Dreißig Zeilen, zwei Spalten, pro Spalte ein Anbieter: Kontextfenster, Preis je Million Token, Latenz, Verfügbarkeit, Support-Level.
Die Tabelle war sorgfältig gebaut und hatte trotzdem den falschen Zuschnitt, und ein Führungsteam, das ich berate, brauchte fast den ganzen Vormittag, um zu sehen, warum. Zur Wahl standen nicht zwei Chatbots. Zur Wahl standen zwei Arten, Software zu betreiben, wie es sie in diesem Unternehmen noch nie gegeben hatte: eigenständige Arbeitskräfte, die in den Systemen des Unternehmens sitzen, minuten- oder stundenlang am Stück handeln und ihren Zustand zwischen den Läufen behalten.
Zwei Jahre lang lautete die Frage, welche Modell-Schnittstelle Sie aufrufen sollten. Seit August 2026 verkaufen beide Anbieter auch den Ort, an dem der Agent läuft: die Laufzeitumgebung, in der sein Gedächtnis liegt, die Sandbox, in der sein Code ausgeführt wird, die Identität, unter der er handelt, und den Prüfpfad, den er hinterlässt. Jeder Anbieter ist diesen Schritt anders gegangen, und der Unterschied entscheidet darüber, wie Sie mit solchen Systemen umgehen, was sie kosten und wo Ihre Daten liegen dürfen.
Eine Zeile aus dem Begleitbeitrag zum Model Context Protocol ordnet das ganze Feld: Der Aufbau eines Agenten hat drei Schichten – Erreichen, Ausführen, Isolieren. MCP ist das Erreichen, die genormte Steckdose, über die ein Agent an Ihre Werkzeuge und Daten herankommt. Dieser Beitrag nimmt sich die beiden anderen vor. Ausführen ist die verwaltete Laufzeitumgebung, in der die Agentenschleife abläuft; Isolieren ist die Sandbox, die diese Ausführung eingrenzt, damit ein Fehler nicht nach draußen gelangt. Beides verkaufen die beiden Anbieter inzwischen als Produkt, und darüber hat das Führungsteam entschieden.
Was Sie da in Auftrag geben
Fangen Sie bei dem an, was leicht zu übersehen ist. Wenn Sie eine Modell-Schnittstelle aufrufen, führt Ihr Code Regie. Sie schicken eine Anfrage, bekommen eine Antwort und entscheiden, was als Nächstes geschieht. Das Modell ist eine Funktion, die Sie aufrufen; die Schleife gehört Ihnen.
Ein verwalteter Agent dreht das um. Sie richten ihn einmal ein, mit seinen Anweisungen, seinen Werkzeugen und der abgeschotteten Umgebung, in der er arbeitet, und danach durchläuft er die Schleife selbst: planen, ein Werkzeug aufrufen, das Ergebnis lesen, umplanen und weitermachen, bis die Aufgabe erledigt ist oder er Sie braucht. Anthropics eigenes Produkt dafür heißt Claude Managed Agents; die Dokumentation beschreibt es als den Unterbau, mit dem Sie Claude als eigenständigen Agenten betreiben, wobei Ihre Anwendung Ereignisse einspeist und die Ergebnisse fortlaufend zurückbekommt. OpenAIs Gegenstück setzt beim Code an: das Agents SDK, das mit „a built-in loop that continues until the task is complete“ wirbt, also mit einer eingebauten Schleife, die weiterläuft, bis die Aufgabe erledigt ist.
Das Wort, auf das es in beiden Fällen ankommt, ist Schleife. Sie kaufen keine Antworten mehr; Sie beauftragen eine Arbeitskraft, die ihre eigene Schleife in Ihren Systemen durchläuft. Sobald ein solcher Agent das mit Zugriff auf echte Werkzeuge tut, stellen sich drei Fragen, die bei einem Chatbot nie aufkamen: wo er sicher läuft, wie Sie mit ihm sprechen und was der Zähler zeigt.
