Data Divers Dialogs · Analyse · Von Christian Schappeit · September 2026 · ca. 7 Min. Lesezeit
Salesforce und Anthropic haben ein Frontier-Modell an die laufende Pipeline angeschlossen, sorgfältig und offen dokumentiert. Das Berechtigungsmodell stimmt. Die Dokumentation ist ehrlich. Nur beantwortet beides nicht die Frage, die ein validiertes System stellt.
Ein Administrator klickt einmal. Das ist die gesamte Einrichtung.
Danach kann jeder Vertriebler in der Org Claude bitten, ein Meeting vorzubereiten, den Zustand eines Deals zu prüfen oder die Pipeline durchzugehen. Keine Konfiguration pro Nutzer, keine Freigabe Konto für Konto. Salesforce freut sich darüber und sagt es auch, zu Recht: Das ist gute Technik, und sie räumt ein wirklich lästiges Problem ab.
Ein paar Ebenen tiefer, in der Entwicklerdokumentation des Servers, der das Ganze trägt, steht dann ein bemerkenswert ehrlicher Satz.
Der Audit-Trail schreibt jede Aktion Ihnen zu.
Auf die Sicherheitsfrage ist das die richtige Antwort. Es ist auch der Satz, den ein Validierungsteam viermal liest.
Claudeforce kam an dem Nachmittag, an dem Salesforce sein zweites Quartal meldete: 11,345 Mrd. US-Dollar Umsatz, plus 11 %; Agentforce-ARR über 1,5 Mrd. Dollar, plus mehr als 240 %; cRPO bei 33,5 Mrd. Dollar. Die Aktie stieg. Marc Benioff erklärte im Call, dieser Unsinn mit der SaaSpocalypse möge endlich aufhören.
Salesforce in Claude holt das CRM ins Modell. Ein Plugin mit 37 vorgebauten Vertriebs-Skills — Meetingvorbereitung, Deal-Bewertung, Pipeline-Review —, bei ausgewählten Pilotkunden bereits verfügbar, offene Beta noch in diesem Monat erwartet. Darunter liegt ein gehosteter MCP-Server namens Headless 360, seit Juli in Beta, mit vier Werkzeugen: eine Operation finden, sie beschreiben, sie ausführen oder sie nur lesend ausführen. Ausführen heißt GET, POST, PUT, DELETE, PATCH.
Er schreibt.
Claude in Salesforce zeigt in die Gegenrichtung: Claude als Reasoning-Modell in Agentforce, ausgeliefert über Amazon Bedrock, innerhalb dessen, was Salesforce seine Trust Boundary nennt, ausdrücklich für Kunden aus regulierten Branchen. Und ein drittes Stück, leiser als die beiden anderen: Claude als Standardmodell hinter Slackbot.
Den API-Verbrauch zahlen Sie an Salesforce, für die Inferenz schließen Sie separat einen Vertrag mit Anthropic. Ein Agent, zwei Rechnungen — und, das merken Sie sich bitte, zwei recht verschiedene Vorstellungen davon, wer hier eigentlich arbeitet.
Patrick Stokes, bei Salesforce zuständig für Applications und Marketing, hat das Sicherheitsmodell in einen Satz gefasst: „Wenn Ihnen der Datensatz nicht gehört, wenn Sie ihn nicht sehen dürfen, darf der MCP-Server das auch nicht.“
Stimmt, und ist sauber gebaut. Anfragen laufen als der authentifizierte Nutzer, über eine External Client App mit der Berechtigung mcp_api. Objektrechte gelten. Feldebene gilt. Sharing Rules, Profile, Permission Sets — alles überlebt den Weg.
Nur ist das nicht die Frage, die ein reguliertes Unternehmen beantworten muss.
Zugriffskontrolle fragt, ob jemand durfte. Ein Audit-Trail in einem validierten System fragt etwas anderes: Wer hat das getan, wann, auf welcher Grundlage — zuordenbar zu einer Person, weil eine Person das ist, was man hinterher fragen kann. Zwei Jahrzehnte lang sahen diese beiden Fragen gleich aus, aus dem wenig glamourösen Grund, dass ein Mensch geklickt hat.
Jetzt erzeugt eine Frage vierzig Aktionen.
Der Trail ist nicht falsch. Jeder Eintrag stimmt. Nur bedeutet Sie inzwischen: eine Anfrage, die Sie angestoßen haben, von einem Modell in Operationen aufgelöst, die Sie nicht gewählt haben, gegen Datensätze, die Sie nie geöffnet haben, zu einem Zeitpunkt, an dem Sie nicht unbedingt anwesend waren.
Erklären Sie diesen Unterschied einem Inspektor, der denselben Trail seit fünfzehn Jahren als Beweismittel liest.
Der Audit-Trail lügt nicht. Er beschreibt nur nicht mehr, was passiert ist.
Dann gibt es den Slack-Weg, und dort ändert sich die Antwort.
Anthropics eigene Dokumentation zur Salesforce-Anbindung von Claude Tag ist erfrischend deutlich. Man legt eine Connected App mit dem OAuth-JWT-Bearer-Flow an, „mit einem dedizierten Integrationsnutzer“. Nur lesend sei der empfohlene Startpunkt — eine Empfehlung, wohlgemerkt, keine Voreinstellung.
