WissenClaude Code & Vibe Coding
Claude Code Bypass Permissions, wann das wirklich sicher ist
Der Flag --dangerously-skip-permissions überspringt jede Rückfrage in Claude Code. Wann das vertretbar ist und warum nicht der Flag selbst, sondern die Umgebung drumherum über die Sicherheit entscheidet.
Du unterschreibst einen Blankoscheck und legst ihn offen auf den Tisch. Genau das tut der Flag --dangerously-skip-permissions in Claude Code: der Agent führt jede Aktion sofort aus, ohne dich noch einmal zu fragen.
Kurz gesagt
--dangerously-skip-permissions schaltet jede Rückfrage in Claude Code komplett ab, für Dateien, Befehle, MCP-Server und externe Aufrufe. Sicher wird das nur innerhalb einer eigenen Abgrenzung wie einem Container, einer virtuellen Maschine oder der Sandbox-Runtime von Anthropic, nie auf deinem normalen Rechner mit echten Zugangsdaten. Seit März 2026 gibt es mit dem automatischen Modus eine mildere Alternative, die Aktionen noch prüft statt sie blind durchzuwinken.
Was der Flag wirklich abschaltet
Ohne diesen Flag fragt Claude Code bei allem nach, was über reines Lesen hinausgeht, genau das Prinzip hinter den Permissions. Mit dem Flag laufen sämtliche Werkzeugaufrufe einer Sitzung unbestätigt durch: Dateien ändern und schreiben, Terminalbefehle ausführen, Aufrufe an angebundene MCP-Server, externe Web-Abrufe, sogar das Starten weiterer Subagenten. Anthropic selbst baut eine Bremse ein, die oft übersehen wird: unter Linux und macOS verweigert Claude Code mit diesem Flag den Start, sobald der Prozess als root läuft. Der Gedanke dahinter ist einfach, ein Agent ohne jede Rückfrage soll wenigstens nicht mit den höchsten Systemrechten laufen.
Warum eine Abgrenzung allein nicht reicht
Anthropics eigene Dokumentation ist an dieser Stelle ungewöhnlich ehrlich: Isolierung reduziert den Schaden im Ernstfall, beseitigt das Risiko aber nicht. Jede Abgrenzung, die noch Zugriff auf das Netzwerk erlaubt, kann Daten nach außen tragen, die der Agent gerade lesen kann. Jede Abgrenzung, die dein Projektverzeichnis beschreibbar einbindet, lässt genau diesen Code trotzdem verändern. Und ein Punkt, der oft ganz fehlt: eine Sandbox ändert nichts daran, was an das Modell geschickt wird. Deine Prompts und die Dateien, die Claude liest, gehen mit oder ohne Sandbox an die Anthropic-API oder deinen konfigurierten Anbieter.
Für echte Isolierung bietet Anthropic mehrere Stufen an, vom mitgelieferten Entwicklungscontainer mit einer Firewall, die per Voreinstellung jeden Netzwerkzugriff verweigert und nur explizit erlaubte Ziele durchlässt, bis zur eigenen Sandbox-Runtime, einem noch experimentellen Paket, das den gesamten Claude-Code-Prozess in dieselbe Abgrenzung auf Betriebssystemebene packt, die auch das eingebaute Sandboxing für Terminalbefehle nutzt. Diese Runtime blockiert von sich aus die riskantesten Schreibzugriffe, etwa auf Git-Hooks oder die eigene .mcp.json, damit eine kompromittierte Sitzung sich nicht selbst dauerhaft mehr Rechte einrichtet.
Der Unterschied zum automatischen Modus
Seit März 2026 gibt es eine offizielle Zwischenstufe: den automatischen Modus. Anthropic hat gemessen, dass rund 93 Prozent aller Rückfragen ohnehin bestätigt werden, genau der Grund, warum eine reine Klassifizierung als Ersatz für die manuelle Rückfrage Sinn ergibt. Statt jede Aktion an dich weiterzureichen, bewertet ein eigenes Modell jede Aktion einzeln und lässt nur wirklich unauffällige Schritte durch. Der wichtige Unterschied zum Bypass-Flag: der automatische Modus ist eine Kontrolle pro Aktion, keine Abgrenzung des Systems. Eine zusätzliche Isolierung bleibt sinnvoll, ist bei diesem Modus aber nicht zwingend, so wie sie es beim vollständigen Bypass ist.
Wann es wirklich vertretbar ist
- Eine eigene, wegwerfbare Umgebung, Container, virtuelle Maschine oder die Sandbox-Runtime, nie dein normaler Arbeitsrechner.
- Ein Nutzerkonto ohne Root-Rechte, sonst startet Claude Code auf Linux und macOS gar nicht erst.
- Keine echten Zugangsdaten oder Kundendaten in Reichweite der Umgebung.
- Eine enge Freigabeliste an Netzwerkzielen statt offenem Internetzugriff.
- Ein Blick danach: welche Pfade blieben beschreibbar, was hat die Sitzung angelegt.
Ich denke, das eigentliche Missverständnis beim Bypass-Flag ist, dass er nach mehr Tempo klingt. Stimmt auch, für den Moment. Der Punkt ist nur, dass Tempo ohne Abgrenzung nicht Zeit spart, sondern nur den Zeitpunkt verschiebt, an dem etwas schiefgeht, von der Rückfrage nach vorne in den Ernstfall danach. Wer nachts unbeaufsichtigt automatisieren will, kommt an einer der beiden Stufen aus diesem Artikel nicht vorbei, entweder der automatische Modus mit seiner eingebauten Prüfung oder eine echte Abgrenzung um den Bypass-Flag herum.
Quellen: Choose a sandbox environment (Claude Code Docs) · Claude Code --dangerously-skip-permissions: What It Does and When Not to Use It (TrueFoundry) · claude --dangerously-skip-permissions: 5 Safer Setups & the New Auto Mode (Morph)
Häufige Fragen
Ist der Bypass-Flag dasselbe wie der automatische Modus?
Nein. Der automatische Modus prüft jede Aktion noch über eine eigene Bewertung, bevor sie läuft. Der Flag --dangerously-skip-permissions überspringt jede Prüfung komplett, auch die des automatischen Modus.
Kann ich den Flag einfach auf meinem normalen Rechner nutzen?
Technisch ja, empfohlen ist es nicht. Ohne eine eigene Isolierung wie einen Container oder eine virtuelle Maschine schützt dich nichts mehr vor einem fehlerhaften Löschbefehl oder einer unbeabsichtigten Netzwerkverbindung.
Läuft Claude Code mit diesem Flag trotzdem mit vollen Systemrechten als root?
Nein, unter Linux und macOS verweigert Claude Code mit diesem Flag den Start, wenn es als root läuft. Der Container oder die virtuelle Maschine drumherum müssen also mit einem normalen Nutzerkonto laufen, nicht als root.
Was bringt eine Isolierung, wenn Claude trotzdem Zugriff aufs Internet hat?
Weniger, als du denkst. Jede Isolierung, die noch Zugriff nach außen erlaubt, kann trotzdem Daten hinaustragen, die der Agent lesen kann. Die eigentliche Absicherung ist eine enge Freigabeliste an Domains, nicht die Isolierung allein.
Willst du das bei dir umsetzen?
In der Community zeige ich, was bei mir hält. Im Erstgespräch schauen wir uns dein Vorhaben konkret an.