Claude Code Mods können in einer Steuerkanzlei nützlich sein, etwa als Warnung, bevor Mandantendaten in einen Prompt gehen, als Anzeige von Mandantennummer und Frist, als Prüfprotokoll oder als zusätzliche Freigabe vor dem Versand. Das sind Ideen, kein erprobter Baukasten. Gefährlich werden Mods, weil sie ohne Sandbox mit den Rechten der Person laufen, jeden Prompt und damit jeden Mandantentext sehen und ohne verwaltete Einstellungen oder Team- bzw. Enterprise-Anmeldung sogar Deny-Regeln überstimmen können. Für Steuerberater kommt das Berufsgeheimnis nach § 203 StGB dazu. Eine Kanzlei, die Claude Code mit Mandantendaten einsetzt, sollte Mods deshalb zentral steuern: verwaltete Einstellungen, nur eigene Mods, keine Mods aus fremden Ordnern. Und der eigentliche Schutz der Mandantendaten gehört nicht in einen Mod, sondern auf die Netzebene und in die Benutzerrechte.
Ich arbeite täglich mit Claude Code und baue KI-Mitarbeiter auch für Kunden, darunter eine Steuerberatung; den Fall beschreibe ich in KI-Agent für Steuerberater: ein Praxisfall. Mods gibt es erst seit dem 1. Oktober 2026, und ich habe noch keinen eigenen gebaut oder getestet. Was hier zur Technik steht, stammt aus Anthropics Dokumentation, abgerufen am 26.10.2026. Die Ideen sind meine Überlegungen, ausdrücklich als Ideen gekennzeichnet. Alles zu Claude sammle ich auf der Seite Claude. Die Grundlagen erkläre ich in Claude Code Mods: was sie können und dürfen.
Warum Mods für Kanzleien ein Thema sind
In einer Kanzlei ist fast jeder Prompt Mandantentext: ein Bescheid, eine Lohnabrechnung, eine Rückfrage zu einem Beleg. Ein Mod ist laut Anthropic ein Plugin, dessen Code in Claude Code selbst läuft. Die Doku zählt auf, was ein geladener Mod erreicht: Er kann Dateien überall lesen und schreiben, wo die Person es darf, Programme starten und Netzanfragen machen, Umgebungsvariablen und Einstellungen samt Schlüsseln lesen, jeden Prompt und jeden Werkzeugaufruf sehen und umschreiben, einen Aufruf freigeben, bevor gefragt wird, und Modellaufrufe auf dem Konto der Kanzlei auslösen. Dazu der Satz: „Mods aren't sandboxed.“
Für eine Kanzlei heißt das: Wer einen Mod installiert, gibt seinem Code dieselbe Sicht auf Mandantendaten wie sich selbst. Deshalb lohnt es sich, Mods nicht als Spielerei für Entwickler abzutun, sondern sie in die Regeln aufzunehmen, die ihr ohnehin für Software mit Zugriff auf Mandantendaten habt.
Vier Ideen, wie ein Mod in der Kanzlei helfen könnte
Alle vier sind Ideen, nicht gebaut und nicht getestet. Sie beruhen auf den Fähigkeiten, die Anthropic in der Doku beschreibt. Ob sie sich im Alltag bewähren, zeigt erst ein Versuch.
Die letzte Grenze kenne ich aus dem Praxisfall oben: Dort arbeiten die KI-Mitarbeiter mit einem eigenen DATEV-Benutzer ohne Übermittlungs- und Zahlungsrechte. Eine Grenze im Benutzerrecht hält auch dann, wenn ein Programm auf dem Rechner etwas anderes will.
Wo ein Mod in der Kanzlei gefährlich wird
Mods aus fremden Quellen. Anthropic betreibt einen Community-Katalog mit Plugins Dritter, die ihre Autoren eingereicht haben, und schreibt zu Katalogen anderer Anbieter: „Anthropic doesn't review third-party marketplaces.“ Ein fremder Mod sieht jeden Prompt, also jeden Mandantentext, und kann mit Netzanfragen oder gestarteten Programmen Daten weitergeben.
