Codex und Claude Code schreibgeschützt nutzen: Analyse und Beratung ohne Änderungen

Sie möchten die Struktur oder Fehler eines bestehenden Projekts untersuchen, ohne Code zu bearbeiten, Einstellungen zu ändern oder Software zu installieren. Bereiten Sie sowohl einen Untersuchungsauftrag als auch Berechtigungen vor, die Änderungen einschränken. Die schreibgeschützte Sandbox von Codex und der Plan-Modus von Claude Code verfolgen verwandte Ziele, funktionieren aber unterschiedlich.

Am 9. Oktober 2026 anhand der offiziellen Dokumentation von OpenAI und Anthropic geprüft. Die Startbeispiele dieses Artikels wurden nicht auf einem realen Rechner ausgeführt. Wir unterscheiden dokumentiertes Produktverhalten von Bedingungen, die Sie in Ihrer Umgebung prüfen müssen.

1. Anweisungen und Berechtigungsbeschränkungen

Ein Auftrag wie „Untersuche Probleme im Anmeldeablauf“ lässt offen, ob der Agent gefundene Probleme beheben oder nach dem Bericht aufhören soll. „Nimm keine Änderungen vor“ vermittelt Ihre Absicht, entfernt aber weder Bearbeitungswerkzeuge noch die Schreibmöglichkeiten der Shell.

Die Dokumentation von Claude Code erklärt, dass Aufträge und CLAUDE.md beeinflussen, was das Modell versucht, während das Berechtigungssystem bestimmt, welche Aktionen erlaubt sind. Auch wenn Sie Verbote in Codex’ AGENTS.md festhalten, müssen Sie Anweisungen von tatsächlichen Berechtigungen unterscheiden. Quelle: Berechtigungen in Claude Code.

2. Codex: Einstellungen für App, IDE und CLI

Desktop: Schreibbeschränkungen in Settings prüfen

Öffnen Sie in der Desktop-App über das App-Menü Settings → Configuration. Die Tastenkombination für Einstellungen lautet unter Windows Ctrl+, und unter macOS Cmd+,. Der offizielle Configuration-Bildschirm zeigt Approval policy und Sandbox settings getrennt an. Die Bezeichnungen können je nach Sprache und Version variieren.

Quellen: offizieller Configuration-Bildschirm, Einstellungen öffnen, Berechtigungssteuerung unter dem Eingabefeld.

Bei unklarer Oberfläche: Open config.toml nutzen

Öffnen Sie die Konfigurationsdatei über Settings → Configuration → Open config.toml. Die Benutzereinstellungen liegen normalerweise unter ~/.codex/config.toml. Bei den bisherigen Sandbox-Einstellungen wählen diese Werte Lesezugriff ohne Schreibrechte und eine Richtlinie ohne zusätzliche Genehmigungsanfragen. Dies ist ein Konfigurationsbeispiel; das Lesen des Artikels ändert Ihre Einstellungen nicht.

sandbox_mode = "read-only"
approval_policy = "never"

Benutzereinstellungen betreffen auch App, IDE-Erweiterung und CLI, die dieselbe Konfiguration lesen. Vertrauenswürdige Projekteinstellungen in .codex/config.toml, Startoptionen und verwaltete Richtlinien können ebenfalls gelten. Dass diese beiden Zeilen vorhanden sind, beweist daher nicht, dass sie aktiv sind. In der CLI können /status und /debug-config die Ausführungsbedingungen und die Herkunft der Einstellungen anzeigen. Für eine Untersuchung in einer einzigen Sitzung ohne dauerhafte Änderungen nutzen Sie das folgende CLI-Beispiel.

Die neuere Funktion Permission profiles ist in der Beta und bietet eine weitere Konfigurationsmethode, darunter das integrierte Profil :read-only. Bei Kombination mit bisherigen Einstellungen wie sandbox_mode oder --sandbox können die bisherigen Einstellungen Vorrang haben; verwaltete Richtlinien bringen weitere Ausnahmen mit. Prüfen Sie Ihre bestehende Methode, bevor Sie beide ergänzen. Quelle: Konfigurationsdatei öffnen, Rangfolge der Konfiguration, Permission profiles.

Codex bietet außerdem /plan, um vor der Umsetzung einen Plan anzufordern. Allerdings müssen Sie Planungsauftrag und Einschränkungen für Dateischreibzugriffe getrennt prüfen. Nehmen Sie nicht an, dass die Bearbeitungssperren oder Ausnahmen von Claude Code Plan auch für Codex gelten, nur weil beide denselben Namen nutzen. Quelle: Codex /plan.

