Claude Code oder Codex im Unternehmen: Datenschutz, Sicherheit und Kosten im Vergleich

Die kurze Antwort vorab: Im Unternehmen entscheiden nicht die Modellranglisten, sondern drei Fragen: Welche Daten verlassen das Haus, was darf der Agent ohne Rückfrage tun, und was kostet der Betrieb je Arbeitsplatz. Für Claude Code nennt die Anbieterdokumentation bei gewerblichen Tarifen kein Training mit Code und Prompts, 30 Tage Aufbewahrung und Zero Data Retention auf Anfrage[1]. Für Codex enthält die gelesene Administrationsdokumentation keine Aussage zu Training und Standardaufbewahrung[7]. Hinzu kommt, dass Claude inzwischen über mehrere Microsoft-Kanäle erreichbar ist, jeweils mit eigener Rechtsgrundlage und in der EU zum Teil mit anderen Voreinstellungen[3][4][5]. Nach unserer Einschätzung lässt sich beides im Mittelstand beherrschen, wenn Konten, Datenklassen, Datenfluss und Rechte vorab geregelt sind.

Transparenzhinweis: Avolang nutzt Claude und die Modelle von OpenAI nebeneinander und berät zu Microsoft 365 und zum Einsatz von KI im Unternehmen; ein wirtschaftliches Interesse am Thema besteht. Claude Code stützt sich in diesem Beitrag auf die Dokumentation von Anthropic und die eigene Nutzung, Codex auf die Dokumentation von OpenAI. In den belegten Abschnitten bewerten wir die Modellleistung bewusst nicht; unsere Erfahrungen aus dem Alltag mit beiden Anbietern stehen getrennt im Abschnitt „Erfahrungen aus der Praxis“ und sind subjektiv und nicht gemessen. Eigene Einschätzungen sind als solche gekennzeichnet, nicht bestätigte Meldungen ebenso. Stand aller Angaben: 9. November 2026. Die Ausführungen ersetzen keine Rechtsberatung.

Ausgangslage: Programmierassistenten sind Agenten, keine Chatfenster

Claude Code von Anthropic und Codex von OpenAI sind Programmierassistenten mit Agentenfunktion. Sie lesen Quellcode, führen Befehle im Terminal aus, ändern Dateien und können auf Wunsch Tests starten oder Inhalte aus dem Netz laden. Claude Code läuft lokal auf dem Rechner, sendet aber alle Eingaben und Ausgaben an das Modell; die Verbindung ist per TLS ab Version 1.2 verschlüsselt[1]. Damit gelangen nicht nur Fragen, sondern Code, Konfigurationsdateien und alles, was im Terminal sichtbar wird, in den Verantwortungsbereich eines Anbieters.

Für die Geschäftsführung ergeben sich daraus drei Prüffragen: Wer darf welches Werkzeug mit welchem Konto nutzen? Welche Daten dürfen in den Arbeitsbereich eines Agenten? Und welche Aktionen darf der Agent selbst auslösen? Beide Anbieter machen die Verantwortung für die Prüfung vorgeschlagener Änderungen ausdrücklich zur Sache der Nutzer[2][6]. Der Rahmen für eine solche Regelung steht im Leitfaden zur KI-Richtlinie und im Beitrag zur KI-Governance im Unternehmen; die Haftungsfragen nicht genehmigter KI-Nutzung behandelt unser Whitepaper.

Dieser Beitrag vergleicht Datenschutz, Sicherheit und Kosten anhand der Anbieterdokumentation. Welches Werkzeug bei Programmieraufgaben die besseren Ergebnisse liefert, messen wir nicht: Das ändert sich mit jeder Modellversion und lässt sich im eigenen Unternehmen nur an eigenen Testaufgaben entscheiden. Unsere Erfahrungen aus dem Alltag mit beiden Anbietern stehen getrennt und als solche gekennzeichnet im Abschnitt „Erfahrungen aus der Praxis“.

