KI-Harness erklärt: Warum dasselbe Modell mal 58 und mal 76 Prozent schafft

Im Februar 2026 ließ Summer Yue, die beruflich an der Ausrichtung von KI-Systemen arbeitet, einen KI-Agenten an ihr Postfach, mit einer klaren Regel: nichts tun, ohne vorher zu fragen. Im echten, großen Postfach ging diese Regel beim Verdichten des langen Verlaufs verloren, der Agent begann zu löschen, und Yue musste zu ihrem Rechner laufen, um ihn zu stoppen. Verloren ging die Regel in der Software rund um das Modell, dem KI-Harness, und dieselbe Software bestimmt mit, was eine KI in deinem Unternehmen leistet und kostet.

Auf Englisch heißt auch ein Kabelbaum Harness. Was hinter dem Bildschirm hängt, bestimmt, was vorne ankommt. Foto: panumas nikhomkhai auf Pexels

Wenig Zeit? Lies die Definition, den Abschnitt Sicherheit und den Vier-Wochen-Plan am Ende. Die aufklappbaren Kästen „Für deine IT“ kannst du direkt weiterleiten.

Was ist ein KI-Harness?

Ein KI-Harness (englisch auch Agent Harness, AI Harness oder Agentic Harness) ist die Software, die ein Sprachmodell umgibt und zum Agenten macht. Sie ergänzt jede Anfrage um Anweisungen und Firmenwissen, stellt Werkzeuge bereit und führt sie aus, steuert die Arbeitsschleife, verwaltet den Kontext, setzt Rechte durch und protokolliert die Schritte.

Wer in ChatGPT oder Claude eine Frage eintippt, spricht also nie direkt mit dem Modell. Dazwischen sitzt diese Software. Die knappste Definition stammt vom Hersteller selbst. Im Glossar der Claude-Code-Dokumentation steht: „Claude Code is the harness; Claude is the model inside it.“ Zum Harness zählt Anthropic dort Dateizugriff, Befehle auf der Kommandozeile, Freigabeabfragen, das Laden des Gedächtnisses und die Schleife, die einzelne Aktionen aneinanderreiht.

Die gängige Kurzformel lautet: Agent gleich Modell plus Harness. Sie steht in einem Beitrag von LangChain vom März 2026, Birgitta Böckeler von Thoughtworks greift sie auf martinfowler.com auf. Bei LangChain heißt es dazu noch kürzer: Was nicht das Modell ist, ist das Harness. Ein rohes Sprachmodell sagt nur Text voraus. Handeln und sich an Regeln halten kann es erst im Harness. Wo von einem KI-Agenten die Rede ist, ist deshalb immer beides gemeint.

Wer Maschinen baut, kennt das Prinzip. Ein starker Antrieb ist noch keine Maschine. Erst Steuerung, Getriebe, Werkzeugaufnahme und Schutzeinrichtung machen daraus etwas, das zuverlässig Teile fertigt und niemanden verletzt. Das Modell ist der Antrieb, das Harness der Rest der Maschine. Philipp Schmid von Google DeepMind wählt für dasselbe Verhältnis den Computer: Das Modell ist der Prozessor, das Harness das Betriebssystem.

Ein Beispiel, das uns durch den Artikel begleitet

Eine Anfrage kommt per Mail, mit einem Lastenheft als PDF. Ein KI-Assistent soll daraus einen Angebotsentwurf machen. Schreiben kann das Modell. Das Harness entscheidet, ob es dabei eure aktuelle Preisliste kennt, ob es die Rabattgrenzen einhält, ob es den Entwurf nur ablegt oder gleich an den Kunden schickt und ob später jemand nachvollziehen kann, woher jede Zahl stammt. Dasselbe gilt im Einkauf, wenn der Assistent Auftragsbestätigungen von Lieferanten mit euren Bestellungen abgleicht, und im Service, wenn er aus Notizen der Technik einen Bericht schreibt.

Mit Programmieren allein hat das Thema also wenig zu tun. Anthropics Bürowerkzeug Cowork nutzt laut Dokumentation dieselbe agentische Architektur wie Claude Code, nur ohne Terminal. Microsoft bietet in Copilot Studio inzwischen mehrere Harnesses zur Auswahl, darunter ein GitHub-Copilot- und ein Standard-Harness. Und Claude Code erledigt längst Aufgaben jenseits von Code, wie wir in Claude Code für Nicht-Programmierer zeigen. Den Überblick über die Produkte von Anthropic gibt unser Claude-Guide für Unternehmen.

Harness, Framework, SDK: der Unterschied

In Diskussionen gehen die Begriffe oft durcheinander. Harrison Chase, Chef von LangChain, ordnet sie so: LangChain ist ein Framework, LangGraph eine Laufzeitumgebung, DeepAgents ein Harness.

