Claude Code: Automatikmodus oder --dangerously-skip-permissions — Claude ohne Rückfragen arbeiten lassen

Was claude dangerously-skip-permissions tatsächlich bewirkt

Der Befehl aktiviert in Claude Code den bypassPermissions Modus:

claude --dangerously-skip-permissions

Der entsprechende explizite Befehl lautet:

claude --permission-mode bypassPermissions

Beide umgehen routinemäßige Berechtigungsfreigaben, wobei die verbleibenden Schutzmaßnahmen weiterhin gelten. Sie bedeuten nicht, dass jede Aktion erfolgreich sein muss oder dass Claude Code niemals eine weitere Frage stellen kann.

Das offizielle CLI-Referenz unterscheidet außerdem zwischen Aktivierung und Verfügbarkeit. Dieser Befehl startet im Planungsmodus und stellt zugleich den Bypass-Modus zur Verfügung:

claude --permission-mode plan --allow-dangerously-skip-permissions

Das zusätzliche Wort allow ist entscheidend: --allow-dangerously-skip-permissions aktiviert den Bypass-Modus nicht sofort.

„Ohne nachzufragen“ hat zwei Bedeutungen

Wenn Entwickler fragen, wie sie Claude Code erlauben können, alles ohne Rückfrage zu tun, meinen sie möglicherweise entweder „Aktionen automatisch genehmigen“ oder „niemals für eine Berechtigungsabfrage anhalten“. Diese Ziele führen zu unterschiedlichen Konfigurationen.

Der Bypass-Modus entfernt routinemäßige Genehmigungsschritte. Der Auto-Modus bewertet Aktionen mit einem Klassifikator. Eine unbeaufsichtigte Konfiguration kann stattdessen alles ablehnen, was eine Rückfrage erfordern würde, sodass die Sitzung innerhalb dieser Grenzen weiterläuft.

Das Überspringen von Berechtigungsfreigaben kann gefährliche und destruktive Folgen haben. Anthropic empfiehlt, den Bypass-Modus nur in isolierten Umgebungen zu verwenden. Betrachten Sie dies als Vorgabe dafür, wo Sie den Befehl ausführen, insbesondere wenn die Aufgabe Löschvorgänge, Zugangsdaten, die externe Weitergabe von Daten oder Bereitstellungsaktionen umfasst.

Vergleich der Berechtigungsmodi von Claude Code

Die Berechtigungsmodi von Claude Code beantworten unterschiedliche Fragen: ob Änderungen vorgenommen werden dürfen, ob eine Aktion überprüft werden muss und was geschieht, wenn eine Genehmigung erforderlich wäre.

Dies sind die grundlegenden Bedeutungen. Das Verhalten im Detail hängt von der installierten Version ab, und die aktuelle Dokumentation kann Änderungen enthalten, die nach dem Veröffentlichungsdatum dieses Artikels vorgenommen wurden. Der CLI-Leitfaden zu Claude Code bietet eine hilfreiche Anlaufstelle für die Auswahl von Startoptionen.

Auto, acceptEdits und dontAsk sind unterschiedliche Optionen

Verwenden Sie acceptEdits wenn Sie Dateiänderungen und gängige Dateisystemoperationen in zulässigen Arbeitsverzeichnissen automatisch genehmigen möchten. Diese Berechtigung ist keine pauschale Genehmigung für jede Aktion.

Der Auto-Modus überträgt Berechtigungsentscheidungen an einen Klassifikator. Genehmigte Aktionen werden ausgeführt; bei blockierten Aktionen versucht Claude einen anderen Ansatz. Wiederholte Blockierungen können eine Genehmigung durch einen Menschen auslösen.

dontAsk verfolgt einen anderen Ansatz: Aktionen, die eine Rückfrage erfordern würden, werden abgelehnt, während bereits erlaubte Aktionen ausgeführt werden können. Es ist sinnvoll, zwischen „keine Genehmigungsabfrage“ und „automatische Genehmigung“ zu unterscheiden, da diese sehr unterschiedliche Ergebnisse liefern.

Auto-Modus: Überprüfung, Standardeinstellungen und Klassifikatorabrechnung

Der Auto-Modus wurde am 24. März 2026 eingeführt, zunächst als Forschungsvorschau für Team-Nutzer. Die offizielle Ankündigung zum Auto-Modus dokumentiert die allgemeine Verfügbarkeit für alle Nutzer am 10. Juli 2026.

