AIREITERAb der folgenden Woche startet Auto Mode in den meisten Claude-Apps standardmäßig für neue Sitzungen auf den Tarifen Pro, Max und Team. Das kündigte Anthropic am 22. Oktober an. Enterprise-Administratoren werden vorab per E-Mail informiert; bei API- und Cloud-Plattformen bleibt die Funktion vorerst optional.
Was sich am 22. Oktober geändert hat – und was nicht
Mit dem Update vom 22. Oktober weitet Anthropic eine Änderung aus Claude Code auf die meisten Claude-Apps aus. Seit dem 14. August 2026 starten neue Claude-Code-Sitzungen auf Pro-, Max- und Team-Tarifen im Auto Mode. Wer zuvor einen anderen Standard festgelegt hatte, bekommt einmalig eine Abfrage angezeigt. In der Ankündigung von Anthropic heißt es nun, dass Auto Mode in der folgenden Woche für neue Sitzungen in den meisten Claude-Apps zum Standard wird. Enterprise-Administratoren erhalten eine E-Mail, bevor die Einstellung in ihrer Organisation umgestellt wird.
Drei Grenzen bleiben bestehen. Team-Administratoren, die in den verwalteten Einstellungen einen Standard festgelegt haben, ändern damit nichts für ihre Nutzer. Enterprise, die Claude API, Claude Platform auf AWS, Amazon Bedrock, Google Cloud's Agent Platform und Microsoft Foundry bleiben opt-in. Dort soll Auto Mode im kommenden Monat ebenfalls zum Standard werden. Persönlich gesetzte Standardmodi bleiben erhalten, sofern der Nutzer die einmalige Umstellungsabfrage nicht bestätigt.
Welche Einstellung sichtbar ist, hängt außerdem von der Version ab. Claude Code v2.1.283 und neuer führt Auto Mode laut Release-Notes-Tracking als integrierten Startmodus für interaktive Terminal- und VS-Code-Sitzungen, wenn kein Berechtigungsmodus konfiguriert ist. Bei einer frischen Installation kann der erste Start trotzdem noch im manuellen Modus erfolgen, falls die Feature-Flags noch nicht ausgerollt wurden.
So entscheidet Claude im Auto Mode
Im Auto Mode wird jeder Tool-Aufruf über einen separaten Klassifikator geleitet, statt für jeden einzelnen Schritt eine Freigabe einzuholen. So beschreibt Anthropic den Mechanismus in seiner Ankündigung. Routinemäßige Aktionen werden zugelassen; als irreversibel, destruktiv oder außerhalb der Arbeitsumgebung eingestufte Aktionen blockiert der Klassifikator. Claude sucht anschließend einen sichereren Weg oder fragt gezielt nach. Wird eine Sitzung dreimal hintereinander oder insgesamt zwanzigmal blockiert, wechselt sie zurück zu manuellen Freigaben.
Explizite Berechtigungsregeln greifen im Auto Mode weiterhin vor dem Klassifikator. Einträge in permissions.deny blockieren eine Aktion direkt und können durch kein Klassifikator-Urteil überstimmt werden. Einträge in permissions.ask lösen immer eine Abfrage aus. Weit gefasste Freigaben für beliebige Codeausführung, etwa Bash(python:*), werden während des Auto Mode ausgesetzt, damit Befehle den Klassifikator nicht vollständig umgehen.
Der Klassifikator berücksichtigt mehr Kontext als eine statische Allowlist. Laut Anthropic prüft er vor einem Git-Push oder Pull Request, ob das Ziel privat, vertrauenswürdig oder öffentlich ist. Vor destruktiven Befehlen wie git reset --hard wird außerdem der aktuelle Git-Status einbezogen.
Externe Inhalte aus Webseiten, Dateien oder Tool-Ausgaben werden auf Prompt-Injection-Versuche geprüft. Wenn etwas verdächtig wirkt, ergänzt Claude seinen Kontext um eine Warnung. Daten-Exfiltration gehört zu den strikt abgelehnten Aktionen und wird nicht automatisch freigegeben. Dafür muss der Modus gewechselt oder der Befehl direkt ausgeführt werden.
Warum Anthropic Auto Mode für besser hält als ständiges Klicken
Anthropic begründet die Umstellung mit einer ergonomischen Verbesserung, die durch Messdaten gestützt werde. In Claude Code akzeptieren Nutzer 97 % der Berechtigungsabfragen, lehnen aber 39 % der angezeigten Pläne ab. Anthropic deutet diese Lücke als reflexartiges Abnicken einzelner Prompts statt als echte Prüfung. Im Juni 2026 hatten 49,5 % der aktiven CLI-Nutzer eine eigene Bash-Allow-Regel geschrieben, 62 % bypassPermissions oder „don't ask again“ verwendet, und 25 % der interaktiven Sitzungen waren im Bypass-Modus gestartet.
