Wie führen Sie KI-Coding-Agents wie Cursor und Claude Code im Entwicklerteam ein?
Kurz gesagt: Mit einem Pilot von 4–6 Wochen in einem Team und ein bis zwei Repositories. Sie legen eine gemeinsame Regeldatei an (AGENTS.md, CLAUDE.md oder Cursor-Regeln), definieren die Berechtigungen der Agents versioniert, lassen jede Änderung durch Pull-Request-Review und CI-Sicherheitschecks laufen und vergleichen die Kennzahlen mit einer Ausgangsmessung. Erst dann wird ausgerollt.
Zuletzt geprüft: 31.10.2026.
Coding Agents verändern zwei Dinge gleichzeitig: wie schnell Code entsteht und wie viel Code Ihr Review und Ihre Sicherheitsprüfungen verkraften müssen. BSI und ANSSI formulieren es deutlich: Wenn Entwicklungsteams produktiver werden, müssen Qualitätssicherung, AppSec und DevSecOps entsprechend mitwachsen (BSI/ANSSI, AI Coding Assistants, auf Englisch). Derselbe Bericht empfiehlt eine Evaluierungsphase, in der relevante Kennzahlen beobachtet werden. Die DORA-Forschung beschreibt KI als Verstärker: Sie vergrößert die vorhandenen Stärken und Schwächen einer Organisation (DORA 2025). Ein Pilot zeigt Ihnen, was bei Ihnen verstärkt wird.
- Umfang des Pilots. Ein Team, ein bis zwei Repositories, echte Aufgaben aus dem Backlog. Kein Demo-Projekt.
- Firmenkonten statt Privatkonten. BSI und ANSSI empfehlen, den unkontrollierten Zugang über private Accounts für die Softwareentwicklung zu untersagen und sicher konfigurierte Unternehmenskonten zu nutzen.
- Datennutzung. Prüfen Sie die Vertragsbedingungen: Nutzt der Anbieter Ihren Code oder Ihre Prompts zum Training? Welche Daten darf der Agent sehen?
- Mitbestimmung. Binden Sie die Betroffenen früh ein. BSI und ANSSI nennen ausdrücklich Personal- und Betriebsrat.
- Ausgangsmessung. Erheben Sie die Kennzahlen unten für die letzten 4–8 Wochen, damit Sie später vergleichen können.
| Woche | Schwerpunkt | Was Sie einrichten | Fertig, wenn … |
|---|---|---|---|
| 0 | Vorbereitung | Pilotteam und Repos, Firmenkonten, Prüfung der Datennutzung, Ausgangsmessung | Alle haben Zugang; die Ausgangswerte sind dokumentiert |
| 1 | Regeldateien und Kick-off | Gemeinsame AGENTS.md (oder CLAUDE.md / .cursor/rules) mit Build- und Testbefehlen, Konventionen, Architekturgrenzen und Sicherheitsregeln; Kick-off-Workshop für das Pilotteam | Agents halten Ihre Konventionen ein, ohne dass man sie erinnern muss |
| 2 | Berechtigungen | Versionierte Regeln zum Erlauben, Nachfragen und Verbieten; kein Zugriff auf Secrets und .env-Dateien; keine Produktionszugänge in der Agent-Umgebung; Bypass-Modi deaktiviert; zentral verwaltete Einstellungen, wo möglich | Neue Teammitglieder bekommen mit dem Klonen des Repos dieselben Grenzen |
| 3 | Pull-Request-Review | Geschützter Main-Branch, Pflicht-Reviews, Code Owners für sensible Pfade, kleine PRs, Label „KI-unterstützt“, PR-Vorlage: Was hat der Agent gemacht, was hat ein Mensch geprüft? | Keine Agent-Änderung landet ohne menschliche Freigabe in Main |
| 4 | CI und Sicherheitschecks | Pflicht-Statuschecks: Tests, statische Analyse (SAST), Abhängigkeits- und Secret-Scanning, Freigabeliste oder Review für neue Pakete | Ein fehlgeschlagener Check blockiert den Merge, egal wer den Code geschrieben hat |
| 5 | Einsatz ausweiten | Tests, Refactoring, Dokumentation, Bug-Triage; zweite Session für Fortgeschrittene (testgetriebenes Arbeiten mit Agents, Sub-Agents, MCP-Server mit geprüftem Zugriff) | Das Team nutzt Agents standardmäßig für passende Aufgaben |
| 6 | Messen und entscheiden | Vergleich mit der Ausgangsmessung, Feedback aus dem Team, einseitige Team-Richtlinie | Ausrollen, anpassen oder stoppen, auf Basis von Daten |
Wenig Zeit? In der 4-Wochen-Variante fassen Sie die Wochen 2 und 3 sowie 4 und 5 zusammen. Ausgangsmessung und Auswertungswoche bleiben.
