Was macht der Auto-Modus in Claude Code?

Er lässt das Werkzeug einen Auftrag durcharbeiten, ohne vor jedem einzelnen Schritt zu fragen. Die Umstellung greift seit dem 14. August 2026 für Pro, Max und Team, in neuen Sitzungen und nur, wenn du vorher keine andere Vorgabe gesetzt hast. Er erweitert nicht, was das Werkzeug darf: Ein Klassifikator bewertet jeden Tool-Aufruf, und nach drei aufeinanderfolgenden oder 20 Blockierungen in einer Sitzung schaltet Claude Code auf manuelle Freigaben zurück.

Auf welche Dateien darf Claude Code im Auto-Modus zugreifen?

Auf die Dateien im Ordner, aus dem du es gestartet hast. Anthropic dokumentiert das als Standardverhalten: Claude hat Zugriff auf die Dateien in dem Verzeichnis, in dem du es aufgerufen hast. Deshalb ist ein eigener Projektordner die erste der vier Einstellungen. Startest du in Dokumente, liegen deine Verträge und Rechnungen mit im Arbeitsbereich. Achtung im Monorepo: Liegt der Startordner in einem größeren Git-Repository, gilt das Repository als Projekt, ein Unterordner trennt dann nichts.

Wie verbiete ich Claude Code bestimmte Befehle?

Über die Datei .claude/settings.json im Projektordner. Unter deny steht, was nie läuft, unter ask, was trotz Auto-Modus eine Rückfrage auslöst. Drei bis fünf Einträge reichen: löschen, senden, hochladen, bezahlen. Verbote werden vor Erlaubnissen ausgewertet, ein deny sticht also ein allow aus einer anderen Ebene.

Wie begrenze ich die Kosten von Claude Code?

Bei Abrechnung über einen API-Schlüssel: Ausgabenlimit für den Arbeitsbereich in der Konsole unter console.anthropic.com, plus Benachrichtigung deutlich darunter. Mit Abo-Anmeldung (Pro, Max, Team) verwaltest du zugekaufte Nutzungs-Guthaben mit /usage-credits, das Konsolen-Limit greift dort nicht.

Ist der Auto-Modus gefährlich?

Er macht den möglichen Schaden nicht größer, er nimmt nur die Rückfrage weg. Teuer wird die Kombination aus zu großem Ordner, offenem Limit und fehlender Nie-Liste. Das BSI empfiehlt für KI-Agenten, nur die Zugriffe zu erlauben, die für die konkrete Aufgabe wirklich nötig sind, und wichtige Aktionen erst nach Bestätigung ausführen zu lassen.

Automodus: vier Einstellungen vor dem Start

Rechte, Kostendeckel, Entwurfsordner und deny-Regeln: vier Einstellungen, bevor ein KI-Werkzeug ohne Rückfrage über deine Dateien läuft.

Der Auto-Modus in Claude Code lässt das Werkzeug einen Auftrag komplett durcharbeiten, statt vor jedem einzelnen Schritt um Erlaubnis zu fragen. Damit fällt die letzte eingebaute Bremse weg, der Klick eines Menschen. Vier Einstellungen ersetzen sie: ein eigener Projektordner, eine kurze Liste verbotener Befehle, ein Monatslimit im Konto und ein Entwurfsordner, aus dem nichts von selbst hinausgeht.

Was ändert der Auto-Modus in Claude Code wirklich?

Die Umstellung greift seit dem 14. August für die Lizenzen Pro, Max und Team, und sie greift nur in neuen Sitzungen und nur, sofern du vorher keine andere Vorgabe gesetzt hast. Das meldete heise online am 10. August 2026. In derselben Meldung steht auch die Einschränkung: Der Auto Mode „ersetzt die einzelnen Bestätigungen nicht durch einen uneingeschränkten Zugriff; vielmehr soll ein Klassifikator jeden Tool-Aufruf auf seine Sicherheit hin bewerten". Es gebe „Hard Denies, die der Klassifikator nie selbst freigibt", darunter mögliche Datenexfiltration, und nach drei aufeinanderfolgenden oder 20 Blockierungen in einer Sitzung schalte das Werkzeug automatisch auf manuelle Freigaben zurück.

Was der Modus nicht tut: den Bereich vergrößern. Er nimmt die Rückfrage weg, nicht die Grenze. Die Grenze ist der Ordner, aus dem du startest. Eine Ausnahme wird im Monorepo teuer: Liegt dein Startordner in einem größeren Git-Repository, zählt das Repository als Projekt. Der Klassifizierer vertraut laut Anthropic-Doku dem Arbeitsverzeichnis und den Remotes des aktuellen Repos, ein Unterordner in einem gemeinsamen Repo trennt also keine Kunden. Jeder Kunde bekommt seinen eigenen Ordner außerhalb eines gemeinsamen Repos. In der Berechtigungs-Dokumentation von Anthropic steht das als Standardverhalten: „By default, Claude has access to files in the directory where you launched it." Der Ordner ist damit die wichtigste Einstellung, und sie ist getroffen, bevor der erste Befehl läuft.

