Claude Code genehmigt sich jetzt selbst

Wir haben unseren eigenen Ersatz trainiert, und wir sind verdammt gut darin.

Entwickler bestätigen 97 Prozent aller Berechtigungsanfragen, die Claude Code ihnen zeigt. Nicht weil sie jede einzelne gelesen und für sicher befunden haben, sondern weil die Anfragen so oft erscheinen, dass das Bestätigen zum Muskelgedächtnis geworden ist. Anthropic hat die Zahlen gesehen, das gleiche Muster erkannt und entschieden: Der Freigabe-Dialog war ein Sicherheitstheater, das alle beruhigt hat, ohne tatsächlich sicherer zu sein.

Ab dem 14. August arbeitet Claude Code standardmäßig im Auto-Modus für Pro-, Max- und Team-Konten. Anstatt bei jedem Schritt um Erlaubnis zu fragen, führt das Tool eigene Aktionen aus \u2014 es sei denn, ein Klassifikator stellt fest, dass die Aktion irreversibel, destruktiv oder außerhalb der Entwicklungsumgebung liegt. Enterprise-Kunden behalten das Opt-In-Modell.

Der Schritt ist ein stilles Eingeständnis: Das genehmigungsbasierte Sicherheitsmodell für KI-Coding-Tools versagt in der Praxis, auch wenn es in der Theorie gut aussah.

Wie der Auto-Modus funktioniert

Claude Codes Auto-Modus ist kein simpler An-Aus-Schalter. Anthropic hat einen Klassifikator gebaut, der vor jeder Aktion des Tools prüft, ob sie sicher ist. Ist die Aktion Routine (eine Datei bearbeiten, einen Test ausführen, einen Commit pushen), lässt der Klassifikator sie durch. Könnte die Aktion destruktiv sein (eine Produktionsdatenbank löschen, Infrastruktur verändern, Daten exfiltrieren), pausiert der Klassifikator und fordert menschliche Bestätigung an.

Die Schwelle ist bewusst konservativ gewählt. Laut Anthropic darf der Auto-Modus nur Aktionen ausführen, die nicht als irreversibel, destruktiv oder außerhalb der Entwicklungsumgebung eingestuft werden. Alles, was diese Grenzen überschreitet, erfordert weiterhin menschliche Freigabe.

Anthropic hat auch eine Prompt-Injection-Überprüfung in die Auto-Modus-Pipeline eingebaut. Wenn ein Angreifer versucht, Claude Code durch injizierte Anweisungen in gelesenem Code zu kapern, soll der Klassifikator dies abfangen, bevor die Aktion ausgeführt wird. Anpassbare Hard-Deny-Regeln erlauben Organisationen, bestimmte Aktionen komplett zu blockieren.

Die Zahlen hinter der Änderung

Anthropics interne Tests zeichnen ein düsteres Bild der menschlichen Überwachung. In einer Studie mit 1.053 bezahlten Testern erkannte der Auto-Modus 89 Prozent der schädlichen Aktionen. Menschliche Prüfer, die mit denselben Szenarien konfrontiert waren, erkannten nur 13,6 Prozent. Die Lücke erklärt sich größtenteils durch die 97-Prozent-Bestätigungsrate der Entwickler \u2014 wenn man fast alles genehmigt, prüft man nichts wirklich.

Das Unternehmen führte auch interne Red-Teaming-Übungen durch, bei denen der Auto-Modus verhinderte, dass Claude vertrauliche Daten auf eine öffentliche Seite hochlud. In einer langen Sitzung beendete das Tool rund 2.000 Prozesse, die laufende GPU-Trainingsaufträge gestört hätten.

Teams mit Auto-Modus erstellten etwa 25 Prozent mehr Pull-Requests als Teams mit manuellen Freigaben. Der Produktivitätsgewinn kommt laut Anthropic vor allem durch den Wegfall der ständigen Bestätigungsklicks, nicht durch intelligentere KI.

Ein unabhängiges Audit von Trajectory Labs testete die Sicherheitsgrenzen des Auto-Modus. Das Unternehmen führte 72 Angriffsszenarien jeweils zehnmal gegen Claudes aktuelle Modelle \u2014 Fable 5, Opus 5 und Sonnet 5 \u2014 im Auto-Modus durch. Keiner der 720 Versuche war erfolgreich. Die gleiche Prüfung ergab, dass 5,83 Prozent ähnlicher Angriffe OpenAI’s GPT-5.6 Sol im Codex Auto-Review-Modus umgingen.

Das Reviewer-Paradoxon

Anthropics eigene Richtlinien untergraben die Zuversicht, die ihre Zahlen vermitteln. "Für Änderungen an der Produktionsinfrastruktur mit hohem Risiko empfehlen wir weiterhin, Claudes Aktionen selbst zu überprüfen", schreibt das Unternehmen.

Das schafft ein Paradoxon. Je seltener Entwickler eingreifen, um die Entscheidungen des Auto-Modus zu prüfen, desto wichtiger wird ihre gelegentliche Überwachung. Aber ein Entwickler, der wochenlang KI-generierten Code prüft und hunderte Aktionen bestätigt oder ablehnt, ohne sich wirklich damit auseinanderzusetzen, entwickelt nicht das tiefe Projektverständnis, das seine Prüfung bedeutsam macht, wenn es wirklich darauf ankommt.

Claude-Code-Chef Boris Cherny scheint das nicht zu beunruhigen. "Das Team und ich nutzen ausschließlich den Auto-Modus, und das seit vielen Monaten. Ich kann mir nicht vorstellen, zu Berechtigungsanfragen zurückzukehren", schrieb er auf X.

Das Geschäftsmodell dahinter

Anthropic verlangt keine Gebühren für die Token, die der Klassifikator verbraucht. Aber die Standardeinstellung des Auto-Modus hat eine klare Geschäftslogik: Wenn Claude Code länger arbeitet und mehr erledigt, steigt der gesamte Token-Verbrauch \u2014 und damit der Umsatz. Anthropic stellt die Änderung als Sicherheitsverbesserung dar, was sie auch sein mag, aber der finanzielle Anreiz passt nahtlos zur Produktentscheidung.

Claude Code ist laut mehreren Branchenumfragen das mit Abstand am weitesten verbreitete KI-Coding-Tool. Die Standardeinstellung des Auto-Modus verschiebt die Rolle des Entwicklers weiter vom aktiven Programmieren hin zur Überprüfung KI-generierter Ausgaben. Ob dieser Wandel Entwickler produktiver oder einfach nur weniger engagiert macht, ist eine Frage, die die Branche im kommenden Jahr beantworten wird.

Quellen

• TechCrunch: Anthropic is turning Claude Code's auto mode on by default
• The Decoder: Anthropic sets Claude Code to Auto Mode by default to protect developers from bad approvals
• 9to5Mac: PSA: Claude Code enabling auto mode as default next week, Anthropic says
• The New Stack: Auto Mode will soon be the default in Claude Code - because humans can\u2019t be trusted