Berech­ti­gungen und Rech­te­modi

Ein Agent auf der Kommandozeile fragt im manuellen Modus, bevor er eine Datei ändert, einen Befehl ausführt oder ins Netz geht. Diese Rückfrage war lange die eigentliche Sicherung: Ein Mensch liest, was da laufen soll, und entscheidet.

Anthropic hat nachgezählt, wie diese Entscheidung ausfällt. Nach der Ankündigung des Auto-Modus (externe Seite, claude.com) bestätigen die Nutzer 97 Prozent der Freigabefragen in Claude Code.

Was die Rückfrage gemessen leistet

97 von 100. Man könnte daraus schließen, dass die Werkzeuge selten etwas Fragwürdiges vorschlagen. Die Zahl daneben spricht dagegen: Dieselben Menschen weisen einen vorgelegten Plan in 39 Prozent der Fälle zurück. Bei einzelnen Freigabefragen liegt die Ablehnungsquote (externe Seite, claude.com) dagegen bei nur 3 Prozent.

Der Unterschied liegt in der Form. Ein Plan kommt einmal und beschreibt etwas. Eine Freigabefrage kommt zum vierzigsten Mal an diesem Tag und unterbricht gerade eine Arbeit.

Wie stark das wirkt, zeigt ein kontrollierter Versuch (externe Seite, claude.com) mit 1.053 bezahlten, beruflich tätigen Testern. Die Prüfung durch den Menschen fing dort nur 13,6 Prozent der gefährlichen Befehle ab, der Auto-Modus 89 Prozent.

Zwei Angaben gehören zu dieser Zahl, damit sie einzuordnen ist. Die Erhebung stammt vom Hersteller des besser abschneidenden Verfahrens. Und die gefährlichen Befehle waren für den Versuch gebaut, kamen also nicht aus dem Alltag der Beteiligten.

Was der Versuch unabhängig davon sichtbar macht, ist die Ermüdung. Am Anfang einer Sitzung hielten die Beteiligten nach der Auswertung (externe Seite, claude.com) etwa 17 Prozent der gefährlichen Befehle auf, nach 50 und mehr vorherigen Rückfragen noch etwa 5 Prozent. Die Sicherung wird schwächer, je länger man sie benutzt.

Ein zweites Modell an ihrer Stelle

Laut der Ankündigung (externe Seite, claude.com) laufen neue Sitzungen auf den Tarifen Pro, Max und Team ab dem 14. August im Auto-Modus.

Inzwischen gilt das unabhängig vom Tarif: Ab Claude Code v2.1.283 ist der Auto-Modus nach der Dokumentation der Rechtemodi (externe Seite, code.claude.com) der eingebaute Startmodus für interaktive Sitzungen im Terminal und in VS Code. Die Versionsliste (externe Seite, code.claude.com) nennt unter 2.1.283 nur Drittanbieter und Sitzungen ohne Telemetrie, alle Tarife und Anbieter erst unter 2.1.284 vom 28.09.2026, jeweils solange kein Rechtemodus eingestellt ist.

Eine Ausnahme gilt für Organisationen mit der HIPAA-Konfiguration. In einer Sitzung, auf die sie greift, beginnt Claude Code im Terminal oder in VS Code im manuellen Modus, solange nichts anderes den Startmodus festlegt. Das gilt ab Version 2.1.285, und der Auto-Modus bleibt wählbar. Die Konfiguration greift nur, wenn sich jemand mit einem Claude-Enterprise-Konto anmeldet und Claude Code direkt mit der Claude-API verbunden ist (Doku zur HIPAA-Einrichtung (externe Seite, code.claude.com)). Über einen Cloud-Anbieter, ein Gateway oder einen Schlüssel aus der Claude Console läuft Claude Code ohne sie.

Im Auto-Modus prüft ein eigenes Modell jede Handlung, die nicht schon durch eine eigene Regel oder durch Lesen und Bearbeiten im Arbeits­ver­zeichnis freigegeben ist. Es heißt Klassifikator und urteilt nach einem festen Katalog: Herunterladen und Ausführen von Code, Daten an fremde Adressen, Pro­duk­tiv­um­ge­bungen, unwiderrufliches Löschen. Was es durchlässt, läuft ohne Rückfrage. Einige Rückfragen bleiben trotzdem, etwa bei einer eigenen Regel, die ausdrücklich eine verlangt, oder vor dem Löschen eines kritischen Verzeichnisses wie des Benutzerordners.

Die Grenze dieser Prüfung schreibt der Hersteller in seiner Dokumentation (externe Seite, code.claude.com) selbst hin: Der Auto-Modus verringert die Zahl der Rückfragen, Sicherheit garantiert er damit aber keine.

