Leitfaden
KI-Coding-Agents auf Entwicklerrechnern überwachen: so geht’s
Worauf Sie achten sollten, wenn Claude Code, Codex oder Cursor auf Team-Laptops laufen, was Hooks und Telemetrie zeigen und was nicht, und wie Datenschutz gewahrt bleibt.
· 9 Min. Lesezeit · Vom vetkit-Team
Warum Freigaben nicht genügen
KI-Coding-Agents fragen vor riskanten Aktionen nach oder überlassen die Entscheidung einem automatischen Prüfer. Das schützt den Moment der Freigabe. Es sagt einem Team aber nicht, was über Hunderte Sitzungen auf Dutzenden Laptops hinweg passiert ist: welcher Agent Cloud-Zugangsdaten gelesen hat, welcher Daten an eine Domain geschickt hat, die niemand kennt, oder welcher still seine eigenen Einstellungen geändert hat, damit der nächste Lauf weniger nachfragt.
Monitoring schließt diese Lücke. Das Ziel ist nicht, Entwickler zu beobachten, sondern eine einfache Frage beantworten zu können, wenn etwas merkwürdig aussieht: Was hat der Agent angefasst? Der Leitfaden dazu, worauf Agents zugreifen können erklärt, warum diese Angriffsfläche größer ist, als die meisten annehmen.
Was Sie überwachen sollten
Der Großteil des Risikos fällt in eine Handvoll Kategorien. Ein brauchbares Monitoring deckt jede davon ab und ordnet die Aktivität dem Agent zu, der sie ausgelöst hat.
| Kategorie | Beispiele | Warum es wichtig ist |
|---|---|---|
| Zugriff auf Zugangsdaten | SSH- und GPG-Schlüssel, Cloud-Zugangsdaten, Tokens, Schlüsselbund, Browserdaten | Das Wertvollste auf einem Entwicklerrechner |
| Ausgehender Netzwerkverkehr | Uploads, Paste- und Filesharing-Dienste, erstmals gesehene Domains | So verlassen Daten den Rechner; Lesen von Zugangsdaten mit anschließendem Egress ist die klassische Abfolge |
| Destruktive Aktionen | Großflächiges Löschen, Umschreiben der Git-Historie, Löschen von Tabellen, Ändern von Cloud-Ressourcen | Fehler sind hier auch ohne Angreifer teuer |
| Scope | Lesen, Suchen und Schreiben außerhalb des Projekts | Eine Coding-Aufgabe braucht selten den Rest der Festplatte |
| Lieferkette | Paketinstallationen, ein Remote-Skript per Pipe an eine Shell übergeben, MCP-Server starten | Neuer Code kommt herein und läuft mit Ihren Rechten |
| Persistenz und Sicherheitskonfiguration | Anmeldeobjekte, Shell-Profile, Agent-Einstellungen und Anweisungsdateien, Modi zum Umgehen von Freigaben | Änderungen, die die Sitzung überdauern und die nächste prägen |
Was die Tools von Haus aus mitbringen
Die Agents selbst bieten nützliche Hooks und Telemetrie. Sie sind ein guter Ausgangspunkt, mit klaren Grenzen.
- Hooks. Claude Code, Codex und Cursor können vor oder nach einem Tool-Aufruf ein eigenes Skript ausführen, etwa vor einem Shell-Befehl oder einem MCP-Aufruf. Claude Code und Cursor dokumentieren, dass Hooks bei Timeouts oder Fehlern standardmäßig fail-open sind, und Claude Code empfiehlt für harte Allow- oder Deny-Regeln das Berechtigungssystem statt Hooks.
- OpenTelemetry. Claude Code und Codex können Tool-Entscheidungen und -Ergebnisse über OpenTelemetry exportieren. Das ist standardmäßig aus, Prompts werden nur protokolliert, wenn Sie das ausdrücklich aktivieren, und bei keinem der beiden Tools kann die Konfiguration eines Repositorys selbst die Telemetrie einschalten oder festlegen, wohin sie geht.
- Was sie nicht sehen. Eingebaute Signale beschreiben, was der Agent seine Tools tun ließ. Ein Shell-Befehl, der weitere Prozesse startet, ein Skript innerhalb einer Abhängigkeitsinstallation oder ein Container, den der Agent startet, liegt außerhalb dieser Sicht, und jedes Tool berichtet in seinem eigenen Format.
