Datenverarbeitung vor Nutzung von Mandatsmaterial prüfen
Entscheiden Sie über zulässiges Material und dokumentieren Sie offene Zugriffs- oder Verarbeitungsfragen.
Was sich seit dem Schreiben geändert hat
- Claude Code: Diagnoseaufzeichnungen vor der Weitergabe prüfen
Claude Code 2.1.274 und 2.1.275 behoben Fälle, in denen Verbindungsfehler und Plugin-Aufzeichnungen Zugriffstoken oder Passwörter anzeigen konnten. Ein Update entfernt keine bereits gespeicherten oder weitergegebenen Informationen.
Empfohlene Maßnahme: Lassen Sie die IT eine freigegebene Version mit diesen Korrekturen installieren. Prüfen Sie Protokolle und Bildschirmfotos vor dem Versand an den Support auf Zugangsdaten und Mandatsinformationen. Wurden Zugangsdaten möglicherweise offengelegt, geben Sie die Aufzeichnung nicht weiter und folgen Sie mit dem Sicherheitsteam dem Vorfallsverfahren Ihrer Organisation.
Quellen: Claude Code 2.1.274, Claude Code 2.1.275
- Computer History kann Aktivitäten außerhalb des Chats aufzeichnen
Die optionale macOS-Funktion speichert App- und Website-Aktivitäten als Erinnerungen und Zeitverlauf. Beim Start waren EWR, Großbritannien und Schweiz ausgeschlossen; der Zugang hing auch von Tarif und Arbeitsbereichseinstellungen ab.
Empfohlene Maßnahme: Diese Funktion kann Aktivitäten in Apps und auf Websites aufzeichnen. Holen Sie deshalb vor dem Einschalten die Zustimmung Ihrer Organisation ein. Prüfen Sie, welche Apps und Websites ausgeschlossen sind und wie Sie Aufnahmen pausieren und löschen können. Testen Sie zuerst ohne Mandantenmaterial; eine Freigabe für Chat umfasst keine Hintergrundaufzeichnung.
Quellen: ChatGPT / Codex
- Record & Replay wurde in weiteren europäischen Ländern verfügbar
Die Erweiterung im Juli umfasste EU, Großbritannien und Schweiz. macOS und aktiviertes Computer Use blieben erforderlich; andere Aufzeichnungsfunktionen waren nicht Gegenstand der Ankündigung.
Empfohlene Maßnahme: Wenn Sie eine Aufgabe zur späteren Wiederverwendung aufzeichnen möchten, prüfen Sie zuerst, ob Record & Replay in Ihrem Arbeitsbereich verfügbar und freigegeben ist. Üben Sie mit einem erfundenen Dokument und prüfen Sie die Aufnahme vor der Wiederverwendung auf unbeabsichtigte Inhalte. Diese Ankündigung bestätigt nicht die Verfügbarkeit der separaten Funktion Computer History.
Quellen: ChatGPT / Codex
- Prüfmaterial darf nicht zu Anweisungen für die Prüfung werden
Codex-Action-Hinweise stellten klar, dass Anweisungsdateien in vorgeschlagenen Änderungen nicht vertrauenswürdig sind, auch wenn sie
AGENTS.mdheißen.Empfohlene Maßnahme: Fragen Sie bei KI-Prüfungen von GitHub-Änderungen, woher die vertrauenswürdigen Anweisungen stammen. Behandeln Sie Anweisungen in eingereichten Dateien als Prüfmaterial und nicht als auszuführende Befehle.
Quellen: Codex Action PR instruction security clarification, Claude Code Action simplified prompt guardrails, Claude Code Action non-user actor handling
- GitHub kann offengelegte Zugangsschlüssel vor dem Teilen erkennen
GitHub machte die Prüfung über verbundene Werkzeuge für Repositories mit aktiviertem Secret Protection allgemein verfügbar.
