Anthropic hat am 19. Mai 2026 ein Update fuer Claude Managed Agents veroeffentlicht, das fuer DACH-Enterprise-Kunden ueberraschend relevant ist: MCP-Tunnels und Self-Hosted Sandboxes. Beide Features verlagern Teile der Agent-Ausfuehrung in die eigene Infrastruktur — und schliessen damit eine Compliance-Luecke, an der bisher viele Pilotprojekte gescheitert sind.
Wir haben das Update durchgearbeitet und ordnen ein, fuer wen sich der Eigenbetrieb lohnt — und wo Anthropic immer noch eine Black Box bleibt.
Das Problem, das Anthropic loest
Bisheriger Stand bei Claude Managed Agents:
- Du baust einen Agent in der Anthropic-Konsole
- Du registrierst MCP-Server (Datenbank, ERP, Ticketing, …)
- Diese Server muessen oeffentlich ueber HTTPS erreichbar sein, damit Anthropic sie aufrufen kann
- Token, Anmeldedaten und vertrauliche Tool-Ergebnisse fliessen ueber Anthropic-Server
Das Problem: Schon die Anforderung “oeffentlicher HTTPS-Endpoint fuer dein ERP” war fuer viele DACH-Mittelstaendler ein KO-Kriterium. Wer SAP, Salesforce on-prem oder ein internes Ticketing-System anbinden wollte, musste eine zusaetzliche Reverse-Proxy-Schicht mit Auth-Token-Verwaltung bauen — und dann der eigenen IT-Security erklaeren, warum jetzt ein US-Anbieter direkten Pfad ins Intranet hat.
Mit dem Mai-Update kommen zwei Mechanismen, die das Problem entschaerfen:
MCP-Tunnels: Outbound-only Zugriff aufs Intranet
Ein MCP-Tunnel funktioniert wie ein klassischer Reverse-Tunnel (Cloudflare Tunnel, Tailscale, ngrok-Vorbild):
- Du installierst einen leichten Gateway-Agent in deinem Netzwerk (Docker-Container, ca. 80 MB)
- Dieser Gateway oeffnet eine einzige ausgehende Verbindung zu Anthropic ueber TLS 1.3
- Anthropic kann ueber diese Verbindung deine internen MCP-Server rueckwaerts ansprechen
- Es gibt keine eingehenden Firewall-Regeln, keine oeffentlichen Endpoints, keine geleakten Tokens
Das ist Standard-Pattern fuer Zero-Trust-Architekturen — und es bedeutet konkret:
| Vorher | Mit MCP-Tunnels |
|---|---|
| MCP-Server brauchen oeffentliche TLS-Endpoints | Komplett im Intranet |
| Auth-Tokens via Header/Bearer ueber Internet | Innerhalb des Tunnels, nicht exponiert |
| Firewall-Regeln: Inbound 443 von Anthropic-IPs | Nur Outbound 443 vom Gateway |
| Tooling fuer Token-Rotation noetig | mTLS-Zertifikat im Gateway, automatische Rotation |
| Angriffsflaeche: ein offenes ERP-API | Angriffsflaeche: ein Gateway-Container |
Praxis-Beispiel: Ein deutscher Maschinenbauer hat SAP S/4HANA on-prem und will einen Claude-Agenten als Service-Techniker-Backend einsetzen. Der Agent soll Ersatzteil-Verfuegbarkeit pruefen und Bestellungen anstossen.
Vorher: SAP-Reverse-Proxy via Cloudflare Tunnel, Token-Lifecycle-Management, Logging-Pipeline ins SIEM, IT-Security-Review (8 Wochen).
Mit MCP-Tunnels: Gateway-Container im Servernetz, MCP-Server lokal an SAP-Adapter angebunden, keine Inbound-Aenderung an der Firewall. IT-Security-Review: 1 Woche.
Self-Hosted Sandboxes: Tool-Execution in deiner Cloud
Der zweite Baustein ist subtiler, aber strategisch wichtiger: Wo wird der Tool-Call eigentlich ausgefuehrt?
