Ich habe vor meinem Urlaub angekündigt, dass ich mein Büro zwei Wochen lang Claude Cowork überlasse. Jetzt bin ich zurück, habe alles durchgesehen, und die Bilanz ist eindeutig: 99 Prozent hat funktioniert. Mails beantwortet, Termine koordiniert, Smart-Home-Fehler gefunden und behoben. Das eine Prozent war eine Phishing-Nachricht, richtig gut gemacht, und Cowork hat sie nicht als solche erkannt. Genau dieses eine Prozent ist der Grund, warum das Setup trotzdem funktioniert hat. Ich zeige dir, wie ich die zwei Wochen aufgesetzt habe, was der Agent wirklich erledigt hat, wo die Grenze verlaufen ist und was ich beim nächsten Mal ändere. Beginnen muss man bei der Frage, was man einem Agenten überhaupt erlaubt.
Kurz zu den Begriffen
Claude Cowork ist Anthropics agentische Arbeitsumgebung für Wissensarbeit. Du beschreibst ein Ziel, Claude plant die Schritte, greift auf Dateien und verbundene Dienste zu und liefert ein Ergebnis. Der Unterschied zum Chat liegt in der Arbeitslogik, das habe ich in meinem Vergleich der beiden Claude-Modi ausführlich auseinandergenommen.
Connectoren sind die autorisierten Verbindungen zu Gmail, Google Calendar, Notion, Home Assistant und anderen Diensten. Sie sind der Grund, warum ein Agent überhaupt handeln kann. Und sie sind die Stelle, an der es heikel wird.
Draft-Modus nenne ich die Betriebsart, die ich für den Urlaub festgelegt habe: Der Agent darf alles vorbereiten, aber nichts nach außen senden. Jede Antwort landet als Entwurf, jede Terminzusage als Vorschlag, jeder Eingriff ins Smart Home wird vorher angefragt.
Was genau hat Cowork zwei Wochen lang gemacht?
Der Mac mini im Büro ist durchgelaufen, Claude Desktop offen, Connectoren aktiv. Vom Handy aus konnte ich jederzeit reinschauen und nachsteuern. Dieses Prinzip habe ich schon beschrieben, als aus einem alten Laptop plötzlich eine KI-Workstation wurde: Das Handy ist die Fernbedienung, der Rechner zuhause ist der Zugangspunkt.
Die Aufgabenbeschreibung war kein Roman. Sie lag als Kontextdatei im Arbeitsordner: wer meine Kunden sind, wie ich schreibe, welche Projekte laufen, was auf keinen Fall passieren darf. Wer wissen will, wie man diese Ordnerstruktur sauber anlegt, findet das in meinem Leitfaden zu Claude Cowork Schritt für Schritt.
Ein KI-Agent im Urlaub nimmt dir nicht die Entscheidung ab, er verschiebt sie: von der Bearbeitung ins Review.
Drei Dinge sind in den zwei Wochen gelaufen. Eingehende Mails wurden gelesen, eingeordnet und beantwortet, wobei die Antworten sauber als Entwürfe im Postfach lagen, mit passender Anrede, im richtigen Ton, mit den Informationen aus meinen Projektunterlagen. Terminanfragen wurden gegen den Kalender geprüft und mit Vorschlägen beantwortet. Und mein Home Assistant lief nicht nur weiter, er wurde auch repariert.
Warum ist „Entwurf statt Versand“ die wichtigste Einstellung?
Weil sie die Fehlerkosten von „Schaden“ auf „zwei Minuten Lesezeit“ senkt.
Das klingt nach einer Kleinigkeit in einem Einstellungsdialog. Es ist die zentrale Architekturentscheidung des ganzen Setups. Ein Agent, der senden darf, produziert Ergebnisse in der Welt. Ein Agent, der Entwürfe produziert, produziert Vorschläge in deinem Postfach. Der Zeitgewinn ist in beiden Fällen fast identisch, weil die Arbeit im Formulieren steckt und nicht im Klicken auf „Senden“. Das Risiko unterscheidet sich um Größenordnungen.
Dazu kommt ein Effekt, den ich vorher unterschätzt habe: Der Agent wird nicht besser, weil das Modell besser wird. Er wird besser, weil deine Kontextdatei besser wird. Jede Korrektur beim Review ist eine Information, die in die Datei gehört. Nach den ersten Tagen waren meine inhaltlichen Eingriffe deutlich seltener, weil ich beim Drüberschauen jedes Mal ergänzt habe, was gefehlt hat. Wer nur korrigiert und nichts zurückschreibt, korrigiert zwei Wochen lang denselben Fehler.
