Composio verschafft KI-Agenten authentifizierten Zugriff auf rund 1.500 Fremdanwendungen, übernimmt OAuth, nutzerbezogene Zugangsdaten und Ausführung und liefert eine Python-Sandbox.
Hast du dieses Tool genutzt? Bewerte es
Hast du dieses Tool genutzt? Bewerte es
Composio ist eine gehostete Integrationsschicht, die KI-Agenten authentifizierten Zugriff auf Fremdsoftware verschafft, ergänzt um eine Sandbox, in der sich diese Werkzeugaufrufe als Code zusammensetzen lassen. Sie schiebt sich zwischen den Agenten, den Sie betreiben, und die Anwendungen, auf die er einwirken soll — Gmail, Slack, GitHub, Notion und rund fünfzehnhundert weitere — und übernimmt die mühsamen Teile: OAuth, Token-Erneuerung, nutzerbezogene Ablage der Zugangsdaten, Werkzeugschemata und die Ausführung.
Hinter dem Produkt steht Sampark Inc. Unabhängige Berichterstattung verortete im Juli 2025 eine von Lightspeed angeführte Series A über 25 Millionen Dollar, womit die externe Finanzierung auf etwa 29 Millionen stieg.
Die Größe des Katalogs gehört zuerst geklärt, denn mehrere Zahlen kursieren nebeneinander. Die Katalogseite nennt den präzisen Wert von 1467 Toolkits, die Marketing-Startseite rundet auf 1.500+, die Einstiegsseite der Dokumentation auf 1.400+. Derselbe Bericht vom Juli 2025 beschrieb über 3.000 anbindbare Anwendungen, eine Zahl, die heute keine Herstellerseite mehr wiederholt. Nur die Katalogliste lässt sich direkt auszählen: Nehmen Sie sie als Arbeitswert.
Was Composio bewusst nicht tut, prägt das Produkt ebenso stark. Es leitet Ihr Modell niemals weiter und führt den Agenten nicht an Ihrer Stelle aus; die einzige Stelle, an der überhaupt ein Modell aufgerufen wird, liegt in der Sandbox, und auch dort nur, wenn Ihr Code es verlangt. Modell, Prompt, Orchestrierungsschleife und Inferenzrechnung bleiben bei Ihnen.
Die Session hält alles zusammen: Sie verknüpft einen Endnutzer mit den erreichbaren Toolkits, dessen authentifizierten Konten und dem Ausführungszustand, der von einem Aufruf zum nächsten überdauert. Erzeugt wird sie mit einer Nutzerkennung aus Ihrer eigenen Datenbank, sodass jedes Werkzeug auf den Verbindungen dieses Nutzers läuft, nicht auf einem geteilten Dienstkonto.
Sessions laufen nicht von selbst ab, weshalb ein mehrstufiger Assistent die Kennung aufbewahren und wiederaufnehmen sollte, statt bei jeder Nachricht eine neue zu öffnen. Sandbox-Dateisystem, Zwischenvariablen und Verbindungszustand hängen an der Session; wer sie verwirft, verwirft das Arbeitsgedächtnis des Agenten mit.
Statt Hunderte Werkzeugschemata in den Modellkontext zu laden, reicht eine Session dem Agenten einen kleinen festen Satz Meta-Werkzeuge, die zur Laufzeit suchen, authentifizieren und ausführen. Der Agent fragt nach Werkzeugen zu einer Absicht, erhält die passende Handvoll, ergänzt eine fehlende Kontoverbindung und führt aus — ohne den vollen Katalog in jeder Anfrage mitzuschleppen.
Standardmäßig sind alle Toolkits auffindbar; eine Einschränkung verlangt eine ausdrückliche Liste zu aktivierender Slugs oder eine Sperrliste, die breiten Zugriff erhält und einzelne Dienste ausnimmt.
Die OAuth-Anwendungen verwalteter Toolkits hält Composio selbst: Ein Nutzer verbindet über einen erzeugten Link, und das Konto bleibt ohne erneute Authentifizierung für spätere Sessions bestehen. Eine eigene OAuth-Anwendung lässt sich mitbringen, wenn Sie eigenes Branding, eigene Scopes oder einen eigenen Einwilligungsdialog brauchen. Wer stattdessen zur direkten Ausführung greift, muss die Toolkit-Version selbst festnageln — eine Pflicht, die Sessions automatisch abnehmen.
