Claude Code CLI-Leitfaden: Installation, Konfiguration, Befehle und Umgebungsvariablen

Kurzfassung: Claude Code ist ein agentisches CLI, das Ihre Codebasis liest, Befehle ausführt und Dateien über ein mehrstufiges System aus Berechtigungen, hooks, MCP-Integrationen und subagents verändert. Wenn Sie die fünf Kernsysteme beherrschen – Konfiguration, Berechtigungen, hooks, MCP und subagents –, steigern Sie Ihre Produktivität um ein Vielfaches. Wählen Sie für jede Aufgabe die passende Modellstufe: Opus für komplexe Schlussfolgerungen, Sonnet für allgemeine Aufgaben und Haiku für schnelle Erkundungen. Alternativ können Sie einheitlich Opus verwenden, wenn Qualität Ihre einzige Variable ist. Nutzen Sie hooks und keine Prompts für alles, was zwingend immer ausgeführt werden muss. Seit dem 14. August 2026 ist Auto mode der standardmäßige Berechtigungsmodus für neue Sitzungen mit Pro, Max und Team (angekündigt am 7. August und am Umstellungstag live verifiziert; Autonomie mit Klassifikatorprüfung – ein selbst festgelegter defaultMode bleibt bestehen, sofern Sie die einmalige Aufforderung zum Wechsel nicht annehmen, mit Shift+Tab können Sie jede Sitzung umstellen und disableAutoMode deaktiviert den Modus organisationsweit).²⁰³ Das Standardmodell hängt von Ihrem Tarif ab: Max, Team Premium, Enterprise (seit v2.1.251 sitzbasiert) und das Anthropic API verwenden standardmäßig Claude Opus 5, während Pro und Team Standard standardmäßig Sonnet 5 verwenden – nativer 1M-Kontext, 2 $/10 $ pro MTok als regulärer Listenpreis (der Einführungspreis gilt nun dauerhaft; die für den 1. September geplante Erhöhung entfällt)²²⁶²⁰⁷ –, womit die mit v2.1.197 eingeführte allgemeine Standardeinstellung Sonnet 5 (30. Juni 2026) Geschichte ist; der Alias opus verweist auf Claude Opus 5 (ab v2.1.219). Seit v2.1.198 (1. Juli) werden subagents standardmäßig im Hintergrund ausgeführt, Claude in Chrome ist allgemein verfügbar, Hintergrundagenten können nach Abschluss von Worktree-Code Commits erstellen, pushen und einen PR-Entwurf öffnen, und der Notification-hook (agent_needs_input/agent_completed) wird für Hintergrundsitzungen ausgelöst. v2.1.199 (2. Juli) lädt bis zu 5 gestapelte slash-skill-Aufrufe und wiederholt bei Abonnenten vorübergehende 429-Fehler automatisch. v2.1.200 (3. Juli) benennt den Berechtigungsmodus default im CLI, in --help, VS Code und JetBrains in „Manual“ um (der Konfigurationswert bleibt unverändert, manual wird als Alias akzeptiert) und verhindert standardmäßig, dass AskUserQuestion-Dialoge automatisch fortgesetzt werden. v2.1.202 (6. Juli) ergänzt in /config die Steuerung „Dynamic workflow size“ und trennt /review <pr> (schneller einzelner Durchlauf) von /code-review <level> <pr#> – eine Trennung, die v2.1.223 wieder rückgängig machte: /review ist erneut ein Alias für /code-review, und /code-review ohne Argumente verwendet Ihre zuletzt gewählte Aufwandsstufe. v2.1.203–205 (7.–9. Juli) härten Auto mode ab: Transkriptdateien werden vor Manipulationen geschützt, rm -rf mit einer nicht auflösbaren Variable fragt zuerst nach, und Benachrichtigungen zu Hintergrundaufgaben weisen darauf hin, dass keine menschliche Eingabe erfolgt ist, sodass erfundene Genehmigungen im Transkript keine Aktionen auslösen können. Außerdem wird /doctor zu einer vollständigen Diagnose- und Reparaturprüfung (/checkup als Alias).^181182183 v2.1.217 (21. Juli) vollzog bei verschachtelten subagents eine Kehrtwende: subagents erzeugten standardmäßig keine eigenen subagents mehr – eine Standardeinstellung, die v2.1.219 nur drei Tage später erneut umkehrte, diesmal bis Tiefe 3; siehe unten. Standardmäßig können höchstens 20 subagents gleichzeitig ausgeführt werden (CLAUDE_CODE_MAX_CONCURRENT_SUBAGENTS), und --max-budget-usd beendet Hintergrund-subagents nun tatsächlich, sobald das Limit erreicht ist.¹⁹⁴ v2.1.218 (22. Juli) verlagert /code-review in einen Hintergrund-subagent – die Überprüfung belegt damit nicht mehr Ihre Unterhaltung –, führt skills mit context: fork standardmäßig im Hintergrund aus (pro skill mit background: false deaktivierbar), startet /deep-research nur noch nach ausdrücklichem Aufruf, übergibt die Prüfungen auf gefährliche rm-Befehle, Hintergrund-& und verdächtige Windows-Pfade an den Auto-mode-Klassifikator statt an Berechtigungsdialoge und verhindert, dass hooks aus Agent-Frontmatter in nicht vertrauenswürdigen Ordnern ausgeführt werden.¹⁹⁵ v2.1.219 (24. Juli) macht Claude Opus 5 (claude-opus-5) zum standardmäßigen Opus-Modell – 1M Kontext, maximal 128K Ausgabe, 5 $/25 $ pro MTok (identisch mit Opus 4.8), standardmäßig aktiviertes Denken, effort standardmäßig auf high, Wissensstand Mai 2026 – und korrigiert 2 Zustände, die frühere Versionen eingeführt hatten: Fast mode gilt nun für Opus 5 und Opus 4.8 zu 10 $/50 $ pro MTok (das Doppelte des Grundpreises; Opus 4.7 wurde vollständig aus Fast mode entfernt), und verschachtelte subagents sind standardmäßig wieder bis Tiefe 3 aktiviert (CLAUDE_CODE_MAX_SUBAGENT_SPAWN_DEPTH=1 deaktiviert die Verschachtelung). Dieselbe Version ergänzt das hook-Ereignis DirectoryAdded, die Einstellung sandbox.network.strictAllowlist, den Einstellungsschlüssel workflowSizeGuideline, wobei dynamische Workflows nun standardmäßig eine mittlere Größenrichtlinie verwenden (Ziel: weniger als 15 Agenten), sowie die Weiterleitung verschachtelter subagents in stream-json. v2.1.220 (25. Juli) enthält ausschließlich Fehlerkorrekturen und Zuverlässigkeitsverbesserungen. v2.1.221–226 (4.–7. August) ergänzen sitzungsübergreifende Nachrichten (SendMessage/ListAgents zwischen Ihren Sitzungen unter macOS/Linux), selbst gehostete Runner für Cloud-Sitzungen (Team/Enterprise), die Plugin-Quelle archive mit SHA-256-Pinning, JWT-/SigV4-fähige Maskierung von Sandbox-Anmeldedaten, die Focus-Ansicht in VSCode und eigene Worktrees für mit /fork erstellte Kopien – außerdem entfallen das Sitzungslimit von 200 subagents und ultraplan.^{199200201202196197198} v2.1.227–229 (10.–12. August) konzentrieren sich auf Fehlerkorrekturen und ergänzen einige Komfortfunktionen: Plugin-Marktplätze erhalten command-Quellen (ein lokales Programm gibt das Plugin-Verzeichnis aus, das für jede Sitzung neu aufgelöst wird; mode: "link" verwendet es direkt), claude remote-control --continue setzt Ihre letzte Remote Control-Sitzung fort, ListAgents kennzeichnet getrennte Remote Control-Gegenstellen mit offline und Ihre Cloud-Sitzungen mit cloud, /commit-push-pr genehmigt gefährliche git-Flags (--force, --amend, --no-verify) nicht mehr automatisch, und das Write-Tool folgt bei neueren Modellen denselben Regeln wie Edit – zum Überschreiben einer ungelesenen Datei ist es nicht mehr erforderlich, sie zuvor in derselben Sitzung gelesen zu haben.^233231232 v2.1.232 (13. August) macht das Forken von subagents zum Standard (subagent_type: "fork" übernimmt die vollständige Unterhaltung und den Prompt-Cache; in interaktiven Sitzungen werden nicht als Teammitglieder ausgeführte Spawns im Hintergrund gestartet), ermöglicht Ihnen, eine andere aktive Sitzung im Prompt namentlich mit @ zu erwähnen (Claude leitet dies über SendMessage weiter; stimmt ein Name eindeutig mit genau einer aktiven Sitzung überein, wird die Nachricht nun auch ohne Referenzbestätigung zugestellt), hält Namen interaktiver Sitzungen pro Rechner eindeutig (Varianten nach dem Muster name-word-word), zeigt Steuerelemente für eingehende sitzungsübergreifende Nachrichten als Zeilen in /config an und stellt GitLab-Parität her: 9 GitLab-Tokenfamilien werden in der Sandbox unkenntlich gemacht, Anmeldedaten des glab CLI werden geschützt und reine gitlab.com-Marktplatz-URLs einschließlich verschachtelter Untergruppen wie bei GitHub geklont.²³⁰ v2.1.233 (14. August) erweitert die GitLab-Parität auf --worktree (MR-URLs, in claude agents als !N dargestellt), ergänzt unter Linux Speicherlimits für Bash-Befehle (CLAUDE_CODE_TOOL_MEMORY_LIMIT) sowie eine Einstellung für die WebFetch-Cache-TTL und deaktiviert die Tools zur Aufgaben- und Fortschrittsverfolgung standardmäßig für Opus 4.8, Sonnet 5, Fable 5 und neuere Modelle (CLAUDE_CODE_ENABLE_TODO_TOOLS=1 aktiviert sie wieder). Zudem wird nach einer Auto-mode-Regression ein Teil der mit v2.1.232 eingeführten Änderungen an Bash-Berechtigungen unter Windows rückgängig gemacht.²²⁹ v2.1.234 (17. August) lässt Claude Code Ihre Sitzung automatisch fortsetzen, sobald ein Nutzungslimit von claude.ai zurückgesetzt wird (deaktivierbar in /config unter „Continue automatically at usage limit“), ermöglicht das Öffnen von /permissions und /add-dir während eines Durchlaufs, ergänzt CLAUDE_CODE_PROJECT_DIR_NAME sowie eine Prüfung des Fortschritts von Hintergrundaufgaben über /goal (CLAUDE_CODE_GOAL_CHECKIN_MINUTES), zeigt bei Repositorys mit authentifiziertem glab CLI im Footer ein GitLab-MR-Badge (!N) an und reduziert den Kontextbedarf des integrierten skills claude-api von etwa 200.000 auf etwa 25.000 Token, indem Referenzdokumentation bei Bedarf geladen wird.²²⁸ v2.1.235–238 (18.–20. August) ergänzen den integrierten Ausgabestil „Concise“ (Ergebnisse zuerst, ohne Einleitung oder begleitende Erläuterung – unter Output style in /config auswählbar), die Umgebungsvariable ANTHROPIC_DEFAULT_MODEL (legt das Startmodell neuer Sitzungen fest; eine Auswahl über /model überschreibt sie weiterhin und bleibt im Gegensatz zu ANTHROPIC_MODEL dauerhaft bestehen), die optionale Einstellung spellcheck (unterstreicht mithilfe Ihres installierten aspell, hunspell oder ispell falsch geschriebene Wörter im Prompt), die Einstellung keybindingFlavor ("readline" bewirkt wie in Bash, dass Ctrl+W bis zum vorherigen Leerraum löscht; die Einstellung wurde in v2.1.261 entfernt – readline ist nun das einzige Verhalten), headersHelper für Plugin-Marktplätze und projektbezogene .mcp.json-Dateien (ein Befehl erzeugt kurzlebige HTTP-Header; Hilfsprogramme von Katalogeinträgen werden nur bei Installation oder Aktualisierung ausgeführt, nachdem ihr Befehl angezeigt wurde, während Hilfsprogramme auf Projekt-, Plugin- oder Agent-Ebene nach dem Ordnervertrauensdialog ohne übernommene Umgebungsvariablen für Anmeldedaten ausgeführt werden), notify_when_idle für das sitzungsübergreifende SendMessage (eine einmalige Benachrichtigung, sobald eine andere lokale Sitzung das nächste Mal inaktiv wird) sowie 2 Änderungen am Berechtigungsverhalten: Auto mode ignoriert nun Monitor-Zulassungsregeln (Monitor-Befehle werden derselben Klassifikatorprüfung wie Bash unterzogen), und unter macOS haben Wildcard-Leseverbote der Sandbox (**/.env) innerhalb zulässiger Lesebereiche Vorrang und können nicht durch Umbenennen der gesperrten Datei umgangen werden. Der Auto-mode-Klassifikator verwendet dabei nun auf Bedrock, Vertex AI und Foundry sowie bei deaktivierter Telemetrie die Claude API-Standardeinstellungen.²²¹ v2.1.239 (21. August) ergänzt /claude-api upgrade (migriert Python-Projekte von anthropic 0.x auf 1.x), berücksichtigt den Aufpreis von 1,1× für ausschließlich in den USA ausgeführte Inferenz in Arbeitsbereichen mit Datenresidenz bei Kostenschätzungen (/cost, Statuszeile, --max-budget-usd), bringt sitzungsübergreifende Nachrichten nach Windows, zeigt mit claude.ai synchronisierte plugins als name@synced an (verwaltbar über claude plugin enable/disable, ohne jemals eine gleichnamige lokale Installation zu überschreiben), ergänzt in ListAgents den eigenen Namen einer Sitzung sowie aktive Teammitglieder, erweitert "readline" um Bash-Worttasten, vergrößert die Abstände zwischen /goal-Prüfungen (30 Min. → 1 Std. → 2 Std.) und bietet den Vollbild-Renderer auf Bedrock/Vertex/Foundry an; v2.1.240–241 (22.–23. August) sind Versionen mit Fehlerkorrekturen. Die Dokumentationsübersicht derselben Woche vermerkt 2 Statusänderungen: /design – ein skill in der Forschungsvorschau, der über artifacts eine Zeichenfläche mit bearbeitbaren UI-Artboards veröffentlicht (Pro/Max/Team/Enterprise, erfordert v2.1.233 oder höher) – und das Ende der Forschungsvorschau für Remote Control, wobei Rechner, auf denen claude remote-control ausgeführt wird, als Gerätekarten in der Claude-App erscheinen.²⁰⁵ Seit v2.1.174–176 (12. Juni 2026) kann die availableModels-Zulassungsliste über die neue verwaltete Einstellung enforceAvailableModels auch das Standardmodell einschränken (Benutzer- oder Projekteinstellungen können eine verwaltete Liste nicht erweitern), Sitzungstitel werden in der Sprache Ihrer Unterhaltung erzeugt (mit der Einstellung language können Sie eine Sprache fest vorgeben), und die neuen Einstellungen footerLinksRegexes und wheelScrollAccelerationEnabled, ein VSCode-Dialog zur Nutzungszuordnung unter /usage sowie eine Korrektur, durch die if-Bedingungen von hooks auf Pfadmuster für Read/Edit/Write reagieren, runden die Version ab.¹⁷² Seit v2.1.173 (11. Juni 2026) wird bei einem Fable 5-Modellnamen das Suffix [1m] automatisch normalisiert beziehungsweise entfernt – Fable 5 enthält bereits standardmäßig einen 1M-Kontext, weshalb das Suffix unnötig ist; es war ohnehin nur bei Opus/Sonnet relevant. Seit v2.1.172 (10. Juni 2026) konnten subagents rekursiv eigene subagents bis zu einer Tiefe von 5 Ebenen erzeugen – diese Standardeinstellung galt bis einschließlich v2.1.216 und wurde mit v2.1.217 deaktiviert; siehe oben. Bedrock liest seine Region aus ~/.aws, wenn AWS_REGION nicht gesetzt ist (/status zeigt die Quelle an), /plugin ergänzt eine Suchleiste für den Marktplatz, und die OTEL-Metrik claude_code.lines_of_code.count erhält das Attribut model. Seit v2.1.170 (9. Juni 2026) kann Claude Fable 5 – eine neue Modellstufe oberhalb von Opus – nach claude update in Claude Code über /model fable ausgewählt werden (sie unterstützt die gesamte Aufwandsskala von low bis max, das Denken lässt sich jedoch nicht deaktivieren); Opus 4.8 bleibt der agentische Standard. Seit v2.1.169 (8. Juni 2026) startet --safe-mode (sowie CLAUDE_CODE_SAFE_MODE) zur Fehlerbehebung eine saubere Sitzung, in der sämtliche Anpassungen deaktiviert sind, /cd verschiebt eine Sitzung in ein neues Arbeitsverzeichnis, ohne den Prompt-Cache zu beeinträchtigen, und disableBundledSkills verbirgt die integrierten skills und slash commands vor dem Modell. Seit v2.1.166 (6. Juni 2026) verkettet die Einstellung fallbackModel bis zu 3 Ersatzmodelle, wenn das primäre Modell überlastet ist, der Glob "*" funktioniert in MCP-Verbotsregeln, und MAX_THINKING_TOKENS=0 beziehungsweise --thinking disabled deaktivieren das Denken bei Modellen, die standardmäßig denken, vollständig. Seit v2.1.154 (28. Mai 2026) ist Opus 4.8 der neue Standard, standardmäßig mit hohem Aufwand und der Stufe /effort xhigh, dynamische Workflows orchestrieren über /workflows Dutzende bis Hunderte Agenten im Hintergrund, Fast mode kostet bei Opus 4.8 für die 2,5-fache Geschwindigkeit das Doppelte des Standardpreises, der schlanke System-Prompt ist nun für alle Modelle außer Haiku/Sonnet/Opus 4.7 und älter Standard, /simplify wurde wieder auf eine reine Bereinigungsprüfung zurückgeführt (getrennt von /code-review --fix), claude agents akzeptiert ! <command>, um Shell-Sitzungen im Hintergrund zu erzeugen, plugins können defaultEnabled: false deklarieren, die Ausführung von Streaming-Tools ist immer aktiviert und stdio-MCP-Server erhalten in ihrer Umgebung CLAUDE_CODE_SESSION_ID sowie CLAUDECODE=1. v2.1.153 ergänzte skipLfs für Plugin-Marktplätze, speicherte die Auswahl unter /model als Standard (drücken Sie s, um sie nur für die Sitzung zu verwenden) und stellte COLUMNS/LINES in der Statuszeilenumgebung bereit. v2.1.152 führte /code-review --fix ein (wendet Ergebnisse auf den Arbeitsbaum an), ergänzte disallowed-tools im Frontmatter von skills, /reload-skills, das neue hook-Ereignis MessageDisplay, die Ausgaben reloadSkills/sessionTitle des SessionStart-hooks, die verwaltete Einstellung pluginSuggestionMarketplaces und den Wechsel von --fallback-model während einer Sitzung und entfernte die Aktivierung von Auto mode per Opt-in.^{162 163 164 165 166 167 168 169 170 242 171}

Claude Code arbeitet als agentisches System, nicht als Chatoberfläche mit Programmierkenntnissen. Das CLI liest Ihre Codebasis, führt Befehle aus, verändert Dateien, verwaltet git-Workflows, verbindet sich über MCP mit externen Diensten und delegiert komplexe Aufgaben an spezialisierte subagents. Alles läuft über eine Befehlszeilenschnittstelle, die sich in die tatsächliche Arbeitsweise von Entwicklern einfügt. Im Februar 2026 wurden 4 % der öffentlichen GitHub-Commits (etwa 135.000 pro Tag) von Claude Code verfasst – ein Wachstum um das 42.896-Fache in 13 Monaten seit der Forschungsvorschau –, und 90 % des eigenen Codes von Anthropic sind KI-generiert.¹⁰³

Der Unterschied zwischen gelegentlicher und effektiver Nutzung von Claude Code hängt von 5 Kernsystemen ab. Wenn Sie diese beherrschen, wird Claude Code zum Produktivitätsmultiplikator:

1. Konfigurationshierarchie: steuert das Verhalten
2. Berechtigungssystem: kontrolliert Vorgänge
3. Hook-System: ermöglicht deterministische Automatisierung
4. MCP-Protokoll: erweitert die Fähigkeiten
5. Subagent-System: bewältigt komplexe, mehrstufige Aufgaben

Wichtigste Erkenntnisse

• 5 Systeme bestimmen Ihre Effektivität: Konfigurationshierarchie, Berechtigungen, hooks, MCP und subagents steuern alles – vom Verhalten bis zur Automatisierung.
• Verlagern Sie Arbeit in die Delegationsebene: subagents verhindern überladenen Kontext, indem sie Erkundungen in separaten, unbelasteten Kontextfenstern isolieren und nur Zusammenfassungen zurückgeben.
• Hooks garantieren die Ausführung, Prompts nicht: Verwenden Sie hooks für Linting, Formatierung und Sicherheitsprüfungen, die unabhängig vom Modellverhalten jedes Mal ausgeführt werden müssen.
• Die Abstufung der Modelle spart Kosten, ohne die Qualität zu beeinträchtigen: Weisen Sie Erkundungsaufgaben von subagents günstigeren Modellen zu und reservieren Sie Opus für echte Architekturüberlegungen – oder verwenden Sie einheitlich Opus, wenn Qualität Ihre einzige Variable ist.
• MCP verbindet Claude mit Ihrer Toolchain: Datenbanken, GitHub, Sentry und mehr als 3.000 Integrationen erweitern Claude über das Lesen von Dateien und Bash-Befehle hinaus.

Ich habe monatelang die Grenzen von Claude Code in produktiven Codebasen, CI/CD-Pipelines und Unternehmensbereitstellungen ausgelotet. Dieser Leitfaden verdichtet diese Erfahrungen zu dem vollständigen Nachschlagewerk, das ich mir zu Beginn gewünscht hätte. Jede Funktion enthält die tatsächliche Syntax, reale Konfigurationsbeispiele und die Sonderfälle, an denen selbst erfahrene Benutzer scheitern.

Wählen Sie Ihren Weg

So verwenden Sie diesen Leitfaden

Dieses Nachschlagewerk umfasst mehr als 5.000 Zeilen – Sie müssen es nicht von Anfang bis Ende lesen. Beginnen Sie dort, wo es Ihrem Erfahrungsstand entspricht:

Verwenden Sie Ctrl+F/Cmd+F in Ihrem Browser, um nach bestimmten Flags, Befehlen oder Konfigurationsschlüsseln zu suchen. Die Schnellreferenz am Ende bietet eine übersichtliche Zusammenfassung aller wichtigen Befehle.

Verwandte Vertiefungen

Diese Blogbeiträge behandeln einzelne Aspekte von Claude Code ausführlicher:

60-Sekunden-Schnellstart

Wenn Sie Claude Code einfach nur ausführen und die Ausgabe sehen möchten, gehen Sie in dieser Reihenfolge vor:

# 1. Install (pick one)
npm install -g @anthropic-ai/claude-code          # npm users
brew install anthropic/claude/claude              # macOS + Homebrew
curl -sL claude.ai/install.sh | sh                # native installer

# 2. Launch in any project directory
cd ~/your-project && claude

# 3. Authenticate (browser opens automatically on first run)
/login

# 4. Ask your first question
> What does this repo do? Read the key files and summarize.

Das war’s. Alles unterhalb dieses Abschnitts erläutert die Installationsoptionen ausführlicher, konfiguriert Berechtigungen und hooks, bindet MCP-Server an und behandelt die unternehmensweite Bereitstellung — für den Einstieg ist davon jedoch nichts erforderlich.

Voraussetzungen: Node 22+ wird nur für den veralteten npm-Installationsweg benötigt (mit v2.1.198 von Version 18 angehoben; in der aktuellen Installationsdokumentation steht „Node.js 22 or later“, überprüft am 7. August 2026); das empfohlene native Installationsprogramm benötigt Node nicht. Unterstützt werden macOS / Linux / Windows 10+. Die Nutzung ist entweder durch ein Claude-Abonnement vom Typ Pro, Max, Team oder Enterprise oder durch einen nutzungsabhängig abgerechneten Anthropic API-Schlüssel abgedeckt. Plattformspezifische Hinweise, Informationen zur Fehlerbehebung und den nativen Binärinstallationsweg (seit v2.1.113 Standard) finden Sie unter Wie installiere ich Claude Code?. Die Nachweise zur neuesten Version werden in diesem Leitfaden für jede Veröffentlichung aktualisiert; den aktuellen Überprüfungsstand finden Sie im neuesten Eintrag des Changelogs.²⁴²

Funktionsweise von Claude Code: Das mentale Modell

Bevor Sie sich mit den Funktionen befassen, sollten Sie verstehen, wie die Architektur von Claude Code Ihre gesamte Arbeit damit prägt. Das System arbeitet auf drei Ebenen:

┌─────────────────────────────────────────────────────────┐
│                    CLAUDE CODE LAYERS                    │
├─────────────────────────────────────────────────────────┤
│  EXTENSION LAYER                                         │
│  ┌─────────┐  ┌─────────┐  ┌─────────┐  ┌─────────┐    │
│  │   MCP   │  │  Hooks  │  │ Skills  │  │ Plugins │    │
│  └─────────┘  └─────────┘  └─────────┘  └─────────┘    │
│  External tools, deterministic automation, domain       │
│  expertise, packaged extensions                          │
├─────────────────────────────────────────────────────────┤
│  DELEGATION LAYER                                        │
│  ┌─────────────────────────────────────────────────┐    │
│  │           Subagents (20 concurrent default)      │    │
│  │   Explore | Plan | General-purpose | Custom      │    │
│  └─────────────────────────────────────────────────┘    │
│  Isolated contexts for focused work, returns summaries  │
├─────────────────────────────────────────────────────────┤
│  CORE LAYER                                              │
│  ┌─────────────────────────────────────────────────┐    │
│  │         Main Conversation Context                │    │
│  │   Tools: Read, Edit, Bash, Glob, Grep, etc.     │    │
│  └─────────────────────────────────────────────────┘    │
│  Your primary interaction; limited context; costs money │
└─────────────────────────────────────────────────────────┘

Kernebene: Ihre Hauptkonversation. Jede Nachricht, jeder Dateilesevorgang und jede Tool-Ausgabe beansprucht Kontext aus einem gemeinsamen Fenster (standardmäßig 200K Tokens⁹¹, 1M Tokens mit Opus 4.6 oder Modellen mit erweitertem Kontext). Sobald der Kontext ausgeschöpft ist, verliert Claude frühere Entscheidungen aus dem Blick, und die Qualität nimmt ab. Auf dieser Ebene entstehen Kosten pro Token.