Sein Zweck ist es, routinemäßige manuelle Berechtigungsentscheidungen durch eine Klassifikatorprüfung zu ersetzen. Diese Prüfung reduziert Risiken, bleibt jedoch unvollkommen: Der Auto-Modus kann riskante Aktionen genehmigen oder unbedenkliche blockieren. Anthropic empfiehlt auch für den Auto-Modus eine isolierte Umgebung.

Zu den in der technischen Erläuterung beschriebenen Risiken gehören übereifrige Aktionen, ein falsch verstandener Aufgabenumfang, Prompt-Injection, das Aufspüren von Zugangsdaten, die externe Weitergabe von Daten und das Umgehen von Bereitstellungsprüfungen. Der Wegfall routinemäßiger Rückfragen beseitigt nicht die Notwendigkeit, den Umfang der Aufgabe festzulegen.

Was sich im September geändert hat

Claude Code 2.1.278, veröffentlicht am 19. September 2026, stellte den Auto-Modus für Nutzer der Claude API und Enterprise-Nutzer sowie auf Bedrock, Vertex, Foundry und Gateways standardmäßig auf serverseitige Klassifizierung um. Die Formulierung zur Abrechnung war präzise: Bei serverseitiger Klassifizierung „wird der Klassifikator-Overhead nicht berechnet“. In den Versionshinweisen hieß es außerdem, dass sie „bei einem kostenpflichtigen Fallback warnt“.

Diese Änderung betrifft den Ausführungsort des Klassifikators und die Abrechnung seines Overheads. Sie verspricht weder kostenloses Programmieren noch kostenlose Modellnutzung und machte den Auto-Modus auch nicht für alle Nutzer zum anfänglichen Berechtigungsmodus.

Bis zum 27. September waren weitere Veröffentlichungen relevant. Das Changelog mit dem Tag 2.1.283 dokumentiert zwei getrennte Entwicklungen:

• Version 2.1.281 erweiterte CLAUDE_CODE_AUTO_MODE_SERVER auf direkte Verbindungen zur Anthropic API. Wird der Wert auf 0 gesetzt, wird die Funktion deaktiviert und ein Klassifikator verwendet, dessen Nutzung angerechnet wird; 1 aktiviert die Funktion. Außerdem wurde die serverseitige Prüfung von schreibgeschützten und in einer Sandbox ausgeführten Shell-Befehlen dokumentiert.
• Version 2.1.283, veröffentlicht am 25. September, änderte interaktive Sitzungen bei Drittanbietern oder mit deaktivierter Telemetrie so, dass sie im Auto-Modus starten, wenn kein Berechtigungsmodus konfiguriert ist. permissions.defaultMode hat weiterhin Vorrang vor diesem Startverhalten.

Schreiben Sie die Änderung des Startmodus vom 25. September nicht 2.1.278 zu und betrachten Sie die beiden Standardeinstellungen nicht als austauschbar.

Prüfen Sie die Sitzung, statt zu raten

Führen Sie /status und prüfen Sie die Auto mode server Zeile, um zu sehen, ob der Klassifikator der Sitzung auf dem Server ausgeführt wird.

Bei Bedrock, Vertex, Foundry und Gateways CLAUDE_CODE_AUTO_MODE_SERVER=0 deaktiviert die serverseitige Klassifizierung. Das oben beschriebene spätere Verhalten bei direkten API-Verbindungen unterstützt auch eine explizite Aktivierung mit 1.

Die Voraussetzungen für die Nutzung eines Fallbacks in früheren Versionen sind durch die verfügbaren Informationen nicht vollständig belegt. Die belegte Schlussfolgerung ist enger gefasst: Serverseitiger Klassifikator-Overhead wird nicht berechnet, ein kostenpflichtiger Fallback kann eine Warnung auslösen, und die reguläre Modellnutzung bleibt davon getrennt. Weitere Informationen zur Nutzung finden Sie im Preisleitfaden zu Claude Code.

Unbeaufsichtigt ausführen, ohne alles zu genehmigen

Für CI oder andere unbeaufsichtigte Aufgaben ist der Bypass-Modus nicht der einzige verfügbare Ansatz. Claude Code 2.1.259, veröffentlicht am 2. September 2026, ergänzte --permission-prompts none.