Die Sandbox ist eine dauerhafte Python-Umgebung, in der der Agent Code schreibt und ausführt und dabei auf sämtliche Composio-Werkzeuge zugreift. Pandas, numpy, matplotlib, Pillow, PyTorch und reportlab liegen vor, alles Weitere wird bei Bedarf nachinstalliert. Die Hilfsfunktionen decken das Ausführen eines Composio-Werkzeugs, den Aufruf eines Sprachmodells, das Hochladen erzeugter Dateien, das Durchreichen roher API-Anfragen, die Websuche sowie die Textextraktion aus PDFs und Bildern ab.
Die Standardausstattung ist absichtlich knapp bemessen: ein vCPU und ein Gigabyte Arbeitsspeicher, wobei sich beim Anlegen der Session die Stufen medium, large und xlarge bis auf acht vCPU und acht Gigabyte wählen lassen.
Toolkits können Ereignisse der angebundenen Anwendung abonnieren und an Ihren Agenten weiterreichen, womit aus einer Anfrage-Antwort-Schicht etwas wird, das ein Ereignis aufweckt. Trigger-Zustellungen sind signiert, und es liegt bei Ihnen, diese Signatur zu prüfen statt der Nutzlast zu vertrauen.
Der kürzeste Weg zu einem funktionierenden Werkzeugaufruf umfasst fünf Zeilen: Client instanziieren, Session anlegen, deren Werkzeuge auslesen, die Liste an das verwendete Agenten-Framework übergeben. Die Agentenschleife ändert sich nicht; die Werkzeuge treffen bereits authentifiziert ein.
Zwei Integrationsmodi passen zu unterschiedlichen Produktzuschnitten. Native Werkzeuge laufen über ein zum Framework passendes Provider-Paket und liefern typisierte Objekte im eigenen Prozess. MCP verlangt kein Paket: Eine Session gibt eine Endpunkt-URL samt Headern heraus, auf die jeder MCP-fähige Client — Claude Desktop, Cursor, eine Agenten-Laufzeit — direkt zeigt. Ersteres passt zu einer Anwendung, die Sie bauen, Letzteres zu einem bestehenden Client.
Ein dritter Weg ist älter als die Sessions und wird weiterhin unterstützt: Bei der direkten Ausführung benennt Ihr Code das Werkzeug, statt es den Agenten finden zu lassen — passend zu deterministischen Skripten und geplanten Jobs, bei denen Laufzeitsuche reiner Mehraufwand wäre.
Einzelne Werkzeugaufrufe genügen für geradlinige Arbeit. Die Sandbox rechnet sich bei Massenoperationen, Datenumformungen und mehrstufiger Logik: fünfzig Tickets holen, mit einem Modellaufruf klassifizieren und die Ergebnisse zurückschreiben ist ein Hin und Zurück statt hundert Wege durch den Modellkontext. Große Antworten landen in einem durchsuchbaren Dateisystem statt im Prompt.
Zwei Einschränkungen prägen die Nutzung. Alles, was der Agent in der Sandbox hinterlässt, ist vergänglich: eingehängte Dateien verschwinden nach einem Tag, Variablen und Laufzeitzustand nach etwa zwölf Stunden Untätigkeit. Zudem liegen die Methoden zur Dateiübertragung in einem experimentellen Namensraum, dessen Oberfläche sich laut Composio ändern kann.
Die Ratenbegrenzung gilt für die gesamte Organisation in einem festen Ein-Minuten-Fenster, und jeder authentifizierte Endpunkt zieht aus demselben Budget. Antworten führen die Header zum verbleibenden Kontingent mit, und eine Überschreitung liefert 429 samt Retry-After, dem zu folgen sich mehr lohnt als blindes Wiederholen. Werkzeugdefinitionen clientseitig zwischenzuspeichern verhindert, dass statische Daten dieses Budget aufzehren.
Composio passt zu Teams, die wissen, was ihr Agent tun soll, und bei denen die Integrationsarbeit den Engpass bildet. Muss Ihr Produkt im Gmail, Slack oder CRM eines Kunden in dessen Namen handeln, ist das nutzerbezogene OAuth-Problem tatsächlich schwierig, und es abzugeben ist vernünftig.