Welchen Ordner nehme ich für einen Lauf ohne Rückfragen?

Einen eigenen, in dem nur dieses eine Projekt liegt. Kopier die Arbeitsdateien hinein, die Originale bleiben woanders. Erst dann wechselst du im Terminal in diesen Ordner und startest.

Die Prüffrage dazu ist kurz: Wenn du den Inhalt des Ordners nicht in einem Satz beschreiben kannst, ist er zu groß. Startest du in „Dokumente", liegen deine Verträge und Rechnungen mit im Arbeitsbereich. Ein Ordner, der auch nur eine Datei enthält, die dich nervös macht, ist der falsche Ort für einen Lauf ohne Rückfragen. Dieselbe Frage gilt für jedes Werkzeug dieser Art, auch wenn du parallel mit Codex arbeitest.

Wie schreibe ich die Liste, bei der Claude Code trotzdem fragt?

Im Projektordner legst du .claude/settings.json an. Zwei Listen kommen hinein: deny für das, was nie läuft, und ask für das, was trotz Auto-Modus eine Rückfrage auslöst. Dabei sperrt ein deny-Eintrag genau die genannte Befehlsform: Bash(rm -rf:*) blockt rm -rf, nicht das Löschen an sich. Wer eine harte Grenze braucht, ergänzt die übrigen Formen oder legt einen PreToolUse-Hook davor. Dasselbe gilt für die ask-Regeln auf den Datenordner: Write und Edit decken nur diese beiden Werkzeuge. Schreibt ein Bash-Befehl in den Ordner, über eine Umleitung, sed -i oder ein Script, matcht keine von beiden. Für eine harte Ordner-Grenze gehört Bash im Auto-Lauf zusätzlich unter ask oder ein PreToolUse-Hook davor.

{
  "permissions": {
    "deny": [
      "Bash(rm -rf:*)",
      "Bash(git push:*)",
      "Read(./.env)"
    ],
    "ask": [
      "Bash(git commit:*)",
      "Write(./daten/**)",
      "Edit(./daten/**)"
    ]
  }
}

Drei bis fünf Einträge reichen. Nimm die Befehle, bei denen ein Fehler nicht rückgängig zu machen ist: löschen, senden, hochladen, bezahlen. Eine lange Liste holt genau die Rückfragen zurück, die du losgeworden bist, und ab dem zwölften Mal klickst du sie weg, ohne zu lesen. Kurz und hart schlägt lang und weich.

Verlass dich dabei auf die Rangfolge, nicht auf dein Gedächtnis. Anthropic dokumentiert, dass Verbote vor Erlaubnissen ausgewertet werden: „deny rules from any scope are evaluated before allow rules". Ein Verbot in deinen Projekt-Einstellungen sticht also eine Erlaubnis, die du irgendwann global gesetzt hast.

Das deckt sich mit dem, was das BSI Nutzern von KI-Agenten empfiehlt: „Erlauben Sie einem KI-Agenten nur die Zugriffe, die er für seine spezifische Aufgabe wirklich braucht." Das Amt begründet das mit Prompt Injection, also mit Befehlen, die Angreifer in Webseiten, Dokumenten oder E-Mails verstecken. Wie so ein Zugriff im Alltag zu weit reicht, habe ich am Beispiel des Desktop-Clients aufgeschrieben: was Claude Desktop auf deinem Mac tut.

Wo setze ich ein Monatslimit für Claude Code?

In der Konsole unter console.anthropic.com, nicht im Werkzeug. Jeder Zugangsschlüssel gehört dort zu einem Arbeitsbereich, und für diesen Arbeitsbereich setzt du zwei Zahlen: ein Ausgabenlimit für den Monat und eine Benachrichtigung ab einem Betrag deutlich darunter. Das Konsolen-Limit gilt für API-Arbeitsbereiche. Mit Abo-Anmeldung (Pro, Max, Team) verwaltest du zugekaufte Nutzungs-Guthaben stattdessen mit /usage-credits nach dem /login mit deinem claude.ai-Konto, das Kommando gibt es nur dort, nicht mit API-Schlüssel. Anthropic beschreibt das als vorgesehenen Weg: „You can set workspace spend limits on total Claude Code spend".

Solange ein Mensch jeden Schritt bestätigt hat, hat er den Lauf auch beendet, wenn er zu lange dauerte. Diese Bremse gibt es nicht mehr. Ein Werkzeug, das sich in einer Schleife selbst neu startet, merkt das nicht. Dein Konto merkt es.

Setz das Limit bewusst zu niedrig an. Hochsetzen dauert 30 Sekunden und passiert dann, wenn du weißt, dass sich der Lauf lohnt. Als grobe Einordnung nennt Anthropic in derselben Dokumentation für Unternehmens-Installationen rund 13 US-Dollar pro Entwickler und aktivem Tag, bei 90 Prozent der Nutzer unter 30 US-Dollar pro aktivem Tag. Deine eigene Zahl liest du trotzdem aus deinem ersten Lauf ab, nicht aus dieser Spanne.