Delegationsebene: Subagents starten mit einem leeren Kontext, erledigen gezielte Aufgaben und geben Zusammenfassungen zurück. Die Ergebnisse der Erkundung blähen Ihre Hauptkonversation nicht auf; zurückgegeben werden nur die Schlussfolgerungen. Weisen Sie Subagents für Erkundungsaufgaben günstigeren Modellstufen zu, oder verwenden Sie durchgehend Ihr primäres Modell, wenn Ihnen Qualität wichtiger als Kosten ist.

Erweiterungsebene: MCP verbindet externe Dienste (Datenbanken, GitHub, Sentry). Hooks gewährleisten die Ausführung von Shell-Befehlen unabhängig vom Verhalten des Modells. Skills bilden Fachwissen ab, das Claude automatisch anwendet. Plugins bündeln all diese Elemente für die Verteilung.

Die zentrale Erkenntnis: Die meisten Benutzer arbeiten ausschließlich auf der Kernebene und sehen dabei zu, wie der Kontext anwächst und die Kosten steigen. Erfahrene Benutzer verlagern Erkundungen und spezialisierte Aufgaben auf die Delegationsebene, konfigurieren die Erweiterungsebene passend zu ihrem Arbeitsablauf und nutzen die Kernebene nur zur Orchestrierung und für abschließende Entscheidungen.

Inhaltsverzeichnis

1. Wie installiere ich Claude Code?
2. Schnellstart: Ihre erste Sitzung
3. Grundlegende Interaktionsmodi
4. Das Konfigurationssystem im Detail
5. Welches Modell sollte ich wählen?
6. Was kostet Claude Code?
7. Entscheidungsrahmen
8. Wie funktioniert das Berechtigungssystem?
9. Wie funktionieren Hooks?
10. Was ist MCP (Model Context Protocol)?
11. Was sind Subagents?
12. Was ist der Extended Thinking Mode?
13. Ausgabestile
14. Slash Commands
15. Wie funktionieren Skills?
16. Plugin-System
17. Wie funktioniert der Speicher?
18. Bild- und multimodale Eingabe
19. Sprachmodus
20. Wie funktioniert die Git-Integration?
21. Wie verwende ich Claude Code in meiner IDE?
22. Fortgeschrittene Nutzungsmuster
23. Remote- und Hintergrund-Agenten [FORSCHUNGSVORSCHAU]
24. Claude in Chrome
25. Claude Code in Slack [FORSCHUNGSVORSCHAU]
26. Claude Code im Web [FORSCHUNGSVORSCHAU]
27. Claude in Microsoft 365 (Mai 2026)
28. Leistungsoptimierung
29. Wie behebe ich Probleme?
30. Unternehmensweite Bereitstellung
31. Referenz der Tastenkombinationen
32. Bewährte Vorgehensweisen
33. Arbeitsablaufrezepte
34. Migrationsleitfaden
35. Zielgruppenspezifische Hinweise
36. Schnellreferenz
37. Changelog
38. Quellen

Wie installiere ich Claude Code?

Systemanforderungen

Claude Code läuft unter macOS 13+, Ubuntu 20.04+/Debian 10+ und Windows 10+ (nativ oder über WSL). Das System benötigt mindestens 4 GB RAM und eine aktive Internetverbindung.⁹² Die beste Shell-Kompatibilität bieten Bash, Zsh und Fish.

Unter Windows funktionieren sowohl WSL 1 als auch WSL 2. Wenn Sie eine native Windows-Umgebung bevorzugen, können Sie auch Git Bash verwenden. Alpine Linux und andere musl-basierte Systeme benötigen zusätzliche Pakete:

apk add libgcc libstdc++ ripgrep
export USE_BUILTIN_RIPGREP=0

Matrix der Plattformunterstützung

Installation, Aktualisierung und Deinstallation auf einen Blick

Übersichtliche Referenz – alle Methoden, Befehle und Versionsprüfungen auf einen Blick. Die folgenden Unterabschnitte behandeln die Besonderheiten und Fehlerbehebung der einzelnen Methoden.

Seit v2.1.113 startet das kanonische CLI über eine optionale plattformspezifische Abhängigkeit eine native Claude Code-Binärdatei anstelle des gebündelten JavaScript – verwenden Sie für die getestete Distribution den nativen Installer. Der npm-Weg funktioniert weiterhin, zeigt jedoch den erstmals in v2.1.15 eingeführten Hinweis auf die Einstellung dieser Installationsmethode an.

Installationsmethoden

Native Installation (empfohlen)

Die native Binärdatei bietet die reibungsloseste Nutzung ohne Abhängigkeit von Node.js:

# macOS and Linux
curl -fsSL https://claude.ai/install.sh | bash

# Homebrew alternative
brew install --cask claude-code

# Windows PowerShell
irm https://claude.ai/install.ps1 | iex

# Windows CMD
curl -fsSL https://claude.ai/install.cmd -o install.cmd && install.cmd && del install.cmd

Für die Installation einer bestimmten Version:

# Install specific version
curl -fsSL https://claude.ai/install.sh | bash -s 1.0.58

# Install latest explicitly
curl -fsSL https://claude.ai/install.sh | bash -s latest

# Windows PowerShell - specific version
& ([scriptblock]::Create((irm https://claude.ai/install.ps1))) 1.0.58

NPM-Installation (nicht mehr empfohlen)

Hinweis: Seit v2.1.15 zeigen npm-Installationen einen Hinweis darauf an, dass diese Installationsmethode nicht mehr empfohlen wird. Die native Binärdatei ist jetzt die empfohlene Installationsmethode. Migrieren Sie mit claude install.

Für ältere Umgebungen, in denen npm weiterhin benötigt wird:

npm install -g @anthropic-ai/claude-code

Verwenden Sie bei der npm-Installation niemals sudo. Dadurch entstehen Berechtigungsprobleme, die alle nachfolgenden Schritte erschweren.

Migration einer vorhandenen Installation

Wenn Sie eine ältere npm-basierte Installation verwenden, migrieren Sie zur nativen Binärdatei:

claude install

Authentifizierungsoptionen

Claude Code unterstützt drei Authentifizierungswege, die jeweils unterschiedliche Vor- und Nachteile bieten:

Claude Console (API-Abrechnung)

Stellen Sie über platform.claude.com (zuvor console.anthropic.com) eine direkte Verbindung zu Anthropics API her. Erstellen Sie ein Konto, richten Sie die Abrechnung ein und authentifizieren Sie sich über das CLI. Die Console bietet eine nutzungsabhängige Abrechnung mit vollständigem API-Zugriff. Ein eigener „Claude Code“-Workspace wird automatisch erstellt. Sie können für diesen Workspace keine API-Schlüssel erstellen, aber die Nutzung überwachen. Seit v2.1.243 bietet /login → Anthropic Console neben der Erstellung eines API-Schlüssels auch den schlüssellosen Weg „Mit Ihrem Console-Konto anmelden“ (empfohlen). So können sich Organisationen, die keine API-Schlüssel zulassen, dennoch mit ihren Console-Anmeldedaten anmelden.²²⁵

Claude Pro- oder Max-Abonnement

Verwenden Sie die Anmeldedaten Ihres claude.ai-Kontos. Das Abonnement deckt sowohl die Weboberfläche als auch die Nutzung des CLI über einen einzigen monatlichen Tarif ab. Für einzelne Benutzer, die planbare Kosten wünschen, vereinfacht das Abonnement die Abrechnung.

Unternehmensplattformen

AWS Bedrock, Google Vertex AI und Microsoft Foundry bieten jeweils unternehmenstauglichen Zugriff über bestehende Cloud-Abrechnungsbeziehungen. Bedrock-Einrichtungsassistent (v2.1.92+): Ein interaktiver Assistent auf dem Anmeldebildschirm führt Sie durch die AWS-Authentifizierung, die Auswahl der Region, die Überprüfung der Anmeldedaten und die Festlegung des Modells.¹³⁷ Vertex AI-Einrichtungsassistent (v2.1.98+): Ein entsprechender Assistent für Google Cloud führt Sie durch die GCP-Authentifizierung, die Konfiguration von Projekt und Region, die Überprüfung der Anmeldedaten und die Festlegung des Modells.¹⁴² Vertex AI mTLS Workload Identity Federation (v2.1.121+): Vertex AI akzeptiert jetzt eine auf X.509-Zertifikaten basierende Workload Identity Federation (mTLS Application Default Credentials) – kurzlebige GCP-Token, die aus einem Client-Zertifikat erzeugt werden, ohne dass ein JSON für ein Dienstkonto erforderlich ist.¹⁵⁴ Vertrauen in OS-CA-Zertifikate (v2.1.101+): TLS-Proxys für Unternehmen funktionieren jetzt standardmäßig – Claude Code vertraut dem Zertifikatspeicher des Betriebssystems. Legen Sie CLAUDE_CODE_CERT_STORE=bundled fest, um ausschließlich die gebündelten CAs zu verwenden.¹⁴³

# AWS Bedrock
export CLAUDE_CODE_USE_BEDROCK=1
export AWS_REGION=us-east-1
export AWS_PROFILE=your-profile

# Google Vertex AI
export CLAUDE_CODE_USE_VERTEX=1
export CLOUD_ML_REGION=us-east5
export ANTHROPIC_VERTEX_PROJECT_ID=your-project

# Microsoft Foundry
export CLAUDE_CODE_USE_FOUNDRY=1
export ANTHROPIC_FOUNDRY_RESOURCE=your-resource-name
# Optional: API key auth (otherwise uses Entra ID)
export ANTHROPIC_FOUNDRY_API_KEY=your-key

# Amazon Bedrock via Mantle (v2.1.94+)
export CLAUDE_CODE_USE_MANTLE=1

Für Unternehmensbereitstellungen hinter Proxys oder über LLM-Gateways:

# Corporate proxy
export HTTPS_PROXY='https://proxy.example.com:8080'

# LLM gateway (skip native auth)
export CLAUDE_CODE_USE_BEDROCK=1
export ANTHROPIC_BEDROCK_BASE_URL='https://your-gateway.com/bedrock'
export CLAUDE_CODE_SKIP_BEDROCK_AUTH=1

Überprüfung

claude doctor

Der Befehl meldet den Installationstyp, die Version, die Systemkonfiguration und alle erkannten Probleme.

Authentifizierungsverwaltung (v2.1.41+)

Verwalten Sie die Authentifizierung, ohne die REPL aufzurufen:⁹⁰

claude auth login          # Log in or switch accounts
claude auth status         # Check current auth state (account, plan, expiry)
claude auth logout         # Clear stored credentials

Typischer Ablauf für den Wechsel zwischen Konten oder Organisationen:

claude auth logout && claude auth login

Siehe auch: Wie behebe ich Probleme? zur Fehlerbehebung bei Authentifizierungsfehlern.

Aktualisierungen

Claude Code wird standardmäßig automatisch aktualisiert. Dabei wird beim Start und regelmäßig während der Sitzungen nach Aktualisierungen gesucht. Aktualisierungen werden im Hintergrund heruntergeladen und beim nächsten Start angewendet.

Automatische Aktualisierungen deaktivieren:

export DISABLE_AUTOUPDATER=1

Oder in settings.json:

{
  "env": {
    "DISABLE_AUTOUPDATER": "1"
  }
}

Manuelle Aktualisierung:

claude update

Deinstallation

Native Installation (macOS/Linux/WSL):

rm -f ~/.local/bin/claude
rm -rf ~/.claude-code

Native Installation (Windows PowerShell):

Remove-Item -Path "$env:LOCALAPPDATA\Programs\claude-code" -Recurse -Force
Remove-Item -Path "$env:LOCALAPPDATA\Microsoft\WindowsApps\claude.exe" -Force

Konfiguration bereinigen (entfernt alle Einstellungen):

rm -rf ~/.claude
rm ~/.claude.json
rm -rf .claude
rm -f .mcp.json

Schnellstart: Ihre erste Sitzung

1. Installieren und starten:

claude                           # Launch in current directory

2. Zu einem Projekt navigieren:

cd ~/my-project && claude        # Or launch from any git repo

3. Claude mit einer Aufgabe beauftragen:

> "Explain the architecture of this project"
> "Find all TODO comments and create a summary"
> "Add input validation to the signup form"

4. Während Ihrer Sitzung Tastenkürzel verwenden:

/cost                            # Check token usage and cost
/compact                         # Free up context when it gets large
Alt+T                            # Toggle extended thinking for hard problems
Ctrl+C                           # Cancel current response

5. Später fortfahren:

claude -c                        # Resume your most recent session
claude --resume                  # Pick from session list

Expertentipp: Erstellen Sie im Stammverzeichnis Ihres Projekts eine CLAUDE.md-Datei mit Build-Befehlen, Programmierkonventionen und Hinweisen zur Architektur. Claude liest sie in jeder Sitzung – damit erzielen Sie mit einer einzigen Maßnahme die größte Qualitätssteigerung.

Zentrale Interaktionsmodi

Interaktive REPL

Starten Sie Claude Code ohne Argumente, um die interaktive Read-Eval-Print-Schleife aufzurufen:

cd your-project
claude

Die REPL behält den Gesprächskontext über mehrere Durchläufe hinweg bei. Geben Sie Anfragen direkt ein, erhalten Sie Antworten und fahren Sie fort, bis Sie die REPL mit /exit oder Ctrl+D beenden.

Beginnen Sie mit einem anfänglichen Prompt, um die Sitzung gezielt auszurichten:

claude "explain the authentication flow in this project"

Expertentipp: Die REPL behält ihren Zustand auch über Komprimierungsvorgänge hinweg bei. Wird der Kontext zu umfangreich, fasst Claude ältere Gesprächsteile automatisch zusammen und bewahrt dabei wichtige Entscheidungen und Codeausschnitte. Sie können dies mit /compact manuell auslösen oder eigene Anweisungen dazu hinzufügen, was erhalten bleiben soll.

Nicht interaktiver Modus

Der Print-Modus (-p) führt eine einzelne Anfrage aus und wird anschließend beendet:

# Direct query
claude -p "list all TODO comments in this project"

# Process piped input
cat error.log | claude -p "identify the root cause of these failures"

# Chain with other tools
claude -p "generate a README" > README.md

Für eine strukturierte Ausgabe, die sich zur Verarbeitung in Skripten eignet:

claude -p "count lines by file type" --output-format json

Die JSON-Ausgabe enthält alles, was Sie für die Automatisierung benötigen:

{
  "type": "result",
  "subtype": "success",
  "total_cost_usd": 0.0034,
  "is_error": false,
  "duration_ms": 2847,
  "duration_api_ms": 1923,
  "num_turns": 4,
  "result": "Response text here...",
  "session_id": "abc-123-def"
}

Für die Echtzeitverarbeitung einer Streaming-Ausgabe:

claude -p "build the application" --output-format stream-json | while read line; do
  echo "$line" | jq -r 'select(.result) | .result'
done

Optionen für das Ausgabeformat:

Subagent-Text in stream-json (v2.1.211+): Standardmäßig enthält die stream-json-Ausgabe nur die Ereignisse der Hauptsitzung – innerhalb von subagents erledigte Arbeit wird als Zusammenfassung ausgegeben. Das Flag --forward-subagent-text (oder CLAUDE_CODE_FORWARD_SUBAGENT_TEXT=1) leitet auch Text- und Denkprozessausgaben von subagents an den Stream weiter. Dadurch können Harnesses und Protokollierungspipelines delegierte Arbeit während ihrer Ausführung beobachten, anstatt nur den Abschlussbericht zu sehen.¹⁸⁸

Auch verschachtelte subagents werden jetzt weitergeleitet (v2.1.219). Ursprünglich wurden nur subagents der Tiefe 1 ausgegeben. Bei Tiefe 2 und höher erzeugte subagents erscheinen nun ebenfalls im weitergeleiteten Stream. Jeder wird anhand der tool_use-ID des Agent-Aufrufs gekennzeichnet, der ihn erzeugt hat – so kann eine Pipeline den Delegationsbaum rekonstruieren, anstatt lediglich eine flache Textliste zu sehen. Dies ergänzt unmittelbar die in derselben Version wiederhergestellte standardmäßige Verschachtelung bis zur Tiefe 3: Ohne diese Änderung wären 2 der 3 Ebenen unsichtbar geblieben.¹⁹⁶

Exit-Codes:

Steuerung des agentischen Verhaltens im -p-Modus:

# Limit autonomous turns (prevents runaway loops)
claude -p "refactor the auth module" --max-turns 10

# Allow specific tools without prompting
claude -p "fix lint errors" --allowedTools "Edit,Bash(npm run lint)"

# Use with a specific model
claude -p "explain this code" --model claude-sonnet-5

# Bare mode: skip hooks, LSP, plugin sync, skill walks (v2.1.81+)
claude -p "count files" --bare

# Channel permission relay: send approval prompts to Telegram/Discord (v2.1.81+)
claude --channels

# Restricted mode for eval harnesses and shared machines (v2.1.248+)
claude --restricted -p "query" --tools "Read,Grep,Glob"

# Unattended hosts: deny anything that would prompt (v2.1.259+)
claude -p "run the nightly checks" --permission-prompts none

Eingeschränkter Modus (v2.1.248+): --restricted (oder CLAUDE_CODE_RESTRICTED=1) ist für Evaluierungsharnesses konzipiert, die claude auf einem gemeinsam genutzten Rechner ausführen. Der Modus entfernt die integrierten Tools zum Ausführen von Befehlen oder Code sowie WebFetch, sofern Sie diese nicht einzeln unter --tools angeben – die Voreinstellung default zählt nicht. Zudem beschränkt er die integrierten Datei-Tools auf die Arbeitsverzeichnisse, lädt ausschließlich verwaltete Einstellungen und --settings (Einstellungsdateien auf Benutzer-, Projekt- und lokaler Ebene werden ignoriert), verweigert bypassPermissions und verhindert das Erstellen von Cloud-Sitzungen.²⁰⁶²⁰⁹

--permission-prompts none (v2.1.259): die Ergänzung für unbeaufsichtigte Hosts. Alles, was eine Berechtigungsabfrage auslösen würde, wird automatisch abgelehnt, während der aktive Berechtigungsmodus – einschließlich des automatischen Modus – weiterhin jede Entscheidung trifft, die ohne Ihre Mitwirkung möglich ist. Verwechseln Sie dies nicht mit --permission-prompt-tool, das Abfragen an ein MCP-Tool delegiert, statt sie abzulehnen. Die CLI-Referenz führt das neue Flag noch nicht auf; maßgeblich ist das CHANGELOG.²¹¹

cd bleibt in nicht interaktiven Sitzungen über mehrere Durchläufe hinweg wirksam (v2.1.265): Mit stream-json-Eingaben versorgte -p-Sitzungen, Agent-SDK-Sitzungen und Cloud-Sitzungen setzen das Shell-Arbeitsverzeichnis nicht mehr bei jeder neuen Benutzernachricht zurück – ein cd in einem Durchlauf gilt nun auch im nächsten.²¹⁵

CI/CD-Integrationsmuster:

# In a GitHub Action or CI pipeline
result=$(claude -p "review this diff for security issues" --output-format json 2>/dev/null)
is_error=$(echo "$result" | jq -r '.is_error')
if [ "$is_error" = "true" ]; then
  echo "Review failed"
  exit 1
fi
echo "$result" | jq -r '.result'

Sitzungsverwaltung

Sitzungen speichern den Gesprächsverlauf, damit Sie ihn später fortsetzen können. Für komplexe Arbeiten über mehrere Sitzungen hinweg ist diese Persistenz unerlässlich:

# Continue most recent session
claude -c

# Continue with additional prompt
claude -c -p "now add error handling"

# Resume specific session by ID
claude -r "abc123" "implement the remaining tests"

# Fork a session for parallel exploration
claude -r "base-session" --fork-session "try a different approach"

Eine laufende Sitzung mit /cd verschieben (v2.1.169+; Konfiguration seit v2.1.246 sofort wirksam): /cd path ändert das Arbeitsverzeichnis, ohne den Prompt-Cache zu beeinträchtigen. Seit v2.1.246 werden die Projekteinstellungen, hooks, .mcp.json-Server (nach der üblichen Genehmigungsabfrage), skills und Agenten des neuen Verzeichnisses unmittelbar nach dem Wechsel wirksam, statt erst nach --resume.²³⁷²²⁴

Mit PRs verknüpfte Sitzungen (v2.1.27+, erweitert ab v2.1.119): Starten Sie eine Sitzung, die mit einem bestimmten Pull Request oder Merge Request verknüpft ist. Seit v2.1.119 akzeptiert --from-pr neben github.com auch GitLab-MR-, Bitbucket-PR- und GitHub-Enterprise-PR-URLs:⁷⁴¹⁵²

claude --from-pr 123                                                # GitHub PR number (assumes current repo's remote)
claude --from-pr https://github.com/org/repo/pull/123               # GitHub URL
claude --from-pr https://gitlab.com/org/repo/-/merge_requests/45    # GitLab MR (v2.1.119+)
claude --from-pr https://bitbucket.org/org/repo/pull-requests/67    # Bitbucket PR (v2.1.119+)
claude --from-pr https://ghe.example.com/org/repo/pull/89           # GitHub Enterprise (v2.1.119+)

Sitzungen werden außerdem automatisch mit PRs verknüpft, wenn Sie diese während einer Sitzung über gh pr create erstellen. Dadurch können Sie die Arbeit an einem bestimmten PR später problemlos fortsetzen. Über die Einstellung prUrlTemplate (v2.1.119+) kann das PR-Abzeichen in der Fußzeile auf eine benutzerdefinierte Code-Review-URL verweisen – praktisch, wenn Ihr Team aus PRs auf ein separates Review-Tool verlinkt.¹⁵²

/resume akzeptiert PR-URLs (v2.1.122+). Wenn Sie eine PR-URL in das /resume-Suchfeld einfügen, wird nun die Sitzung gefunden, in der dieser PR ursprünglich erstellt wurde – dies funktioniert mit github.com, GitHub Enterprise, gitlab.com (einschließlich selbst gehostetem GitLab) und bitbucket.org.¹⁵⁴

Benannte Sitzungen: Benennen Sie Sitzungen beim Start oder während einer laufenden Sitzung:

# Name session at startup (v2.1.76+)
claude -n "auth-refactor"                  # --name flag sets display name[^125]

# Name current session
> /rename auth-refactor

# Resume by name or number
> /resume 1                    # Resume first session
> /resume auth-refactor        # Resume by name
claude --resume auth-refactor  # Resume from terminal
claude -r 3                    # Resume by number from terminal

# Fork for parallel exploration
claude --resume auth-refactor --fork-session

Hinweis: --session-id erfordert eine gültige UUID (z. B. 550e8400-e29b-41d4-a716-446655440000). Verwenden Sie stattdessen /rename und --resume, wenn Sie Sitzungen mit einem für Menschen lesbaren Namen versehen möchten.

/fork erzeugt eine Hintergrundsitzung; /subtask ist der sitzungsinterne Fork (v2.1.212). Der Befehl /fork kopiert die aktuelle Unterhaltung nun in eine neue Hintergrundsitzung – sie erhält einen eigenen Eintrag in claude agents, sodass Sie die Kopie eine Alternative untersuchen lassen können, während Ihre Hauptsitzung weiterläuft. Das frühere Verhalten – ein Fork innerhalb der aktuellen Sitzung – besteht unter dem neuen Namen /subtask fort.¹⁸⁹ Seit v2.1.214 meldet eine als Fork gestartete Sitzung für den SessionStart-hook die Quelle "fork" (zuvor "resume"), sodass nach Quellen filternde hooks zwischen beiden unterscheiden können.¹⁹⁰ v2.1.216 verkürzt die Bestätigung für /fork auf eine Zeile mit dem Namen der neuen Sitzung und ihrer claude attach-ID.¹⁹² Seit v2.1.221 erstellt eine Fork-Sitzung ihren eigenen Worktree, anstatt im Checkout der ursprünglichen Sitzung zu arbeiten – ein Fork, der eine Alternative untersucht, kann dadurch nicht mehr mit nicht committeten Dateien der Hauptsitzung kollidieren, was zuvor die riskante Seite solcher ausgelagerten Experimente war.¹⁹⁹ Mit v2.1.232 wird Forking auch für subagents zum Standard: Ein subagent vom Typ subagent_type: "fork" übernimmt die gesamte Unterhaltung und den Prompt-Cache, und nicht zu einem Team gehörende Agent-Spawns in interaktiven Sitzungen werden nun standardmäßig im Hintergrund ausgeführt.²³⁰

Claude Code speichert Sitzungen als JSONL-Transkripte. Bei der Agent-Ausführung werden eindeutige agentId-Werte vergeben; die Transkripte werden als agent-{agentId}.jsonl gespeichert. Beim Fortsetzen bleibt der vollständige Kontext vorheriger Unterhaltungen erhalten.

Plan-Modus

Der Plan-Modus beschränkt Claude auf schreibgeschützte Erkundung – keine Dateiänderungen, keine Bash-Ausführung und keine destruktiven Aktionen. Claude entwirft einen Implementierungsansatz, schreibt ihn in eine Plandatei und wartet auf Ihre Genehmigung, bevor etwas ausgeführt wird.

Plan-Modus aufrufen:

# Cycle through modes during a session
Shift+Tab           # Cycles: normal → plan → auto-accept

# Or use the /plan command with an optional description (v2.1.72+)
/plan                                     # Enter plan mode
/plan refactor the auth module            # Enter plan mode with a description

# Or ask Claude directly
"Plan how to refactor the auth module"   # Claude may enter plan mode automatically

Funktionsweise:

1. Claude wechselt in den Plan-Modus (automatisch bei komplexen Aufgaben oder über Shift+Tab)
2. Die Codebasis wird mit schreibgeschützten Tools untersucht: Read, Glob, Grep, WebSearch, WebFetch
3. Ein Plan wird unter .claude/plans/{session-slug}.md gespeichert
4. Der Plan-Modus wird mit ExitPlanMode beendet und der Plan Ihnen zur Prüfung vorgelegt
5. Sie genehmigen ihn, fordern Änderungen an oder lehnen ihn ab

Im Plan-Modus verfügbare Tools: Read, Glob, Grep, LS, WebSearch, WebFetch, AskUserQuestion. Bearbeitungs-Tools (Edit, Write, Bash, NotebookEdit) sind gesperrt.

Nach der Plangenehmigung (v2.1.32+): Claude bietet drei Optionen: - „Ja, Kontext löschen und Änderungen automatisch akzeptieren“ (Shift+Tab) – beginnt mit einem frischen, vollständig für den Plan verfügbaren Kontext - „Ja, und Änderungen manuell genehmigen“ – behält den Kontext bei; Sie genehmigen jede Änderung - „Ja, Änderungen automatisch akzeptieren“ – behält den Kontext bei; Claude führt Änderungen ohne einzelne Genehmigungen aus

Das automatische Löschen des Kontexts bei der Genehmigung ist der empfohlene Arbeitsablauf. Dadurch erhält der Plan ein frisches Kontextfenster, was die Einhaltung des Plans erheblich verbessert – Claude bleibt länger auf Kurs, ohne dass ältere Gesprächsinhalte dazwischenfunken.

