Security Audit
Du lässt Claude Codebasen, APIs und Dienste auf Sicherheitslücken prüfen und bekommst zu jedem Befund Belege aus dem Code, eine Priorität und die kleinste wirksame Korrektur.
Was ist Security Audit?
Security Audit ist ein Skill von Cloudflare, mit dem Claude Codebasen, APIs, Dienste, Kommandozeilen-Werkzeuge, Bibliotheken und Daemons auf Sicherheitslücken prüft. Der Skill arbeitet defensiv und geht vom Quellcode aus. Er sucht Schwachstellen, die eine echte Vertrauensgrenze verletzen, und liefert dazu Belege aus dem Code, eine sichere Reproduktion, eine Priorität und die kleinste wirksame Korrektur.
Standardmäßig berät der Skill nur. Bei Sicherheitsfragen, gezielten Reviews oder der Untersuchung einzelner Befunde nutzt Claude die passenden Teile der Anleitung, ohne Dateien anzulegen. Den vollständigen Ablauf mit sechs Phasen und schriftlichem Bericht startet Claude erst, wenn du ausdrücklich ein Audit, einen Pen-Test oder einen umfassenden Review verlangst. Ist dein Auftrag unklar, kommt vorher eine Rückfrage.
Für Code aus dem geprüften Projekt gelten strenge Regeln. Builds, Tests oder Fuzzer laufen nur in einer Sandbox ohne externes Netzwerk, mit leerer Umgebung und festen Ressourcengrenzen. Fehlt eine dieser Kontrollen, führt der Skill nichts aus und markiert den Punkt als offen. Für bestimmte Ziele bringt er eigene Leitfäden mit, etwa für KI- und Agenten-Anwendungen, Browser-Code sowie Cloud und Deployment.
Für wen
Entwicklungsteams, Sicherheitsverantwortliche und Beratungen, die Quellcode von Diensten, APIs, Bibliotheken oder KI-Anwendungen auf Schwachstellen prüfen wollen.
Use Cases
- Vor einem Release lässt du eine neue API auf Lücken in Zugriffskontrolle und Authentifizierung durchsehen.
- Du baust einen Chatbot oder MCP-Server und willst wissen, ob Modellausgaben unberechtigt Rechte oder fremde Daten erreichen.
- Für ein internes Werkzeug brauchst du einen vollständigen Sicherheitsbericht mit priorisierten Befunden und konkreten Korrekturen.
Das kann Security Audit
Zwei Betriebsarten
Im Beratungsmodus beantwortet Claude Sicherheitsfragen und prüft einzelne Stellen. Der Vollmodus mit allen sechs Phasen und Berichtsdateien startet nur auf deinen ausdrücklichen Wunsch.
Befunde nur mit Beleg
Als bestätigt gilt ein Befund erst, wenn betroffene Person, Ressource und Sicherheitsfolge feststehen. Fehlt ein Fakt aus Laufzeit oder Deployment, wird der Punkt als zu prüfen markiert.
Ausführung nur in der Sandbox
Projektcode läuft nur isoliert: ohne externes Netz, mit leerer Umgebung, schreibgeschütztem Ziel und Limits für CPU, Speicher und Laufzeit. Abhängigkeiten werden nicht nachinstalliert.
Leitfäden je Angriffsfläche
Eigene Dateien behandeln KI- und LLM-Anwendungen samt RAG, Agenten und MCP, außerdem Browser-Code, Cloud und Deployment sowie native Ziele mit Fokus auf Speichersicherheit.
Bericht im Vollmodus
Im Vollmodus legt Claude in einem Ordner außerhalb des Projekts einen Bericht, eine Befundliste, eine Architekturbeschreibung und eine Liste offener Prüfpunkte an.
Teilagenten mit eigenem Bereich
Der Skill verteilt Arbeit auf Teilagenten für Recherche und Prüfung. Jeder bekommt ein eigenes Arbeitsverzeichnis, gemeinsame Dateien schreibt nur der koordinierende Agent.
Sag das, um den Skill zu aktivieren
„Prüf diesen Endpunkt auf Sicherheitslücken."„Mach ein vollständiges Sicherheits-Audit dieses Repositorys."„Ist die Autorisierung in diesem Modul sauber umgesetzt?"„Schreib mir einen Bericht zu den Schwachstellen in dieser Codebasis." Installieren
npx skills add cloudflare/security-audit-skill --skill security-audit
Der Befehl installiert die Originalfassung aus dem Repository des Autors (Skills-CLI von Vercel, braucht Node.js), mit -g für alle Projekte. Wir hosten keine Kopie: Updates kommen direkt vom Autor. Brauchst du Hilfe beim Setup? Wie installiere ich Skills →
Automatisch geprüft
- Automatische Prüfung am 01.11.2026 (Stand c1c8a8c): 20 Dateien aus dem Skill-Ordner per Mustersuche gelesen. Dabei fanden sich keine versteckten Zeichen, keine Anweisungen zum Übergehen von Regeln, kein Download mit direkter Ausführung und keine Zugriffe auf Zugangsdaten.
