20 Berechtigungsbasierte Architektur20 Berechtigungsbasierte Architektur

21</h3>21</h3>

22 22 

23Im manuellen Modus startet Claude Code mit Nur-Lesen-Berechtigungen. Wenn Claude Code Dateien bearbeiten, Tests ausführen oder Befehle ausführen muss, fragt es Sie zuerst, und Sie entscheiden, ob Sie die Aktion einmalig genehmigen oder von nun an zulassen möchten.23Der Berechtigungsmodus einer Sitzung legt fest, welche Aktionen Claude ausführen kann, ohne Sie vorher zu fragen. Der Auto-Modus ist der integrierte anfängliche Berechtigungsmodus für interaktive Terminal- und VS Code-Sitzungen. [Mit welchem Modus eine Sitzung startet](/docs/de/permission-modes#which-mode-a-session-starts-in) behandelt frühere Versionen, andere Oberflächen und die Einstellungen, die den anfänglichen Berechtigungsmodus ändern.

24 24 

25Im manuellen Modus fragt Claude Code auch vor der Ausführung von Bash-Befehlen, die Ihr System ändern können. Es führt einen integrierten Satz von [Nur-Lesen-Befehlen](/docs/de/permissions#read-only-commands) wie `ls`, `cat` und `git status` ohne Aufforderung aus. Sie und Ihre Organisation konfigurieren diese Berechtigungen direkt.25* **Auto-Modus**: Ein separates Klassifikatormodell überprüft Aktionen anstelle von Ihnen und blockiert diejenigen, die es als unsicher einstuft. [Wie der Klassifikator Aktionen bewertet](/docs/de/permission-modes#how-the-classifier-evaluates-actions) listet auf, welche Aktionen Claude Code direkt genehmigt, welche es an den Klassifikator sendet und bei welchen Claude Code Sie weiterhin fragt. Ihre expliziten Nachfrage- und Ablehnungsregeln gelten weiterhin, und Ihre Organisation kann [den Auto-Modus deaktivieren](/docs/de/permission-modes#eliminate-prompts-with-auto-mode)

26* **Manueller Modus**: Claude Code startet mit reinen Leseberechtigungen. Wenn es Dateien bearbeiten, Tests ausführen oder Befehle ausführen muss, fragt es Sie zuerst, und Sie entscheiden, ob Sie die Aktion einmalig genehmigen oder von nun an zulassen möchten. Es führt einen integrierten Satz [nur lesender Befehle](/docs/de/permissions#read-only-commands) wie `ls`, `cat` und `git status` aus, ohne nachzufragen

26 27 

27Im [automatischen Modus](/docs/de/permission-modes#eliminate-prompts-with-auto-mode) überprüft ein separates Klassifizierungsmodell Aktionen anstelle von Ihnen und blockiert diejenigen, die es als unsicher einstuft. [Wie der Klassifizierer Aktionen bewertet](/docs/de/permission-modes#how-the-classifier-evaluates-actions) listet auf, welche Aktionen Claude Code direkt genehmigt, welche es an den Klassifizierer sendet, und welche Claude Code Sie noch fragt. Ihre expliziten Zulassungs- und Ablehnungsregeln gelten weiterhin, und Ihre Organisation kann [den automatischen Modus deaktivieren](/docs/de/permission-modes#eliminate-prompts-with-auto-mode).28Sie und Ihre Organisation konfigurieren diese Berechtigungen direkt. Für detaillierte Berechtigungskonfiguration siehe [Berechtigungen](/docs/de/permissions).

28 

29Welcher Berechtigungsmodus eine Sitzung startet, hängt von Ihrem Plan, der Oberfläche, von der Sie sie starten, und Ihren Einstellungen und denen Ihrer Organisation ab; siehe [Berechtigungsmodi](/docs/de/permission-modes#which-mode-a-session-starts-in).

30 

31Für detaillierte Berechtigungskonfiguration siehe [Berechtigungen](/docs/de/permissions).