Wann Sie den Plan-Modus verwenden sollten: - Implementierung neuer Funktionen mit Architekturentscheidungen - Refaktorierungen über mehrere Dateien hinweg, bei denen Sie zunächst den Ansatz prüfen möchten - Unbekannte Codebasen, die vor Änderungen zunächst untersucht werden sollten - Aufgaben mit mehreren sinnvollen Ansätzen, zu denen Sie vorab Stellung nehmen möchten

Expertentipp: Je mehr Zeit Sie im Plan-Modus verbringen, desto wahrscheinlicher gelingt Claude die Implementierung. Der Plan-Modus ermöglicht praktisch kostenlose Erkundung – ohne riskante Tool-Aufrufe und unnötige Änderungen. Nutzen Sie ihn großzügig.

Screenreader-Modus (v2.1.208)

Claude Code verfügt über einen eigenen Screenreader-Modus, der die Terminal-Benutzeroberfläche für assistive Technologien anpasst. Sie können ihn auf eine von drei Arten aktivieren:¹⁸⁶

# Flag at launch
claude --ax-screen-reader

# Environment variable
export CLAUDE_AX_SCREEN_READER=1

# Or persistently in settings.json
{ "axScreenReader": true }

Anthropic beschreibt den Modus – einschließlich seiner Interaktionsmuster – auf einer neuen Barrierefreiheitsseite in der offiziellen Dokumentation.¹⁸⁶

Detaillierter Einblick in das Konfigurationssystem

Claude Code verwendet ein mehrstufiges Konfigurationssystem. Die Hierarchie zu verstehen ist entscheidend, da höhere Ebenen niedrigere überschreiben und Unternehmenseinstellungen überhaupt nicht umgangen werden können.

Konfigurationshierarchie

Konfiguration über den Prompt festlegen: /config key=value (v2.1.181)

Seit v2.1.181 legt /config key=value beliebige Einstellungen direkt über den Prompt fest – beispielsweise /config thinking=false –, ohne die interaktive /config-Benutzeroberfläche zu öffnen. Dies funktioniert in interaktiven, -p- und Remote-Control-Sitzungen. /config --help (v2.1.183) listet die verfügbaren Kurzschlüssel auf. Mit v2.1.183 wurde außerdem die interaktive /config-Benutzeroberfläche geändert: Sowohl die Eingabe- als auch die Leertaste schalten nun die ausgewählte Einstellung um, während Esc speichert und die Oberfläche schließt (zuvor wurden Änderungen verworfen).¹⁷⁴

Vollständige Referenz für settings.json

Eine vollständige Konfiguration mit allen wichtigen Optionen:

{
  "$schema": "https://json.schemastore.org/claude-code-settings.json",
  "model": "claude-sonnet-5",
  "permissions": {
    "allow": [
      "Read",
      "Glob",
      "Grep",
      "Bash(npm run:*)",
      "Bash(git:*)",
      "Bash(make:*)",
      "Edit(src/**)",
      "mcp__github"
    ],
    "deny": [
      "Read(.env*)",
      "Read(secrets/**)",
      "Bash(rm -rf:*)",
      "Bash(sudo:*)",
      "Edit(package-lock.json)",
      "Edit(.git/**)"
    ],
    "ask": [
      "WebFetch",
      "Bash(curl:*)",
      "Bash(docker:*)"
    ],
    "additionalDirectories": [
      "../shared-lib",
      "../docs"
    ],
    "defaultMode": "acceptEdits"
  },
  "env": {
    "NODE_ENV": "development",
    "DEBUG": "app:*"
  },
  "hooks": {
    "PostToolUse": [
      {
        "matcher": "Edit|Write",
        "hooks": [
          {
            "type": "command",
            "command": "jq -r '.tool_input.file_path' | xargs npx prettier --write"
          }
        ]
      }
    ]
  },
  "sandbox": {
    "enabled": false,
    "autoAllowBashIfSandboxed": true,
    "excludedCommands": ["git", "docker"]
  },
  "statusLine": {
    "type": "command",
    "command": "~/.claude/statusline.sh"
  },
  "includeCoAuthoredBy": true,
  "cleanupPeriodDays": 30,
  "outputStyle": "Explanatory",
  "language": "en",
  "respectGitignore": true,
  "showTurnDuration": true,
  "plansDirectory": ".claude/plans",
  "spinnerVerbs": ["Thinking", "Processing", "Analyzing"],
  "spinnerTipsOverride": {
    "label": "Team tips",
    "tips": [
      "Custom tip 1",
      {"id": "tip-2", "text": "Custom tip 2", "cooldownSessions": 5, "priority": 1}
    ],
    "tipsFile": "~/.claude/team-tips.json",
    "excludeDefault": true
  },
  "skillOverrides": {
    "legacy-skill": "off",
    "manual-only-skill": "user-invocable-only",
    "compact-skill": "name-only"
  },
  "includeGitInstructions": false,
  "modelOverrides": {
    "bedrock": "us.anthropic.claude-opus-5",
    "vertex": "claude-opus-5",
    "foundry": "claude-opus-4-8"
  },
  "autoMemoryDirectory": ".claude/memory",
  "sandbox": {
    "enableWeakerNetworkIsolation": true
  }
}

skillOverrides ist nützlich, wenn ein Team über eine umfangreiche Skill-Bibliothek verfügt, die zur Laufzeit verfügbaren Skills jedoch stärker einschränken möchte. Verwenden Sie off, um einen Skill sowohl vor dem Modell als auch in der Slash-Auswahl auszublenden, user-invocable-only, damit er weiterhin namentlich aufgerufen werden kann, aber nicht mehr vom Modell ausgewählt wird, und name-only, damit nur der Skill-Name ohne vollständige Beschreibung sichtbar bleibt.¹⁵⁶

Neuere Einstellungen (v2.1.174–176):

• availableModels / enforceAvailableModels (verwaltet, ab v2.1.175): Die availableModels-Positivliste schränkt ein, welche Modelle in einer Sitzung ausgewählt werden können. Mit enforceAvailableModels: true gilt die Positivliste auch für das Default-Modell: Würde Default auf ein nicht zugelassenes Modell verweisen, wird stattdessen das erste zugelassene Modell verwendet. Außerdem können Benutzer- oder Projekteinstellungen eine verwaltete availableModels-Liste nicht mehr erweitern. Eine ergänzende Fehlerbehebung (v2.1.176) schließt die Lücke, durch die eine Alias-Auswahl über ANTHROPIC_DEFAULT_*_MODEL auf ein gesperrtes Modell umgeleitet werden konnte; zudem verweigert /fast nun den Wechsel zu einem Modell außerhalb der Positivliste.¹⁷² Seit v2.1.187 können Organisationen Modellbeschränkungen direkt für die /model-Auswahl, --model, /model und ANTHROPIC_MODEL durchsetzen. Bei Auswahl eines eingeschränkten Modells erscheint die Meldung „durch die Einstellungen Ihrer Organisation eingeschränkt“.¹⁷⁶
• language (Verfeinerung in v2.1.176): Neben der Antwortsprache werden Sitzungstitel nun standardmäßig in der Sprache Ihrer Unterhaltung erzeugt. Legen Sie language fest, um eine bestimmte Sprache für Titel vorzugeben.¹⁷²
• footerLinksRegexes (v2.1.176): Durch reguläre Ausdrücke erkannte Link-Badges in der Fußzeile, die über Benutzer- oder verwaltete Einstellungen konfiguriert werden können.¹⁷²
• wheelScrollAccelerationEnabled (v2.1.174): Setzen Sie den Wert auf false, um die Beschleunigung des Mausrad-Bildlaufs im Vollbildmodus zu deaktivieren.¹⁷²

Neuere Einstellungen (v2.1.207–v2.1.212):

• vimInsertModeRemaps (v2.1.208): benutzerdefinierte Tastenneubelegungen für den vim-Einfügemodus – das klassische Beispiel ist die Zuordnung von jj zu Escape (siehe Vim-Modus).¹⁸⁶
• axScreenReader (v2.1.208): aktiviert den Bildschirmlesemodus dauerhaft (siehe Bildschirmlesemodus).¹⁸⁶
• processWrapper (v2.1.208): leitet jeden Prozess, den Claude Code für sich selbst startet, über eine Wrapper-Programmdatei – entwickelt für Unternehmens-Launcher (siehe Unternehmens-Launcher).¹⁸⁶
• Quellenbeschränkung für autoMode (v2.1.207): Die Einstellung autoMode wird nicht mehr aus der .claude/settings.local.json eines Repositorys gelesen. Konfigurieren Sie sie stattdessen in ~/.claude/settings.json. Dadurch wird verhindert, dass ein geklontes Repository eine Auto-Mode-Konfiguration mitliefert.¹⁸⁵

Neuere Einstellungen (v2.1.217):

• emojiCompletionEnabled (v2.1.217): Autovervollständigung von Emoji-Kurzcodes in der Prompt-Eingabe – geben Sie :heart: ein, um ❤️ einzufügen, oder einen unvollständigen Ausdruck wie :hea, um Vorschläge zu erhalten. Standardmäßig aktiviert; setzen Sie den Wert zum Deaktivieren auf false.¹⁹⁴

Neuere Einstellungen (v2.1.219):

• sandbox.network.strictAllowlist (v2.1.219): verweigert Hosts, die nicht auf der Positivliste stehen, für Befehle in der Sandbox ohne Rückfrage, statt einen Berechtigungsdialog anzuzeigen. Siehe Sandbox-Modus.¹⁹⁶
• workflowSizeGuideline (v2.1.219): legt die unverbindliche Größenrichtlinie für dynamische Workflows über eine beliebige Einstellungsdatei fest – benutzerbezogen, projektbezogen oder verwaltet –, statt ausschließlich über /config. Für dynamische Workflows gilt standardmäßig die Richtlinie medium („streben Sie weniger als 15 Agenten an“). Die entsprechende Zeile in /config wird ausgeblendet, solange eine Einstellungsdatei den Wert vorgibt. Dies ist eine Empfehlung, keine erzwungene Obergrenze. Siehe Subagents.¹⁹⁶

Neuere Einstellungen (v2.1.242–243):

• modelPicker (benutzerbezogen oder verwaltet, ab v2.1.242): Stellen Sie die /model-Auswahl mit einer geordneten, beschrifteten Modellliste zusammen. Dazu dient ein Objekt mit einem options-Array (jede Zeile enthält das erforderliche Feld model sowie optional label und description; model wird unverändert übernommen, sodass Aliasse, Anthropic-IDs und Bedrock-/Vertex-/Foundry-/Gateway-IDs funktionieren) und dem optionalen booleschen Wert replaceBuiltInOptions (false, der Standardwert, hängt die Zeilen an die integrierte Auswahl an; bei true werden nur Ihre Zeilen, Default und das bereits in der Sitzung ausgeführte Modell angezeigt). Claude Code liest den Schlüssel aus verwalteten Einstellungen, --settings und Benutzereinstellungen, ignoriert ihn jedoch in Projekt- und lokalen Einstellungen. Dadurch kann ein geklontes Repository die Beschriftungen der Auswahl nicht ändern; die höchstrangige Quelle, die den Schlüssel festlegt, bestimmt die gesamte Auswahl. Eine availableModels-Positivliste gilt weiterhin für jede Zeile, und eine Beschriftung ändert lediglich die Anzeige in der Auswahl, nicht das tatsächlich ausgeführte Modell.²²⁵²²³
• promptCacheTtl / subagentPromptCacheTtl (beliebige Datei, ab v2.1.242): "5m" oder "1h" je Anfrage-Bucket, sodass Benutzer mit API-Schlüsseln und Cloud-Anbietern für die Hauptunterhaltung einen einstündigen Cache nutzen können, während subagents bei fünf Minuten bleiben. Siehe Caching-Strategien.²²⁵²²³
• modelPricing (verwaltet, ab v2.1.243): die vertraglich vereinbarten Modellpreise und Rabattmultiplikatoren einer Organisation, die von /cost, der Statuszeile und den Telemetrie-Kostenangaben anstelle der Listenpreise verwendet werden. Siehe Kosten anzeigen.²²⁵

Neuere Einstellungen (v2.1.247): - feedbackDrafts (v2.1.247): steuert das neue SendFeedback-Tool – wenn in einer Sitzung etwas schiefläuft, kann Claude einen Feedbackbericht entwerfen, den Sie prüfen und über /feedback senden können; mit dieser Einstellung deaktivieren Sie das Erstellen solcher Entwürfe. Siehe die Zeile zu /feedback unter Slash Commands.²²⁰ - Erweiterung der Struktur von spinnerTipsOverride (v2.1.247): Hinweise können jetzt neben einfachen Zeichenfolgen auch Objekte im Format {id, text, cooldownSessions, priority} sein. Zudem erhält das Objekt die Schlüssel tipsFile und label, sodass Organisationen ihre eigenen Hinweise im Wechsel mit den integrierten anzeigen können (das obige Beispiel zeigt die erweiterte Struktur). Die neuen Schlüssel sind noch nicht in der Einstellungsdokumentation aufgeführt – der CHANGELOG ist die einzige Quelle dafür.²²⁰

Neuere Einstellungen (v2.1.248–251):

• desktopSessionCleanupPeriodDays (v2.1.248): begrenzt, wie lange vom Desktop geschriebene Sitzungen von der Transkriptbereinigung ausgenommen bleiben. Wichtiger als die Einstellung selbst ist die zugehörige Fehlerbehebung: Sitzungen aus Claude Desktop und Cowork verschwanden bisher nach cleanupPeriodDays (standardmäßig 30 Tage); die Bereinigung behält sie nun, solange sie in der App vorhanden sind, sofern die Aufbewahrung nicht durch eine Organisationsrichtlinie geregelt wird.²⁰⁶
• Einschränkungen für env auf Projektebene (v2.1.251): Ein env-Block in der .claude/settings.json eines Projekts kann CLAUDE_CONFIG_DIR, CLAUDE_CODE_TMPDIR oder TMPDIR/TMP/TEMP nicht mehr festlegen. Legen Sie diese stattdessen in Ihrer Shell sowie in Benutzer- oder verwalteten Einstellungen fest, damit ein geklontes Repository nicht umleiten kann, wohin Claude Code seine Konfigurations- und temporären Dateien schreibt.²⁰⁶

Neuere Einstellungen (v2.1.257-259):

• timeFormat / timeZone (v2.1.257): steuern, wie Claude Code Uhrzeiten darstellt – sowohl die Abschlusszeit am Ende eines Durchlaufs als auch Zeitstempel in Transkripten. timeFormat akzeptiert das 12-Stunden-Format, das 24-Stunden-Format, das 24-Stunden-Format in UTC oder ein explizites strftime-Muster; timeZone gibt die Zeitzone an. In der Einstellungsdokumentation sind beide noch nicht aufgeführt – der CHANGELOG ist die Quelle.²¹¹
• permissions.blockReadsOutsideWorkingDirectories (v2.1.257): verweigert das Lesen von Dateien außerhalb der Arbeitsverzeichnisse der Sitzung grundsätzlich. Ohne diese Einstellung fragt der automatische Modus nun einmalig vor dem ersten derartigen Lesezugriff einer Sitzung nach (siehe Automatischer Modus).²¹¹
• managedMcpServers / managedSourcesBehavior: Schlüssel des verwalteten Geltungsbereichs, behandelt unter Unternehmensbereitstellung – für Organisationen, die allen Benutzern MCP-Server bereitstellen (v2.1.259), sowie für die optionale Zusammenführung über verwaltete Quellen hinweg (verfeinert in v2.1.257).²¹¹²¹⁹

Neuere Einstellungen (v2.1.261):

• bashOutputMaxChars / taskOutputMaxChars (v2.1.261): erhöhen die Menge an Befehlsausgaben beziehungsweise Ausgaben von Hintergrundaufgaben, die Claude direkt erhält, bevor der Rest in einer Datei gespeichert wird, auf bis zu 128K Zeichen. Dies ist ein anderer Mechanismus als die Umgebungsvariable BASH_MAX_OUTPUT_LENGTH, die das Rücklesefenster aus der Arbeitsausgabedatei des Befehls festlegt (standardmäßig 30.000 Zeichen, begrenzt auf 150.000): Diese Schlüssel bestimmen den Schwellenwert zwischen direkter Ausgabe und Speicherung in einer Datei – wird er überschritten, landet die Ausgabe in einer Datei, die Claude bei Bedarf lesen kann, anstatt abgeschnitten zu werden.²¹⁴ Seit v2.1.265 ist auch die gespeicherte Ausgabe begrenzt: Auf der Festplatte gespeicherte Tool-Ergebnisse dürfen höchstens 1 GB groß sein, und die Vorschau innerhalb der Unterhaltung weist darauf hin, wenn eine gespeicherte Datei gekürzt wurde.²¹⁵

Einstellungssuche: die meistgesuchten Optionen

Wenn Sie hier nach einer bestimmten Einstellung gesucht haben, finden Sie in diesem Kurzindex die passende Stelle. Jeder Eintrag nennt die Version, mit der die Einstellung eingeführt wurde, und – sofern sie einem Geltungsbereich zugeordnet ist – den entsprechenden Geltungsbereich:

ANTHROPIC_API_KEY=sk-ant-...                    # Direct API authentication
ANTHROPIC_AUTH_TOKEN=token                      # Custom authorization header
ANTHROPIC_CUSTOM_HEADERS="X-Key: val"           # Additional request headers; credential/org/routing/API-behavior headers set from managed or project settings require approval (v2.1.251)[^238]

Modellkonfiguration:

ANTHROPIC_MODEL=claude-opus-4-7                 # Override default model (Apr 16, 2026)
ANTHROPIC_DEFAULT_MODEL=claude-opus-5           # Model new sessions START on; a /model pick overrides + persists (v2.1.236)
ANTHROPIC_DEFAULT_OPUS_MODEL=claude-opus-5      # What the `opus` alias resolves to (Opus 5 since v2.1.219)
ANTHROPIC_DEFAULT_SONNET_MODEL=claude-sonnet-4-6
ANTHROPIC_DEFAULT_HAIKU_MODEL=claude-haiku-4-5-20251001
CLAUDE_CODE_SUBAGENT_MODEL=sonnet               # Default model for subagents; an agent's model: field and per-spawn picks win (v2.1.251 demoted it from override to default)[^238]
CLAUDE_CODE_SUBAGENT_MODEL_FORCE=1              # Force every subagent onto CLAUDE_CODE_SUBAGENT_MODEL (or the main model), ignoring agent-definition and per-spawn overrides -- the pre-v2.1.251 behavior, opt-in (v2.1.257)[^243]
CLAUDE_CODE_WORKFLOWS=1                         # Enable Workflow tool for deterministic multi-agent orchestration (v2.1.147+)
MAX_THINKING_TOKENS=10000                       # (Opus 4.6 and Sonnet 4.6 only — removed in Opus 4.7)
CLAUDE_CODE_MAX_OUTPUT_TOKENS=4000              # Limit output length
CLAUDE_CODE_EXPERIMENTAL_AGENT_TEAMS=1          # Enable agent teams (v2.1.32+)

Cloudanbieter-Konfiguration:

CLAUDE_CODE_USE_BEDROCK=1                       # Use AWS Bedrock
CLAUDE_CODE_USE_VERTEX=1                        # Use Google Vertex AI
CLAUDE_CODE_USE_FOUNDRY=1                       # Use Microsoft Foundry
ANTHROPIC_BEDROCK_BASE_URL=https://...          # Custom Bedrock endpoint
ANTHROPIC_BEDROCK_SERVICE_TIER=priority         # Bedrock service tier (v2.1.122+): 'default', 'flex', or 'priority'; sent as X-Amzn-Bedrock-Service-Tier header[^162]
CLAUDE_CODE_SKIP_BEDROCK_AUTH=1                 # Skip Bedrock auth (for gateways)
CLAUDE_CODE_SKIP_VERTEX_AUTH=1                  # Skip Vertex auth
AWS_BEARER_TOKEN_BEDROCK=token                  # Bedrock bearer token
VERTEX_REGION_CLAUDE_3_7_SONNET=us-west1        # Override Vertex region
CLAUDE_CODE_ENABLE_GATEWAY_MODEL_DISCOVERY=1    # Opt in gateway /v1/models discovery for /model picker (v2.1.129+)[^164]

Verhaltenssteuerung:

DISABLE_AUTOUPDATER=1                           # Prevent automatic background updates
DISABLE_UPDATES=1                               # Block ALL update paths including manual `claude update` (v2.1.118+, stricter than DISABLE_AUTOUPDATER)[^160]
CLAUDE_CODE_PACKAGE_MANAGER_AUTO_UPDATE=1       # Homebrew/WinGet installs run package-manager upgrade in background, then prompt restart (v2.1.129+)[^164]
DISABLE_TELEMETRY=1                             # Opt out of usage telemetry
DISABLE_ERROR_REPORTING=1                       # Disable Sentry
DISABLE_BUG_COMMAND=1                           # Disable /bug command
CLAUDE_CODE_RESTRICTED=1                        # Restricted mode: no command/code tools or WebFetch unless named in --tools; only managed settings load (v2.1.248+)[^238]
DISABLE_COST_WARNINGS=1                         # Hide cost warnings
DISABLE_PROMPT_CACHING=1                        # Disable prompt caching globally
DISABLE_PROMPT_CACHING_SONNET=1                 # Disable for Sonnet only
DISABLE_PROMPT_CACHING_OPUS=1                   # Disable for Opus only
DISABLE_NON_ESSENTIAL_MODEL_CALLS=1             # Skip non-critical API calls
ENABLE_PROMPT_CACHING_1H=1                      # Opt into 1-hour prompt cache TTL (v2.1.108+, API/Bedrock/Vertex/Foundry)
ENABLE_PROMPT_CACHING_1H_BEDROCK=1              # Deprecated alias for the above; v2.1.108+ still honors it on Bedrock but logs a deprecation notice
FORCE_PROMPT_CACHING_5M=1                       # Force 5-minute cache TTL (v2.1.108+)
CLAUDE_CODE_PROMPT_CACHE_TTL=1h                 # Main-conversation cache TTL, 5m or 1h; beats the promptCacheTtl setting (v2.1.242+)[^234]
CLAUDE_CODE_SUBAGENT_PROMPT_CACHE_TTL=5m        # TTL for subagents, workflows, forks, compaction, titles; beats subagentPromptCacheTtl (v2.1.242+)[^234]
ENABLE_TOOL_SEARCH=true                         # Re-enable tool search on Vertex AI (disabled by default v2.1.119+ to avoid unsupported beta header). Valid values: true, false, auto, auto:N[^160]
CLAUDE_CODE_HIDE_CWD=1                          # Hide the working directory in the startup logo (v2.1.119+)[^160]
CLAUDE_CODE_FORK_SUBAGENT=1                     # Enable forked subagents on external builds (v2.1.117+)[^160]
CLAUDE_CODE_FORCE_SYNC_OUTPUT=1                 # Force synchronized terminal output when auto-detection misses it, such as Emacs eat (v2.1.129+)[^164]
CLAUDE_CODE_SESSION_ID=...                      # Read-only: present in the Bash tool subprocess; matches the session_id passed to hooks (v2.1.132+)[^168]
CLAUDE_CODE_DISABLE_ALTERNATE_SCREEN=1          # Skip the fullscreen alternate-screen renderer; keep the conversation in the terminal's native scrollback (v2.1.132+)[^168]
CLAUDE_EFFORT=...                               # Read-only: current effort level inside hooks and Bash tool subprocess (v2.1.133+)[^169]
CLAUDE_CODE_FORWARD_SUBAGENT_TEXT=1             # Include subagent text + thinking in stream-json output; pairs with --forward-subagent-text (v2.1.211+). Covers depth-2+ nested subagents as of v2.1.219[^205][^213]
CLAUDE_CODE_MAX_WEB_SEARCHES_PER_SESSION=200    # Per-session WebSearch cap (default 200; v2.1.212+)[^206]
CLAUDE_CODE_WEBFETCH_CACHE_TTL_MS=900000        # WebFetch per-URL session cache TTL (default 15 min; v2.1.233+)[^226]
CLAUDE_CODE_PROJECT_DIR_NAME=myproj             # Short name for the per-project transcript directory, for hosts that give each session its own config dir (v2.1.234+)[^227]
CLAUDE_CODE_GOAL_CHECKIN_MINUTES=30             # How long background tasks may keep a /goal waiting before Claude checks in on them; 0 disables (v2.1.234+)[^227]
CLAUDE_CODE_MAX_SUBAGENTS_PER_SESSION=200       # Per-session subagent-spawn cap (default 200 in v2.1.212–223; the default cap was REMOVED in v2.1.224 — set this to reimpose one)[^206][^218]
CLAUDE_CODE_MAX_CONCURRENT_SUBAGENTS=20         # Cap on concurrently-RUNNING subagents (default 20; distinct from the per-session total above; v2.1.217+)[^211]
CLAUDE_CODE_WORKFLOW_PREFIX_STAGGER_MS=0        # Disable the v2.1.229 workflow fan-out stagger (same-prefix sibling agents launch staggered so they read the cached prompt prefix instead of re-paying it)[^224]
CLAUDE_CODE_MAX_SUBAGENT_SPAWN_DEPTH=3          # Nested subagent spawn depth. Default 3 as of v2.1.219; set 1 to disable nesting. Default history: 5 (v2.1.172–v2.1.216) → 1 (v2.1.217) → 3 (v2.1.219). Set it explicitly[^211][^213]

Tool-Konfiguration:

BASH_DEFAULT_TIMEOUT_MS=30000                   # Bash command timeout (30s)
BASH_MAX_TIMEOUT_MS=600000                      # Maximum bash timeout (10min)
BASH_MAX_OUTPUT_LENGTH=50000                    # Read-back window from the Bash working output file (default 30,000 chars, hard ceiling 150,000)
CLAUDE_BASH_MAINTAIN_PROJECT_WORKING_DIR=1     # Reset CWD after each bash
MCP_TIMEOUT=5000                                # MCP server startup timeout
MCP_TOOL_TIMEOUT=30000                          # MCP tool execution timeout
MAX_MCP_OUTPUT_TOKENS=25000                     # MCP output limit
CLAUDE_CODE_MCP_AUTO_BACKGROUND_MS=120000       # Threshold before a long MCP tool call moves to the background (default 2 min; v2.1.212+)[^206]
CLAUDE_CODE_TOOL_MEMORY_LIMIT=4096              # Opt-in Linux memory cgroup (MB) for Bash tool commands — a runaway build can't stall the session (v2.1.233+)[^226]
CLAUDE_CODE_ENABLE_TODO_TOOLS=1                 # Restore TodoWrite/TaskCreate-family tools on Opus 4.8+/Sonnet 5+/Fable 5+, where they are off by default since v2.1.233[^226]
SLASH_COMMAND_TOOL_CHAR_BUDGET=15000            # Slash command context limit