Deny-Regeln, die nicht halten. Ohne verwaltete Einstellungen und ohne Team- oder Enterprise-Anmeldung lädt der eingebaute Schutz sec-default nicht. Dann gilt laut Doku: „the mod can approve a call that a deny rule refuses or a PreToolUse hook blocked.“ Wer in einer Kanzlei mit Pro, Max oder einem API-Schlüssel ohne verwaltete Einstellungen arbeitet, hat diesen Schutz nicht.
Eigene Aufrufe des Mods. Auch mit Schutz gelten Berechtigungsregeln nur für Claudes Werkzeugaufrufe. „With Read(.env) denied, a mod can still read that file with $.fs.read or start a program that does.“ Das gilt genauso für einen Ordner mit Mandantenakten, den du per Deny-Regel gesperrt hast.
Modellaufrufe auf dem Kanzleikonto. Ein Mod kann selbst ein Modell aufrufen. Laut Doku laufen diese Aufrufe über die Zugangsdaten der Sitzung, also über den Plan oder Schlüssel der Kanzlei.
Berufsgeheimnis und Datenschutz
Vorweg: Das ist keine Rechtsberatung, sondern ein Hinweis darauf, welche Vorschriften du kennen solltest, bevor Mandantendaten in ein KI-System gehen. Die Einordnung für deine Kanzlei gehört zu einer Fachkraft oder deiner Kammer.
§ 203 StGB. Für Steuerberater ist das unbefugte Offenbaren fremder Geheimnisse nach § 203 Abs. 1 Nr. 3 StGB strafbar. Nach Abs. 3 Satz 2 dürfen sie Geheimnisse gegenüber Personen offenbaren, die an ihrer Tätigkeit mitwirken, aber nur, „soweit dies für die Inanspruchnahme der Tätigkeit der sonstigen mitwirkenden Personen erforderlich ist“. Nach Abs. 4 Satz 2 Nr. 1 macht sich auch strafbar, wer nicht dafür gesorgt hat, dass eine mitwirkende Person zur Geheimhaltung verpflichtet wurde, wenn diese dann unbefugt ein Geheimnis offenbart.
§ 62a StBerG. Für Dienstleister gilt: Zugang zu Tatsachen unter der Verschwiegenheitspflicht nur, soweit es für die Dienstleistung erforderlich ist, sorgfältige Auswahl, ein Vertrag in Textform mit Verpflichtung zur Verschwiegenheit, und bei Dienstleistungen im Ausland nur bei vergleichbarem Geheimnisschutz.
DSGVO. Art. 28 Abs. 1 verlangt Auftragsverarbeiter, die „hinreichend Garantien“ für geeignete technische und organisatorische Maßnahmen bieten, Abs. 3 einen Vertrag mit Weisungsbindung. Art. 32 Abs. 1 nennt unter den möglichen Maßnahmen ausdrücklich „die Pseudonymisierung und Verschlüsselung personenbezogener Daten“ und ein „Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung“ dieser Maßnahmen.
Meine Einordnung als Betreiber, nicht als Jurist: Der Autor eines fremden Mods ist weder als Dienstleister ausgewählt noch zur Verschwiegenheit verpflichtet, und mit ihm gibt es keinen Vertrag. Trotzdem sieht sein Code jeden Prompt. Ob und wann das ein Offenbaren im Sinne von § 203 ist, kann ich nicht beurteilen. Die Frage gehört vor der Installation zu deiner Fachkraft, nicht danach. Was beim KI-Anbieter selbst für Vertrag und Training gilt, steht in Claude Datenschutz und DSGVO: was gilt, und wie ich grundsätzlich entscheide, welche Daten eine KI sehen darf, in KI und Datenschutz: was die KI sehen darf.
Pflichtprogramm für den Admin
Was folgt, ist meine Empfehlung als Hypothese, abgeleitet aus Anthropics Admin-Doku. Ob sie für deine Kanzlei reicht, prüfst du mit deiner Fachkraft.
