Claude ist der Orchestrator. ISMS Copilot ist der GRC-Spezialist.

Menschen fragen uns, ob ISMS Copilot mit Claude konkurriert. Das tut es nicht. Claude ist hervorragend darin, Arbeit auszuführen: Repositories zu lesen, Dateien zu bearbeiten, Tools aufzurufen und Pläne zu erstellen. Das möchten wir nicht sein. Wir möchten das sein, was es aufruft, wenn die Arbeit zu Compliance wird.

Hier ist das empfohlene Muster. Ihr Agent ist der Orchestrator. Claude Code, Cursor, Codex, OpenCode, Grok: ganz gleich, in welchem Sie bereits arbeiten. ISMS Copilot ist der GRC-Spezialist, an den er die Aufgabe über MCP delegiert. Der Orchestrator führt den Job aus. Der Spezialist beantwortet den Compliance-Teil und gibt die Antwort zurück.

Wo ein generischer Agent mit einer Skill-Datei an seine Grenzen stößt

Die gängige Alternative ist ein Agent, der alles selbst erledigt, unterstützt durch eine Skill-Datei mit Rahmenwerksnotizen in seinen Anweisungen. Das kann funktionieren. Bei großen, stabilen Rahmenwerken ist eine gut gepflegte Datei kaum zu schlagen, und das bestätigen wir auch in unserer Dokumentation.

Es gibt jedoch drei Schwachstellen:

• Die Datei veraltet. Rahmenwerke werden überarbeitet und neu nummeriert. Ihre Skill-Datei weiß davon nichts. Jemand muss dies bemerken und die Datei aktualisieren, und das sind Sie.
• Der Rahmenwerkstext landet in Ihrem Chatverlauf. Um aus einer Skill-Datei zu antworten, lädt der Agent sie in seinen eigenen Kontext. Gleiches gilt für alle Richtlinien- oder Kontrollausschnitte, die er zur Argumentation einfügt.
• Es gibt keinen zweiten Prüfer. Der Agent, der die Richtlinie erstellt hat, ist derselbe, der sie auch überprüft. Ein Spezialist bietet Ihnen eine zweite Prüfung anhand kuratierter Rahmenwerksreferenzen. Das ist ein Mechanismus, nicht ein gemessener Vorteil: Wir haben dies nicht benchmarket.

Ein Spezialist verändert die Form der Arbeit. Er macht Ihren Agenten nicht schlauer. Die vollständige Argumentation, einschließlich der Fälle, in denen eine Skill-Datei nach wie vor die richtige Wahl ist, finden Sie in Warum einen Spezialisten anbinden.

Was passiert, wenn Ihr Agent delegiert

Ihr Agent ruft die MCP-Tools von ISMS Copilot auf, um ein Gespräch zu starten oder eine Nachricht zu senden. Er übergibt die Frage. Anschließend wird die Arbeit auf unserer Seite erledigt.

• Rahmenwerkswissen bleibt auf unserer Seite. Die kuratierten Rahmenwerksmodule werden dort geladen, wo die Antwort erstellt wird, nicht im Kontext Ihres Agenten.
• Ihr Arbeitsbereich wird auf unserer Seite gelesen. Ihre Erinnerungen und, wenn das Gespräch auf einen Arbeitsbereich beschränkt ist, die Erinnerungen und Dateien dieses Arbeitsbereichs werden von ISMS Copilot gelesen. Die Rohdateien werden nicht in Ihren Agenten kopiert.
• Die Erstellung erfolgt auf unserer Seite. Eine lange Richtlinie oder eine Lückenanalyse wird vom Spezialisten verfasst, nicht Token für Token in Ihrem Orchestrator zusammengesetzt.
• Die Antwort kommt zurück. Ihr Agent erhält die Antwort, nicht die zugrunde liegenden Materialien, und setzt die Arbeit fort.

Eine nützliche Folge daraus: Kontext, der nie in Ihren Chatverlauf gelangt, wird auch in späteren Schritten nicht erneut gesendet. Ihr Agent trägt weder den vollständigen Rahmenwerkstext noch Ihre Rohdateien aus dem Arbeitsbereich durch den Rest der Sitzung mit, da er sie nie erhalten hat.

