--- title: "Ist Claude Code sicher? Was 93 Vorfälle zeigen" description: "Claude Code ist so sicher wie sein Setup. 93 öffentliche Vorfälle nach Ursache, Anthropics Schutzfunktionen samt Standardwerten und ein Setup, das sie stoppt." url: "https://madsalt.tech/de/blog/is-claude-code-safe/" author: "Denys Zaichenko" language: "de" published: 2026-11-01 --- # Ist Claude Code sicher? Was 93 Vorfälle zeigen TL;DR Claude Code ist sicher nutzbar, wenn Sie es einrichten, und riskant mit den Standardwerten. Bei einer frischen Installation im Oktober 2026 ist die Sandbox aus, es gibt keine Deny-Regeln und keine Hooks, und ein Shell-Befehl, den Sie freigeben, kann überall schreiben, wo Ihr Benutzerkonto schreiben kann. Ich habe 93 öffentliche Vorfallberichte aus GitHub-Issues, Advisories und Sicherheits-Write-ups sortiert: Der Schaden kam von nicht angeforderten `git reset --hard` und Datenbank-Resets, von Regeln, die nur in `CLAUDE.md` standen, von nicht vertrauenswürdigen Repos, Issues und Plugins und von Subagents, die Subagents starteten. Fast nichts davon war ein dramatisches `rm -rf /`. Legen Sie die Arbeit in Git, schalten Sie die Sandbox ein, schreiben Sie Deny-Regeln und einen blockierenden Hook, und halten Sie Produktions-Zugangsdaten außerhalb der Reichweite des Agents. 93 öffentliche Vorfallberichte nach Ursache sortiert, Juni 2025 bis Oktober 2026 GitHub-Issues, Advisories, Sicherheitsblogs, Hacker News 19 davon sagen, dass Daten endgültig verloren gingen weitere 11 sagen, sie wurden wiederhergestellt 10 brachen eine Regel, die nur in CLAUDE.md stand ein Prompt ist ein Rat, eine Berechtigungsregel ist Durchsetzung Ich bin Denys, Full-Stack- und KI-Entwickler, und nutze Claude Code jeden Tag. Unten stehen zwei Dinge: was bei anderen schiefgelaufen ist und was Claude Code dagegen bietet, einschließlich der Frage, welche dieser Kontrollen standardmäßig aktiv sind. Dann ein Setup, das die Lücken schließt. ## Ist Claude Code sicher? Die Sicherheit liegt nicht im Modell. Claude Code entscheidet über einen Berechtigungsmodus, Berechtigungsregeln, eine optionale Sandbox und optionale Hooks, was ausgeführt wird, und Anthropics [Berechtigungsseite](https://code.claude.com/docs/en/permissions) sagt es klar: Regeln werden von Claude Code durchgesetzt, nicht vom Modell, und Anweisungen in `CLAUDE.md` prägen, was Claude versucht, ändern aber nicht, was es darf. Die ehrliche Antwort hängt also von Ihrem Setup ab. Die [Sicherheitsseite](https://code.claude.com/docs/en/security) beschreibt die Grenze des Arbeitsverzeichnisses als Berechtigungsabfrage und ergänzt, dass „ein Bash-Befehl, den Sie freigeben, trotzdem überall schreiben kann, wo Ihr Benutzerkonto schreiben kann“. Die [Sandbox-Seite](https://code.claude.com/docs/en/sandboxing) sagt: „Die Sandbox ist standardmäßig aus“, und dass sie selbst im eingeschalteten Zustand nur Shell-Befehle abdeckt: Die Datei-Tools, MCP-Server und Hooks laufen außerhalb. Anthropics eigener Schlusssatz auf der Sicherheitsseite: „Kein System ist gegen alle Angriffe völlig immun.