Claude Managed Agents und OpenAI: die beiden Wege nebeneinander
Zwei Laufzeitumgebungen, eine Form. Anthropic stellt eine Laufzeitumgebung nach vorn, die es selbst betreibt; OpenAI ein Framework, das Sie selbst betreiben, und eine fertige Chat-Oberfläche davor. Hinter beiden Eingangstüren sitzt dieselbe Mechanik: abgeschottete Ausführung, dauerhafte Sitzungen, Reichweite über MCP, eine Freigabe durch einen Menschen und ein Prüfpfad. Quellen: Anthropics Dokumentation zu Claude Managed Agents und OpenAIs Dokumentation zum Agents SDK, beide gelesen am 31. August 2026.
Am saubersten wird der Vergleich, wenn Sie sich an der Standardantwort jedes Anbieters auf die Frage orientieren, wie man einen Agenten in den Produktivbetrieb bekommt. Ein Vorbehalt gilt für alles, was folgt. Anthropics Laufzeitumgebung trägt bei jedem Aufruf ein Beta-Kennzeichen, und OpenAIs Sandbox-Schicht trägt ebenfalls eines, obwohl das SDK ansonsten allgemein verfügbar ist. Alles Weitere ist an der Dokumentation geprüft, gelesen am 31. August 2026.
Anthropics Standard ist eine verwaltete Laufzeitumgebung zur Miete. Claude Managed Agents ist ein Dienst, den Anthropic für Sie betreibt, steht im Beta-Stadium und verlangt bei jedem Aufruf einen ausdrücklichen Beta-Header. Sie definieren einen Agenten und eine abgeschottete Umgebung und lassen ihn dann auf Anthropics Infrastruktur in Sitzungen laufen, die Dateien, den Zustand der Werkzeuge und den Gesprächsverlauf über die einzelnen Schritte hinweg bewahren. Das Drumherum liefert die Plattform als Funktionen mit: Tresore für Zugangsdaten je Nutzer, damit ein Agent unter der Identität des richtigen Endnutzers handelt, ohne dass Sie selbst eine Schlüsselverwaltung betreiben; Verbindungen zu Werkzeugen über MCP; Gedächtnisspeicher, die die Vorlieben einer Kundin über Sitzungen hinweg behalten und jeden Schreibvorgang als unveränderliche Version festhalten; und eine Berechtigungsrichtlinie, die den Agenten anhalten kann, bis ein Mensch freigibt.
Wollen Sie die Ausführung auf eigener Infrastruktur, bietet Anthropic eine Sandbox an, die Sie selbst betreiben. Prüfen Sie diese Abgrenzung genau, denn das ist der Satz, auf den sich am Ende eine Compliance-Verantwortliche beruft. Der Code des Agenten, sein Dateisystem und alles, was er nach draußen ins Netz schickt, bleiben bei Ihnen. Die Orchestrierung nicht: Die Ein- und Ausgaben der Werkzeuge fließen weiterhin zu Anthropics Steuerungsebene, und die Inhalte eines angebundenen Gedächtnisspeichers bleiben bei Anthropic gespeichert. Das ist echte Kontrolle über die Ausführung. Ein Betrieb im eigenen Rechenzentrum ist es nicht.
OpenAIs Standard ist der Weg über den Code, mit einer fertigen Chat-Oberfläche davor. Das Agents SDK ist ein Framework, das Sie selbst betreiben, mit denselben Grundbausteinen: eine Agentenschleife, Übergaben zwischen spezialisierten Agenten, Leitplanken, Sitzungen, Aufrufe von Werkzeugen über MCP und Ablaufverfolgung. Dazu kommen Sandbox agents, ebenfalls im Beta-Stadium; sie geben dem Modell laut Dokumentation „a persistent workspace where it can search large document sets, edit files, run commands, generate artifacts, and pick work back up from saved sandbox state“, also einen dauerhaften Arbeitsbereich, in dem es große Dokumentbestände durchsuchen, Dateien bearbeiten, Befehle ausführen, Ergebnisse erzeugen und aus einem gespeicherten Zustand weiterarbeiten kann. Wo diese Sandbox läuft, wählen Sie: auf dem Rechner der Entwicklerin, solange sie den Agenten baut, in Ihrer eigenen Infrastruktur oder bei einem Anbieter, der die Sandbox für Sie betreibt.