Das Versionshinweise zu 2.1.259 beschreiben das Verhalten: Alles, was eine Rückfrage auslösen würde, wird automatisch abgelehnt, während der ausgewählte Berechtigungsmodus weiterhin Entscheidungen trifft.

Zum Beispiel:

claude -p "Run the test suite" --permission-mode auto --permission-prompts none

Der Auto-Modus prüft weiterhin Aktionen. Wenn eine Aktion einen Punkt erreicht, an dem eine Berechtigungsfreigabe erforderlich wäre, lehnt diese Konfiguration sie ab, statt auf eine Person zu warten.

Das ist eine sinnvolle Wahl, wenn eine unbeaufsichtigte Ausführung mit Überprüfung erforderlich ist. Sie garantiert keinen Abschluss: Eine für die Aufgabe notwendige Aktion kann blockiert oder abgelehnt werden. Wählen Sie die Konfiguration danach aus, ob Ihre Priorität bei automatischer Überprüfung, automatischer Bearbeitung oder dem Umgehen routinemäßiger Genehmigungen liegt.

Warum Projekteinstellungen den Modus möglicherweise nicht aktivieren

Seit Version 2.1.257, veröffentlicht am 1. September, defaultMode: "bypassPermissions" ist in beiden unwirksam: .claude/settings.json und .claude/settings.local.json. Dies entspricht der Einschränkung für "auto" in diesen Projekteinstellungsdateien.

Verwenden Sie Benutzer- oder verwaltete Einstellungen oder übergeben Sie --permission-mode beim Start von Claude Code. Für einen bestimmten unbeaufsichtigten Lauf lässt sich der angeforderte Modus mit einem expliziten Befehl leicht prüfen.

Dieselben Workflows lassen sich über ein API-Gateway wie AI Prime Tech ausführen; siehe Claude Code mit einem API-Schlüssel verwenden. AI Prime Tech ist unabhängig und weder mit Anthropic noch mit OpenAI verbunden.

Berechtigungen mit Sandboxing kombinieren

Der Berechtigungsmodus steuert die Genehmigungsentscheidungen. Sandboxing steuert, worauf Befehle zugreifen können. Nutzen Sie beides, wenn Sie weniger Unterbrechungen und zugleich Einschränkungen beim Dateisystem- und Netzwerkzugriff wünschen.

Anthropics Sandboxing-Ankündigung, veröffentlicht am 20. Oktober 2025, beschreibt die durch Linux bubblewrap und macOS Seatbelt durchgesetzte Dateisystem- und Netzwerkisolation, einschließlich gestarteter Unterprozesse. Führen Sie /sandbox aus, um dies zu konfigurieren.

Anthropic berichtete von einer Reduzierung der Berechtigungsabfragen um 84 % bei der internen Nutzung. Das ist ein internes Ergebnis und kein Versprechen, dass jedes Projekt oder jede Aufgabe dieselbe Reduzierung erreichen wird.

Relevante Sandbox-Einstellungen

Diese Einstellungen aktivieren Sandboxing, deaktivieren die dangerouslyDisableSandbox Umgehungsmöglichkeit und setzen voraus, dass die aktivierte Sandbox startet:

{
  "sandbox": {
    "enabled": true,
    "allowUnsandboxedCommands": false,
    "failIfUnavailable": true
  }
}

Die Einstellungen erfüllen unterschiedliche Zwecke:

• sandbox.enabled aktiviert Sandboxing.
• sandbox.allowUnsandboxedCommands: false deaktiviert die Umgehungsmöglichkeit.
• sandbox.failIfUnavailable, hinzugefügt in Version 2.1.83 am 25. März 2026, beendet die Ausführung, wenn die aktivierte Sandbox nicht starten kann, statt ohne Sandbox fortzufahren.

Der Auto-Modus oder der Bypass-Modus lässt sich mit Sandboxing kombinieren. Keine der beiden Berechtigungsoptionen macht die Sandbox-Konfiguration irrelevant, und die serverseitige Prüfung kann auch für Shell-Befehle innerhalb der Sandbox gelten.