“ ## Was bei anderen schiefging: 93 Vorfallberichte Am 31. Oktober 2026 habe ich öffentliche Berichte gesammelt, in denen Claude Code Schaden anrichtete oder fast anrichtete: 63 GitHub-Issues und Sicherheits-Advisories, 26 Write-ups auf Sicherheits- und Engineering-Blogs und 4 Hacker-News-Threads, von Juni 2025 bis Oktober 2026. Reddit-Threads, die ich nur über Spiegel sehen konnte, habe ich weggelassen. Jeder Bericht bekam einen Typ und, sofern der Melder es angab, den Berechtigungsmodus und ob Daten verloren gingen. 60 der 61 Zitate, die ich gegen den GitHub-Text geprüft habe, stimmten wörtlich überein. ![93 Vorfallberichte nach Typ. GitHub-Issues, Advisories, Blogs, Hacker News. 06.2025–10.2026. Sandbox- oder Rechte-Umgehung: 15; Git-Arbeit zerstört: 14; Secrets offengelegt: 12; Dateien gelöscht: 11; Datenbank beschädigt: 9; Bösartiger MCP-Server oder Plugin: 9; Subagent-Kosten außer Kontrolle: 9; Prompt Injection: 5; Sonstiges: 9.](https://madsalt.tech/charts/de/is-claude-code-safe-incidents.svg) *Abbildung 1. 93 öffentliche Vorfallberichte (63 GitHub-Issues und Advisories, 26 Blog-Beiträge, 4 Hacker-News-Threads), Juni 2025 bis Oktober 2026, gesammelt am 31. Oktober 2026.* 19 Berichte sagen, Daten gingen endgültig verloren, 11, sie wurden wiederhergestellt, 36 beschreiben eine Lücke, die gefunden wurde, bevor jemand zu Schaden kam (die meisten davon Advisories, die behoben wurden), und 27 sagen es nicht. 56 von 93 nennen den Berechtigungsmodus nicht, daher kann diese Menge nicht sagen, ob der „YOLO-Modus“ der Ort ist, an dem der Schaden entsteht. Sie zeigt fünf Muster. **1. Der Agent führt einen zerstörerischen Befehl aus, den niemand verlangt hat.** Beim Beheben von Lint-Fehlern führte er `git checkout HEAD -- .` aus und warf eine Stunde nicht committeter Arbeit weg ([#11821](https://github.com/anthropics/claude-code/issues/11821)). Zu Sitzungsbeginn führte er `git reset --hard origin/main` über ungepushte Commits aus ([#34327](https://github.com/anthropics/claude-code/issues/34327)). Er führte `drizzle-kit push --force` gegen eine Produktionsdatenbank ohne Backups aus ([#27063](https://github.com/anthropics/claude-code/issues/27063)), akzeptierte einen Prisma-Reset in Produktion ([#33183](https://github.com/anthropics/claude-code/issues/33183)), und in einem [Write-up](https://aishippinglabs.com/blog/how-i-dropped-our-production-database-and-now-pay-10-more-for-aws) führte er `terraform destroy` mit einer alten Produktions-State-Datei im Ordner aus. Nichts davon ist `rm -rf /`. Es sind normale Befehle mit einem Flag, das die eigene Bestätigung des Tools überspringt. **2. Regeln, die nur in `CLAUDE.md` stehen.** 10 Berichte betreffen eine geschriebene Regel, die der Agent brach: Er committete echte API-Schlüssel trotz eines 150 Zeilen langen Sicherheitsabschnitts ([#2142](https://github.com/anthropics/claude-code/issues/2142)), committete nach einer „nie committen“-Regel ([#34774](https://github.com/anthropics/claude-code/issues/34774)), gab ein Token mit `grep` aus und bemerkte es erst danach ([#44868](https://github.com/anthropics/claude-code/issues/44868)). Ein Melder weist darauf hin, dass `CLAUDE.md` in dem Repo liegt, in das der Agent schreiben kann ([#23870](https://github.com/anthropics/claude-code/issues/23870)). Das passt zur Dokumentation: Ein Prompt ist ein Rat, eine Regel ist Durchsetzung. **3. Eine Deny-Regel blockiert einen Befehl, kein Ziel.