32 29 

33<h3 id="built-in-protections">30<h3 id="built-in-protections">

34 Integrierte Schutzmaßnahmen31 Integrierte Schutzmaßnahmen

37Um Risiken in agentengestützten Systemen zu mindern:34Um Risiken in agentengestützten Systemen zu mindern:

38 35 

39* **Sandbox-Bash-Tool**: [Sandbox](/docs/de/sandboxing) Bash-Befehle mit Dateisystem- und Netzwerkisolation, wodurch Berechtigungsaufforderungen reduziert werden, während die Sicherheit gewährleistet bleibt. Konfigurieren Sie mit `/sandbox`, um Grenzen zu definieren, in denen Claude Code autonom arbeiten kann36* **Sandbox-Bash-Tool**: [Sandbox](/docs/de/sandboxing) Bash-Befehle mit Dateisystem- und Netzwerkisolation, wodurch Berechtigungsaufforderungen reduziert werden, während die Sicherheit gewährleistet bleibt. Konfigurieren Sie mit `/sandbox`, um Grenzen zu definieren, in denen Claude Code autonom arbeiten kann

40* **Arbeitsverzeichnis-Grenze**: Im manuellen Modus kann Claude Code nur in den Ordner schreiben, in dem es gestartet wurde, und in dessen Unterordner, und kann Dateien in übergeordneten Verzeichnissen nicht ohne explizite Genehmigung ändern. Im manuellen Modus fragt Claude Code Sie auch, bevor es Pfade außerhalb dieser Grenze mit den Tools Read, Grep und Glob liest. Erweitern Sie die Grenze mit [zusätzlichen Verzeichnissen](/docs/de/permissions#working-directories), um die Aufforderung zu überspringen, oder beschränken Sie den breiteren Lesezugriff, der für Nur-Lesen-Bash-Befehle verfügbar ist, mit [Sandbox-`denyRead`-Regeln](/docs/de/sandboxing#filesystem-isolation), die nur gelten, wenn Sandboxing aktiviert ist37* **Arbeitsverzeichnis-Grenze**: Im manuellen Modus fragt Claude Code Sie, bevor seine Datei-Tools außerhalb des Ordners, in dem es gestartet wurde, und dessen Unterordnern lesen oder schreiben. Die Grenze ist eine Berechtigungsabfrage, sodass ein von Ihnen genehmigter Bash-Befehl weiterhin überall dort schreiben kann, wo Ihr Benutzerkonto Schreibrechte hat

38 * Um einen Ordner ohne Abfrage zu lesen, fügen Sie ihn als [zusätzliches Verzeichnis](/docs/de/permissions#working-directories) hinzu

39 * Um Bash-Befehle auf Betriebssystemebene einzuschränken, aktivieren Sie [Sandboxing](/docs/de/sandboxing#filesystem-isolation)

41* **Minderung von Genehmigungsmüdigkeit**: Unterstützung für das Zulassen häufig verwendeter sicherer Befehle pro Benutzer, pro Codebasis oder pro Organisation40* **Minderung von Genehmigungsmüdigkeit**: Unterstützung für das Zulassen häufig verwendeter sicherer Befehle pro Benutzer, pro Codebasis oder pro Organisation

42* **Accept Edits-Modus**: Genehmigt automatisch Dateibearbeitungen und einen festen Satz von Dateisystem-Bash-Befehlen wie `mkdir`, `touch`, `rm`, `mv`, `cp` und `sed` für Pfade im Arbeitsverzeichnis. Andere Bash-Befehle und Pfade außerhalb des Umfangs werden weiterhin angefordert41* **Accept Edits-Modus**: Genehmigt automatisch Dateibearbeitungen und einen festen Satz von Dateisystem-Bash-Befehlen wie `mkdir`, `touch`, `rm`, `mv`, `cp` und `sed` für Pfade im Arbeitsverzeichnis. Andere Bash-Befehle und Pfade außerhalb des Umfangs werden weiterhin angefordert

43 42 

45 Benutzerverantwortung44 Benutzerverantwortung

46</h3>45</h3>

47 46 

48Claude Code hat nur die Berechtigungen, die Sie ihm gewähren. Sie sind verantwortlich für die Überprüfung vorgeschlagener Code und Befehle auf Sicherheit vor der Genehmigung.47Sie sind verantwortlich für die Überprüfung vorgeschlagener Code und Befehle auf Sicherheit vor der Genehmigung.