IDE-Erweiterung: Codex Settings über das Zahnradsymbol öffnen

Nutzen Sie oben in der Codex-Seitenleiste Zahnradsymbol → Codex Settings, um gemeinsame Einstellungen zu prüfen, und Open config.toml für Details. Prüfen Sie auch die Berechtigungssteuerung unter dem Eingabefeld. Die Erweiterungseinstellungen des Editors sind von der Datei config.toml getrennt, die der Agent liest. Das Abschalten von IDE context, das geöffnete Dateien bereitstellt, entzieht dem Agenten nicht die Leseberechtigung für Dateien. Quelle: Entwicklereinstellungen je Client.

CLI: Optionen für diese Sitzung setzen

Wenn Codex CLI bereits verfügbar ist, öffnen Sie im zu untersuchenden Ordner ein Terminal und starten Sie es wie folgt. Sie müssen die Konfigurationsdatei nicht dauerhaft ändern. Die verwalteten Richtlinien Ihrer Organisation und die Fähigkeiten Ihrer CLI-Version haben weiterhin Vorrang.

codex --sandbox read-only --ask-for-approval never

never bedeutet keinen Vollzugriff. Sandbox-Typ und Genehmigungsrichtlinie sind getrennte Einstellungen. OpenAIs offizielle Kombinationstabelle enthält read-only mit never zum Lesen von Dateien und Ausführen von Befehlen innerhalb dieser Beschränkungen. Quelle: Agentengenehmigungen und Sicherheit.

Der Unterschied zu on-request

Mit --ask-for-approval on-request kann der Agent die Genehmigung für eine Aktion außerhalb der Sandbox anfordern. Auch bei einem schreibgeschützten Start verändert die Genehmigung einer solchen Ausführung die ursprüngliche Grenze. „Falls nötig, vor Änderungen fragen“ und „Diesmal keine Änderungen vornehmen“ sind unterschiedliche Richtlinien.

Web, Cloud und Remote: Anzeigegerät und Ausführungsumgebung unterscheiden

Web-Arbeit nutzt eine verwaltete Ausführungsumgebung und liest Ihre lokale Codex-Konfigurationsdatei nicht. Die beiden obigen Zeilen auf Ihrem PC machen die Cloud-Ausführung allein nicht schreibgeschützt. Prüfen Sie die Kontrollen der Cloud-Oberfläche und des Arbeitsbereichs. Ein gleichwertiges Startverfahren für einen vollständigen Cloud-Schreibschutz haben wir nicht bestätigt.

Wenn Sie mit Remote laufende PC-Arbeit in einer anderen Oberfläche ansehen, zählen die Einstellungen auf dem Rechner, der die Befehle tatsächlich ausführt. Verlassen Sie sich nicht auf Beschränkungen allein auf dem Anzeigegerät. Siehe Codex lokal, per Remote oder in der Cloud nutzen. Quelle: Web-Einstellungen und lokale Einstellungen.

3. Claude Code nur zum Untersuchen und Planen nutzen

Claude Desktop: Plan neben der Senden-Schaltfläche im Code-Tab auswählen

Diese Anleitung gilt für den Code-Tab von Claude Desktop. Einstellungen von Chat und Cowork sind nicht mit den Berechtigungsmodi von Claude Code gleichzusetzen. Wir verwenden hier die Modusbezeichnungen der offiziellen englischen Dokumentation; die tatsächlichen Bezeichnungen können je nach Anzeigesprache und Version abweichen.

Über die Auswahl aktiviertes Plan gilt nur für diese Sitzung. Andere Moduswahlen werden pro Ordner gespeichert und haben Vorrang vor permissions.defaultMode in der Einstellungsdatei. Soll auch ein neues Gespräch nur der Untersuchung dienen, prüfen Sie jedes Mal die Anzeige Plan. Dass dieselbe Einstellungsdatei wie in der CLI gelesen wird, bedeutet nicht, dass die Moduswahl in die nächste Sitzung übernommen wird. Quelle: Desktop-Berechtigungsmodi und Speicherung der Auswahl.

VS Code: Plan über die Modusanzeige unter dem Eingabefeld auswählen

Öffnen Sie das Chatfenster von Claude Code und wählen Sie Modusanzeige unter dem Eingabefeld → Plan. Ab v2.1.280 können Sie zum Wechseln auch /plan im Fenster senden. Öffnet sich der Plan als Markdown-Dokument, lesen Sie ihn als Untersuchungsergebnis, ohne die Umsetzung zu genehmigen.