Anthropic formuliert in der offiziellen Dokumentation zum sicheren Einsatz von Cowork einen Satz, den man zweimal lesen sollte: Die Isolierung der Ausführungsumgebung begrenzt den Ort, an dem Claudes Code läuft. Was Claude über die freigegebenen Zugänge liest und tut, bleibt davon unberührt. Die Sandbox schützt deinen Rechner. Für deine Kundenbeziehung bist du zuständig, und zwar über die Berechtigungen, die du vergibst.
Wie hat Cowork die Terminanfragen gemanagt?
Besser, als ich erwartet habe. Termine sind eine Aufgabe mit klaren Regeln: Kalender lesen, freie Slots finden, Reisezeit mitdenken, höflich antworten. Das ist genau die Sorte Arbeit, die mich im Alltag aufhält, ohne dass sie eine einzige Entscheidung von mir verlangt. Ein Terminvorschlag ist reine Kombinatorik plus Umgangsform. Beides kann Claude.
Interessant wurde es bei den Anfragen, die keine reine Kombinatorik sind. Wenn jemand fragt, ob ich grundsätzlich für etwas zur Verfügung stehe, ist das keine Kalenderfrage, sondern eine unternehmerische. Cowork hat in diesen Fällen nicht selbst entschieden, sondern mir die Anfrage mit einer kurzen Einordnung hingelegt und darauf hingewiesen, dass hier eine Entscheidung ansteht, die er nicht treffen kann.
Ich schreibe das so ausführlich, weil das die Stelle ist, an der die meisten Leute Agenten unterschätzen. Die Fähigkeit, nicht zu handeln, ist wertvoller als die Fähigkeit, schnell zu handeln. Ein Assistent, der alles beantwortet, ist kein guter Assistent. Ein Assistent, der weiß, wann er dich fragen muss, schon.
Was ist mit dem Smart Home passiert?
Da wird es interessant, weil hier zum ersten Mal etwas passiert ist, das ich nicht beauftragt hatte.
Zuhause sind während meiner Abwesenheit Fehler in der Home-Assistant-Konfiguration aufgetreten. Cowork hat sie beim routinemäßigen Systemcheck bemerkt, mir eine Nachricht geschickt, die Ursache beschrieben und nach Freigabe auch behoben. Ich saß währenddessen definitiv nicht vor einem Bildschirm.
Genau solche Sachen fallen einem selbst erst nach Wochen auf, weil man beim eigenen Setup betriebsblind wird. Eine Automation, die still nicht mehr triggert, meldet sich nicht. Sie tut einfach nichts, und man merkt es beim dritten Mal, wenn das Licht nicht angeht. Ein Agent, der die Automation-History regelmäßig abfragt, merkt es beim ersten Mal.
Wie ich Claude an Home Assistant angebunden habe, inklusive der Sache mit dem eingeschränkten Benutzerkonto statt eines Admin-Tokens, steht in meinem Artikel darüber, wie KI und Home Assistant zusammenwachsen. Der Punkt daraus ist im Urlaubsbetrieb noch wichtiger als im Alltag: Ein langlebiges Zugriffstoken hat dieselben Rechte wie das Benutzerkonto, an dem es hängt. Wenn du zwei Wochen weg bist, ist das keine theoretische Überlegung mehr.
Was mich am meisten überzeugt hat: Der Agent hat mich nicht mit Meldungen zugeschüttet. Die proaktiven Nachrichten in diesen zwei Wochen waren an einer Hand abzuzählen, und jede davon war relevant. Wer schon einmal ein Home Assistant mit gut gemeinten Push-Benachrichtigungen betrieben hat, weiß, wie selten das ist.
Wo hat Cowork versagt?
Bei einer Phishing-Nachricht. Und zwar bei einer, die richtig gut gemacht war.
Sprachlich sauber, thematisch plausibel, kein Tippfehler, keine generische Anrede, kein Druckaufbau, der sofort auffällt. Cowork hat sie als legitime Geschäftskorrespondenz eingeordnet und einen freundlichen Antwortentwurf vorbereitet. Aufgefallen ist es mir beim Review. Nicht weil ich schlauer bin als das Modell, sondern weil ich Kontext hatte, den Claude nicht hatte: Ich weiß, mit wem ich in welcher Sache gerade tatsächlich etwas offen habe.
Wäre der Entwurf rausgegangen, wäre kein Geld geflossen und kein Passwort verloren gegangen. Aber eine Antwort bestätigt, dass da ein Mensch sitzt, der reagiert. Bei Business E-Mail Compromise ist das der erste Schritt einer längeren Kette, und die zweite Mail ist dann die, die weh tut.