Bisher: Wenn ein Agent ein Tool aufruft (z. B. “fuehre dieses Python-Skript aus” oder “rendere diese HTML-Tabelle als PDF”), passierte die Ausfuehrung in einer Anthropic-eigenen Sandbox. Bedeutet: Daten, die das Tool verarbeitet, lagen kurzzeitig auf Anthropic-Compute.
Mit Self-Hosted Sandboxes kannst du die Sandbox in deiner eigenen Infrastruktur betreiben. Zum Launch unterstuetzt sind:
- Cloudflare Containers (lambda-aehnlich, mit EU-Routing optional)
- Daytona (Dev-Sandbox-Spezialist, EU-Hosting moeglich)
- Modal (Compute-Plattform, EU-Region in Vorbereitung)
- Vercel Sandbox (US-zentral, eher fuer Frontend-Stacks)
Wer es richtig EU-konform will, baut die Sandbox selbst — Anthropic dokumentiert ein offenes Container-Protokoll (gRPC-basiert). Empfehlung fuer den deutschen Mittelstand: Kubernetes-Cluster auf Hetzner oder IONOS mit einem geheardenten Container-Image.
Wichtiger Punkt: Was bleibt bei Anthropic?
Die Agent-Orchestrierung — also Planung, Context-Management, Fehlerbehandlung, der eigentliche Agent-Loop — laeuft weiterhin auf Anthropic-Servern. Self-Hosted bedeutet bei Anthropic ausschliesslich:
- Tool-Execution (was passiert beim Function-Call)
- Tool-Output-Verarbeitung (Pre-Processing, bevor das Modell die Antwort sieht)
Wer vollstaendige Hoheit ueber den Agent-Loop will, muss Claude direkt ueber die API einbinden und das Orchestration-Framework selbst betreiben — z. B. mit LangGraph, PydanticAI oder einem eigenen State-Machine-Setup.
Was das fuer dein DSGVO-Setup wirklich aendert
Sei ehrlich mit dir selbst, was die neuen Features loesen und was nicht:
| Compliance-Anforderung | Vorher | Mit Update |
|---|---|---|
| Tool-Daten bleiben in DACH | Nein | Ja (bei Self-Host) |
| MCP-Auth-Tokens nicht im Internet | Nein | Ja (bei Tunnel) |
| Agent-Loop auf EU-Server | Nein | Nein |
| Prompt-Inhalte auf EU-Server | Nein | Nein |
| Audit-Logs in eigener Hand | Teilweise | Vollstaendig |
| AVV mit EU-Subprozessor | Anthropic via AWS Frankfurt | Identisch |
Fazit: Das Update senkt die Datenmenge, die ueber Anthropic-US-Infrastruktur laeuft, deutlich — aber es macht Claude nicht zu einer EU-Only-Loesung. Wer maximale DSGVO-Konformitaet braucht, muss zusaetzlich Claude via AWS Bedrock in Frankfurt beziehen und den AWS-AVV abschliessen.
Setup-Empfehlung: So baust du eine DSGVO-resiliente Claude-Agent-Architektur
Wir empfehlen DACH-Unternehmen folgendes 5-Schicht-Setup:
Schicht 1: Claude via AWS Bedrock Frankfurt
Modell-Inferenz laeuft auf eu-central-1. Vertraglich gilt der AWS-AVV nach Standardvertragsklauseln. Daten verlassen die EU nicht.
Schicht 2: Managed Agents Konfiguration mit Tunnel
Agent-Definition via Anthropic-Konsole, aber MCP-Tunnel-Gateway in der eigenen Infrastruktur. So bleibt der Tool-Zugriff intern.
Schicht 3: Self-Hosted Sandbox auf EU-Cloud
Sandbox-Container auf Kubernetes in Hetzner Falkenstein, Cloudflare Frankfurt oder einem on-prem Cluster. Tool-Ausfuehrung passiert hier.