Einige Löschabfragen bleiben bestehen

„Berechtigungen überspringen“ garantiert nicht, dass keinerlei Rückfragen auftreten. Bis zum Redaktionsschluss dokumentiert das Änderungsprotokoll, dass gefährliche rm Abfragen sowohl im Bypass- als auch im Auto-Modus zwei Minuten warten und die Aktion anschließend mit einem Hinweis zur Umformulierung ablehnen.

CLAUDE_CODE_DISABLE_DANGEROUS_RM_TIMEOUT=1 deaktiviert diese Zeitüberschreitung. Dies sollte nicht so beschrieben werden, als würden dadurch sämtliche Schutzmaßnahmen beim Löschen deaktiviert oder alle Befehle automatisch erfolgreich ausgeführt.

Berücksichtigen Sie bei unbeaufsichtigter Arbeit die Möglichkeit einer Ablehnung. Eine Aufgabe, die von einer blockierten Aktion abhängt, kann einen angepassten Ansatz erfordern, selbst wenn die üblichen Berechtigungsabfragen entfallen.

Wichtige Erkenntnisse

• claude --dangerously-skip-permissions aktiviert bypassPermissions, wodurch die üblichen Berechtigungsgenehmigungen entfallen, während die verbleibenden Schutzmaßnahmen weiterhin gelten.
• Der Auto-Modus nutzt eine Prüfung durch einen Klassifikator. Er kann Aktionen genehmigen, blockieren oder nach wiederholten Blockierungen schließlich eine menschliche Genehmigung verlangen.
• Die Standardeinstellungen des serverseitigen Klassifikators und die Standardeinstellungen für den anfänglichen Berechtigungsmodus sind separate Änderungen. Version 2.1.278 änderte die Klassifizierung; Version 2.1.283 änderte das Startverhalten für bestimmte interaktive Sitzungen.
• Kombinieren Sie für eine unbeaufsichtigte Ausführung mit Prüfung den Auto-Modus mit --permission-prompts none; Aktionen, die eine Abfrage auslösen würden, werden abgelehnt.
• Nutzen Sie Isolation und Sandbox-Einstellungen zusammen mit den Berechtigungsoptionen. Projekteinstellungen können den Auto- oder Bypass-Modus nicht über defaultModeaktivieren. Verwenden Sie daher Benutzereinstellungen, verwaltete Einstellungen oder einen expliziten CLI-Modus.

FAQ

Erlaubt claude --dangerously-skip-permissions alles ohne Rückfragen?

Es umgeht die üblichen Berechtigungsgenehmigungen durch Aktivierung von bypassPermissions, aber die verbleibenden Schutzmaßnahmen gelten weiterhin. Stand September 27, 2026 konnten gefährliche rm Abfragen im Bypass- und Auto-Modus zwei Minuten warten, bevor die Aktion mit einem Hinweis zur Umformulierung abgelehnt wurde.

Blockiert der Auto-Modus von Claude Code weiterhin Befehle oder fragt er nach einer Genehmigung?

Ja. Der Auto-Modus lässt genehmigte Aktionen zu, blockiert andere, damit Claude einen anderen Ansatz versuchen kann, und kann nach wiederholten Blockierungen eine menschliche Genehmigung auslösen. Das Hinzufügen von --permission-prompts none lehnt automatisch alles ab, was andernfalls eine Abfrage auslösen würde.

Kostet die serverseitige Klassifizierung im Auto-Modus zusätzlich?

Version 2.1.278 gibt an, dass bei der serverseitigen Klassifizierung keine Kosten für den Klassifikatoraufwand berechnet werden und bei einem kostenpflichtigen Fallback eine Warnung ausgegeben wird. Dadurch wird die gewöhnliche Programmierarbeit oder Modellnutzung nicht kostenlos; prüfen Sie die Auto mode server Zeile in /status , um festzustellen, wo der Klassifikator der Sitzung ausgeführt wird.

Warum aktiviert defaultMode in meinem Projekt weder Auto noch Bypass?

Durch Einschränkungen der Projekteinstellungen sind "auto" und "bypassPermissions" als defaultMode Werte in .claude/settings.json und .claude/settings.local.jsonwirkungslos. Verwenden Sie Benutzereinstellungen oder verwaltete Einstellungen, oder starten Sie Claude Code mit einem expliziten --permission-mode Argument.