Datenschutz bei Claude Code: Konto, Aufbewahrung und Datenfluss

Was mit den Daten geschieht, hängt zuerst vom Kontotyp ab. Bei privaten Tarifen (Free, Pro, Max, Ultra) können Nutzer erlauben, dass ihre Daten zur Verbesserung künftiger Modelle verwendet werden, ausdrücklich auch bei der Nutzung von Claude Code; bei erlaubter Nutzung beträgt die Aufbewahrung fünf Jahre, sonst 30 Tage. Bei gewerblichen Tarifen (Team, Enterprise, API, Drittplattformen und Claude Gov) trainiert Anthropic nach eigenen Angaben nicht mit Code oder Prompts aus Claude Code, es sei denn, der Kunde hat sich dafür entschieden, zum Beispiel über das Development Partner Program[1]. Praktische Folge: Arbeitet ein Entwickler mit dem privaten Pro- oder Max-Konto an Firmencode, gelten die Zusagen der Unternehmensverträge nicht (Einschätzung Avolang).

Bei gewerblichen Tarifen beträgt die Standardaufbewahrung 30 Tage. Zero Data Retention (ZDR) ist für qualifizierte Konten von Claude Code auf Claude for Enterprise verfügbar, gehört aber nicht zum Standardplan und wird je Organisation vom Account-Team freigeschaltet, nachdem es die Berechtigung geprüft hat[1]. Zusätzlich speichert Claude Code Sitzungsprotokolle lokal im Klartext unter ~/.claude/projects/, standardmäßig 30 Tage (Einstellung cleanupPeriodDays)[1]. Enthält eine Sitzung Zugangsdaten, liegen sie damit vermutlich auch im lokalen Protokoll (Einschätzung Avolang).

Daneben gibt es Datenflüsse, die man kennen sollte:

• Metriken zu Latenz, Zuverlässigkeit und Nutzung enthalten laut Dokumentation nie Code, Prompts oder Dateipfade und lassen sich mit DISABLE_TELEMETRY=1 abschalten[1].
• Fehlerberichte sind nur bei Anmeldung mit einem privaten Pro-, Max- oder Ultra-Abonnement ab Version 2.1.198 aktiv und bei Verträgen mit Zero Data Retention oder HIPAA aus[1].
• Der Befehl /feedback (ebenso /bug und /share) sendet eine Kopie des Gesprächsverlaufs einschließlich Code an Anthropic; solche Transkripte werden fünf Jahre aufbewahrt. Mit DISABLE_FEEDBACK_COMMAND=1 lässt sich der Befehl sperren[1].
• CLAUDE_CODE_DISABLE_NONESSENTIAL_TRAFFIC schaltet nicht notwendige Verbindungen ab. Nicht erfasst ist die Sicherheitsprüfung des Werkzeugs WebFetch, die den Hostnamen (nicht die URL) an api.anthropic.com sendet[1].

Wer Claude Code über Amazon Bedrock, Google Cloud, Microsoft Foundry oder Claude Platform on AWS betreibt, hat Metriken, Fehlerberichte und Feedback-Berichte standardmäßig abgeschaltet; die Umfragen zur Sitzungsqualität und die WebFetch-Prüfung laufen unabhängig davon. Die Verschlüsselung im Ruhezustand hängt vom gewählten Anbieter ab, bei Foundry vom Hosting-Modell[1]. Die Dokumentation ist die Angabe des Anbieters; ob eine konkrete Konfiguration die Anforderungen der DSGVO erfüllt, klärt die Datenschutzberatung im Einzelfall. Zu Auftragsverarbeitung, Drittlandübermittlung und Zugriff nach US-Recht verweisen wir auf unseren Beitrag zu ChatGPT, Claude und einem lokalen KI-Agenten.

Datenschutz bei Codex: was die Dokumentation sagt und was nicht

Codex ist der Programmierassistent von OpenAI und in den ChatGPT-Tarifen Free, Go, Plus, Pro, Business, Edu und Enterprise enthalten; die Nutzung wird mit ChatGPT Work geteilt und über Kontingente und Credits begrenzt[8]. Die Administrationsdokumentation für ChatGPT Enterprise behandelt die Datenschutzfragen nur teilweise: Zu Training und zur Standardaufbewahrung enthält die gelesene Seite keine Aussage[7]. Sie nennt dagegen:

• Enterprise Key Management für unterstützte gespeicherte Inhalte in berechtigten Arbeitsbereichen
• Datenresidenz nur für berechtigte Inhalte und unterstützte Workloads
• rollenbasierte Zugriffssteuerung (RBAC) über Arbeitsbereichsrollen
• verwaltete Konfiguration über eine Datei requirements.toml, die Vorgaben für lokale Clients über einen Cloud-, Geräte- oder Systemkanal ausliefert
• eine Compliance-API für Audit und Untersuchungen[7]

Zwei Hinweise sind für die Planung wichtig. Erstens: Der lokale Computerzugriff mit Work Cloud bietet laut Seite keine strikte Zero Data Retention; wer ZDR verlangt, soll die Funktion nicht aktivieren. Zweitens: Codex Cloud ist für Enterprise-Arbeitsbereiche standardmäßig ausgeschaltet, und Cloud-Umgebungen übernehmen weder die lokale Geräterichtlinie noch den lokalen Netzwerkzugang; sie respektieren die Repository-Berechtigungen des angebundenen Quellsystems[7].