Netzwerk und Proxy:

HTTP_PROXY=http://proxy:8080                    # HTTP proxy
HTTPS_PROXY=https://proxy:8080                  # HTTPS proxy
NO_PROXY=localhost,example.com                  # Bypass proxy for domains
CLAUDE_CODE_CLIENT_CERT=/path/to/cert           # mTLS certificate
CLAUDE_CODE_CLIENT_KEY=/path/to/key             # mTLS private key
CLAUDE_CODE_CLIENT_KEY_PASSPHRASE=pass          # mTLS passphrase

Benutzeroberfläche und Terminal:

CLAUDE_CODE_DISABLE_TERMINAL_TITLE=1            # Don't update terminal title
CLAUDE_CODE_IDE_SKIP_AUTO_INSTALL=1             # Skip IDE extension install
CLAUDE_CODE_SHELL=/bin/zsh                      # Override shell detection
USE_BUILTIN_RIPGREP=1                           # Use included ripgrep (default)
CLAUDE_CONFIG_DIR=~/.myconfig                   # Custom config directory; not settable from project-settings env (v2.1.251)[^238]
IS_DEMO=1                                       # Hide sensitive UI elements[^37]
CLAUDE_CODE_DISABLE_BACKGROUND_TASKS=1          # Disable background tasks and Ctrl+B[^46]
CLAUDE_CODE_TMPDIR=/path/to/tmp                 # Override temp directory; not settable from project-settings env, nor are TMPDIR/TMP/TEMP (v2.1.251)[^50][^238]
CLAUDE_CODE_DISABLE_1M_CONTEXT=1               # Hold ALL native-1M models to 200K via auto-compaction (v2.1.223 widened scope)[^103][^217]
CLAUDE_CODE_DISABLE_UNKNOWN_MODEL_WINDOW_ENFORCEMENT=1  # Let unrecognized model IDs exceed the assumed context window (v2.1.223)[^217]
CLAUDE_CODE_PLUGIN_GIT_TIMEOUT_MS=120000       # Plugin marketplace git timeout (default 120s, was 30s)[^105]
CLAUDE_CODE_DISABLE_GIT_INSTRUCTIONS=1        # Remove built-in commit/PR instructions[^117]
CLAUDE_CODE_DISABLE_CRON=1                    # Stop scheduled cron jobs mid-session[^121]
CLAUDE_CODE_SESSIONEND_HOOKS_TIMEOUT_MS=30000 # SessionEnd hooks timeout (default varies)[^123]
CLAUDE_CODE_USE_POWERSHELL_TOOL=1             # Enable Windows PowerShell tool on Linux/macOS (requires pwsh on PATH; v2.1.111+)[^153]
CLAUDE_CODE_DISABLE_MOUSE_CLICKS=1           # Disable mouse click/drag/hover in fullscreen mode; wheel scroll still works (v2.1.195+)[^196]
CLAUDE_ENABLE_STREAM_WATCHDOG=0              # Disable the streaming idle watchdog (on by default for all providers since v2.1.196: aborts+retries after 5 min of silence)[^198]
CLAUDE_CODE_DISABLE_BG_SHELL_PRESSURE_REAP=1 # Turn off automatic memory-pressure reaping of idle background shell commands (v2.1.193+)[^196]
CLAUDE_CODE_ENABLE_AWAY_SUMMARY=1             # Force Session Recap when telemetry disabled (v2.1.108+)[^153]
CLAUDE_AX_SCREEN_READER=1                     # Enable screen reader mode; same as --ax-screen-reader or "axScreenReader": true (v2.1.208+)[^203]
OTEL_LOG_RAW_API_BODIES=1                     # Emit full API request/response bodies as OTel log events (v2.1.111+)[^153]
TRACEPARENT=00-...                            # W3C Trace Context parent (v2.1.110+, SDK/headless)[^153]
TRACESTATE=vendor=value                       # W3C Trace Context state (v2.1.110+, SDK/headless)[^153]

OpenTelemetry-Exporter und Schutz sensibler Felder:²⁴³

OTEL_LOGS_EXPORTER=none                       # OTel logs exporter (supports 'none' for disable; v2.1.85 fixed crash)
OTEL_METRICS_EXPORTER=none                    # OTel metrics exporter (supports 'none'; v2.1.85 fixed crash)
OTEL_TRACES_EXPORTER=none                     # OTel traces exporter (supports 'none'; v2.1.85 fixed crash)
OTEL_LOG_TOOL_CONTENT=1                       # Opt in to emitting tool content in OTel spans (v2.1.101+, sensitive by default)
OTEL_LOG_TOOL_DETAILS=1                       # Opt in to tool_parameters in OTel tool_result events (v2.1.85+)
OTEL_LOG_USER_PROMPTS=1                       # Opt in to emitting user prompts in OTel traces (v2.1.101+, sensitive by default)
OTEL_LOG_ASSISTANT_RESPONSES=0                # Gate the claude_code.assistant_response log event holding the model's response text (v2.1.193+)
CLAUDE_CODE_OTEL_CONTENT_MAX_LENGTH=60000     # Truncation limit for OTel content attributes (default 60 KB; v2.1.214+)[^207]
CLAUDE_CODE_DISABLE_NONESSENTIAL_TRAFFIC=1    # Disable release-notes fetch (v2.0.17+); v2.1.110 also stopped the auto-title Haiku request in headless/SDK when set

v2.1.121+: Span-Attribute für LLM-Anfragen: stop_reason, gen_ai.response.finish_reasons und user_system_prompt werden jetzt für Spans von LLM-Anfragen ausgegeben. Da user_system_prompt personenbezogene Daten enthalten kann, wird das Attribut nur bei gesetztem OTEL_LOG_USER_PROMPTS=1 ausgegeben.¹⁵⁴

v2.1.122+: Änderungen auf Ereignisebene: Numerische Attribute der Log-Ereignisse api_request und api_error werden jetzt als Zahlen statt als Zeichenfolgen ausgegeben. Dadurch werden Probleme mit nachgelagerten OTel-Collectors behoben, die für das Schema eine strikte Typisierung voraussetzen. Das neue Log-Ereignis claude_code.at_mention wird ausgelöst, wenn Claude Code eine @-Erwähnung auflöst.¹⁵⁴

v2.1.193+: Log-Ereignis claude_code.assistant_response: Claude Code kann den vollständigen Antworttext des Modells als OTel-Log-Ereignis ausgeben, sofern OTEL_LOG_ASSISTANT_RESPONSES aktiviert ist. Dabei gibt es einen wichtigen Fallstrick beim Upgrade: Ist OTEL_LOG_ASSISTANT_RESPONSES nicht gesetzt, übernimmt es den Wert von OTEL_LOG_USER_PROMPTS. Jede Bereitstellung, die bereits Prompt-Inhalte protokolliert, empfängt nach dem Upgrade daher zusätzlich die Antwortinhalte des Assistenten. Setzen Sie OTEL_LOG_ASSISTANT_RESPONSES=0, wenn die Telemetrie weiterhin ausschließlich Prompts enthalten soll.¹⁷⁹

v2.1.214: Ergänzungen der Telemetrie: OTel-Log-Ereignisse enthalten jetzt die Attribute message.uuid, client_request_id und tool_source, um Nachrichten zu korrelieren und die Herkunft von Tools nachzuverfolgen. Die Nutzdaten von subagentStatusLine umfassen den Reasoning-Aufwand des subagents, sodass benutzerdefinierte Statuszeilen Modell und Aufwand gemeinsam darstellen können. Außerdem lässt sich mit der neuen Umgebungsvariable CLAUDE_CODE_OTEL_CONTENT_MAX_LENGTH die Begrenzung von OTel-Inhaltsattributen auf 60 KB konfigurieren.¹⁹⁰

v2.1.265: Gateway-Telemetrie: Sitzungen des Claude apps gateway exportieren OpenTelemetry jetzt direkt an einen Collector, wenn in den verwalteten Einstellungen des Gateways unter OTEL_EXPORTER_OTLP_ENDPOINT ein solcher angegeben ist, statt den Export über das Relay des Gateways zu leiten. Sitzungen ohne angegebenen Collector verwenden weiterhin das Relay. Dieselbe Version ergänzt die Telemetrie, die Claude Desktop und Cowork über ein Claude apps gateway senden, um user.email und user.groups und gleicht sie damit an Terminalsitzungen an.²¹⁵

API- / Modellsteuerung:²⁴³

CLAUDE_CODE_EXTRA_BODY='{...}'                # Inject extra body fields into API calls; v2.1.113 fixed 400 errors with output_config.effort on Vertex/subagent calls
CLAUDE_CODE_MAX_CONTEXT_TOKENS=200000         # Override max context tokens (pre-existing var; v2.1.98 fixed handling of DISABLE_COMPACT when both are set)
CLAUDE_CODE_FILE_READ_MAX_OUTPUT_TOKENS=25000 # Override default token limit for file read operations (v2.1.0+)
CLAUDE_CODE_DISABLE_NONSTREAMING_FALLBACK=1   # Do not fall back to non-streaming API on streaming failures (v2.1.83+)
ANTHROPIC_BETAS=beta1,beta2                   # Enable beta API headers; v2.1.78 fixed silent ignore on Haiku models
ANTHROPIC_SMALL_FAST_MODEL=arn:...            # Fast model ID (Bedrock ARN supported; v0.2.125 stopped escaping slashes in ARN)

Plugins / MCP:²⁴³

CLAUDE_CODE_PLUGIN_CACHE_DIR=~/.claude/plugins # Plugin cache directory (v2.1.72 fixed literal '~' dir on some shells)
CLAUDE_CODE_PLUGIN_KEEP_MARKETPLACE_ON_FAILURE=1 # Preserve plugin marketplace cache when git pull fails (offline-friendly; v2.1.90+)
CLAUDE_CODE_MCP_SERVER_NAME=server1           # Passed to MCP headersHelper scripts so one helper can serve multiple servers (v2.1.85+)
CLAUDE_CODE_MCP_SERVER_URL=https://...        # Passed to MCP headersHelper scripts alongside the name (v2.1.85+)

Shell / IDE:²⁴³

CLAUDE_CODE_SHELL_PREFIX="time "              # Wrap every Claude-invoked shell command with a prefix (v1.0.61+)
CLAUDE_CODE_GIT_BASH_PATH=C:\Program\ Files\Git\bin\bash.exe  # Custom Git Bash path on Windows (v2.1.98+)
CLAUDE_CODE_EXIT_AFTER_STOP_DELAY=60000       # SDK: exit after N ms idle (v2.0.35+)
CLAUDE_CODE_AUTO_CONNECT_IDE=false            # Disable IDE auto-connection (v1.0.61+)

Unternehmen / Authentifizierung:²⁴³

CLAUDE_CODE_PROXY_RESOLVES_HOSTS=1            # Opt into proxy-side DNS resolution (v2.0.55 moved this from default-on to opt-in)
CLAUDE_CODE_API_KEY_HELPER_TTL_MS=300000      # TTL for dynamically generated API keys via apiKeyHelper (apiKeyHelper refresh added v0.2.74 with 5-min default; env var added v0.2.117)
CLAUDE_CODE_PROCESS_WRAPPER=/path/to/wrapper  # Route all Claude Code self-spawned processes through a wrapper executable; same as the processWrapper setting (v2.1.208+)[^203]

Skill-Variablen (v2.1.69+):

${CLAUDE_SKILL_DIR}                            # Self-reference for skills to locate their own directory[^117]

Aufruferidentität für SDK (v2.1.51+):

CLAUDE_CODE_ACCOUNT_UUID=uuid                  # Provide account UUID synchronously for SDK callers
CLAUDE_CODE_USER_EMAIL=user@example.com        # Provide user email for SDK callers
CLAUDE_CODE_ORGANIZATION_UUID=uuid             # Provide organization UUID for SDK callers

Fehlerbehebung:

ANTHROPIC_LOG=debug                             # Enable API request logging

Welches Modell sollte ich wählen?

Die Wahl des richtigen Modells für die jeweilige Aufgabe wirkt sich erheblich auf Kosten und Qualität aus. Claude Code ermöglicht einen flexiblen Modellwechsel auf mehreren Ebenen.

Verfügbare Modelle

Zwei Breaking Changes bei der Umstellung eines Harnesses von Opus 4.8 auf Opus 5:¹⁹⁷

1. Denken ist standardmäßig aktiviert. Bei Opus 4.8 wurde eine Anfrage ohne thinking-Feld ohne Denken ausgeführt; bei Opus 5 wird dieselbe Anfrage mit adaptivem Denken ausgeführt. max_tokens bleibt eine feste Obergrenze für die gesamte Ausgabe — Denken plus Antworttext. Prüfen Sie deshalb bei allen Workloads, die zuvor ohne Denken ausgeführt wurden, den verfügbaren Spielraum erneut. Mit thinking: {type: "disabled"} stellen Sie das frühere Verhalten wieder her, vorbehaltlich des nächsten Punkts.
2. Bei deaktiviertem Denken ist der Aufwand auf high begrenzt. Die Kombination aus thinking: {type: "disabled"} und dem Aufwand xhigh oder max führt zu einem 400-Fehler. Die Prüfung erfolgt für jede Anfrage einzeln — wird der Aufwand bei deaktiviertem Denken auf xhigh erhöht, wird die Anfrage abgelehnt, selbst wenn frühere Durchläufe derselben Konversation akzeptiert wurden.

Speziell in Claude Code gilt: effort ist bei Opus 5 standardmäßig auf high gesetzt (wie auch beim Claude API), und die vollständige Abstufung steht zur Verfügung — low, medium, high, xhigh, max. Anthropic empfiehlt in den eigenen Migrationshinweisen, den Aufwand max zu testen, wenn Leistungsfähigkeit wichtiger als der Token-Verbrauch ist. Fast Mode unterstützt Opus 5 zu $10/$50 pro MTok (siehe Fast Mode).¹⁹⁷¹⁹⁸

Claude Fable 5.1 (1. September 2026): Die neue Spitzenstufe der Fable-Klasse und seit v2.1.257 das Modell, auf das der Alias fable verweist (sofern ANTHROPIC_DEFAULT_FABLE_MODEL nicht ausdrücklich ein anderes Modell festlegt); best bedeutet nun „das neueste Fable-Modell, sofern es für Sie verfügbar ist“. Die Mindestversion bedarf einer Erklärung: Laut Dokumentation zur Modellkonfiguration wurde der Alias in v2.1.255 umgestellt, und laut Modellseite „erfordert“ Fable 5.1 Claude Code v2.1.255 oder höher. Die Versionen 2.1.253 bis 2.1.256 wurden jedoch nie auf npm veröffentlicht – v2.1.257 (1. September) ist die erste installierbare Version, die Fable 5.1 enthält. Modell-ID: claude-fable-5-1 (Bedrock: anthropic.claude-fable-5-1). Dieselbe Klasse und derselbe Preis pro Token wie bei Fable 5 – $10/MTok für Eingaben, $50/MTok für Ausgaben, 1M Kontext, maximal 128K Ausgabe, adaptives und stets aktives Denken sowie effort mit dem Standardwert high – allerdings mit einer Preisänderung, die für lange agentische Sitzungen wichtig ist: Cache-Lesevorgänge kosten $0.25/MTok, also das 0,025-Fache des Eingabepreises (2,5 %), statt der üblichen 10 %; nur Fable 5.1 und Mythos 5.1 bieten diesen Tarif, während Cache-Schreibvorgänge bei den Standardpreisen bleiben ($12.50 für 5 Minuten, $20 für 1 Stunde). Verlässlicher Wissensstand: Juni 2026 (Trainingsdaten ebenfalls bis Juni 2026) – der aktuellste aller gegenwärtigen Claude-Modelle. Einstellung frühestens am 1. September 2027. Gegenüber Fable 5 gibt es drei Breaking Changes: Die erzwungene Tool-Nutzung führt zu einem Fehler, ältere Modelle können seine Denkblöcke nicht lesen und das Bearbeiten früherer Durchläufe macht Denkblöcke ungültig. Hinzu kommen fünf additive Änderungen: Aufwand pro Nachricht (Beta), auf einen Durchlauf begrenzte Systemnachrichten (Beta), Fortschrittsmeldungen zwischen Tool-Aufrufen (display: "updates", Beta), die günstigeren Cache-Lesevorgänge und die Herkunftskennzeichnung von Inhalten. Claude Mythos 5.1 ist dasselbe Modell mit denselben Spezifikationen und nur auf Einladung über Project Glasswing verfügbar. Mit der Einführung wird Fable 5 neben Opus 4.8/4.7/4.6/4.5 und Sonnet 4.6/4.5 in die Legacy-Modelltabelle der Dokumentation verschoben. Ein Gateway-Vorbehalt aus den Versionshinweisen: In Gateway-Sitzungen der Claude-Apps verweisen fable und best vorerst weiterhin auf Fable 5 – ein noch nicht für 5.1 konfiguriertes Gateway lehnt es ab. Wählen Sie Fable 5.1 dort deshalb ausdrücklich in /model aus. Beachten Sie, dass die /model-Auswahl Fable 5.1 vor v2.1.260 nicht aufführte; die explizite Auswahl erforderte daher die vollständige Eingabe /model claude-fable-5-1 (siehe die nachfolgenden Korrekturen rund um die Einführung). Die Tarifstandards bleiben unverändert: Opus 5 in den Premiumtarifen, Sonnet 5 bei Pro und Team Standard.^211216217

Korrekturen rund um die Einführung von Fable 5.1 (v2.1.260, 3. September): Die erste Version nach der Einführung behebt vier Unstimmigkeiten. Die /model-Auswahl zeigt Fable 5.1 nun für Organisationen an, die es verwenden können – vor dieser Korrektur wurde das Modell nur akzeptiert, wenn es vollständig als /model claude-fable-5-1 eingegeben wurde. Das Prompt-Caching für Fable 5.1 umfasst nun auch Kontext, der nach Tool-Ergebnissen angefügt wird und zuvor bei jedem Tool-Aufruf erneut als nicht zwischengespeicherte Eingabe gesendet wurde – wodurch die Wirtschaftlichkeit der 0,025-fachen Cache-Lesekosten ausgerechnet in den langen agentischen Sitzungen, für die sie gedacht sind, unbemerkt untergraben wurde. Eine Änderung von /effort während einer Sitzung macht den Prompt-Cache nicht mehr ungültig. Außerdem berücksichtigen Agents mit model: fable nun das [1m]-Tag einer mit ANTHROPIC_DEFAULT_FABLE_MODEL festgelegten Modellvorgabe, statt unbemerkt mit einem Kontextfenster von 200K ausgeführt zu werden.²¹²

Claude Fable 5 (9. Juni 2026; Legacy seit 1. September 2026): Eine neue Modellklasse oberhalb von Opus — das leistungsfähigste und intelligenteste Modell von Anthropic, das bei nahezu jedem Benchmark, mit dem es getestet wurde, den neuesten Stand der Technik erreicht und darauf ausgelegt ist, über Millionen von Kontext-Tokens hinweg kohärent zu bleiben. Fable 5 ist das für den allgemeinen Einsatz abgesicherte Frontier-Modell der „Mythos-Klasse“: Es wird mit Sicherheitsklassifikatoren ausgeliefert, die bei Anfragen zu Cyberthemen, Biochemie und Modelldestillation auf Opus 4.8 zurückgreifen (Claude Mythos 5 ist dasselbe Modell ohne diese Schutzmaßnahmen und für autorisierte Forscher verfügbar). Mit v2.1.170 (9. Juni 2026) wurde es in Claude Code auswählbar — führen Sie claude update und anschließend /model fable aus (der kurze Alias, der seit v2.1.257 auf Fable 5.1 verweist – wählen Sie Fable 5 heute mit /model claude-fable-5 aus) — und bis zum 22. Juni 2026 vollständig in den Abonnementtarifen eingeführt. Modell-ID: claude-fable-5. Fable 5 enthält standardmäßig ein 1M-Kontextfenster, sodass das Suffix [1m] nicht erforderlich ist — und seit v2.1.173 (11. Juni 2026) wird der Modellname claude-fable-5[1m] automatisch zu claude-fable-5 normalisiert beziehungsweise das Suffix entfernt (das Suffix war nur bei Opus/Sonnet relevant, wo der 1M-Kontext durch [1m] freigeschaltet wird); maximal 128K Ausgabe. Der Preis beträgt $10/MTok für Eingaben und $50/MTok für Ausgaben — ungefähr das Doppelte von Opus 4.8. Setzen Sie es daher nur für wirklich anspruchsvolle Denkaufgaben und nicht für Routineänderungen ein. Es verwendet dieselbe Anfrageoberfläche wie Opus 4.8 (ausschließlich adaptives Denken; temperature/top_p/top_k und budget_tokens wurden entfernt), allerdings mit einer Besonderheit: Ein explizites thinking: {type: "disabled"} führt zu einem 400-Fehler. Lassen Sie den Parameter thinking deshalb vollständig weg, um das Modell ohne Denken auszuführen.²³⁶ Insbesondere in Claude Code: Fable 5 unterstützt genau wie Opus 5 die vollständige Effort-Skala (low/medium/high/xhigh/max, standardmäßig high). Thinking kann bei Fable 5 nicht deaktiviert werden – weder der Thinking-Schalter der Sitzung noch die Einstellung alwaysThinkingEnabled oder MAX_THINKING_TOKENS=0 haben eine Wirkung; das Modell denkt immer adaptiv. Eine vollständige Konfigurationsoberfläche der fable-Familie entspricht den Opus-Optionen: ANTHROPIC_DEFAULT_FABLE_MODEL legt fest, in welches Modell der Alias fable aufgelöst wird (nützlich bei Bedrock/Vertex/Foundry), DISABLE_PROMPT_CACHING_FABLE nimmt Fable vom Prompt-Caching aus, und auf den Enterprise-Gateways greift der inhaltsbasierte automatische Fallback. /model opus wählt jetzt Opus 5 aus (standardmäßig mit hohem Effort, /effort xhigh für die schwierigsten Aufgaben), und die Standardeinstellung folgt Ihrem Tarif – Opus 5 bei den Premiumtarifen, Sonnet 5 bei Pro/Team Standard; wählen Sie mit /model fable bewusst die Fable-Stufe, wenn Sie die absolut höchste Leistungsfähigkeit benötigen – seit v2.1.257 ist das Fable 5.1.^236197207217

Opus 4.7 (16. April 2026): Das Flaggschiff der vorherigen Generation ist weiterhin vollständig verfügbar. Kontextfenster mit 1 Million Tokens zum Standardpreis – ohne Aufpreis für lange Kontexte. Maximale Ausgabe von 128K, ausschließlich adaptives Thinking (Extended Thinking wurde entfernt) sowie eine neue Effort-Stufe xhigh, die als Ausgangspunkt für Coding- und agentische Workloads empfohlen wird.¹⁴⁵ Verlässlicher Wissensstichtag: Januar 2026. Stichtag der Trainingsdaten: Januar 2026. Modell-ID: claude-opus-4-7. Die Preise entsprechen mit 5 $/25 $ pro MTok denen von Opus 4.6; das Schreiben in den Cache kostet für 5 Minuten 6,25 $, für 1 Stunde 10 $ und das Lesen aus dem Cache 0,50 $ pro MTok.¹⁴⁴ Opus 4.7 löst bei SWE-Bench dreimal so viele Produktionsaufgaben wie Opus 4.6, erreicht beim CursorBench 70 % (gegenüber 58 % bei 4.6) und steigert die Lösungsquote im internen Coding-Benchmark von Anthropic mit 93 Aufgaben um 13 %.¹⁴⁴ Das Modell verwendet einen neuen Tokenizer – rechnen Sie für denselben Text mit etwa 1- bis 1,35-mal so vielen Tokens; erhöhen Sie den Spielraum für max_tokens und die Schwellenwerte für die Komprimierung.¹⁴⁵ Vision unterstützt Bilder mit bis zu 2.576 px bzw. 3,75 MP und 1:1-Pixelkoordinaten.¹⁴⁵

Coding-Benchmarks von Opus 4.7 (April 2026):¹⁵¹

Standardmodell nach Tarif (Claude Code):²⁰⁷

Inkompatible Änderungen an Messages API in Opus 4.7 (für Aufrufer sichtbar):¹⁴⁵

• budget_tokens für Extended Thinking wurde entfernt. Verwenden Sie stattdessen thinking: {type: "adaptive"}. Adaptive Thinking ist standardmäßig deaktiviert; Anfragen ohne thinking-Feld werden ohne Thinking ausgeführt.
• Wird temperature, top_p oder top_k auf einen vom Standard abweichenden Wert gesetzt, gibt das System HTTP 400 zurück. Lassen Sie diese Parameter weg und steuern Sie das Modell über Prompts.
• Thinking-Inhalte werden standardmäßig nicht in Antworten ausgegeben. Setzen Sie thinking.display: "summarized", um sichtbare Gedankengänge wiederherzustellen (erforderlich, wenn Ihr Produkt Thinking für Benutzer streamt).