49 48 

50<h2 id="protect-against-prompt-injection">49<h2 id="protect-against-prompt-injection">

51 Schutz vor Prompt-Injection50 Schutz vor Prompt-Injection

58</h3>57</h3>

59 58 

60* **Berechtigungssystem**: Im Manual-Modus erfordern sensible Operationen explizite Genehmigung59* **Berechtigungssystem**: Im Manual-Modus erfordern sensible Operationen explizite Genehmigung

61* **Kontextbewusste Analyse**: Erkennt potenziell schädliche Anweisungen durch Analyse der vollständigen Anfrage

62* **Eingabebereinigung**: Verhindert Befehlsinjektionen durch Verarbeitung von Benutzereingaben

63* **Genehmigung von Netzwerkbefehlen**: Befehle, die Inhalte aus dem Web abrufen, wie `curl` und `wget`, werden standardmäßig nicht automatisch genehmigt. Im Manual-Modus werden sie wie jeder andere nicht-schreibgeschützte Bash-Befehl behandelt, sodass Sie diese trotzdem genehmigen oder eine explizite Zulassungsregel wie `Bash(curl *)` hinzufügen können. Um sie vollständig zu blockieren, fügen Sie sie zu [`permissions.deny`](/docs/de/permissions#tool-specific-permission-rules) hinzu. Eine Deny-Regel entspricht dem Befehl [wie geschrieben](/docs/de/permissions#bash-rule-limits); für Netzwerkdurchsetzung, die nicht vom Befehlstext abhängt, siehe [Sandbox-Netzwerkisolation](/docs/de/sandboxing#network-isolation)60* **Genehmigung von Netzwerkbefehlen**: Befehle, die Inhalte aus dem Web abrufen, wie `curl` und `wget`, werden standardmäßig nicht automatisch genehmigt. Im Manual-Modus werden sie wie jeder andere nicht-schreibgeschützte Bash-Befehl behandelt, sodass Sie diese trotzdem genehmigen oder eine explizite Zulassungsregel wie `Bash(curl *)` hinzufügen können. Um sie vollständig zu blockieren, fügen Sie sie zu [`permissions.deny`](/docs/de/permissions#tool-specific-permission-rules) hinzu. Eine Deny-Regel entspricht dem Befehl [wie geschrieben](/docs/de/permissions#bash-rule-limits); für Netzwerkdurchsetzung, die nicht vom Befehlstext abhängt, siehe [Sandbox-Netzwerkisolation](/docs/de/sandboxing#network-isolation)

64 61 

65<h3 id="privacy-safeguards">62<h3 id="privacy-safeguards">

79</h3>76</h3>

80 77 

81* **Genehmigung von Netzwerkanfragen**: Im Manual-Modus erfordern die meisten Tools, die Netzwerkanfragen stellen, standardmäßig Benutzergenehmigung78* **Genehmigung von Netzwerkanfragen**: Im Manual-Modus erfordern die meisten Tools, die Netzwerkanfragen stellen, standardmäßig Benutzergenehmigung

82* **Isolierte Kontextfenster**: Web Fetch verwendet ein separates Kontextfenster, um die Injection potenziell bösartiger Prompts zu vermeiden79* **Zusammenfassungen von Webseiten**: Bei den meisten Abrufen führt WebFetch einen separaten Modellaufruf über die Seite aus, und Claude erhält die Antwort dieses Aufrufs anstelle der unverarbeiteten Seite. Siehe [Verhalten des WebFetch-Tools](/docs/de/tools-reference#webfetch-tool-behavior)