Zum Datenabfluss gibt die Sicherheitsseite keine vollständige Aussage. Genannt wird: Der Export von OpenTelemetry-Daten ist standardmäßig aus, Prompt-Texte werden ohne ausdrückliche Freigabe geschwärzt, und Telemetrie soll nur an Sammler gehen, die das Unternehmen kontrolliert. Die Netzwerkrichtlinien für Befehle erfassen allerdings nicht die Anfragen des Clients an Modell und Anmeldung sowie den Verkehr von Websuche, Apps und MCP-Servern[6].

Eine Lücke bleibt: Die Datenschutzseite von OpenAI für Unternehmen war für uns am 9. November 2026 nicht abrufbar (HTTP 403). Aussagen zu Training und Aufbewahrung bei OpenAI, die wir nicht selbst gelesen haben, geben wir deshalb nicht wieder. Vor einer Entscheidung sind die aktuellen Vertragsunterlagen und die Datenschutzhinweise von OpenAI zu lesen; zur Einordnung der Business- und Enterprise-Tarife dient unser Beitrag zu ChatGPT und Claude im Unternehmen.

Claude kommt zu Microsoft: sieben Wege mit unterschiedlicher Rechtsgrundlage

Die Meldung, Claude komme jetzt zu Microsoft, beschreibt nach unseren Recherchen keinen einzelnen Termin im November 2026, sondern das vorläufige Ende einer Entwicklung seit September 2025. Für Unternehmen zählt, dass es heute mehrere Wege gibt, Claude über Microsoft zu nutzen, und dass jeder eine andere Rechtsgrundlage hat. Die wichtigsten Stationen:

• September 2025: Microsoft nimmt Claude Sonnet 4 und Opus 4.1 zunächst in Researcher und Copilot Studio auf[18].
• Dezember 2025 und Januar 2026: Laut einer Beratungsfirma erscheint im Admin-Center ein Schalter für Anthropic; am 7. Januar 2026 sind Anthropic-Modelle in vielen Copilot-Funktionen für Geschäftskunden standardmäßig an, außer in EU, EFTA und UK[19].
• 4. und 26. Februar 2026: Claude und Codex stehen als Coding-Agenten in GitHub Agent HQ bereit, zunächst als Public Preview, dann auch für Copilot Business und Pro[16][17].
• 25. März und 3. April 2026: Für neu angelegte Mandanten in EU, EFTA und UK ist Claude in Word, Excel und PowerPoint standardmäßig an; am 3. April kommt dafür ein eigener Admin-Schalter[4][3].
• 1. Mai 2026: Die Einstellung „Anthropic als unabhängiger Verarbeiter“ wird abgeschaltet. Ohne Aktivierung als Microsoft-Unterauftragsverarbeiter gibt es keinen Zugang zu Anthropic-Modellen mehr[4].
• Juni 2026: Claude in Microsoft Foundry wird allgemein verfügbar[15].
• 24. Juli 2026: Claude Opus 5 erscheint im Modellwähler von Copilot in Word, Excel, PowerPoint, im Chat, in Cowork und in Copilot Studio[14].
• 17. August 2026: Fünf weitere Funktionen stehen für Azure-gehostete Claude-Bereitstellungen in Foundry bereit[15].
• 4. November 2026: Microsoft aktualisiert die Dokumentation zu Claude als Unterauftragsverarbeiter und zu Copilot in den Microsoft-365-Apps[3][4].

Das Vertragsmodell dahinter: Anthropic ist als Unterauftragsverarbeiter (Subprozessor) von Microsoft eingebunden. Soweit Modelle nicht als „Anthropic models with Data Retention“ gekennzeichnet sind, gelten die Microsoft Product Terms und der Microsoft Data Protection Addendum (DPA); die Nutzung fällt zudem unter Microsofts Enterprise Data Protection. Das Customer Copyright Commitment von Microsoft erstreckt sich auf Claude-Modelle in erfassten Produkten[3].