- Wie das Projekt gebaut, getestet und gelintet wird, als exakte Befehle.
- Codestil und Benennung, mit einem kurzen Beispiel.
- Architekturgrenzen: welche Schichten welche aufrufen dürfen und welche Ordner tabu sind.
- Sicherheitsregeln: keine Secrets im Code, freigegebene Krypto- und Auth-Bibliotheken, Eingabevalidierung, „vor neuen Abhängigkeiten fragen“. Eine gute Vorlage ist der OpenSSF-Leitfaden für Anweisungen an KI-Code-Assistenten (Englisch).
- Definition of Done: Tests geschrieben und grün, Doku aktualisiert.
AGENTS.md ist ein offenes Format, eine Art „README für Agents“, das in über 60.000 Open-Source-Projekten genutzt wird. Claude Code liest CLAUDE.md-Dateien. Cursor nutzt Projektregeln in .cursor/rules und unterstützt ebenfalls AGENTS.md. Pflegen Sie eine Quelle und verweisen Sie aus den anderen darauf.
Wichtig: Regeldateien lenken den Agent, sie erzwingen nichts. Die Claude-Code-Dokumentation sagt es klar: Anweisungen in CLAUDE.md beeinflussen, was Claude versucht, ändern aber nicht, was Claude Code erlaubt (Berechtigungen). Durchgesetzt wird über Berechtigungen, Review und CI.
Claude Code prüft Berechtigungsregeln in fester Reihenfolge (verbieten, dann nachfragen, dann erlauben), und die Regeln lassen sich versioniert im Repository ablegen. Unternehmen können verwaltete Einstellungen verteilen, die einzelne Entwickler nicht überschreiben können, und den Bypass-Modus abschalten. Cursor und andere Tools haben eigene Entsprechungen. Das Prinzip ist überall gleich: eng starten, auf Basis von Erfahrung erweitern.
Nutzen Sie geschützte Branches Ihrer Git-Plattform: Pflicht-Reviews, Freigabe durch Code Owners und grüne Statuschecks vor dem Merge. Der ENISA-Entwurf hält fest, dass für KI-generierten Code dieselben Sicherheitsanforderungen und Prüfungen gelten sollen wie für Code von Menschen, inklusive Code-Review, Tests, SAST, DAST und Abhängigkeits-Scans (ENISA Technical Advisory on AI-assisted software development, Entwurf v0.4, September 2026, Englisch).
