Claude ist der Orchestrator. ISMS Copilot ist der GRC-Spezialist.

Menschen fragen uns, ob ISMS Copilot mit Claude konkurriert. Das tut es nicht. Claude ist hervorragend darin, Arbeit auszuführen: Repositories zu lesen, Dateien zu bearbeiten, Tools aufzurufen und Pläne zu erstellen. Das möchten wir nicht sein. Wir möchten das sein, was es aufruft, wenn die Arbeit zu Compliance wird.

Hier ist das empfohlene Muster. Ihr Agent erledigt die Arbeit. ISMS Copilot ist der Compliance-Experte, den er konsultiert und von dem er diese Arbeit prüfen lässt. Sie entscheiden und unterzeichnen. Ihr Agent ist der Orchestrator: Claude Code, Cursor, Codex, OpenCode, Grok, ganz gleich, in welchem Sie bereits arbeiten. Er ruft ISMS Copilot über MCP auf, wenn die Arbeit zu Compliance wird, und erneut, bevor Compliance-Arbeit final ist, damit ein zweiter Leser sie prüft.

Wo ein generischer Agent mit einer Skill-Datei an seine Grenzen stößt

Die gängige Alternative ist ein Agent, der alles selbst erledigt, unterstützt durch eine Skill-Datei mit Rahmenwerksnotizen in seinen Anweisungen. Das kann funktionieren. Bei großen, stabilen Rahmenwerken ist eine gut gepflegte Datei kaum zu schlagen, und das bestätigen wir auch in unserer Dokumentation.

Es gibt jedoch drei Schwachstellen:

• Die Datei veraltet. Rahmenwerke werden überarbeitet und neu nummeriert. Ihre Skill-Datei weiß davon nichts. Jemand muss dies bemerken und die Datei aktualisieren, und das sind Sie.
• Der Rahmenwerkstext landet in Ihrem Chatverlauf. Um aus einer Skill-Datei zu antworten, lädt der Agent sie in seinen eigenen Kontext. Gleiches gilt für alle Richtlinien- oder Kontrollausschnitte, die er zur Argumentation einfügt.
• Es gibt keinen zweiten Prüfer. Der Agent, der die Richtlinie erstellt hat, ist derselbe, der sie auch überprüft. Ein Spezialist bietet Ihnen eine zweite Prüfung anhand kuratierter Rahmenwerksreferenzen. Das ist ein Mechanismus, nicht ein gemessener Vorteil: Wir haben dies nicht benchmarket.

Ein Spezialist verändert die Form der Arbeit. Er macht Ihren Agenten nicht schlauer. Die vollständige Argumentation, einschließlich der Fälle, in denen eine Skill-Datei nach wie vor die richtige Wahl ist, finden Sie in Warum einen Spezialisten anbinden.

Was passiert, wenn Ihr Agent ISMS Copilot aufruft

Ihr Agent ruft die MCP-Tools von ISMS Copilot auf, um ein Gespräch zu starten oder eine Nachricht zu senden. Er übergibt die Frage oder den Text, den er prüfen lassen möchte. Anschließend erfolgt die Compliance-Beurteilung auf unserer Seite.

• Rahmenwerkswissen bleibt auf unserer Seite. Die kuratierten Rahmenwerksmodule werden dort geladen, wo die Antwort erstellt wird, nicht im Kontext Ihres Agenten.
• Ihr Arbeitsbereich wird auf unserer Seite gelesen. Ihre Erinnerungen und, wenn das Gespräch auf einen Arbeitsbereich beschränkt ist, die Erinnerungen und Dateien dieses Arbeitsbereichs werden von ISMS Copilot gelesen. Die Rohdateien werden nicht in Ihren Agenten kopiert.
• Entwürfe, die Sie anfordern, entstehen auf unserer Seite. Wenn Ihr Agent eine lange Richtlinie oder eine Lückenanalyse anfordert, verfasst der Spezialist sie, nicht Ihr Orchestrator Token für Token.
• Die Antwort kommt zurück. Ihr Agent erhält die Antwort, nicht die zugrunde liegenden Materialien, und setzt die Arbeit fort.

Eine nützliche Folge daraus: Kontext, der nie in Ihren Chatverlauf gelangt, wird auch in späteren Schritten nicht erneut gesendet. Ihr Agent trägt weder den vollständigen Rahmenwerkstext noch Ihre Rohdateien aus dem Arbeitsbereich durch den Rest der Sitzung mit, da er sie nie erhalten hat.

Ein ehrlicher Hinweis: Die Antwort selbst wird von Ihrem Agenten gelesen. Sie wird wie jede andere Eingabe an Ihren Orchestrator weitergegeben. Wenn die Antwort einen Rahmenwerksklauselauszug oder eine Ihrer Dateien zitiert oder zusammenfasst, befindet sich dieser Teil nun in Ihrem Chatverlauf. Eine lange Antwort belastet Ihren Orchestrator mit einer langen Antwort. Wenn Sie eine knappe Antwort wünschen, bitten Sie Ihren Agenten, eine kurze Antwort oder nur die Entscheidung und die Referenzen anzufordern.