Für die EU ist entscheidend, was standardmäßig passiert. In EU, EFTA und UK steht die globale Einstellung „AI providers operating as Microsoft subprocessors“ auf „No users“; Administratoren mit der Rolle AI Administrator oder Global Administrator müssen aktiv zustimmen. Wer früher unter Anthropics eigenen Bedingungen zugestimmt hat, muss erneut zustimmen. Zugleich sind Claude-Modelle in Copilot, Researcher, Copilot Studio, Power Platform und den Microsoft-365-Apps derzeit von der EU Data Boundary ausgenommen[3]. Für Word, Excel und PowerPoint gibt es einen zweiten Schalter: Er ist für Mandanten in EU, EFTA und UK, die nach dem 25. März 2026 angelegt wurden, standardmäßig an, und die Verarbeitung findet außerhalb der EU Data Boundary statt; für ältere Mandanten verweist Microsoft auf das Message Center. Steht die globale Einstellung auf „Alle Nutzer“ oder „Bestimmte Nutzer und Gruppen“, ist der App-Schalter nicht mehr verfügbar[4].

Eine Sonderstellung haben fortgeschrittene Modelle wie Claude Fable 5 und Mythos 5. Sie sind als „Anthropic models with Data Retention“ in allen Szenarien standardmäßig aus und müssen gesondert freigeschaltet werden. Anthropic handelt dann als unabhängiger Verarbeiter nach den eigenen Commercial Terms und dem eigenen DPA, die Daten unterliegen nicht dem Microsoft-Kundenvertrag. Anthropic speichert die meisten Ein- und Ausgaben bis zu 30 Tage, bei Verdacht auf Verstöße gegen die Nutzungsrichtlinie bis zu zwei Jahre, Klassifizierungswerte bis zu sieben Jahre; ohne ausdrückliche Erlaubnis wird nicht trainiert[3]. Einzelne Fable-Modelle sind für berechtigte Organisationen dagegen ohne Aufbewahrung als Unterauftragsverarbeitung verfügbar[3].

Foundry ist ein anderer Weg mit anderer Rechtsgrundlage. Dort handelt Anthropic laut Dokumentation als unabhängiger Verarbeiter für Microsoft, und Kunden unterliegen den Datennutzungsbedingungen von Anthropic. Bei Bereitstellungen vom Typ „Hosted on Azure“ bleiben Prompts und Antworten in Azure; nur Nutzungsmetadaten und von Anthropics Sicherheitssystemen markierte Inhalte gehen an Anthropic. Bei „Hosted on Anthropic“ laufen die Anfragen über Anthropic-Infrastruktur[5]. Als Bereitstellungstypen nennt die Seite Global Standard und US Data Zone Standard; eine EU-Zone ist dort nicht aufgeführt[5].

Abbildung 1: Wege, Claude über Microsoft zu nutzen (Stand 9. November 2026)

Was folgt daraus für den Mittelstand? Wer Microsoft 365 Copilot einsetzt, sollte nach unserer Einschätzung zwei Einstellungen prüfen und dokumentieren: den globalen Schalter für Unterauftragsverarbeiter und den Schalter für Word, Excel und PowerPoint. Beide führen zu einer Verarbeitung außerhalb der EU Data Boundary. Das Verzeichnis der Verarbeitungstätigkeiten und gegebenenfalls die Datenschutz-Folgenabschätzung sind dann anzupassen; das empfiehlt auch eine Beratungsfirma[19]. Wer Anthropic abschaltet, verliert Funktionen, die Claude voraussetzen, nach derselben Quelle zum Beispiel die Modellauswahl in Researcher und Claude-gestützte Agenten in Copilot Studio[19]. Wie wir Microsoft 365 und KI zusammenführen, beschreibt die Leistungsseite zur Microsoft-365-Integration.

Und OpenAI? Dessen Modelle laufen bei Azure schon länger

Wer gelesen hat, Claude oder OpenAI komme jetzt zu Azure, liegt in beiden Fällen richtig: Beide Anbieter sind dort verfügbar, nur zu unterschiedlichen Zeiten. Der Azure OpenAI Service ist seit dem 17. Januar 2023 allgemein verfügbar[22]; Claude kam in Microsoft Foundry erst im Juni 2026 hinzu[15]. Heute gibt es Modelle beider Anbieter bei Microsoft, aber mit unterschiedlichen Rechtsgrundlagen und Bereitstellungsoptionen.