Eine kontrollierte Studie soll dieses Verhalten quantifizieren. Anthropic beauftragte über einen Forschungsanbieter 1.053 zahlende Tester, ersetzte pro Sitzung eine Berechtigungsabfrage durch einen eindeutig gefährlichen Befehl und zeichnete die Reaktion auf. Der gefährliche Text führte dabei nichts aus. Menschen erkannten den Befehl in 13,6 % der Fälle (143 von 1.053), während Auto Mode 89 % derselben Befehle blockierte (937 von 1.053).
Im direkten Vergleich blockierte Auto Mode 800 Befehle, die von Menschen freigegeben worden waren. Menschen wiederum blockierten nur 6 Befehle, die Auto Mode zugelassen hatte. Die menschliche Trefferquote fiel von etwa 17 % zu Beginn auf etwa 5 % nach 50 oder mehr vorherigen Abfragen, während Auto Mode konstant blieb.
Auch Produktions- und Drittanbieterdaten weisen laut Anthropics Ankündigung in dieselbe Richtung. Von Mai bis Juni 2026 enthielten 6,3 % der markierten, manuell freigegebenen Sitzungen einen Schaden auf Produktionsniveau, den der Nutzer nicht ausdrücklich angefordert hatte. Bei Sitzungen im Auto Mode waren es 2,4 %. Trajectory Labs führte 72 Prompt-Injection-Szenarien jeweils zehnmal aus: Gegen Claude Fable 5, Opus 5 oder Sonnet 5 im Auto Mode war keiner von 720 Versuchen erfolgreich. Gegen GPT-5.6 Sol im Codex-Auto-review-Modus lag die Erfolgsquote dagegen bei 5,83 %.
Durch Red-Team-Tests von Apollo Research sank die Fehlerrate des Klassifikators von 12 % auf 7 %, nachdem Repository-Sichtbarkeit, Git-Status und Regeln für den Umgang mit Daten ergänzt worden waren. Anthropic nennt außerdem drei interne Fälle, in denen Auto Mode Schaden verhindert habe: einen Upload außerhalb des Netzwerks, der auf eine öffentliche Paste-Seite ausweichen wollte, das Beenden von Prozessen in großem Stil über rund 2.000 Pods mit Gefahr für GPU-Trainingsjobs sowie eine zu weit gefasste Eskalation einer Billing-Rolle. Bei Teams- und Enterprise-Nutzern, darunter Adobe, Nuro, Gusto und Garner Health, seien außerdem rund 25 % mehr Pull Requests verzeichnet worden.
Wo der Wechsel im Alltag für Reibung sorgt
Erfahrungsberichte zeigen zusätzliche Probleme, die in der Ankündigung kaum vorkommen. Besonders häufig geht es um Routineaufgaben: Commits, das Aufräumen von Worktrees, SSH- und Server-Arbeiten sowie Deployment-Befehle werden im Auto Mode blockiert oder erneut abgefragt.
„Der Auto-Klassifikator fragt sogar bei den grundlegendsten Vorgängen nach einer Erlaubnis und führt sie selbst nach einer ausdrücklichen Freigabe weiterhin nicht aus.“ – u/dfritter4 auf r/ClaudeCode
Am meisten stört Nutzer, dass eine Freigabe eine Ablehnung nicht aufhebt. Mehrere berichten, dass sie eine Aktion genehmigen und der Harness sie trotzdem verweigert. Dann bleibt nur der Umweg über den manuellen Modus oder das Terminal.
„Ich musste in manchen Situationen wieder auf manuell wechseln, dem Agenten sagen, dass er weitermachen soll, die Aktion manuell freigeben und danach wieder zu Auto zurückkehren.“ – u/phoenixmatrix auf r/ClaudeCode
Ausfälle des Klassifikators sind von sicherheitsbedingten Ablehnungen zu unterscheiden. Bei einem Vorfall über mehrere Projekte hinweg bekamen Nutzer in verschiedenen Projekten die Meldung „The server-side auto mode classifier gave no verdict“, obwohl die Statusseite keinen Vorfall anzeigte. Als Workaround blieb der Wechsel in den manuellen Modus, bis der Dienst wieder funktionierte.