Empfohlene Maßnahme: Lassen Sie Änderungen vor dem Teilen auf Passwörter und Zugangsschlüssel prüfen. Ein unauffälliger Scan bedeutet nicht, dass die Dateien keine vertraulichen Mandanteninformationen enthalten.
Quellen: GitHub MCP Server secret scanning GA, Claude Code GitHub Actions, Claude Code hooks
Bestimmen Sie vor dem Einfügen von Text, dem Hochladen einer Datei oder dem Verbinden einer Quelle das Mandat, den Zweck, das Werkzeug, das Konto oder den Arbeitsbereich und die Empfänger des Ergebnisses. Nutzen Sie bei offenen Fragen fiktive Daten. Die Genehmigung eines Produkts oder Tarifs umfasst nicht automatisch jede Funktion und jeden externen Dienst.
Prüfungen vor Nutzung
-
Bestätigen Sie die Freigabe Ihrer Organisation für diese Nutzung einschließlich der Mandanten- und Mandatsbeschränkungen. Prüfen Sie die geltenden Anbieterbedingungen und tatsächlichen Einstellungen für Verarbeitung, Aufbewahrung, Trainingsnutzung, Zugriff und verbundene Dienste. Dokumentieren Sie die Quelle jeder Antwort sowie offene Fragen für Datenschutz- oder Sicherheitsverantwortliche.
-
Stellen Sie nur das für die Aufgabe notwendige Material bereit. Prüfen Sie neben dem sichtbaren Text auch Bilder, Anlagen, Kommentare und Metadaten. Trotz eines ersetzten Namens kann der Kontext eine Person identifizierbar machen. Bezeichnen Sie ein Dokument daher nicht allein nach Entfernung direkter Kennungen als anonym. Bewahren Sie etwaige Rückzuordnungsschlüssel getrennt und zugriffsbeschränkt auf. ICO (Vereinigtes Königreich)
-
Bestätigen Sie vor der Weitergabe den Empfänger und Speicherort des Ergebnisses. Dokumentieren Sie das bereitgestellte Material, das Konto oder den Arbeitsbereich, die Prüfentscheidung und verbleibende Einschränkungen nach den internen Aufbewahrungsregeln. Bei vermuteter unbefugter Offenlegung stoppen Sie die betroffene Tätigkeit und folgen dem geltenden Verfahren für Sicherheitsvorfälle.
Fiktives Beispiel und Korrektur
Fiktives Beispiel: Eine Testdatei verwendet „Person A“, doch ein Kommentar enthält den ursprünglichen Namen und der Text bezeichnet den einzigen Chirurgen eines kleinen Dorfes. Die prüfende Person hält die Datei zurück, erstellt vollständig fiktives Testmaterial und kontrolliert Kontext und Kommentare. Ein Pseudonym allein klärte die Frage der zulässigen Offenlegung nicht.
Prüfen Sie Bildschirm- und Aktivitätserfassung getrennt vom Chat. Kontrollieren Sie für Computer History oder Record & Replay die aktuelle regionale und Workspace-Verfügbarkeit, erfassbare Apps und Websites sowie Pause und Löschung. Testen Sie fiktive Aktivitäten und prüfen Sie gespeicherte Aufzeichnungen vor der Wiederverwendung. Lassen Sie die Erfassung deaktiviert, solange Umfang oder Freigabe ungeklärt sind. OpenAI
Für Claude Code: Lassen Sie die IT eine freigegebene Version mit Korrekturen für Zugangsdaten in Diagnoseaufzeichnungen installieren. Prüfen Sie Protokolle und Bildschirmfotos vor dem Versand an den Support auf Zugangsdaten und Mandatsinformationen. Wurden Zugangsdaten möglicherweise offengelegt, geben Sie die Aufzeichnung nicht weiter und folgen Sie mit dem Sicherheitsteam dem Vorfallsverfahren Ihrer Organisation. Claude Code