Für Modelle in Foundry beschreibt Microsoft mehrere Bereitstellungstypen. Bei „Global“ kann die Verarbeitung in jeder Azure-Region erfolgen. Bei „Data Zone“ verarbeitet der Dienst Prompts und Antworten nur innerhalb der gewählten Zone (USA, EU oder Asien-Pazifik); die EU-Zone folgt der Azure EU Data Boundary. Bei „Standard“ und „Regional Provisioned“ bleibt die Verarbeitung in der vom Kunden gewählten Azure-Geografie. Ruhende Daten bleiben in der gewählten Geografie. Nicht jedes Modell unterstützt jeden Typ; die Verfügbarkeit je Modell und Region ist vor der Entscheidung zu prüfen[20].

Auch Codex lässt sich an Azure anbinden: Microsoft beschreibt, wie sich der Codex CLI und die VS-Code-Erweiterung mit einer Azure-OpenAI-Bereitstellung in Foundry betreiben lassen, und nennt als bereitstellbare Modelle unter anderem GPT-6 Sol und GPT-5.3 Codex. Laut Seite lässt sich der Agent vollständig auf Azure-Infrastruktur betreiben, ohne die eigene Compliance-Grenze zu verlassen. Die Anmeldung erfolgt über einen API-Schlüssel in einer Umgebungsvariablen; die Unterstützung von Entra ID ist für Codex laut Seite derzeit nicht verfügbar[21]. Ob die Verarbeitung in der EU bleibt, hängt nach unserer Lesart vom gewählten Bereitstellungstyp ab, denn die Codex-Seite legt keinen fest[20][21].

Zwischen den beiden Anbietern fällt in Foundry ein Unterschied auf (Einschätzung Avolang, nach den gelesenen Seiten): Für OpenAI-Modelle gibt es mit „Data Zone“ einen Bereitstellungstyp mit Verarbeitung innerhalb der EU Data Boundary, sofern das Modell ihn unterstützt[20]. Für Claude in Foundry nennt die Seite von Anthropic nur Global Standard und US Data Zone Standard[5]. Wer die Verarbeitung in der EU zur Bedingung macht, sollte das deshalb je Modell und Anbieter prüfen, statt es aus dem Namen der Plattform abzuleiten.

Sicherheit: Berechtigungen, Sandbox und vier Meldungen der letzten Wochen

Claude Code arbeitet mit Berechtigungsmodi. Als Startmodus für interaktive Terminal- und VS-Code-Sitzungen nennt die Dokumentation den Auto-Modus: Ein separates Klassifikationsmodell prüft die Aktionen und blockiert, was es für unsicher hält. Im Manual-Modus beginnt Claude Code mit reinen Leserechten und fragt vor Dateiänderungen, Tests und Befehlen. Der Modus „Accept Edits“ gibt Dateiänderungen und einen festen Satz von Dateisystembefehlen im Arbeitsverzeichnis frei. Befehle, die Inhalte aus dem Netz laden, etwa curl und wget, sind standardmäßig nicht automatisch freigegeben[2].

Für die IT ist ein Detail wichtig: Die Begrenzung auf das Arbeitsverzeichnis ist eine Rückfrage, keine Sperre auf Betriebssystemebene. Ein freigegebener Bash-Befehl kann überall schreiben, wo das Benutzerkonto schreiben darf. Für eine echte Begrenzung nennt die Dokumentation die Sandbox für Bash-Befehle mit Dateisystem- und Netzwerkisolation (/sandbox) oder den Betrieb in einem Dev-Container; zentrale Vorgaben lassen sich über „managed settings“ durchsetzen[2].