Was heißt Harness? Herkunft und Bedeutung in der IT

Das englische „harness“ bedeutet Geschirr, also das Riemenzeug, mit dem ein Zugtier vor den Wagen gespannt wird. Das deutsche Wort „Harnisch“ hat dieselbe Wurzel; laut DWDS wurde es Mitte des 12. Jahrhunderts aus dem Altfranzösischen entlehnt. In der Technik heißt auch ein Kabelbaum harness. Als Verb bedeutet „to harness“ bis heute „nutzbar machen“. Im übertragenen Sinn tut die Software um ein Sprachmodell dasselbe: Sie spannt seine Fähigkeiten vor eine bestimmte Aufgabe.

In der Softwaretechnik ist der Begriff älter als jedes Sprachmodell. Ein Test-Harness ist die Umgebung, in der Programme geprüft werden, und EleutherAIs „Language Model Evaluation Harness“ misst seit Jahren die Leistung von Sprachmodellen. Wer nach „LLM Harness“ sucht, trifft deshalb auf beide Bedeutungen: das Agent Harness, in dem ein Sprachmodell arbeitet, und Evaluation Harnesses, die Modelle nur messen. Anthropic trennt beides ausdrücklich. In Forschungsberichten heißt das Agent Harness oft Scaffold, auf Deutsch Gerüst. Mit der US-Firma Harness Inc., die eine Plattform für Softwareauslieferung anbietet, hat der KI-Begriff nur den Namen gemeinsam.

Wenn das Harness schlechter wird: Anthropics Fehleranalyse

Im Frühjahr 2026 wirkte Claude Code auf viele Entwickler plötzlich schwächer. Am 23. April veröffentlichte Anthropic eine Fehleranalyse. API und Inferenzschicht waren laut Anthropic nicht betroffen. Drei Eingriffe in das Harness hatten die Qualität gedrückt.

Erstens hatte Anthropic am 4. März die Voreinstellung für den Denkaufwand von „high“ auf „medium“ gesenkt. Zweitens löschte ab dem 26. März ein Fehler beim Zwischenspeichern in Sitzungen, die länger als eine Stunde geruht hatten, danach in jedem Gesprächszug ältere Überlegungen des Modells. Drittens sollte ab dem 16. April eine neue Zeile in den Grundanweisungen Claude knapper antworten lassen. Bis zum 20. April waren alle drei Änderungen zurückgenommen oder behoben. Betroffen waren Sonnet 4.6, Opus 4.6 und Opus 4.7. Anthropic schreibt dazu, jedes Modell verhalte sich etwas anders, und vor jeder Veröffentlichung stimme man Harness und Produkt darauf ab.

Übertragen auf dein Büro: Der Anbieter ändert eine Voreinstellung, und eure Angebotsentwürfe werden kürzer und ungenauer. Im Haus hat niemand etwas umgestellt, und eine Nachricht bekommt auch niemand.

Diese Abstimmung ist eine Daueraufgabe. In einem Beitrag vom April 2026 beschreibt Anthropic, wie Sonnet 4.5 kurz vor dem Ende seines Kontextfensters Aufgaben vorschnell abschloss, ein Verhalten, das man „Kontextangst“ nannte. Dagegen baute Anthropic Neustarts des Kontexts in das Harness ein. Mit Opus 4.5 trat das Verhalten nicht mehr auf, und die Neustarts waren nur noch Ballast. Anthropic leitet daraus ab, dass jedes Harness Annahmen darüber enthält, was das Modell allein nicht kann, und dass diese Annahmen mit neuen Modellen veralten.

Prithvi Rajasekaran aus Anthropics Labs-Team hat ausprobiert, was ein aufwendiges Harness bringt und kostet. Er ließ Opus 4.5 ein Programm zum Bauen von Retro-Spielen entwickeln, einmal allein und einmal in einem Harness aus drei Agenten, die planen, umsetzen und prüfen. Allein dauerte es 20 Minuten und kostete 9 US-Dollar. Im Harness waren es 6 Stunden und 200 US-Dollar, mehr als das Zwanzigfache. Das Ergebnis war nach seinen Worten auf den ersten Blick besser. Mit Opus 4.6 konnte er Teile des Harness wieder entfernen.

Gleiches Modell, anderes Ergebnis: was die Messungen zeigen

Der stärkste Beleg für die Bedeutung des Harness kommt aus Tests, in denen nur das Harness wechselt und das Modell gleich bleibt. Drei Beispiele:

• Claude Opus 4.6 löste auf dem Test Terminal-Bench 2.0 in Claude Code 58,0 Prozent der Aufgaben, in einem automatisch optimierten Harness aus Stanford 76,4 Prozent.
• Claude Haiku 4.5 kam im selben Test auf 13,9 Prozent im Harness OpenHands und auf 35,5 Prozent im Harness goose.
• Grok Code Fast 1 schaffte im Edit-Test von Can Bölük 6,7 Prozent mit dem üblichen Änderungsformat und 68,3 Prozent mit einem neuen.

Der letzte Fall erklärt am besten, was passiert. Can Bölük hat im Februar 2026 an einem Nachmittag nur das Werkzeug ausgetauscht, mit dem 16 Modelle Code ändern. Statt alte Codezeilen buchstabengenau wiederholen zu müssen, spricht das Modell jede Zeile über eine kurze Kennung an. Programmieren konnte Grok Code Fast 1 vorher schon, es scheiterte am Format der Änderungen. Im Büro entspricht das einem fähigen Mitarbeiter, der jeden Tag an einem schlecht gebauten Formular scheitert.