Sechs Modi, eine Frage

Ein Rechtemodus beantwortet genau eine Frage: Wer entscheidet über eine Handlung, bevor sie läuft.

seitlich verschiebbar

eigene Darstellung nach der Herstellerdokumentation, Stand 09.10.2026

Der Unterschied zwischen den Modi geht dabei weiter, als die Rückfragen vermuten lassen. Im manuellen Modus fragt Claude Code, bevor seine Dateiwerkzeuge Pfade außerhalb des Startordners und seiner Unterordner lesen oder schreiben, so steht es auf der Sicherheitsseite (externe Seite, code.claude.com).

Die Grenze ist dabei eine Rückfrage, und sie gilt für die Dateiwerkzeuge: Ein Bash-Befehl, den man freigibt, kann nach derselben Seite (externe Seite, code.claude.com) weiterhin überall schreiben, wo das eigene Benutzerkonto schreiben darf.

Im Auto-Modus liest Claude Code Dateien ohne Rückfrage, auch außerhalb der Arbeits­ver­zeich­nisse, solange die Einstellung permissions.blockReadsOutsideWorkingDirectories ausgeschaltet ist, wie in der Voreinstellung. Ausgenommen sind Pfade im Netzwerk. Wenn Claude in einer laufenden Sitzung zum ersten Mal mit den Werkzeugen Read, Grep oder Glob einen Pfad außerhalb davon liest, fragt Claude Code nach dem Abschnitt zum ersten Lesen außerhalb (externe Seite, code.claude.com) außerdem nach, ob es diesen Zugriff erlauben soll. Je nach Antwort gilt sie dauerhaft oder nur für diesen einen Zugriff.

In einem nicht-interaktiven Lauf mit -p oder einer Sitzung im Hintergrund entfällt diese eine Frage, Lesezugriffe laufen dort nach demselben Abschnitt (externe Seite, code.claude.com) wie bisher.

Wer den Modus wechselt, ändert also mit, was ungefragt in die Unterhaltung gelangt, und in einem unbeaufsichtigten Lauf sogar ganz ohne diese eine Ausnahme. Wie der Wechsel in der Sitzung geht, mit Shift+Tab und beim Start, zeigt Claude Code, Kapitel 03.

Was in jedem Modus gilt

Unter den Modi liegt eine zweite Ebene, und die ist von ihnen unabhängig. In einer Einstellungsdatei stehen Regeln, die einzelne Werkzeuge und Pfade sperren oder freigeben. Für die schärfste davon gilt nach der Dokumentation der Rechtemodi (externe Seite, code.claude.com): Sperrregeln greifen in jedem Modus, auch in bypassPermissions.

In der Gegenrichtung fällt eine Erlaubnis dort weg, Freigaberegeln haben in bypassPermissions keine Wirkung (externe Seite, code.claude.com).

Daraus ergibt sich der Grundsatz für alles Weitere. Der Modus entscheidet, wer gefragt wird. Was gesperrt ist, entscheidet die Regel darunter, und die gilt auch dann, wenn niemand mehr fragt.

Eine dritte Frage bleibt danach offen: Was erreicht ein Befehl, während er läuft? Darum geht es in Kapitel 09.

Unter den Modi liegen drei Arten von Regeln. deny sperrt, ask erzwingt eine Rückfrage, allow gibt frei. Sie stehen in einer Einstellungsdatei, gelten in vier Geltungsbereichen von der Organisation bis zum einzelnen Projekt, und ihre Rangfolge ist fest.

Wie eine solche Regel geschrieben wird und welche zwei Fallen dabei lauern, steht ausgeführt im Beitrag Erst der rote Test. In welcher Reihenfolge Regeln, Modus, Sandbox und Klassifikator über eine Aktion entscheiden, zeigt Claude Code, Kapitel 16. Hier geht es um die Ebene darüber: was von diesen Regeln übrig bleibt, wenn der Modus wechselt.

Der Modus mit dem irreführenden Namen

In der Einstellungsdatei heißt der Modus, der jede Handlung vorlegt, default. Voreingestellt ist er im Terminal nicht mehr: Seit dem 14. August 2026 startete eine Sitzung auf den Tarifen Pro, Max und Team in auto, laut Doku seit Version 2.1.283 auf jedem. Die Versionsliste (externe Seite, code.claude.com) nennt für alle Tarife erst 2.1.284 vom 28.09.2026. In einer Organisation mit der HIPAA-Konfiguration beginnt eine Sitzung ab Version 2.1.285 im manuellen Modus, wenn sie mit einem Claude-Enterprise-Konto direkt an der Claude-API hängt (Doku zur HIPAA-Einrichtung (externe Seite, code.claude.com)). Das gilt, solange nichts anderes den Startmodus festlegt. Die Oberfläche nennt default „manuell“, und die Kommandozeile nimmt auch manual als Wert an. Hooks und das Agent SDK sehen weiter default.

