Sitzungsübergreifende Nachrichten in Claude Code

Claude Code-Sitzungen können sich jetzt gegenseitig Nachrichten schicken: auf einer Maschine über lokale Sockets, die niemals die Server von Anthropic berühren, und maschinenübergreifend über Remote Control, zum Start nur als Antwort, wobei v2.1.225 nachlegt und Gespräche auch namentlich eröffnen kann.

Seit v2.1.224 bindet jede interaktive Claude Code-Sitzung auf einem Mac oder einer Linux-Maschine schon beim Start einen Unix-Socket (meiner liegt unter /tmp/cc-socks/38590.sock, mit Rechten nur für den Eigentümer), und jede andere Sitzung, die Sie laufen haben, kann dort eine Textnachricht hineinlegen.¹ Getragen wird die Funktion von zwei Tools: ListAgents findet heraus, welche Ihrer Sitzungen erreichbar sind, und SendMessage liefert namentlich an eine davon aus.² Nichts zu aktivieren, nichts zu konfigurieren. Laufen beide Sitzungen auf derselben Maschine unter v2.1.224 oder neuer, können sie bereits miteinander sprechen.

TL;DR

Claude Code-Sitzungen können sich jetzt gegenseitig Nachrichten schicken – sitzungsübergreifender Nachrichtenaustausch: auf einer Maschine über lokale Sockets, die niemals die Server von Anthropic berühren, und maschinenübergreifend über Remote Control, zum Start nur als Antwort, wobei v2.1.225 nachlegt und Gespräche auch namentlich eröffnen kann.¹⁵ Eine Nachricht ist ausschließlich Klartext, niemals Gesprächsverlauf, Dateien oder Berechtigungen, und die empfangende Sitzung behandelt sie als Eingabe, nicht als Befugnis: Sie kann keine Freigaben erteilen, keine Konfiguration ändern und keine Befehle ausführen.¹ Aus einer Flotte unabhängiger Terminals wird damit etwas, das einem Team näherkommt, und am besten funktionieren jene Koordinationsnachrichten, die Sie früher von Hand hin- und hergetragen haben: „Die Migration ist durch”, „Ich habe diese Spalte umbenannt”, „main lässt sich sicher rebasen”. Der schärfste Fallstrick ist die stille Abwesenheit: Vier voneinander unabhängige Datenschutz-Umgebungsvariablen schalten die Funktion jeweils lautlos ab.³

Was ausgeliefert wurde

Release v2.1.224 hat sitzungsübergreifendes SendMessage samt Auffindbarkeit über ListAgents auf macOS und Linux gebracht; v2.1.225 hat das erweitert, sodass eine Sitzung ein Gespräch mit Ihren Remote-Control-Sitzungen auf anderen Maschinen auch eröffnen kann, wo sie vorher nur antworten durfte.⁴⁵

An drei Stellen können Sie die Maschinerie sehen:

• /list-agents (Alias /peers) listet jede Sitzung auf, die Claude erreichen kann: Subagenten innerhalb der aktuellen Sitzung, Ihre anderen lokalen Sitzungen einschließlich der im Hintergrund laufenden und, solange Remote Control verbunden ist, Ihre Sitzungen auf anderen Maschinen sowie in Claude Code im Web.¹
• /status zeigt eine Zeile Peer address mit dem eigenen Eingangs-Socket der Sitzung, mit dem Präfix uds:.¹
• CLAUDE_CODE_MESSAGING_SOCKET wird an jeden Hook und jeden Bash-Befehl exportiert und enthält den Socket-Pfad der eigenen Sitzung.⁶ Warum das zählt, weiter unten.