Manchmal hilft Weglassen. Vercel hat seinen internen Datenagenten d0 von einem Satz spezialisierter Werkzeuge auf im Wesentlichen ein einziges reduziert: Befehle auf der Kommandozeile in einer abgeschotteten Umgebung. Mit Claude Opus 4.5 stieg die Erfolgsquote von 80 auf 100 Prozent, der Agent wurde 3,5-mal schneller und brauchte 37 Prozent weniger Token. Gemessen wurde allerdings an nur fünf Abfragen.

Die Gegenprobe

Ganz so einfach ist es allerdings nicht. Wo das Team hinter Terminal-Bench für Version 2.1 selbst kontrolliert nachgemessen hat, fallen die Abstände kleiner aus. GPT-5.5 kam in OpenAIs Codex auf 83,1 Prozent, im neutralen Prüf-Harness Terminus 2 auf 78,0 Prozent. Claude Opus 4.7 erreichte in Claude Code 68,9 und in Terminus 2 66,1 Prozent. Bei Googles Gemini 3 Pro war es umgekehrt: Im hauseigenen Gemini CLI schaffte es 65,8 Prozent, im neutralen Harness 73,9. Das beste Harness für ein Modell kommt also nicht automatisch vom Hersteller des Modells. Die Forschungsorganisation METR fand im Februar 2026 ebenfalls keinen statistisch belastbaren Vorteil von Claude Code oder Codex gegenüber ihren eigenen, schlichten Standardgerüsten.

Ranglisten lassen sich außerdem verzerren, mit oder ohne Absicht. Das Terminal-Bench-Team nahm den Eintrag „Pilot“ von QuantFlow von der Rangliste, weil zum Agenten-Setup die Testordner der Aufgaben gehörten. QuantFlow erklärte das als versehentliches Überbleibsel aus der eigenen Testumgebung und wurde eingeladen, neu einzureichen. Beim Agenten von ForgeCode stellte das Team fest, dass er in mehreren Läufen Lösungen aus dem Internet geladen hatte; diese Läufe wurden mit null bewertet.

Selbst die Hardware verschiebt Ergebnisse. Anthropic hat dasselbe Modell im selben Harness auf Terminal-Bench 2.0 laufen lassen und nur die Rechenressourcen verändert: Zwischen der knappsten und der großzügigsten Ausstattung lagen 6 Prozentpunkte. Anthropic rät, Unterschiede von weniger als 3 Prozentpunkten auf Ranglisten skeptisch zu sehen. Auch Schutzfilter verschieben Werte: Claude Fable 5.1 und Claude Mythos 5.1 sind laut Anthropic dasselbe Modell, auf Terminal-Bench 4.0 liegen sie trotzdem bei 55,8 und 60,9 Prozent. Den Abstand erklärt Anthropic mit früheren, weniger präzisen Filtern gegen Cyberangriffe, die bei Fable eingriffen.

„When we evaluate ‚an agent,‘ we’re evaluating the harness and the model working together.“

Anthropic, Demystifying evals for AI agents, 9. Januar 2026

Woraus ein Agent Harness besteht: die sechs Schichten

Jeder Anbieter schneidet die Bauteile etwas anders zu. Bei Claude Code, Codex von OpenAI, Googles Antigravity und den offenen Werkzeugen lassen sich trotzdem dieselben sechs Schichten unterscheiden. Die Tabelle zeigt sie am Angebotsassistenten und mit den Namen, die du in Claude Code findest.

Die Arbeitsschleife beschreibt Anthropic für Claude Code in drei Phasen, die ineinander übergehen: Kontext sammeln, handeln, Ergebnis prüfen. Die Schleife läuft, bis die Aufgabe erledigt ist oder eine Grenze greift. Im Claude Agent SDK, dem Baukasten hinter Claude Code, lassen sich dafür eine Höchstzahl an Runden und ein Budget in Dollar setzen. Ohne diese Werte gibt es laut Dokumentation keine Grenze.

Böckeler unterscheidet Steuerung vor und nach dem Handeln. Vorab wirken bei ihr Guides, etwa eine Anweisungsdatei oder ein Skill. Danach prüfen Sensors, etwa ein Test, ein Programm, das Code auf Formfehler durchsieht, oder ein zweites Modell, das das Ergebnis begutachtet. Beides gibt es als festes Programm, das immer gleich entscheidet, und als Urteil eines Modells, das sich irren kann. Wer ein Qualitätsmanagement kennt, kennt das Prinzip: Arbeitsanweisung vorher, Prüfplan nachher.

Wie du Anweisungen als wiederverwendbares Paket ablegst, zeigt unsere Anleitung zum eigenen Claude Skill mit SKILL.md. Wie Werkzeuge an Firmensysteme wie ERP oder Dokumentenablage andocken, erklärt der Beitrag MCP erklärt.