Codex läuft standardmäßig mit ausgeschaltetem Netzwerkzugang. Lokal begrenzt der Modus workspace-write Schreibzugriffe typischerweise auf den aktuellen Arbeitsbereich; für Ordner unter Versionskontrolle gilt voreingestellt „Auto“ (Schreiben im Arbeitsbereich mit Freigabe auf Anfrage), für Ordner ohne Versionskontrolle „read-only“. Als Freigaberichtlinien nennt die Seite on-request, never und eine granulare Variante, dazu einen Prüf-Agenten (auto_review); die Richtlinie untrusted wird nicht mehr unterstützt. Für Codex Cloud (Legacy) nennt die Seite: Die Agentenphase läuft standardmäßig offline, und Geheimnisse der Cloud-Umgebung stehen nur während der Einrichtung bereit; die aktuelle Codex-Cloud-Version behandelt Zugangsdaten laut Seite anders und verweist auf die Dokumentation der Umgebungen[6].

Beide Dokumentationen behandeln Prompt Injection, also Textstellen, die einem Agenten fremde Anweisungen unterschieben, und raten zur Prüfung vorgeschlagener Änderungen[2][6]. Codex empfiehlt zudem, auf einem Feature-Branch zu arbeiten, Änderungen wie einen Pull Request zu prüfen und Webergebnisse als nicht vertrauenswürdig zu behandeln[6].

Vier Meldungen der letzten Wochen zeigen, wo es in der Praxis hakt. Sie unterscheiden sich in der Belastbarkeit, deshalb ordnen wir sie danach:

• Gefälschte Erweiterung (Herstellerbericht). Microsoft beschreibt am 30. Oktober 2026 eine manipulierte Kopie der Erweiterung „Claude Code“ (Versionen 2.1.312 und 2.1.313) im Marketplace von Cursor. Sie trug einen SSH-Schlüssel des Angreifers in die Datei authorized_keys ein, baute einen umgekehrten SSH-Tunnel auf und richtete Persistenz ein. Laut Cursor war das Paket am 29. Oktober 2026 rund elf Stunden online. Microsoft bestätigt, dass es nicht über den Visual Studio Marketplace oder npm veröffentlicht wurde; Anthropic erklärt, seine Systeme seien nicht kompromittiert und das Paket stamme nicht von ihm. Die Zahl der Betroffenen nennt der Bericht nicht[10].
• Zugangsdaten in veröffentlichten Paketen (Sicherheitsforschung). Check Point untersuchte rund 46.500 überwachte npm-Pakete und fand in 428 die lokale Konfigurationsdatei .claude/settings.local.json; in 33 Dateien aus 30 Paketen standen Zugangsdaten, darunter npm-Token, GitHub-Zugriffstoken und Telegram-Bot-Token. Der Mechanismus: Wer einen Befehl dauerhaft freigibt, speichert ihn samt eingebetteter Zugangsdaten in dieser Datei. Die Empfehlung lautet, .claude in .npmignore und die Datei in .gitignore aufzunehmen, den Paketinhalt vor der Veröffentlichung per Trockenlauf zu prüfen und veröffentlichte Zugangsdaten als kompromittiert zu behandeln[11].
• E-Mail-Adresse im User-Agent (nicht bestätigte Meldung). Ein Nutzer meldet am 5. November 2026 im Projekt-Repository, Claude Code habe bei Websuchen seine E-Mail-Adresse im User-Agent-Header mitgesendet; danach habe er täglich Dutzende Betrugsmails erhalten. Die Meldung zeigt keinen mitgeschnittenen Request, der Zusammenhang beruht auf der Darstellung des Meldenden. Ein Beitragender nennt ein standardmäßig aktives Schutzmodul, das dies seit Version 2.1.317 blockieren soll; ein Kommentator berichtet, es habe in Version 2.1.319 einen Bash-Aufruf mit curl nicht blockiert (Test gegen einen geschlossenen lokalen Port, nichts verließ den Rechner). Eine offizielle Bestätigung steht auf der Seite nicht[13]. Wir werten das nicht als Nachweis eines Datenabflusses, sondern als Anlass, den Datenverkehr selbst zu messen (Einschätzung Avolang).
• Zugang nach Rolle (Pressebericht mit anonymen Quellen). Laut Bloomberg, zitiert von The State of AI am 2. November 2026, dürfen die meisten Händler und Banker bei Goldman Sachs Claude Code und GitHub nicht mehr nutzen; rund 12.000 Entwickler behalten den Zugang. Anlass sei eine Prüfung von Produktivitäts- und Risikofragen gewesen. Die Angaben stammen von nicht genannten Personen, und der Sprecher der Bank bestätigt die konkrete Einschränkung in dem Artikel nicht[12]. Der Fall zeigt, dass sich Zugang nach Rollen steuern lässt; weitere Gründe sind nicht belegt.