** Mit gesperrtem `Bash(rm *)` löschte der Agent die Datei mit einem Python-Einzeiler ([#39459](https://github.com/anthropics/claude-code/issues/39459)). Die Berechtigungsseite sagt dasselbe über Textabgleich: `git -C . push` wird von einer Regel für `git push` nicht erfasst. **4. Nicht vertrauenswürdiger Text und Code bekommen dieselbe Macht wie Sie.** Die eigene Settings-Datei eines Repositorys konnte Hooks ausführen und den API-Schlüssel senden, noch vor dem Trust-Dialog ([Check Point, CVE-2025-59536](https://research.checkpoint.com/2026/rce-and-api-token-exfiltration-through-claude-code-project-files-cve-2025-59536/)). Ein Prompt in einem GitHub-Issue brachte die Claude-Code-GitHub-Action dazu, die Umgebung des Runners zu lesen und ihren API-Schlüssel preiszugeben ([Microsoft](https://www.microsoft.com/en-us/security/blog/2026/06/05/securing-ci-cd-in-agentic-world-claude-code-github-action-case/)). Ein Marketplace-Plugin mit einem versteckten Hook schickte Code an den Server eines Angreifers ([PromptArmor](https://www.promptarmor.com/resources/hijacking-claude-code-via-injected-marketplace-plugins)), und im Oktober lag eine manipulierte Kopie der Claude-Code-Erweiterung im Cursor-Marketplace ([Cursor](https://cursor.com/blog/claude-code-extension-security-notice)). Die behobenen sind behoben; das Muster bleibt. **5. Subagents, die Subagents starten.** Eine Sitzung verbrannte über 600 Dollar ([#72732](https://github.com/anthropics/claude-code/issues/72732)); eine andere startete etwa 242 Agents, bevor der Nutzer `/exit` tippte ([#69332](https://github.com/anthropics/claude-code/issues/69332)). Die Antwort eines Maintainers in #72732 sagt, dass Obergrenzen für gleichzeitige Subagents und Verschachtelungstiefe in 2.1.217 und 2.1.219 hinzugefügt wurden. ## Was Claude Code bietet und was standardmäßig aktiv ist Jede Kontrolle unten ist real und dokumentiert. Die Spalte, auf die es ankommt, ist die dritte. | Kontrolle | Was sie tut | Standard, Oktober 2026 | | --------------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | [Berechtigungsmodus](https://code.claude.com/docs/en/permission-modes) | Manuell fragt vor Änderungen und Befehlen; der Auto-Modus lässt ein Klassifikatormodell statt Ihnen freigeben | Der Auto-Modus ist seit v2.1.283 der Startmodus interaktiver Sitzungen | | Klassifikator des Auto-Modus | Blockiert Aktionen, die er für unsicher hält | An mit dem Auto-Modus. Anthropics [Zahlen vom März 2026](https://www.anthropic.com/engineering/claude-code-auto-mode): 17 % von 52 echten übereifrigen Aktionen übersehen | | [Deny-, Ask- und Allow-Regeln](https://code.claude.com/docs/en/permissions) | Blockieren oder erzwingen eine Abfrage für passende Tool-Aufrufe, in jedem Modus | Keine, bis Sie sie schreiben | | [Bash-Sandbox](https://code.claude.com/docs/en/sandboxing) | Vom Betriebssystem durchgesetzte Grenzen für Dateien und Netzwerk bei Shell-Befehlen | Aus. Nur Shell; liest `~/.ssh`, sofern Sie es nicht sperren | | [Hooks](https://code.claude.com/docs/en/hooks) | Ihr