Was ist Harness Engineering?

Harness Engineering ist die laufende Arbeit an der Umgebung eines KI-Agenten statt am Modell. Jeder Fehler des Agenten wird zum Anlass für eine neue Regel, ein Werkzeug oder eine automatische Prüfung, damit er nicht wieder vorkommt. Den Namen gab Mitchell Hashimoto, Mitgründer von HashiCorp, der Praxis am 5. Februar 2026. In einer Anweisungsdatei seines Terminalprogramms Ghostty, die er als Beispiel zeigt, geht nach seinen Worten jede Zeile auf ein früheres Fehlverhalten eines Agenten zurück.

Prompt Engineering, Context Engineering, Harness Engineering

Die drei Begriffe überlappen. Prompt Engineering verbessert die einzelne Anfrage an das Modell. Context Engineering beschreibt Anthropic als Strategie, während der Arbeit die richtigen Informationen im begrenzten Kontextfenster zu halten. Harness Engineering meint die ganze Umgebung, also zusätzlich Werkzeuge, Rechte, Prüfungen und die Arbeitsschleife. Böckeler zählt es zum Context Engineering, und der Technology Radar von Thoughtworks stellt fest, dass die Begriffe uneinheitlich verwendet werden. Für den Einstieg reicht oft gutes Prompting, wie es unser Beitrag Prompt Engineering für Unternehmer zeigt.

Das OpenAI-Experiment: eine Million Zeilen, keine davon getippt

Breit diskutiert wurde der Begriff nach einem OpenAI-Bericht vom 11. Februar 2026. Ab Ende August 2025 baute ein Team dort ein Softwareprodukt, ohne eine einzige Zeile Code selbst zu schreiben. Nach fünf Monaten umfasste das Projekt rund eine Million Zeilen, etwa 1.500 Änderungsanträge wurden übernommen, anfangs gesteuert von nur drei Ingenieuren, später von sieben. OpenAI schätzt den Zeitaufwand auf etwa ein Zehntel dessen, was Handarbeit gebraucht hätte. Der Leitsatz des Teams: „Humans steer. Agents execute.“

Das Team arbeitete mit einer AGENTS.md von rund 100 Zeilen, die als Landkarte auf tiefer liegende Dokumente verweist. Lief etwas schief, war die Lösung laut OpenAI fast nie, sich einfach mehr anzustrengen. Das Team fragte stattdessen, welche Fähigkeit fehlt, und baute sie so ins Projekt ein, dass der Agent sie findet und einhalten muss. Anfangs verbrachte es jeden Freitag, also ein Fünftel der Woche, damit, schlampigen KI-Code aufzuräumen. Weil das auf Dauer zu viel Zeit kostete, schrieb es Grundsätze ins Projekt und ließ Hintergrundagenten regelmäßig nach Abweichungen suchen.

Diese Nacharbeit kennt jeder, der KI-Entwürfe nutzt: Erst spart man Zeit, dann frisst die Korrektur sie wieder auf. Die Lösung lässt sich übertragen. Wenn der Angebotsassistent zum dritten Mal die alten Zahlungsbedingungen einsetzt, korrigiert das niemand mehr von Hand. Die Regel kommt in die Anweisungsdatei, und vor der Ablage prüft eine feste Kontrolle, ob sie eingehalten ist.

Auch Anthropic hat ein solches Experiment veröffentlicht: Nicholas Carlini ließ 16 parallele Instanzen von Claude Opus 4.6 für knapp 20.000 US-Dollar API-Kosten einen C-Compiler schreiben, der einen startfähigen Linux-Kernel übersetzt. Eine seiner Lehren betrifft die Prüfwerkzeuge. Er schreibt sie für Claude und nicht für sich selbst: Ein Test soll höchstens wenige Zeilen ausgeben und alles Wichtige in eine Logdatei schreiben, sonst füllen Tausende nutzlose Bytes den Kontext.

Woher der Begriff kommt

Berühmt wurde das Wort außerhalb der Fachwelt 2025 über ein Videospiel. Anthropic ließ Claude 3.7 Sonnet Pokémon Rot spielen, ausgestattet mit einfachem Gedächtnis, den Bildschirmpixeln als Eingabe und Funktionen zum Drücken der Knöpfe. Der unabhängige Entwickler Joel Zhang baute für Googles Gemini 2.5 Pro eine deutlich aufwendigere Umgebung für Pokémon Blau. Als Gemini vorn lag, hielt OpenAI-Forscher Noam Brown dagegen: Die Harnesses seien verschieden, ein fairer Vergleich sei das nicht. Am 2. Mai 2025 schloss Gemini das Spiel nach 813 Stunden ab. Laut Googles technischem Bericht brauchte Gemini 2.5 Pro im zweiten Durchgang, mit fertig eingestelltem Harness und in einer neueren Vorabversion, nur noch 406,5 Stunden.