Weniger gut passt es in zwei Lagen. Berührt Ihr Agent nur zwei oder drei APIs, für die Sie Zugangsdaten haben, fügt eine verwaltete Schicht eine Abhängigkeit, eine Rechnung und eine Ratengrenze hinzu — im Tausch gegen Arbeit, die Sie größtenteils erledigt haben. Und wer einen gehosteten Agenten erwartet hat, findet hier keinen.
Composio führt die Toolkits und Verbindungen aus, die Sie konfigurieren, und behandelt die Entscheidung darüber, was ein Agent anfassen darf, als Ihre Verantwortung statt als mitgelieferte Leitplanke. Zu lesen als Betriebsmodell, nicht als Haftungsausschluss: Eine zu weit gefasste Berechtigung an einen prompt-injizierbaren Agenten ist eine echte Angriffsfläche, und die Plattform führt getreu aus, was der Agent entscheidet.
Die Dokumentation stellt unumwunden fest, dass die Verwendung von default als Nutzerkennung im Produktivbetrieb die Daten anderer Nutzer offenlegt. Das lohnt eine Prüfung im Review vor dem ersten Rollout.
Keine der eingesehenen Plattformen für Unternehmenssoftware veröffentlicht eine reproduzierbare Stichprobengröße, daher wird hier keine aggregierte Note zitiert. Die unabhängige Berichterstattung etablierter Fachmedien betrifft Finanzierungsrunden, nicht Produktprüfungen.
Es gibt keine Desktop- oder Mobilanwendung zu installieren: Composio erreicht Ihren Agenten als Bibliothek in Ihrer Laufzeitumgebung oder als MCP-Endpunkt, mit dem sich Ihr Client verbindet. Ein Browser-Dashboard deckt Projekteinstellungen, verbundene Konten und Protokolle ab, ist aber Verwaltung und nicht die Produktoberfläche.
Provider-Pakete gibt es für Anthropic, OpenAI, Google, das Vercel AI SDK, LangChain, CrewAI, LlamaIndex, Mastra, AutoGen und Pi. Python und TypeScript sind abgedeckt, wenn auch nicht jeder Provider in beiden Sprachen erscheint; passt keiner, ist ein eigener dokumentiert.
Für direkte HTTP-Nutzung ist v3.1 die aktuelle REST-Version; das vorangehende v3 bleibt mit festgenagelten Werkzeugversionen unterstützt, sodass bestehende Integrationen nicht migrieren müssen. Eine Kommandozeile und ein installierbares Agenten-Plugin decken Terminal-Abläufe ab.
| Zugangsweg | Was er verlangt | Am besten geeignet für |
|---|---|---|
| Provider-Paket (Python / TypeScript) | Zum Framework passendes Paket, API-Schlüssel | Selbst gebaute und selbst betriebene Agenten |
| MCP-Endpunkt | Ein MCP-fähiger Client | Claude Desktop, Cursor und Ähnliches erweitern |
| REST-API v3.1 | HTTP-Client, API-Schlüssel | Sprachen ohne offizielles SDK |
| Kommandozeile | Installation im Terminal | Lokales Erkunden und Codegenerierung |
Zwei Selbstbedienungstarife stehen neben einer angebotsbasierten Enterprise-Stufe, und das Modell ist ein monatlich enthaltenes Kontingent gefolgt von Abrechnung je Aufruf, kein festes Paket.
| Tarif | Monatspreis | Werkzeugaufrufe | Trigger-Ereignisse | Support |
|---|---|---|---|---|
| Free | 0 $ | 100K | 50K | Portal |
| Pro | 29 $ | 100K + 29 $ Nutzungsguthaben | 50K | Portal, E-Mail, Slack ab 1K $ |
| Enterprise | Individuelles Angebot | Zugesagtes Volumen | Zugesagtes Volumen | Dediziert |
| Abrechnung jenseits des Kontingents | — | 0,0003 $ je Stück | 0,003 $ je Stück | — |
Free bringt zusätzlich 3 Teammitglieder, unbegrenzte verbundene Konten bei eigener OAuth-Anwendung und eine harte Obergrenze: Am Limit pausiert die Nutzung ohne Berechnung bis zum Folgemonat oder einem Upgrade, während Pro mit Überhang weiterläuft und Ausgabengrenzen erlaubt, die Sie selbst setzen. Die 1 Mio. monatlichen LLM-Token, die Composio für Sie ausführt, kosten darüber hinaus 3,75 $ je Million.
