1Password für Claude beantwortet eine Frage, die mir seit Monaten im Nacken sitzt: Was passiert eigentlich mit meinen Zugangsdaten, wenn ein KI-Agent für mich im Browser arbeitet? Die bisherige Antwort war unbefriedigend, weil sie meist auf „gib ihm halt das Passwort“ hinauslief. Die neue Integration dreht das um. Der Agent bedient die Seite, den Login übernimmt der Tresor.
- 1Password füllt Anmeldedaten direkt ins Formular, Claude sieht weder Passwort noch Einmalcode und bekommt nur die Rückmeldung, dass die Anmeldung geklappt hat.
- Jede Abfrage von Zugangsdaten muss per Fingerabdruck oder Gesichtserkennung freigegeben werden. Die Freigabe gilt nur für die laufende Aufgabe und verfällt spätestens nach neun Stunden.
- Im neuen Agentic Mode wird der übrige Tresor verriegelt, solange die KI den Browser steuert.
- Gegen Prompt-Injection hilft das Konzept nicht: Wer den Agenten in einer bereits angemeldeten Sitzung manipuliert, braucht das Passwort gar nicht.
Der Agent klickt, der Tresor tippt
Das Prinzip nennt 1Password Zero Exposure: Die Zugangsdaten bleiben verschlüsselt im Tresor und gelangen zu keinem Zeitpunkt in den Kontext oder Speicher des Sprachmodells. Wenn Claude auf einer Seite einen Login braucht, spielt 1Password die Daten direkt ins Formular. Zurück an den Agenten geht nur die Information, dass die Anmeldung funktioniert hat. Passwort, Einmalcode und Mehrfaktor-Details sieht er nie, beschreibt BornCity die Funktionsweise.
Dazu kommt eine Bremse, die mir noch besser gefällt: Jede einzelne Anfrage nach Zugangsdaten muss ich biometrisch bestätigen, per Fingerabdruck oder Gesichtserkennung. Die Freigabe hängt an der konkreten Aufgabe und erlischt automatisch, wenn die Aufgabe fertig ist, der Browser zugeht oder spätestens nach neun Stunden. Einen dauerhaften Zugriff gibt es nicht.
Agentic Mode: Tresor zu, solange die KI arbeitet
Herzstück ist ein Sicherheitszustand namens Agentic Mode. Sobald die KI die Kontrolle über den Browser übernimmt, verriegelt 1Password den restlichen Tresor, damit der Agent nicht nebenbei an anderen Einträgen schnüffelt. Zusätzlich prüft das System, ob vertrauliche Informationen in den KI-Dialog oder in den Seitenkontext gerutscht sind. Für Firmen gibt es den Notausschalter: Administratoren können das automatische Ausfüllen durch KI-Agenten komplett sperren.
Man merkt der Architektur an, dass sie aus einer Zeit stammt, in der KI-Agenten kein Laborthema mehr sind. Laut einer YouGov-Umfrage würden 68 Prozent der US-Amerikaner eine KI nicht ohne ausdrückliche Zustimmung in ihrem Namen handeln lassen. Und in einer Erhebung unter mehr als 800 Unternehmen gaben 98 Prozent an, bereits störende Vorfälle im Zusammenhang mit KI erlebt zu haben. Das Misstrauen ist da, 1Password verkauft die passende Antwort darauf.
Das Passwort ist sicher, die Sitzung nicht
Hier kommt der Haken, und er ist erheblich. Zero Exposure schützt die Zugangsdaten, nicht die angemeldete Sitzung. Wer einen Agenten per Prompt-Injection manipuliert, während der bereits eingeloggt ist, braucht das Passwort überhaupt nicht mehr. Er lässt die KI einfach im fremden Namen handeln. Prompt Injection = Anweisungen, die in einer Webseite oder einem Dokument versteckt sind und die der Agent für einen Auftrag seines Nutzers hält.
Im Frühjahr hat ein von Claude gesteuerter Agent in weniger als zehn Sekunden versehentlich eine Produktionsdatenbank gelöscht. Dafür brauchte es keine gestohlenen Zugangsdaten, sondern nur eine Sitzung mit zu vielen Rechten.
Das ist kein Argument gegen die Integration, im Gegenteil. Es ist ein Argument dafür, sie nicht als Freibrief zu lesen. Wir haben hier zuletzt beschrieben, wie Werkzeuge mit Datei- und Shell-Zugriff zur neuen Angriffsfläche werden, und wie schnell aus einem Assistenzsystem ein politisches Streitobjekt wird. 1Password schließt eine konkrete Lücke sauber. Die Frage, welche Rechte ein Agent in einer offenen Sitzung überhaupt haben sollte, bleibt davon unberührt.
Wer es heute schon nutzen kann
Der Start ist überschaubar: zunächst nur für Mac-Nutzer, in den Tarifen Individual, Family und Business. Vorausgesetzt werden die 1Password-Desktop-App samt Browser-Erweiterung ab Version 8.12.28 sowie die Claude-Desktop-Anwendung. Unterstützt werden vorerst Logins und Einmalpasswörter, Zahlungskarten und Ausweisdaten sollen später folgen. Diese Reihenfolge ist vernünftig, denn beim automatischen Ausfüllen von Kreditkarten hört bei mir der Spaß auf, egal wie gut die Architektur ist.
Ich werde es mir ansehen, weil dieser Blog täglich mit Claude Code entsteht und ich genau weiß, wie verlockend die Abkürzung „Zugangsdaten einfach ins Terminal“ ist. Wer solche Agenten ernsthaft einsetzt, sollte den Schritt mitgehen. Wer sie nur ausprobiert, sollte sie vorerst von allem fernhalten, was echtes Geld oder echte Kundendaten berührt. Zu den Grundlagen für alles andere haben wir die üblichen Hausaufgaben ohnehin schon aufgeschrieben.
Was dabei oft gefragt wird
Sieht Claude mein Passwort bei dieser Integration?
Nein. 1Password füllt die Zugangsdaten direkt in das Anmeldeformular. Der Agent erhält nur die Rückmeldung, dass die Anmeldung erfolgreich war, und bekommt weder Passwort noch Einmalcode oder Mehrfaktor-Details zu sehen.
Was ist der Agentic Mode in 1Password?
Ein Sicherheitszustand, der aktiv wird, sobald die KI den Browser steuert. Der übrige Tresor wird verriegelt, und das System prüft, ob vertrauliche Daten in den KI-Dialog oder den Seitenkontext gelangt sind.
Schützt die Integration vor Prompt-Injection?
Nicht vollständig. Geschützt sind die Zugangsdaten selbst. Wird ein Agent in einer bereits angemeldeten Sitzung manipuliert, kann er trotzdem unerwünschte Aktionen ausführen, ohne das Passwort zu kennen.
Welche Voraussetzungen gelten für 1Password für Claude?
Zum Start nur macOS, in den Tarifen Individual, Family und Business. Nötig sind die 1Password-Desktop-App mit Browser-Erweiterung ab Version 8.12.28 und die Claude-Desktop-Anwendung. Unternehmen können das Ausfüllen durch KI-Agenten zentral sperren.