Das deckt sich mit dem, was die europäische Cybersicherheitsagentur ENISA im Threat Landscape 2025 dokumentiert: Phishing bleibt mit rund 60 Prozent der beobachteten Fälle der dominante Einstiegsvektor, und über 80 Prozent der Social-Engineering-Kampagnen liefen schon Anfang 2025 mit KI-Unterstützung. Wir sind an dem Punkt, an dem Angriffsmails sprachlich sauberer formuliert sind als echte Geschäftspost.
Und weil das die naheliegende nächste Frage ist: Nein, ich halte das nicht für ein Argument gegen KI-Agenten. Ich halte es für ein Argument gegen Agenten mit Sendeberechtigung. Ein Sprachmodell bewertet Text. Phishing ist Text, der absichtlich so gebaut ist, dass er legitimen Text imitiert. Das ist keine Schwäche eines bestimmten Modells, das ist strukturell. Warum ich bei diesem Thema stur bleibe, auch wenn mir das regelmäßig Gegenwind einbringt, habe ich in meinem Text zur Sicherheitsdebatte rund um autonome Agenten begründet.
War die Zeitersparnis den Aufwand wert?
Die Zeitersparnis war enorm, und zwar an einer Stelle, die man vorher nicht auf dem Zettel hat.
Teuer wird nach zwei Wochen Abwesenheit die Aufholjagd: Postfach abarbeiten, herausfinden, was liegen geblieben ist, Termine nachverhandeln, die inzwischen woanders vergeben wurden. Diese Aufholjagd ist diesmal weitgehend ausgefallen, weil nichts liegen geblieben ist. Was auf mich gewartet hat, war Lesen und Freigeben.
Dem gegenüber steht der laufende Aufwand im Urlaub. Ich habe zweimal täglich reingeschaut, morgens und abends, jeweils kurz. Das ist ehrlich gesagt weniger, als ich sonst im Urlaub aufs Handy schaue, wenn ich mich frage, was gerade im Postfach passiert. Der Unterschied ist, dass dieses Reinschauen produktiv war.
Vorbereitung kostet natürlich auch etwas. Die Kontextdatei, die Berechtigungen, das Durchdenken der Grenzfälle: Das ist Arbeit, die vor dem Urlaub anfällt. Aber sie fällt einmal an. Beim nächsten Mal steht die Datei schon, und ich ergänze nur, was sich geändert hat.
Was mache ich beim nächsten Mal anders?
Vier Punkte stehen auf der Liste.
- Eine explizite Phishing-Regel in die Kontextdatei. Bei Nachrichten mit Zahlungsbezug, Rechnungsnummern oder Änderungen von Kontodaten wird die Absenderdomain zeichenweise gegen meine Kontaktliste geprüft und im Zweifelsfall als Verdachtsfall markiert, ohne dass ein Antwortentwurf entsteht. Ich bin mir nicht ganz sicher, ob das jede Variante abfängt. Diesen Fall hätte es abgefangen.
- Eine Liste der laufenden Vorgänge als Kontext. Der Grund, warum mir die Phishing-Nachricht aufgefallen ist, war Wissen über offene Themen. Genau dieses Wissen kann ich Claude vorher geben, statt es für selbstverständlich zu halten. Wenn der Agent weiß, welche Vorgänge offen sind, erkennt er auch, welche es nicht sind.
- Ein tägliches Kurzprotokoll statt einzelner Meldungen. Die proaktiven Nachrichten waren sparsam und relevant. Trotzdem hätte ich lieber einen strukturierten Tagesbericht, damit ich nicht selbst durch die Session scrollen muss, um den Überblick zu behalten.
- Engere Schreibrechte für Home Assistant. Läuft schon über ein eingeschränktes Konto. Ich will die Schreibrechte aber auf einen definierten Satz an Automationen begrenzen, statt breiten Zugriff zu geben und auf gute Entscheidungen zu hoffen.
Und im nächsten Urlaub?
Mach ich es wieder. Mit den vier Anpassungen von oben, am Grundprinzip ändere ich nichts.
Was ich niemandem empfehle: einem Agenten volle Sendeberechtigung geben und zwei Wochen wegfahren. Die Technik könnte das. Der Grund dagegen liegt woanders: Du bist der Einzige, der weiß, was in deinen Kundenbeziehungen gerade wirklich läuft. Diese eine Phishing-Nachricht hat mich nichts gekostet, weil zwischen Entwurf und Versand ein Mensch gesessen ist.
Wenn du selbst überlegst, ob du dein Büro im nächsten Urlaub delegierst: Fang mit einer Woche an, gib Leseberechtigung plus Entwürfe frei, und schreib eine ordentliche Kontextdatei. Der Rest ergibt sich beim Drüberschauen.