Die Eingangstür ist ChatKit, eine einbettbare Chat-Oberfläche, die den sichtbaren Teil vollständig übernimmt: die Anzeige der Nachrichten, die Dateianhänge, die laufenden Aufrufe der Werkzeuge und den Gedankengang, den der Agent bei der Arbeit offenlegt. Niemand bei Ihnen muss noch eine Chat-Oberfläche bauen. Eine Meldung wiegt dabei schwerer als jede einzelne Funktion, die einer der beiden Anbieter aufführt. OpenAI hat den Agent Builder abgekündigt, die visuelle Arbeitsfläche zum Zusammensetzen von Abläufen per Drag-and-drop, und zwar am 3. Juni 2026; abgeschaltet wird sie am 30. November 2026. ChatKit bleibt, und OpenAI empfiehlt für neue Projekte, es an einen eigenen serverseitigen Agenten anzubinden. Sollte bei Ihnen jemand auf dieser Arbeitsfläche Prototypen gebaut haben, ist die Umstellung eine Aufgabe für dieses Quartal.
Keiner der beiden Wege ist der bessere, und ehrlicherweise nähern sie sich einander an. Beide bringen abgeschottete Ausführung mit, dazu dauerhafte Sitzungen, Reichweite über MCP, eine Freigabe durch einen Menschen und Ablaufverfolgung für die Prüfung, und all das steht auf den Funktionsseiten beider Anbieter. Der Unterschied liegt in der Eingangstür: Anthropic reicht Ihnen eine Laufzeitumgebung und erwartet, dass Sie die Oberfläche bauen; OpenAI reicht Ihnen ein Framework und eine Oberfläche und erwartet, dass Sie den Ablauf mitbringen.
| Wenn Ihre Lage so aussieht … | Dann passt am ehesten … |
|---|---|
| Ein Backend-Team, bestehende Systeme, Agenten, die durch Ereignisse anspringen (Alarme, Tickets, E-Mails) | Anthropics eigene Laufzeitumgebung: Ereignis hinein, Ergebnis heraus, keine Oberfläche, die Sie entwerfen müssten |
| Ein Produktteam, das einen Agenten schnell in eine Anwendung für Kundinnen und Kunden einbetten will | OpenAIs Agents SDK hinter ChatKit: die Chat-Oberfläche steht bereits |
| Strenge Kontrolle darüber, wo Code läuft und worauf er zugreifen darf | Eine selbst betriebene Sandbox – bei beiden Anbietern möglich, wobei die oben beschriebenen verbleibenden Datenflüsse genau zu prüfen sind |
| Datenstandort EU als harte Anforderung statt als Wunsch | OpenAI, das eine EU-Region dokumentiert; Anthropic dokumentiert derzeit keine |
Eine erste Lesart, kein Urteil. Beide Plattformen entwickeln sich schnell und übernehmen voneinander, was gut ist; beide waren am 31. August 2026 noch in Bewegung: Anthropics Laufzeitumgebung im Beta-Stadium, OpenAIs Sandbox-Schicht im Beta-Stadium innerhalb eines allgemein verfügbaren SDK. Nehmen Sie die Tabelle als den einfachsten Einstieg, den es heute gibt, und prüfen Sie sie an Ihrer eigenen Systemlandschaft.
Zwei dieser Zeilen zählen mehr als der Rest. Die Zeile zum Datenstandort ist die einzige, die ein hartes Nein bedeuten kann und nicht bloß einen Wunsch: Hat Ihre Datenschutzbeauftragte bereits festgelegt, wo die Daten liegen müssen, lesen Sie diese Zeile zuerst; die übrigen entscheiden erst, wenn diese offenbleibt. Die Belege dazu kommen weiter unten. Die Zeile zur selbst betriebenen Sandbox wird am häufigsten falsch gelesen: Eine solche Sandbox verschiebt den Ort der Ausführung, nicht den ganzen Datenweg, und genau das unterschreibt, wer den Betrieb freigibt.
Bleibt die Frage, die der Vergleich aufwirft und selbst nicht beantwortet: Wenn dieses Ding kein Chatfenster hat, wie spricht dann überhaupt jemand mit ihm?