Wer also in einer geerbten settings.json auf "defaultMode": "default" stößt, liest dort eine bewusste Entscheidung für die Rückfrage vor jeder Handlung. Steht der Eintrag in den eigenen Nut­zer­ein­stel­lungen und legt keine andere Datei einen Modus fest, fragt Claude Code einmal, ob es ihn auf den Auto-Modus umstellen soll. Das gilt in den Tarifen Pro, Max und Team und in Sitzungen, die keine Feature Flags abrufen. Wer ablehnt, behält seinen Eintrag.

In der Gegenrichtung ist die Projektdatei eingeschränkt. Ein "auto" oder "bypassPermissions" in der .claude/settings.json eines Projekts wirkt nicht (externe Seite, code.claude.com), alle übrigen Werte gelten. Ein fremdes Repository kann eine Sitzung also nicht selbst in einen der beiden Modi schalten, die am wenigsten fragen.

Wie weit die eigene Erlaubnis reicht

Wie weit die Freigaberegeln reichen, die man sich im Lauf der Zeit setzt, hat Anthropic für den Juni 2026 gezählt: Nach der Ankündigung des Auto-Modus (externe Seite, claude.com) haben 49,5 Prozent der aktiven Nutzer der Kommandozeile von Hand eine Freigaberegel für Bash angelegt.

Die Aufschlüsselung dahinter ist der eigentliche Befund. Fünf Prozent geben jeden Shell-Befehl frei. Weitere 43 Prozent haben Regeln für einen Interpreter gesetzt, also etwa für Python oder Node. Über die läuft ebenfalls jeder Befehl, und Anthropic wertet sie in der Aufschlüsselung (externe Seite, claude.com) deshalb als in der Praxis im Wesentlichen gleichwertig.

Fast die Hälfte der aktiven Nutzer der Kommandozeile hat damit die Rückfrage für Shell-Befehle praktisch abgeschaltet. Und der Anteil wächst, nach derselben Erhebung (externe Seite, claude.com) um etwa 5 Prozentpunkte alle 5 Wochen.

Dazu die Modi: 25 Prozent der interaktiven Sitzungen starten laut Ankündigung (externe Seite, claude.com) im Modus bypassPermissions.

seitlich verschiebbar

eigene Darstellung nach Anthropic, Auto Mode Default in Claude Code, Stand 03.09.2026

Was der Auto-Modus mit diesen Regeln macht

An dieser Stelle greift eine Vorkehrung, die man beim Einrichten kaum bemerkt. Beim Wechsel in den Auto-Modus setzt Claude Code die weit gefassten Freigaberegeln außer Kraft: eine Erlaubnis für jeden Shell-Befehl, die Regeln für Interpreter, die Aufrufe von Paketverwaltungen, dazu Freigaben für Subagenten und für das Werkzeug Monitor, das seine Befehle über die Shell startet. Die Begründung (externe Seite, claude.com) des Herstellers: Solche Regeln für beliebige Befehle ruhen im Auto-Modus, weil Befehle über sie ganz am Klassifikator vorbeiliefen.

Enge Regeln bleiben in Kraft, eine Erlaubnis für den Testlauf des Projekts etwa. Beim Verlassen des Modus kehren die weiten zurück.

Der Vorgang hat eine Folge, die man kennen sollte: Was eine weite Regel im manuellen Modus ohne Rückfrage durchlässt, legt der Auto-Modus dem Klassifikator vor, und der kann es sperren. Wer eine Freigaberegel setzt und sie nicht wirken sieht, sucht den Fehler zuerst im Modus.

Zwei Lücken, die still bleiben

Die erste betrifft die Reichweite einer Pfadregel. Sie wird gegen die eingebauten Dateiwerkzeuge geprüft und gegen Shell-Befehle, die Claude Code als Dateizugriff erkennt. Nach der Rechtedoku (externe Seite, code.claude.com) gilt sie für keinen Befehl, der Dateien liest, ohne sie zu nennen, etwa grep -r pattern ., aufgerufen in dem Verzeichnis, in dem die Datei liegt. Ebenso wenig gilt sie für beliebige Unterprozesse, die Dateien mittelbar lesen oder schreiben, wie ein Python- oder Node-Skript, das Dateien selbst öffnet.