Wie verhindere ich, dass die KI etwas veröffentlicht oder verschickt?

Alles, was das Werkzeug produziert, landet in einem Entwurfsordner. Zwei Handgriffe reichen: Der Ausgabeordner steht in der CLAUDE.md deines Projekts, der Textdatei mit den Hausregeln. Und die Zugänge zu Werbekonto, Newsletter oder Shop liegen nicht in diesem Ordner, solange du testest. Beides ist Ordnung, nicht Sperre: Eine CLAUDE.md-Zeile erzwingt nichts, die Grenze erzwingen die deny- und ask-Regeln aus der Listen-Sektion oben, und Zugänge aus Umgebungsvariablen, globalen Logins oder verbundenen Programmen bleiben erreichbar, bis du sie dort sperrst oder für den Lauf trennst. Wie diese Hausregeln mit Skills, Hooks und Subagenten zusammenspielen, steht im Agent Dev Kit für Claude Code.

Das ist die eigentliche Freigabe. Lesen, denken und schreiben darf es ohne Rückfrage. An einen Kunden, an eine Plattform oder in eine Anzeige geht nichts, bevor du es angesehen hast. Auch das BSI rät zu genau dieser Bremse und empfiehlt „Einstellungen, bei denen der Agent wichtige Aktionen erst nach Ihrer Bestätigung ausführt".

Der Satz, den du dir merkst: Es darf alles vorbereiten. Es darf nichts abschicken.

Was liest du nach dem ersten Lauf ab?

Nimm eine kleine Aufgabe, bei der du das richtige Ergebnis vorher kennst, und bleib zwanzig Minuten daneben sitzen, ohne einzugreifen. Du klickst nicht mehr, aber du schaust zu.

Danach liest du drei Dinge ab. Die Kosten im Konto, das ist deine Zahl für das Limit. Die Liste der geänderten Dateien, denn was dort unerwartet auftaucht, gehört in die Nie-Liste. Und die Zeit. Meine eigene Auswertung geht über 138 Unternehmen und 1843 Kampagnen, braucht 33 Minuten und kostet 0,84 Euro Rechenkosten. Das ist meine Zahl aus meinem Konto. Wenn dein erster kleiner Lauf zwei Stunden braucht, war der Auftrag zu unklar formuliert, nicht das Werkzeug zu langsam.

In welcher Reihenfolge gehe ich vor, wenn schon alles läuft?

Du musst nicht alles neu aufsetzen. Diese Reihenfolge ist nach Schaden sortiert, nicht nach Aufwand.

1.Limit setzen, jetzt, zwei Minuten. Die einzige Bremse, die auch ohne dich wirkt.
2.Drei Zeilen in die Nie-Liste. Löschen, hochladen, senden. Fertig ist die erste Fassung.
3.Nachsehen, was schon rausgegangen ist. Änderungen am Projekt, verschickte Nachrichten, veröffentlichte Inhalte. Fünf Minuten, einmal.
4.Das nächste Projekt in einen eigenen Ordner. Das laufende sortierst du nicht mehr um, du legst nur nichts mehr dazu.

Lohnt es sich nicht einfach, den Auto-Modus auszuschalten?

Kannst du machen. Es löst nur nicht das, was du glaubst. Der Klick war nie eine Prüfung. Bei Rückfragen im Minutentakt liest ab der dritten niemand mehr, worauf er klickt. Das ist Gewohnheit, nicht Kontrolle.

Der unbequemere Teil: KI-Werkzeuge sind in der deutschen Wirtschaft kein Sonderfall mehr. 41 Prozent der Unternehmen setzen KI ein, ein Jahr zuvor waren es 17 Prozent, meldet Bitkom am 11. März 2026. Erhoben wurde das telefonisch bei 604 Unternehmen ab 20 Beschäftigten in KW 2 bis KW 6 2026, Solo-Selbstständige sind darin also nicht erfasst.

Und eine ehrliche Gegenrede zur eigenen Seite: Diese vier Einstellungen machen nichts sicher. Sie machen den Schaden klein und sichtbar. Ein Werkzeug, das in einem abgegrenzten Ordner Unsinn baut, kostet dich eine Stunde. Dasselbe Werkzeug ohne Grenze kostet dich einen Tag und ein Gespräch mit einem Kunden.

Das PDF ist die Fassung zum Ausfüllen und Ausdrucken. Ein Blatt pro Projekt: Pfad, drei Nie-Zeilen, Limit mit Datum, Entwurfsordner, Kosten und Dauer des ersten Laufs, nächster Prüftermin. Bleibt ein Feld leer, ist das Projekt nicht startklar. Trag unten deine E-Mail ein, dann kommt der Download sofort.