Und zur Kontrolle, ob es funktioniert:
Prüfen Sie die Login-Historie des Integrationsnutzers in Salesforce Setup, um zu bestätigen, dass der Aufruf unter diesem Nutzer gelandet ist.
Also: Auf dem einen Weg trägt jede Aktion den Namen eines Mitarbeiters, der sie nicht ausgeführt hat. Auf dem anderen taucht überhaupt kein Mitarbeitername auf. Beides wurde in derselben Pressemitteilung angekündigt, am selben Tag, als Teil desselben Produkts.
Keins von beidem ist ein Fehler. Beides sind gängige, gut begründbare Integrationsmuster, und genau darin liegt das Problem. Die Branche hat Maschinenidentität vor Jahren gelöst, und die Lösung, auf die sie sich geeinigt hat, setzt stillschweigend voraus, dass die Maschine nichts entscheidet.
Die Beruhigung für regulierte Käufer heißt Trust Boundary: Claude über Bedrock innerhalb des Salesforce-Perimeters statt einer Rundreise zur API eines Dritten. Die Inferenz passiert dort, wo die Daten ohnehin liegen.
Das ist etwas wert. Und es ist nicht nichts, dass Salesforce mit externen Modellanbietern eine Zero-Retention-Policy unterhält: Was an das Modell geht, wird nicht aufbewahrt und nach der Antwort gelöscht. Beide Zusagen sind echt. Keine davon ist Marketing.
Aber eine Grenze ist ein Ort. Sie sagt, wo gearbeitet wurde. Sie sagt nicht, was gearbeitet wurde, ob das System getan hat, wofür es spezifiziert war, und wer für das Ergebnis geradesteht. Selbst die wohlwollendste Claudeforce-Analyse, geschrieben für Leser aus dem Finanzsektor, räumt es nebenbei ein: Beantwortet wird, ob man dem Ort trauen kann, an dem das läuft.
Und auf der eigenen Lernplattform von Salesforce, im Modul zur Trust Layer, steht ein weiterer Satz, den man in die nächste Lenkungssitzung mitnehmen sollte.
Data Masking für LLMs ist für Agenten deaktiviert.
Masking ist der Kasten, auf den im Architekturdiagramm alle zeigen — der Teil, der Namen und sensible Felder erkennt und herausnimmt, bevor der Prompt das Haus verlässt. Für eingebettete Funktionen wie Service Replies oder Work Summaries steht es zur Verfügung. Für Agenten ist es aus, aus einem Grund, der sofort einleuchtet, wenn man ihn ausspricht: Ein Agent, der nicht sehen kann, wer der Kunde ist, kann den Datensatz dieses Kunden nicht pflegen.
Versteckt hat das niemand. Es steht im Schulungsmaterial, in Klarschrift. Es steht nur nicht in der Ankündigung.
Eine Woche später, am 3. September, hat Salesforce seine Editionen auf drei zusammengelegt: Core für 195 US-Dollar je Nutzer und Monat, Advanced für 395, Max für 550. In jeder stecken Agentforce, Slack, eingebettete agentische Analytics und ein Kontingent Flex Credits — 500.000, eine Million und 2,75 Millionen. Kunden der alten Agentforce 1 Edition wechseln ohne Aufpreis nach Max, was Salesforce als 60 % mehr Wert beschreibt.
Für die meisten Käufer ist das ein besseres Angebot und eine kürzere Preisliste.
In einer validierten Umgebung ist es eine Änderung.
Keine schlechte Änderung. Eine Änderung — von der speziellen, dokumentierten, zutiefst langweiligen Sorte, zu der eine Impact-Bewertung gehört, eine risikobasierte Entscheidung über die Requalifizierung und unten eine Unterschrift. Ausgelöst wurde das bisher immer dadurch, dass ein Mensch etwas beschlossen hat.
Wer hat diese Änderung beantragt?
Niemand. Sie kam mit der Edition. Und die offene Beta fällt in den September, in dem auch das Winter-'27-Release die Produktivorgs erreicht. Das Quartal, in dem eine Firma ihr CRM regressionstestet, ist damit das Quartal, in dem darin eine neue Art von Akteur auftauchen kann.
In den Projekten, in denen ich tatsächlich sitze, frisst genau dieser Teil das Jahr. Nicht, ob der Agent es kann. Er kann es. Sondern ob irgendjemand auf Nachfrage ein Dokument vorlegen kann, in dem steht, was er durfte, was er getan hat und wer dem zugestimmt hat.
Zwei Termine für den Kalender
September — Salesforce in Claude, offene Beta. Die Zahl, nach der man fragen sollte, ist kein Benchmark. Es ist der eigene Token-Verbrauch, gemessen an einer Pilotgruppe, bevor irgendetwas org-weit scharf geschaltet wird. Praktiker, die die MCP-Dokumentation lesen, sagen genau das, und eine belastbare Zahl hat bisher niemand veröffentlicht.
