---
title: Die Compliance API einrichten
url: https://platform.claude.com/docs/de/manage-claude/compliance-api-access
description: Aktiviere die Compliance API für deine Organisation, erstelle dann einen Compliance Access Key (mit eingeschränkten Berechtigungen) oder einen Admin-API-Key und erfahre, welchen du verwenden solltest.
---
Claude Enterprise-Organisationen und berechtigte eigenständige Claude Console-Organisationen haben Self-Service-Zugriff auf die Compliance API. Diese Seite beschreibt, wie du die Compliance API für deine Organisation aktivierst und API-Keys erstellst.
**Erforderliche Rolle:** Organisationsadministrator (Claude Console) oder primärer Eigentümer bzw. Organisationseigentümer (claude.ai).
Die Compliance API verwendet zwei Key-Typen, und welchen du erstellst, hängt davon ab, welches Claude-Produkt deine Organisation nutzt. Primäre Eigentümer und Organisationseigentümer erstellen Compliance Access Keys in claude.ai; diese Keys schalten die vollständige Compliance API frei. Der Key eines primären Eigentümers kann jede Organisation unter der übergeordneten Organisation abdecken; der Key eines Organisationseigentümers deckt nur dessen eigene Organisation ab. Organisationsadministratoren erstellen Admin-API-Keys in Claude Console; diese Keys schalten nur den [Activity Feed](https://platform.claude.com/docs/de/manage-claude/compliance-activity-feed) (Aktivitätsfeed) frei.
## Welchen Key brauchst du?
| Key-Typ | Erstellt in | Verwendet für | Funktioniert mit der Compliance API? |
| ---------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------- | ------------------------------------ |
| **Compliance Access Key** (`sk-ant-api01-...`) | [claude.ai > Organisationseinstellungen > API](https://claude.ai/admin-settings/api-access) | Activity Feed, Chats, Dateien, Projekte, Sitzungen (in Apps wie Cowork und Claude Code), Benutzer, Organisationsmetadaten und Organisationseinstellungen | Ja (alle Endpunkte) |
| **Admin-API-Key** (`sk-ant-admin01-...`) | Seite [Admin keys](https://platform.claude.com/settings/admin-keys) (`platform.claude.com/settings/admin-keys`) in der Claude Console | Die [Admin API](https://platform.claude.com/docs/de/manage-claude/admin-api) und den Activity Feed der Compliance API | Nur Activity Feed |
| **Analytics-API-Key** | [claude.ai > Organisationseinstellungen > API](https://claude.ai/admin-settings/api-access) | Die Claude Enterprise Analytics API (siehe [Analytics APIs](https://platform.claude.com/docs/de/manage-claude/analytics-api)) | Nein |
| **Claude API-Key** (`sk-ant-api03-...`) | Seite [API keys](https://platform.claude.com/settings/keys) (`platform.claude.com/settings/keys`) in der Claude Console | Aufrufen von Claude-Modellen über die [Claude API](https://platform.claude.com/docs/de/api/overview) | Nein |
Ein Claude Enterprise-Tenant hat eine **übergeordnete Organisation** (parent organization), die Identität, SSO und SCIM für jede darunterliegende Workload-Organisation zentralisiert. Diese Workload-Organisationen sind die **verknüpften Organisationen** (linked organizations) der übergeordneten Organisation.
**Übergeordnete Claude Enterprise-Organisationen erscheinen nicht in Claude Console (`platform.claude.com`).** Die übergeordnete Organisation trägt keine Workloads, keine Claude API-Keys und keine Admin-API-Keys. Erstelle Compliance Access Keys in den **Organisationseinstellungen** von claude.ai, nicht in Claude Console.
## Die Compliance API einrichten
Die Einrichtung ist ein einziger Ablauf: Aktiviere die Compliance API für deine Organisation und erstelle dann einen Compliance Access Key in claude.ai. Eine Claude Console-Organisation [erstellt stattdessen einen Admin-API-Key](https://platform.claude.com/docs/de/manage-claude/compliance-api-access#create-an-admin-api-key) nach der Aktivierung; Admin-API-Keys erreichen nur den [Activity Feed](https://platform.claude.com/docs/de/manage-claude/compliance-activity-feed).
Ein Compliance Access Key mit `read:compliance_user_data` kann jeden Chat, jede Datei, jedes Projekt und jedes Sitzungstranskript in jeder verknüpften Organisation lesen, einschließlich Inhalten, die der primäre Eigentümer nicht gesehen hat. Ein Key mit `delete:compliance_user_data` kann Chats, Dateien und Projekte dauerhaft löschen. Behandle Compliance Access Keys wie Zugangsdaten für Produktionsdatenbanken: Speichere sie in einem Secrets-Manager, niemals in der Versionsverwaltung oder in der Konfiguration eines SIEM-Forwarders.
