Claude Desktop läuft über Amazon Bedrock im Modus „Claude Desktop on third-party (3P)“: Die App schickt jede Anfrage an dein AWS-Konto statt an Anthropic, Chat, Cowork und Code bleiben nutzbar, die Gespräche liegen auf dem Gerät. Eingerichtet wird das im Konfigurationsfenster der App (Developer → Configure Third-Party Inference…). Dort trägst du Region, Anmeldung und Modelle ein, testest die Verbindung und exportierst das Ergebnis als Profil für Jamf oder Intune. Für den breiten Einsatz empfiehlt die Doku die Anmeldung über IAM Identity Center direkt in der App, auf Wunsch mit Entra ID dahinter.
Bedrock nutze ich in manchen Fällen selbst produktiv und habe es bei Kunden eingerichtet, jeweils dort, wo Verarbeitung in der EU verlangt ist; meine eigene Belegschaft läuft im Alltag über Claude mit AVV. Dieser Beitrag beschreibt die Desktop-App über Bedrock nach der Doku von Anthropic und AWS, Stand der Quellen 01.11.2026, nicht aus einem eigenen Rollout. Was Bedrock selbst an Regionen, Datenwegen und Verträgen bietet, steht in Claude über AWS Bedrock: EU, DSGVO, Kosten; hier geht es um die App.
Was sich im Bedrock-Modus ändert
Die App ist dieselbe, die du von claude.com/download kennst. Erst eine verwaltete Konfiguration schaltet sie in den 3P-Modus. Anthropic beschreibt den Unterschied so:
Was fehlt: Zugriff über Browser und Handy, Teilen zwischen Personen, Sprachmodus und Sitzungen in Anthropics Cloud. AWS nennt zusätzlich Computer Use, Claude Design und den Skills-Marktplatz als nicht enthalten. Die Websuche gibt es auf Bedrock nicht vom Anbieter; dafür trägst du einen eigenen Suchdienst ein (Brave, Tavily, Exa oder ein eigener Server). Cowork verlangt macOS 14 oder Windows 10 ab Build 19041 und unter Windows das .msix-Paket.
Wenn deine Firma Claude direkt bei Anthropic nutzen darf, ist Team oder Enterprise laut Anthropic einfacher und bekommt neue Funktionen schneller. Die Abwägung steht in Claude Enterprise oder Team: Kosten, DSGVO.
Schritt 2: die Anmeldung wählen
Der API-Schlüssel ist ein langlebiges Geheimnis im Profil, und die Rolle dahinter braucht zusätzlich bedrock:CallWithBearerToken. Für mehr als einen Pilot nimmt man die Anmeldung in der App: Mit den vier Werten aus Schritt 1 zeigt die App beim ersten Start „Sign in with AWS“, die Anmeldung läuft im Browser, und die App holt sich danach je Sitzung kurzlebige Zugangsdaten. Eine AWS CLI braucht dafür niemand. Wie oft Leute sich neu anmelden, bestimmt die Sitzungsdauer des Zugangsportals, laut Doku standardmäßig 8 Stunden, einstellbar bis 90 Tage.
Anmeldung mit Entra ID
Für Microsoft Entra ID gibt es zwei Wege. Der übliche: Entra ID wird Identitätsquelle von IAM Identity Center, per SAML für die Anmeldung und SCIM für den Abgleich von Personen und Gruppen. Die Anleitung dazu hat AWS als eigenes Tutorial. Ein Haken steht dort: Mitglieder verschachtelter Gruppen überträgt Entra ID per SCIM nicht, nur direkte Mitglieder.
Der zweite Weg ist eine OIDC-Anmeldung bei Entra ID, deren Token ein eigener Proxy vor Bedrock prüft. Bedrock selbst nimmt solche Token nicht an, ohne Proxy geht es also nicht. Dafür kann die App unter Windows und macOS den Anmeldedienst des Betriebssystems nutzen (Einstellung inferenceIdpAuthFlow auf broker), was laut Anthropic Richtlinien für bedingten Zugriff mit konformen Geräten am zuverlässigsten erfüllt.
