Glossareintrag
Wir denken. KI tippt mit.
Ein Plugin bei KI/AI (auch Plug-in, englisch AI Plugin) ist ein Erweiterungspaket, das einem KI-Assistenten wie ChatGPT, Codex oder Claude Code neue Funktionen hinzufügt, ohne dass der Anbieter sein Programm dafür umbaut. Der Nutzer installiert das Paket mit wenigen Klicks aus einem Verzeichnis. Danach legt der Assistent zum Beispiel Trello-Karten an, durchsucht das E-Mail-Postfach oder arbeitet eine feste Routine für Angebote ab.
Ein KI-Plugin ist ein Bündel, kein einzelner Baustein. Darin unterscheidet es sich von einem Connector (der Verbindung zu genau einem Dienst) und von einem einzelnen MCP-Server. Typische Bestandteile sind Skills (Arbeitsanweisungen in Textform), Connectors oder Apps (Anbindungen an Dienste wie Gmail, Slack oder GitHub), MCP-Server (technische Werkzeugschnittstellen) und Hooks (kleine Automatiken, die an festen Punkten im Ablauf laufen). Bei Claude Code kommen Subagenten dazu. OpenAI erklärt in seiner deutschen Hilfe zu Plugins in ChatGPT und Codex, dass Plugins „wiederverwendbare Anweisungen, verbundene Tools und weitere Funktionen bündeln“. Anthropic nennt in der Claude-Code-Dokumentation Skills, Agents, Hooks und MCP-Server als Inhalt eines Plugins.
Der Begriff stammt aus der klassischen Software. Der Duden führt „Plug-in“ als Hauptschreibung und erklärt es als „kleines Softwareprogramm, das in eine größere Anwendung integriert werden kann“. Die KI-Anbieter schreiben überwiegend „Plugin“ ohne Bindestrich, nur die deutsche OpenAI-Hilfe nutzt „Plug-In“. (Hinweis: Verwechselbar mit WordPress-Plugins und Browser-Plugins, die ein Redaktionssystem oder einen Browser erweitern, nicht einen KI-Assistenten.)
Am 23. März 2023 stellte OpenAI die ersten ChatGPT-Plugins vor, zunächst als Alpha für Wartelisten-Nutzer und Plus-Abonnenten, mit Partnern wie Expedia, Kayak, Klarna, Wolfram und Zapier. Schon dieser Beitrag hält fest, dass die Verbindung von Sprachmodellen mit externen Werkzeugen „significant new risks“ mit sich bringt. Ab dem 19. März 2024 ließen sich keine neuen Plugins mehr installieren, laufende Plugin-Chats endeten am 9. April 2024 (Wortlaut der Abschaltmeldung im OpenAI-Entwicklerforum). An ihre Stelle traten die im November 2023 eingeführten GPTs und ab Oktober 2025 die Apps in ChatGPT, deren Apps SDK auf dem Model Context Protocol aufbaut.
Am 9. Juli 2026 kehrte das Wort zurück. OpenAI ersetzte laut seinen ChatGPT-Versionshinweisen das App-Verzeichnis durch das Plugin Directory, bestehende App-Verbindungen blieben erhalten. In Codex (dem Programmier-Agenten von OpenAI) gab es Plugins bereits seit der CLI-Version 0.117.0 vom 26. März 2026. Beide Produkte nutzen laut OpenAIs Entwicklerdokumentation denselben öffentlichen Plugin-Katalog. Importierte Plugins mit eigenem MCP-Server tragen dort das Label „Desktop only“ und laufen nicht im Browser. Ein Plugin bei OpenAI besteht laut Hilfe aus Skills, Apps und App-Vorlagen für Administratoren, die Entwicklerdokumentation nennt zusätzlich MCP-Server und Hooks. Eine App verbindet laut derselben Hilfe ChatGPT mit einem externen Dienst wie Google Drive oder Slack, ein Plugin verpackt Fähigkeiten zu einem Arbeitsablauf und kann eine oder mehrere Apps, Skills oder beides enthalten. Am 2. Juni 2026 veröffentlichte OpenAI sechs rollenspezifische Plugins für Datenanalyse, Vertrieb, Kreativproduktion, Produktdesign, Investment Banking und Aktienanalyse, die zusammen 62 Apps und 110 Skills bündeln. Seit dem 20. August 2026 liest und beantwortet das Apple-Messages-Plugin iMessage-Unterhaltungen auf dem Mac (in ChatGPT Work und Codex), seit dem 3. September 2026 gibt es Plugins für Zendesk und OneNote als Beta.