Unabhängige Prüfungen auf skills.sh, Stand 01.11.2026
| Gen Agent Trust Hub | Pass |
|---|---|
| Socket | Pass |
| Snyk | Warn |
Ergebnisse im Detail auf skills.sh ↗
Gut zu wissen
- Der Prüfdienst Snyk hat für dieses Repository eine Warnung vermerkt. Gen Agent Trust Hub und Socket melden keine Auffälligkeiten.
- Ohne eine Sandbox mit allen geforderten Kontrollen führt der Skill keinen Projektcode aus. Betroffene Befunde bleiben dann als zu prüfen markiert.
- Im Vollmodus schreibt der Skill Berichtsdateien standardmäßig in einen Ordner in deinem Home-Verzeichnis, außerhalb des geprüften Projekts.
- Fakten aus Deployment oder Laufzeit kann der Skill nicht selbst klären. Solche Punkte prüfst du in deiner eigenen Umgebung nach.
- Ein Prüfer auf skills.sh meldet eine Warnung (Snyk). Lies dessen Hinweise, bevor du den Skill in Projekte mit sensiblen Daten holst.
- Die Prüfung ist eine automatische Mustersuche und keine Sicherheitsgarantie. Sie liest nur den Skill-Ordner. Der Befehl installiert immer die aktuelle Fassung des Autors; spätere Versionen haben wir nicht geprüft.
Häufige Fragen zu Security Audit
Was ist Security Audit?
Security Audit ist ein Skill von Cloudflare, mit dem Claude Quellcode auf Sicherheitslücken prüft. Er arbeitet defensiv, belegt jeden Befund im Code und schlägt die kleinste wirksame Korrektur vor.
Wie installiere ich Security Audit?
Du installierst Security Audit mit 'npx skills add cloudflare/security-audit-skill --skill security-audit'. Danach greift Claude bei Sicherheitsfragen oder Audit-Aufträgen auf den Skill zurück.
Ist Security Audit kostenlos?
Ja, Security Audit steht laut Repository unter der MIT-Lizenz und darf frei genutzt, verändert und weitergegeben werden.
Startet Security Audit sofort ein vollständiges Audit?
Nein, Security Audit berät standardmäßig nur und legt keine Dateien an. Den Ablauf mit sechs Phasen und Bericht führt Claude erst aus, wenn du ausdrücklich ein Audit, einen Pen-Test oder einen umfassenden Review verlangst.
Greift Security Audit auf Live-Systeme zu?
Nein, Security Audit liest Quellcode nur und führt Projektcode ausschließlich in einer abgeschotteten Sandbox ohne Netzwerk aus. Produktivsysteme, fremde Dienste und bezahlte API-Kontingente fasst der Skill laut Anleitung nicht an.
Für wen lohnt sich Security Audit?
Security Audit lohnt sich für Entwicklungsteams und Sicherheitsverantwortliche, die eigene Codebasen, APIs, Bibliotheken oder KI-Anwendungen prüfen und Befunde mit Belegen und Korrekturvorschlägen brauchen.
Skill teilen
Über diesen Skill
Security Audit kommt von cloudflare und ist ein Open-Source-Projekt, das der Autor mit seiner Community pflegt.
Autor: cloudflare / github.com. Quelle: github.com/cloudflare/security-audit-skill/tree/main/skills/security-audit. Lizenz: MIT.
Kuratiert von Collective Brain, KI- und Automatisierungs-Digitalagentur aus Hamburg, gemeinsam mit WhiteFox Automations. Mehr geprüfte Skills im Skills-Katalog.
Skills im Team einsetzen
Damit alle im Team dieselben geprüften Skills nutzen, legen wir mit euch fest, welche freigegeben sind und wer sie pflegt. Wir richten sie ein und prüfen die Datenschutz-Einstellungen eures Claude-Tarifs. Im Workshop lernt das Team, sie bei euren eigenen Aufgaben einzusetzen.
Diesen Skill auf dein Team zuschneiden?
Security Audit ist ein guter Start. Richtig stark wird ein Skill, wenn er deine Workflows, Vorlagen und Tonalität kennt. Wir bauen Custom Skills für Teams, von der Analyse bis zum Rollout, und verbinden sie mit unserer Arbeit in KI-Automatisierung und Entwicklung. Dein Team soll Skills selbst sicher einsetzen? Genau das üben unsere KI-Workshops und Schulungen, vor Ort oder inhouse, mit Protokoll als Nachweis.
Custom Skill anfragen →