Drei Wege zum Monitoring
| Ansatz | Stärken | Grenzen |
|---|---|---|
| Agent-Hooks und Telemetrie | Exakte Tool-Aufrufe, günstiger Einstieg, vom Hersteller unterstützt | Einrichtung pro Tool, fail-open, blind für Kindprozesse, abhängig von der Konfiguration jedes einzelnen Entwicklers |
| Endpoint Security (EDR) | Sieht jeden Prozess und jede Verbindung auf dem Rechner | Weiß nicht, welche Aktivität aus einer Agent-Sitzung stammt, und die Regeln sind für Malware geschrieben, nicht für einen vielbeschäftigten Coding-Assistenten |
| Ein dediziertes Agent-Monitoring | Ordnet Betriebssystemaktivität dem Agent und der Sitzung zu, eine Sicht über alle Tools, Regeln für Agent-Verhalten geschrieben | Eine weitere App zum Installieren; braucht ein klares Datenschutzmodell, damit ein Team es akzeptiert |
Diese Ansätze ergänzen sich gut. Hooks liefern präzise Absicht, ein dediziertes Monitoring liefert Abdeckung und Zuordnung, und EDR bleibt das Sicherheitsnetz für alles andere auf dem Rechner.
In Sitzungen denken, nicht in Ereignissen
Ein einzelner Dateizugriff ist selten interessant. Eine Sitzung, die Cloud-Zugangsdaten gelesen und danach etwas an eine erstmals gesehene Domain hochgeladen hat, schon. Zwei Ideen machen Monitoring nützlich statt laut:
- Nach Sitzung und Regel gruppieren. Wiederholungen desselben Verhaltens sollten einen Zähler erhöhen, statt jedes Mal eine neue Warnung zu erzeugen.
- Ehrliche „hat nicht“-Aussagen treffen. Die beruhigendste Ausgabe eines Monitorings ist eine Aussage wie „keine Lesezugriffe außerhalb des Projekts“ oder „Egress nur zu erlaubten Domains“. Eine solche Aussage ist nur so stark wie die Sensorabdeckung dahinter, sie sollte also angeben, wann die Abdeckung lückenhaft war, etwa nach einem Neustart des Sensors oder wenn der Agent Arbeit an Docker oder SSH delegiert hat.
Monitoring ohne Überwachung
Zu beobachten, was ein Tool auf dem Laptop einer Person tut, kommt der Mitarbeiterüberwachung nahe und sollte entsprechend gestaltet werden:
- Das Koppeln eines Geräts sollte eine ausdrückliche Handlung der Person an ihrem eigenen Rechner sein.
- Metadaten hochladen (Warnungen, Sitzungszusammenfassungen), keine Dateiinhalte, Prompts oder Tastatureingaben.
- Secrets auf dem Gerät schwärzen, bevor irgendetwas es verlässt.
- Organisationen ermöglichen, einzuschränken, was Admins sehen, und jedes Öffnen der Details einer Person durch einen Admin protokollieren.
- Aufbewahrungsfristen kurz halten und Personen ihr eigenes Gerät jederzeit widerrufen lassen.
- Vor dem Rollout Informations-, Einwilligungs- und Betriebsratsanforderungen nach örtlichem Recht prüfen.
Wo vetkit ins Spiel kommt
Agent Watch ist die Desktop-App von vetkit dafür. Sie beobachtet Sitzungen von Claude Code, Codex, Cursor, Windsurf, Copilot, Gemini CLI, Cline und Aider auf einem gekoppelten Rechner und meldet Befunde zu Zugriff auf Zugangsdaten, Egress, destruktiven Befehlen, Scope, Lieferkette, Persistenz und Sicherheitskonfiguration, gruppiert nach Regel und Gerät. Jede Sitzung trägt Attestierungen, die je nach Sensorabdeckung als verifiziert, teilweise oder unbekannt gekennzeichnet sind. Die App beobachtet und berichtet; sie blockiert nicht.
Sie folgt dem obigen Datenschutzmodell: Geräte werden über einen Code gekoppelt, den die Person bestätigt, Uploads enthalten nur Metadaten, Rohereignisse werden nur hochgeladen, wenn sowohl die Organisation als auch der Nutzer zustimmen, Zugriffe von Admins auf die Details eines anderen Mitglieds werden protokolliert, und Mitglieder können ihr Gerät jederzeit widerrufen. Die Dokumentation zu Agent Watch behandelt Verfügbarkeit und Tarife. Für die Konfigurationsseite zeigt der Leitfaden zu Berechtigungen, was das Repository-Audit in committeten Agent-Einstellungen meldet.
Quellen
Die Aussagen zu jedem Tool haben wir am aus dessen eigener Dokumentation entnommen:
Produktnamen sind Marken ihrer jeweiligen Inhaber. vetkit ist mit ihnen weder verbunden noch wird es von ihnen unterstützt oder gesponsert. Etwas veraltet? Schreiben Sie an contact@vetkit.dev, und wir korrigieren es.