Die beiden belastbaren Fälle betreffen Lieferkette und Konfigurationshygiene, nicht die Qualität der Modelle (Einschätzung Avolang). Beides lässt sich mit den Regeln weiter unten beherrschen.

Direktvergleich: acht Kriterien im Überblick

Abbildung 2 stellt beide Werkzeuge gegenüber. Quellenverweise stehen in den Zellen; Aussagen ohne Verweis geben die Einschätzung von Avolang wieder.

Abbildung 2: Claude Code und Codex im Unternehmen (Stand 9. November 2026)

Codex wurde ausschließlich anhand der Dokumentation von OpenAI verglichen, Claude Code anhand der Dokumentation von Anthropic und eigener Nutzung. Die Datenschutzseite von OpenAI war am 9. November 2026 nicht abrufbar. Die Modellleistung ist nicht Teil dieses belegten Vergleichs; unsere Praxiserfahrung steht getrennt im Abschnitt „Erfahrungen aus der Praxis“.

Kosten von Claude Code und Codex: Listenpreise und ein Beispiel für zehn Entwickler

Die Kosten bestehen aus mehreren Bausteinen: dem Sitzpreis, Nutzung über das enthaltene Kontingent hinaus, Einrichtung, Schulung und dem Aufwand für Richtlinie und Codeprüfung. Abbildung 3 zeigt die öffentlichen Listenpreise der Anbieter in US-Dollar.

Abbildung 3: Listenpreise je Nutzer und Monat in US-Dollar (Stand 9. November 2026)

Die Preisseiten nennen keine Umsatzsteuer; die Beträge sind wie aufgeführt übernommen. Persönliche Tarife (zum Beispiel Plus, Pro, Max) sind nicht aufgeführt, weil für Firmencode Unternehmenskonten vorgesehen sind (Einschätzung Avolang).

Beispiel für zehn Entwickler (eigene Berechnung aus den Listenpreisen, ohne Zusatznutzung): Claude Team mit Standard-Plätzen kostet 200 $ im Monat bei Jahresabrechnung oder 250 $ bei monatlicher Abrechnung, mit Premium-Plätzen 1.000 $ beziehungsweise 1.250 $. ChatGPT Business mit Codex kostet 200 $ beziehungsweise 250 $. Claude Enterprise scheidet bei zehn Nutzern aus, weil die Preisseite mindestens 20 Plätze nennt[8][9].

Der Platzpreis ist im Einstiegstarif bei beiden gleich hoch. Entscheidend sind deshalb die Limits und das, was bei Erschöpfung geschieht (Einschätzung Avolang). Bei Codex kann eine typische Aufgabe mit GPT-5.6 Sol laut Preisseite 2 bis 15 Credits verbrauchen; den Preis je Credit nennt die gelesene Seite nicht[8]. Bei Claude hängt das Erreichen der Limits von Modell, Gesprächslänge und Dateigröße ab[9]. Nicht in der Rechnung stehen Schulung, Richtlinie, Codeprüfung und Sicherheitsmaßnahmen; in der Praxis sind sie der größere Posten (Einschätzung Avolang).

Erfahrungen aus der Praxis: Warum wir beides nutzen

Avolang setzt Claude und die Modelle von OpenAI nebeneinander ein. Die folgenden Punkte sind unsere Erfahrung aus dem Alltag (Einschätzung Avolang, Stand 9. November 2026). Sie sind weder gemessen noch an einem Benchmark geprüft, beziehen sich auf die genannten Modellversionen und können sich mit der nächsten Version ändern. Für die Entscheidung im eigenen Haus ersetzen sie den Pilot aus dem 30-Tage-Plan nicht.

Abbildung 4: Erfahrungen von Avolang mit Claude und OpenAI im Alltag (subjektiv, nicht gemessen, Stand 9. November 2026)

Alle Aussagen in Abbildung 4 sind Einschätzungen von Avolang aus dem Alltag und nicht durch Benchmarks oder Messungen belegt. Quellenverweise stehen nur dort, wo sie sich auf dokumentierte Limits beziehen.