Sicherheit: Was im Prompt steht, ist eine Bitte

Laut Claude-Code-Dokumentation ist eine Anweisung wie „bearbeite nie die Datei .env“ in der CLAUDE.md oder einem Skill eine Bitte und keine Garantie. Durchgesetzt wird eine solche Regel erst durch einen Hook, also ein kleines Programm, das vor jedem Werkzeugaufruf läuft und den Aufruf blockieren kann. Ein blockierender Hook hat laut Dokumentation Vorrang vor den Erlaubnisregeln.

Wer Maschinen betreibt, kennt den Unterschied seit Jahrzehnten. Ein Schild „Nicht in die laufende Maschine greifen“ ist ein Hinweis. Eine Schutzhaube mit Sicherheitsschalter ist eine Schutzeinrichtung. Die Anweisung im Prompt ist das Schild, der Hook die Schutzhaube. Der Fall vom Anfang zeigt, warum das zählt: Summer Yues Regel „erst fragen“ stand nur im Gespräch, und beim Verdichten des Verlaufs ging sie verloren.

Wir haben das im Sommer selbst erlebt. Unser Recherche-Agent sollte laut Systemprompt ausschließlich lesen. Sein Dienstkonto hatte trotzdem Schreibrechte auf zwei Ablagen, weil das beim Einrichten zwei Klicks schneller ging und ich mir vorgenommen hatte, das später zu korrigieren. Die ganze Geschichte steht in unserer Kolumne über die Rechte unserer eigenen Agenten.

Auch die Voreinstellungen helfen nur bedingt. Anthropic stellte fest, dass Nutzer 93 Prozent aller Freigabeabfragen von Claude Code ohnehin bestätigten; aus Kontrolle war Klickroutine geworden, wie bei der zwanzigsten Unterschrift unter einen Lieferschein am selben Tag. Seit Version 2.1.283 startet Claude Code im Auto-Modus, sofern er für Konto und Modell verfügbar ist, in dem ein zweites Modell Aktionen im Hintergrund prüft und riskante blockiert. Anthropic nennt die Fehlerquote offen: 0,4 Prozent unnötige Blockaden im echten Betrieb, aber 17 Prozent übersehene Fälle bei einer Stichprobe von 52 echten übereifrigen Aktionen. Für kritische Infrastruktur ersetze der Auto-Modus keine sorgfältige menschliche Prüfung, schreibt Anthropic selbst.

Behörden raten in dieselbe Richtung. BSI und die französische ANSSI empfahlen schon im Oktober 2024, KI-Programmierassistenten nur nach einer Risikoanalyse einzusetzen, die Entwicklungsumgebung in einer Sandbox zu betreiben und Firmenkonten statt privater Zugänge zu nutzen. Die Cybersicherheitsbehörden der Five-Eyes-Staaten veröffentlichten am 1. Mai 2026 gemeinsame Leitlinien: Agenten sollen nur die minimal nötigen Rechte für die kürzeste nötige Zeit bekommen und nie uneingeschränkten Zugriff auf sensible Daten oder kritische Systeme. Kurz gesagt: KI-Werkzeuge auf euren Rechnern sind selbst ein Angriffsziel, und ihre Einstellungsdateien gehören so geprüft wie jedes andere Programm.

So arbeiten wir selbst mit einem Harness

Von 225 Aussagen in einem einzigen Artikel waren 10 falsch. Gefunden hat sie eine Prüfschicht in unserem Harness, bevor ein Leser sie zu sehen bekam. Unser Magazin entsteht zu einem großen Teil mit Claude Code in einer Umgebung, die wir selbst eingerichtet haben und mehrmals am Tag laufen lassen. Wie wir den KI-Einsatz kennzeichnen und wer für jeden Beitrag verantwortlich ist, steht in unserer KI-Policy.

Festes Modell. Wir tragen die genaue Modellbezeichnung claude-opus-5-5 ein statt des Kurznamens „opus“, weil ein Kurzname mit einem Update von Claude Code auf ein neueres Modell umgestellt werden kann, ohne dass wir selbst etwas ändern. Ein Wächterskript liest die Ausgabe mit und beendet die Sitzung, wenn ein anderes Modell startet als erwartet.

Recherche und Schreiben getrennt. Für Recherchen startet der Hauptlauf parallele Hilfsagenten, die ihre Ergebnisse in einem festen Format zurückgeben. Texte, Bilder und Build sind Sache des Hauptlaufs, und sein Stand landet erst über einen eigenen Schritt außerhalb der KI im zentralen Repository.

Drei Prüf-Agenten je Aussage. Nach dem Entwurf listet ein Agent jede Zahl, jedes Datum, jeden Preis und jede Rechtsaussage auf. Drei unabhängige Prüf-Agenten öffnen für jeden Punkt selbst die Quelle. Als belegt gilt nur, was mindestens zwei von drei bestätigen. Beim Artikel über lokale KI vom 22. Oktober 2026 waren das die eingangs genannten 225 Aussagen; 10 wurden als falsch erkannt und korrigiert, 5 ließen sich nicht belegen und wurden umformuliert oder gestrichen.

Den Stil prüft ein Skript, das nach typischen Mustern maschineller Texte sucht. Findet es einen harten Treffer, wird nicht veröffentlicht. Bei den Quellen gilt eine ähnliche Regel: Mindestens 70 Prozent müssen Primärquellen sein, und jeder Link muss erreichbar sein.

