Claude Code CLI-Leitfaden: Installation, Konfiguration, Befehle und Umgebungsvariablen

Kurzfassung: Claude Code ist eine agentische CLI, die Ihre Codebasis liest, Befehle ausführt und Dateien über ein mehrstufiges System aus Berechtigungen, hooks, MCP-Integrationen und subagents verändert. Beherrschen Sie fünf Kernsysteme (Konfiguration, Berechtigungen, hooks, MCP und subagents), erschließen Sie sich eine Produktivität mit Multiplikatoreffekt. Wählen Sie für jede Aufgabe die passende Modellstufe — Opus für komplexe Schlussfolgerungen, Sonnet für allgemeine Arbeiten und Haiku für schnelle Erkundungen — oder standardisieren Sie auf Opus, wenn Qualität Ihre einzige Variable ist. Verwenden Sie hooks (keine Prompts) für alles, was immer ausgeführt werden muss. Auto mode ist seit dem 14. August 2026 der standardmäßige Berechtigungsmodus für neue Sitzungen mit Pro, Max und Team (am 7. August angekündigt und am Umstellungstag live verifiziert; durch einen Klassifikator geprüfte Autonomie — ein selbst festgelegter defaultMode bleibt bestehen, sofern Sie die einmalige Aufforderung zum Wechsel nicht annehmen, Shift+Tab wechselt den Modus jeder Sitzung und disableAutoMode deaktiviert ihn organisationsweit).²⁰³ Das Standardmodell hängt von Ihrem Tarif ab: Max, Team Premium, Enterprise (seit v2.1.251 sitzbasiert) und der Anthropic API verwenden standardmäßig Claude Opus 5, während Pro und Team Standard standardmäßig Sonnet 5 verwenden – nativer 1M-Kontext, 2/10 $ pro MTok als regulärer Listenpreis (der Einführungspreis gilt nun dauerhaft: Die für den 1. September geplante Erhöhung entfällt)²²⁸²⁰⁷ – der mit v2.1.197 eingeführte allgemeine Standard Sonnet 5 (30. Juni 2026) ist Geschichte, und der Alias opus verweist auf Claude Opus 5 (v2.1.219+); mit v2.1.198 (1. Juli) werden subagents standardmäßig im Hintergrund ausgeführt, Claude in Chrome wird allgemein verfügbar, Hintergrundagenten können nach Abschluss ihrer Arbeit in einem Worktree commiten, pushen und einen Entwurfs-PR öffnen, und der Notification hook (agent_needs_input/agent_completed) wird für Hintergrundsitzungen ausgelöst; v2.1.199 (2. Juli) lädt bis zu 5 gestapelte Slash-skill-Aufrufe und wiederholt bei Abonnenten vorübergehende 429-Fehler automatisch; v2.1.200 (3. Juli) benennt den Berechtigungsmodus default in der gesamten CLI, in --help, VS Code und JetBrains in „Manual“ um (der Konfigurationswert bleibt unverändert, manual wird als Alias akzeptiert) und verhindert standardmäßig, dass AskUserQuestion-Dialoge automatisch fortfahren; v2.1.202 (6. Juli) ergänzt in /config eine Steuerung für „Dynamic workflow size“ und trennt /review <pr> (schneller Einzeldurchlauf) von /code-review <level> <pr#> — eine Trennung, die v2.1.223 wieder rückgängig machte: /review ist erneut ein Alias für /code-review, und /code-review ohne Argumente verwendet Ihre zuletzt gewählte Aufwandsstufe; v2.1.203–205 (7.–9. Juli) härten auto mode ab — Transkriptdateien werden gegen Manipulation geschützt, rm -rf mit einer nicht auflösbaren Variable fragt zunächst nach, und Benachrichtigungen zu Hintergrundaufgaben weisen darauf hin, dass keine menschliche Eingabe erfolgt ist (sodass vorgetäuschte Genehmigungen im Transkript nicht umgesetzt werden können) — und machen /doctor zu einer vollständigen Diagnose und Fehlerbehebung (Alias: /checkup).