Security-Review mit Claude Code: vom einzelnen Diff bis zum ganzen Repository

Was Claude Code für Security-Review erledigt

• Prüft jede Änderung vor dem Merge auf Injection, fehlende Autorisierung, offengelegte Daten und Secrets im Code.
• Scannt das ganze Repository nach Zeitplan und meldet Funde mit Belegen, nicht als bloße Warnungen.
• Macht aus bestätigten Funden Patches oder Issues, die schwersten zuerst.
• Prüft einen Fix noch einmal, um sicherzugehen, dass er die Lücke schließt.

Funktionen von Claude Code für Security-Review

So richtest du Claude Code für Security-Review ein

1. Verbinde die Tools

   /security-review funktioniert in jeder Session mit einem origin-Remote. Für vollständige Scans installierst du das Plugin Claude Security aus dem offiziellen Marketplace; es braucht Python 3.9 oder neuer und einen bezahlten Plan oder API-Zugang.

   # In einer Claude-Code-Session: den Scanner installieren
   /plugin install claude-security@claude-plugins-official
   
   # Deinen Branch vor dem Merge scannen, mit hohem Aufwand
   /claude-security scan my branch at high

2. Schreib die Regeln in die CLAUDE.md

   Claude Code liest die CLAUDE.md zu Beginn jeder Session, auch bei Läufen mit claude -p. Schreib die Regeln der Aufgabe dort hinein oder, wenn sie lang sind, in einen Skill unter .claude/skills/. Siehe den CLAUDE.md-Leitfaden.

   ## Regeln für das Security-Review
   - Reviewe jeden Pull Request, der auth/, billing/ oder SQL berührt.
     Achte auf Injection, fehlende Berechtigungsprüfungen, Secrets im
     Code und Daten, die beim falschen Nutzer landen.
   - Stufe jeden Fund als Critical, High, Medium oder Low ein, mit
     Datei, Zeile und wie er ausgenutzt werden könnte.
   - Führ nie Exploits gegen Produktion oder gegen etwas aus, das uns
     nicht gehört. Lies den Code und teste lokal.
   - Öffne Fixes als Pull Requests; push nie auf main.

3. Führ es ohne die interaktive Oberfläche aus

   claude -p führt eine Aufgabe aus und beendet sich, sodass cron, CI oder ein anderes Tool es starten kann. Mit --allowedTools oder --permission-mode legst du fest, was es ohne Nachfrage tun darf; --output-format json liefert das Ergebnis samt Kosten.

   # Ein Security-Durchgang auf dem Branch aus CI oder per cron
   claude -p "Führ /security-review auf diesem Branch aus und liste die Funde nach Schweregrad auf" \
     --output-format json > security-review.json

4. Bring es in einen Zeitplan

   Leg mit /schedule eine geplante Aufgabe in der Cloud an (Pro, Max, Ultra, Team und Enterprise), nutze eine geplante Desktop-Aufgabe oder /loop, solange eine Session offen bleibt. Siehe Claude Code proaktiv machen.

Quelle: Dokumentation von Claude Code (Englisch)

Grenzen und Sicherheit

• Es liest den Code in deinem Checkout, nicht deine laufende Website, und findet daher keinen falsch konfigurierten Server.
• Scans sind nicht deterministisch: Zwei Läufe können unterschiedliche Funde liefern. Lass sie regelmäßig laufen, nicht nur einmal.
• Es ergänzt deine Scanner und Dependency-Warnungen. Es ersetzt weder sie noch einen Penetrationstest.
• Seit Claude Code v2.1.302 startet claude -p im Manual-Modus: Eine Aktion, die eine Freigabe braucht, wird abgelehnt, sofern keine Regel sie erlaubt. Erlaube nur die Tools, die die Aufgabe braucht.

Claude Code oder Codex für Security-Review?

Die Regeln lassen sich mitnehmen. Schreib sie einmal in die AGENTS.md und setz @AGENTS.md in die CLAUDE.md, dann lesen beide Agenten dieselbe Datei.

Schritt für Schritt für den anderen Agenten: Security-Review mit Codex.

Mach Security-Review zur festen Aufgabe

Befehle laufen, wenn jemand daran denkt, sie auszuführen. Crewmark macht aus deinem eigenen Claude Code einen KI-Mitarbeiter mit Rolle, einem Ziel in Zahlen, Arbeitszeiten und einem Heartbeat, damit die Arbeit nach Zeitplan passiert und auf einem Board sichtbar wird.

1. Fang mit der Rolle an

   Der KI-Softwareentwickler, mit diesen Regeln in seiner Rollenbeschreibung.

2. Bring die Arbeit auf sein Board

   Leg die Aufgabe als wiederkehrendes Issue an. Der Mitarbeiter wacht per Heartbeat auf, erledigt sie und berichtet in einem Kommentar.

3. Mehr dazu

   Für Bugs, die keine Sicherheitsprobleme sind, siehe Code-Review.

FAQ