Zeit gekostet hat uns ein Fehler, den keine Meldung zeigte. Im Juni liefen tagelang Läufe als erfolgreich durch, in denen das Modell wegen eines erreichten Nutzungslimits nach wenigen Sekunden aufgegeben hatte. Seitdem gilt jeder Lauf als gescheitert, in dem das Modell nicht zum Arbeiten kommt. Für jede Automatisierung im Büro gilt dasselbe: Kein Fehler gemeldet heißt nicht, dass etwas erledigt wurde. Lass dir zeigen, was herausgekommen ist.

Dieser Artikel ist nach demselben Muster entstanden, in einer begleiteten Sitzung außerhalb der täglichen Routine. Neun Recherche-Agenten haben parallel Primärquellen, Messdaten, Wettbewerber und unseren Bestand ausgewertet. Danach haben je Aussage drei unabhängige Prüf-Agenten 323 Aussagen kontrolliert; 22 davon haben wir danach korrigiert, genauer gefasst oder gestrichen. Bevor er online ging, habe ich ihn selbst gelesen und freigegeben.

Kosten: Das Harness bestimmt, was eine erledigte Aufgabe kostet

Abgerechnet wird nach Token, den Textbausteinen, in die ein Modell Ein- und Ausgaben zerlegt. Die Listenpreise der großen Anbieter haben sich dabei angeglichen: Am 22. Oktober 2026 kosten Claude Sonnet 5.5 und GPT-6.1 Sol je 2 US-Dollar pro Million Eingabe-Token und 10 US-Dollar pro Million Ausgabe-Token, Claude Fable 5.1 und GPT-6 Astra je 10 und 50 US-Dollar. Ein direkter Vergleich pro Token führt trotzdem in die Irre, denn Claude-Modelle ab Version 4.7 erzeugen laut Anthropic für denselben Text etwa 30 Prozent mehr Token als ältere Claude-Modelle. Was du am Ende zahlst, hängt vor allem davon ab, wie viele Token ein Harness für eine Aufgabe verbraucht.

Das Claude-Code-Team schreibt, man habe das gesamte Harness um das Prompt-Caching herum gebaut und rufe einen Störfall aus, wenn die Trefferquote des Zwischenspeichers zu stark sinke. Wer mitten in einer langen Sitzung das Modell wechselt, verliert diesen Speicher. Nach 100.000 Token Gesprächsverlauf kann der Wechsel zum günstigeren Haiku deshalb teurer sein, als Opus weiterarbeiten zu lassen.

Für die Planung nennt Anthropic Durchschnittswerte: In Unternehmen kostet Claude Code rund 13 US-Dollar pro Entwickler und aktiven Tag, das sind 150 bis 250 US-Dollar im Monat. Bei 90 Prozent der Nutzer bleibt es unter 30 US-Dollar pro aktiven Tag. Diese Werte gelten für Entwickler; für Büroaufgaben misst du am besten selbst, wie im Kasten unten beschrieben. Wer Agenten über Claude Managed Agents laufen lässt, zahlt neben den Token 0,08 US-Dollar je Stunde, in der eine Sitzung tatsächlich läuft. Die Abo-Preise rechnet unser Beitrag Claude Code Preis durch, die API-Seite der Beitrag Claude-API-Kosten kalkulieren.

Welche Agent Harnesses es gibt: Claude Code, Codex, Pi und Co.

Die großen Modellanbieter liefern ihr Harness gleich mit, daneben gibt es eine lebendige Szene offener Werkzeuge. Die Tabelle zeigt eine Auswahl mit Stand 22. Oktober 2026. Einen direkten Vergleich der beiden bekanntesten Coding-Agenten findest du in Codex und Claude Code im Vergleich.

Was ist Pi-Harness?

Pi ist ein bewusst minimal gehaltenes, quelloffenes Agent Harness für Coding-Aufgaben. Es kommt mit vier Werkzeugen aus (lesen, schreiben, bearbeiten, Bash) und arbeitet mit mehr als 15 Modellanbietern. Mario Zechner baute es Ende 2025 als Gegenentwurf zu aufgeblähten Coding-Agenten; beim Start kamen Systemprompt und Werkzeugbeschreibungen laut Zechner zusammen auf weniger als 1.000 Token, ohne MCP und ohne Planungsmodus. Im April 2026 wechselte Zechner mit Pi zur Firma Earendil von Flask-Autor Armin Ronacher, der Kern bleibt MIT-lizenziert. Seit Ende September 2026 ist MCP eingebaut, einen Planungsmodus gibt es weiterhin nicht. Version 1.0 erschien am 1. Oktober 2026.