Eine Sperre auf Edit(secrets/**) steht also in der Datei und wirkt nicht, sobald ein Skript die Datei selbst öffnet:

{
  "permissions": {
    "deny": ["Edit(secrets/**)", "Read(secrets/**)"]
  }
}

# laeuft an der Regel vorbei, weil Claude Code hier keinen Dateizugriff sieht
print(open("secrets/token.txt").read())

Anders verhält es sich mit einem Symlink in einem Pfad, den Claude anfragt. Claude Code prüft dann zwei Pfade: den angefragten und die Datei, auf die er zeigt. Nach der Rechtedoku (externe Seite, code.claude.com) greift eine Sperrregel, sobald einer von beiden passt, eine Freigaberegel erst, wenn beide passen. Ist der Zielpfad selbst ein Symlink, verweigern die Werkzeuge Edit und Write das Schreiben und verweisen Claude auf das Ziel. Ist ein Verzeichnis auf dem Weg zur Datei ein Symlink, oder schreibt ein Shell-Befehl, kann das Schreiben trotzdem durch den Symlink gehen. Führt es dabei aus den Arbeits­ver­zeich­nissen hinaus, legt der Auto-Modus es dem Menschen vor, es sei denn, eine Freigaberegel deckt es ab.

Die zweite Lücke betrifft die Rangfolge. Sperren gewinnen immer, und das gilt auch dort, wo man eine Ausnahme erwartet: Eine Freigaberegel kann laut Rechtedoku (externe Seite, code.claude.com) aus einer Sperrregel keine Ausnahme herausschneiden.

Wer alle Aufrufe eines Werkzeugs sperrt und einen einzelnen davon wieder freigibt, bekommt keine Ausnahme. Die enge Erlaubnis läuft ins Leere, weil die weite Sperre vorher greift.

Pfade, die keine Erlaubnis öffnet

Ein kleiner Satz von Pfaden lässt sich durch keine Freigabe in einer Einstellungsdatei öffnen. Dazu zählen .git, die Konfigurationen der Editoren und Paketverwalter, die Startdateien der Shell und .claude selbst. Regeln unter permissions.allow in Ein­stel­lungs­da­teien geben das Schreiben in diese geschützten Pfade nach der Dokumentation der Rechtemodi (externe Seite, code.claude.com) nicht vorab frei.

Der Grund steht daneben: Die Prüfung läuft, bevor Claude Code die Regeln aus den Ein­stel­lungs­da­teien überhaupt auswertet. Ein Eintrag Edit(.claude/**) ändert am Ergebnis also nichts, egal in welcher Datei er steht.

Was in den Modi mit Rückfrage passiert, ist eine Frage an den Menschen. Im Auto-Modus urteilt der Klassifikator darüber, und in dontAsk wird der Schreibzugriff verweigert. Durch lässt ihn bypassPermissions, dazu der Planmodus einer Sitzung im Terminal, die mit dieser Freigabe gestartet wurde.

Eine Allowlist ist keine Abkürzung an der Prüfung vorbei

Ein letzter Punkt für diese Tiefe, weil er der Erwartung widerspricht: Eine Erlaubnis für den Anfang eines Befehls gilt nicht für alles, was daraus werden kann. Kann Claude Code einen Bash-Befehl nicht vollständig analysieren, fragt es im manuellen Modus vor dem Ausführen trotzdem nach, so die Sicherheitsseite (externe Seite, code.claude.com).

Eine Regel wie Bash(git *) für einen Teil des Befehls überspringt diese Rückfrage nach der Dokumentation nicht. Befehle in der Sandbox können dagegen ohne sie laufen.

Dasselbe gilt für zwei Gruppen, bei denen schon der Anfang des Befehls mehr auslöst, als er verrät. Eine Präfixregel wie Bash(watch *) oder Bash(find *) genehmigt nach der Rechtedoku (externe Seite, code.claude.com) bestimmte Aufrufe nicht von selbst, im manuellen Modus fragt Claude Code weiter. Die erste Gruppe sind Exec-Wrapper, die einen weiteren Befehl starten, etwa watch, setsid, ionice und flock. Die zweite ist find mit einer Aktion, die Befehle ausführt, Dateien löscht oder schreibt, wie -exec, -delete oder -fprint, oder mit -files0-from, das die Suchpfade aus einer Datei liest. Dass find sonst zu den lesenden Befehlen zählt, die ohne Rückfrage laufen, ändert daran nichts.

Freigeben lässt sich ein einzelner Aufruf mit einer Regel für den vollständigen Befehlstext ohne *, zum Beispiel Bash(find build -type f -delete). Enthält der Befehl selbst ein *, wie find . -name '*.tmp' -delete, liest Claude Code die Regel als Muster mit Platzhalter, und der Befehl fragt weiter. Man bestätigt ihn dann jedes Mal, oder ein PreToolUse-Hook gibt ihn frei.