- Verwaltete Einstellungen auf jedem Rechner. Nur dann lädt der Schutz
sec-default auch für Sitzungen mit API-Schlüssel oder über einen Cloud-Anbieter. Mit Team oder Enterprise lädt er zusätzlich über die Anmeldung. Verwaltete Einstellungen kommen als Datei, per Geräteverwaltung oder aus der Admin-Konsole von claude.ai.
- Nur eigene Mods.
allowManagedModsOnly als Option des Schutzes lässt keine Mods der Nutzer mehr laufen; allowManagedHooksOnly sperrt zusätzlich Hooks aus den Einstellungen der Nutzer.
- Keine Mods aus fremden Ordnern.
disableSideloadFlags verbietet --plugin-dir und --plugin-url beim Start und lädt keine Mods, die Claude in einer Sitzung schreibt.
- Nur freigegebene Kataloge. Mit einer Freigabeliste wie
strictKnownMarketplaces entscheidest du, aus welchen Marketplaces sich überhaupt etwas installieren lässt.
- Deny-Regeln und Hooks zentral. Regeln für Mandantenordner und kritische Befehle gehören in die verwalteten Einstellungen, nicht in die Einstellungen der einzelnen Person.
PreToolUse-Hooks aus verwalteten Einstellungen laufen laut Doku vor jedem Mod.
- Netzanfragen von Mods. Eine Deny-Regel für WebFetch stoppt die Netzanfragen eines Mods nicht. Erlaubt die Richtlinie der Organisation WebFetch dagegen gar nicht, verweigert Claude Code auch die Anfragen der Mods. Programme, die ein Mod startet, erfasst das nicht; deshalb Punkt 2.
- Eigener Benutzer mit begrenzten Rechten für jeden KI-Mitarbeiter, damit die wichtigste Grenze im System liegt und nicht im Programm auf dem Rechner.
Die Option allowModsToOverrideDenyRules würde ich in einer Kanzlei nicht setzen: Sie erlaubt Mods der Nutzer ausdrücklich, Aufrufe freizugeben, die eine Deny-Regel verweigert. Was Team und Enterprise sonst unterscheidet, steht in Claude Enterprise oder Team: Kosten, DSGVO. Wie Deny-Regeln, Sandbox und Hooks zusammenspielen, steht in Claude Code Sicherheit: Rechte und Sandbox.
Warum der Schutz nicht im Mod liegen darf
Ein Mod sitzt im Programm auf dem Rechner. Anthropic sagt selbst, dass auch ein Schutz-Mod der Organisation keine harte Grenze ist: „A session can run without your mod.“ Stürzt der Thread mit den installierten Mods dreimal ab, entlädt Claude Code alle nicht eingebauten Mods, und mit --safe-mode startet eine Sitzung ohne sie. Ein Mod, der Mandantendaten schützen soll, schützt also nur, solange er läuft.
Den Schutz der Mandantendaten verorte ich deshalb an zwei anderen Stellen. Die erste sind die Benutzerrechte, wie oben beschrieben. Die zweite ist ein Prinzip, das ich Schleuse nenne: Mandantendaten werden pseudonymisiert, bevor sie das Modell erreichen, und zwar auf der Netzebene, zwischen allen Programmen der Kanzlei und dem KI-Anbieter. Namen und andere Merkmale, die auf eine Person zeigen, werden durch Platzhalter ersetzt, bevor eine Anfrage das Haus verlässt; die Zuordnung zurück bleibt im Haus. Weil die Schleuse im Netz sitzt, gilt sie für jedes Programm, egal was auf dem Rechner läuft und ob dort ein Mod geladen ist oder nicht. Pseudonymisierung ist die Maßnahme, die Art. 32 Abs. 1 lit. a DSGVO als erste nennt; sie macht Daten nicht anonym, sondern trennt sie von den Informationen zur Zuordnung, die nach der Definition in Art. 4 Nr. 5 DSGVO gesondert aufbewahrt werden. Die DSGVO gilt für pseudonymisierte Daten also weiter.