Auch Qualitätsbedenken spielen eine Rolle, wie die Diskussion zum Standard-Rollout zeigt. Manche Nutzer sorgen sich weniger um destruktive Befehle als darum, dass Claude autonom zu komplexe Lösungen baut, den ursprünglichen Umfang aus den Augen verliert oder eine schwache Architektur entwickelt. Die wiederholte Reibung treibt einige zurück zu --dangerously-skip-permissions, abgesichert lediglich durch Git, Container und eine Prüfung vor dem Merge.
Auto Mode behalten und trotzdem Kontrollpunkte setzen
Die für viele Entwickler überraschendste Voreinstellung: Pushes und das Erstellen von Pull Requests sind im Auto Mode erlaubt – auch auf den gerade bearbeiteten Branch und den Standard-Branch. Force-Pushes, Secrets in Commits und Umschreibungen der Historie bleiben weich blockiert und benötigen eine ausdrückliche Absicht. „Repository aufräumen“ autorisiert also keinen Force-Push; dafür muss die konkrete Aktion genannt werden. Branch-Namen wie production, release oder gh-pages, die auf ein Deployment-Ziel hindeuten, werden unabhängig davon als Produktions-Deployments bewertet.
Wer Auto Mode für alles außer Pushes und Pull Requests nutzen möchte, kann inhaltsbezogene Ask-Regeln ergänzen, die vor dem Klassifikator ausgewertet werden:
{ "permissions": { "ask": ["Bash(git push *)", "Bash(gh pr create *)"] } }Für eine Grenze, die auf keinen Fall überschritten werden darf, ist permissions.deny besser geeignet als eine Anweisung im Chat. Ein mündliches „Nicht pushen, bevor ich geprüft habe“ kann beim Komprimieren des Kontexts verloren gehen; eine Ask- oder Deny-Regel bleibt bestehen. Werden Aktionen für ein bestimmtes Ziel wiederholt abgelehnt, erkennt der Klassifikator die Infrastruktur vermutlich nicht. Sie in autoMode.environment in den Benutzer- oder verwalteten Einstellungen zu benennen, kann helfen.
Ablehnungen lassen sich im Tab „Recently denied“ unter /permissions prüfen; mit r kann eine einzelne Aktion erneut versucht werden. Die Konfiguration lässt sich mit claude auto-mode config, claude auto-mode defaults und claude auto-mode critique überprüfen. Zwei Stolperfallen solltest du kennen: Enge Allow-Regeln wie Bash(npm test) werden vor dem Klassifikator ausgewertet und können dadurch ein destruktives Argument unbemerkt durchlassen. Mit autoMode.classifyAllShell auf true werden ab v2.1.193 alle Shell-Befehle klassifiziert, allerdings mit etwas zusätzlicher Latenz. Außerdem ersetzen eigene Listen für allow, soft_deny, hard_deny oder environment die integrierten Listen vollständig, sofern sie nicht den wörtlichen Eintrag "$defaults" enthalten.
Bei Bedarf zurück zum manuellen Modus
Der Modus lässt sich für eine einzelne Sitzung mit einer Geste wechseln. Drücke in der CLI Shift+Tab, um zwischen den Modi zu wechseln, nutze in der Desktop-App das Modusmenü oder starte eine Sitzung mit claude --permission-mode manual. Die Änderung gilt nur für die aktuelle Sitzung.
Um den manuellen Modus dauerhaft als Standard zu setzen, speicherst du ihn in den Benutzereinstellungen unter ~/.claude/settings.json:
{ "permissions": { "defaultMode": "manual" } }Der Wert manual ist ab v2.1.200 ein Alias für default. Eine Repository-Datei .claude/settings.json kann Auto Mode weder gewähren noch als Standard festlegen: defaultMode: auto und bypassPermissions werden dort ignoriert. Opt-in und Opt-out gehören daher in die Benutzer- oder verwalteten Einstellungen. Organisationsadministratoren setzen den Organisationsstandard mit defaultMode in den verwalteten Einstellungen oder deaktivieren Auto Mode vollständig über permissions.disableAutoMode mit dem Wert "disable". Seit v2.1.251 gilt diese Deaktivierung auch für bereits laufende Sitzungen. Der Auto-Mode-Klassifikator prüft außerdem Shell-Befehle während des Plan-Modus, wenn useAutoModeDuringPlan aktiviert ist. Das ist der Standard, sofern Auto Mode verfügbar ist.
Auto Mode aktiv lassen oder manuell festlegen?