Ein ehrlicher Hinweis: Die Antwort selbst wird von Ihrem Agenten gelesen. Sie wird wie jede andere Eingabe an Ihren Orchestrator weitergegeben. Wenn die Antwort einen Rahmenwerksklauselauszug oder eine Ihrer Dateien zitiert oder zusammenfasst, befindet sich dieser Teil nun in Ihrem Chatverlauf. Eine lange Antwort belastet Ihren Orchestrator mit einer langen Antwort. Wenn Sie eine knappe Antwort wünschen, bitten Sie Ihren Agenten, eine kurze Antwort oder nur die Entscheidung und die Referenzen anzufordern.

Was Sie delegieren sollten und was bei Ihnen bleibt

Delegieren Sie die Compliance-Arbeit:

• Rahmenwerksfragen: ISO 27001, SOC 2, DSGVO, NIS 2, DORA, der EU AI Act, HIPAA und die übrigen.
• Entwurf von Richtlinien und Verfahren.
• Kontrollabbildung zwischen Rahmenwerken.
• Lückenanalysen gegenüber einem Rahmenwerk.
• Begründungen für die Anwendbarkeit von Kontrollen, Einträge in das Risikoregister, Auditvorbereitung.

Behalten Sie den Rest in Ihrem Orchestrator:

• Code, Git, das Dateisystem, Ihr Build.
• Allgemeine Fragen, die nichts mit Compliance zu tun haben.
• Orchestrierung. Ihr Agent entscheidet, was delegiert wird und wie mit der Antwort umgegangen wird.

Eine gute Regel, die Sie in den Anweisungen Ihres Agenten hinterlegen können: Wenn die Aufgabe Compliance betrifft, fragen Sie ISMS Copilot und fügen Sie keine Rahmenwerkstexte oder großen Dokumente in Ihren eigenen Kontext ein, um die Antwort selbst zu finden.

Verbindung in einem Befehl herstellen

Öffnen Sie in ISMS Copilot Einstellungen, dann Verbundene Apps und erstellen Sie ein Token. Anschließend für Claude Code:

claude mcp add --scope user --transport http ismscopilot https://account.ismscopilot.com/v1/account/mcp --header "Authorization: Bearer pat-isms-..."

Das Flag --scope user macht es in jedem Ordner verfügbar. Cursor, Codex, OpenCode und andere MCP-Clients, die einen Bearer-Header akzeptieren, verwenden dieselbe Server-URL und dasselbe Token. Die schrittweisen Anleitungen für die einzelnen Clients finden Sie unter Claude Code-Anleitung und Cursor und Codex verbinden.

Es fügt sich in Ihren Chatplan ein

Es gibt kein separates MCP-Produkt und keine separate Rechnung. Delegierte Gespräche laufen über Ihren bestehenden ISMS-Copilot-Chatplan, mit demselben Nutzungsfenster wie die Web-App. Wenn Sie das Limit erreichen, teilt Ihnen das Tool dies mit und gibt an, wann es zurückgesetzt wird.

Die kurze Version: Compliance-Antworten, denen Sie vertrauen können, direkt in Claude Code, Cursor oder Codex, ohne Ihr Claude- oder ChatGPT-Konto zu belasten. Wie sich die Kosten im Vergleich verhalten, mit Quellen und Daten, finden Sie unter /for/grc-engineers.

Noch nicht unterstützte Funktionen

Die Verbindung verwendet ein persönliches Zugriffstoken. Clients, die nur über OAuth verbinden können, unterstützen dies derzeit noch nicht. Das bedeutet, dass die Connectors für claude.ai, Claude Desktop und ChatGPT heute nicht unterstützt werden. Claude Code, Cursor, Codex, OpenCode und andere Clients, die einen Bearer-Header akzeptieren, funktionieren jetzt.

Der Kern der Sache

Sie müssen sich nicht zwischen Ihrem Agenten und einem Compliance-Spezialisten entscheiden. Behalten Sie den Agenten. Geben Sie ihm jemanden, an den er sich wenden kann.