellung. Für solche Vorgänge gehört der Bestätigungsmodus zurück, den Anthropic in den Einstellungen weiter anbietet.
Wo die Grenze zu anderen Claude-Werkzeugen verläuft
Claude in Chrome deckt sich in der öffentlichen Wahrnehmung häufig mit Claude Cowork, dabei sind es unterschiedliche Werkzeuge für unterschiedliche Situationen. Cowork ist auf mehrstufige Bürotätigkeiten über Web, Desktop und Handy hinweg ausgelegt und läuft auch weiter, wenn kein Browserfenster offen ist, während Claude in Chrome direkt an eine sichtbare Website gebunden ist und dort in Echtzeit mitliest. Wer eine Einordnung zwischen den Werkzeugen sucht, findet sie im Vergleich ChatGPT Work gegen Claude Cowork. Für Firmensysteme, die sich nicht im Browser bedienen lassen, etwa interne Datenbanken oder ERP-Schnittstellen, ist ohnehin ein anderer Weg gefragt, wie im Artikel MCP erklärt: wie Claude sicher an Firmensysteme andockt beschrieben.
Für den Alltag heißt das: Claude in Chrome eignet sich am besten für alles, was ohnehin schon im Browser passiert und wiederkehrend ist, CRM-Pflege, Formular-Ausfüllen, Recherche über mehrere offene Tabs, Testen der eigenen Website nach einem Release. Für Aufgaben, die eine Verbindung zu internen Systemen ohne Weboberfläche brauchen oder komplett im Hintergrund laufen sollen, sind die anderen Bausteine im Claude-Ökosystem die passendere Wahl.
Häufige Fragen
Ist Claude in Chrome für alle Unternehmen verfügbar?
Ja, seit dem 26. August 2026 ist Claude in Chrome allgemein verfügbar, auf jedem bezahlten Plan, also Pro, Team und Enterprise. Davor lief die Erweiterung ab dem 18. Dezember 2025 als Beta für dieselben Pläne. Kostenlose Claude-Konten bleiben außen vor, die Erweiterung setzt einen bezahlten Zugang voraus.
Was passiert, wenn Claude in Chrome auf eine bösartige Website trifft?
Anthropic hat das Szenario, dass Anweisungen aus einer manipulierten Webseite den Agenten kapern (Prompt Injection), von Anfang an gemessen. Im Pilotbetrieb lag die Erfolgsquote solcher Angriffe ohne Schutzmaßnahmen bei 23,6 Prozent und mit Abwehrmechanismen bei 11,2 Prozent, browserspezifische Muster fielen von 35,7 auf 0 Prozent. Seit der allgemeinen Freigabe im August 2026 prüft zusätzlich ein Sicherheitsklassifikator jede Aktion vorab auf Risiko und auf versteckte Anweisungen in der Seite. In den Angriffstests dazu kam kein Angriff mehr gegen Sonnet 5, Opus 5 und Mythos 5 durch, gegen Fable 5 waren es 0,3 Prozent. Ein Forschungsteam der University of Washington hält das Restrisiko dennoch für erheblich, weshalb Freigabelisten pro Website Pflicht bleiben.
Braucht mein Team IT-Kenntnisse, um Claude in Chrome einzuführen?
Nein, die Installation läuft wie bei jeder Chrome-Erweiterung über den Chrome Web Store, danach vergibt jeder Nutzer selbst die Website-Freigaben. Für Team- und Enterprise-Konten können Admins zusätzlich zentrale Allow- und Blocklisten sowie Modellwahl über eine Verwaltungsoberfläche steuern, das erfordert etwas Einrichtungsaufwand, aber keine Entwicklerkenntnisse.
Welches Claude-Modell nutzt die Erweiterung standardmäßig?
Der Haiku-4.5-Standard vom 15. Oktober 2025 ist überholt, die Erweiterung läuft inzwischen auf der aktuellen Fünfer-Reihe. In den Sicherheitstests zur allgemeinen Freigabe im August 2026 nennt Anthropic Sonnet 5, Opus 5, Mythos 5 und Fable 5 als die Modelle, gegen die Angriffe gefahren wurden. Auf Team- und Enterprise-Konten steuern Admins zusätzlich, welche Modelle der Organisation überhaupt zur Verfügung stehen.
Ist Claude in Chrome bei uns automatisch aktiv?
Auf Team-Konten ist die Erweiterung standardmäßig für die Organisation freigegeben. Auf Enterprise-Konten war sie zunächst abgeschaltet und schaltet sich seit dem 10. September 2026 von selbst ein, sofern ein Admin sie nicht vorher deaktiviert hat. Der Schalter liegt in den Organisationseinstellungen unter Claude in Chrome, dort lassen sich auch Freigabe- und Sperrlisten für Websites setzen. Ob Claude die Erweiterung innerhalb von Claude Cowork benutzen darf, ist eine davon getrennte Einstellung.
Quellen & Referenzen
- Anthropic: offizielle Ankündigung und Faktenlage zu Verfügbarkeit, Sicherheitstests und Abwehrmechanismen von Claude for Chrome. claude.com
- Anthropic Help Center: Release-Notes mit den einzelnen Ausbaustufen von Claude in Chrome zwischen August und Dezember 2025. support.claude.com
- Anthropic: Ankündigung der allgemeinen Verfügbarkeit vom 26. August 2026, mit eigenständigem Modus, Sicherheitsklassifikator und den Angriffsquoten je Modell. claude.com
- Anthropic Help Center: Admin-Steuerung für Claude in Chrome, Standardzustand auf Team- und Enterprise-Konten samt Stichtag 10. September 2026, Freigabe- und Sperrlisten, Ausrollen über Workspace oder MDM. support.claude.com
- University of Washington: Untersuchung von sieben agentischen Browsern zur Same-Origin-Policy, Mitteilung zur Studie vom 30. Juni 2026. washington.edu