Laut aktueller offizieller Spezifikation wird die Arbeitsbereichseinstellung für claudeCode.initialPermissionMode ignoriert. Das unterscheidet sich vom Verhalten vor v2.1.225. Auch die Auswahl von Plan im Chat betrifft nur dieses Gespräch. Gehen Sie nicht davon aus, dass permissions.defaultMode in der Projektdatei .claude/settings.json zwangsläufig den Anfangsmodus von VS Code ändert. Prüfen Sie die Rangfolge der Erweiterungseinstellung für den Anfangsmodus, des zuletzt gewählten normalen Modus, verwalteter Einstellungen, Benutzereinstellungen und weiterer geltender Konfiguration.

Achten Sie auch auf ungespeicherte Dateien. Die Erweiterungseinstellung claudeCode.autosave speichert Editoränderungen, bevor Claude liest oder schreibt. Unterscheiden Sie KI-Bearbeitungen des Quellcodes von durch den Editor gespeicherten Dateien. Auch das automatische Anhängen geöffneter Dateien ist von Zugriffsbegrenzungen zu trennen. Quelle: VS-Code-Modussteuerung, Erweiterungseinstellungen und Rangfolge.

Bedienelemente in Web, Mobilgeräten und JetBrains

Normale Dateibearbeitungen sind in Cloud vorab genehmigt. Behandeln Sie Cloud daher nicht wie Manual. Wählen Sie für Untersuchungen ausdrücklich Plan und weisen Sie den Agenten an, nach dem Bericht zu stoppen, statt mit der Umsetzung fortzufahren. Das Genehmigungsverhalten von Cloud bedeutet nicht, dass Quelldateien in Plan bedingungslos umgeschrieben werden dürfen. Quelle: Moduswechsel je Oberfläche, Cloud-Modi.

CLI: In Plan starten und Umsetzung nicht genehmigen

Starten Sie Claude Code CLI mit folgender Option im Plan-Modus. Reguläres Plan liest Dateien, untersucht Struktur und Probleme und plant vorgeschlagene Änderungen. Änderungen über Quellcode-Bearbeitungswerkzeuge sind normalerweise gesperrt, Plandateien werden jedoch erstellt.

claude --permission-mode plan

Shell-Befehle in Plan sind nicht ausnahmslos auf reine Lesebefehle begrenzt. Wenn auto verfügbar und useAutoModeDuringPlan aktiviert ist, kann ein Klassifikator sie prüfen und zulassen. Unter anderem wenn auto nicht verfügbar ist, benötigen Befehle außerhalb der integrierten Liste reiner Lesebefehle eine Genehmigung. Quelle: Plan unter Permission modes.

Wenn Sie weder Shell-Befehle noch Bearbeitungswerkzeuge wünschen

Wenn das Lesen von Code und die Untersuchung der Struktur ausreichen, begrenzen Sie mit --tools die integrierten Werkzeuge. Dieses Beispiel beschränkt die Werkzeuge zur Dateiinspektion auf Read, Glob und Grep und sperrt zusätzlich MCP-Werkzeuge. EndConversation bleibt zum Beenden des Gesprächs verfügbar. Gegenüber regulärem Plan sind die Untersuchungsmöglichkeiten eingeschränkt: Prüfungen, die eine Befehlsausführung erfordern, sind nicht mehr verfügbar.

claude --permission-mode plan --tools "Read,Glob,Grep" --disallowedTools "mcp__*"

Ersetzen Sie dies nicht durch --allowedTools. Diese Option legt Werkzeuge fest, die ohne Bestätigung zulässig sind; sie beschränkt die verfügbaren Werkzeuge nicht auf diese Liste. Außerdem beschränkt --tools allein MCP nicht, weshalb eine zusätzliche Option nötig ist. Quelle: CLI-Referenz.

Desktop besitzt keine UI-Steuerung auf Sitzungsebene, die den CLI-Optionen --allowedTools oder --disallowedTools entspricht. Berechtigungsregeln in Einstellungsdateien gelten, doch die Plan-Schaltfläche allein erzeugt nicht dieselben Beschränkungen wie dieses Beispiel mit begrenzten Werkzeugen. Quelle: Fähigkeiten von Desktop und CLI.

Dieses Beispiel macht nicht Ihren gesamten PC schreibgeschützt, einschließlich gespeicherter App-Daten oder geladener Einstellungen und Hooks. Prüfen Sie beim Öffnen eines unbekannten Projekts vorhandene Hooks, Plugins und externe Verbindungen gesondert. Für strengere Abläufe verändert --restricted, verfügbar ab v2.1.248, mehr als nur die Werkzeuge: unter anderem auch, welche Einstellungen geladen werden. Es ist kein anderer Name für Plan mit unveränderter gewohnter Umgebung.