Ein Mod kann eine Schleuse ergänzen, etwa als Frühwarnung direkt im Bild der Person, aber nicht ersetzen. Weitere Wege für Mandantendaten sind Claude über AWS Bedrock in EU-Regionen und offene Modelle auf eigener Hardware, beschrieben in Claude über AWS Bedrock: EU, DSGVO, Kosten und Lokale KI und Datenschutz: Cloud oder Server?.
Gleiche Lage bei Anwälten und Arztpraxen
Dieselben Fragen stellen sich überall, wo § 203 StGB gilt. Rechtsanwälte, Notare und Wirtschaftsprüfer stehen in derselben Nummer wie Steuerberater (Abs. 1 Nr. 3), Ärzte und Zahnärzte in Abs. 1 Nr. 1. In Arzt- und Zahnarztpraxen kommen Gesundheitsdaten dazu, deren Verarbeitung Art. 9 Abs. 1 DSGVO grundsätzlich untersagt, vorbehaltlich der Ausnahmen in Abs. 2. Die technischen Antworten oben gelten dort genauso, die rechtliche Prüfung gehört auch dort zu einer Fachkraft.
Häufige Fragen
Darf eine Steuerkanzlei Claude Code Mods nutzen?
Technisch ja, eine allgemeine rechtliche Antwort gibt es nicht. Maßgeblich sind unter anderem § 203 StGB, § 62a StBerG und die DSGVO. Ein eigener, geprüfter Mod unter verwalteten Einstellungen ist ein anderer Fall als ein fremder Mod aus einem ungeprüften Katalog. Das ist ein Hinweis, keine Rechtsberatung; die Prüfung für deine Kanzlei gehört zu einer Fachkraft.
Kann ein Mod Mandantendaten weitergeben?
Ja, wenn sein Code das tut. Ein Mod kann laut Doku jeden Prompt sehen, Dateien lesen, Netzanfragen machen und Programme starten, mit den Rechten der Person. Berechtigungsregeln gelten für Claudes Werkzeugaufrufe, nicht für die eigenen Aufrufe des Mods.
Reicht eine Deny-Regel für den Mandantenordner?
Gegenüber Claudes Datei-Werkzeugen und den Dateibefehlen, die Claude Code in der Shell erkennt, ja. Befehle, die Dateien lesen, ohne sie zu nennen, etwa ein grep -r aus dem Ordner, in dem die Akten liegen, und Skripte, die Dateien selbst öffnen, erfasst sie laut Doku nicht; dafür ist die Sandbox da. Gegenüber einem Mod hält sie nicht: Ohne verwaltete Einstellungen oder Team- bzw. Enterprise-Anmeldung kann ein Mod einen verweigerten Aufruf freigeben, und auch mit Schutz kann er den Ordner selbst lesen. Sperre Mods der Nutzer deshalb mit allowManagedModsOnly.
Kann ein Mod die Pseudonymisierung übernehmen?
Er kann warnen, aber nicht zuverlässig schützen. Ein Mod läuft im Programm auf dem Rechner und fällt mit --safe-mode oder nach drei Abstürzen weg. Pseudonymisierung gehört auf die Netzebene, wo sie für jedes Programm gilt.
Was ist der wichtigste erste Schritt?
Verwaltete Einstellungen auf jedem Rechner, auf dem Claude Code mit Mandantendaten läuft, mit allowManagedModsOnly und disableSideloadFlags. Damit laufen keine Mods der Nutzer mehr, und der eingebaute Schutz lädt.
Wie du weitermachst
Prüfe zuerst, wie Claude Code in deiner Kanzlei angemeldet ist: Team oder Enterprise per /login, oder Pro, Max und API-Schlüssel. Im zweiten Fall fehlen ohne verwaltete Einstellungen die Schutzschichten aus diesem Beitrag. Dann lass deine Fachkraft die Frage nach fremden Mods beantworten, bevor jemand einen installiert. Wie DATEV und KI-Mitarbeiter technisch zusammenkommen, steht in DATEV-Anbindung einrichten: die Grundlagen. Und wie ich Freigaben, Benutzerrechte und Prüfrollen für meine KI-Mitarbeiter aufbaue, zeige ich in meiner deutschsprachigen Community Claude Practitioners.