Wo du die Compliance API aktivierst, hängt davon ab, wie deine Organisation eingerichtet ist:
* **Claude Enterprise-Organisationen:** Der primäre Eigentümer aktiviert die Compliance API unter [claude.ai > Organisationseinstellungen > API](https://claude.ai/admin-settings/api-access). Die Aktivierung erfolgt auf Ebene der übergeordneten Organisation und wird an jede verknüpfte Organisation weitergegeben, sowohl claude.ai als auch Claude Console.
* **Eigenständige Claude Console-Organisationen:** Ein Organisationsadministrator schaltet den Schalter **Compliance API** auf der Seite [Compliance](https://platform.claude.com/settings/security) (`platform.claude.com/settings/security`) in der Claude Console ein. Die Aktivierung erfolgt für berechtigte Organisationen per Self-Service, und die Änderung wird sofort wirksam. Wenn die Seite einen Seite-nicht-gefunden-Fehler anzeigt oder den Abschnitt **Compliance API** nicht anzeigt, hast du nicht die Administratorrolle, deine Organisation ist mit einer übergeordneten Organisation verknüpft (die Compliance API wird stattdessen über die übergeordnete Organisation aktiviert) oder deine Organisation ist nicht für die Self-Service-Aktivierung berechtigt; wende dich an dein Account-Team oder den [Anthropic-Support](https://support.claude.com), wenn du nicht sicher bist, was zutrifft.
* **Claude Console-Organisationen, die mit einer übergeordneten Organisation verknüpft sind:** In Claude Console gibt es nichts einzuschalten. Bitte den primären Eigentümer deiner übergeordneten Organisation, die Compliance API in claude.ai zu aktivieren, oder wende dich an dein Account-Team.
**Das Ausschalten der Compliance API stoppt die Aktivitätsaufzeichnung.** Ein Organisationsadministrator kann die Compliance API jederzeit mit demselben Schalter **Compliance API** ausschalten, mit dem sie eingeschaltet wird. Solange die Compliance API ausgeschaltet ist, werden keine Aktivitätsereignisse für deine Organisation aufgezeichnet, sodass der [Activity Feed](https://platform.claude.com/docs/de/manage-claude/compliance-activity-feed) keine neuen Ereignisse erhält. Wenn deine Organisation für [Access Transparency](https://platform.claude.com/docs/de/manage-claude/access-transparency) registriert ist, stoppt das Ausschalten der Compliance API auch die Zustellung von Access Transparency-Ereignissen. Aktivitäten, die nicht aufgezeichnet werden, während die Compliance API ausgeschaltet ist, können später nicht wiederhergestellt werden. Das erneute Einschalten der Compliance API setzt die Aufzeichnung ab diesem Zeitpunkt fort; bereits aufgezeichnete Aktivitäten werden nicht gelöscht. Bei Claude Enterprise-Organisationen regelt die Compliance API-Einstellung in claude.ai auch die Transkripterfassung für [lokale Sitzungen](https://platform.claude.com/docs/de/manage-claude/compliance-sessions#retrieve-local-sessions) (Sitzungen auf den Rechnern der Benutzer): Die Erfassung beginnt, wenn die Compliance API aktiviert wird, und stoppt, solange sie ausgeschaltet ist; Transkriptinhalte aus Sitzungen, die laufen, während sie ausgeschaltet ist, werden nicht erfasst und können später nicht wiederhergestellt werden.
Eine eigenständige Claude Console-Organisation verwendet Admin-API-Keys statt Compliance Access Keys: Überspringe nach der Aktivierung die restlichen Schritte und [erstelle stattdessen einen neuen Admin-API-Key](https://platform.claude.com/docs/de/manage-claude/compliance-api-access#create-an-admin-api-key). Die restlichen Schritte stellen Compliance Access Keys bereit, die nur Organisationen zur Verfügung stehen, die Teil eines Claude Enterprise-Tenants sind.
Der Zugriff eines Keys wird bei seiner Erstellung festgelegt. Entscheide, welche Organisationen der Key abdeckt:
* Ein Key für die **übergeordnete Organisation** kann auf jede Organisation unter der übergeordneten Organisation zugreifen.
* Ein Key für eine **einzelne Organisation** kann nur auf diese Organisation zugreifen.
Melde dich bei claude.ai an. Der primäre Eigentümer der übergeordneten Organisation kann einen Key mit beiden Geltungsbereichen erstellen. Ein Organisationseigentümer kann nur einen Key erstellen, der auf seine eigene Organisation beschränkt ist.