Und was gar nicht in den Regeln steht, läuft ebenfalls nicht durch: Im manuellen Modus brauchen Befehle ohne passende Regel nach derselben Seite (externe Seite, code.claude.com) in der Voreinstellung eine Freigabe.

Im manuellen Modus beschreibt beides eine Umgebung, die im Zweifel anhält. Im Auto-Modus, mit dem Claude Code im Terminal startet, geht ein solcher Befehl an den Klassifikator. Wie sich das im unbeaufsichtigten Lauf umkehrt, steht in der dritten Tiefe.

Im Auto-Modus wirkt eine Anweisung, die man beiläufig hinschreibt, wie eine Sperre. Wer „nicht pushen“ sagt oder „warte, bis ich das gelesen habe“, bekommt genau das: Der Klassifikator behandelt nach der Dokumentation der Rechtemodi (externe Seite, code.claude.com) Grenzen, die man im Gespräch zieht, als Signal zum Sperren.

Sie gilt auch gegen die eigenen Katalogregeln, hält also Handlungen an, die sonst durchliefen. Und sie gilt weiter, wenn das Modell zu dem Schluss kommt, die Sache sei erledigt. Claudes eigenes Urteil, eine Bedingung sei erfüllt, hebt sie nach derselben Dokumentation (externe Seite, code.claude.com) nicht auf.

Eine Grenze, die im Gespräch steht

Damit sieht es aus wie ein Riegel. Der nächste Satz der Dokumentation (externe Seite, code.claude.com) nimmt das zurück: Grenzen werden nicht als Regeln gespeichert. Der Klassifikator liest sie bei jeder Prüfung neu aus dem Gesprächsverlauf, und deshalb kann eine Grenze verloren gehen, wenn die Verdichtung des Kontexts die Nachricht entfernt, in der sie stand.

Die Grenze wohnt also im Gesprächsverlauf. Fällt sie weg, dann ohne Meldung, mitten in einem langen Lauf, und gerade dann, wenn er lange genug gelaufen ist, um verdichtet zu werden.

Was Verdichtung ist und warum sie ausgerechnet Einzelheiten trifft, steht in Kapitel 05. Der Zusammenhang hier ist die Umkehrung dessen, was man erwartet: Je länger ein Lauf dauert, desto eher fällt die Anweisung, die ihn eingrenzen sollte.

Die Dokumentation (externe Seite, code.claude.com) zieht selbst den Schluss: Wer eine feste Zusage braucht, legt stattdessen eine Sperrregel an.

seitlich verschiebbar

eigene Darstellung nach der Herstellerdokumentation, Stand 03.09.2026

Das ist derselbe Unterschied, der schon bei der Projektanweisung in Kapitel 03 auftaucht, hier nur eine Ebene tiefer. Dort war es eine Datei, die beratend wirkt. Hier ist es ein Satz im Gespräch, der wirkt, solange ihn jemand liest.

Eine Freigabe, die im Gespräch steht

Die Gegenrichtung braucht mehr als das Nennen des Vorgangs. Sagt man dem Klassifikator, eine gesperrte Handlung sei erlaubt, hebt er die Sperre nur auf, wenn die Nachricht die Handlung und das Gefährliche daran konkret benennt. Das Verb allein zu nennen, hebt nach der Dokumentation (externe Seite, code.claude.com) keine Sperre auf. Wer nur „du darfst force-pushen“ schreibt, hat also nichts freigegeben. Genannt werden muss, was die Handlung im Einzelfall gefährlich macht, beim Beispiel des Herstellers der Branch. Eine solche Freigabe deckt die genannte Handlung. Eine spätere derselben Art sperrt der Klassifikator wieder, es sei denn, die Freigabe war ausdrücklich als dauerhaft gemeint. Einige Sperren hebt auch eine genaue Freigabe nicht auf. Für solche Schritte bleibt der Weg aus dem Auto-Modus heraus, zurück zur Rückfrage.

Was der Klassifikator zu sehen bekommt

Zur Einordnung gehört, worauf das prüfende Modell überhaupt blickt, und das hängt daran, wer die Prüfung ausführt. In den Anfragen, die Claude Code selbst an den Klassifikator schickt, liest dieser die Nachrichten des Menschen, die Werkzeugaufrufe außer reinen Lesevorgängen und die Projektanweisung. Die Ergebnisse der Werkzeugaufrufe bekommt er dabei nicht, damit ein feindseliger Text in einer Datei oder auf einer Webseite ihn nicht selbst steuern kann. Diese Ergebnisse prüft eine eigene Stufe. Im Auto-Modus durchsuchen nach der Ankündigung (externe Seite, claude.com) eigene Sonden die Werk­zeu­g­er­geb­nisse nach möglicherweise bösartigen Anweisungen, und der Modus prüft, ob die Handlungen zur Absicht des Nutzers passen.

