Ab heute fragt Claude Code nicht mehr nach. Und das ist die sicherere Variante.

Was sich heute ändert

Claude Code ist das Werkzeug, mit dem ich den größten Teil meiner Kundensysteme baue. Bisher lief das so: Der Agent will einen Befehl ausführen, eine Datei ändern, ein Verzeichnis anlegen, und fragt vorher. Ja, nein, immer erlauben. Bei einer längeren Aufgabe kommen so schnell dreißig bis fünfzig solcher Fragen zusammen.

Seit heute ist das nicht mehr die Voreinstellung. Der sogenannte Auto Mode schickt stattdessen jeden Werkzeugaufruf durch eine automatische Prüfung und hält nur noch dort an, wo es wirklich ernst wird: bei Aktionen, die sich nicht rückgängig machen lassen, die etwas zerstören, oder die aus der Arbeitsumgebung hinauszielen, also nach außen senden oder Daten abfließen lassen.

Abschalten geht weiterhin, im Betrieb per Tastenkürzel, für ein ganzes Team zentral über eine Einstellung namens disableAutoMode. Und es gibt eine Rückfallregel, die ich für den klügsten Teil der ganzen Sache halte: Wenn drei Aktionen hintereinander oder zwanzig in einer Sitzung blockiert werden, geht das Werkzeug von selbst wieder auf manuelle Freigaben zurück. Es merkt also, wenn es in einer Ecke arbeitet, in der es nichts zu suchen hat.

Die Zahl, die wehtut

Anthropic hat die Umstellung nicht einfach behauptet, sondern gemessen. In einem Test mit 1.053 zahlenden Nutzern wurde ein gefährlicher Befehl in laufende Sitzungen eingeschleust. Die Menschen, die jede Freigabe einzeln bestätigen mussten, haben ihn in 13,6 Prozent der Fälle erwischt. Die automatische Prüfung in 89 Prozent.

Der zweite Wert ist mir noch wichtiger. Die menschliche Trefferquote war nicht gleichmäßig schlecht, sie ist abgerutscht. Am Anfang einer Sitzung lag sie bei rund 17 Prozent, nach mehr als fünfzig vorangegangenen Eingaben nur noch bei etwa 5. Die Prüfung dagegen blieb konstant. Je länger man arbeitet, desto weniger liest man. Das überrascht niemanden, der schon einmal Cookie-Banner geklickt hat, aber hier steht eine Zahl dran.

Dazu passen die Schadenszahlen: In 6,3 Prozent der manuell freigegebenen Sitzungen kam es zu einer schädlichen Aktion, im Auto Mode in 2,4 Prozent. Weniger Fragen, weniger Schaden.

Wen das überhaupt betrifft

Hier wird es im Netz gerade unsauber erzählt, deshalb sortiere ich das kurz, bevor jemand in Panik verfällt oder sich fälschlich betroffen fühlt.

Warum ich es trotzdem aufschreibe: Weil die Zahl dahinter für jeden gilt, der irgendwo eine Freigabestrecke gebaut hat. Und das sind in meinen Kundenprojekten fast alle.

Warum Durchklicken nie Sicherheit war

Fast jeder Betrieb, mit dem ich arbeite, hat irgendwann denselben Satz gesagt: „Der Mitarbeiter schaut ja nochmal drüber, bevor es rausgeht." Das fühlt sich nach Kontrolle an. Es ist aber nur dann Kontrolle, wenn derjenige, der draufschaut, auch versteht, was er sieht, und die Zeit hat, es wirklich zu lesen.

Bei der dritten Rechnung am Tag ist das noch der Fall. Bei der vierzigsten nicht mehr. Genau diesen Verfall zeigen die Zahlen oben, nur eben an Terminalbefehlen statt an Rechnungen.

Ich habe das bei mir selbst erlebt. Beim Aufbau der Mac-Steuerung für meinen eigenen Agenten hat mich der Freigabe-Spam wochenlang genervt, jeder Klick, jedes Fenster, jede Kleinigkeit. Und was passiert, wenn man vierhundert Mal Ja geklickt hat? Man klickt das vierhunderterste Mal auch Ja. Die Stellen, an denen ich tatsächlich aufmerksam war, waren nicht die mit den meisten Abfragen, sondern die mit den wenigsten.

Was an die Stelle des Klicks gehört

Wenn die Einzelfreigabe wegfällt, muss die Kontrolle woanders hin. Nicht auf die Frage „darf der Agent diesen Schritt tun", sondern auf die Frage „was kann er überhaupt erreichen". Das ist die eigentliche Arbeit, und sie macht man einmal statt vierzig Mal am Tag.