Entscheidend ist das Schadenspotenzial, nicht die Begeisterung für den neuen Modus. Für eigene Experimente, isolierte lokale Refactorings, Dependency-Updates, das Erzeugen von Tests und das Aufräumen von Dokumentation eignet sich Auto Mode besonders gut – vorausgesetzt, Diff und Testsuite bleiben die Kontrollinstanz. In gemeinsam genutzten Team-Repositories braucht es eine zusätzliche Grundlage: geschützte Pfade, harte Ablehnungen für Secrets und Deployment-Manifeste sowie vorab vereinbarte Sandboxes oder Wegwerf-Branches.
| Workflow | Empfohlener Modus | Vorher einzurichtende Absicherung |
|---|---|---|
| Eigene Erkundung, umkehrbare Änderungen | Auto Mode | Prüfung von „Recently denied“ + r-Routine zum erneuten Versuch |
| Team-Repository, reguläre Feature-Arbeit | Auto Mode mit Push-Kontrollpunkten | ask für git push * und gh pr create * |
| Produktions-Deployments, IAM, Secrets, Incident Response | Manueller oder Plan-Modus + Prüfung des Diffs durch Menschen | deny-Regeln für Grenzen, die niemals überschritten werden dürfen |
| Regulierte oder HIPAA-fähige Sitzungen | Manuell (Auto Mode kann weiterhin aktiviert werden) | Verwaltetes defaultMode + protokollieren, wer es ändern darf |
Bringe CLI und Editor-Integrationen auf denselben Release-Stand, setze einen verwalteten Standard, definiere geschützte Pfade und harte Ablehnungen und führe die ersten Durchläufe mit Testdaten in Dev-Containern oder isolierten VMs aus. Vor dem Merge sollten git diff, Testläufe und eine echte Codeprüfung weiterhin Pflicht sein. Laut Anthropic enthielten seit Mitte Mai etwa 10 % der Sitzungen eine Klassifikator-Ablehnung.
FAQ
Verbraucht Claude Auto Mode zusätzliche Tokens?
Für Pro-, Max- und Team-Tarife fallen laut Anthropic mit Wirkung vom 7. August 2026 keine zusätzlichen Kosten an. In Enterprise-, API- und Cloud-Plattform-Sitzungen werden clientseitige Klassifikator-Aufrufe weiterhin auf den Tokenverbrauch angerechnet.
Was kann ich tun, wenn Auto Mode eine legitime Aktion blockiert?
Öffne /permissions, rufe den Tab „Recently denied“ auf und drücke r, um die Ablehnung erneut zu versuchen. Wird dasselbe Ziel immer wieder abgelehnt, trage die vertrauenswürdige Infrastruktur in autoMode.environment ein.
Warum wurde ein Push auf main ohne Nachfrage ausgeführt?
Pushes auf jeden Branch des bearbeiteten Repositorys, einschließlich des Standard-Branches, sind im Auto Mode standardmäßig erlaubt. Füge Bash(git push *) zu permissions.ask hinzu, um einen Kontrollpunkt zu erzwingen, oder zu permissions.deny, wenn die Grenze strikt sein soll.
Ist Auto Mode für Produktionsarbeit sicher?
Anthropic stellt Auto Mode als sicherer als reflexartiges Klicken dar, empfiehlt für Änderungen an kritischer Produktionsinfrastruktur aber weiterhin eine Prüfung durch Menschen. Nutze Auto Mode für umkehrbare Arbeiten und den manuellen oder Plan-Modus für Deployments, Secrets und IAM.
Wie erkenne ich eine Sicherheitsablehnung oder einen Klassifikator-Ausfall?
Eine Sicherheitsablehnung nennt den blockierenden Grund, und Claude schlägt normalerweise einen anderen Weg vor. Bei einem „no verdict“-Ausfall werden Schreib- und Bash-Aktionen gleichzeitig in mehreren Projekten blockiert. Prüfe /status auf den Eintrag des Auto-Mode-Servers und wechsle in den manuellen Modus, wenn ein Ausfall wahrscheinlich ist.
Funktioniert Auto Mode in Claude Code und den Claude-Apps gleich?
Der Klassifikator-Mechanismus ist derselbe, der Rollout erfolgt aber zu unterschiedlichen Zeitpunkten: Claude Code wurde am 14. August zuerst umgestellt, die Claude-Apps folgen in der kommenden Woche. Enterprise- und API-Oberflächen bleiben opt-in, bis die Administratoren benachrichtigt wurden.
Weiterführend: Leitfaden zu OpenAI Codex Auto Mode