| Risiko | Was passieren kann | Gegenmaßnahme | Quelle |
|---|---|---|---|
| Prompt Injection | Text in einem Issue, einer README, einer Webseite oder einer Abhängigkeit gibt dem Agent neue Anweisungen | Externe Inhalte als Daten behandeln, Tools begrenzen, riskante Aktionen nur mit menschlicher Freigabe | OWASP LLM01:2025; OWASP Agentic Top 10 (ASI01) |
| Übermäßige Handlungsbefugnis | Der Agent hat mehr Funktionen, Rechte oder Autonomie als nötig | Enge Regeln, keine Produktionszugänge, Bypass-Modi aus | OWASP LLM06:2025 |
| Tool-Missbrauch, Rechteausweitung | Legitime Tools werden zerstörerisch genutzt; geleakte Zugangsdaten erweitern den Handlungsspielraum | Minimale Token-Rechte, Sandbox, protokollierte Tool-Aufrufe | OWASP Agentic Top 10 (ASI02, ASI03) |
| Halluzinierte oder bösartige Pakete | Der Agent schlägt ein nicht existierendes Paket vor; Angreifer registrieren genau diesen Namen („Slopsquatting“) | Freigegebene Registries, Freigabeliste oder Review für neue Pakete, Abhängigkeits-Scans, SBOM | BSI/ANSSI; ENISA zu Paketmanagern |
| Funktionierender, aber unsicherer Code | Der Code läuft, aber Sicherheitskontrollen fehlen | Sicherheitsregeln in der Regeldatei, SAST, Pflicht-Review | ENISA (Entwurf) |
| Datenabfluss | Secrets, Infrastrukturdetails oder Kundendaten landen in Prompts oder beim Anbieter | Firmenkonten, geprüfte Vertragsbedingungen, Secrets für den Agent gesperrt | BSI/ANSSI |
| Automation Bias | Überzeugend formulierter Code wird freigegeben, ohne verstanden zu sein | Reviewer müssen Änderungen verstehen und nachvollziehen können; kleine PRs | BSI/ANSSI |
| Unbelegte Sicherheitsaussagen | „Alle Checks bestanden“ oder „das ist sicher“ wird ohne Nachweis akzeptiert | CI-Nachweise im PR, nicht die Zusammenfassung des Agents | ENISA (Entwurf) |
| Zu wenig Review-Kapazität | Das Review kommt mit der Menge an KI-Code nicht hinterher | Review-Aufwand messen; AppSec und Review-Zeit mitskalieren | ENISA (Entwurf); BSI/ANSSI |
| Manipulierte Regeln, Skills oder MCP-Server | Eine veränderte Anweisungsdatei oder ein Tool verändert das Verhalten des Agents | Regeln, Skills und MCP-Server wie Code behandeln: Review, feste Versionen, vertrauenswürdige Quellen | ENISA (Entwurf); OWASP Agentic Top 10 (ASI04) |
| Bereich | Kennzahl | Warum |
|---|---|---|
| Lieferung | Durchlaufzeit von Änderungen, Deployment-Frequenz | Kommt Arbeit schneller in Produktion? (DORA-Metriken) |
| Stabilität | Fehlerquote von Änderungen, Wiederherstellungszeit, Nacharbeitsquote | Geht Tempo zulasten der Qualität? |
| Review-Aufwand | PR-Größe, Zeit bis zum ersten Review, Review-Stunden pro Woche | BSI/ANSSI nennen die Auslastung des Security-Teams als Kennzahl |
| Sicherheit | SAST- und Abhängigkeitsfunde pro PR, abgefangene Secrets, neue Abhängigkeiten | Deckt die Risiken aus der Tabelle oben ab |
| Kosten | Lizenzen plus Nutzung pro Entwickler und Monat | Hält den Business Case ehrlich |
| Nutzung und Erfahrung | Anteil KI-unterstützter PRs, kurze Teambefragung | Zeigt, ob das Tool wirklich genutzt wird |
Vergleichen Sie Woche 6 mit der Ausgangsmessung, nicht ein Team mit einem anderen.