2. Dezember 2027 — die verschobene Hochrisiko-Frist. Der Digital Omnibus hat die eigenständigen Hochrisiko-Pflichten des AI Act von August 2026 auf Dezember 2027 verschoben, die für KI in regulierten Produkten auf August 2028. Die Entlastung ist real und schmaler, als viele annehmen: Die Transparenzpflichten aus Artikel 50 gelten seit dem 2. August 2026 und wurden gar nicht verschoben.
Benioff hat vermutlich recht, dass die SaaSpocalypse überverkauft war, nur nicht ganz aus seinem Grund. Unternehmenssoftware löst sich nicht auf. Sie lagert sich ab. Das CRM bleibt, die Permission Sets bleiben, das Änderungsverfahren bleibt, und dazu kommt etwas, das keines der drei kannte, als es entworfen wurde.
Das interessante Versagen ist hier kein Sicherheitsversagen. Beide Unternehmen waren ungewöhnlich sorgfältig, und beide haben die unangenehmen Stellen öffentlich dokumentiert, wo jeder sie nachlesen kann. Das Versagen ist definitorisch, und es ist vor Jahren passiert, in einem Schema.
Heute Nacht ändert sich irgendwo um 03:14 Uhr ein Feld an einer Opportunity. In der einen Org steht im Trail der Name einer Vertriebsleiterin in Basel, die schläft. In der anderen steht ein Nutzer namens svc_claude_integration, der noch nie geschlafen hat und noch nie in Basel war.
Beide Einträge stimmen. Nur einer nennt jemanden, den man fragen kann.
Claudeforce angekündigt am 26. August 2026. Salesforce in Claude: Plugin mit 37 vorgebauten Vertriebs-Skills, zur Ankündigung bei ausgewählten Pilotkunden verfügbar, offene Beta für September 2026 erwartet, weitere Skills für Ende 2026 angekündigt. Claude in Salesforce: ausgeliefert über Amazon Bedrock innerhalb der Salesforce Trust Boundary. Salesforce Q2 FY27, gemeldet am 26. August 2026: Umsatz 11,345 Mrd. US-Dollar (+11 % J/J), Agentforce-ARR über 1,5 Mrd. Dollar (+240 % J/J), cRPO 33,5 Mrd. Dollar (+14 % währungsbereinigt), RPO gesamt 66,3 Mrd. Dollar, FY27-Prognose angehoben auf 46,1–46,4 Mrd. Dollar. Editionsumbau angekündigt am 3. September 2026: Core 195, Advanced 395, Max 550 US-Dollar je Nutzer und Monat, mit 500.000 / 1.000.000 / 2.750.000 Flex Credits; Kunden der Agentforce 1 Edition wechseln ohne Aufpreis nach Max, laut Salesforce 60 % mehr Wert.
Die zitierten Sätze. „Der Audit-Trail schreibt jede Aktion Ihnen zu“, die vier Werkzeuge von Headless 360 und der Scope mcp_api stammen aus der Entwicklerdokumentation von Salesforce zum Hosted MCP Server, seit Juli 2026 ein Beta Service. „Data Masking für LLMs ist für Agenten deaktiviert“ stammt aus dem Trailhead-Modul zum LLM Data Masking in der Einstein Trust Layer und steht ebenso in der Salesforce-Hilfe. Die Zero-Retention-Policy gegenüber externen Modellanbietern ist eine veröffentlichte Zusage von Salesforce. Der Hinweis auf den Integrationsnutzer, einschließlich der Aufforderung, dessen Login-Historie in Salesforce Setup zu prüfen, stammt aus Anthropics Claude-Tag-Dokumentation zur Salesforce-Anbindung. Patrick Stokes wird nach VentureBeat zitiert; Benioffs SaaSpocalypse-Bemerkung aus dem Q2-FY27-Call wurde breit berichtet. Die deutschen Fassungen der Zitate sind Übersetzungen der englischen Originale.
Belastbarkeit. Gesichert: Produkte, Daten, Preise, Kennzahlen und die zitierten Dokumentationsstellen. Im Entstehen: die Lesart, dass Zuordnung im Sinne der Zugriffskontrolle und Zuordnung im Sinne der Validierung auseinandergefallen sind — der Mechanismus ist dokumentiert, geprüft hat ihn bisher weder eine Inspektion noch eine Behördenleitlinie. Spekulativ: alles dazu, wie ein Inspektor einen von einem Agenten erzeugten Audit-Trail tatsächlich bewerten wird. Keines der beiden Unternehmen hat eine Anleitung zur Validierung von Agentenaktionen im GxP-Kontext veröffentlicht, und die Trust-Boundary-Formulierung ist keine.
Primärquellen. Salesforce-Pressemitteilung · Dokumentation Headless 360 MCP Server · Anthropic, Connect Salesforce · Trailhead, LLM Data Masking · Einstein Trust Layer · Q2-FY27-Zahlen · Editionsumbau · VentureBeat · Apex Hours · Atrium · Gibson Dunn zum Digital Omnibus
Tags: Claudeforce · Agentforce · Audit-Trail · GxP-Validierung · Annex 11 · Änderungskontrolle · Einkauf
Englische Fassung: Claude does the work. The audit trail says you did.