Warum sich das so abstrakt anfühlt: aus Aufrufen wird Beauftragen
Die Verschiebung hinter der Anbieterfrage. Das alte Programmiermodell ist eine Schleife aus Aufruf und Antwort, die Ihr Code steuert. Das neue ist eine lang laufende Arbeitskraft, die sich ihren Zustand merkt. Sie schicken sie nach Zeitplan, durch ein Ereignis oder im Gespräch los, und vor folgenreichen Schritten hält sie an und fragt nach, bevor sie weitermacht. Quellen: Anthropics Dokumentation zu Claude Managed Agents und OpenAIs Dokumentation zum Agents SDK, gelesen am 31. August 2026.
Erfahrene Entwicklerinnen und Entwickler werden im ersten Termin an dieser Stelle still, und dieses Unbehagen ist ein Signal, kein Mangel. Das Denkmodell, das alle zum Thema KI mitbringen, ist das Chatfenster: Sie tippen, es antwortet, der Austausch ist vorbei. Ein verwalteter Agent widerspricht diesem Bild an jeder Stelle. Er arbeitet nicht im Wechsel von Frage und Antwort, sondern läuft minuten- oder stundenlang weiter, nachdem Sie ihn losgeschickt haben. Zustandslos ist er auch nicht; er erinnert sich an die letzte Sitzung. Und oft gibt es überhaupt kein Chatfenster.
Auch eine Arbeitskraft ohne Bildschirm will angesprochen werden, und ein Unternehmen nutzt am Ende meist jeden Weg, der offensteht.
Sie können den Agenten nach Zeitplan laufen lassen; wiederkehrende Läufe sind eine dokumentierte Funktion namens scheduled deployments und nichts, was Sie selbst bauen. Sie können ihn durch ein Ereignis anstoßen: Ein Alarm aus der Rufbereitschaft eröffnet eine Sitzung zur Störungsbehebung, ein Support-Ticket eine zur Sichtung, ein Pull Request eine zur Prüfung. Oder Sie setzen eine Oberfläche davor: eine Erwähnung im Chat-Programm, ein eingebettetes Fenster, eine Sitzung über die Schnittstelle, deren Verlauf Ihre Anwendung laufend mitliest. Am stärksten bleibt das Beispiel aus Cloudflares Umgebung für Claude Managed Agents hängen, in der jede Agentensitzung eine eigene E-Mail-Adresse bekommen kann. Eine Kollegin schreibt dem Agenten, wie sie einem Kollegen schreiben würde, und er liest die Nachricht, erledigt die Arbeit und antwortet.
Sind diese Wege einmal sichtbar, löst sich die Abstraktion in etwas Gewöhnliches auf. Sie rufen keine Funktion auf und warten auch nicht auf einen Rückgabewert. Sie vergeben einen Auftrag: Sie weisen den Agenten ein, Sie schicken ihn los, Sie lassen ihn unbeaufsichtigt arbeiten, und er kommt zurück, sobald eine Entscheidung ansteht, die über seine Befugnis hinausgeht. Dieses Zurückkommen ist eine echte Funktion und keine Redensart: Anthropics Berechtigungsrichtlinie gibt jeder Gruppe von Werkzeugen zwei Einstellungen, automatisch ausführen oder anhalten und fragen. Prüfen Sie diese Einstellung, statt sie vorauszusetzen. Werkzeuge, die über MCP angebunden sind, fragen von Haus aus nach; was im mitgelieferten Werkzeugkasten des Agenten steckt, eine Shell eingeschlossen, läuft ohne Rückfrage, solange Sie nichts ändern. Die Freigabe gibt es also, einschalten muss sie jemand dort, wo es darauf ankommt, und zu entscheiden, welche Schritte einen Menschen erfordern, ist der größere Teil der Entwurfsarbeit an einem brauchbaren Agenten.
Als Managementidee ist daran nichts neu. So vergibt man seit jeher Arbeit an eine externe Fachkraft: den Umfang vereinbaren, die Zugänge übergeben, unbeobachtet arbeiten lassen und vorher festhalten, was sie nicht allein entscheiden darf. Neu ist allein das Verhalten: Software hat bisher immer geantwortet und dann aufgehört. Diese hier zieht los und arbeitet.