Schicht 4: KI-Inventar dokumentieren
Jeder Agent muss ins KI-Inventar nach EU AI Act — Modell, Anbieter, Tool-Zugriffe, Datenflow, Rechtsgrundlage. Der KI-Inventar im AEGIS-Hub hat dafuer eine fertige Vorlage inklusive Sub-Prozessoren-Liste fuer Anthropic + AWS.
Schicht 5: Monitoring & Audit
Logging aller Tool-Aufrufe in dein eigenes SIEM (Wazuh, Elastic, Sentinel). Anthropic gibt dir API-Webhooks fuer Tool-Calls und Loop-Iterationen — die solltest du aktivieren.
🛡️ AEGIS-Empfehlung: Wenn du Agenten in einem regulierten Sektor (HR, Finanzen, Gesundheit, kritische Infrastruktur) einsetzt, mach vor dem Tunnel-Setup den AI Act Readiness Check — das spart dir spaeter die teure Nachdokumentation.
Make-Workflow als pragmatische Alternative
Nicht jedes Projekt braucht den vollen Claude-Managed-Agents-Stack. Fuer einfachere Faelle reicht oft:
🔧 Automation-Stack: Make.com als Orchestrator, Claude API ueber AWS Bedrock Frankfurt als LLM, eigene HTTP-Endpoints als Tools. Komplett unter EU-Kontrolle, ohne Anthropic-Console-Abhaengigkeit. Setup-Zeit: 1 Tag statt 2 Wochen.
Vorteil: Du kannst Make-Szenarien per Webhook in bestehende DSGVO-Datenschutzdokumentation integrieren und brauchst keine neue Sub-Prozessoren-Bewertung.
Nachteil: Kein nativer Agent-Loop. Komplexe Mehrschritt-Workflows musst du in Make manuell modellieren — das wird ab 8-10 Schritten unhandlich.
Vergleich mit dem Wettbewerb
| Feature | Claude Managed Agents | OpenAI Custom Agents | Gemini Spark |
|---|---|---|---|
| MCP-Tunnel | Ja (seit 19.05.2026) | Nein | Nein |
| Self-Hosted Sandbox | Ja (Public Beta) | Nein | Nein |
| EU-Region Modell | AWS Bedrock Frankfurt | Azure Frankfurt | Vertex AI Frankfurt |
| Agent-Loop EU | Nein | Nein | Nein |
| Persistente VM | Nein (Session-basiert) | Nein (Cron) | Ja |
| Eigene MCP-Server | Ja | Ja | Ja |
| Audit-Webhooks | Ja | Begrenzt | Beta |
Anthropic ist aktuell die einzige der drei Plattformen, die Tunnel und Self-Hosted Sandboxes anbietet. Das macht Claude Managed Agents derzeit zur DACH-pragmatischsten Wahl fuer Enterprise-Agent-Workloads — auch wenn der Agent-Loop weiter in den USA laeuft.
Fazit: Echter Fortschritt, aber kein DSGVO-Allheilmittel
Anthropic hat mit MCP-Tunnels und Self-Hosted Sandboxes die Compliance-Luecke verkleinert, an der bisher viele DACH-Pilotprojekte gescheitert sind. Vor allem fuer Mittelstaendler mit on-prem ERP, internem CRM oder geschuetzten Datenbanken oeffnet sich ein deutlich praktikablerer Weg.
Aber: Wer im Detail erwartet, dass damit alle DSGVO-Fragen beantwortet sind, wird enttaeuscht. Der Agent-Loop bleibt bei Anthropic. Die echte Frage ist nicht “ob” sondern “wieviel” deiner Daten du noch ueber den US-Pfad laufen laesst — und ob deine Datenschutzfolgenabschaetzung das hergibt.
Pragmatische Empfehlung: MCP-Tunnels jetzt evaluieren, Self-Hosted Sandbox parallel aufbauen, Bedrock-Frankfurt als Modell-Backend setzen, und das ganze sauber in dein KI-Inventar bringen.