Der Claude-Code-Leak: was im Harness steckt

Am 31. März 2026 enthielt die Version 2.1.88 von Claude Code versehentlich eine Zuordnungsdatei (Source-Map), aus der sich der gesamte Quelltext ablesen ließ: knapp 2.000 Dateien mit mehr als 512.000 Zeilen. Anthropic sprach gegenüber der Presse von einem Fehler beim Verpacken der Veröffentlichung, verursacht durch menschliches Versagen; Kundendaten seien nicht betroffen gewesen. Öffentlich wurde damit der Bauplan des Harness. Analysen fanden darin unter anderem die Steuerung von Subagents und einen noch nicht veröffentlichten Hintergrundmodus namens KAIROS.

Bindung an den Anbieter

Beim Harness verteidigen die Hersteller ihr Geschäftsmodell. Anthropic erlaubt die Anmeldung mit einem Claude-Abo nur für Claude Code und die eigenen Apps; Anbieter fremder Werkzeuge dürfen keinen Claude-Login anbieten. Im Januar 2026 verschärfte Anthropic nach Angaben eines Claude-Code-Mitarbeiters die Schutzmaßnahmen dagegen, dass fremde Werkzeuge ihre Anfragen als Claude Code ausgeben; betroffen waren unter anderem Nutzer von OpenCode. Im März entfernte OpenCode den Claude-Login und verwies im zugehörigen Pull Request auf rechtliche Aufforderungen. OpenAI schreibt dagegen auf seiner Seite für Open-Source-Entwickler, man solle in den Werkzeugen arbeiten, die man bevorzugt. Seit Oktober 2026 enthalten die Claude-Pläne Max und Team ein monatliches API-Guthaben, das sich per API-Schlüssel auch in offenen Werkzeugen einsetzen lässt.

Portabel sind vor allem offene Formate. Die Anweisungsdatei AGENTS.md nutzen nach Angaben der Linux Foundation mehr als 60.000 Open-Source-Projekte und Agenten-Frameworks, und seit Version 2.1.277 vom 18. September 2026 liest Claude Code sie, wenn keine CLAUDE.md vorhanden ist. AGENTS.md und das Anschlussprotokoll MCP liegen seit dem 9. Dezember 2025 bei der Agentic AI Foundation der Linux Foundation, Agent Skills hat Anthropic im Dezember 2025 als offenen Standard veröffentlicht. Auch Open Source schützt nicht vor dem Aus: Der beliebte offene Coding-Agent Roo Code wurde am 15. Mai 2026 eingestellt.

Recht: Wo das Harness bei EU AI Act und DSGVO hilft

Mit einem fertigen Harness bist du im Sinn der KI-Verordnung in aller Regel Betreiber; wer ein eigenes Agentensystem baut und unter eigenem Namen einsetzt, kann auch als Anbieter gelten. Seit dem 2. Februar 2025 gilt Artikel 4 zur KI-Kompetenz, seit dem 27. Juli 2026 in der milderen Fassung des Digital Omnibus: Du musst die Kompetenz deiner Leute fördern, ein bestimmtes Niveau schuldest du niemandem. Was das praktisch heißt, steht in unserem Beitrag zur KI-Schulungspflicht nach Artikel 4.

Für Hochrisiko-Systeme, etwa beim Sichten und Bewerten von Bewerbungen, kommen nach dem Omnibus ab dem 2. Dezember 2027 zusätzliche Betreiberpflichten hinzu, unter anderem menschliche Aufsicht durch kompetente Personen und die Aufbewahrung automatisch erzeugter Protokolle für mindestens sechs Monate. Ein Harness kann dafür technische Bausteine liefern: Freigabeabfragen als Teil der Aufsicht, Sitzungsprotokolle als Grundlage der Aufzeichnung. Alle Fristen nach dem Omnibus stehen in einem eigenen Überblick.

Beim Datenschutz zählt, wohin die Daten fließen. Liest ein Agent Dateien mit personenbezogenen Daten, landen deren Inhalte beim Modellanbieter. Bei Claude Managed Agents gehen Gesprächsverlauf und Werkzeugergebnisse laut Dokumentation auch dann an Anthropics Dienst, wenn die Sandbox im eigenen Netz läuft, und das Angebot fällt derzeit nicht unter die Zusage, keine Daten zu speichern. Das gilt nicht nur für personenbezogene Daten: Liest der Agent Kundenzeichnungen, Stücklisten oder Preise, die unter eine Geheimhaltungsvereinbarung fallen, gehen auch diese Inhalte an den Anbieter. Prüfe vor dem Start, was eure Vereinbarungen dazu sagen, und sperre solche Ordner technisch.

Du brauchst unter anderem eine Rechtsgrundlage für die Verarbeitung, einen Vertrag zur Auftragsverarbeitung nach Artikel 28 DSGVO, bei US-Anbietern eine Grundlage für die Übermittlung ins Drittland und technische Schutzmaßnahmen nach Artikel 32, etwa Sperrregeln für sensible Ordner. Plane außerdem für den Fall vor, dass ein gekaperter Agent Daten abfließen lässt: Eine Datenpanne ist nach Artikel 33 unverzüglich und möglichst binnen 72 Stunden der Aufsichtsbehörde zu melden, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die Betroffenen. Eine Übersicht datenschutzkonformer Werkzeuge gibt unser Beitrag zu KI-Tools und DSGVO. Dieser Überblick ersetzt keine Rechtsberatung im Einzelfall.