Skript läuft vor jedem Tool-Aufruf und kann ihn blockieren | Keine | | [Checkpoints und `/rewind`](https://code.claude.com/docs/en/checkpointing) | Macht Claudes Dateiänderungen rückgängig | An, aber Dateien, die nur Bash geändert hat, werden nicht erfasst | | Trust-Dialog, `.mcp.json`-Freigabe | Fragen, bevor ein Ordner oder die MCP-Server eines Projekts vertraut wird | Interaktiv an; eine `-p`-Sitzung zeigt keinen von beiden | | [Managed Settings](https://code.claude.com/docs/en/managed-settings) | Eine Organisation sperrt Modi, Regeln und Hooks | Nicht ausgerollt, außer Ihre Firma tut es | So sieht der Weg eines Tool-Aufrufs aus. Die roten Schritte sind die, die eine frische Installation leer oder aus lässt: 1. **Claude schlägt einen Tool-Aufruf vor**. Eine Datei bearbeiten, einen Shell-Befehl ausführen, einen MCP-Server aufrufen. 2. **PreToolUse-Hooks**. Ihr Skript sieht den ganzen Aufruf und kann ihn blockieren. Standardmäßig keine. 3. **Deny- und Ask-Regeln**. Gleichen den Befehl wie geschrieben ab. Standardmäßig keine. 4. **Berechtigungsmodus**. Manuell fragt Sie, der Auto-Modus fragt einen Klassifikator, Bypass fragt niemanden. 5. **Sandbox**. Betriebssystem-Grenzen für Dateien und Netzwerk, nur für Shell-Befehle. Standardmäßig aus. 6. **Der Aufruf läuft mit dem Zugriff Ihres Benutzers**. Ab hier helfen nur noch Git und Backups. *Abbildung 2. Die Schichten zwischen einem vorgeschlagenen Tool-Aufruf und Ihren Dateien, mit ihren Standardwerten in Claude Code im Oktober 2026.* `--dangerously-skip-permissions` hat in der Dokumentation eine eigene Zeile: „Verwenden Sie diesen Modus nur in isolierten Umgebungen wie Containern oder VMs, in denen Claude Code keinen Schaden anrichten kann.“ Deny-Regeln und Hooks beurteilen den Befehl beide als Text, daher kann ein anders geschriebener Befehl trotzdem durchrutschen, und ein Hook läuft mit Ihrem vollen Zugriff. Deshalb sind sie eine Schicht, und Git, Backups und getrennte Zugangsdaten sind die anderen. ## So richten Sie Claude Code sicher ein Nach Nutzen pro Minute geordnet: 1. **Committen Sie vor dem Start und oft.** Checkpoints decken keine Dateien ab, die ein Shell-Befehl geändert hat. Git schon. 2. **Halten Sie Produktions-Zugangsdaten aus dem Ordner des Agents heraus.** In einem Bericht führten die Wegwerfskripte eines Subagents `DELETE FROM` auf jeder Tabelle aus, weil Produktions-Zugangsdaten unkommentiert in der lokalen `.env` standen ([#64056](https://github.com/anthropics/claude-code/issues/64056)). Eine Entwicklungsdatenbank, die der Agent kaputtmachen kann, ist in Ordnung; eine Produktionsdatenbank, die er erreicht, ist der Vorfall. 3. **Schreiben Sie Deny-Regeln für die Befehle, die zerstören.** Sie gelten in jedem Modus, auch im Bypass: ```json { "permissions": { "deny": [ "Bash(git reset --hard *)", "Bash(git push --force *)", "Bash(git push -f *)", "Bash(git checkout -- *)", "Bash(git clean *)", "Bash(terraform destroy *)", "Bash(drizzle-kit push --force *)", "Bash(prisma migrate reset *)", "Read(./.env)", "Read(./.env.