Ein Kontingent lohnt genaues Lesen: Die 20K an den von Composio verwalteten geteilten Anwendungen sind ein Unterkontingent aus den 100K kostenlosen Werkzeugaufrufen, keine Zugabe obendrauf, und eine eigene OAuth-Anwendung gibt den vollen Betrag frei. Meta-Werkzeuge wie die Werkzeugsuche werden nie berechnet, gezählt werden nur Ihre eigenen Aufrufe.
Diese Struktur gilt für Anmeldungen ab dem 15. August 2026; frühere Kunden bleiben bis zum 31. Dezember 2026 auf ihrem bisherigen Tarif, und eine eigene Seite veröffentlicht die alten Stufen weiterhin. Premium-Werkzeugaufrufe werden jedoch ab dem 10. September 2026 für alle berechnet, frühere Anmeldungen eingeschlossen.
Premium-Werkzeuge laufen bei kostenpflichtigen Drittanbietern, und Composio reicht deren Preis mit 5 % Plattformgebühr durch. Eine Browser-Automatisierungsaufgabe oder ein erzeugtes Video kostet Größenordnungen mehr als ein Aufruf zu 0,0003 $, weshalb die Rechnung eines Recherche- oder Medienagenten dieser Mischung folgt und nicht der Aufrufzahl. Zusatzoptionen legen sich auf den Grundtarif — Sandbox-Ausführung, direkte Ausführung außerhalb einer Session, Proxy-Ausführung — jede mit dem Bruchteil eines Cents, die meisten nach einem Freikontingent auf Pro aufwärts beschränkt.
Wirklich auseinander gehen die Stufen bei der Governance. Höhere API-Ratenlimits, ein KMS-Proxy und individuelle Protokollaufbewahrung liegen allein bei Enterprise; IP-Freigabeliste, BAA und Zero Data Retention sind Zusatzoptionen ab Pro; die Protokollaufbewahrung reicht von 7 Tagen bei Free bis 30 bei Pro. Eine harte Anforderung an Datenresidenz oder Schlüsselverwahrung drängt Sie in ein Angebotsgespräch, während manche konkurrierenden Integrationsschichten den Selbstbetrieb als Standardstufe veröffentlichen.
Premium-Werkzeuge sind die Kostenklasse, an der grobe Budgets scheitern: Such-APIs, Code-Sandkästen, Web-Erfassung, gehostete Modellinferenz, Dokumenten-OCR und rechenintensive Transformationen — vieles von dem, was ein Rechercheagent den ganzen Tag tut. Sie tragen zudem eigene, niedrigere Obergrenzen getrennt vom organisationsweiten API-Budget: 1.000 Premium-Aufrufe je Stunde bei Hobby gegenüber 10.000 bei Pro. Das allgemeine API-Limit liegt bei 2.000 Anfragen je Minute bei Hobby und 10.000 bei Pro, je Organisation gezählt, sodass ein suchlastiger Agent zuerst an die Premium-Grenze stößt.
Zwei offizielle Seiten widersprechen sich bei der Sandbox-Abrechnung. Die Preisseite führt Sandbox-Ausführung als kostenpflichtige Zusatzoption mit zusätzlich 0,0001 $ je Werkzeugaufruf nach 10.000 freien Aufrufen, während die Sandbox-Dokumentation weiterhin schreibt, Sandkästen würden heute nicht berechnet und eine Messung nach Stufe und Laufzeit sei geplant. Behandeln Sie die Kosten schwerer Codeausführung als offen, solange die Seiten auseinandergehen.
Über den veröffentlichten Zahlen steht eine Fair-Usage-Richtlinie: Übermäßige oder missbräuchliche automatisierte Nutzung kann unabhängig von der gekauften Stufe zur Sperrung führen. Die Lizenz schließt außerdem Weiterverkauf, abgeleitete Nutzung der Plattforminhalte und das Auslesen der Plattform mit automatisierten Extraktionswerkzeugen aus.
Die Speicherung der Nutzlasten ist standardmäßig aktiv und muss abgeschaltet werden: Anfrageargumente und Antwortdaten jeder Werkzeugausführung werden protokolliert, solange ein Projekt das nicht unterbindet. Das Abschalten wirkt nur auf neue Aufrufe — gespeicherte Nutzlasten bleiben bis zum Ablauf, und was nie gespeichert wurde, lässt sich nicht wiederherstellen.