Nachgeprüft auf meiner eigenen Maschine: Eine Sitzung unter v2.1.226 listet zwei Peer-Sitzungen mit Zustand („busy”) und Alter, und die Socket-Datei trägt die Rechte srw------- – lesbar und schreibbar allein für meinen Benutzer, und genau das ist die Grenze auf gemeinsam genutzten Maschinen.¹

Sitzungen hören auf Namen. Einen setzen Sie mit /rename oder dem Flag --name; sonst leitet Claude Code einen aus dem Arbeitsverzeichnis ab, etwa myapp-3f.¹ Kollidieren zwei Sitzungen im Namen, unterscheidet die Liste sie über Arbeitsverzeichnis und eine kurze Kennung.¹

Das Vertrauensmodell ist der spannende Teil

Der Entwurf von Anthropic beantwortet eine Frage, an der die meisten Multi-Agenten-Systeme scheitern: Was ist eine Nachricht von einem anderen Agenten eigentlich wert? Die Antwort fällt hier präzise aus: Eine Nachricht ist Information, niemals Befugnis.¹

Schickt Sitzung A eine Nachricht an Sitzung B, binden vier Regeln, was dort ankommt:¹

1. Sie kann nichts freigeben. Eine offene Berechtigungsabfrage in B ignoriert alles, was A sagt. Abfragen beantworten nur Sie.
2. Sie kann keine Konfiguration ändern. Das empfangende Claude ist angewiesen, Berechtigungseinstellungen, CLAUDE.md oder sonstige Konfiguration nie zu ändern, nur weil eine andere Sitzung darum gebeten hat.
3. Befehle kommen als Text an. Ein /compact im Nachrichtentext ist eine Handvoll Zeichen Prosa, niemals ein ausgeführter Befehl.
4. Berechtigungsabfragen erscheinen weiterhin. Braucht das Handeln auf die Nachricht hin eine Berechtigung, die B nicht hat, sehen Sie dieselbe Abfrage wie bei jeder anderen Arbeit.

Der Eingang hat seine eigene Prüfgrenze. Jede eintreffende Nachricht endet in einem von drei Ergebnissen – zugestellt, zur Freigabe zurückgehalten oder abgewiesen –, gesteuert über die Einstellung crossSessionInbound (accept, hold, refuse).¹ Setzen Sie nichts, entscheidet Claude Code pro Nachricht anhand der Berechtigungsmodi beider Sitzungen, und die Standardlogik ist elegant: Sitzungen, die Berechtigungsabfragen umgehen, bilden die eine Klasse, alle übrigen die andere. Eine abfragende Sitzung empfängt Nachrichten ungehindert, hält aber alles zurück, was von einer umgehenden Sitzung kommt; eine umgehende Sitzung hält alles zurück außer Nachrichten von anderen umgehenden Sitzungen.¹ Die Asymmetrie ist Absicht: Eine Nachricht darf nicht auf der Befugnis einer permissiven Sitzung mitreiten – ein Prinzip, das v2.1.224 auf den Eingang anwendet, nachdem v2.1.222 es im Auto-Modus auf den Ausgang angewandt hatte, wo der Berechtigungsklassifizierer jeden Versand vor der Zustellung prüft.⁷

Zurückgehaltene Nachrichten öffnen einen Freigabedialog mit Absender und Vorschau; unbeantwortete Dialoge verfallen nach fünf Minuten (einstellbar über dialogExpiry), und die Nachricht wird verworfen.¹ Höchstens 100 Nachrichten liegen gleichzeitig zurückgehalten.¹ Zwei weitere Regler ziehen das noch enger: isolatePeerMachines: true verlangt Ihre ausdrückliche Freigabe, bevor irgendeine Nachricht die Maschine verlässt, selbst im Modus bypassPermissions, und ein true aus einer beliebigen Einstellungsebene gewinnt – eine eingecheckte Projektdatei kann also verschärfen, aber niemals lockern.¹ Organisationen können die Funktion vollständig abschalten: mit Deny-Regeln für SendMessage und ListAgents plus crossSessionInbound: "refuse" in den verwalteten Einstellungen.¹