Die KI-Sandbox: was Abschottung leistet und was sie kostet
Das Spektrum der Isolation, von leicht nach schwer. Ein Container teilt sich den Kernel des Wirtssystems und startet in Millisekunden; ein User-Space-Kernel wie gVisor sitzt zwischen dem echten Kernel und dem Agenten und bearbeitet die Systemaufrufe selbst; eine Micro-VM gibt dem Agenten eine eigene, von der Hardware erzwungene Grenze. Schwerere Isolation kostet je Sitzung mehr und zieht dafür eine festere Grenze. Quellen: die Dokumentation zu gVisor, Firecracker und der Cloudflare-Sandbox, gelesen am 31. August 2026.
Die Sandbox ist die unscheinbarste Schicht und die, die ein reguliertes Unternehmen am meisten angeht. Sie sorgt für Containment, also für Eingrenzung: Der Code des Agenten läuft in einem abgeschotteten Raum, sodass ein Fehler oder ein gekaperter Agent weder den Wirtsrechner noch die Daten anderer Kunden noch das übrige Netz erreicht.
Ein Chatbot, der nur Fragen beantwortet, ist vergleichsweise harmlos. Ein Agent, der Code ausführen kann, ist ein anderes Kaliber, denn was beliebiger Code anrichten kann, ist nach oben offen; was ein fester Satz von Werkzeugen anrichten kann, ist es nie. Das ist wörtlich gemeint: Der erste Eintrag in Anthropics mitgeliefertem Werkzeugkasten ist Bash, eine Shell. Geben Sie einem Agenten eine Shell, kann er im Prinzip alles, was ein Mensch an diesem Terminal könnte.
Drei Fehlerarten sollte man benennen, denn die Abschottung schützt vor allen dreien. Ein Ausbruch über Prompt Injection, bei dem eine versteckte Anweisung in einer E-Mail oder einem Dokument den Agenten dazu bringt, Code auszuführen, den ein Angreifer bestimmt hat. Der Missbrauch von Ressourcen, bei dem ein außer Kontrolle geratener Prozess die Maschine lahmlegt. Und die Ausbreitung im Netz, bei der der Agent an Zugangsdaten aus der Cloud oder an die Daten eines anderen Mandanten kommt, weil ihn nichts daran gehindert hat.
Isolation gibt es in verschiedenen Stärken, die ein Spektrum von leicht nach schwer bilden, und es gilt die vertraute Abwägung: Eine festere Grenze kostet mehr. Ein einfacher Container teilt sich den Kernel des Wirtssystems, also den gemeinsamen Kern, über den jedes Programm auf dieser Maschine läuft. Er startet in Millisekunden, ist leicht und günstig und zugleich die schwächste Grenze, weil ein Angriff auf den Kernel sie überwindet. gVisor ist ein User-Space-Kernel, also einer, der als gewöhnliches Programm zwischen dem echten Kernel und dem Agenten sitzt und die Systemaufrufe selbst bearbeitet: schwerer als ein Container, leichter als eine virtuelle Maschine. Eine Micro-VM wie Firecracker von AWS gibt jedem Agenten eine eigene kleine virtuelle Maschine mit einer von der Hardware erzwungenen Grenze. Langsam ist sie nicht, und AWS betont das ausdrücklich; sie ist je Sitzung schlicht schwerer. Cloudflare betreibt Agenten-Sandboxes wahlweise auf einer Micro-VM oder auf einem deutlich leichteren Isolate, einer abgespeckten Ausführungsumgebung, die in Millisekunden startet und dem Agenten weit weniger von der Maschine überlässt als ein Container. Den Unterschied veröffentlicht Cloudflare selbst: Das Isolate kostet einen Bruchteil dessen, was eine Container-Sitzung kostet.
Eine verwaltete Laufzeitumgebung verlangt von Ihnen nicht, selbst einen Punkt auf diesem Spektrum zu wählen; ihre Voreinstellung sollten Sie trotzdem kennen. Eine Cloud-Sitzung bei Anthropic läuft in einem eigenen, jeweils neu aufgesetzten Linux-Container, also am leichten Ende, und der ausgehende Netzverkehr ist unbeschränkt, bis Sie eine Allowlist einrichten. Für den Produktivbetrieb empfiehlt Anthropics eigene Dokumentation eben diese Allowlist. Damit ist der offene Netzzugang eine Voreinstellung, die jemand ändern muss, und ein Punkt auf der Prüfliste, bevor der Agent in Betrieb geht.