Ausführungs- und Trigger-Protokolle werden bis zu einem Jahr aufbewahrt und danach automatisch gelöscht. Dateien, die einen Werkzeugaufruf durchlaufen, warten hinter einem vorsignierten Link, der standardmäßig eine Stunde gilt und projektweise auf bis zu vierundzwanzig verlängerbar ist; das abgelegte Objekt verschwindet nach einem Tag.
Composio veröffentlicht ein SOC-2-Type-II-Testat über sein Trust Center. Zugangsdaten, Auth-Konfigurationen und API-Schlüssel sind im Ruhezustand mit AES-256-GCM verschlüsselt, Tokens verbundener Konten in API-Antworten standardmäßig maskiert, und Administratoren können mehrstufige Anmeldung erzwingen. Bei den Rechten behalten Sie das Eigentum an dem, was Sie einreichen, räumen Composio aber eine weltweite, unterlizenzierbare und übertragbare Lizenz zur Nutzung im Zusammenhang mit der Plattform und deren Geschäft ein. Die Bedingungen verpflichten Kunden überdies zu gemeinsamem Marketing samt Name und Logo.
Google-Nutzerdaten sind von Werbung, Weiterverkauf sowie vom Training oder der Verbesserung maschineller Lernmodelle ausgenommen. Über die YouTube-Anbindung bezogene Daten tragen eine harte Grenze von dreißig Tagen, nach denen sie aufgefrischt oder endgültig gelöscht werden. Die Richtlinie führt Rechte auf Auskunft, Berichtigung, Löschung, Widerruf der Einwilligung und eine Kopie der Daten auf, ausgeübt werden sie jedoch per Nachricht an die veröffentlichte Support-Adresse und nicht über einen Schalter im Dashboard.
Nein. Es übernimmt Werkzeugsuche, Authentifizierung und Ausführung, während Modell und Orchestrierungsschleife in Ihrer eigenen Laufzeit bleiben. Die einzige Ausnahme ist die optionale Sandbox-Hilfsfunktion, die ein Modell nur dann aufruft, wenn der von Ihnen eingereichte Code es verlangt.
Die Katalogseite listet abzählbare 1467 Toolkits. Andere offizielle Seiten runden auf 1.400+ oder 1.500+, und ein Pressebericht von 2025 nannte über 3.000 — verlässlich ist die Katalogliste.
100.000 Werkzeugaufrufe, 50.000 Trigger-Ereignisse und 3 Teammitglieder im Monat, Portal-Support und unbegrenzte verbundene Konten bei eigener OAuth-Anwendung. Die Obergrenze ist hart: Am Limit pausiert die Nutzung, statt Ihnen etwas zu berechnen.
Such-APIs, Sandkästen für Codeausführung, Web-Erfassung, Modellinferenz, Dokumenten-OCR und rechenschwere Transformationen. Sie werden zum Tarif des Drittanbieters plus 5 % Plattformgebühr berechnet statt zum festen Stückpreis, weshalb die Rechnung eines Rechercheagenten an dieser Mischung hängt.
Ja, über eine projektbezogene Einstellung zur Protokollspeicherung. Sie greift nur für neue Aufrufe: Bereits gespeicherte Nutzlasten bleiben bis zum Ende der einjährigen Aufbewahrung, und was währenddessen übersprungen wurde, ist nicht wiederherstellbar.
Der aktuelle Tarifvergleich bietet keine; die Enterprise-Stufe veröffentlicht einen KMS-Proxy zur eigenen Schlüsselverwahrung, der Dienst selbst bleibt aber rein cloudbasiert.
Sessions laufen nicht ab und sollten über Gesprächsrunden hinweg wiederverwendet werden. Beim Sandbox-Inhalt sieht es anders aus: eingehängte Dateien werden nach 24 Stunden gelöscht, weiterer Laufzeitzustand kann nach etwa 12 Stunden Untätigkeit geleert werden.
Die API antwortet mit 429 Too Many Requests und einem Retry-After-Header, der die Sekunden bis zum Zurücksetzen des Fensters angibt. Die Limits gelten je Organisation in einem Ein-Minuten-Fenster über alle authentifizierten Endpunkte, sodass Werkzeugausführung und Kontoverwaltung ein Budget teilen.