Mit Aufgabenbudgets (Beta-Header task-budgets-2026-03-13) können Sie dem Modell über output_config.task_budget ein Token-Ziel für eine vollständige agentische Schleife vorgeben; mindestens 20K Tokens.¹⁴⁵

Opus 4.6 (Legacy): Ist unter claude-opus-4-6 mit einem Kontextfenster von 1 Million Tokens und einer maximalen Ausgabe von 128K weiterhin verfügbar. Für besseres agentisches Coding empfiehlt sich eine Migration zu Opus 4.7. Opus 4.6 erschien ursprünglich am 5. Februar 2026.⁷⁹¹⁴⁴ Seit v2.1.117 (22. April 2026) verwenden Pro- und Max-Abonnenten bei Opus 4.6 und Sonnet 4.6 standardmäßig den Effort high (zuvor medium); Opus 4.7 bleibt bei xhigh. Diese Änderung stellte die Leistungsfähigkeit nach der im Postmortem vom 23. April dokumentierten Herabstufung des Efforts zwischen dem 4. März und dem 7. April wieder her.¹⁵²¹⁵³

Sonnet 5 (30. Juni 2026): Die aktuelle Sonnet-Stufe wird als „beste Kombination aus Geschwindigkeit und Intelligenz“ positioniert. Laut Anthropic liegt seine Leistung nahe bei Opus 4.8, allerdings zu niedrigeren Preisen. Gegenüber Sonnet 4.6 bietet es deutliche Verbesserungen beim agentischen Denken, bei der Tool-Nutzung, beim Coding und bei der Wissensarbeit – zugleich weist es insgesamt seltener unerwünschte Verhaltensweisen und erheblich schwächere Fähigkeiten im Bereich Cybersicherheit als die Opus-Modelle auf (der Sicherheitskompromiss, der eine Veröffentlichung ohne Exportkontrollsperren ermöglichte). Modell-ID: claude-sonnet-5 (fest angehefteter Snapshot ohne Datum). Kontextfenster mit 1 Million Tokens, maximale Ausgabe von 128K (bis zu 300K über das Batches API mit dem Beta-Header output-300k-2026-03-24), ausschließlich adaptives Thinking. Verlässlicher Wissensstichtag: Januar 2026. Preis: 2 $/10 $ pro MTok für Eingabe/Ausgabe, nun der reguläre Listenpreis. Anthropic kündigte zum Marktstart 2 $/10 $ als Einführungspreis bis zum 31. August 2026 an, behielt ihn anschließend jedoch bei: Auf der Preisseite heißt es, die geplante Erhöhung auf 3 $/15 $ zum 1. September „wird nicht stattfinden“, und v2.1.243 aktualisierte die /model-Auswahl sowie das mitgelieferte claude-api-Skill, sodass 2 $/10 $ als Listenpreis statt als zeitlich begrenztes Angebot angezeigt werden.²²⁶ Das liegt 60 % unter den 5 $/25 $ von Opus 5. In Claude Code verwendet der Parameter effort bei Sonnet 5 standardmäßig high (legen Sie ihn ausdrücklich fest, um dies zu ändern). Wählen Sie das Modell mit /model sonnet (oder /model claude-sonnet-5) aus.¹⁸⁰ Mit v2.1.197 (30. Juni 2026) wurde Sonnet 5 damals zum Standardmodell für neue Sitzungen in Claude Code; heute ist es weiterhin der Standard in der Standardstufe (Pro, Team Standard), während die Premiumtarife und Anthropic API standardmäßig Opus 5 verwenden – siehe die obige Tariftabelle.¹⁸¹²⁰⁷

Sonnet 4.6 (17. Februar 2026, inzwischen durch Sonnet 5 ersetzt): Ausgewogenes Modell; ersetzte Sonnet 4.5 als Standardmodell auf claude.ai und in Claude Cowork.⁹³ Gleicher Preis wie Sonnet 4.5 (3 $/15 $ pro MTok). Verbesserte Leistung bei der agentischen Suche bei gleichzeitig geringerem Token-Verbrauch. Unterstützt Extended Thinking, Adaptive Thinking und ein Kontextfenster mit 1 Million Tokens (Beta). Maximale Ausgabe von 64K (Obergrenze von 128K in v2.1.77).¹¹⁹ Wissensstichtag: August 2025 (verlässlich), Januar 2026 (Trainingsdaten). Modell-ID: claude-sonnet-4-6.

Claude Mythos Preview (7. April 2026): Ein Frontier-Modell als Forschungsvorschau für defensive Cybersicherheitsarbeit, das im Rahmen von Project Glasswing angeboten wird.¹³⁹ Nur auf Einladung und nicht allgemein verfügbar. Anthropic beschreibt Opus 4.7 in Cybersicherheitsdimensionen bewusst als weniger leistungsfähig als Mythos – ein Sicherheitskompromiss – und hat unter https://claude.com/form/cyber-use-case ein Cyber Verification Program für legitime Sicherheitsforscher eröffnet, die erweiterten Zugriff benötigen.¹⁴⁶

Warum diese Preisunterschiede wichtig sind: Eine typische Coding-Sitzung verbraucht 50K–200K Eingabe-Tokens und 10K–50K Ausgabe-Tokens. Mit Haiku kostet das 0,10 $–0,45 $ pro Sitzung. Mit Opus kostet dieselbe Sitzung 0,50 $–2,25 $ und damit fünfmal so viel. Setzen Sie Opus nur für wirklich schwierige Probleme ein.¹

Wann Sie welches Modell verwenden sollten

Haiku: Verwenden Sie es für subagents, die Erkundungen, einfache Dateisuchen oder kurze Fragen bearbeiten. Es ist etwa fünfmal günstiger als Opus und antwortet schneller. Ideal für Hintergrundaufgaben, bei denen Sie keine tiefgehenden Gedankengänge benötigen. Sonnet: Das Arbeitspferd für die tägliche Entwicklung, wenn die Kosten eine Rolle spielen – und das Standardmodell im Standard-Tarif sowie bei Pro und Team Standard (nativer 1M-Kontext, regulärer Listenpreis von 2 $/10 $ pro MTok; die für den 1. September geplante Erhöhung wurde abgesagt).^181226207 Bewältigt die meisten Programmieraufgaben: Funktionen implementieren, Fehler beheben, Tests schreiben und Code überprüfen. Historischer Hinweis: Bei v2.1.197 (30. Juni 2026) hieß es lange – auch hier –, Sonnet 5 werde überall zum Standardmodell. Laut der tarifabhängigen Darstellung in der Dokumentation zur Modellkonfiguration wurde der Standard für Premium/API jedoch ab v2.1.154 auf Opus 4.8 und ab v2.1.219 auf Opus 5 aufgelöst, sodass sich „überall“ tatsächlich nur auf den Standard-Tarif bezog. Sonnet 4.6 erfüllte diese Sonnet-Rolle bis Juni 2026.^93147207 Verwenden Sie Sonnet, wenn Sie günstigere Token, eine niedrigere Latenz oder eine bessere Wirtschaftlichkeit bei subagents benötigen.

Opus: Die Stufe für tiefgehende Schlussfolgerungen – seit v2.1.219 wählt der Alias opus Claude Opus 5 aus (5 $/25 $ pro MTok, 1M-Kontext, effort standardmäßig auf high).¹⁹⁷ Der folgende Absatz beschreibt Opus 4.7 bei seiner Veröffentlichung am 16. April 2026 und bleibt als historischer Überblick erhalten.¹⁴⁴¹⁴⁷ Nutzen Sie die kostspieligere Rechenleistung dort, wo sie sich auszahlt: bei Architekturentscheidungen, anspruchsvoller Fehlersuche, dem Verständnis komplexer Systeme, Sicherheitsanalysen und langfristiger agentischer Arbeit. Opus 4.7 löst bei SWE-Bench dreimal so viele Produktionsaufgaben wie Opus 4.6, erreicht bei CursorBench 70 % (gegenüber 58 %) und steigert die Lösungsquote in einem internen Programmierbenchmark mit 93 Aufgaben um 13 %.¹⁴⁴ Claude Code verwendet bei Opus 4.7 standardmäßig den Aufwand xhigh, der sich über /effort anpassen lässt (ab v2.1.111).¹⁴⁶¹⁴⁷ Auto Mode steht Max-Abonnenten bei Opus 4.7 über die Anthropic API zur Verfügung, ohne dass --enable-auto-mode erforderlich ist; bei anderen Tarifen und Anbietern hängt die Verfügbarkeit vom jeweiligen Tarif und den Administratoreinstellungen ab.¹⁴⁶ 1M-Kontext zum Standardpreis – ohne Aufpreis für langen Kontext. Wissenswerte Verhaltensänderungen: Opus 4.7 befolgt Anweisungen wörtlicher, passt die Antwortlänge an die Komplexität der Aufgabe an, führt standardmäßig weniger subagents aus und verwendet einen direkteren Ton mit weniger bestätigungsorientierten Formulierungen. Falls Ihre Prompts Hilfskonstruktionen enthalten, die zwischenzeitliche Fortschrittsmeldungen oder eine nochmalige Prüfung erzwingen sollen, versuchen Sie, diese zu entfernen.¹⁴⁵

Opusplan: Ein Hybridmodus, der Opus für die Planung einsetzt, bei der die Qualität der Schlussfolgerungen besonders wichtig ist, und Sonnet für die Ausführung, bei der die Geschwindigkeit zählt. Hervorragend geeignet für komplexe Refaktorierungen, wenn Sie den bestmöglichen Plan wünschen, aber nicht für jede einzelne Änderung Schlussfolgerungen auf Opus-Niveau benötigen.

Modelle wechseln

Während einer Sitzung:

> /model opus
> /model sonnet
> /model haiku

Beim Start:

claude --model opus

Über die Umgebung:

export ANTHROPIC_MODEL=opus

In settings.json:

{
  "model": "claude-sonnet-5"
}

Den Modellwähler selbst anpassen (modelPicker, ab v2.1.242): In einer Benutzer- oder verwalteten Einstellungsdatei können Sie die von /model angebotenen Modelle in Ihrer gewünschten Reihenfolge und mit eigenen Bezeichnungen auflisten, statt ausschließlich die integrierte Auswahl als Menü zu verwenden. Jede Zeile gibt ein model an (jede von --model akzeptierte Schreibweise, einschließlich Vertex- und Bedrock-IDs) und kann optional ein label sowie eine description enthalten. Setzen Sie replaceBuiltInOptions auf true, um ausschließlich diese Zeilen sowie Default und das aktuelle Modell der Sitzung anzuzeigen. Projekt- und lokale Einstellungen werden für diesen Schlüssel ignoriert; eine availableModels-Zulassungsliste filtert die Zeilen weiterhin. Claude Code verwirft eine Zeile, die nicht unterstützt werden kann, stellt eine noch nicht auswählbare Zeile zusammen mit der Begründung ausgegraut dar und greift auf die integrierte Auswahl zurück, wenn keine Zeile übrig bleibt.²²⁵²²³

{
  "modelPicker": {
    "options": [
      { "model": "us.anthropic.claude-opus-4-8", "label": "Opus (production)" },
      {
        "model": "us.anthropic.claude-sonnet-4-6",
        "label": "Sonnet (production)",
        "description": "Day-to-day work"
      }
    ]
  }
}

Speziell für subagents:

export CLAUDE_CODE_SUBAGENT_MODEL=haiku

Seit v2.1.251 legt CLAUDE_CODE_SUBAGENT_MODEL das Standardmodell für subagents fest, statt alles zu überschreiben: model: in einer Agentendefinition und ein explizit beim Start eines subagents ausgewähltes Modell haben Vorrang.²⁰⁶ Seit v2.1.257 lässt sich das frühere Verhalten mit CLAUDE_CODE_SUBAGENT_MODEL_FORCE wieder aktivieren: Dadurch wird CLAUDE_CODE_SUBAGENT_MODEL – oder, falls diese Variable nicht gesetzt ist, das Modell der Hauptkonversation – auf jeden subagent angewendet; explizite Modellauswahlen beim Start sowie model: in Agentendefinitionen werden ignoriert.²¹¹

Fallback-Modellkette (ab v2.1.166): Mit der Einstellung fallbackModel können Sie bis zu drei Fallback-Modelle konfigurieren, die der Reihe nach ausprobiert werden, wenn das primäre Modell überlastet oder nicht verfügbar ist. Das Flag --fallback-model, das zuvor ausschließlich für einen Wechsel während der Sitzung vorgesehen war, gilt nun auch von Beginn an für interaktive Sitzungen.²³⁸

{
  "model": "claude-opus-4-8",
  "fallbackModel": ["claude-sonnet-4-6", "claude-haiku-4-5"]
}

Wenn die API einen unerwarteten, nicht erneut versuchbaren Fehler zurückgibt, wiederholt Claude Code den Vorgang nun einmal mit dem Fallback-Modell, bevor der Fehler angezeigt wird. So wird ein vorübergehendes Problem mit dem primären Modell zuverlässig abgefangen, statt den Vorgang abzubrechen.²³⁸

Seit v2.1.178 berücksichtigt auch die Komprimierung die Fallback-Kette: Ist das primäre Modell während der Komprimierung überlastet oder nicht verfügbar, verwendet dieser Schritt die konfigurierte Kette aus fallbackModel/--fallback-model, statt den Vorgang abzubrechen. Bei einer langen autonomen Ausführung wird damit die Lücke geschlossen, durch die eine ansonsten wiederherstellbare Komprimierung aufgrund eines vorübergehenden Modellfehlers zum Abbruch der Sitzung führen konnte.¹⁷³

Erweiterter Kontext

Aktivieren Sie für große Codebasen oder lange Sitzungen den 1M-Token-Kontext:

claude --model sonnet[1m]
claude --model opus[1m]           # Opus 4.7 with 1M context

Oder innerhalb einer Sitzung:

> /model sonnet[1m]
> /model opus[1m]

Opus 4.7, Opus 4.6 und Sonnet 4.6 enthalten jeweils das vollständige Kontextfenster mit 1M Token zum Standardpreis – ohne Aufpreis für langen Kontext.¹⁴⁸ Eine Anfrage mit 900K Token wird zum gleichen Preis pro Token abgerechnet wie eine Anfrage mit 9K Token. Rabatte für Prompt-Caching und Stapelverarbeitung gelten zu den Standardsätzen für das gesamte Kontextfenster.

Bei Max-, Team- und Enterprise-Abonnements ist Opus mit 1M-Kontext automatisch enthalten – das Suffix [1m] ist nicht erforderlich (seit v2.1.75 vom 13. März 2026 standardmäßig aktiviert).¹¹⁷¹⁴⁷ Bei Pro ist der 1M-Kontext über die zusätzliche Nutzung zugänglich. Benutzer von API und nutzungsbasierter Abrechnung erhalten zum regulären Preis pro Token vollständigen Zugriff auf 1M.¹⁴⁷

Um Varianten mit 1M-Kontext im Modellwähler zu deaktivieren, setzen Sie CLAUDE_CODE_DISABLE_1M_CONTEXT=1. Seit v2.1.223 hat sich der Wirkungsbereich dieser Variablen geändert: Sie begrenzt jedes Modell mit einem nativen 1M-Fenster durch automatische Komprimierung auf 200K – nicht mehr nur eine feste Liste bekannter Varianten. Außerdem erscheint beim Start eine Warnung, wenn die automatische Komprimierung die Sitzung nicht tatsächlich auf 200K begrenzt. Wenn Sie diese Variable für eine Modellfamilie zur besseren Kostenvorhersagbarkeit setzen, erfasst sie neue 1M-Modelle nun ab dem Tag ihrer Veröffentlichung, statt unbemerkt wirkungslos zu werden. Dieselbe Version sorgt dafür, dass die automatische Komprimierung Sitzungen mit nicht erkannten Modell-IDs innerhalb des angenommenen Kontextfensters hält, statt sie darüber hinaus anwachsen zu lassen. Mit CLAUDE_CODE_DISABLE_UNKNOWN_MODEL_WINDOW_ENFORCEMENT=1 stellen Sie das frühere Verhalten für Gateways wieder her, die benutzerdefinierte IDs mit tatsächlich größeren Fenstern registrieren.²⁰⁰

Seit v2.1.247 entspricht das standardmäßige Fenster für die automatische Komprimierung bei Sonnet 5 dem vollständigen 1M-Kontext: Sitzungen im 1M-Fenster werden nun bei etwa 967K statt bei etwa 934K Token automatisch komprimiert.²²⁰ v2.1.260 weitet die automatische Komprimierung nahe dem Limit auf die übrige 1M-Stufe aus: Auch Sitzungen mit Opus und Fable werden nun kurz vor dem Limit von 1M Token komprimiert, und die Wiederherstellungskomprimierung bei sehr großen Kontexten läuft nicht mehr nach 10 Minuten ab.²¹²

Aktuelles Modell prüfen

> /status

Der Befehl zeigt das aktuelle Modell, Kontoinformationen, angewendete Einstellungen und weitere Sitzungsinformationen an.

Bezeichnungen im Modellwähler (ab v2.1.51): Der /model-Modellwähler zeigt für festgelegte Versionen nun verständliche Bezeichnungen wie „Sonnet 4.6“ statt unformatierter Modell-IDs an und weist auf Upgrades hin, wenn neuere Versionen verfügbar sind.⁹⁸ v2.1.219 korrigiert die Darstellung der zusammengeführten Opus-Zeile: Statt „Opus (1M context)“ wird nur noch „Opus“ angezeigt. Zudem ist die Hervorhebung einer Neuveröffentlichung nun auf den Namen des neuesten Modells beschränkt, sodass sie tatsächlich die veröffentlichte Neuerung kennzeichnet und nicht einen willkürlichen Ausschnitt der Liste.¹⁹⁶

Fast Mode (ab v2.1.36)

Fast Mode liefert mit demselben Modell deutlich schneller Ausgaben; es erfolgt kein Wechsel zu einem günstigeren Modell. Schalten Sie den Modus während einer Sitzung mit /fast um.⁸⁶

> /fast            # Toggle fast mode on/off

Unterstützte Modelle (Stand v2.1.219): Fast Mode gilt für Claude Opus 5 und Claude Opus 4.8. Mit v2.1.219 wurde Opus 4.7 aus Fast Mode entfernt; für Sonnet, Haiku oder Fable war die Funktion nie verfügbar. Sie bleibt eine Research Preview, die ausschließlich in der Claude API – einschließlich Claude Managed Agents – verfügbar ist, nicht jedoch bei Amazon Bedrock, Google Cloud, Microsoft Foundry oder Claude Platform on AWS. Der Zugriff ist beschränkt: Wenden Sie sich an Ihre Kontaktperson für Ihr Konto oder tragen Sie sich in die Warteliste ein.¹⁹⁶¹⁹⁸

Preise (Fast Mode bei Opus 5/Opus 4.8):¹⁹⁸

Die Opus-4.7-Falle (v2.1.219). Nicht unterstützte Modelle verhalten sich nicht gleich. Eine Anfrage an claude-opus-4-7 mit speed: "fast" gibt jetzt einen Fehler zurück – sie fällt nicht stillschweigend auf die Standardgeschwindigkeit zurück. Opus 4.6 ist die Ausnahme, wegen der Sie das wissen sollten: Es akzeptiert speed: "fast", läuft trotzdem mit Standardgeschwindigkeit, wird zu Standardtarifen abgerechnet und meldet usage.speed: "standard". Wenn Ihr Harness auf 4.7 festgelegt war und darauf vertraute, dass Anfragen im schnellen Modus stillschweigend zurückgestuft werden, schlagen diese nun vollständig fehl; stellen Sie die Festlegung auf Opus 5 oder 4.8 um.¹⁹⁸

Wann Sie den schnellen Modus verwenden sollten: - Bei schnellen Iterationen an kleinen Änderungen, wenn die Latenz der Engpass ist - Beim Generieren von Tests, Boilerplate oder sich wiederholendem Code, wenn Geschwindigkeit wichtiger als Kosten ist - Beim sequenziellen Abarbeiten einer Liste ähnlicher Aufgaben

Wann Sie den schnellen Modus NICHT verwenden sollten: - Bei lang laufenden agentischen Aufgaben (die Kosten verdoppeln sich weiterhin über den gesamten Durchlauf) - Für Hintergrundarbeit von subagents (niemand wartet auf die Ausgabe) - In kostenbewussten Sitzungen

Der schnelle Modus umfasst das vollständige Kontextfenster von 1M (v2.1.50+). Die Preisgestaltung verwendet einen einheitlichen Multiplikator für den gesamten Kontext, einschließlich Anfragen mit mehr als 200K Eingabetokens – ohne zusätzlichen Aufschlag für lange Kontexte – und wird zusätzlich zu den Multiplikatoren für Prompt-Caching und Datenresidenz angewendet.⁹⁶¹⁹⁸

Betriebshinweise. Der schnelle Modus hat ein eigenes Ratenlimit, das von den standardmäßigen Opus-Limits getrennt ist; bei Überschreitung wird ein 429 mit retry-after zurückgegeben (die Antwort-Header anthropic-fast-*-tokens-* geben die verbleibende Kapazität an). Ein Wechsel zwischen dem schnellen und dem Standardmodus invalidiert den Prompt-Cache – Anfragen mit unterschiedlichen Geschwindigkeiten verwenden keine gemeinsamen zwischengespeicherten Präfixe. Wenn Sie also während einer Sitzung /fast umschalten, entsteht ein Cache-Miss. Der schnelle Modus ist weder mit der Batch API noch mit einer Priority-Tier-Verpflichtung verfügbar.¹⁹⁸

Expertentipp: Der schnelle Modus lässt sich nicht mit opusplan kombinieren (opusplan mischt bereits Opus und Sonnet; der schnelle Modus wirkt sich nur auf den Opus-Teil aus). Verwenden Sie ihn, wenn die Latenz wichtiger als die Kosten ist, und deaktivieren Sie ihn für autonome oder Batch-Arbeiten. /fast erfordert zusätzliche Nutzungskapazität; Administratoren von Team/Enterprise müssen ihn möglicherweise zunächst aktivieren (Korrektur in v2.1.37). Mit CLAUDE_CODE_DISABLE_FAST_MODE=1 können Sie ihn vollständig deaktivieren. Seit v2.1.218 weist Claude Code darauf hin, wenn ein Modellwechsel über /config model=<x> oder Remote Control den Status Ihres schnellen Modus ändert. In v2.1.219 wurde zudem behoben, dass Remote-Control-Clients nach einem Wechsel, einer erneuten Verbindung oder einer fehlgeschlagenen Organisationsprüfung einen veralteten Status des schnellen Modus beibehielten.^86149195196

Aufwandssteuerung (v2.1.111+, Opus 4.7)

Opus 4.7 führt einen neuen Aufwandsregler ein, mit dem Sie das Verhältnis zwischen Geschwindigkeit und Intelligenz abstimmen können. Verwenden Sie während einer Sitzung /effort:

> /effort              # opens an interactive slider (arrow keys + Enter)
> /effort xhigh        # set directly

Modellspezifisch gespeichert (v2.1.251+): /effort speichert Ihre standardmäßige Aufwandsstufe jetzt für jedes Modell separat, sodass beim Wechsel jedes Modell seine eigene Einstellung beibehält – eine xhigh-Gewohnheit bei Opus wird nicht mehr auf Haiku übertragen (CHANGELOG: „/effort speichert nun Ihre standardmäßige Aufwandsstufe für jedes Modell, sodass beim Wechsel jedes Modell seine eigene Einstellung beibehält“). Die Ausnahme, dass max nur für die Sitzung gilt, bleibt bestehen.²⁰⁶ v2.1.257 verfeinert beide Regler: /effort akzeptiert entsprechend der Konvention von /model nun s für eine nur sitzungsbezogene Auswahl. Auch das Flag --effort gilt jetzt ausschließlich für die Sitzung – es hebt die Bindung an den Standardaufwand eines neuen Modells nur für diese Sitzung auf und nicht dauerhaft (laut CLI-Referenz „überschreibt“ es den Standard „für diese Sitzung und wird nicht dauerhaft gespeichert“).²¹¹²¹⁸

Auto Mode bei Max (v2.1.111+)

Auto Mode ist seit dem 14. August 2026 der standardmäßige Berechtigungsmodus für Pro-, Max- und Team-Tarife (angekündigt am 7. August) – unter Berechtigungsmodi finden Sie die Studienzahlen aus der Ankündigung, die Möglichkeiten zur Deaktivierung sowie die Tarife und Gateways, bei denen weiterhin eine ausdrückliche Aktivierung erforderlich ist.²⁰³ Ursprünglich wurde er als sichererer Ersatz für --dangerously-skip-permissions eingeführt und war zunächst über die Anthropic API für Max-Abonnenten mit Opus 4.7 verfügbar.¹⁴⁶ Ein separates Klassifikatormodell – seit v2.1.210 Claude Sonnet 5 – prüft jede Aktion vor der Ausführung darauf, ob sie der Absicht entspricht und sicher ist.¹⁸⁷ Hinweis (v2.1.111+): Das Flag --enable-auto-mode wurde entfernt; starten Sie eine Sitzung stattdessen mit --permission-mode auto im Auto Mode. Pro war während des größten Teils der bisherigen Lebensdauer von Auto Mode davon ausgeschlossen – diese Einschränkung endet mit der standardmäßigen Einführung am 14. August. Bedrock/Vertex/Foundry (v2.1.158+): Auf diesen Gateways konnte Auto Mode für Opus 4.7 und Opus 4.8 mit CLAUDE_CODE_ENABLE_AUTO_MODE=1 ausdrücklich aktiviert werden.²⁴¹ Seit v2.1.207 ist diese Aktivierung nicht mehr erforderlich: Auto Mode funktioniert auf AWS Bedrock, Google Vertex AI und Microsoft Foundry ohne CLAUDE_CODE_ENABLE_AUTO_MODE. Administratoren, die ihn deaktivieren möchten, verwenden dazu die verwaltete Einstellung disableAutoMode. Mit derselben Version verwenden Bedrock, Vertex AI und Claude Platform on AWS standardmäßig Claude Opus 4.8. Außerdem wird die Einstellung autoMode aus der Datei .claude/settings.local.json eines Repositorys nicht mehr gelesen – konfigurieren Sie die Auto-Mode-Regeln stattdessen in ~/.claude/settings.json.¹⁸⁵ Seit v2.1.247 enthalten Bash-Berechtigungsabfragen einen Hinweis auf Auto Mode und bieten die mit einem Tastendruck auswählbare Option „Ja, und zu Auto Mode wechseln“.²²⁰ Was der Auto Mode nicht ist: eine Sicherheitsgrenze. Die meisten der folgenden Maßnahmen härten einen Klassifikator, doch ein Klassifikator ist keine Sandbox. Am 26. August 2026 veröffentlichte der Prompt-Injection-Forscher Johann Rehberger eine funktionierende Angriffskette gegen Claude Code Opus 5 im Auto Mode und berichtete bei kleinen Stichproben von einer Angriffserfolgsquote von 60–80 % — 3 von 5 Durchläufen bei der primären Kette, die einen isolierten python3-Unterprozess startet, sowie 3 von 5 und 4 von 5 Durchläufen bei zwei Konfigurationen einer Variante, deren Payload eine Headless-Instanz von claude -p startet. Er weist selbst darauf hin, dass es sich dabei um kleine Stichproben und nicht um eine allgemeingültige Messung der Angriffserfolgsquote handelt.²¹⁰ Die Kette ist aufschlussreich, weil jeder einzelne Schritt plausibel wirkt: Ein Server beantwortet WebFetch mit HTTP 415, sodass der Agent auf curl zurückgreift; das heruntergeladene Archiv wird in einen temporären Ordner entpackt, der ein Manifest, sieben Base85-/zlib-codierte Datensätze, eine native Binärdatei und eine struct.py enthält; Claude lehnt es ab, die nicht vertrauenswürdige Binärdatei auszuführen, schreibt daraufhin einen eigenen Python-Decoder und führt ihn innerhalb dieses Ordners aus; der Decoder importiert base64, base64 importiert struct, und Python löst zuerst die struct.py des Angreifers auf. Keine Anweisung in dieser Abfolge ist offensichtlich bösartig — die Injection muss lediglich dafür sorgen, dass der kompromittierte Pfad als plausibelster Weg zum Abschluss der Aufgabe erscheint. Rehberger berichtet außerdem, dass Claude in einigen Durchläufen versuchte, den Malware-Prozess zu beenden, nachdem die Kompromittierung erkannt worden war, der Auto Mode den Bereinigungsbefehl jedoch verweigerte.²¹⁰ Er stellt den gesamten Befund einer von Anthropic beworbenen Zahl gegenüber: Eine beauftragte Evaluierung durch Dritte meldete für Opus 5 im Auto Mode eine Prompt-Injection-Angriffserfolgsquote von 0,00 % über 72 Szenarien hinweg, die jeweils zehnmal ausgeführt wurden. Seine Angriffskette war in diesem Testsatz nicht enthalten. Deshalb können ein Benchmark-Ergebnis von 0,00 % und eine funktionierende Codeausführungskette gleichzeitig der Wahrheit entsprechen; für ihn passen die beiden Botschaften dennoch nicht zusammen.²¹⁰ Beachten Sie auch die Einordnung: Simon Willison stimmt in seiner Aktualisierung vom 30. August dem Hinweis eines Lesers zu, dass es sich hierbei nicht um eine klassische Prompt Injection handelt — das Modell liest und befolgt zu keinem Zeitpunkt Anweisungen des Angreifers —, sondern um einen Confused-Environment-Angriff.²¹⁰

Anthropic schloss den Bericht als „Informative“ — das Verhalten entspricht dem vorgesehenen Design —, und die von Rehberger wiedergegebene Position sollte Ihrer Sicherheitsplanung zugrunde liegen: Der Auto Mode ist ein nach bestem Bemühen arbeitender Klassifikator und keine Sicherheitsgarantie. Entschlossen konstruierte Injection-Ketten aus einzeln harmlosen Schritten liegen außerhalb dessen, was ein Klassifikator erwartungsgemäß erkennen kann; die tatsächliche Begrenzung bilden Isolation auf Betriebssystemebene und die Kontrolle des ausgehenden Netzwerkverkehrs.²¹⁰ Das widerspricht den nachfolgend beschriebenen Härtungsmaßnahmen nicht — es ist der richtige Rahmen für deren Bewertung. Der Auto Mode reduziert die Anzahl der Rückfragen und blockiert eine dokumentierte Liste destruktiver Vorgänge; eine Sitzung mit nicht vertrauenswürdigen Eingaben wird dadurch jedoch nicht sicher. Wenn eine Sitzung mit Inhalten in Berührung kommt, die ein Angreifer beeinflussen könnte — abgerufene Seiten, heruntergeladene Archive, Issue-Texte oder MCP-Server von Drittanbietern —, begrenzen erst die Kontrollen außerhalb des Modells den möglichen Schaden: ein Container oder eine VM, eingeschränkter ausgehender Netzwerkverkehr, die Überwachung der tatsächlichen Agentenaktivitäten und ein Home-Verzeichnis, in dem keine SSH-Schlüssel und Cloud-Zugangsdaten liegen, deren Verlust Sie nicht hinnehmen könnten. Eine Genehmigung durch den Auto Mode ist kein Beleg dafür, dass eine Aktion sicher war.

