Claude in Chrome im Unternehmen: Sitzungen synchronisieren, Prompt Injection begrenzen

Claude-in-Chrome-Sitzungen lassen sich jetzt auf Desktop, Web und Mobile fortsetzen. Gespräche werden gespeichert; Skills und Connectors stehen auch im Browser zur Verfügung. Die Chrome-Seitenleiste nutzt dieselbe kontogebundene Claude-Cowork-Sitzung wie die anderen Oberflächen. Für Unternehmen verbessert das die Kontinuität, vergrößert aber zugleich den Sicherheitsbereich: Website-Inhalte, verbundene Systeme und gespeicherter Sitzungskontext treffen in einem Browser-Agenten zusammen.

Was die geräteübergreifende Sitzung verändert

Die Sitzung lebt laut Anthropic beim Konto und nicht auf einem einzelnen Gerät. Ein Nutzer kann im Browser beginnen und später in Desktop, Web oder Mobile fortsetzen. Das reduziert Übergaben und Kontextverluste. Gleichzeitig wird das Konto zum zentralen Sicherheitsanker: Wer Zugriff darauf erhält, kann potenziell auf gespeicherte Gespräche, verbundene Fähigkeiten und den fortgesetzten Arbeitskontext zugreifen.

• Sitzungskontinuität: ein Arbeitsablauf kann über Geräte und Oberflächen fortgeführt werden.
• Gespeicherte Gespräche: Kontext bleibt am Konto verfügbar.
• Skills im Browser: hinterlegte Fähigkeiten können in Browser-Workflows einfließen.
• Connectors im Browser: verbundene Dienste erweitern den erreichbaren Daten- und Aktionsraum.
• Cowork-Seitenleiste: dieselbe Sitzung wird in Chrome und anderen Claude-Oberflächen genutzt.
• Kontozentrierung: Identität, Sitzungszugriff und Geräteverwaltung werden besonders wichtig.

Warum Prompt Injection bei Browser-Agenten besonders kritisch ist

Eine Webseite besteht nicht nur aus sichtbarem Inhalt. Sie kann versteckte Texte, manipulierte Anweisungen oder fremde Daten enthalten. Ein Browser-Agent kann solche Inhalte fälschlich als Arbeitsauftrag interpretieren. Anthropic weist auf dieses Risiko hin und nennt eigene Abwehrmaßnahmen, empfiehlt aber zusätzlich sichere Nutzergewohnheiten.

Für Unternehmen ist die zentrale Trennung klar: Webseiten sind untrusted data. Sie dürfen Informationen liefern, aber keine Regeln, Berechtigungen oder Arbeitsziele verändern. Ein Agent sollte seine Aufgabe aus einer vertrauenswürdigen Unternehmensanweisung ableiten und Seiteninhalte nur als Eingabe behandeln.

Risikomatrix für Claude in Chrome

1. Konto: starke Anmeldung, kontrollierte Geräte und klarer Prozess für Entzug und Wiederherstellung.
2. Sitzung: sensible Kontexte nur so lange speichern und teilen, wie es der Geschäftszweck erfordert.
3. Webseite: sichtbare und versteckte Inhalte grundsätzlich als nicht vertrauenswürdig behandeln.
4. Skill: Herkunft, Version, erlaubte Aufgaben und Ausgabegrenzen vor dem Einsatz prüfen.
5. Connector: minimale Daten- und Aktionsrechte pro Prozess vergeben.
6. Browser-Aktion: Schreiben, Senden, Kaufen, Hochladen oder Löschen nur mit konkreter Freigabe.

Diese Ebenen sollten separat protokolliert werden. Ein Incident lässt sich nur aufklären, wenn nachvollziehbar ist, welche Seite geöffnet war, welcher Sitzungskontext vorlag, welcher Skill oder Connector beteiligt war und welche Aktion tatsächlich ausgeführt wurde.

Welche Unternehmensprozesse sich eignen

Ein sicherer Einstieg beginnt mit lesenden, rücksetzbaren Aufgaben auf bekannten Webseiten. Geeignet sind strukturierte Recherche in freigegebenen Portalen, das Zusammenfassen nicht sensibler Inhalte oder die Vorbereitung eines Entwurfs. Ungeeignet für den Start sind Zahlungen, Vertragsabschlüsse, Massenkommunikation, Admin-Oberflächen und Downloads aus unbekannten Quellen.

• Geeignet: klarer Auftrag, bekannte Domain, lesender Zugriff und leicht prüfbares Ergebnis.
• Bedingt geeignet: Connector-Daten oder Formulare, wenn Rechte und Freigaben eng begrenzt sind.
• Ungeeignet: unbekannte Seiten mit weitreichenden App-, Datei- oder Kontorechten.
• Ungeeignet: irreversible oder externe Aktionen ohne Vorschau und menschliche Bestätigung.
• Ungeeignet: Prozesse ohne Protokollierung, Not-Aus und verantwortliche Person.

Kosten und Betrieb realistisch planen

Die Quellen liefern keine unternehmensspezifische Kostenrechnung. Neben dem passenden Claude-Plan entstehen Aufwände für Identitätsverwaltung, Richtlinien, Connector-Reviews, Support, Schulung, Protokollierung und Vorfallsbehandlung. Geräteübergreifende Kontinuität kann Übergaben sparen, gleichzeitig steigt der Kontrollbedarf für Sitzungen und Konten.

Wirtschaftlichkeit sollte pro abgeschlossenem Browser-Workflow gemessen werden. Relevant sind gesparte Bearbeitungszeit, notwendige Nacharbeit, Fehlaktionen und Freigabeaufwand. Wenn Nutzer jeden Schritt umfassend nachprüfen müssen, kann ein eng begrenzter Assistent wirtschaftlicher sein als ein ausführender Browser-Agent.

Vierstufiger Rollout für Claude in Chrome

1. Stufe 1 – Inventur: erlaubte Konten, Geräte, Domains, Skills, Connectors und ausgeschlossene Aktionen definieren.
2. Stufe 2 – Testumgebung: bekannte Seiten und bewusst manipulierte Testinhalte ohne produktive Schreibrechte prüfen.
3. Stufe 3 – Shadow Mode: reale Aufgaben vorbereiten lassen, Aktionen aber vollständig durch Menschen ausführen.
4. Stufe 4 – Begrenzter Pilot: wenige Nutzer und reversible Aktionen mit Vorschau, Freigabe, Protokoll und Not-Aus.

Vor der Skalierung sollten Unternehmen Kontosperre, Geräteverlust, Connector-Entzug und eine Prompt-Injection-Simulation praktisch durchspielen. Der Rollout ist erst belastbar, wenn ein verdächtiger Seiteninhalt erkannt, eine Aktion gestoppt und die Sitzung sicher untersucht werden kann.

Die entscheidende Governance-Frage

Claude in Chrome macht KI-Arbeit komfortabler, weil Sitzung, Skills und Connectors nicht an ein Gerät gebunden sind. Doch Komfort und Vertrauensgrenzen dürfen nicht verschmelzen. Unternehmen sollten klar festlegen, welche Webseiten Informationen liefern dürfen, welche Systeme der Agent erreichen kann und welche Wirkungen immer beim Menschen bleiben. Dann wird geräteübergreifender Kontext zu einem Prozessvorteil statt zu einem unkontrollierten Zugriffspfad.