henning thies.

Verantwortung

Sicherheit & Grenzen

Risiken, Datenschutz, was Claude nicht kann

Risiken kennen und verantwortungsvoll arbeiten

Claude Code ist mächtig – und mit großer Macht kommt große Verantwortung. Hier sind die wichtigsten Risiken und wie du sie minimierst.

Datenschutz

Was Claude sieht

Claude Code hat Zugriff auf:

  • Alle Dateien in deinem Projekt
  • Deine Terminal-Befehle und deren Output
  • Deine Prompts und Konversation

Was du NICHT teilen solltest

  • API Keys und Secrets – Nicht in Prompts, nicht in Code
  • Kundendaten – Keine echten Namen, E-Mails, etc.
  • Produktions-Credentials – Auch nicht "nur kurz"
  • Proprietärer Code – Falls Geheimhaltung vereinbart

Tipp

Nutze .claudeignore um sensible Dateien auszuschließen: 
.env
config/credentials.yml.enc
tmp/

Code-Sicherheit

SQL Injection

Claude kann versehentlich unsicheren Code schreiben: 

# GEFÄHRLICH
User.where("name = '#{params[:name]}'")
# SICHER
User.where(name: params[:name])

XSS (Cross-Site Scripting)

User-Input in Views immer escapen: 

# GEFÄHRLICH
<%= raw user.bio %>
# SICHER (Standard in Rails)
<%= user.bio %>

Mass Assignment

# GEFÄHRLICH
User.create(params[:user])
# SICHER
User.create(user_params)

def user_params
  params.require(:user).permit(:name, :email)
end

Halluzinationen

Claude kann "halluzinieren" – Dinge erfinden die nicht stimmen:

  • Nicht existierende Gems/Libraries – Immer verifizieren
  • Falsche API-Signaturen – Docs checken
  • Erfundene Best Practices – Kritisch hinterfragen

Wichtig

Vertrauen ist gut, Kontrolle ist besser. Besonders bei Security-Code: Immer selbst verifizieren und testen.

Grenzen kennen

Claude ist NICHT geeignet für:

  • Kryptographie-Implementierung (nutze etablierte Libraries)
  • Security-Audits (braucht Experten)
  • Rechtliche Fragen (braucht Anwalt)
  • Produktionsentscheidungen ohne Review

Checkliste

  • Keine Secrets in Code oder Prompts
  • .claudeignore für sensible Dateien
  • Strong Parameters verwenden
  • User-Input escapen
  • ActiveRecord statt raw SQL
  • Code reviewen vor Commit

Tipp

Füge in CLAUDE.md hinzu: "Prüfe jeden Code auf OWASP Top 10 Vulnerabilities bevor du ihn vorschlägst."

Zusammenfassung

  • Keine Secrets teilen – nicht in Prompts, nicht in Code
  • .claudeignore nutzen – sensible Dateien ausschließen
  • Security-Code reviewen – SQL Injection, XSS, Mass Assignment prüfen
  • Halluzinationen erwarten – Libraries und APIs immer verifizieren
  • Grenzen kennen – keine Kryptographie, keine Security-Audits durch Claude