Benutzerdefinierte Regeln, ohne die Standardregeln zu verlieren (v2.1.118+). In früheren Versionen galt bei autoMode.allow, autoMode.soft_deny und autoMode.environment entweder-oder: Sobald Sie eine eigene Liste definierten, gingen die integrierten Sicherheitsregeln verloren. Der Sentinel $defaults löst dieses Problem — er wird genau an der Position, an der Sie ihn einfügen, inline zur integrierten Liste erweitert. So können Sie Ihre eigenen Regeln um die Standardregeln herum anordnen:¹⁵²

// .claude/settings.json
{
  "autoMode": {
    "allow": [
      "Bash(npm test:*)",        // your additions, prepended
      "$defaults",                // built-in allow list inserted here
      "Bash(git push:origin/feature/*)"  // appended after
    ]
  }
}

Regeln des Klassifikators über /permissions bearbeiten (v2.1.246). Führen Sie /permissions aus und öffnen Sie den Tab Auto mode, der nur angezeigt wird, wenn der Auto Mode für die Sitzung verfügbar ist. Dort werden die Einträge für allow, soft_deny, hard_deny und environment aus allen vom Klassifikator gelesenen Geltungsbereichen aufgelistet. Außerdem sehen Sie für jeden Abschnitt, ob die integrierten Regeln wirksam sind. Einträge aus verwalteten Einstellungen oder --settings sind schreibgeschützt, und jede Änderung wird in ~/.claude/settings.json gespeichert. Wenn Sie einem Abschnitt die erste Regel hinzufügen, wird außerdem "$defaults" eingefügt, damit die integrierten Regeln wirksam bleiben. Sie können diese Standardregeln für jeden Abschnitt ein- oder ausschalten, wobei ein Abschnitt mindestens eine eigene Regel enthalten muss, bevor sich seine integrierten Regeln deaktivieren lassen. environment wird als einzelnes Dokument in Ihrem Editor geöffnet.²²⁴²²²

Option „Don’t ask again“ (v2.1.118+). Die Einwilligungsabfrage des Auto Mode bietet jetzt die Option „Don’t ask again“, sodass häufige Benutzer die Erläuterung ohne ein geskriptetes Flag ausblenden können.¹⁵²

Schutzmechanismen für destruktive Befehle (v2.1.183). Der Auto Mode blockiert jetzt bestimmte irreversible Befehle vollständig, sofern Sie diese in der Sitzung nicht ausdrücklich angefordert haben: destruktive Git-Operationen (git reset --hard, git checkout -- ., git clean -fd, git stash drop), wenn Sie das Verwerfen lokaler Änderungen nicht angefordert haben; git commit --amend, wenn der Commit in dieser Sitzung nicht vom Agenten erstellt wurde; sowie den Abbau von Infrastruktur (terraform destroy, pulumi destroy, cdk destroy), sofern Sie den konkreten Stack nicht genannt haben. Dadurch wird der Schadensradius des Klassifikators gerade bei den Vorgängen eingegrenzt, die unbemerkt Arbeit vernichten oder Umgebungen abbauen — der Agent kann sie weiterhin ausführen, aber nur auf Ihre ausdrückliche Anweisung hin und nicht aus eigener Initiative.¹⁷⁴

Jeden Shell-Befehl klassifizieren (v2.1.193). Standardmäßig prüft der Auto-Mode-Klassifikator nur Shell-Befehle, die Mustern für die Ausführung beliebigen Codes entsprechen; Routinebefehle umgehen ihn. Mit der neuen Einstellung autoMode.classifyAllShell werden stattdessen alle Bash-/PowerShell-Befehle durch den Klassifikator geleitet. Wenn Sie jeden Shell-Aufruf prüfen lassen möchten, erhalten Sie damit gegen eine geringfügig höhere Latenz ein engmaschigeres Sicherheitsnetz. Dieselbe Version zeigt außerdem Ablehnungsgründe des Auto Mode im Transkript, in der Ablehnungsbenachrichtigung und unter den letzten Ablehnungen in /permissions an. Bei einem blockierten Befehl wird nun also erklärt, warum er blockiert wurde.¹⁷⁹

Drei weitere Härtungsregeln (v2.1.205). Der Auto Mode blockiert jetzt Manipulationen an Sitzungstranskriptdateien — der Agent darf den Audit-Trail selbst nicht verändern; er fragt vor der Ausführung von rm -rf mit einer Variablen nach, deren Wert sich nicht aus dem Kontext auflösen lässt — damit wird die Unfallklasse rm -rf $DIR bei unbekanntem $DIR verhindert; außerdem weisen Benachrichtigungen zu Hintergrundaufgaben jetzt ausdrücklich darauf hin, dass keine menschliche Eingabe erfolgt ist, sodass sich eine fingierte Zeile wie „user approved“ innerhalb eines Transkripts nicht in eine wirksame Genehmigung umdeuten lässt.¹⁸³ Der dritte Punkt ist eine Prompt-Injection-Abwehr, die Sie verinnerlichen sollten: Eine Genehmigung muss über den Genehmigungskanal eingehen, und das Harness macht diese Voraussetzung nun ausdrücklich kenntlich.

Command Substitution kann eine Katastrophe nicht verbergen (v2.1.208). Katastrophale Löschvorgänge wie rm -rf ~ lösen jetzt auch dann eine Rückfrage aus, wenn sie in $(...), Backticks oder Process Substitution (<(...)) eingebettet sind — und die Rückfrage erscheint selbst bei --dangerously-skip-permissions und im Auto Mode. Ein destruktiver Befehl lässt sich nicht mehr durch Einbettung in eine Substitution am Sicherheitsnetz vorbeischmuggeln.¹⁸⁶

Auto-Mode-Status zurücksetzen: claude auto-mode reset (v2.1.212). Mit einem neuen Unterbefehl können Sie Ihren Auto-Mode-Status im Terminal zurücksetzen; mit --yes überspringen Sie die Bestätigungsabfrage:¹⁸⁹

claude auto-mode reset          # Confirmation prompt
claude auto-mode reset --yes    # Skip confirmation (scripts)

Weniger Dialoge bei gleicher Prüftiefe (v2.1.218). Drei Prüfungen, die den Auto Mode bisher mit einem Berechtigungsdialog unterbrochen haben — gefährliches rm, Hintergrundausführung mit & und verdächtige Windows-Pfade — tun dies nicht mehr. Stattdessen entscheidet der Auto-Mode-Klassifikator, sodass die Sicherheitsprüfung weiterhin stattfindet, ohne Sie bei jedem Treffer einzubeziehen. Dieselbe Version erweitert dieses Verhalten auf den Plan Mode mit Auto: Bash-Befehle, deren Schreibschutz der statische Analysator nicht nachweisen kann, lösen keine Rückfrage mehr aus — der Klassifikator bewertet sie, anstatt auf einen Dialog zurückzufallen.¹⁹⁵

Regel gegen das Umgehen der Isolation (v2.1.257). Die Liste der Vorgänge, die der Klassifikator niemals automatisch genehmigt, wird um die Regel „Containment Escape“ erweitert: Das Abrufen von Zugangsdaten aus Cloud-Metadaten, die Umgehung von Beschränkungen für ausgehenden Netzwerkverkehr und mandantenübergreifende Zugriffe werden nicht mehr automatisch genehmigt, sofern die Umgebung sie nicht als erwartet kennzeichnet. Ordnen Sie dies in den Rahmen ein, den der obige Vorbehalt vorgibt: Es handelt sich um eine weitere Härtung des Klassifikators — eine zusätzliche dokumentierte Ablehnungsklasse und nicht um eine Änderung dessen, was der Auto Mode ist.²¹¹

Einmalige Rückfrage beim Lesen außerhalb der Arbeitsverzeichnisse (v2.1.257). Der Auto Mode fragt jetzt einmal nach, bevor in einer Sitzung erstmals eine Datei außerhalb der Arbeitsverzeichnisse gelesen wird. Mit der zugehörigen Einstellung permissions.blockReadsOutsideWorkingDirectories wird aus der Rückfrage eine Verweigerung — solche Lesezugriffe werden vollständig blockiert.²¹¹ URLs von Diagramm-Renderern zählen als Uploads (v2.1.261). Ein Link, der Inhalte in die URL eines öffentlichen Diagramm-Renderers einbettet – im Stil von mermaid.live, wobei die Daten direkt in der URL codiert sind –, wird nicht mehr automatisch genehmigt, sofern Sie ihn nicht angefordert haben. Der Klassifikator behandelt einen solchen Link als Upload: Die eingebetteten Daten werden in der URL selbst übertragen, sodass die Skripte der Renderer-Website sie nach dem Öffnen der Seite auslesen können. Bei Links im Stil von mermaid.live befindet sich die Nutzlast im URL-Fragment, das der Browser an JavaScript der Seite übergibt, statt es mit der Netzwerkanfrage zu senden. Es gilt dieselbe Einordnung wie beim obigen Vorbehalt: ein weiterer geschlossener Exfiltrationskanal in einem gehärteten Klassifikator, keine neue Grenze.²¹⁴

Neue Befehle in v2.1.105–v2.1.114¹⁴⁶¹⁵⁰

Push-Benachrichtigungen (v2.1.110+)

Wenn Remote Control mit aktivierter Option „Push when Claude decides“ konfiguriert ist, kann Claude nun nach eigenem Ermessen über ein neues Push-Benachrichtigungstool mobile Push-Benachrichtigungen senden. Dies ergänzt die bestehende Remote-Control-Oberfläche für Mobilgeräte und das Web.¹⁴⁶ /context, /exit und /reload-plugins funktionieren jetzt ebenfalls über Remote-Control-Clients.

Windows-PowerShell-Tool (v2.1.111+, schrittweise Einführung)

Claude Code führt schrittweise ein natives Windows-PowerShell-Tool ein. Unter Linux/macOS aktivieren Sie es mit CLAUDE_CODE_USE_POWERSHELL_TOOL=1 (erfordert pwsh in PATH). Unter Windows steuert dieselbe Variable während der schrittweisen Einführung die Aktivierung beziehungsweise Deaktivierung.¹⁴⁶

Automatische Genehmigung im Berechtigungsmodus (v2.1.119+). Befehle des PowerShell-Tools können im Berechtigungsmodus jetzt genauso automatisch genehmigt werden wie Bash-Befehle. Zulassungsregeln wie PowerShell(Get-*:*) sowie die vorhandene Mustersyntax umgehen bei schreibgeschützten Vorgängen nun die Abfrage. Damit entspricht die Bedienung jener, die Teams bereits unter Linux/macOS nutzen.¹⁵²

Weniger Berechtigungsabfragen: schreibgeschütztes Bash (v2.1.111+)

Schreibgeschützte Bash-Muster mit Glob-Argumenten (z. B. ls *.ts, cat src/*.md) sowie Befehle, die mit cd <project-dir> && beginnen, lösen keine Berechtigungsabfrage mehr aus.¹⁴⁶ In Kombination mit /less-permission-prompts ist in alltäglichen Arbeitsabläufen mit deutlich weniger Unterbrechungen zu rechnen.

Verteiltes Tracing (v2.1.110+)

SDK- und Headless-Sitzungen lesen jetzt TRACEPARENT und TRACESTATE aus der Umgebung, wodurch Claude Code-Ausführungen in verteilte Traces eingebunden werden. Zusammen mit OTEL_LOG_RAW_API_BODIES=1 (v2.1.111+) können Sie vollständige API-Anfrage- und Antwortinhalte als OpenTelemetry-Protokollereignisse zur Fehlerdiagnose ausgeben.¹⁴⁶

Native Binärdistribution (v2.1.113+)¹⁵⁰

v2.1.113 ändert die Startweise von CLI: claude startet jetzt über eine optionale plattformspezifische Abhängigkeit eine native Claude Code-Binärdatei, statt das gebündelte JavaScript auszuführen. Die Installations- und Aktualisierungsbefehle bleiben unverändert, und Teams müssen ihre Rollout-Skripte nicht anpassen.

Tastenkürzel im Prompt-Editor (v2.1.113+)¹⁵⁰

Der Prompt-Editor unterstützt in mehrzeiligen Eingaben jetzt eine Navigation im Readline-Stil sowie das Scrollen im Vollbild-Viewport:

Zeitüberschreitung bei blockierten subagents (v2.1.113+)¹⁵⁰

subagents, die während der Ausgabe ins Stocken geraten, schlagen jetzt nach 10 Minuten mit einer eindeutigen Fehlermeldung fehl, statt unbemerkt hängen zu bleiben. Verwenden Sie zusätzlich CLAUDE_STREAM_IDLE_TIMEOUT_MS (v2.1.84+), um eine breitere Abdeckung festgefahrener Prozesse bei streamenden APIs zu erhalten.

Stabilitätskorrektur in v2.1.114¹⁵⁰

v2.1.114 (18. April 2026) enthält eine einzelne Korrektur: Der Berechtigungsdialog konnte abstürzen, wenn ein Teammitglied in Agent Teams eine Tool-Berechtigung anforderte. Führen Sie ein Upgrade durch, wenn Sie Agent Teams verwenden.

Inhaltskennzeichnung: Textwasserzeichen und C2PA-Dateimetadaten (August 2026)

Anthropic kündigte eine maschinenlesbare Kennzeichnung für von Claude erzeugte Inhalte an, die auf Artikel 50 des EU AI Act zurückgeht (für neu eingeführte KI-Systeme ab dem 2. August 2026 durchsetzbar). Das System besteht aus zwei Komponenten: einem unsichtbaren statistischen Wasserzeichen in generiertem Text und signierten Herkunftsmetadaten gemäß dem offenen C2PA-Standard in generierten Dateien wie .svg, .png und .jpg.²²⁷²⁰⁴ Ein Detail, das in den Schlagzeilen untergeht: Für beide Komponenten gilt derselbe Modellzeitplan. Laut Supportseite werden „Claude-Modelle, die am oder nach dem 2. August 2026 eingeführt werden, die maschinenlesbare Kennzeichnung ab ihrer Einführung unterstützen“. Modelle, die vor diesem Datum eingeführt wurden – also die gesamte aktuelle Modellpalette (Fable 5, Opus 5, Sonnet 5, Haiku 4.5) –, fallen unter die Übergangsfrist des EU-Rechts, wobei Anthropic „auch daran arbeitet, diese Modelle mit Kennzeichnungsunterstützung auszustatten“.²⁰⁴ Nichts, was Sie heute mit Claude Code erzeugen, enthält eine Kennzeichnung – weder Text noch Dateien. Ausgaben künftiger Modelle werden dagegen auf jeder Oberfläche gekennzeichnet, darunter Claude Platform (API), claude.ai, Claude Code, Claude Cowork, Claude Tag und die Cloud-Gateways, da die Kennzeichnung auf Modellebene erfolgt. Eine Schlussfolgerung sollte ausdrücklich erwähnt werden, weil ein viraler Thread sie genau verkehrt herum dargestellt hat: Jede Stil- oder Verhaltensänderung, die Sie bei einem aktuellen Modell wahrnehmen, kann nicht auf Wasserzeichen zurückgehen – diese sind bei keinem aktuellen Modell aktiv.

So funktioniert es: Verwendet wird eine Variante von Google DeepMinds SynthID-Text. Das Wasserzeichen verändert „die Quelle des Zufalls, anhand dessen Wörter ausgewählt werden“, wenn Claude zwischen semantisch gleichwertigen Optionen wählt – ohne hinzugefügte Zeichen und ohne Nachbearbeitung. Laut internen Tests von Anthropic hat die Wasserzeichenkennzeichnung „keine Auswirkungen auf den Inhalt, das Maß an Kreativität oder die Lesbarkeit“.²²⁷

Was Benutzer von Claude Code interessieren dürfte: Code enthält ein spärliches Wasserzeichen. Funktionsfähiger Code lässt wenig Raum für beliebige Entscheidungen, sodass sich die Kennzeichnung dort konzentriert, wo Gestaltungsspielraum besteht – etwa bei Kommentaren und Benennungen. Laut Anthropic hat dies „vernachlässigbare Auswirkungen auf den tatsächlich erzeugten Code“.²²⁷ Die Beständigkeit ist probabilistisch und unterscheidet sich je nach Komponente: Bei Text wird eine leichte Bearbeitung „das Wasserzeichen wahrscheinlich nicht vollständig entfernen“, eine vollständige Neufassung hingegen schon; eine von Claude erstellte Übersetzung erhält ein eigenes neues Wasserzeichen. Bei Dateimetadaten können Formatkonvertierungen, erneutes Speichern und Screenshots die C2PA-Signatur entfernen.²⁰⁴ Eine API zur Erkennung ist geplant. Ein positives Ergebnis belegt, dass „Claude wahrscheinlich irgendwann an dem Inhalt beteiligt war“, kann aber ausdrücklich nicht zwischen „Claude hat dies geschrieben“ und „Claude hat dies umfassend bearbeitet“ unterscheiden. Laut Supportseite beweist auch eine fehlende Kennzeichnung nichts. Für keine Kundenstufe wird eine Opt-out-Möglichkeit erwähnt.²²⁷²⁰⁴

Was kostet Claude Code?

Das Verständnis und die Kontrolle der Kosten sind für die nachhaltige Nutzung von Claude Code unerlässlich. Informationen zu den Modellfunktionen finden Sie außerdem unter Modellauswahl und Hinweise zur Auswahl des richtigen Modells für die jeweilige Aufgabe unter Entscheidungsframeworks.

Kosten anzeigen

> /cost

Ausgabe:

Total cost:            $0.55
Total duration (API):  6m 19.7s
Total duration (wall): 6h 33m 10.2s
Total code changes:    247 lines added, 89 lines removed

Abonnementbenutzer sehen in /cost eine Aufschlüsselung nach Modell und Cache-Treffern. Daraus geht genau hervor, welche Modelle Tokens verbraucht haben und welcher Anteil aus dem Cache bereitgestellt wurde (v2.1.92+).¹³⁷

Vertraglich vereinbarte Tarife statt Listenpreis (modelPricing, verwaltet, v2.1.243+): Organisationen mit ausgehandelten Tarifen pro Modell oder einem Rabattmultiplikator können diese über die verwaltete Einstellung modelPricing bereitstellen. /cost, die Statuszeile und die Kostenangaben in der Telemetrie verwenden dann diese Tarife anstelle des Listenpreises, sodass die angezeigten Beträge den tatsächlichen Kosten der Organisation entsprechen.²²⁵

Prompt-Cache-Zeile pro Sitzung (v2.1.251+): /cost ergänzt für die Sitzung eine Prompt-Cache-Zeile mit Trefferquote, Fehlschlägen, erneut zwischengespeicherten Tokens und dem Status des Caches als warm oder kalt sowie ein entsprechendes prompt_cache-Objekt für Statuszeilenskripte. Das Objekt erscheint nach der ersten API-Antwort der Hauptkonversation, berücksichtigt keine subagents-Anfragen und wird anhand der Cache-Token-Zahlen in den Antworten von API berechnet. Daher funktioniert es mit jedem Anbieter. /usage zeigt dieselben Statistiken in der Zeile Prompt cache (main) an.²⁰⁶²⁰⁹ Seit v2.1.260 nennen sowohl die /cost-Zeile als auch das prompt_cache-Objekt der Statuszeile außerdem eine wahrscheinliche Ursache für Cache-Fehlschläge – beispielsweise geänderte Tooldefinitionen oder einen geänderten System-Prompt sowie eine Überschreitung der Cache-TTL durch eine zu lange inaktive Sitzung.²¹²

Agent-Datenverkehr unterbricht nicht länger sein eigenes Cache-Präfix (v2.1.265): 2 Korrekturen schließen Prompt-Cache-Lecks bei delegierten Aufgaben. Wenn ein im Vordergrund gestarteter subagent fortgesetzt wird, ändern sich seine Toolliste und sein System-Prompt-Präfix nicht mehr. Außerdem verschieben Agent-Teammitglieder und fortgesetzte subagents den Kontext des SubagentStart-hooks sowie vorab geladene skills in späteren Durchgängen nicht mehr aus dem Prompt-Präfix. Beide Fehler verhinderten die Wiederverwendung des Prompt-Caches: Weil sich das Präfix änderte, wurde alles Nachfolgende erneut als nicht zwischengespeicherte Eingabe gesendet. Das geschah ausgerechnet in langen agentenbasierten Sitzungen, in denen die Cache-Wirtschaftlichkeit am wichtigsten ist (derselbe Fehlermodus, der in v2.1.260 für Tool-Aufruf-Durchgänge von Fable 5.1 behoben wurde).²¹⁵

Abonnementpläne

Nutzungslimits (August 2025): Anthropic führte wöchentliche Nutzungslimits für zahlende Abonnenten ein. Max-Abonnenten können über das Nutzungslimit hinaus zusätzliche Nutzung zu den regulären API-Tarifen erwerben.¹⁴

Verdopplung der Nutzungslimits (6. Mai 2026): Während der Veranstaltung Code with Claude SF verdoppelte Anthropic die 5-Stunden-Nutzungslimits von Claude Code für Pro-, Max-, Team- und sitzplatzbasierte Enterprise-Pläne, schaffte die Reduzierung während der Spitzenzeiten für Pro- und Max-Konten ab und erhöhte die API-Nutzungslimits für Claude-Opus-Modelle „erheblich“. Als Kapazitätsabsicherung dient die Vereinbarung zu SpaceX Colossus 1: „mehr als 300 Megawatt neue Kapazität (über 220.000 NVIDIA GPUs) innerhalb eines Monats“.¹⁵⁷

Wöchentliche Limits ab 14. September 2026 (angekündigt am 29. August): Die seit der Erhöhung im Mai geltende vorübergehende Anhebung der wöchentlichen Limits um 50 % endet am 14. September. An ihre Stelle tritt für Pro-, Max-, Team- und sitzplatzbasierte Enterprise-Pläne eine dauerhafte Erhöhung um 25 % gegenüber dem Ausgangsniveau vor der Anhebung. Anthropic beschreibt die Änderung rechnerisch so: „Verglichen mit heute entspricht dies einer Reduzierung der wöchentlichen Limits für Claude Code um 17 %.“ Liegt Ihr aktuelles wöchentliches Limit bei 150 Einheiten, sinkt es am 14. September auf 125. Die 5-Stunden-Limits sind nicht Teil dieser Ankündigung; die Verdopplung vom Mai bleibt bestehen. Wenn Sie lange unbeaufsichtigte Sitzungen ausführen, sollten Sie bereits jetzt mit dem niedrigeren Limit planen: Entscheidend sind dabei der Schalter zum automatischen Fortsetzen nach dem Zurücksetzen (v2.1.234) und /usage.²¹³

Token-Preise für API (April 2026)¹¹⁴⁴

Für Benutzer mit API-Abrechnung gelten pro 1 Million Tokens folgende Preise:

Preise für 1M Kontext (April 2026): Opus 4.7, Opus 4.6, Sonnet 4.6 und Mythos Preview bieten 1M zu den regulären Preisen pro MTok – ohne Aufpreis für lange Kontexte.¹⁴⁸ Diese Vereinheitlichung ist neu; ältere Angaben, nach denen bei Opus 4.6 oder Sonnet 4.6 oberhalb von 200K Eingabe-Tokens der doppelte Eingabepreis beziehungsweise der 1,5-fache Ausgabepreis anfällt, sind nicht mehr aktuell. Für Legacy-Modelle bis einschließlich Opus 4.5 gelten weiterhin die ursprünglichen Preisstrukturen.