Anthropic hat Plugins für Claude Code am 9. Oktober 2025 als öffentliche Beta vorgestellt. Claude Code Plugins werden über Marketplaces verteilt. Ein Marketplace ist ein Katalog in Form einer Datei namens marketplace.json, die in einem beliebigen Git-Repository liegen kann. Der Nutzer fügt den Katalog per Befehl /plugin hinzu und installiert daraus einzelne Pakete, in der Desktop-App und in Visual Studio Code läuft dasselbe über ein Menü. Den offiziellen Marketplace von Anthropic bindet Claude Code beim ersten Start automatisch ein, sein Katalog ist auch unter claude.com/plugins durchsuchbar. Dessen Katalogdatei listet am 7. September 2026 291 Plugins, die des Community-Marketplace 2.282, dort fast jedes nach einer automatischen Prüfung auf einen festen Code-Stand festgelegt. Für Firmen gibt es verwaltete Einstellungen, mit denen Administratoren erlaubte Marktplätze vorgeben oder sperren.
Seit dem 30. Januar 2026 gibt es Plugins auch außerhalb des Terminals. Anthropic brachte sie in Claude Cowork (den Arbeitsbereich für Nicht-Programmierer), zunächst mit elf quelloffenen Plugins, darunter für Vertrieb, Finanzen, Recht, Marketing, Kundendienst und Produktmanagement. In claude.ai und der Desktop-App verwaltet der Nutzer sie im Menü „Customize“. In der deutschen Claude-Hilfe heißt es, Plugins „passen an, wie Claude für Ihre Rolle, Ihr Team und Ihr Unternehmen funktioniert“. Hooks und Subagenten laufen dort nur in Cowork, nicht im normalen Chat.
Die übrigen Hersteller nennen dasselbe Prinzip anders. Google nennt die Pakete für seinen Terminal-Agenten Gemini CLI Extensions (Prompts, MCP-Server, Befehle, Hooks, Subagenten und Skills). In der Gemini-App heißen die Anbindungen an Gmail oder Kalender verbundene Apps, und die Entwicklungsumgebung Antigravity spricht wieder von Plugins. Der Code-Editor Cursor führt Plugins mit eigenem Marketplace, Amazons Agent Kiro nennt sie Powers. Microsoft unterscheidet in der deutschen Dokumentation zu Microsoft 365 Copilot zwischen Agents, „Aktionen (Plug-Ins)“ und Copilot-Connectors. GitHub schaltete seine Copilot Extensions am 10. November 2025 ab und verweist Entwickler seitdem auf MCP-Server.
Diese Vielfalt an Formaten soll der offene Standard Agent Plugins 1.0 vom 6. August 2026 vereinheitlichen. Die Einigung auf das gemeinsame Plugin-Format tragen Amazon, Cursor, Microsoft, OpenAI und Vercel, Google kam als weiterer Kern-Betreuer hinzu. Ein Plugin nach diesem Standard ist ein Ordner mit einer Manifest-Datei plugin.json, einem Unterordner mit Skills nach dem Agent-Skills-Standard vom Dezember 2025 und optional einer mcp.json mit Server-Konfigurationen. Die Spezifikation regelt nur die Verpackung. Installation, Berechtigungen, Signaturen und Verzeichnisse lässt sie offen. Anthropic gehört nicht zu den Trägern, Claude Code behält sein eigenes Format. Amazon hat sein Amazon Selling Partner Plugin für Claude in diesem Format gebaut (elf Skills plus ein MCP-Server), Claudes Verzeichnis führt es trotzdem als Connector. OpenAI pflegt eine Anleitung zum Umwandeln von Claude-Plugins, in der es festhält, dass Freigaben aus dem Claude-Marketplace nicht übertragbar sind.