Welchen Weg Nachrichten nehmen

Wo die andere Sitzung läuft, bestimmt sowohl den Transportweg als auch das, was Sie senden können:¹

Ein Widerspruch in der Dokumentation, der Erwähnung verdient: Zum Zeitpunkt dieses Textes beschreibt die Seite von Anthropic zum sitzungsübergreifenden Nachrichtenaustausch jede maschinenübergreifende Nachricht noch als reine Antwort, während die Release Notes zu v2.1.225 sagen, SendMessage könne „jetzt namentlich ein Gespräch mit Ihren Remote-Control-Sitzungen auf anderen Maschinen eröffnen”. Die Release Notes sind neuer; die Doku-Seite hinkt dem Release nach.¹⁵

Die Regel für dieselbe Maschine lautet: Sichtbarkeit im Dateisystem. Sitzungen registrieren sich in Dateien auf der Platte, zwei Sitzungen erreichen sich also nur, wenn sie dieselben Dateien sehen. Eine Sitzung im Container und eine auf dem Host können nicht miteinander sprechen; zwei Sitzungen im selben Container schon.¹

Die Zustellung respektiert den Rhythmus der empfangenden Sitzung: Während einer laufenden Runde wird eine Nachricht zwischen zwei Tool-Aufrufen gelesen, ein laufendes Tool nie unterbrochen, und ist die Sitzung untätig, startet sie eine neue Runde.¹ Zugestellte Nachrichten zählen für die Nutzung wie ein Prompt, den Sie selbst getippt haben.¹

Fünf Muster, die sich zu bauen lohnen

1. Koordination über Worktrees. Der offensichtliche Fall, und derjenige, den die Dokumentation mit einer eigenen Beispielnachricht illustriert: Sitzungen, die am gleichen Repository in getrennten Worktrees arbeiten, sagen einander, was gelandet ist.¹ „Schema-Migration fertig: Die neue Spalte heißt tenant_id, und ein Rebase auf main ist jetzt sicher.” ist die Beispielnachricht der Dokumentation selbst – genau die Art Aktualisierung, für die Sie sonst etwas mitbekommen, das Terminal wechseln und erneut tippen müssen. Teilen sich mehrere Sitzungen statt Worktrees einen einzigen Checkout, wird die Koordinationsnachricht noch wertvoller: „Ich committe gleich content/guides/, bitte nicht stagen” verhindert die klassische Kollision im gemeinsamen Baum, bei der eine Sitzung die halbfertige Arbeit einer anderen mit einbucht.

2. Beobachter und Arbeiter. Lassen Sie eine Beobachtersitzung ein Deployment, eine Testsuite oder ein Log überwachen und in dem Moment, in dem etwas bricht, die für Korrekturen zuständige Sitzung benachrichtigen. Die empfangende Sitzung bekommt den Befund als Kontext, nicht als Befehl; was zu tun ist, entscheidet sie weiterhin selbst, im Rahmen ihrer eigenen Berechtigungen. Kombinieren Sie das mit Hintergrundsitzungen und den Benachrichtigungs-Hooks, und Sie erhalten eine Eskalationskette, die nur dann bei einem Menschen endet, wenn sie es soll.

3. Der Langläufer, der Bericht erstattet. Starten Sie eine Migration oder einen langen Testlauf in einer Sitzung und lassen Sie sie an die Sitzung zurückmelden, die Sie tatsächlich im Blick haben.¹ Der Status lebt dann nicht mehr in einem Terminal, das Sie vergessen haben. Umgekehrt geht es auch, gefragt von der beobachtenden Seite: „Die Sitzung in meinem anderen Terminal fragen, ob die Migration durch ist” ist ein Prompt, und Auffinden, Adressierung und Formulierung übernimmt Claude selbst.¹

