Claude Code Berechtigungsregeln (allow/ask/deny) und settings.json: der Leitfaden

Mit den Berechtigungsregeln von Claude Code kannst du allow- / ask- / deny-Einträge in der settings.json schreiben, um feingranular festzulegen, welche Tools, Befehle, Dateien und Domains ohne Rückfrage laufen, jedes Mal nachfragen oder verboten sind. Sie lassen sich im Team teilen, sodass du gefährliche Aktionen sicher blockierst, während sichere Routinearbeit ungestört durchläuft.

Dieser Leitfaden behandelt, was Berechtigungsregeln sind (und wie sie sich von Berechtigungsmodi unterscheiden), die allow/ask/deny-Reihenfolge, die Regelsyntax, die settings.json-Hierarchie sowie praktische Rezepte — alles auf Basis der offiziellen Spezifikation.

1. Was Berechtigungsregeln sind (vs. Modi)

Claude Code verwendet ein gestuftes Berechtigungssystem. Lesevorgänge (Dateiansichten, Grep usw.) brauchen keine Freigabe; Bash-Befehle und Dateibearbeitungen schon — und zusätzlich zu diesem Grundverhalten kannst du mit Regeln feingranulare Ausnahmen festlegen (Quelle: offizielles „Configure permissions" von Claude Code).

Regeln werden leicht mit Berechtigungsmodi verwechselt. Modi sind das grobe Grundverhalten „wie oft wird gefragt" (default/acceptEdits/auto usw.); Regeln sind Festlegungen pro Tool und pro Befehl. Sie wirken zusammen — der Modus legt das Grundverhalten fest, und Regeln überschreiben es mit „immer erlauben" oder „nie erlauben".

2. allow / ask / deny und die Reihenfolge

Es gibt drei Regeltypen. Der Befehl /permissions listet und bearbeitet sie (und zeigt an, aus welcher settings.json jede stammt).

Regeln werden in der Reihenfolge deny → ask → allow ausgewertet. Der erste Treffer entscheidet über das Ergebnis, und die Spezifität einer Regel ändert die Reihenfolge nicht. Ein weit gefasstes Bash(aws *)-deny schlägt ein spezifischeres Bash(aws s3 ls)-allow. Der Punkt: ein deny kann keine Allowlist-Ausnahmen mitführen.

3. Regelsyntax (Tool(specifier))

Das Format lautet Tool (alles) oder Tool(specifier) (spezifisch). Jedes Tool hat seinen eigenen Specifier-Stil.

Bash-Wildcards dürfen überall stehen. Bash(ls *) (Leerzeichen + *) passt auf ls -la, aber nicht auf lsof (Wortgrenze); Bash(ls*) (ohne Leerzeichen) passt auf beides. Ein abschließendes :* ist gleichbedeutend mit *.

// Sichere Befehle erlauben, git push verbieten
{
  "permissions": {
    "allow": [
      "Bash(npm run *)",
      "Bash(git commit *)"
    ],
    "deny": [
      "Bash(git push *)"
    ]
  }
}

Achte auf zusammengesetzte Befehle. Claude Code versteht Trennzeichen wie && || ; |, und jeder Teilbefehl muss eigenständig zutreffen. Bash(safe-cmd *) erlaubt nicht safe-cmd && rm -rf .. Beachte, dass schreibgeschützte Befehle (ls/cat/grep/find/pwd usw.) in jedem Modus ohne Rückfrage laufen und Wrapper wie timeout/nice/nohup vor dem Abgleich entfernt werden.

Read/Edit-Pfade folgen der gitignore-Semantik mit vier Ankern:

※ /Users/... ist NICHT absolut — es ist relativ zur Projektwurzel. Verwende //Users/... (doppelter Schrägstrich) für absolute Pfade. Read(.env) entspricht Read(**/.env) und passt auf jede .env darunter.

4. settings.json-Hierarchie und Vorrang

Regeln liegen in der settings.json. Es gibt mehrere Dateien, und höhere Ebenen sind stärker. Die zentrale Regel: ein deny auf jeder Ebene schlägt immer ein allow auf jeder anderen Ebene.

// .claude/settings.json (im Team geteilt)
{
  "permissions": {
    "defaultMode": "acceptEdits",
    "allow": ["Bash(npm run *)", "WebFetch(domain:docs.example.com)"],
    "deny": ["Read(.env)", "Read(**/secrets/**)", "Bash(git push *)"],
    "additionalDirectories": ["../shared-lib"]
  }
}

Der Standard-Berechtigungsmodus wird hier ebenfalls gesetzt, als defaultMode (Details zu Modi). Um außerhalb des Arbeitsverzeichnisses zu lesen/bearbeiten, füge Pfade zu additionalDirectories hinzu.

5. Praktische Rezepte

Häufige Kombinationen. Das Grundprinzip: Gefährliches sicher verbieten, sichere Routine erlauben, um sie zu automatisieren.

URLs über Bash-Argumentmuster einzuschränken ist fragil (curl http://github.com/ * lässt sich leicht über -X GET oder Variablenexpansion umgehen). Verbiete stattdessen curl/wget und erlaube bestimmte Domains mit WebFetch(domain:...). Für strengere Kontrolle validiere URLs in einem PreToolUse-Hook.

6. Stolperfallen und häufige Verwechslungen

• Deny wird von Claude Code durchgesetzt, nicht vom Modell. „Lies das nicht" in deinem Prompt oder in CLAUDE.md zu schreiben hält es ohne Regel nicht auf.
• Read/Edit-deny kann indirekten Zugriff nicht verhindern. Es gilt für die eingebauten Datei-Tools und cat/head/sed, aber nicht für ein Python- oder Node-Skript, das Dateien selbst öffnet. Für eine Durchsetzung auf Betriebssystemebene nutze zusätzlich Sandboxing.
• Achte auf Umgebungs-Runner. devbox run *, npx und docker exec führen ihre Argumente als Befehl aus, sodass Bash(devbox run *) auch devbox run rm -rf . zulässt. Schreibe Regeln, die den inneren Befehl einschließen.
• Hooks überschreiben keine Regeln. Ein PreToolUse-Hook kann Berechtigungen erweitern, aber deny/ask werden unabhängig davon ausgewertet, was der Hook zurückgibt (deny-zuerst bleibt unverändert).

※ Das Verhalten entspricht den offiziellen Claude-Code-Dokumenten (Configure permissions / Settings), Stand Juni 2026. Es kann sich ändern — prüfe die offiziellen Dokumente für den aktuellen Stand.

Zusammenfassung

Drei Kernaussagen zu den Berechtigungsregeln von Claude Code.

• Was sie sind: allow/ask/deny in der settings.json, um pro Tool, Befehl, Datei und Domain zu erlauben/nachzufragen/zu verbieten. Modi legen das Grundverhalten fest; Regeln kümmern sich um die Details.
• Vorrang: deny → ask → allow (erster Treffer gewinnt; Spezifität ist irrelevant). Ein deny auf jeder Ebene gewinnt immer. Ebenen: verwaltet > CLI > local > Projekt > Nutzer.
• Syntax: Tool(specifier). Bash nutzt Wildcards (Leerzeichen + * ist eine Wortgrenze), Read/Edit nutzen Pfade im gitignore-Stil, WebFetch nutzt domain:. Zusammengesetzte Befehle erfordern, dass jeder Teilbefehl zutrifft.

„Gefährliches sicher blockieren, sichere Routine automatisieren" ist der Kern des Regeldesigns. Kombiniere es mit Berechtigungsmodi, Hooks und der effort-Einstellung, um Claude Code sicher und reibungslos zu betreiben.

FAQ