Einen Gedanken zur Eingrenzung sollten Sie in jedes Gespräch mit einem Anbieter mitnehmen, weil er die sauberste Antwort auf Prompt Injection ist: die Zugangsdaten erst an der Grenze einsetzen. Der Agent bekommt überhaupt keine Schlüssel zu sehen, und die Laufzeitumgebung setzt den echten Schlüssel erst ein, wenn die Anfrage hinausgeht. Cloudflare dokumentiert genau das und setzt Zugangsdaten in ausgehende Anfragen ein, „without the agent ever seeing them“, ohne dass der Agent sie je zu sehen bekommt. Wer ihn dann dazu überredet, alle Zugangsdaten preiszugeben, bekommt nichts. Anthropics Tresore lösen ein verwandtes Problem, indem sie Zugangsdaten aus der Definition des Agenten heraushalten und eine Sitzung an einen bestimmten Endnutzer binden. Beides ist gut, und deshalb ist die brauchbare Frage an einen Anbieter die konkrete: wo die Zugangsdaten tatsächlich liegen und ob der Agent sie lesen kann.
Was das fürs Geschäft bedeutet: mehr Governance, weniger Spielraum
Stellen Sie Nutzen und Rechnung nebeneinander, denn eine faire Entscheidung braucht beides. Der Nutzen zuerst.
Für ein Unternehmen, das einer Aufsicht oder einem Betriebsrat Rede und Antwort stehen muss, ist eine verwaltete Laufzeitumgebung eine gute Nachricht. Das meiste, was Governance verlangt, kommt als Funktion der Plattform statt als Eigenbau: eine Identität, unter der der Agent handelt, Tresore für Zugangsdaten, eng geschnittene Rechte je Werkzeug, eine Freigabe durch einen Menschen und ein Prüfpfad. Am schärfsten zeigen das die Gedächtnisspeicher, denn jeder Schreibvorgang erzeugt dort eine unveränderliche Version und macht aus „die KI hat etwas getan“ einen nachprüfbaren Nachweis. Unter der DSGVO ist ein solcher Nachweis viel wert. Wie viel genau, ist eine Frage an die Rechtsberatung. Ebenso zählt, dass die Sandbox die Daten einer Kundin nicht zu einem anderen Mandanten hinüberwandern lässt.
Jetzt das Gegengewicht, und es gehört hierher und nicht in eine Fußnote. Sie kaufen ein System, das sich seinen Zustand merkt, und genau dieser Zustand verkompliziert jedes Versprechen zur Aufbewahrung. Managed Agents speichert Gesprächsverlauf, Sandbox-Zustand und Ergebnisse auf den Servern des Anbieters. Deshalb sagt Anthropic klar, dass der Dienst weder für Zero Data Retention noch für ein HIPAA Business Associate Agreement in Frage kommt: weder für die Zusage, nichts aufzubewahren, noch für den US-amerikanischen Vertrag über Gesundheitsdaten. Sitzungen und hochgeladene Dateien lassen sich über die Schnittstelle löschen, die beiden stärksten Zusagen stehen aber nicht zur Verfügung. OpenAI bietet Zero Data Retention nach Genehmigung an und schreibt selbst dazu, dass zustandsbehaftete Endpunkte weiterhin den Anwendungszustand speichern können. Für beide Anbieter gilt derselbe Satz: Das Gedächtnis, das einen Agenten über Sitzungen hinweg brauchbar macht, ist dasselbe Gedächtnis, das von jeder Aufbewahrungsregel erfasst werden muss.