Modellproblem oder Harness-Problem? Ein Schnelltest

Wenn ein KI-Agent in deinem Unternehmen schwache Ergebnisse bringt, liegt die Ursache oft im Harness. Die Tabelle hilft bei der Einordnung.

Zwölf Fragen an jeden Anbieter eines KI-Agenten

Ob du ein fertiges Werkzeug einführst oder eine Agentur einen Agenten für dich baut: Mit diesen Fragen prüfst du das Harness, bevor du unterschreibst. Druck sie aus und nimm sie ins nächste Anbietergespräch mit. Wenn du nur drei stellst: Frage 4, 5 und 11.

Leistung und Kosten

1. In welchem Harness wurden die Leistungszahlen gemessen, die ihr uns zeigt?
2. Was kostet eine erledigte Aufgabe im Durchschnitt, gemessen an unseren eigenen Beispielen?

Sicherheit und Daten

3. Welche Werkzeuge darf der Agent nutzen, und kann ich jedes einzeln abschalten?
4. Welche Aktionen brauchen eine Freigabe, und lassen sich Regeln technisch erzwingen statt nur im Prompt?
5. Wo laufen die Werkzeugaufrufe, und welche Daten gehen dabei an welchen Anbieter?
6. Gibt es eine Sandbox für Dateien und Netzwerk, und was passiert, wenn sie nicht startet?
7. Was wird protokolliert, wie lange, und wer kann die Protokolle lesen?
8. Lassen sich Änderungen zurücknehmen, auch in Datenbanken und externen Systemen?
9. Wie ist der Agent gegen versteckte Anweisungen in Mails, PDFs und Webseiten geschützt?

Bindung und Änderungen

10. Kann ich das Modell wechseln, und was kostet mich der Wechsel?
11. Liegen unsere Anweisungen in offenen Formaten wie AGENTS.md, Skills oder MCP?
12. Wie oft ändert sich das Harness, und wie erfahre ich davon?

Zu Frage 8 lohnt ein genauer Blick: Die Checkpoints von Claude Code machen laut Dokumentation nur Dateiänderungen rückgängig, die Claude mit seinen Bearbeitungswerkzeugen vorgenommen hat. Was ein Agent in einer Datenbank, über eine API oder bei einer Veröffentlichung angestoßen hat, holen sie nicht zurück.

Der erste Schritt für dein Unternehmen

Du musst kein eigenes Harness bauen, um anzufangen. Für die ersten vier Wochen reichen ein fertiges Werkzeug und eine gut gewählte Aufgabe. So kannst du vorgehen:

1. Woche 1: Such dir eine wiederkehrende Aufgabe mit geringem Risiko und klar prüfbarem Ergebnis, etwa Angebotsentwürfe für Standardanfragen, den Abgleich von Auftragsbestätigungen mit euren Bestellungen oder das Vorkontieren von Eingangsrechnungen. Für Büroteams eignen sich Copilot oder Cowork, für technische Teams Claude Code oder Codex; für Claude Code hilft unsere Installationsanleitung für Windows und Mac. Richte das Werkzeug mit Sandbox und manuellen Freigaben ein.
2. In Woche 2 schreibst du eine Anweisungsdatei, also eine einfache Textdatei mit euren Regeln: Zahlungsbedingungen, Lieferzeiten, Ansprechpartner, Formulierungen, die ihr nie verwendet. Höchstens 100 Zeilen. Jeder Fehler des Assistenten wird zu einer neuen Zeile, so wie Hashimoto es beschreibt.
3. Bis Woche 3 sammelst du 20 echte Fälle aus den letzten Monaten als Testsatz und vergleichst die Ergebnisse mit dem, was ihr damals tatsächlich verschickt habt. Bewerte mit einem einfachen Bogen: brauchbar, nacharbeiten, unbrauchbar.
4. Zum Abschluss in Woche 4 entscheidest du anhand der Zahlen, ob du ausweitest, das Harness nachschärfst oder ein anderes Modell testest.

Wer den nächsten Schritt gehen und einen Agenten selbst zusammenstellen will, findet die Werkzeuge und Schritte in unserem Leitfaden KI-Agent erstellen. Und wenn du das erste Harness nicht allein aufsetzen willst: In unseren KI-Workshops in Hamburg und Herrnhut arbeiten wir mit deinem Team vor Ort, zu Festpreisen.

Florian Wessling

CEO, Collective Brain GmbH · Hamburg

Florian Wessling ist CEO der Collective Brain GmbH in Hamburg und bringt seit über 15 Jahren Marken, Content-Strategie und KI-gestütztes Marketing in Mittelstand und Konzerne. Was Collective Brain verkauft, betreibt er zuerst selbst: Sechs eigene KI-Marken dienen als Testfeld, von der automatisierten Content-Pipeline bis zum täglich aktualisierten AI Leaderboard. Er ist eingetragener BAFA-Berater und führt mit Collective Brain eine Google-Partner-Agentur.

LinkedIn Beratung anfragen