Was Sie senden sollten und was bei Ihnen bleibt

Senden Sie die Compliance-Arbeit:

• Rahmenwerksfragen: ISO 27001, SOC 2, DSGVO, NIS 2, DORA, der EU AI Act, HIPAA und die übrigen.
• Entwurf von Richtlinien und Verfahren.
• Kontrollabbildung zwischen Rahmenwerken.
• Lückenanalysen gegenüber einem Rahmenwerk.
• Begründungen für die Anwendbarkeit von Kontrollen, Einträge in das Risikoregister, Auditvorbereitung.
• Prüfungen: ein Register, eine Richtlinie oder eine Audit-Antwort, die Ihr Agent entworfen hat, bevor sie final ist.

Behalten Sie den Rest in Ihrem Orchestrator:

• Code, Git, das Dateisystem, Ihr Build.
• Allgemeine Fragen, die nichts mit Compliance zu tun haben.
• Orchestrierung. Ihr Agent entscheidet, was gesendet wird und wie mit der Antwort umgegangen wird.

Eine gute Regel, die Sie in den Anweisungen Ihres Agenten hinterlegen können: Wenn die Aufgabe Compliance betrifft, fragen Sie ISMS Copilot, statt aus dem Gedächtnis zu antworten, und lassen Sie Compliance-Arbeit prüfen, bevor sie final ist. Senden Sie für eine Prüfung den vollständigen Text, ohne Geheimnisse und nicht benötigte personenbezogene Daten, und geben Sie an, welche Teile nicht geprüft wurden. Fügen Sie keine Rahmenwerkstexte ein: ISMS Copilot bringt sie mit.

Verbindung in einem Befehl herstellen

Öffnen Sie in ISMS Copilot Einstellungen, dann Verbundene Apps und erstellen Sie ein Token. Anschließend für Claude Code:

claude mcp add --scope user --transport http ismscopilot https://account.ismscopilot.com/v1/account/mcp --header "Authorization: Bearer pat-isms-..."

Das Flag --scope user macht es in jedem Ordner verfügbar. Cursor, Codex, OpenCode und andere MCP-Clients, die einen Bearer-Header akzeptieren, verwenden dieselbe Server-URL und dasselbe Token. Die schrittweisen Anleitungen für die einzelnen Clients finden Sie unter Claude Code-Anleitung und Cursor und Codex verbinden.

Es fügt sich in Ihren Chatplan ein

Es gibt kein separates MCP-Produkt und keine separate Rechnung. Delegierte Gespräche laufen über Ihren bestehenden ISMS-Copilot-Chatplan, mit demselben Nutzungsfenster wie die Web-App. Wenn Sie das Limit erreichen, teilt Ihnen das Tool dies mit und gibt an, wann es zurückgesetzt wird.

Was wir gemessen haben: In unserem präregistrierten Test (2026-09-28, jeweils 3 Durchläufe, Claude Code 2.1.283 mit claude-sonnet-5, Web-Tools für beide Setups verfügbar, Lösungsschlüssel aus offiziellen Quellen) erzielte Claude Code in Delegation an ISMS Copilot dieselbe Punktzahl wie Claude Code bei eigenständiger Recherche bei 20 Kennungsabfragen über fünf Frameworks (ISO 27001, ISO 42001, CMMC, DORA RTS, NIS2), wobei weniger Claude-Tokens pro richtiger Antwort verbraucht wurden. Die Nutzung des ISMS Copilot-Plans wird dabei nicht mitgezählt, und delegierte Aufrufe werden auf Ihren ISMS Copilot-Plan angerechnet. Bei einer langen gemischten Coding- und Compliance-Sitzung gab es keine Einsparung, und kleine Aufgaben, die Claude bereits kennt, verursachen höhere Kosten bei Delegation (wo Delegation nicht hilft), daher sollten Sie diese in Ihrem Agenten behalten. Die Methode und ihre Grenzen finden Sie auf der Benchmark-Seite. Modell-API-Tarife mit Quellen und Daten sind unter /developers/models-and-data verfügbar.

Welche Clients sich verbinden

claude.ai- und Claude-Desktop-Connectoren, Claude Code und ChatGPT (als benutzerdefinierte MCP-App) verbinden sich, indem Sie die Server-URL hinzufügen, sich bei ISMS Copilot anmelden und auf Approve klicken. Cursor, Codex, OpenCode und CI-Jobs verwenden ein persönliches Zugriffstoken, das als Bearer-Header gesendet wird.

Der Kern der Sache

Sie müssen sich nicht zwischen Ihrem Agenten und einem Compliance-Spezialisten entscheiden. Behalten Sie den Agenten. Geben Sie ihm jemanden, an den er sich wenden kann, und jemanden, der seine Arbeit prüft.