Beim Datenstandort gehen die beiden Anbieter wirklich auseinander, und für europäische Käufer ist das der Unterschied, der die Frage am ehesten entscheidet. OpenAI dokumentiert einen Datenstandort je Projekt einschließlich einer EU-Region, mit einem eigenen europäischen Endpunkt und Speicherung der ruhenden Daten in dieser Region. Der Zugang läuft über den Vertrieb und verlangt außerhalb der USA eine geänderte Aufbewahrungsvereinbarung, und ein Aufschlag von zehn Prozent gilt für Modelle, die ab dem 5. März 2026 erschienen sind und für den Datenstandort überhaupt in Frage kommen. Prüfen Sie diese Abgrenzung so genau wie die andere: OpenAIs eigene Dokumentation nimmt Systemdaten aus, die außerhalb der Region liegen können, und behält sich vor, Inhalte außerhalb der gewählten Region zu verarbeiten und vorübergehend zu speichern, wenn die gewählte Region die regionale Verarbeitung nicht unterstützt. Anthropics Dokumentation zum Datenstandort, gelesen am 31. August 2026, nennt für die Verarbeitung durch das Modell zwei Wahlmöglichkeiten, global oder USA, und die Einstellung für die ruhenden Daten kennt genau einen Wert: USA. Auch über einen Cloud-Partner lässt sich das nicht umgehen, denn Anthropics Preisseite weist Managed Agents als auf partnerbetriebenen Clouds nicht verfügbar aus, sodass der vertraute Weg, Claude über Bedrock in einer europäischen Region zu betreiben, hier nicht offensteht.
Die selbst betriebene Sandbox von weiter oben ist das nächstliegende Gegenstück auf Anthropics Seite, und sie ist eine echte Möglichkeit und kein Trostpreis: Ausführung und Dateisystem bleiben bei Ihnen. Eine EU-Region ist sie trotzdem nicht, und wer beides gleichsetzt, erzählt seiner Datenschutzbeauftragten etwas Unwahres. Wo der Datenstandort eine harte Anforderung ist, steht dieses Ungleichgewicht als erste Zeile auf der Folie.
Ein weiterer Punkt betrifft Europa und ist vier Wochen alt. Am 2. August 2026 hat die EU-Kommission begonnen, eine weitere Stufe der EU-KI-Verordnung (AI Act) durchzusetzen, unter anderem Transparenzpflichten, nach denen interaktive KI-Systeme ihren Nutzern sagen müssen, dass am anderen Ende eine KI sitzt und kein Mensch. Ob Ihr Vorhaben darunterfällt, ist eine Frage an die Rechtsberatung. Der Agent, der Support-Tickets sichtet, und das eingebettete Chatfenster weiter oben sind aber genau die Formen, auf die diese Regeln zielen, und damit ist die Frage, ob sich ein System selbst zu erkennen geben muss, jetzt eine Entwurfsfrage.
Das ist der Teil, den ich als Erstes auf die Folie für die Geschäftsführung setzen würde. Die Laufzeitumgebung zu kaufen heißt zu großen Teilen, sich eine Governance-Struktur zu holen, die Sie sonst selbst zusammensetzen müssten, und sich dabei Beschränkungen einzuhandeln, die Sie sonst selbst wählen dürften.
Die Rechnung: eine Platzlizenz ist pauschal, ein Zähler nicht
Das ist die Abwägung, die in keiner Anbieterpräsentation steht. Eine Platzlizenz im Abonnement ist pauschal, planbar und gedeckelt: Claudes Team-Tarif kostet 20 US-Dollar je Platz und Monat, wenn Sie jährlich zahlen, und 25, wenn Sie monatlich zahlen, Stand 31. August 2026. Eine Person, ein Preis, gleich, was sie damit tut, und nichts, während sie schläft. Eine verwaltete Laufzeitumgebung rechnet nach Verbrauch. Anthropics veröffentlichte Preise für Managed Agents haben zwei Dimensionen, Token und Sitzungslaufzeit. Token sind die Abrechnungseinheit, in der diese Plattformen Text messen; grob gesagt ist ein Token ein kurzes Wort oder ein Wortstück, sodass eine Seite Prosa auf einige Hundert kommt. Die zweite Dimension ist die Sitzungslaufzeit: 0,08 US-Dollar je Sitzungsstunde, gezählt nur, solange der Agent wirklich läuft.
Anthropic rechnet ein Beispiel selbst vor, was mir erspart, eine Arbeitslast zu erfinden. Eine einstündige Sitzung mit Claude Opus 5, 50.000 Eingabe-Token und 15.000 Ausgabe-Token kommt auf 0,705 US-Dollar. Gegen die 20 Dollar der Platzlizenz gehalten: Für eine Monatslizenz bekommen Sie rund 28 solcher Sitzungen. Das ist die Beispielrechnung des Anbieters für eine Arbeitslast, die er selbst gewählt hat – keine Messung echter Nutzung in irgendeinem Unternehmen. Rechnen Sie es mit Ihren eigenen Zahlen nach, und das Verhältnis bleibt: Ein Agent, der eine Stunde am Tag arbeitet, kostet ungefähr eine Platzlizenz. Zehn Agenten, die durchgehend laufen, kosten ein Vielfaches davon.