Plugins führen Code auf dem Rechner oder im Konto des Nutzers aus. Anthropic schreibt in der Plugin-Dokumentation, Plugins und Marketplaces könnten „arbitrary code on your machine with your user privileges“ ausführen. Das Unternehmen prüfe nicht, ob die enthaltenen MCP-Server und Dateien tun, was sie versprechen. OpenAI vergibt nach einer Prüfung das Abzeichen „OpenAI Verified“, hält aber in der Plugin-Hilfe fest, dass es die eigene Datenschutz- und Sicherheitsprüfung einer Firma nicht ersetzt. Hooks aus Plugins stuft Codex laut seiner Hooks-Dokumentation standardmäßig als nicht vertrauenswürdig ein, der Nutzer muss sie einzeln freigeben. Im September 2025 fand Koi Security mit postmark-mcp den ersten bösartigen MCP-Server, der nach 15 unauffälligen Versionen jede verschickte E-Mail heimlich an eine Angreifer-Adresse kopierte (technische Analyse von Snyk). Ein Audit von Snyk über 3.984 frei verfügbare Skills fand im Februar 2026 in 36,82 Prozent mindestens eine Schwachstelle und 76 bestätigt bösartige Pakete, die Zugangsdaten stahlen oder Hintertüren öffneten. Check Point beschrieb mit CVE-2025-59536, wie präparierte Projektdateien in Claude Code Befehle ausführen konnten, bevor der Nutzer dem Projekt vertraut hatte. Der Angriffsweg über versteckte Anweisungen in Plugin-Inhalten ist die Prompt Injection.
Die Plugins selbst kosten in den Verzeichnissen von OpenAI und Anthropic in der Regel nichts, der Zugang hängt am Tarif. Bei Claude stehen sie in claude.ai allen Bezahlplänen offen, Details nennt die Claude-Hilfe zu Plugins. Bei OpenAI hängt der Umfang vom Plan und der Freigabe durch den Workspace-Administrator ab. Ein installiertes Plugin belegt außerdem Platz im Kontextfenster, weil seine Anweisungen bei jeder Anfrage mitgelesen werden. Claude Code zeigt diese Kontextkosten vor der Installation an. Verwandte Begriffe sind Function Calling (der Mechanismus, mit dem ein Modell ein Werkzeug aufruft) und der KI-Agent, der diese Werkzeuge in mehreren Schritten selbstständig einsetzt. Einreichen dürfen bei Anthropic seit dem 25. September 2026 alle Bezahltarife über ein Portal, mit automatischem Sicherheits-Scan und höchstens 10 Einreichungen je 24 Stunden, Details im Artikel zum Claude Marketplace und zum Einreichungsportal.
Für einen Handwerksbetrieb zählen die Plugins in ChatGPT, in der Gemini-App und in Claude Cowork, nicht die für Claude Code oder Codex. Die beiden Programmier-Agenten richten sich an Entwickler. Wer im Büro E-Mails, Termine, Rechnungen und Baustellen im Blick behalten will, benötigt die Pakete, die den Chat-Assistenten mit den eigenen Programmen verbinden.
Die Handwerkersoftware das Programm von synatos stellt eine MCP-Schnittstelle für Claude und ChatGPT bereit. Der Betrieb fragt im Chat nach offenen Rechnungen, nach den Umsätzen eines Kunden oder nach fälligen Mahnungen, und der Assistent holt die Antwort direkt aus der Software. Die Fachzeitschrift Si berichtete im April 2026 über den Start der Schnittstelle. synatos weist selbst darauf hin, dass Kundendaten damit das System verlassen und ein Auftragsverarbeitungsvertrag mit dem KI-Anbieter nötig wird.
Weitere Anbindungen mit Praxisnutzen, alle vom jeweiligen Hersteller selbst betrieben:
Für Lexware Office, sevDesk und DATEV gibt es Stand September 2026 keine offiziellen Plugins oder MCP-Server, nur Projekte von Drittanbietern ohne Zusage des Softwareherstellers zu Datenschutz und Wartung.
Regeln vor der Installation:
Das Bayerische Landesamt für Datenschutzaufsicht ordnet cloudbasierte KI-Dienste im Regelfall als Auftragsverarbeitung ein, für die ein Vertrag nach Artikel 28 DSGVO nötig ist. Bei ChatGPT bietet OpenAI einen solchen Vertrag nach Angaben von eRecht24 nur für die Business- und Enterprise-Pläne sowie die API an, nicht für Free, Go, Plus oder Pro.