Das Urteil über die Handlungen selbst kann inzwischen der Server fällen. Claude Code bittet ihn darum als Teil der Anfragen, die für das Modell ohnehin unterwegs sind, statt eigene Anfragen an den Klassifikator zu schicken. Auf einer direkten Verbindung zur Anthropic-API gilt das für jeden Tarif und wird schrittweise eingeführt: im Terminal ab Version 2.1.271 auf Pro, Max und Team, ab 2.1.278 auf Enterprise und API-Konten, in Läufen mit -p, im Agent SDK, in der VS-Code-Erweiterung und in der Desktop-App ab 2.1.281. Bei Cloud-Anbietern wie Amazon Bedrock, Google Clouds Agent Platform und Microsoft Foundry und hinter einem eigenen LLM-Gateway fragt Claude Code den Server in der Voreinstellung ab 2.1.278. In einer Sitzung, in der der Server prüft, warten auch lesende und in der Sandbox laufende Shell-Befehle auf sein Urteil. Wo der Server die Handlungen prüft, entscheiden laut Dokumentation (externe Seite, code.claude.com) seine Urteile über sie.

Zwei andere Ausgänge bleiben. Prüft der Server die Sitzung gar nicht, etwa weil ein Gateway die Prüfergebnisse verwirft, fällt Claude Code auf die eigene Klassifikator-Anfrage zurück. Kommt für eine einzelne Handlung kein Urteil zurück, etwa weil die Antwort vorher abbricht, verweigert Claude Code die Handlung, statt sie ungeprüft laufen zu lassen.

Was der Server dabei zu sehen bekommt, sagt die Dokumentation nicht. Dass die Werk­zeu­g­er­geb­nisse draußen bleiben, ist damit eine gesicherte Aussage nur über die Anfragen, die Claude Code selbst stellt.

Für diesen Weg hat die Trennung eine praktische Folge. Ein Befund, den ein Werkzeug zurückgemeldet hat, erreicht den Klassifikator nicht von selbst. Seit Version 2.1.236 kann ein Hook auf das Ereignis PostToolUse dem Ergebnis eine kurze Notiz für ihn anhängen, im Feld classifierContext. Kommt der Hook aus den Einstellungen, gilt die Notiz als ungeprüfter Hinweis der Anwendung. Nach der Hook-Referenz (externe Seite, code.claude.com) begründet sie nie eine Absicht des Nutzers, und behauptet sie, man habe etwas freigegeben oder verlangt, prüft der Klassifikator diese Behauptung an den eigenen Nachrichten im Gespräch.

Wer eine Handlung begründen will, schreibt die Begründung deshalb in eine eigene Nachricht.

Wann der Auto-Modus wieder fragt

Einige Rückfragen bleiben im Auto-Modus. Eine eigene ask-Regel erzwingt sie weiter. Das Löschen eines kritischen Pfads, etwa des Wur­zel­ver­zeich­nisses, des Benutzerordners oder des Arbeits­ver­zeich­nisses, legt Claude Code im Terminal ebenfalls vor, mit einer Frist von zwei Minuten. Läuft die Frist ab, bevor man antwortet, lehnt Claude Code den Befehl nach der Dokumentation (externe Seite, code.claude.com) ab und sagt Claude, was es stattdessen tun soll, damit eine unbeaufsichtigte Sitzung weiterarbeitet.

Wo Claude Code keine Rückfrage zeigen kann, etwa im Lauf mit -p, lehnt es einen solchen Befehl sofort ab. Im Terminal tut es das auch, sobald drei dieser Rückfragen in einer Sitzung unbeantwortet abgelaufen sind. Eine neue Nachricht beginnt die Zählung von vorn.

Frist und Ablehnung im Auto-Modus und in bypassPermissions gibt es seit Version 2.1.281 vom 23.09.2026. Wer sie mit CLAUDE_CODE_DISABLE_DANGEROUS_RM_TIMEOUT=1 abschaltet, gibt solche Befehle im Auto-Modus an den Klassifikator, und in bypassPermissions wartet die Rückfrage dann ohne Frist.

Welche Ziele als kritisch zählen, auch hinter einer Variablen oder in einem Skript mit -c, und wie man einen Befehl so schreibt, dass er die Prüfung besteht, steht in Claude Code, Kapitel 12.