Für unstete oder seltene Arbeit ist die Abrechnung nach Verbrauch in Ordnung und oft günstiger, weil feste Plätze dort ungenutzt blieben; für durchgehende, eigenständige oder parallele Arbeit gilt das Gegenteil. Eine Platzlizenz kostet nicht mehr, wenn der Mensch härter arbeitet. Ein Zähler schon.
Beide Anbieter wissen das, und deshalb liefern sie die Kostensteuerung als vollwertige Funktion mit. Anthropic bietet einen Regler für den Aufwand mit fünf Stufen von niedrig bis maximal, der begrenzt, wie gründlich ein Agent ein Problem bearbeitet, und ein Koordinator-Muster, bei dem ein Agent die Arbeit an eine Reihe weiterer Agenten verteilt. Der Kostengedanke zum zweiten Punkt stammt von mir und nicht aus der Dokumentation, die Voraussetzung eingeschlossen: Lässt sich jedem Agenten einer solchen Reihe ein eigenes Modell zuweisen, kann das tokenintensive Lesen an günstigere Modelle gehen, während ein klügeres Modell die Aufsicht führt. Ein dritter Hebel ist gar keine Funktion der Plattform: Was Sie dem Agenten bei jedem Schritt vorlegen, ist die Eingabeseite des Zählers, und diesen Kontext zu gestalten (Kontext-Engineering) ist ein Handwerk für sich.
Also: Ein Abonnement ist das richtige Instrument für einen Menschen an der Tastatur, eine Abrechnung nach Token für eigenständige Arbeit, die klar begrenzt ist, sich lohnt und nur ab und zu anfällt. Lautet der Plan, eine Flotte von Agenten auf eine durchgehende Last anzusetzen und laufen zu lassen, dann rechnen Sie die Tokenkosten durch, bevor Sie sich binden, und nicht nach der ersten Rechnung. Auf dem Papier ist das erheblich billiger als im Produktivbetrieb.
Die eine Entscheidung, die ausgesprochen gehört
Blenden Sie die Logos aus, und die Wahl, vor der dieses Führungsteam stand, war nie Anthropic gegen OpenAI. Sie war, ob überhaupt lang laufende, eigenständige Arbeit in die eigenen Systeme geholt werden sollte, und wenn ja, dann mit klarem Blick auf drei Dinge, über die bei einem Chatbot nie jemand nachdenken musste. Wo der Agent läuft, wie stark die Abschottung ist und wo die Daten liegen dürfen. Wie Menschen mit einer Arbeitskraft sprechen, die keinen Bildschirm hat. Und was der Zähler zeigt, wenn die Arbeit durchgehend läuft statt in einem Schub von zwei Sekunden.
Sind diese drei geklärt, wird die Anbieterfrage das, was sie sein sollte: eine Frage der Passung zwischen der Grundform jedes Anbieters und dem, was bei Ihnen schon steht. Anthropic vermietet Ihnen die Laufzeitumgebung und erwartet, dass Sie die Oberfläche bauen; OpenAI reicht Ihnen ein Framework und eine Chat-Oberfläche und erwartet, dass Sie den Ablauf mitbringen. Beide schotten die Ausführung ab, beide tragen an irgendeiner Stelle noch ein Beta-Kennzeichen, beide rechnen nach Token statt nach Platzlizenz, und nur einer der beiden Anbieter dokumentiert derzeit eine europäische Region. Das sind Spalten, die in eine Tabelle passen.
Zur Schicht darunter gibt es einen eigenen Beitrag: wofür eine Sandbox da ist, warum ein Unternehmen dazu greift und wie eine Einführung gelingt, in derselben schlichten Sprache. Und wenn die Abwägung zwischen Token und Platzlizenz die Frage ist, die Ihnen den Schlaf raubt, dann lohnt sich ein Blick von außen, bevor Sie unterschreiben.