Zur dauerhaften Verwaltung von Werkzeugberechtigungen siehe allow-, ask- und deny-Einstellungen in Claude Code. Zur Bash-Isolation siehe Sandbox-Konfiguration und Grenzen. Eine Isolation, die standardmäßig Schreibzugriffe auf den Arbeitsbereich erlaubt, hat einen anderen Zweck als reine Untersuchungen.

4. Ein direkt nutzbarer Untersuchungsauftrag

Fordern Sie den Agenten nach dem Einrichten der Berechtigungen auf, nach dem Bericht zu stoppen. Wenn Sie Untersuchungsumfang und das Ergebnis, das die Aufgabe abschließt, präziser als mit „Repariere das“ oder „Verbessere das“ festlegen, reduzieren Sie Missverständnisse, die zur Umsetzung führen.

Untersuche bei dieser Aufgabe nur den aktuellen Zustand und gib Empfehlungen. Setze nichts um.

Umfang: Anmeldeablauf und Autorisierungsgrenzen dieses Projekts.
Erlaubt: Zugängliche Quelldateien lesen und Struktur sowie Probleme erklären.
Verboten: Dateien erstellen, bearbeiten oder löschen; Einstellungen ändern; Abhängigkeiten ergänzen;
          Builds, Tests, Datenbankoperationen, Commits, Pushes, Deployments
          oder Änderungen an externen Diensten.
          Berechtigungen nicht erweitern, um Hooks oder Skripte auszuführen.

Ergebnisse:
1. Verarbeitungsablauf mit untersuchten Dateien und Zeilennummern
2. Belege, Auswirkungen und Priorität jedes möglichen Problems
3. Verbesserungsvorschläge ohne Ausführung und nötige Prüfungen vor der Umsetzung
4. Fragen, die Lesen allein nicht klärt, und nicht ausgeführte Prüfungen

Auch bei Änderungsbedarf nach der Empfehlung stoppen und nichts ausführen.
Beende die Aufgabe nach Abgabe des Untersuchungsberichts.

Auch bei Zustimmung zu einer Verbesserung können Sie im Untersuchungsgespräch antworten: „Behalte dies als möglichen Ansatz. Setze ihn nicht um.“ Starten Sie für die Umsetzung ein separates Entwicklungsgespräch mit neu festgelegten Umfängen für Änderungen, Tests und Veröffentlichung. So bleiben Untersuchungsbeschränkungen und Aufgabenzweck im Einklang.

5. Prüfungen vor und nach der Untersuchung

Beenden Sie die Prüfung nicht bei „Das Modell sagt, es hat nichts geändert“. Sie müssen auch nicht probeweise in den zu schützenden Quellcode schreiben, um dessen Unverändertheit zu prüfen. Beginnen Sie bei Oberfläche, Konfigurationserläuterungen und vorhandenen Diffs und halten Sie verbleibende Unsicherheiten fest.

Bei Git-Projekten die Diffs vergleichen

Diese Befehle zeigen beispielsweise geänderte Dateien sowie Zusammenfassungen vorgemerkter und nicht vorgemerkter Diffs. Prüfen Sie beides vor und nach der Untersuchung, damit Sie bestehende eigene Änderungen nicht mit KI-Änderungen verwechseln. Dieses Beispiel setzt voraus, dass das Zielrepository bereits Git nutzt.

git status --short
git diff --stat
git diff --cached --stat

Diese Befehle beweisen nicht, dass nirgendwo etwas geändert wurde. git diff zeigt keine unversionierten Dateien. Die Prüfungen decken auch nicht alle ignorierten Dateien, Orte außerhalb des Arbeitsbereichs, Datenbanken oder externen Dienste ab. Abschließende Diffs zeigen ebenso keine Änderung, die anschließend rückgängig gemacht wurde. Unterscheiden Sie im Bericht geprüfte und nicht geprüfte Bereiche. Offizielle Git-Dokumentation: git status, git diff.

6. Nicht ausführbare Prüfungen und verbleibende Risiken

Auch Tests und Builds können Dateien schreiben

Selbst ohne Codebearbeitung können Tests temporäre Dateien oder Snapshots schreiben, Builds Artefakte erzeugen und Paketmanager Caches oder Abhängigkeiten schreiben. Nehmen Sie nicht an, dass „nur Tests ausführen“ nichts ändert. Ein Fehler unter Schreibschutz kann das beabsichtigte Ergebnis der Beschränkungen sein und muss kein Programmfehler sein.