Schritt 3: das Konfigurationsfenster
Auf einem Testgerät ohne verwaltetes Profil:
- Claude Desktop starten und nicht bei Anthropic anmelden.
- „Help → Troubleshooting → Enable Developer Mode“, dann „Developer → Configure Third-Party Inference…“.
- Unter „Connection“ als Anbieter „Bedrock“ wählen, Region und die Werte deiner Anmeldung eintragen.
- Unter „Models“ die Modell-IDs eintragen und „Test connection“ drücken.
- „Apply Changes“ schreibt die Einstellungen nur auf dieses Gerät und startet die App neu.
Das Fenster prüft die Eingaben schon beim Tippen und listet unter „Egress“ alle Hosts, die deine Firewall freigeben muss.
Modelle und EU-Profil
Die Doku zeigt Beispiele mit us.-Profilen. Für Verarbeitung in der EU nimmst du eine eu-Region wie eu-central-1 (Frankfurt) und die EU-Profile, die AWS in den Modellkarten führt: eu.anthropic.claude-sonnet-5-5, eu.anthropic.claude-opus-5-5 und eu.anthropic.claude-haiku-5-5. Der erste Eintrag der Liste ist das Standardmodell. Bei der Anmeldung in der App ist die Liste Pflicht, weil die App die Modelle dann nicht selbst findet. Je Modell kannst du die höchste Denkstufe begrenzen (maxEffort), und Application Inference Profiles lassen sich als ARN eintragen, wenn du Kosten je Abteilung trennen willst. Dass das EU-Profil Anfragen ab Frankfurt auf sechs Regionen verteilt und die Fable-Modelle in Europa nur global laufen, erklärt Claude über AWS Bedrock: EU, DSGVO, Kosten.
Schritt 4: Export und Verteilung per Intune oder Jamf
„Export“ erzeugt die Dateien für die Verteilung:
Die Reihenfolge laut Anthropic: erst die Konfiguration verteilen, dann die App. Wer die App zum ersten Mal öffnet, landet so direkt im Bedrock-Modus. Statt MDM gehen auch ein eigener Bootstrap-Server oder Anthropics Enterprise Admin Console; dort speichert Anthropic die Nutzerliste und Einstellungen, die Anfragen gehen trotzdem nur an Bedrock.
Jamf und Mac: Das Profil landet unter /Library/Managed Preferences/ in der Domäne com.anthropic.claudefordesktop. Für die App nennt Anthropic ein Universal-PKG für Intel und Apple Silicon.
Intune und Windows: Die Werte gehören direkt unter HKLM\SOFTWARE\Policies\Claude, als REG_SZ. Werte in Unterschlüsseln liest die App nicht, und sobald unter HKLM irgendein Wert steht, ignoriert sie HKCU komplett. Das MSIX-Paket ist pro Benutzer gebaut: Als Line-of-Business-App in Intune installiert es im Benutzerkontext und scheitert bei Standardnutzern. Anthropic empfiehlt Add-AppxProvisionedPackage über eine Win32-App oder ein PowerShell-Skript. Cowork braucht die Windows-Funktion „Plattform für virtuelle Computer“, und die Gruppe NT VIRTUAL MACHINE\Virtual Machines muss das Recht „Anmelden als Dienst“ haben; in Intune setzt du dafür UserRights/LogOnAsService mit *S-1-5-83-0.
Drei Schalter gehören in jedes Profil: disableAutoUpdates, wenn dein MDM die Versionen verteilt; disableDeploymentModeChooser, damit niemand per claude.ai-Anmeldung aus dem Firmenprofil aussteigt; und eine Freigabe für downloads.claude.ai, ohne die Chat, Cowork und Code auf frischen Geräten nicht starten. Für Netze ohne diesen Zugang gibt es einen Offline-Installer.
Diagnosebericht: kommt die Konfiguration an?
„Help → Troubleshooting → Generate Diagnostic Report“, dann „Export to file“. In der ZIP-Datei zeigt managed-config.txt, woher die Konfiguration kommt und welchen Wert jeder Schlüssel hat, Geheimnisse geschwärzt, Unlesbares unter „Parse errors“. provider-status.txt sagt, ob die Bedrock-Angaben vollständig sind, deployment-mode.txt, ob die App im 3P-Modus läuft.