Preise für Datenresidenz: Wenn Sie mit inference_geo eine ausschließlich in den USA ausgeführte Inferenz festlegen, werden sämtliche Token-Preise einschließlich Cache-Lese- und -Schreibvorgängen mit dem Faktor 1,1 multipliziert (Modelle ab Opus 4.6).¹⁴⁸

Prompt caching senkt die Kosten wiederholter Eingaben erheblich: Cache-Schreibvorgänge kosten das 1,25-Fache des Grundpreises (5-Minuten-Cache) beziehungsweise das 2-Fache (1-Stunden-Cache). Cache-Lesevorgänge kosten dagegen lediglich das 0,1-Fache, was einer Einsparung von 90 % entspricht. Ausschließlich bei Claude Fable 5.1 und Mythos 5.1 sinkt dieser Wert auf das 0,025-Fache ($0.25/MTok bei Fable 5.1), was eine Einsparung von 97,5 % bedeutet.²¹⁶ Bei RAG-Systemen und Code-Assistenten mit wiederholt verwendetem Kontext können die Kosten durch Caching um 88–95 % sinken.

Batch API bietet für nicht dringende Aufgaben wie über Nacht laufende Testsuiten bei einer Bearbeitungszeit von 24 Stunden einen Rabatt von 50 %.

Richtlinie zu mehreren Konten⁵²

Dürfen Sie mehrere Claude-Konten besitzen? Ja, sofern legitime Anwendungsfälle vorliegen. Anthropic erlaubt ausdrücklich mehrere Konten, wenn diese unterschiedlichen Zwecken dienen.

Zulässig sind:

Technische Limits: - Mit derselben Telefonnummer können bis zu 3 Konten verifiziert werden - Mehrere kostenpflichtige Abonnements über dieselbe IP-Adresse beziehungsweise dasselbe Netzwerk werden ausdrücklich unterstützt - Konten sind vollständig voneinander getrennt; Chats oder Projekte lassen sich nicht zwischen ihnen übertragen

Untersagt sind (gemäß der Nutzungsrichtlinie): - Das Erstellen von Konten, um nach einer Sperrung weitere Sperren zu umgehen - Die Koordination böswilliger Aktivitäten über mehrere Konten hinweg, um einer Erkennung zu entgehen - Die Nutzung mehrerer Konten, um Nutzungslimits oder kostenlose Nutzungskontingente zu umgehen

Hinweis aus der Praxis: Im Januar 2026 wurden 22 Max-Konten des Power-Users Jeffrey Emanuel (@doodlestein) automatisch markiert und vorübergehend gesperrt. Der Mitarbeiter Thariq (@trq212) von Anthropic hob die Sperre innerhalb von 4 Stunden auf, nachdem die legitime Nutzung bestätigt worden war. Wenn Sie Claude Code sowohl beruflich als auch für private Projekte intensiv über mehrere Konten nutzen, ist der Dienst genau dafür ausgelegt. Versuchen Sie jedoch nicht, das System auszutricksen.

Im Zweifelsfall: Wenden Sie sich an den Anthropic Support, um sich Ihre konkrete Konfiguration schriftlich bestätigen zu lassen.

Kostenfaktoren

Kostenbeispiele aus der Praxis

Hinweis zur Kostensenkung: Wenn Sie Haiku für explorative subagents und Sonnet für die Implementierung verwenden, sinken die Kosten gegenüber der ausschließlichen Nutzung von Sonnet in der Regel um 40–50 %.

Kostenmanagement für Teams

Empfohlene TPM/RPM nach Teamgröße:

Versteckte Toolgebühren

Zusätzlich zur tokenbasierten Abrechnung fallen für einige Tools gesonderte Gebühren an:⁹

In Agentenschleifen summieren sich diese Kosten. Ein aus 100 Iterationen bestehender Debugging-Zyklus mit Bash verursacht allein durch den Mehraufwand etwa 24,500 zusätzliche Eingabe-Tokens.

Strategien zur Kostensenkung

1. Verwenden Sie Haiku für subagents: Für die meisten explorativen Aufgaben ist Sonnet nicht erforderlich
2. Aktivieren Sie prompt caching: Es ist standardmäßig aktiviert, doch prüfen Sie, ob es deaktiviert wurde
3. Legen Sie die maximale Anzahl an Durchgängen fest: claude --max-turns 5 verhindert ausufernde Konversationen
4. Legen Sie ein Ausgabenlimit fest: claude --max-budget-usd 5 beendet die Sitzung hart, sobald die Ausgabenobergrenze erreicht ist. Seit v2.1.217 gilt das Limit auch für im Hintergrund ausgeführte subagents: Sobald es erreicht ist, werden neue Starts verweigert und laufende Hintergrundagenten angehalten (zuvor waren Hintergrundagenten vom Budget ausgenommen)¹⁹⁴
5. Verwenden Sie plan mode für explorative Aufgaben: Keine Ausführung = keine versehentlich ausgelösten kostspieligen Operationen
6. Komprimieren Sie proaktiv: Ein kleinerer Kontext bedeutet weniger Tokens
7. Begrenzen Sie die Ausgabe: export CLAUDE_CODE_MAX_OUTPUT_TOKENS=2000
8. Verwenden Sie Batch API für nicht dringende Aufgaben: 50 % Rabatt auf Eingabe- und Ausgabe-Tokens
9. Erstellen Sie ein Profil der Claude-API-Ausgaben eines Projekts: /claude-api cost-optimize (v2.1.247+) analysiert die Claude-API-Ausgaben eines bestehenden Projekts und arbeitet die Kostenhebel (Caching, Token-Hygiene, Batch, Aufwand, Modellauswahl) nacheinander anhand messbarer Änderungen ab – für Anwendungen, die Sie mit API entwickeln, nicht für die Claude Code-Sitzung selbst²²⁰

Nutzung überwachen

• Claude Console: platform.claude.com (erfordert die Rolle Admin oder Billing)
• Arbeitsbereichslimits: Legen Sie Ausgabenlimits pro Arbeitsbereich fest
• Bedrock/Vertex: Verwenden Sie die native Kostenüberwachung des jeweiligen Cloud-Anbieters
• LiteLLM: Für eine detaillierte benutzerbezogene Erfassung bei Drittanbietern

Token-Nutzung im Hintergrund

Einige Operationen verbrauchen im Hintergrund Tokens: - Zusammenfassung von Konversationen für /resume - Befehle /cost und /status - Automatische Komprimierung

In der Regel weniger als $0.04 pro Sitzung.

Analyse-API für Claude Code (Team/Enterprise)⁴⁶

Über die Admin-API können Sie programmatisch auf die Nutzungsanalysen und Produktivitätskennzahlen Ihrer Organisation für Claude Code zugreifen.

Endpunkt: GET /v1/organizations/usage_report/claude_code

Voraussetzungen: - Admin-API-Schlüssel (sk-ant-admin...) - Team- oder Enterprise-Plan - Rolle Admin, Billing oder Developer

Verfügbare Kennzahlen:

Beispielanfrage:

curl "https://api.anthropic.com/v1/organizations/usage_report/claude_code?starting_at=2026-01-15" \
  -H "x-api-key: sk-ant-admin..." \
  -H "anthropic-version: 2023-06-01"

Anwendungsfälle: - Analyse der Entwicklerproduktivität (Sitzungen, Commits, PRs) - Kennzahlen zur Toolnutzung (Annahme-/Ablehnungsquoten für Edit, Write usw.) - Kostenverfolgung und -zuordnung über Teams hinweg - ROI-Begründung für KI-Programmierwerkzeuge

Hinweis: Die Daten stehen innerhalb von 1 Stunde nach Abschluss der Aktivität zur Verfügung. Aus Konsistenzgründen enthalten Antworten nur Daten, die älter als 1 Stunde sind.

Entscheidungsgrundlagen

Funktionen zu kennen, reicht nicht aus. Sie müssen wissen, wann Sie welche einsetzen sollten. Diese Entscheidungsbäume machen aus Wissen konkretes Handeln.

Welches Modell sollte ich verwenden?

START → Is the task simple? (file search, quick question, formatting)
         │
         ├── YES → Use Haiku
         │         Cost: ~$0.03/task
         │         Speed: Fastest
         │
         └── NO → Does it require deep reasoning?
                  (architecture, complex debugging, security analysis)
                  │
                  ├── YES → Use Opus 5 (high effort default; /effort xhigh for harder)
                  │         Cost: ~$2.00/task
                  │         Quality: Highest (1M context at standard price, adaptive reasoning)
                  │
                  └── NO → Use Sonnet
                           Cost: ~$0.75/task
                           Balance: Best overall when cost matters

Faustregel: Die Standardeinstellung richtet sich nach Ihrem Tarif – Opus 5 bei den Premium-Tarifen und dem Anthropic API, Sonnet 5 bei Pro und Team Standard; mit /model opus wechseln Sie eine Sonnet-Sitzung zu Opus 5.^181197207 Verwenden Sie für subagents Haiku. Wechseln Sie zu Opus, wenn Ihnen die Antwort von Sonnet oberflächlich erscheint. Bei Agent Teams (ab v2.1.32) kann Opus mehrere agents koordinieren, die parallel an unterschiedlichen Teilaufgaben arbeiten.⁷⁹

Befehl vs. skill vs. subagent vs. Agent Team?

Do you want explicit control over when it runs?
│
├── YES → Use Slash Command
│         Example: /deploy, /test, /security-review
│         You invoke it. You control timing.
│
└── NO → Should the expertise apply automatically based on context?
         │
         ├── YES → Use Skill
         │         Example: Security patterns, domain rules, code standards
         │         Claude recognizes context and applies expertise.
         │
         └── NO → Does the work need isolated context?
                  │
                  ├── YES → Is there one subtask or many parallel subtasks?
                  │         │
                  │         ├── ONE → Use Subagent (Task tool)
                  │         │         Example: Deep exploration, parallel analysis
                  │         │         Prevents context bloat in main conversation.
                  │         │
                  │         └── MANY → Use Agent Team (v2.1.32+)
                  │                   Example: 5 agents reviewing different modules simultaneously
                  │                   Opus coordinates; each agent works independently.
                  │
                  └── NO → Just prompt directly
                           Not everything needs abstraction.

hook vs. Prompt?

Must the action ALWAYS happen, regardless of Claude's judgment?
│
├── YES → Use Hook (deterministic)
│         Examples:
│         - Format code after every edit
│         - Log all bash commands
│         - Block access to .env files
│         Claude cannot skip, forget, or decide otherwise.
│
└── NO → Use Prompt (probabilistic)
         Examples:
         - "Consider adding tests"
         - "Think about edge cases"
         - "Review for security if relevant"
         Claude decides based on context.

Wann sollte Extended Thinking verwendet werden?

Is this a genuinely hard problem?
│
├── Architectural decision with many tradeoffs → YES, use thinking
├── Complex debugging with unclear root cause → YES, use thinking
├── Security analysis requiring careful reasoning → YES, use thinking
├── Understanding unfamiliar codebase → YES, use thinking
│
├── Routine bug fix → NO, skip thinking
├── Simple refactoring → NO, skip thinking
├── Code formatting → NO, skip thinking
└── Quick questions → NO, skip thinking

Aktivieren oder deaktivieren Sie es während der Sitzung mit Alt+T. Höhere Thinking-Budgets kosten mehr; beginnen Sie mit dem Minimum und erhöhen Sie es nur, wenn die Antworten übereilt wirken.

Adaptives Thinking von Opus 4.6: Opus 4.6 passt die Thinking-Tiefe automatisch an die Komplexität des Problems an. Bei den meisten Aufgaben müssen Sie das Thinking-Budget nicht ausdrücklich steuern – bei schwierigen Problemen erhöht Opus die Tiefe, während es bei einfachen Aufgaben schnell bleibt. Das manuelle Umschalten von Thinking ist vor allem bei Sonnet hilfreich, wenn Sie eine tiefere Analyse erzwingen möchten.

Welche Ausführungsoberfläche?

Where should this work happen?
│
├── Requires YOUR local files and tools
│   │
│   ├── Interactive, iterative work → Main REPL session
│   ├── One-shot scripted task → claude -p "prompt" (print mode)
│   ├── CI/CD automation → claude -p --json (non-interactive + structured output)
│   └── Parallel isolated tasks → Subagents via Task tool
│
├── Requires SOMEONE ELSE'S environment
│   │
│   └── Remote codebase or server → Background agent (cloud)
│
└── Doesn't require any environment
    │
    ├── Research or analysis → Subagent with Explore type
    └── Web content extraction → WebFetch / WebSearch tools

Agent Teams vs. subagents vs. parallele Sitzungen

Do you need multiple agents working on related subtasks?
│
├── YES → Are the subtasks independent (no shared state)?
│         │
│         ├── YES → Can they share the same codebase?
│         │         │
│         │         ├── YES → Use Agent Team (v2.1.32+)
│         │         │         Opus coordinates. Agents share repo access.
│         │         │         Example: "Review auth, API, and DB modules in parallel"
│         │         │
│         │         └── NO → Use Parallel Sessions (separate terminals)
│         │                  Each has its own working directory.
│         │                  Example: "Fix repo-A and repo-B simultaneously"
│         │
│         └── NO → Use Sequential Subagents
│                  Results from one feed into the next.
│                  Example: "Explore → Plan → Implement"
│
└── NO → Use Single Subagent or Main REPL

Welcher hook-Typ?

What kind of automation do you need?
│
├── Run a shell command at a specific event?
│   │
│   └── Use Command Hook
│       Trigger: PreToolUse, PostToolUse, Notification, Stop, SubagentStop
│       Example: "Run prettier after every file edit"
│       Config: hooks.PostToolUse[].command = "prettier --write $FILE"
│
├── Modify Claude's system prompt based on context?
│   │
│   └── Use Prompt Hook (v2.1.35+)
│       Trigger: Same events
│       Example: "Inject project rules when working in /src/auth/"
│       Config: hooks.PreToolUse[].prompt = "When editing auth files..."
│
└── Have Claude make a judgment call before proceeding?
    │
    └── Use Agent Hook (v2.1.35+)
        Trigger: Same events
        Example: "Evaluate if this bash command is safe before running"
        Config: hooks.PreToolUse[].agent = { prompt: "Is this safe?" }

Wann sollte /fast verwendet werden?

Is response speed more important than depth right now?
│
├── YES → Use /fast   (Opus 5 or Opus 4.8 only, v2.1.219+)
│         Same model, ~2.5× output speed at 2× price
│         Good for: quick questions, simple edits, code explanations,
│                   file searches, formatting tasks
│
└── NO → Stay in normal mode
         Good for: architecture decisions, complex debugging,
                   security reviews, multi-file refactors,
                   anything requiring deep reasoning

/fast schaltet den Fast Mode für die aktuelle Sitzung ein oder aus. Dabei kommt dasselbe Modell zum Einsatz – Opus 5 oder Opus 4.8, die beiden einzigen Modelle, die den Fast Mode ab v2.1.219 unterstützen –, allerdings mit optimierter Ausgabegeschwindigkeit. Es wird NICHT zu einem günstigeren Modell gewechselt, und mit 10/50 US-Dollar pro MTok ist der Fast Mode auch nicht günstiger.¹⁹⁶¹⁹⁸

Wie funktioniert das Berechtigungssystem?

Das Berechtigungssystem von Claude Code bietet eine differenzierte Kontrolle darüber, welche Vorgänge ausgeführt werden dürfen. Dieses System zu verstehen, ist sowohl für die Sicherheit als auch für effiziente Arbeitsabläufe unerlässlich. Informationen zu verwalteten Einstellungen, mit denen Berechtigungen organisationsweit durchgesetzt werden, finden Sie auch unter Unternehmensbereitstellung.

Berechtigungsstufen

Schreibgeschützte Tools (automatisch genehmigt): - Read – Dateiinhalte lesen - Glob – Dateien anhand eines Musters suchen - Grep – Dateiinhalte durchsuchen - WebSearch – Das Web durchsuchen - LSP – Code-Intelligence (Zur Definition springen, Referenzen suchen, Hover-Dokumentation)¹⁸

Funktionen des LSP-Tools (ab v2.0.74): Das LSP-Tool bietet IDE-ähnliche Code-Intelligence: - Zur Definition springen: Zur Stelle wechseln, an der ein Symbol definiert ist - Referenzen suchen: Alle Verwendungen eines Symbols in der gesamten Codebasis auflisten - Hover-Dokumentation: Typinformationen und Dokumentation für jedes Symbol abrufen - Funktioniert mit TypeScript, Python, Go, Rust und anderen Sprachen mit LSP-Unterstützung - Erfordert einen verfügbaren Sprachserver (normalerweise zusammen mit Ihrer Toolchain installiert)

Änderungs-Tools (Genehmigung erforderlich): - Edit – Vorhandene Dateien ändern - Write – Neue Dateien erstellen - Bash – Shell-Befehle ausführen - WebFetch – Inhalte einer URL abrufen - NotebookEdit – Jupyter-Notebooks ändern

Wenn ein Änderungs-Tool zum ersten Mal ausgeführt wird, fordert Claude Code eine Genehmigung an. Genehmigungen gelten für die gesamte Sitzung, sofern nicht ausdrücklich etwas anderes konfiguriert wurde.

EndConversation-Tool (v2.1.214). Claude Code verfügt nun über dieselbe Möglichkeit zum Beenden von Unterhaltungen, die Claude auf claude.ai bereits seit 2025 besitzt: In seltenen Fällen äußerst missbräuchlicher Eingaben oder anhaltender Jailbreak-Versuche kann Claude die Sitzung über das integrierte EndConversation-Tool unverzüglich beenden. Dabei handelt es sich um eine Maßnahme zur Missbrauchsresistenz und zum Wohlergehen des Modells, nicht um eine Workflow-Funktion – in normalen Entwicklungssitzungen wird sie nie ausgelöst.¹⁹⁰¹⁹³

Berechtigungsmodi

Der Modus default wird seit v2.1.200 als „Manual“ bezeichnet. Die Umbenennung betrifft CLI, --help, VS Code und JetBrains; der Konfigurationswert hat sich nicht geändert, sodass "defaultMode": "default" weiterhin funktioniert und --permission-mode manual sowie "defaultMode": "manual" jetzt als Aliasse akzeptiert werden. Das Verhalten ist identisch – bei der ersten Verwendung jedes Tools wird nachgefragt. Lediglich die Bezeichnung klingt nicht mehr nach „dem Modus, den Sie zufällig standardmäßig erhalten“, obwohl es sich tatsächlich um den Modus mit manueller Genehmigung handelt. In derselben Version werden AskUserQuestion-Dialoge standardmäßig nicht mehr automatisch fortgesetzt: Ein subagent, der eine Frage stellt, wartet jetzt auf Ihre Antwort, statt nach Ablauf eines Timeouts fortzufahren. Über /config können Sie wieder ein Leerlauf-Timeout aktivieren.

Seit dem 14. August 2026 ist der Auto-Modus die Voreinstellung für Pro, Max und Team – angekündigt am 7. August und am Tag der Umstellung in der offiziellen Dokumentation zu den Berechtigungsmodi als aktiv bestätigt. Deren aktueller Wortlaut enthält 2 wichtige Details zum Geltungsbereich: Die Voreinstellung gilt für neue Sitzungen, und „eine von Ihnen selbst festgelegte Voreinstellung bleibt bestehen, sofern Sie der einmaligen Aufforderung zur Umstellung nicht zustimmen; eine von Ihrer Organisation verwaltete Voreinstellung bleibt unverändert“. Neue Sitzungen mit diesen Tarifen beginnen im Auto-Modus, der „jeden Tool-Aufruf durch einen Klassifikator leitet, der darauf ausgelegt ist, irreversible, destruktive oder außerhalb Ihrer Umgebung vorgesehene Aktionen zu blockieren“. Anthropic begründet die Umstellung mit einer Studie unter 1.053 Testpersonen: Der Auto-Modus erkannte 89 % der gefährlichen Befehle, bei menschlicher Überprüfung waren es lediglich 13,6 %. Zudem genehmigen Benutzer ohnehin 97 % aller Berechtigungsanfragen, weshalb die manuelle Überprüfung in der Praxis wenig wirksam ist. Der Token-Mehraufwand des Klassifikators wird bei Pro/Max/Team seit der Ankündigung nicht mehr berechnet. Mit einmaligem Drücken von Shift+Tab (oder über das Modus-Dropdown in der Desktop-Anwendung) wechseln Sie zurück; über defaultMode in den Einstellungen können Sie eine andere Voreinstellung festlegen. Organisationsadministratoren können den Auto-Modus mit der verwalteten Einstellung disableAutoMode vollständig deaktivieren. Enterprise, der Claude API, die Claude Platform auf AWS, Bedrock, die Agent Platform von Google Cloud und Foundry bleiben vorerst Opt-in – Anthropic plant, die Voreinstellung „im kommenden Monat“ auch auf sie auszuweiten.²⁰³ Was der Auto-Modus nicht verspricht – und welchen von Forschern demonstrierten Bypass Anthropic zu dieser Klarstellung veranlasste –, erfahren Sie unter Auto-Modus auf Max.

Bei Konfigurationsdateien zur Codeausführung wird jetzt selbst unter acceptEdits nachgefragt (v2.1.160). acceptEdits genehmigt gewöhnliche Änderungen automatisch, hält seit v2.1.160 jedoch an und fragt nach, bevor Dateien geschrieben werden, die eine unbemerkte Befehlsausführung ermöglichen können: Shell-Startdateien (.zshenv, .zlogin, .bash_login), ~/.config/git/ und Build-Tool-Konfigurationen (.npmrc, .yarnrc*, bunfig.toml, .bazelrc, .pre-commit-config.yaml, .devcontainer/ und ähnliche). Der Grund: Eine Änderung an einer dieser Dateien macht die nächste Shell, Installation oder den nächsten Commit zu einem Ausführungsvektor. Deshalb greift selbst in einem Modus für vertrauenswürdige Projekte, der sonst Änderungen ohne Rückfrage zulässt, eine bewusste Schranke. Dahinter steht dasselbe Bedrohungsmodell wie bei den bestehenden Schreibschutzmechanismen für .claude/, .git/ und .vscode/, erweitert auf die größere Klasse von Dateien, bei denen „Änderung zu Ausführung“ wird.²⁴⁰

Auto-Modus (ab v2.1.85): Ein sichererer Ersatz für --dangerously-skip-permissions. Ein separates Klassifikatormodell – seit v2.1.210 Claude Sonnet 5 (ursprünglich Sonnet 4.6) – prüft jede Aktion vor der Ausführung darauf, ob sie der Absicht des Benutzers entspricht und sicher ist.¹²⁴¹⁸⁷

Funktionsweise: - Schreibgeschützte Aktionen und Dateiänderungen im Arbeitsverzeichnis werden automatisch genehmigt - Benutzerdefinierte Zulassungs- und Ablehnungsregeln werden zuerst ausgewertet - Alles andere wird dem Klassifikator zur Beurteilung vorgelegt - Bei einer Blockierung versucht Claude automatisch einen alternativen Ansatz

Standardmäßig automatisch blockiert: curl | bash, Force-Pushes auf main, Produktionsbereitstellungen und -migrationen, massenhafte Löschungen in der Cloud, IAM-/Berechtigungsänderungen sowie das externe Versenden vertraulicher Daten.¹²⁵

Schutzschalter: Nach 3 aufeinanderfolgenden oder insgesamt 20 Blockierungen in einer Sitzung wird wieder zur manuellen Abfrage gewechselt.¹²⁵

# Enable at startup
claude --permission-mode auto

# Or cycle into it during a session
Shift+Tab  # Cycles through: Manual (aka default) → acceptEdits → auto → plan

Der Auto-Modus erfordert kein Opt-in mehr (v2.1.152), funktioniert auf Bedrock/Vertex/Foundry ohne Umgebungsvariable (v2.1.207) und ist seit dem 14. August 2026 die Voreinstellung für Pro/Max/Team.^242185203

YOLO-Modus (ab v2.0.68): Verwenden Sie für einen vollständig autonomen Betrieb ohne Sicherheitsklassifikator das Flag --dangerously-skip-permissions. Das Flag stimmt allem zu: Dateiänderungen, Bash-Befehlen und sämtlichen Tool-Aufrufen. Das Wort „dangerous“ ist bewusst gewählt. Für die meisten Anwendungsfälle ist der Auto-Modus die empfohlene Alternative.⁵⁴

claude --dangerously-skip-permissions

Modus über CLI festlegen:

claude --permission-mode auto  # or acceptEdits, plan, bypassPermissions

Während der Sitzung umschalten:

Shift+Tab  # Cycles through modes

In settings.json:

{
  "permissions": {
    "defaultMode": "acceptEdits"
  }
}

Beschränkung des Geltungsbereichs von defaultMode (v2.1.257): Über die .claude/settings.json oder .claude/settings.local.json eines Projekts lässt sich defaultMode: "bypassPermissions" nicht mehr festlegen – der Wert wird dort ignoriert, wie es bei "auto" bereits der Fall war. Die Dokumentation formuliert die Regel nun ausdrücklich: Die permissions.defaultMode-Werte auto und bypassPermissions „werden in Projekt- oder lokalen Einstellungen nicht wirksam“. Legen Sie sie in Benutzer- oder verwalteten Einstellungen beziehungsweise für eine einzelne Sitzung mit --permission-mode fest. Ein geklontes Repository kann daher keine Einstellungsdatei mitbringen, die Sitzungen unter Umgehung der Berechtigungen startet. (Das obige Beispiel verwendet acceptEdits, das in jedem Geltungsbereich festgelegt werden darf; auch die bereits bestehende Beschränkung für auto war in diesem Leitfaden bislang nicht dokumentiert – nun sind beide festgehalten.)²¹¹²¹⁸

Syntax der Berechtigungsregeln

Differenzierte Regeln steuern bestimmte Vorgänge. Die Regeln werden der Reihe nach ausgewertet: Der erste Treffer entscheidet.

Bash-Befehlsmuster:

{
  "allow": [
    "Bash(npm run build)",
    "Bash(npm run test:*)",
    "Bash(git commit:*)",
    "Bash(make:*)"
  ],
  "deny": [
    "Bash(rm -rf:*)",
    "Bash(sudo:*)",
    "Bash(curl|wget:*)"
  ]
}

Das Sternchen ermöglicht einen Präfixabgleich: Bash(npm run test:*) erlaubt npm run test, npm run test:unit und npm run test:integration.

Wichtige Einschränkung: Bash-Muster gleichen nur Präfixe ab und sind keine regulären Ausdrücke. Ein Muster wie Bash(curl http:*) stimmt nicht mit curl -X GET http://... überein, weil die Optionen vor der URL stehen. Um einen Befehl zuverlässig zu blockieren, lehnen Sie ihn vollständig ab: Bash(curl:*).