83* **Vertrauensüberprüfung**: Erste Codebasis-Ausführungen und neue MCP-Server erfordern Vertrauensüberprüfung80* **Vertrauensüberprüfung**: In einer interaktiven Sitzung zeigt Claude Code den Vertrauensdialog für den Workspace an, wenn Sie es in einem Ordner starten, dem Sie noch nicht vertraut haben. Server in der `.mcp.json` eines Projekts haben eine eigene Genehmigungsabfrage, und unter [Projekt-Geltungsbereich](/docs/de/mcp#project-scope) sind die Sitzungen aufgeführt, die diese überspringen

84 * Hinweis: Vertrauensüberprüfung ist deaktiviert, wenn nicht-interaktiv mit dem `-p`-Flag ausgeführt wird81 * Hinweis: Eine `-p`-Sitzung zeigt keine der beiden Abfragen an. [Was ausgeführt wird, bevor Sie einem Ordner vertrauen](/docs/de/permissions#what-runs-before-you-trust-a-folder) listet auf, was die Dateien eines Repositorys dort ausführen können

85 * Hinweis: Wenn Sie Claude Code direkt in Ihrem Home-Verzeichnis starten, wird die Vertrauensannahme nur für die aktuelle Sitzung beibehalten und nicht auf die Festplatte geschrieben, sodass die Eingabeaufforderung bei jedem Start erneut angezeigt wird. Es gibt keine Einstellung, um sie beizubehalten. Starten Sie Claude Code stattdessen aus einem Projektunterverzeichnis, in dem die Vertrauensannahme pro Verzeichnis gespeichert wird82 * Hinweis: Wenn Sie Claude Code direkt in Ihrem Home-Verzeichnis starten, wird die Vertrauensannahme nur für die aktuelle Sitzung beibehalten und nicht auf die Festplatte geschrieben, sodass die Eingabeaufforderung bei jedem Start erneut angezeigt wird. Es gibt keine Einstellung, um sie beizubehalten. Starten Sie Claude Code stattdessen aus einem Projektunterverzeichnis, in dem die Vertrauensannahme pro Verzeichnis gespeichert wird

86* **Erkennung von Befehlsinjektionen**: Im Manual-Modus erfordern verdächtige Bash-Befehle manuelle Genehmigung, auch wenn sie zuvor auf die Zulassungsliste gesetzt wurden83* **Erkennung von Befehlsinjektionen**: Im Manual-Modus fragt Claude Code nach, bevor ein Bash-Befehl ausgeführt wird, den es nicht vollständig analysieren kann. Eine Zulassungsregel für einen Teil eines Befehls, etwa `Bash(git *)`, überspringt diese Abfrage nicht. [In einer Sandbox ausgeführte Befehle](/docs/de/permissions#how-permissions-interact-with-sandboxing) können ohne sie ausgeführt werden

87* **Fail-Closed-Matching**: Im Manual-Modus erfordern nicht übereinstimmende Befehle standardmäßig Genehmigung84* **Fail-Closed-Matching**: Im Manual-Modus erfordern nicht übereinstimmende Befehle standardmäßig Genehmigung

88* **Beschreibungen in natürlicher Sprache**: Komplexe Bash-Befehle enthalten Erklärungen zum Verständnis des Benutzers85* **Sichere Anmeldedatenspeicherung**: API-Schlüssel und Token werden im macOS Keychain gespeichert, wenn verfügbar. Unter Linux werden sie in einer Datei mit dem Modus `0600` gespeichert, unter Windows in einer Datei, die die Zugriffssteuerungen Ihres Benutzerprofilverzeichnisses erbt. Siehe [Credential Management](/docs/de/authentication#credential-management)

89* **Sichere Anmeldedatenspeicherung**: API-Schlüssel und Token werden im macOS Keychain gespeichert, wenn verfügbar, und durch Dateiberechtigungen unter Windows und Linux geschützt. Siehe [Credential Management](/docs/de/authentication#credential-management)