Eine weitere Rückfrage übersteht Regel, Hook und Auto-Modus: das Lesen von einem Netzwerkpfad. Gemeint ist ein Pfad, der einen anderen Rechner erreichen kann, unter Windows ein UNC-Pfad wie \\server\share\file, unter macOS und Linux ein Pfad unter /net, wo das System Netzlaufwerke automatisch einhängt. Schon das Auflösen eines solchen Pfads kann den genannten Rechner kontaktieren, und unter Windows kann dabei die Anmeldung des Nutzers an ihn gehen. Für lesende Werkzeuge wie Read, Grep und Glob lassen ab Version 2.1.292 drei Dinge die Rückfrage stehen. Eine Freigaberegel genehmigt das Lesen nicht vorab, auch nicht die für das ganze Werkzeug. Ein PreToolUse-Hook, der "allow" liefert, überspringt die Rückfrage nicht. Und im Auto-Modus fragt Claude Code den Menschen, der Klassifikator entscheidet nicht über das Lesen. In dontAsk lehnt Claude Code das Lesen ab. In bypassPermissions und im Planmodus einer Terminal-Sitzung, die mit dieser Freigabe gestartet wurde, läuft es ohne die Rückfrage. Wer Dateien von einer Netzfreigabe braucht, gibt ihr zuerst einen lokalen Pfad: unter Windows ein Lauf­werks­buch­stabe, den man beim Start mit --add-dir übergibt, unter macOS und Linux ein Einhängepunkt etwa unter /mnt oder /Volumes.

Daneben hält sich der Modus selbst an, wenn er zu oft blockiert: Sperrt der Klassifikator eine Handlung dreimal hintereinander oder insgesamt zwanzigmal, pausiert der Auto-Modus laut Dokumentation (externe Seite, code.claude.com), und Claude Code fragt wieder nach. Beide Schwellen lassen sich nicht einstellen. Der Gesamtzähler gilt für die ganze Sitzung und beginnt erst von vorn, wenn seine eigene Grenze den Rückfall ausgelöst hat. Lehnt eine vom Auto-Modus getrennte Sicher­heits­prü­fung schon die Anfrage des Klassifikators selbst ab, zählt diese Ablehnung für keine der beiden Schwellen.

Für den Betrieb mit Automaten ist der Satz danach der wichtigere. In einem Lauf, der niemanden fragen kann, gibt es diese Rückfallebene gar nicht: Ein nicht-interaktiver Lauf mit -p ohne --permission-prompt-tool hat nach der Dokumentation (externe Seite, code.claude.com) keine Rückfrage, auf die er zurückfallen könnte.

Die Handlung unterbleibt dann, und der Agent arbeitet weiter. Aus der Sicherung wird eine stille Auslassung: Der Lauf endet mit einem Ergebnis, in dem ein Schritt fehlt. Sehen kann das nur, wer danach sucht. Mit --output-format stream-json steht jede Ablehnung als eigene Meldung im Ausgabestrom, und die Schlussmeldung (externe Seite, code.claude.com) zählt sie unter permission_denials auf.

Von selbst beginnt ein Lauf mit -p dabei im manuellen Modus, solange weder ein Schalter noch eine Einstellungsdatei etwas anderes festlegt. Nach der Versionsliste (externe Seite, code.claude.com) gilt das seit Version 2.1.302 vom 16.10.2026 auch bei einem Drittanbieter, mit abgeschalteter Telemetrie und nach einer frischen Installation. Von Version 2.1.285 bis 2.1.301 begannen Läufe bei einem Drittanbieter oder mit abgeschalteter Telemetrie im Auto-Modus.

In dieselbe Richtung geht eine zweite Eigenart desselben Betriebs. Fährt man Claude Code mit einem einzelnen Auftrag, entfällt die Rückfrage, mit der es sonst ein unbekanntes Verzeichnis freigeben lässt. In einer interaktiven Sitzung zeigt Claude Code nach der Sicherheitsseite (externe Seite, code.claude.com) den Dialog zum Vertrauen in den Arbeitsbereich, wenn man es in einem Ordner startet, dem man noch nicht vertraut hat.

Der Dialog ist nicht die einzige Frage dieser Art: Auch die Server aus der .mcp.json eines Projekts haben eine eigene Freigabe. Eine Sitzung mit -p zeigt laut derselben Seite (externe Seite, code.claude.com) keine der beiden Fragen.