Wichtig für die Fehlersuche: Einen falsch geschriebenen Schlüssel ignoriert die App still. Auf dem Mac heißt ein noch bearbeitbares Konfigurationsfenster, dass kein Schlüssel angekommen ist, auch wenn das MDM das Profil als zugestellt meldet. Gespräche enthält der Bericht nicht, Protokollzeilen können aber Text aus Dateien oder Nachrichten zitieren. Vor dem Versand an den Support also hineinschauen.
Telemetrie und OpenTelemetry
Auch im Bedrock-Modus schickt die App standardmäßig Daten an Anthropic, laut Doku nie Inhalte von Eingaben oder Antworten:
Anthropic warnt: Ohne die erste Kategorie gibt es nur noch Support über Protokolle, die deine IT selbst einsammelt. Für ein eigenes Protokoll sendet die App an deinen OpenTelemetry-Collector (otlpEndpoint): standardmäßig Metadaten wie Dauer, Token-Zahlen und Fehler, Inhalte nur, wenn du sie über otlpContentCapture ausdrücklich einschaltest. Jeder Datensatz trägt die Person (enduser.id); bei der AWS-Anmeldung in der App ist das auf Geräten ohne Admin Console der Anmeldename im Betriebssystem.
Zum Datenschutz noch ein Detail aus der Doku: Die App verschlüsselt Anmelde-Token und Schlüssel, die Gespräche auf der Platte aber nicht. Dafür sorgt die Festplattenverschlüsselung, also FileVault oder BitLocker. Wie ich Daten für Claude einordne, steht in Claude Datenschutz und DSGVO: was gilt.
Token-Deckel und Aufbewahrung
Unter „Limits“ setzt du einen Deckel je Person: inferenceMaxTokensPerWindow mit inferenceTokenWindowHours (1 bis 720 Stunden). Ab 75 Prozent warnt die App. Token aus dem Cache zählen nicht mit, der Deckel begrenzt also nicht deine Rechnung, und wer zwei Geräte hat, hat zwei Zähler. Mit chatSessionRetentionDays, coworkSessionRetentionDays und codeSessionRetentionDays löscht die App ruhende Gespräche nach einer Frist. Budget-Alarm und Kosten je Abteilung stehen in AWS Bedrock Kosten: Claude-Preise und Budget. Wenn statt des Deckels Bedrock selbst bremst, hilft Bedrock Limits und ThrottlingException.
Häufige Fragen
Brauche ich für Claude Desktop über Bedrock Lizenzen von Anthropic?
Nein. Laut Anthropic wird nach Token über deinen Cloud-Anbieter abgerechnet, ohne Lizenzen je Sitz. Die Rechnung kommt von AWS.
Kann ich Claude Desktop über Bedrock mit Entra ID nutzen?
Ja, am einfachsten als Identitätsquelle von IAM Identity Center. Die App meldet dann über AWS an, und Entra ID prüft die Person.
Läuft Cowork im Bedrock-Modus auch unter Windows?
Ja, ab Windows 10 Build 19041 und nur mit dem .msix-Paket. Dazu braucht Windows die optionale Funktion „Virtual Machine Platform“. Mit dem älteren .exe-Installer fehlt Cowork.
Schickt Claude Desktop über Bedrock Daten an Anthropic?
Standardmäßig Absturzberichte und Nutzungsstatistik, laut Doku nie Inhalte von Eingaben oder Antworten. Mit disableEssentialTelemetry, disableNonessentialTelemetry und disableNonessentialServices stellst du das ab; ohne die erste Kategorie gibt es Support nur noch über Protokolle, die deine IT selbst einsammelt.
Wie du weitermachst
Fang mit einem Gerät an: Modell in der eu-Region freischalten, Konfiguration im Fenster bauen, „Test connection“, Diagnosebericht lesen. Erst danach exportieren und an eine Pilotgruppe verteilen. Was Cowork in der App leistet, steht in Claude Cowork: was es kann und für wen, den Weg ohne Desktop-App im Terminal zeigt Claude Code installieren: Windows, Mac, Linux. Fragen dazu kannst du in meiner Community stellen.