4. Unbeaufsichtigte Arbeiterflotten. Auch Headless-Sitzungen mit claude -p binden Eingangs-Sockets, ein lang laufender -p-Arbeiter kann also Nachrichten empfangen und erscheint in den Listen.⁸ Der Haken: Eine -p-Sitzung kann den Freigabedialog nicht anzeigen, eine zurückgehaltene Nachricht bleibt also zurückgehalten, ohne Weg zur Zustellung außer über eine Änderung der Einstellungen oder des Modus (v2.1.225 hat zudem behoben, dass solche Nachrichten ohne Hinweis und ohne Verfall parkten). Für einen Arbeiter, der unbeaufsichtigt Nachrichten annimmt, starten Sie ihn mit crossSessionInbound: "accept" in seinem --settings-Wert: eine Erlaubnis pro Arbeiter statt eines accept in den Benutzereinstellungen, das für jede Ihrer Sitzungen gelten würde.⁸ Sitzungen im Bare-Modus legen den Socket gar nicht erst an und bleiben unerreichbar.⁸

5. Skriptgesteuerte Postfächer. Das stille Kraftpaket: Weil CLAUDE_CODE_MESSAGING_SOCKET an Hooks und Bash-Befehle exportiert wird, kann ein Skript in das eigene Postfach einer Sitzung schreiben.⁶ Claude Code prüft Nachrichten aus eigenen Kindprozessen: Ein Hook oder Befehl, der an seine eigene Sitzung zurückschreibt, wird ohne Umstände zugestellt, solange kein ausdrückliches crossSessionInbound greift.¹ Ein Nachtlauf, ein Git-Hook, ein CI-Wrapper – alles, was in einen Unix-Socket schreiben kann, kann jetzt eine Zeile Kontext in die Sitzung einspeisen, die es gestartet hat. Unter Linux funktioniert die Prüfung auch noch, nachdem der schreibende Prozess beendet ist; unter macOS nur, solange er noch läuft; in einem Container, in dem Claude Code PID 1 ist, schlägt die Prüfung fehl und die Nachricht fällt auf die normalen Eingangsregeln zurück.¹ Für Befehle in der Sandbox muss der Socket über sandbox.network.allowUnixSockets erlaubt sein.¹

Was es ausdrücklich nicht sein will

Die Grenzen sind Entwurfsentscheidungen, und wer sie respektiert, baut nicht das Falsche.

Kein Freigabekanal. Alles im Vertrauensmodell ist dafür da, zu verhindern, dass eine Sitzung die Handlungen einer anderen autorisiert. Jeder Arbeitsablauf nach dem Muster „Sitzung A gibt frei, Sitzung B führt aus” ist ausdrücklich weggeplant. Befugnis läuft immer über den Menschen.¹

Keine Kontextübertragung. Eine Nachricht ist Text, den ein Claude einem anderen schreibt, niemals Gesprächsverlauf oder Dateien. Die Dokumentation von Anthropic sagt es unverblümt: Wer ein Gespräch mitnehmen will, setzt die Sitzung stattdessen fort.¹ Zusammenfassen, nicht abladen.

Keine Agententeams. Unabhängige Sitzungen, die einander Nachrichten schicken, sind der Peer-to-Peer-Fall. Ein koordiniertes Team, das Claude startet und beaufsichtigt (strukturierte Protokollnachrichten, eine Aufstellung, geteilter Aufgabenzustand), ist die Funktion Agententeams, und strukturierte Teamnachrichten bleiben bewusst innerhalb eines Teams.¹ Wenn Sie sich dabei erwischen, oben auf sitzungsübergreifendem Text ein Nachrichtenprotokoll zu entwerfen, wollen Sie eigentlich Agententeams.

Keine Chat-Schleife. Claude Code begrenzt wiederholte Nachrichten pro Absender, verwirft identische Wiederholungen innerhalb eines kurzen Zeitfensters und deckelt ungelesene angenommene Nachrichten bei 50 pro Sitzung – eine Nachrichtenschleife zwischen zwei Sitzungen hungert sich also konstruktionsbedingt selbst aus.¹ Bauen Sie einen Austausch aus Anfrage und Antwort, keine Gespräche.