^181182183 v2.1.217 (21. Juli) vollzog bei verschachtelten subagents eine Kehrtwende — subagents erzeugten standardmäßig keine eigenen subagents mehr (eine Standardeinstellung, die v2.1.219 drei Tage später erneut umkehrte, nun bis zu einer Tiefe von 3; siehe unten), standardmäßig werden höchstens 20 subagents gleichzeitig ausgeführt (CLAUDE_CODE_MAX_CONCURRENT_SUBAGENTS), und --max-budget-usd stoppt Hintergrund-subagents nun tatsächlich, sobald die Obergrenze erreicht ist.¹⁹⁴ v2.1.218 (22. Juli) verlagert /code-review in einen Hintergrund-subagent — Prüfungen füllen Ihre Unterhaltung nicht mehr —, führt skills mit context: fork standardmäßig im Hintergrund aus (pro skill mit background: false deaktivierbar), startet /deep-research nur noch nach ausdrücklichem Aufruf, übergibt die Prüfungen auf gefährliche rm-Befehle, im Hintergrund ausgeführte &-Befehle und verdächtige Windows-Pfade an den auto-mode-Klassifikator statt an Berechtigungsdialoge und verhindert, dass hooks aus Agent-Frontmatter in nicht vertrauenswürdigen Ordnern ausgeführt werden.¹⁹⁵ v2.1.219 (24. Juli) macht Claude Opus 5 (claude-opus-5) zum standardmäßigen Opus-Modell — 1M-Kontext, maximal 128K Ausgabe, 5/25 $ pro MTok (identisch mit Opus 4.8), thinking standardmäßig aktiviert, effort standardmäßig auf high, Wissensstichtag Mai 2026 — und korrigiert zwei Sachverhalte, die durch frühere Versionen entstanden waren: Fast mode gilt nun für Opus 5 und Opus 4.8 zu 10/50 $ pro MTok (2× Basistarif; Opus 4.7 wurde vollständig aus Fast mode entfernt), und verschachtelte subagents sind standardmäßig wieder bis zu einer Tiefe von 3 aktiviert (CLAUDE_CODE_MAX_SUBAGENT_SPAWN_DEPTH=1 deaktiviert die Verschachtelung). Dieselbe Version ergänzt das hook-Ereignis DirectoryAdded, die Einstellung sandbox.network.strictAllowlist, einen Einstellungsschlüssel workflowSizeGuideline, wobei dynamische Workflows nun standardmäßig eine mittlere Größenrichtlinie verwenden (Ziel: weniger als 15 Agenten), sowie die Weiterleitung verschachtelter subagents in stream-json. v2.1.220 (25. Juli) enthält ausschließlich Fehlerbehebungen und Zuverlässigkeitsverbesserungen. v2.1.221–226 (4.–7. August) ergänzen sitzungsübergreifende Nachrichten (SendMessage/ListAgents zwischen Ihren Sitzungen, macOS/Linux), selbst gehostete Runner für Cloud-Sitzungen (Team/Enterprise), die Plugin-Quelle archive mit SHA-256-Pinning, JWT-/SigV4-bewusste Maskierung von Sandbox-Anmeldedaten, die Focus-Ansicht in VSCode sowie eigene Worktrees für mit /fork erstellte Kopien — und entfernen die Obergrenze von 200 subagents pro Sitzung sowie ultraplan.^{199200201202196197198} v2.1.227–229 (10.–12. August) konzentrieren sich auf Fehlerbehebungen und ergänzen einige Komfortfunktionen: Plugin-Marktplätze erhalten command-Quellen (ein lokales Programm gibt das Plugin-Verzeichnis aus, das in jeder Sitzung neu aufgelöst wird; mode: "link" verwendet es direkt), claude remote-control --continue setzt Ihre jüngste Remote-Control-Sitzung fort, ListAgents kennzeichnet getrennte Remote-Control-Gegenstellen als offline und Ihre Cloud-Sitzungen als cloud, /commit-push-pr genehmigt gefährliche git-Flags (--force, --amend, --no-verify) nicht mehr automatisch, und das Write-Tool folgt auf neueren Modellen denselben Regeln wie Edit — das Überschreiben einer ungelesenen Datei setzt nicht länger voraus, dass sie in dieser Sitzung zuvor gelesen wurde.