90 86 

91<Warning>87<Warning>

92 **Windows WebDAV-Sicherheitsrisiko**: Wenn Sie Claude Code unter Windows ausführen, empfehlen wir, WebDAV nicht zu aktivieren oder Claude Code keinen Zugriff auf Pfade wie `\\*` zu gewähren, die WebDAV-Unterverzeichnisse enthalten können. [WebDAV wurde von Microsoft als veraltet eingestuft](https://learn.microsoft.com/en-us/windows/whats-new/deprecated-features#:~:text=The%20Webclient%20\(WebDAV\)%20service%20is%20deprecated) aufgrund von Sicherheitsrisiken. Das Aktivieren von WebDAV kann Claude Code ermöglichen, Netzwerkanfragen an Remote-Hosts auszulösen und das Berechtigungssystem zu umgehen.88 **Windows WebDAV-Sicherheitsrisiko**: Wenn Sie Claude Code unter Windows ausführen, empfehlen wir, WebDAV nicht zu aktivieren oder Claude Code keinen Zugriff auf Pfade wie `\\*` zu gewähren, die WebDAV-Unterverzeichnisse enthalten können. [WebDAV wurde von Microsoft als veraltet eingestuft](https://learn.microsoft.com/en-us/windows/whats-new/deprecated-features#:~:text=The%20Webclient%20\(WebDAV\)%20service%20is%20deprecated) aufgrund von Sicherheitsrisiken. Das Aktivieren von WebDAV kann Claude Code ermöglichen, Netzwerkanfragen an Remote-Hosts auszulösen und das Berechtigungssystem zu umgehen.

110 MCP-Sicherheit106 MCP-Sicherheit

111</h2>107</h2>

112 108 

113Claude Code ermöglicht es Benutzern, Model Context Protocol (MCP)-Server zu konfigurieren. Die Liste der zulässigen MCP-Server wird in Ihrem Quellcode konfiguriert, als Teil der Claude Code-Einstellungen, die Ingenieure in die Versionskontrolle einchecken.109Sie können Claude Code mit Model Context Protocol (MCP)-Servern verbinden. Server mit Projekt-Geltungsbereich werden in `.mcp.json` definiert, die Sie in die Versionskontrolle einchecken können. Server mit [anderen Geltungsbereichen](/docs/de/mcp#mcp-installation-scopes) und [claude.ai-Konnektoren](/docs/de/mcp#how-connectors-reach-claude-code) werden außerhalb des Repositorys konfiguriert, und auch Plugins können Server hinzufügen. Eine Überprüfung von `.mcp.json` zeigt daher nicht jeden Server, den eine Sitzung laden kann. Informationen dazu, wie Sie einschränken, welche Server in Ihrer Organisation ausgeführt werden, finden Sie unter [Verwaltete MCP-Konfiguration](/docs/de/managed-mcp).

114 110 

115Wir ermutigen Sie, entweder Ihre eigenen MCP-Server zu schreiben oder MCP-Server von Anbietern zu verwenden, denen Sie vertrauen. Sie können Claude Code-Berechtigungen für MCP-Server konfigurieren. Anthropic überprüft Konnektoren anhand seiner [Auflistungskriterien](https://claude.com/docs/connectors/building/review-criteria), bevor sie zum [Anthropic-Verzeichnis](https://claude.ai/directory) hinzugefügt werden, führt jedoch keine Sicherheitsprüfung durch und verwaltet keinen MCP-Server.111Wir ermutigen Sie, entweder Ihre eigenen MCP-Server zu schreiben oder MCP-Server von Anbietern zu verwenden, denen Sie vertrauen. Sie können Claude Code-Berechtigungen für MCP-Server konfigurieren. Anthropic überprüft Konnektoren anhand seiner [Auflistungskriterien](https://claude.com/docs/connectors/building/review-criteria), bevor sie zum [Anthropic-Verzeichnis](https://claude.ai/directory) hinzugefügt werden, führt jedoch keine Sicherheitsprüfung durch und verwaltet keinen MCP-Server.