| Intern | Agentur oder externer Trainer | |
|---|---|---|
| Passt, wenn | Eine erfahrene Person nutzt Agents schon täglich und hat Zeit für die Einführung | Niemand hat die Zeit, oder frühere Versuche sind versandet |
| Stärken | Tiefe Kenntnis der eigenen Codebasis, keine externen Kosten | Erprobtes Setup, schneller Start, Außenblick auf Sicherheit und Review |
| Risiken | Die Einführung konkurriert mit dem Tagesgeschäft; Gewohnheiten bleiben individuell | Wissen geht mit dem Trainer, wenn es nicht aufgezeichnet und dokumentiert wird |
| Gute Kombination | Interne Verantwortliche führen Pilot und Richtlinie | Kick-off- und Fortgeschrittenen-Workshop, aufgezeichnet für neue Kolleginnen und Kollegen |
Made By Agents bietet Coding-Agent-Workshops für Entwicklerteams an: Cursor, Claude Code, Repo-Agents, Review-Schleifen und die Leitplanken, die produktionsreife Ergebnisse sichern. Sessions werden stundenweise gebucht, zu einem Festpreis, den Sie nach einem kostenlosen Discovery Call erhalten. Team-Workshops gibt es als halben oder ganzen Tag, auf Deutsch oder Englisch, meist remote und auf Anfrage auch vor Ort. Die Workshops können bei null anfangen und arbeiten mit Ihrem Stack.
Eine veröffentlichte, anonymisierte Referenz beschreibt eine Remote-Workshopreihe zu Setup, Grundlagen, Kontext und Regeln, Prompt- und Modellmanagement, Memory, MCP-Servern, Sub-Agents und fortgeschrittenen Workflows, inklusive KI-gestütztem TDD, Review, Sicherheit und Refactoring. Die Sessions wurden aufgezeichnet, damit neue Mitarbeitende nachholen konnten (Referenzen). Jede Session findet direkt mit Tobias Wupperfeld statt. Er baut täglich KI-Systeme, hat mehr als 5 Jahre Erfahrung in der KI-Entwicklung und ist Head of AI bei JAN3.
Praktische Tipps finden Sie in 3 Dokumentations-Tricks für Cursor, in AI Pair Programming Best Practices (TDD und Memory Bank) und in Vibe-Coded Apps absichern. Alle drei Artikel sind auf Englisch.
Wie lange dauert die Einführung von KI-Coding-Agents im Team?
Planen Sie einen Pilot von 4–6 Wochen mit einem Team und ein bis zwei Repositories. Danach entscheiden Sie anhand der Kennzahlen aus der Ausgangsmessung.
Cursor, Claude Code oder Codex: welches Tool?
Die Schritte sind bei allen gleich. Wählen Sie, was zu Team und Stack passt, und nutzen Sie Firmenkonten statt privater Accounts.
Was ist eine AGENTS.md oder CLAUDE.md?
Eine Datei im Repository, die Coding Agents erklärt, wie Ihr Projekt funktioniert: Befehle, Konventionen, Grenzen und Sicherheitsregeln. AGENTS.md ist ein offenes Format, das in über 60.000 Open-Source-Projekten genutzt wird.
Dürfen Coding Agents Befehle ausführen?
In Grenzen: klare Regeln zum Erlauben, Nachfragen und Verbieten, keine Secrets oder Produktionszugänge, jede Änderung durch Review und CI. OWASP führt Excessive Agency als Top-Risiko.
Was empfehlen BSI und ENISA?
BSI und ANSSI: KI-Assistenten ersetzen keine erfahrenen Entwickler, vor der Einführung braucht es eine Risikoanalyse, und generierter Code gehört geprüft und nachvollzogen. ENISA (Entwurf): dieselben Prüfungen wie für Code von Menschen.
Woran messen wir den Erfolg?
An einem Vorher-nachher-Vergleich der DORA-Kennzahlen, des Review-Aufwands, der Sicherheitsfunde, neuer Abhängigkeiten und der Kosten pro Entwickler.
Selbst machen oder externe Unterstützung holen?
Intern klappt es mit einer erfahrenen, freigestellten Person. Viele Teams kombinieren: ein Workshop zum Start, interne Verantwortliche für den Betrieb.
Sie planen die Einführung? Buchen Sie einen kostenlosen Discovery Call (20 Minuten). Wir finden das passende Format, gern auf Deutsch: einen halb- oder ganztägigen Coding-Agent-Workshop, ein Stack-Review oder ein unternehmensweites Deep AI Audit.
Zu den Sessions und Workshops →
Zuletzt geprüft: 31.10.2026 von Tobias Wupperfeld.