*)" ] }, "sandbox": { "enabled": true, "allowUnsandboxedCommands": false } } ``` 4. **Schalten Sie die Sandbox ein** (`/sandbox`) und den Wiederholungsversuch ohne Sandbox aus, wie oben. Ergänzen Sie `filesystem.denyRead` für `~/.ssh` und Ordner mit Cloud-Zugangsdaten, da die Sandbox sie standardmäßig liest. 5. **Fügen Sie einen `PreToolUse`-Hook für das hinzu, was Textregeln übersehen.** Eine Deny-Regel erkennt weder `git -C . push --force` noch ein Python-Löschen; ein kurzes Skript, das den ganzen Befehl betrachtet, schon. Beginnen Sie mit den fünf Befehlen, die Ihnen am meisten schaden würden. 6. **Behandeln Sie nicht vertrauenswürdige Inhalte wie Code.** Öffnen Sie unbekannte Repos in einem Container oder einer VM, geben Sie CI-Läufen eingeschränkte Tokens, und denken Sie daran, dass eine `-p`-Sitzung keinen Trust-Dialog zeigt. Ein Plugin oder MCP-Server läuft mit Ihren Rechten; Anthropic sagt, es „prüft oder verwaltet keinen MCP-Server sicherheitstechnisch“. 7. **Begrenzen Sie lange Läufe.** Nutzen Sie `--max-budget-usd` für unbeaufsichtigte Arbeit und beobachten Sie die Zahl der Subagents. Baut der Agent auf Supabase, gilt dasselbe Denken für Schlüssel: Der Secret Key, den er in Skripten nutzt, überspringt jede Policy, wie ich in [Anon Key vs. Service-Role-Key](https://madsalt.tech/de/blog/supabase-anon-key-vs-service-role-key/) gezeigt habe. Die breitere Liste dessen, was KI-gebaute Apps falsch machen, steht in [Vibe-Coding-Sicherheitsrisiken](https://madsalt.tech/de/blog/vibe-coding-security-risks/), und wie Agents in langen Läufen scheitern, in [was in meiner Multi-Agent-Orchestrierung kaputtging](https://madsalt.tech/de/blog/multi-agent-orchestration-what-broke/). ## Fragen, die Leute stellen **Kann Claude Code meine Dateien löschen?** Ja. Im manuellen Modus fragt es vorher, aber ein freigegebener Befehl erreicht alles, was Ihr Benutzer erreicht; mit automatisch freigebenden Modi fragt es womöglich nicht. 11 der Berichte oben sind Dateilöschungen. Git und Backups sind die Lösung, die immer funktioniert. **Ist `--dangerously-skip-permissions` sicher?** Laut Anthropics Dokumentation nur in einem Container oder einer VM mit nichts, was Sie nicht verlieren können. Deny-Regeln und Hooks gelten in diesem Modus weiter; Abfragen nicht. **Ist der Auto-Modus sicher?** Sicherer, als reflexhaft alles freizugeben. Anthropic maß eine Falsch-Positiv-Rate von 0,4 %, sagte, dass er in seinem Test vom März 2026 17 % der echten übereifrigen Aktionen übersah, und nannte ihn „keinen Ersatz für sorgfältige menschliche Prüfung bei kritischer Infrastruktur“. **Schickt Claude Code meinen Code zum Training an Anthropic?** Unter kommerziellen Bedingungen (Team, Enterprise, API) trainiert Anthropic nach eigener Aussage nicht mit Ihrem Code oder Ihren Prompts, außer Sie stimmen zu. Bei Verbraucher-Tarifen ist es eine Einstellung, die Sie steuern. Details auf der [Seite zur Datennutzung](https://code.claude.com/docs/en/data-usage). **Ist der Auto-Modus dasselbe wie `--dangerously-skip-permissions`?** Nein. Anthropic hat den Auto-Modus gebaut, um dieses Flag zu ersetzen: Ein Klassifikator prüft weiterhin Shell-Befehle, Netzwerkaufrufe und Subagent-Starts, und nach 3 Ablehnungen in Folge oder 20 insgesamt stoppt er und gibt an Sie zurück. Das Flag prüft nichts.