• Eigener Zugang statt Chefzugang. Der Agent bekommt einen eigenen Benutzer mit eigenen Rechten, nicht das Konto des Geschäftsführers. Wenn er nur Angebote lesen darf, kann er auch keine löschen.
• Alles nach außen bleibt Handarbeit. Mail an einen Kunden, WhatsApp, Buchung, Zahlung, Veröffentlichung. Das sind bei mir ausnahmslos Entwürfe, die ich freigebe. Nicht weil die KI zu dumm wäre, sondern weil man eine gesendete Mail nicht zurückholt.
• Umkehrbar bauen. Alles, was rückgängig gemacht werden kann, darf der Agent allein. Backup vorher, Papierkorb statt endgültig löschen, Entwurfsstatus statt sofort scharf.
• Testdaten zuerst. Ein neuer Agent arbeitet die ersten Wochen auf Kopien. Das kostet einen Nachmittag Einrichtung und erspart die Frage, ob man sich das überhaupt trauen kann.
• Protokoll, das jemand liest. Nicht bei jedem Schritt fragen, sondern hinterher nachvollziehen können, was passiert ist. Einmal die Woche zehn Minuten durchsehen bringt mehr als vierzig Klicks am Tag.

Wo ich vorsichtig bleibe

Ich will das nicht schöner machen, als es ist. Die automatische Prüfung ist selbst ein Modell, und 89 Prozent sind nicht hundert. Elf von hundert gefährlichen Befehlen kommen durch, und der Betrieb merkt es im Zweifel erst hinterher. Wer daraus liest, man könne die Aufsicht jetzt komplett abschaffen, hat den Punkt verfehlt.

Was sich verschiebt, ist der Ort der Aufsicht, nicht ihre Menge. Weg vom Ja-Klick im Moment der Aktion, hin zu Rechten, Grenzen und einem Blick auf das Protokoll. Ich weiß auch noch nicht, wie gut die Prüfung bei den eher unauffälligen Fällen greift, etwa wenn ein Agent über eine manipulierte Webseite Anweisungen untergeschoben bekommt. Solche Versuche habe ich in den letzten Wochen selbst zweimal gesehen, getarnt als harmloser Arbeitsauftrag. Beide wurden abgewehrt, aber ich habe sie eben auch gesucht.

Fazit

Wenn in deinem Betrieb jemand jeden KI-Schritt einzeln freigibt und ihr das für eure Sicherheitsmaßnahme haltet, dann ist heute ein guter Tag, das zu überdenken. 13,6 Prozent ist keine Kontrolle, das ist ein Ritual.

Meine Empfehlung: Nimm dir die Freigabestrecken vor, die bei dir laufen, und sortiere sie in zwei Stapel. Alles, was umkehrbar und nach innen gerichtet ist, lässt du den Agenten allein machen und schaust einmal die Woche ins Protokoll. Alles, was rausgeht oder sich nicht rückgängig machen lässt, bleibt beim Menschen, und zwar mit so wenigen Fällen pro Tag, dass er sie auch wirklich liest.

Über mich

Ich bin Christian Denzer und baue KI-Agenten für KMU in Schleswig-Holstein und darüber hinaus. In Workshops und Erstgesprächen schaue ich mir zuerst an, wo ein Betrieb Kontrolle nur simuliert und wo sie wirklich sitzt. Das ist meistens der Punkt, an dem sich am schnellsten etwas ändern lässt.

Quellen: Anthropic, „Auto mode becomes the default in Claude Code" zu Rollout am 14. August 2026, Studie mit 1.053 Testern, 13,6 gegenüber 89 Prozent erkannter gefährlicher Befehle, 6,3 gegenüber 2,4 Prozent schädlicher Sitzungen, Rückfallregel nach drei bzw. zwanzig Blockierungen und der Einstellung disableAutoMode · Digital Applied zum Wechsel des Berechtigungsmodells mit dem Verlauf der menschlichen Erkennungsrate von rund 17 auf etwa 5 Prozent nach mehr als fünfzig Eingaben und dem Hinweis, dass Enterprise, API, AWS Bedrock, Google Cloud und Microsoft Foundry ausgenommen bleiben. Einordnung für KMU aus eigener Arbeit an Kundensystemen und dem eigenen Agentenaufbau, Juni bis August 2026.