Was ein Repository in einem solchen Lauf von selbst anstößt, nennt die Dokumentation zum Lauf ohne Terminal (externe Seite, code.claude.com). Ohne den Schalter --bare laufen die Hooks aus der .claude/settings.json des Projekts, und die Server aus seiner .mcp.json werden verbunden, auch in einem Ordner, dem man nie vertraut hat.

Ein Automat, der ein fremdes Verzeichnis anfasst, tut das ungefragt. Wer solche Läufe baut, entscheidet die Frage vorher und an anderer Stelle, nämlich über die Umgebung, in der sie laufen.

Drei Zahlen aus drei Erhebungen

Über die Wirkung des Klassifikators gegen eingeschleuste Anweisungen liegen drei Zahlen vor. Zwei davon scheinen einander zu widersprechen.

Anthropic ließ die Firma Trajectory Labs von außen prüfen, und die Prüfung kam auf null: Nach der Ankündigung (externe Seite, claude.com) gelang keiner der 720 Angriffsversuche gegen Claude Fable 5, Opus 5 oder Sonnet 5 im Auto-Modus. Geprüft wurde Claude Code 2.1.205 vom 08.07.2026.

Die Angriffe liefen dabei über eine Browser-Anbindung des Prüfers. Die Schutzschichten der Browser-Erweiterungen von Anthropic und OpenAI waren nach Anthropics eigener Angabe nicht Teil der Messung.

Der Sicher­heits­for­scher Johann Rehberger erreichte mit Opus 5 im Auto-Modus die Ausführung eigenen Codes, angestoßen über eine Bitte, eine Webseite zusammenzufassen. In seinem Bericht (externe Seite, embracethered.com) nennt er Erfolgsquoten der Angriffe von bis zu 80 Prozent, gemessen an einer kleinen Stichprobe.

Die Auflösung steht in seinem eigenen Beitrag (externe Seite, embracethered.com), und sie ist eine Aussage über Erhebungen im Allgemeinen: Der Benchmark maß einen festen Satz von 72 Fällen, jeden davon zehnmal durchlaufen. Null Prozent im Benchmark und eine funktionierende Ausführung eingeschleusten Codes aus der Ferne sind deshalb zugleich wahr.

720 Läufe über 72 vorher festgelegte Fälle. Eine Quote von null Prozent beschreibt diese 72 Fälle, alles andere lag außerhalb der Messung. Rehberger schreibt die Grenze seiner eigenen Zahl im Bericht (externe Seite, embracethered.com) daneben: Er hält seine Ergebnisse für repräsentativ für einen entschlossenen Angriff, für vollständig hält er sie nicht.

Eine dritte Zahl stammt aus einer Prüfung, die Anthropic mit der Firma Apollo Research gemacht hat. Apollo schleuste dafür künstliche Angriffe in echte Arbeitsverläufe ein. Diese Angriffe waren nach der Ankündigung (externe Seite, claude.com) mit Absicht feindselig gebaut, um die Schwächen des Klassifikators zu finden. Vor einer Nachbesserung übersah der Klassifikator 12 Prozent davon, danach noch 7 Prozent. Anthropic hält für diese eigene Zahl dieselbe Einschränkung fest: Die Quote von 7 Prozent ist an genau diesem Satz von Angriffen gemessen und gilt ausdrücklich nicht als Quote im echten Betrieb.

Drei Angaben, drei Erhebungen, und jede gilt für ihren eigenen Satz an Fällen. Wer eine davon als Aussage über den Alltag liest, hat die Erhebung nicht gelesen.

Der Modus, der kaum noch prüft

Bleibt der letzte Modus, und für ihn gibt es genau eine richtige Umgebung. Die Dokumentation (externe Seite, code.claude.com) sagt zuerst, was er leistet: bypassPermissions bietet keinen Schutz gegen eingeschleuste Anweisungen oder ungewollte Handlungen.

Ganz ohne Rückfrage läuft er trotzdem nicht. Die Doku führt Handlungen auf, die kein Modus von selbst freigibt, auch bypassPermissions nicht. Dazu zählen Werkzeuge mit einer ausdrücklichen ask-Regel und das Löschen eines Pfads, den Claude Code als kritisch erkennt. Im Terminal läuft dabei wieder der Countdown von zwei Minuten.

Und dann, wo er hingehört (externe Seite, code.claude.com): nur in abgetrennte Umgebungen wie Container, virtuelle Maschinen oder Dev-Container ohne Internetzugang.

Damit endet, was Rechte und Modi beantworten können. Sie regeln, ob ein Befehl startet. Sobald diese Frage niemand mehr stellt, hängt alles daran, was der laufende Befehl erreicht, und das ist eine Eigenschaft der Umgebung. Sie ist der Gegenstand von Kapitel 09.