Wenn die im nächsten Schritt beschriebene Seite **API** nicht sichtbar ist oder Compliance-Scopes beim Erstellen eines Keys nicht verfügbar sind, kann entweder deine Rolle keine Compliance Access Keys erstellen, oder die Compliance API wurde für deine Organisation noch nicht aktiviert (kehre zum ersten Schritt zurück).
Gehe zu [claude.ai > Organisationseinstellungen > API](https://claude.ai/admin-settings/api-access) und suche den Abschnitt **Keys**.
Klicke auf **Create key**, benenne den Key und wähle einen oder mehrere Scopes (Berechtigungsbereiche) aus der folgenden Tabelle aus. Klicke auf **Create**.
| Scope | Gewährt |
| ----------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ |
| `read:compliance_activities` | Lesen des Activity Feeds. Ein Key, der die übergeordnete Organisation abdeckt, liest Ereignisse für die übergeordnete Organisation und alle verknüpften Organisationen. |
| `read:compliance_user_data` | Lesen von Benutzer-Chats, Nachrichten, Dateien, Projekten, Sitzungsmetadaten und -transkripten, Organisationsbenutzern, Benutzereinstellungen und Gruppenmitgliedern |
| `delete:compliance_user_data` | Löschen von Benutzer-Chats, Dateien und Projekten |
| `read:compliance_org_data` | Lesen von Organisationsmetadaten (Namen, Typen, Rollen und Gruppen) und der effektiven Einstellungen, die für Organisationen unter der übergeordneten Organisation gelten. Benutzerlisten und Gruppenmitgliedschaften erfordern `read:compliance_user_data`. |
Mit der Plugins API liest `read:compliance_org_data` über die Admin API auch das Inventar der Plugins und Plugin-Marketplaces deiner Organisation, einschließlich der persönlichen Plugins der Mitglieder und ihrer Dateien. Dieses Inventar identifiziert Mitglieder: Es enthält die Benutzer-ID jedes Mitglieds, das ein Plugin besitzt oder erstellt hat oder mit dem ein Plugin individuell geteilt wurde, sowie die E-Mail-Adresse des Erstellers eines Plugins, solange dieser noch Mitglied ist; siehe [Plugins und Plugin-Marketplaces lesen](https://platform.claude.com/docs/de/manage-claude/compliance-org-data#read-plugins-and-plugin-marketplaces).
Wähle den kleinsten Satz an Scopes, den deine Integration benötigt:
* Eine Audit-Pipeline, die nur den Activity Feed liest, benötigt nur `read:compliance_activities`.
* Ein eDiscovery-Tool, das Chats und Dateien liest, sie aber nie löscht, benötigt `delete:compliance_user_data` nicht.
* Wenn dein Workflow sowohl liest als auch löscht, verwende **zwei Keys** mit getrennten Scopes, damit ein geleakter Lese-Key keine Daten löschen kann.
Die Scopes eines Compliance Access Keys sind nach der Erstellung unveränderlich. Um Scopes zu ändern, erstelle einen neuen Key mit den gewünschten Scopes und lösche dann den alten.
Kopiere den angezeigten geheimen Key (beginnend mit `sk-ant-api01-`) und speichere ihn in deinem Secrets-Manager. Das vollständige Secret wird nur einmal angezeigt.
Setze den Key als Umgebungsvariable, damit die Shell-Beispiele in diesem Leitfaden ihn lesen können:
```bash
export ANTHROPIC_COMPLIANCE_ACCESS_KEY=sk-ant-api01-...
```
## Einen Admin-API-Key erstellen
Die Compliance API muss bereits [für deine Claude Console-Organisation aktiviert](https://platform.claude.com/docs/de/manage-claude/compliance-api-access#set-up-the-compliance-api) sein, bevor ein Admin-API-Key den Activity Feed aufrufen kann.
Folge den Schritten unter [Einen Admin-API-Key erstellen](https://platform.claude.com/docs/de/manage-claude/admin-api-keys#create-a-key-for-a-claude-console-organization) und setze den Key dann als Umgebungsvariable:
```bash
export ANTHROPIC_ADMIN_KEY=sk-ant-admin01-...
```
Der eigene Variablenname verhindert, dass der Admin-API-Key einen Compliance Access Key überschreibt, falls du beide bereitstellst. Die cURL-Beispiele in diesem Leitfaden lesen den Key aus `$ANTHROPIC_COMPLIANCE_ACCESS_KEY`; ersetze ihn durch `$ANTHROPIC_ADMIN_KEY`, wenn du den [Activity Feed](https://platform.claude.com/docs/de/manage-claude/compliance-activity-feed) mit einem Admin-API-Key aufrufst.