116 112 

129* **Isolierte virtuelle Maschinen**: Jede Cloud-Sitzung wird in einer isolierten, von Anthropic verwalteten VM ausgeführt125* **Isolierte virtuelle Maschinen**: Jede Cloud-Sitzung wird in einer isolierten, von Anthropic verwalteten VM ausgeführt

130* **Netzwerkzugriffskontrollen**: Der Netzwerkzugriff ist standardmäßig begrenzt und kann so konfiguriert werden, dass er deaktiviert ist oder nur bestimmte Domänen zulässt126* **Netzwerkzugriffskontrollen**: Der Netzwerkzugriff ist standardmäßig begrenzt und kann so konfiguriert werden, dass er deaktiviert ist oder nur bestimmte Domänen zulässt

131* **Anmeldedatenschutz**: GitHub-Anmeldedaten werden verschlüsselt auf Anthropic-Servern gespeichert und gelangen niemals in die Sitzungs-VM. Die VM enthält eine kurzlebige Anmeldedaten, die auf diese Sitzung begrenzt sind, und der GitHub-Datenverkehr wird über einen [Anthropic-Proxy](/docs/de/cloud-environments#github-proxy) geleitet, der die GitHub-Anmeldedaten auf der Serverseite anfügt. Siehe [GitHub-Authentifizierungsoptionen](/docs/de/claude-code-on-the-web#github-authentication-options), um zu erfahren, wie Sie Zugriff gewähren127* **Anmeldedatenschutz**: GitHub-Anmeldedaten werden verschlüsselt auf Anthropic-Servern gespeichert und gelangen niemals in die Sitzungs-VM. Die VM enthält eine kurzlebige Anmeldedaten, die auf diese Sitzung begrenzt sind, und der GitHub-Datenverkehr wird über einen [Anthropic-Proxy](/docs/de/cloud-environments#github-proxy) geleitet, der die GitHub-Anmeldedaten auf der Serverseite anfügt. Siehe [GitHub-Authentifizierungsoptionen](/docs/de/claude-code-on-the-web#github-authentication-options), um zu erfahren, wie Sie Zugriff gewähren

132* **Branch-Einschränkungen**: Git-Push-Operationen sind auf den aktuellen Arbeitsbranch beschränkt128* **Push-Einschränkungen**: Der [GitHub-Proxy](/docs/de/cloud-environments#github-proxy) lehnt das Löschen von Branches sowie Pushes von allem ab, was kein Branch ist, etwa einem Tag. GitHub entscheidet, welche Branches eine Sitzung aktualisieren kann, indem es die Branch-Schutzregeln und Rulesets Ihres Repositorys auf den von Ihnen verbundenen GitHub-Zugriff anwendet. Eine Regel, die dieser Zugriff umgehen kann, blockiert den Push einer Sitzung nicht

133* **Audit-Protokollierung**: Alle Operationen in Cloud-Sitzungen werden zu Compliance- und Audit-Zwecken protokolliert129* **Audit-Protokollierung**: Alle Operationen in Cloud-Sitzungen werden zu Compliance- und Audit-Zwecken protokolliert

134* **Automatische Bereinigung**: Sitzungs-VMs werden nach einer Phase der Inaktivität freigegeben130* **Automatische Bereinigung**: Sitzungs-VMs werden nach einer Phase der Inaktivität freigegeben

135* **Löschung**: Sie können [eine Sitzung löschen](/docs/de/claude-code-on-the-web#delete-sessions) jederzeit. Siehe [Cloud-Ausführungsdatenfluss](/docs/de/data-usage#cloud-execution-data-flow-and-dependencies), um zu erfahren, was Anthropic für eine Cloud-Sitzung speichert131* **Löschung**: Sie können [eine Sitzung löschen](/docs/de/claude-code-on-the-web#delete-sessions) jederzeit. Siehe [Cloud-Ausführungsdatenfluss](/docs/de/data-usage#cloud-execution-data-flow-and-dependencies), um zu erfahren, was Anthropic für eine Cloud-Sitzung speichert