Was folgt daraus für ein Unternehmen? Zwei Anbieter nebeneinander zu nutzen ist machbar, verdoppelt aber den Verwaltungsaufwand: zwei Verträge, zwei Datenschutzprüfungen, zwei Konfigurationen und zwei Kontingente (Einschätzung Avolang). Die Regeln aus diesem Beitrag gelten dann für beide Werkzeuge. Wer sich für einen Anbieter entscheiden will, richtet sich besser nach dem Hauptzweck als nach einer Rangliste: Programmieren und eine fein einstellbare Arbeitsumgebung sprechen nach unserer Erfahrung für Claude, Computer Use und Bildgenerierung für OpenAI. Beides kann sich mit der nächsten Modellversion verschieben.

Sieben Regeln für den Einsatz im Unternehmen

1. Nur Firmenkonten verwendenPrivate Tarife folgen anderen Regeln für Training und Aufbewahrung[1]. Dienstliche Arbeit gehört in Konten, die das Unternehmen verwaltet.
2. Datenklassen und Geheimnisse festlegenWelcher Code und welche Daten dürfen in den Agenten? Zugangsdaten und Kundendaten gehören nicht in Projektordner, Testdaten oder Konfigurationsdateien. Lokale Einstellungsdateien wie .claude/settings.local.json bleiben aus Repositories und Paketen[11].
3. Datenfluss festlegen und messenTelemetrie, Feedback-Befehle und nicht notwendigen Verkehr zentral abschalten, wo die Richtlinie es verlangt[1]; bei Codex Telemetrie nur an eigene Sammler senden[6]. Den tatsächlichen Datenverkehr einmal im Pilot mitschneiden, statt sich allein auf Dokumentation zu verlassen (Einschätzung Avolang).
4. Rechte eng schneidenSandbox und Netzwerk standardmäßig eng halten, Freigaben nach Rolle vergeben und Vorgaben zentral über managed settings beziehungsweise requirements.toml durchsetzen[2][7]. Nicht jede Rolle braucht jeden Agenten.
5. Quellen kontrollierenErweiterungen, Plugins und MCP-Server nur von freigegebenen Herausgebern installieren und neue Versionen mit Verzögerung einführen. Das entspricht den Empfehlungen aus dem Cursor-Fall[10].
6. Microsoft-Schalter prüfen und dokumentierenBeide Einstellungen im Admin-Center festlegen, Nutzerkreis bestimmen und Verzeichnis der Verarbeitungstätigkeiten sowie Datenschutz-Folgenabschätzung anpassen[3][4][19].
7. Verantwortung für den Code bleibt beim MenschenBeide Anbieter stellen klar, dass die Prüfung vor der Freigabe Sache der Nutzer ist[2][6]. Review-Pflicht, Feature-Branches und Rollback gehören in die Entwicklungsrichtlinie.

In 30 Tagen zu einer Entscheidung

Wer Claude Code, Codex oder beide einführen will, sollte schrittweise vorgehen. Ein Pilot mit eigenen Aufgaben liefert eine belastbarere Entscheidungsgrundlage als jede Rangliste.

Häufige Fragen zu Claude Code, Codex und Claude in Microsoft

Fazit

Claude Code und Codex sind für Unternehmen keine Entweder-oder-Frage der Modellqualität, sondern eine Frage von Konten, Datenfluss und Rechten. Bei Claude Code liegen belastbare Angaben zu Training, Aufbewahrung und Telemetrie vor; bei Codex beschreibt die Dokumentation Sandbox, Freigaben und Verwaltung gut, lässt aber Training und Standardaufbewahrung offen, und die Datenschutzseite des Anbieters war nicht prüfbar. Dass Claude inzwischen über Microsoft erreichbar ist, erleichtert den Zugang, schafft aber mehrere Rechtsgrundlagen: In der EU ist der Schalter für Copilot standardmäßig aus, der für Word, Excel und PowerPoint bei neueren Mandanten dagegen an, und beide liegen außerhalb der EU Data Boundary. Auch OpenAI-Modelle laufen bei Azure, dort mit einer EU-Datenzone als Bereitstellungstyp; wir selbst nutzen beide Anbieter und halten das für praktikabel, solange dieselben Regeln für beide gelten. Für viele mittelständische Unternehmen führt der Weg nach unserer Einschätzung über Firmenkonten, eine Richtlinie zu Datenklassen, einen gemessenen Pilot und dokumentierte Microsoft-Einstellungen. Nach 30 Tagen liegt damit eine Entscheidung vor, die auf eigenen Ergebnissen beruht statt auf einer Produktpräferenz.