Die Fallstricke

Datenschutzvariablen schalten es lautlos ab. Der sitzungsübergreifende Nachrichtenaustausch hängt an der Auswertung von Feature-Flags, und jede der Variablen CLAUDE_CODE_DISABLE_NONESSENTIAL_TRAFFIC, DISABLE_TELEMETRY, DO_NOT_TRACK oder DISABLE_GROWTHBOOK kann diese Auswertung abschalten – und nimmt den Nachrichtenaustausch lautlos mit.³ Das Diagnosemittel ist /list-agents: Wird der Befehl nicht einmal erkannt, fehlt der Sitzung die Funktion komplett; funktioniert er, kommt aber ein Versand nie an, greift etwas Engeres – eine Deny-Regel, die Eingangssteuerung des Empfängers oder ein Ziel auf einer anderen Maschine, das nur Antworten annimmt.¹

Lücken bei Plattformen und Anbietern. Kein natives Windows (Linux unter WSL 2 funktioniert). Nicht verfügbar auf Amazon Bedrock, Claude Platform auf AWS, Google Clouds Agent Platform oder Microsoft Foundry.¹

Der Grenzfall der Einbahn-Antwort. Eine Antwort an eine Sitzung auf einer anderen Maschine, abgeschickt während die antwortende Sitzung nicht mit Remote Control verbunden ist, kommt zwar an, aber ohne Rückadresse – der Empfänger kann also nicht erwidern. Claude wird beim Senden darauf hingewiesen, und die Korrekturen in v2.1.225 haben die Adressierung so verschärft, dass ein bestätigter Empfänger auf einer anderen Maschine nie stillschweigend gegen eine gleichnamige lokale Sitzung getauscht wird.⁵

Zurückhaltungen im Headless-Betrieb. Der -p-Arbeiter, der Nachrichten rätselhafterweise ignoriert, ist fast immer ein Fall zurückgehaltener Nachrichten: kein Dialog, keine Zustellung. Setzen Sie crossSessionInbound: "accept" bei Arbeitern, die zuhören sollen.⁸

Die wichtigsten Erkenntnisse

Für alle, die Claude Code täglich nutzen: - Führen Sie einmal /list-agents aus, um zu sehen, was Ihre Sitzungen schon erreichen können; benennen Sie wichtige Sitzungen mit /rename, damit Nachrichten sauber adressiert werden. - Formulieren Sie Nachrichten in normaler Sprache („der Sitzung, die an den Zahlungen arbeitet, sagen, was wir geändert haben”) und lassen Sie Claude die Nachricht selbst schreiben.¹

Für alle, die Automatisierung bauen: - Schreiben Sie aus Hooks und Skripten über CLAUDE_CODE_MESSAGING_SOCKET in Sitzungen hinein; Nachrichten aus eigenen Kindprozessen werden unter Linux ohne Freigabereibung zugestellt.¹⁶ - Geben Sie unbeaufsichtigten -p-Arbeitern crossSessionInbound: "accept" in ihrem eigenen --settings mit, nicht global.⁸

Für Teams und Sicherheitsprüfer: - Die Funktion kommt mit den richtigen Standardwerten: Nachrichten tragen keine Befugnis, umgehende Sitzungen stehen von Haus aus in Quarantäne, und isolatePeerMachines plus Deny-Regeln in den verwalteten Einstellungen geben Ihnen Ausschalter pro Maschine und für die gesamte Organisation.¹ - Prüfen Sie die vier Datenschutz-Umgebungsvariablen, bevor Sie den Nachrichtenaustausch für defekt erklären, und behalten Sie im Kopf: Eine abweisende Sitzung sieht für ihre Peers nicht anders aus.¹

Quellen