Wenn ein Bericht eine mögliche Umgehung der Autorisierung unter bestimmten Bedingungen feststellt, kann der nächste Schritt ein Reproduktionsplan in einer separaten Prüfumgebung sein. Eine bessere Untersuchung verlangt nicht, sofort Schreibzugriffe auf eine Produktionsdatenbank oder einen Rechner mit Geheimnissen zuzulassen. Die Trennung zwischen statisch feststellbaren Punkten und notwendigen Ausführungsprüfungen macht den Bericht für Entscheidungen nützlicher.

Auch Codex-Netzwerkbeschränkungen unterscheiden Kommunikation von Sandbox-Befehlen vom Dienstverkehr für Modelle, Authentifizierung und andere Zwecke. Ein schreibgeschützter Start garantiert nicht, dass gelesene Informationen nicht an das Modell gesendet oder zum Training genutzt werden. Quelle: Geltungsbereich von Permissions. Zum Blockieren geheimer Dateiinhalte siehe geheime Dateien und Berechtigungen in Codex. Zu Training und Aufbewahrungseinstellungen siehe Trainingsnutzung und Datenschutz bei ChatGPT und Codex.

Zusammenfassung

Geben Sie bei Codex Schreibschutz und eine Genehmigungsrichtlinie vor. Prüfen Sie bei Claude Code die Startbedingungen von Plan und begrenzen Sie bei Bedarf die verfügbaren Werkzeuge. Formulieren Sie anschließend einen Auftrag, der mit der Berichtsabgabe endet. Bei beiden Werkzeugen lassen sich Untersuchung und Ausführung von Änderungen getrennt halten.

Wenn strenge Beschränkungen Fragen offenlassen, akzeptieren Sie die Liste nicht ausgeführter Prüfungen und einen Vorschlag für weitere Verifikation, statt beiläufig zum Vollzugriff zu wechseln. Kontrollen für lesbare Informationen, externe Werkzeuge und gespeicherte App-Daten erfordern eine eigene Gestaltung neben dem Verbot von Quellcodeänderungen.

FAQ

Macht „Nur untersuchen“ den Agenten schreibgeschützt?

Das vermittelt das Ziel, ändert aber nicht die tatsächlichen Bearbeitungsfähigkeiten oder Befehlsberechtigungen. Nutzen Sie zusätzlich Codex’ Sandbox oder Plan und Werkzeugbeschränkungen in Claude Code und prüfen Sie deren genaue Grenzen.

Garantiert Claude Code Plan, dass keine Dateien geändert werden?

Nein. Normalerweise sperrt Plan Quellcodeänderungen, erstellt jedoch Plandateien. Die offizielle Dokumentation sagt außerdem, dass Plan-Beschränkungen in interaktiven Terminalsitzungen mit verfügbarem Bypass nicht durchgesetzt werden. Der Modus verbietet nicht jeden Schreibvorgang auf Ihrem PC.

Bedeutet Codex’ Genehmigungsrichtlinie „never“ uneingeschränkten Zugriff?

Sie bedeutet keine Genehmigungsanfragen und deaktiviert die Sandbox nicht. In Kombination mit read-only untersucht der Agent innerhalb dieser Beschränkungen. Unterscheiden Sie dies vom Start mit Vollzugriff.

Schließt eine schreibgeschützte Untersuchung eine Sicherheitsprüfung ab?

Nein. Durch Lesen gefundene mögliche Probleme unterscheiden sich von Ergebnissen einer tatsächlichen Reproduktion. Wenn Konfiguration, Laufzeitumgebung oder abhängige Dienste nicht geprüft werden können, bleiben die Schlussfolgerungen begrenzt. Berichten Sie Belege und Unbekanntes und planen Sie nötige Demonstrationen in einer separaten Prüfumgebung.

Verhindert Ask for approval in der Codex-App Bearbeitungen?

Allein nicht. Genehmigungsrichtlinie und Dateischreibbeschränkungen sind getrennt. Prüfen Sie Configuration und aktive Berechtigungen und nutzen Sie für reine Untersuchungen Beschränkungen entsprechend read-only.

Gilt einmal ausgewähltes Plan in Claude Desktop oder VS Code auch beim nächsten Mal?

Plan über die Auswahl gilt nur für dieses Gespräch beziehungsweise diese Sitzung. Prüfen Sie die Anzeige jedes Mal. In VS Code lässt sich der Anfangsmodus mit der Benutzereinstellung claudeCode.initialPermissionMode festlegen.