Admin-API-Keys tragen den Scope `read:compliance_activities` nur, wenn die Compliance API zum Zeitpunkt der Erstellung des Keys für die Organisation aktiviert war; siehe [Die Compliance API einrichten](https://platform.claude.com/docs/de/manage-claude/compliance-api-access#set-up-the-compliance-api). Ihnen kann kein anderer Compliance API-Scope gewährt werden, daher geben Aufrufe an jeden anderen Endpunkt als den Activity Feed [403 Forbidden](https://platform.claude.com/docs/de/manage-claude/compliance-errors#403-forbidden) zurück.
Zur Rolle desselben Keys bei der Verwaltung deiner Claude Console-Organisation siehe [Admin API](https://platform.claude.com/docs/de/manage-claude/admin-api).
## Die Scopes deines Keys prüfen
Um die Scopes eines Keys zu prüfen, den du bereits hast, verwende eines der folgenden Signale.
* **Key-Präfix.** `sk-ant-admin01-` ist ein Admin-API-Key (trägt nur `read:compliance_activities`, abhängig vom Aktivierungszeitpunkt im vorherigen Abschnitt). `sk-ant-api01-` ist ein Compliance Access Key; seine Scopes sind die Teilmenge, die du bei der Erstellung ausgewählt hast.
* **Einstellungs-UI.** Öffne für einen Compliance Access Key den Abschnitt **Keys** unter [claude.ai > Organisationseinstellungen > API](https://claude.ai/admin-settings/api-access) und lies die Spalte **Scopes** für den Key. Admin-API-Keys, die auf der Seite [Admin keys](https://platform.claude.com/settings/admin-keys) (`platform.claude.com/settings/admin-keys`) in der Claude Console aufgeführt sind, haben keine auswählbaren Scopes.
* **Fehlerantworten.** Ein Aufruf, der die Scopes des Keys überschreitet, gibt einen 403 mit einer Nachricht im Format `Missing required scopes. Got: [] Needed one of: []` zurück (`Needed: [...]` bei den Lösch-Endpunkten). Den vollständigen Fehlerkatalog findest du unter [Compliance-API-Fehler behandeln](https://platform.claude.com/docs/de/manage-claude/compliance-errors#403-forbidden).
```json
{
"error": {
"type": "permission_error",
"message": "Missing required scopes. Got: ['read:compliance_activities'] Needed one of: ['read:compliance_user_data', 'read:org_audit']"
}
}
```
## Keys verwalten und rotieren
Lösche einen Compliance Access Key in derselben Tabelle **Keys**, in der du ihn erstellt hast: Gehe zu [claude.ai > Organisationseinstellungen > API](https://claude.ai/admin-settings/api-access). Lösche einen Admin-API-Key auf der Seite [Admin keys](https://platform.claude.com/settings/admin-keys) (`platform.claude.com/settings/admin-keys`) in der Claude Console.
Das Löschen eines Keys wird mit der nächsten Anfrage wirksam: Es gibt keine Übergangsfrist. Compliance Access Keys laufen nicht von selbst ab.
So rotierst du einen Key ohne Ausfall:
1. Erstelle einen neuen Key mit denselben Scopes.
2. Aktualisiere deine Integration, sodass sie den neuen Key verwendet.
3. Überprüfe, dass die Integration mit dem neuen Key erfolgreich ist.
4. Lösche den alten Key.
Vor einer Rotation gespeicherte Paginierungs-Cursor bleiben gültig: Cursor sind an die Organisation gebunden, nicht an den Key.
Wenn ein Compliance Access Key geleakt wird, lösche ihn sofort, prüfe den [Activity Feed](https://platform.claude.com/docs/de/manage-claude/compliance-activity-feed) auf `compliance_api_accessed`-Aktivitäten des kompromittierten Keys und rotiere alle nachgelagerten Zugangsdaten, die der geleakte Key erreichen konnte. Übergib `activity_types[]=compliance_api_accessed`, um die Abfrage einzugrenzen, und behalte dann in deinem Client die Aktivitäten, deren `actor.type` `api_actor` ist und deren `actor.api_key_id` mit dem kompromittierten Key übereinstimmt; siehe [Das Activity-Objekt verstehen](https://platform.claude.com/docs/de/manage-claude/compliance-activity-feed#understand-the-activity-object) für das Actor-Schema.
## Nächste Schritte
Lies organisationsweite Aktivitätsereignisse mit jedem Key, der `read:compliance_activities` hat.
Verwende einen Compliance Access Key mit `read:compliance_user_data`, um claude.ai-Chats, Dateien und Projekte abzurufen, und `delete:compliance_user_data`, um sie zu löschen.
Verwende einen Compliance Access Key mit `read:compliance_user_data`, um die Sitzungen aufzulisten, die deine Benutzer in Claude-Apps und -Agenten wie Cowork und Claude Code ausführen, und ihre Transkripte abzurufen.