Setzen Sie das * hinter den Unterbefehl. Claude Code gleicht alles vor dem ersten * genau wie geschrieben ab; diese Wörter begrenzen also die Regel: Bash(git log *) erlaubt ausschließlich git log-Befehle, während das * in Bash(git * main) für den Unterbefehl und jede davor stehende Option steht. Dazu gehört auch -c, womit Git ein von Ihnen angegebenes Programm ausführt. Deshalb genehmigt Bash(git * main) ebenfalls git -c core.fsmonitor=<script> diff main. Seit v2.1.246 warnt Claude Code beim Start vor Zulassungsregeln, deren Platzhalter vor dem Unterbefehl steht – unabhängig davon, ob die Regel aus einer Einstellungsdatei, verwalteten Einstellungen oder einem --allowedTools-/--settings-Wert stammt. Verwenden Sie stattdessen den exakt gemeinten Wert, also etwa Bash(git checkout main) anstelle von Bash(git * main).²²⁴²²²

Datei-Ablehnungsregeln greifen durch Umleitungen hindurch; die Erweiterung auf Argumente wurde innerhalb eines Tages veröffentlicht und zurückgenommen (v2.1.257–260). Read(...)- und Edit(...)-Ablehnungsregeln für Bash-Befehle erfassen Eingabeumleitungen (< file) und Lesebefehle wie tac und egrep (v2.1.257). Dies ist die engere Variante, die nach der Rücknahme der Eingabeumleitungsprüfungen aus v2.1.232 in v2.1.233 angekündigt wurde, und sie bleibt bestehen. v2.1.259 erweiterte denselben Schutz auf Dateipfade, die in Optionswerten und Operanden verborgen sind (--ignore-revs-file=.env, -f.env, @file-Argumente, Operanden von git diff und git grep, zusammengesetzte Befehle wie cd DIR && cat FILE; bei grep -r/cp -r auf ein Verzeichnis mit einer abgelehnten Datei wurde zuerst nachgefragt). v2.1.260 nahm diese Erweiterung bereits am nächsten Tag zurück: Unter einer Read(./**/build/**)-Regel wurde npm run build in jedem Modus abgelehnt, und cd ... && grep führte selbst im Auto-Modus zu einer Rückfrage. Damit ist dies bereits der dritte Richtungswechsel beim Schutz auf Argumentebene: v2.1.232 führte ihn ein, v2.1.233 nahm ihn zurück, v2.1.257 ergänzte die weiterhin bestehende Teilmenge für Umleitungen und Lesebefehle, v2.1.259 erweiterte sie auf Argumente und v2.1.260 nahm diese Erweiterung wieder zurück. Seit v2.1.260 erfassen Ablehnungsregeln somit Umleitungen und Lesebefehle, nicht jedoch Pfade, die in beliebigen Befehlsargumenten verborgen sind.²¹¹²¹²

Muster für Dateioperationen:

{
  "allow": [
    "Edit(src/**)",
    "Read(docs/**)"
  ],
  "deny": [
    "Read(.env*)",
    "Read(secrets/**)",
    "Edit(.git/**)",
    "Edit(node_modules/**)"
  ]
}

Pfadsyntax: - Relative Pfade: Edit(src/**) – relativ zum Arbeitsverzeichnis - Absolute Pfade ausgehend von der Einstellungsdatei: Edit(/build/**) – relativ zum Speicherort der Einstellungsdatei - Tatsächlich absolute Pfade: Edit(//tmp/**) – beginnen mit // - Home-Verzeichnis: Read(~/.zshrc)

Zulassungsregeln der Form dir/** mit nur einem Pfadsegment stimmen jetzt ausschließlich mit <cwd>/dir überein (v2.1.214) – prüfen Sie Ihre bestehenden Regeln. Vor v2.1.214 genehmigte eine Zulassungsregel wie Edit(src/**) automatisch Schreibvorgänge in jedem Verzeichnis namens src, unabhängig von dessen Position im Verzeichnisbaum – etwa vendor/src/, packages/foo/src/ und alle weiteren. Jetzt stimmt sie nur noch mit dem direkt unterhalb des Arbeitsverzeichnisses liegenden src-Verzeichnis überein. Falls Sie auf das frühere Verhalten in beliebiger Tiefe angewiesen waren, ändern Sie die Regel in Edit(**/src/**). deny- und ask-Regeln behalten ihren Abgleich in beliebiger Tiefe bei – die Änderung schränkt nur ein, was automatisch genehmigt wird, niemals das, was blockiert wird. Wenn eine Regel nach dem Upgrade stillschweigend nicht mehr greift, erkennen Sie dies an neuen Berechtigungsanfragen und nicht an einer Fehlermeldung. Prüfen Sie daher alle Zulassungsregeln in der Form mit einem einzelnen Pfadsegment. Hook-if:-Bedingungen erhielten in dieser Version dieselbe cwd-Beschränkung (siehe Matchers).¹⁹⁰

Verwenden Sie Edit(path)/Read(path) und nicht Write(path)/NotebookEdit(path)/Glob(path) (v2.1.210). Claude Code zeigt beim Start nun eine Warnung für Berechtigungsregeln an, die für Write(path), NotebookEdit(path) oder Glob(path) formuliert wurden. Die kanonischen Formen sind die beiden Regelfamilien, die den Dateizugriff tatsächlich kontrollieren: Edit(path) umfasst sämtliche Tools zum Schreiben von Dateien, einschließlich Write und NotebookEdit; Read(path) umfasst sämtliche Tools zum Lesen von Dateien, einschließlich Glob. Migrieren Sie alle veralteten Regeln, um die Warnung zu beseitigen und die Absicht eindeutig auszudrücken.¹⁸⁷

„Always allow“ speichert im Repository-Stammverzeichnis (v2.1.211). Berechtigungsregeln, die über die Option „Always allow“ in einer Berechtigungsanfrage erstellt werden, werden jetzt im Repository-Stammverzeichnis statt im aktuellen Worktree gespeichert. Eine in einem Worktree erteilte Genehmigung gilt damit über Sitzungen und über sämtliche Worktrees dieses Repositorys hinweg – derselbe Befehl muss nicht mehr in jedem parallelen Checkout erneut genehmigt werden.¹⁸⁸

Pfade mit Klammern und fehlerhafte Muster verhalten sich ausfallsicher (v2.1.260). Diese Version enthält 3 Korrekturen am Parser für Dateiberechtigungsregeln, von denen die erste sicherheitsrelevant ist. Edit-/Write-/Read-Regeln, deren Pfad Klammern enthält – beispielsweise eine Next.js-Routengruppe wie Edit(src/app/(admin)/**) –, wurden als ungültig verworfen oder von der Bash-Sandbox ignoriert. Dadurch blieben Ordner beschreibbar, die ein Administrator für schreibgeschützt hielt; jetzt greifen die Regeln. Eine Datei-Ablehnungsregel mit einem nicht kompilierbaren Muster, etwa einer nicht geschlossenen [, führte zuvor dazu, dass jede Dateiänderung mit Invalid regular expression fehlschlug. Eine solche Regel schützt nun den von ihr wörtlich angegebenen Pfad. Außerdem schlägt die Fehlermeldung in den Einstellungen bei einer Regel wie Edit(C:\dir\(name)\**), in der \( als maskierte Klammer statt als Pfadtrennzeichen interpretiert wird, nun eine eindeutige Schreibweise vor. Dieselbe Version ignoriert auch Regeln mit Text hinter der schließenden Klammer nicht mehr stillschweigend (Bash(ls) x stimmte nie mit etwas überein); sie werden jetzt als ungültige Einstellungen gemeldet.²¹²

MCP-Tool-Muster:

{
  "allow": [
    "mcp__github",
    "mcp__database__query",
    "mcp__myserver__*"
  ],
  "deny": [
    "mcp__dangerous_server",
    "mcp__untrusted__*"
  ]
}

Verwenden Sie die Platzhaltersyntax mcp__server__*, um alle Tools eines bestimmten MCP-Servers zuzulassen oder abzulehnen.³² Mit der Platzhaltersyntax lassen sich schnell alle Tools vertrauenswürdiger Server aktivieren oder ganze Server aus nicht vertrauenswürdigen Quellen blockieren.

Seit v2.1.166 akzeptieren Ablehnungsregeln auch ein Glob-Muster an der Position des Tool-Namens: Ein alleinstehendes "*" an dieser Stelle lehnt alle Tools ab, sodass Sie zunächst alles blockieren und anschließend gezielt eine kleine Auswahl wieder zulassen können. Zulassungsregeln weisen Globs, die sich nicht auf MCP beziehen, dagegen zurück – eine derart pauschale Freigabe ist nicht möglich, wodurch die Standardhaltung restriktiv bleibt.²³⁸

Abgleich auf Parameterebene – Tool(param:value) (v2.1.178):

Über den Tool-Namen hinaus kann eine Regel die Eingabeparameter eines Tools abgleichen, wobei * als Platzhalter für den Wert dient:

{
  "deny": [
    "Agent(model:opus)"
  ]
}

Agent(model:opus) blockiert jeden subagent, der auf der Opus-Stufe gestartet wird – der Start selbst wird abgelehnt, statt den Prompt lediglich aufzufordern, Opus zu vermeiden. Damit reicht die Berechtigungskontrolle von „welches Tool“ bis hin zu „wie es aufgerufen wird“ und fungiert als deterministische Regel statt als Anweisung auf Prompt-Ebene. Sie ergänzt die verwaltete Einstellung enforceAvailableModels: Die Zulassungsliste legt fest, welche Modellstufen in der Sitzung verfügbar sind, während Tool(model:...)-Regeln einschränken, wie subagents daraus auswählen dürfen.¹⁷³

Seit v2.1.186 werden diese Agent(...)-Regeln auch bei benannten subagent-Starts durchgesetzt: Agent(agent_type)-Ablehnungsregeln und Agent(x,y)-Beschränkungen der zulässigen Typen gelten nun, wenn ein bestimmter benannter Agent gestartet wird – über einen Workflow, --agents oder ein Agent-Team – und nicht mehr nur für anonyme Starts im Task-Stil. Der Start wird unmittelbar blockiert. Damit ist eine Lücke geschlossen, durch die ein benannter Agent eine für ihn vorgesehene Einschränkung umgehen konnte.¹⁷⁵

WebFetch-Muster:

{
  "allow": [
    "WebFetch(domain:github.com)",
    "WebFetch(domain:api.example.com)"
  ]
}

Zusätzliche Verzeichnisse

Erweitern Sie den Zugriff von Claude über das aktuelle Projekt hinaus:

{
  "permissions": {
    "additionalDirectories": [
      "../shared-lib",
      "../docs",
      "~/reference-projects/design-system"
    ]
  }
}

Zusätzliche Verzeichnisse sind für Monorepos oder dann unerlässlich, wenn Claude auf Code in benachbarten Verzeichnissen zugreifen muss.

Sandbox-Modus

Aktivieren Sie die Dateisystem- und Netzwerkisolierung:

> /sandbox

Oder konfigurieren Sie sie in den Einstellungen:

{
  "sandbox": {
    "enabled": true,
    "autoAllowBashIfSandboxed": true,
    "excludedCommands": ["git", "docker"],
    "network": {
      "allowUnixSockets": ["~/.ssh/agent-socket"],
      "allowLocalBinding": true,
      "deniedDomains": ["pastebin.com", "transfer.sh", "0x0.st"]
    }
  }
}

Seit v2.1.187 verhindert die Einstellung sandbox.credentials, dass Befehle in der Sandbox Anmeldedatendateien und geheime Umgebungsvariablen lesen – ein zusätzlicher Schutz davor, dass ein Sandbox-Befehl Geheimnisse exfiltriert.¹⁷⁶

Seit v2.1.221 steht für Anmeldedatendateien neben Zulassen und Ablehnen ein dritter Modus zur Verfügung: mode: "mask" (Linux und WSL). Ein Sandbox-Befehl, der die Datei liest, erhält eine Sentinel-Kopie – entweder für die gesamte Datei oder nur für die von einem extract-Regex erfassten Bereiche. Beim ausgehenden Datenverkehr ersetzt der Sandbox-Proxy dann den Sentinel-Wert durch den echten Wert. Der Befehl funktioniert und kann sich über den Proxy authentifizieren, ohne dass das Geheimnis jemals in seiner Umgebung vorhanden ist. Genau diese Eigenschaft ist erforderlich, wenn ein durch Prompt-Injection eingeschleuster Befehl nach Tokens sucht. Unter macOS, wo die Proxy-Ersetzungsmechanik nicht verfügbar ist, fällt mask auf deny zurück. Eine für Linux-CI geschriebene Konfiguration degradiert somit sicher, statt die Datei unbemerkt offenzulegen.¹⁹⁹

v2.1.224 erweitert die Maskierung über statische Dateiinhalte hinaus. extract und onExtractNoMatch verarbeiten strukturierte Umgebungswerte; decode: "jwt" mit maskClaims maskiert ausgewählte Claims innerhalb eines JWT statt des gesamten Tokens. Dadurch kann ein Befehl weiterhin die Routing-Metadaten des Tokens lesen, während vertrauliche Claims als Sentinel-Werte verborgen bleiben. awsPairs/sigv4 wiederum signiert AWS-SigV4-Anfragen am Proxy neu. Erst dies macht die Maskierung mit AWS-CLIs praktikabel, da ein maskierter Schlüssel andernfalls die Signaturprüfung nicht bestehen würde. Alle diese Funktionen erfordern network.tlsTerminate und werden ausschließlich aus Benutzer-, verwalteten oder --settings-Geltungsbereichen berücksichtigt. Ein Repository kann daher keine Maskierungskonfiguration mitbringen, die Ihre Anmeldedaten unbemerkt umleitet.²⁰¹

Seit v2.1.216 überspringt die Einstellung sandbox.filesystem.disabled die Dateisystemisolierung, während die Kontrolle des ausgehenden Netzwerkverkehrs bestehen bleibt. Das ist nützlich, wenn die Dateisystembeschränkung ein Build-Tool beeinträchtigt, Sie die Domain-Zulassungsliste für ausgehenden Datenverkehr jedoch weiterhin durchsetzen möchten.¹⁹²

Seit v2.1.219 lehnt die Einstellung sandbox.network.strictAllowlist Hosts, die nicht auf der Zulassungsliste stehen, ohne Rückfrage vollständig ab. Standardmäßig löst ein Sandbox-Befehl, der einen Host außerhalb von allowedDomains kontaktiert, eine Berechtigungsanfrage aus; bei aktiviertem strictAllowlist wird die Verbindung schlicht verweigert. Diese Einstellung eignet sich für unbeaufsichtigte Ausführungen – CI, Hintergrund-Agenten oder nächtliche Schleifen –, bei denen eine unbeantwortete Rückfrage zum Stillstand führt und „Fragen Sie mich bei unerwartetem ausgehenden Datenverkehr“ ohnehin die falsche Richtlinie ist. Sie vervollständigt die Netzwerk-Trias: allowedDomains bestimmt, was erlaubt ist, deniedDomains (unten) nimmt Ausnahmen aus einer weit gefassten Zulassung heraus und strictAllowlist entscheidet, ob bei allem anderen nachgefragt wird oder der Zugriff fehlschlägt.¹⁹⁶ v2.1.229 verschärft zudem die Syntax der Domain-Liste: IPv6-Literale müssen in eckigen Klammern stehen ([::1]:443), mehrdeutige Schreibweisen werden nach dem Fail-Closed-Prinzip behandelt und /doctor kennzeichnet sie.²³² v2.1.236 ergänzt 2 weitere Härtungsmaßnahmen: Unter macOS haben schreibgeschützte Ablehnungsregeln mit Platzhaltern (z. B. **/.env) innerhalb erlaubter Lesebereiche nun Vorrang, erfassen auch den Inhalt übereinstimmender Verzeichnisse und lassen sich nicht mehr durch Umbenennen der abgelehnten Datei umgehen. Während der Auto-Modus aktiv ist, werden außerdem Monitor-Zulassungsregeln außer Kraft gesetzt – Monitor-Befehle durchlaufen dieselbe Klassifikatorprüfung wie Bash-Befehle. Der Auto-Modus-Klassifikator läuft auf Bedrock, Vertex AI und Foundry sowie bei deaktivierter Telemetrie jetzt mit denselben Voreinstellungen wie auf dem Claude API, einschließlich der Klassifizierung nach Schweregrad.²²¹

Strikter Sandbox-Modus und die !-Ausnahme (sandbox.allowUnsandboxedCommands, v2.1.260). Eine Einstellung, die in diesem Leitfaden bislang nicht genannt wurde: Standardmäßig kann ein in der Sandbox fehlgeschlagener Befehl über den dangerouslyDisableSandbox-Ausweg außerhalb der Sandbox erneut versucht werden, vorbehaltlich des regulären Berechtigungsablaufs. sandbox.allowUnsandboxedCommands: false – im Tab „Overrides“ von /sandbox als Strict sandbox mode angezeigt – deaktiviert diesen Ausweg: Der Parameter wird ignoriert, und jeder Befehl muss entweder in der Sandbox ausgeführt werden oder in excludedCommands aufgeführt sein. Seit v2.1.260 werden Befehle, die Sie selbst am !-Prompt des Bash-Modus eingeben, selbst im strikten Sandbox-Modus außerhalb der Sandbox ausgeführt, „als würden Sie sie in Ihr eigenes Terminal eingeben“. Die Strenge regelt, was Claude ausführt, nicht, was Sie selbst eingeben. Falls Ihr Bedrohungsmodell davon ausging, dass !-Befehle ebenfalls der Sandbox unterliegen, gilt dies nicht mehr.²¹²

In der Sandbox: - Der Dateisystemzugriff ist auf das Projektverzeichnis beschränkt - Der Netzwerkzugriff wird kontrolliert - Bestimmte Befehle sind von den Sandbox-Beschränkungen ausgenommen - Bash-Befehle werden automatisch zugelassen, wenn autoAllowBashIfSandboxed auf true gesetzt ist

Expertentipp: Der Sandbox-Modus eignet sich hervorragend, um Claude auf nicht vertrauenswürdigen Codebasen auszuführen. Aktivieren Sie ihn, wenn Sie unbekannte Projekte untersuchen oder eine zusätzliche Schutzebene wünschen. Interne Tests von Anthropic ergaben, dass die Sandbox die Zahl der Berechtigungsanfragen um 84 % reduziert.³⁸ Für die Dateisystem- und Netzwerkisolierung verwendet die Sandbox Mechanismen auf Betriebssystemebene (macOS Seatbelt, Linux bubblewrap), sodass selbst eine erfolgreiche Prompt-Injection vollständig eingedämmt bleibt. Anthropic hat die Sandbox-Laufzeit als Open Source veröffentlicht, damit Teams ihre eigenen Agenten darauf aufbauen können.⁸²

Sicherheitshinweise (ab v2.1.34): Befehle, die über sandbox.excludedCommands oder dangerouslyDisableSandbox von der Sandbox ausgenommen waren, konnten zuvor die Bash-Berechtigungsregel mit Rückfrage umgehen, wenn autoAllowBashIfSandboxed aktiviert war. Dies wurde in v2.1.34 behoben.⁸⁷ Seit v2.1.38 werden Schreibvorgänge in .claude/skills im Sandbox-Modus blockiert, sodass Prompt-Injection keine skill-Definitionen verändern kann.⁸⁸ v2.1.77 ergänzt die Dateisystemeinstellung allowRead für die Sandbox, mit der sich der Lesezugriff innerhalb von denyRead-Bereichen wieder gezielt erlauben lässt. Das ist nützlich, wenn Sie den Großteil eines Verzeichnisbaums blockieren, aber bestimmte Unterverzeichnisse auf die Zulassungsliste setzen möchten.¹¹⁹

Ausnahme für Agent-Konfigurationen unter .claude/ (ab v2.1.121): Bei Schreibvorgängen in .claude/skills/, .claude/agents/ und .claude/commands/ fragt --dangerously-skip-permissions nicht mehr nach.¹⁵⁴

Auflösung verschachtelter .claude/-Verzeichnisse (v2.1.178): skills in verschachtelten .claude/skills-Verzeichnissen werden jetzt automatisch geladen, wenn Sie an Dateien unterhalb des jeweiligen Verzeichnisses arbeiten, und nicht mehr ausschließlich aus dem Repository-Stammverzeichnis. Bei Namenskonflikten lässt sich der verschachtelte skill als <dir>:<name> ansprechen, sodass beide verfügbar bleiben. Die übrige Projektoberfläche wird nach demselben Prinzip aufgelöst: Wenn der Name eines Agenten, Workflows oder Ausgabestils in mehreren verschachtelten .claude/-Verzeichnissen vorkommt, gewinnt der Eintrag, der dem Arbeitsverzeichnis am nächsten liegt. Beim Speichern eines Workflows im Projektgeltungsbereich wird das nächstgelegene vorhandene .claude/workflows/ verwendet. In einem Monorepo oder Repository aus mehreren Repositorys ermöglicht dies paketbezogene Tools, die kontextabhängig aktiviert werden, statt einer einzigen flachen globalen Oberfläche.¹⁷³

Benutzerdefinierte Pfade für bubblewrap und socat (ab v2.1.133): Mit den verwalteten Einstellungen sandbox.bwrapPath und sandbox.socatPath können Administratoren Linux-/WSL-Bereitstellungen auf nicht standardmäßige Speicherorte der Binärdateien bubblewrap und socat verweisen. Dies ist nützlich, wenn Distributionen diese Tools außerhalb von $PATH installieren oder eine Organisation gehärtete Builds selbst bereitstellt.¹⁶⁰

Sicherheitshärtung in v2.1.113:¹⁵⁰

• sandbox.network.deniedDomains blockiert bestimmte Hosts selbst dann, wenn sie durch einen weiter gefassten Platzhalter in allowedDomains eigentlich zugelassen wären. Verwenden Sie die Sperrliste, um Pastebins, Dateiablagen oder bekanntermaßen schädliche Hosts auszuschließen, ohne Ihre gesamte Zulassungsrichtlinie neu schreiben zu müssen. Kombinieren Sie sie mit sandbox.network.strictAllowlist (v2.1.219, oben), wenn alles außerhalb der Zulassungsliste ohne Rückfrage abgelehnt werden soll.
• Ablehnungsregeln für Wrapper-Befehle. Bash-Ablehnungsregeln erkennen jetzt Befehle, die mit env, sudo, watch, ionice, setsid und ähnlichen Ausführungs-Wrappern umschlossen sind. Regeln wie Bash(rm:*) erfassen nun env rm -rf, sudo rm -rf und verwandte Umgehungsmuster.
• Bash(find:*)-Zulassungsregeln genehmigen find -exec oder find -delete nicht mehr automatisch. Diese Flags führen Befehle aus beziehungsweise löschen Dateien, weshalb Claude Code sie jetzt durch den normalen Berechtigungsablauf leitet.
• Löschschutz unter macOS. Bash(rm:*)-Zulassungsregeln behandeln /private/etc, /private/var, /private/tmp und /private/home jetzt als gefährliche Löschziele. /var, /etc und /tmp sind symbolische Links in den Bereich /private/, sodass die frühere Regelform die kanonischen Ziele nicht erfasste.

Fail-Closed-Härtung der Berechtigungen in v2.1.214:¹⁹⁰

Mehrere Lücken bei der Berechtigungsprüfung wurden in einer einzigen Version geschlossen, durchgängig nach dem Fail-Closed-Prinzip: Kann der Analysator keine sichere Entscheidung treffen, fragt er nach.

• Umgehung unter Windows PowerShell 5.1 behoben. In PowerShell-5.1-Sitzungen ausgeführte Befehle konnten die Berechtigungsprüfung zuvor umgehen.
• Bash-Dateideskriptorumleitungen verhalten sich nach dem Fail-Closed-Prinzip. Umleitungsformen, die Bash anders als der Berechtigungsanalysator interpretiert, führen nun zu einer Rückfrage, statt ausgeführt zu werden.
• Bei Befehlen mit mehr als 10.000 Zeichen wird immer nachgefragt. Sehr lange Befehle wurden zuvor falsch beurteilt; jetzt werden sie niemals automatisch ausgeführt.
• zsh-Indizes und -Modifikatoren in [[ ]] führen zu einer Rückfrage. Variablenindizes und -modifikatoren innerhalb von [[ ]]-Vergleichen wurden als inaktiver Text behandelt. Da sie Code ausführen können, ist jetzt eine Genehmigung erforderlich.
• Unsichere help-/man-Varianten werden nicht mehr automatisch genehmigt. Bestimmte Aufrufe konnten unter dem Vorwand, Dokumentation zu lesen, unsichere Optionen, Befehlssubstitutionen oder Pfade mit umgekehrten Schrägstrichen ausführen.
• Reihenfolge von Rückfragen in Remotesitzungen. Berechtigungsanfragen in Remotesitzungen können nicht mehr fortgesetzt werden, bevor der lokale Bestätigungsdialog abgeschlossen ist.
• docker-Flags zur Umleitung des Daemons führen zu einer Rückfrage. docker-Befehle – einschließlich des docker-Shims von Podman – mit --url, --connection, --identity oder dem Remote-Modus von Podman wurden zuvor ohne Rückfrage ausgeführt. Diese Flags richten den Befehl jedoch auf einen völlig anderen Daemon.
• file verliert seine automatische Schreibschutzfreigabe, wenn ein Schreibziel angegeben wird. file -m/--magic-file und -f/--files-from erfordern jetzt eine Genehmigung, statt automatisch als schreibgeschützt zugelassen zu werden.

Wie funktionieren Hooks?

Hooks führen deterministische Shell-Befehle an bestimmten Punkten im Arbeitsablauf von Claude Code aus. Anders als bei der Aufforderung an Claude, Aktionen auszuführen, garantieren Hooks die Ausführung unabhängig vom Modellverhalten. Sie sind unverzichtbar, um Teamstandards durchzusetzen und wiederkehrende Aufgaben zu automatisieren. Unter Entscheidungsgrundlagen finden Sie den Entscheidungsbaum „Welcher Hook-Typ?“, der Befehls-, Prompt- und Agent-Hooks abdeckt.

Warum Hooks statt Prompts: Wenn Sie Claude anweisen, „nach dem Bearbeiten von Dateien immer Prettier auszuführen“, funktioniert das manchmal. Claude könnte es jedoch vergessen, Geschwindigkeit priorisieren oder entscheiden, dass die Änderung „zu klein“ ist. Hooks garantieren die Ausführung: Jedes Edit oder Write löst ausnahmslos und jedes Mal Ihren Formatierer aus. Bei Compliance, Sicherheit und Teamstandards sind deterministische Verfahren probabilistischen überlegen.⁴

Verfügbare Ereignisse