^235233234 v2.1.232 (13. August) macht das Forken von subagents zum Standard (subagent_type: "fork" übernimmt die vollständige Unterhaltung und den Prompt-Cache; Spawns, die keine Teammitglieder sind, werden in interaktiven Sitzungen im Hintergrund ausgeführt), ermöglicht Ihnen, eine andere Live-Sitzung im Prompt per @ und ihrem Namen zu erwähnen (Claude leitet dies über SendMessage weiter; ein allein stehender Name, der genau einer Live-Sitzung entspricht, wird nun ohne Bestätigung der Referenz zugestellt), hält die Namen interaktiver Sitzungen pro Computer eindeutig (name-word-word-Varianten), zeigt Steuerelemente für eingehende sitzungsübergreifende Nachrichten als Zeilen in /config an und stellt GitLab-Parität her — neun Familien von GitLab-Tokens werden in der Sandbox unkenntlich gemacht, Anmeldedaten der glab CLI werden geschützt, und einfache Marktplatz-URLs von gitlab.com (einschließlich verschachtelter Untergruppen) werden wie die von GitHub geklont.²³² v2.1.233 (14. August) erweitert die GitLab-Parität auf --worktree (MR-URLs, in claude agents als !N angezeigt), ergänzt unter Linux Speicherlimits für Bash-Befehle (CLAUDE_CODE_TOOL_MEMORY_LIMIT) sowie eine Einstellung für die Cache-TTL von WebFetch und deaktiviert die Tools zur Aufgaben- und Fortschrittsverfolgung bei Opus 4.8, Sonnet 5, Fable 5 und neueren Modellen standardmäßig (CLAUDE_CODE_ENABLE_TODO_TOOLS=1 aktiviert sie wieder) — außerdem wird nach einer Regression in auto mode ein Teil der mit v2.1.232 vorgenommenen Änderungen an Bash-Berechtigungen unter Windows zurückgenommen.²³¹ v2.1.234 (17. August) lässt Claude Code Ihre Sitzung automatisch fortsetzen, sobald ein Nutzungslimit von claude.ai zurückgesetzt wird (in /config deaktivierbar: „Continue automatically at usage limit“), ermöglicht das Öffnen von /permissions und /add-dir während eines Turns, ergänzt CLAUDE_CODE_PROJECT_DIR_NAME und eine regelmäßige Überprüfung von Hintergrundaufgaben durch /goal (CLAUDE_CODE_GOAL_CHECKIN_MINUTES), zeigt bei Repositories mit einer authentifizierten glab CLI in der Fußzeile ein GitLab-MR-Abzeichen (!N) an und reduziert die Kontextkosten des integrierten skills claude-api von etwa 200k auf etwa 25k Tokens, indem Referenzdokumente bei Bedarf geladen werden.²³⁰ v2.1.235–238 (18.–20. August) ergänzen einen integrierten Ausgabestil „Concise“ (Ergebnisse zuerst, ohne Einleitung oder begleitende Erläuterungen — wählen Sie ihn unter „Output style“ in /config), die Umgebungsvariable ANTHROPIC_DEFAULT_MODEL (legt das Startmodell neuer Sitzungen fest; eine Auswahl über /model überschreibt diese Einstellung weiterhin und bleibt bestehen, anders als ANTHROPIC_MODEL), eine optionale Einstellung spellcheck (unterstreicht mithilfe Ihres installierten aspell, hunspell oder ispell falsch geschriebene Wörter im Prompt), eine Einstellung keybindingFlavor ("readline" lässt Ctrl+W wie in Bash bis zum vorherigen Leerraum löschen; die Einstellung wurde in v2.1.261 entfernt – readline ist nun das einzige Verhalten), headersHelper auf Plugin-Marktplätzen und in der projektbezogenen .mcp.json (ein Befehl erzeugt kurzlebige HTTP-Header; Hilfsprogramme für Katalogeinträge werden nur bei der Installation/Aktualisierung ausgeführt, nachdem ihr Befehl angezeigt wurde, und Hilfsprogramme im Projekt-, Plugin- oder Agent-Bereich werden hinter dem Dialog zur Ordnervertrauenswürdigkeit ohne geerbte Umgebungsvariablen für Anmeldedaten ausgeführt), notify_when_idle für sitzungsübergreifendes SendMessage (eine einmalige Benachrichtigung, sobald eine andere lokale Sitzung das nächste Mal inaktiv wird) sowie zwei Änderungen am Berechtigungsverhalten: auto mode setzt Monitor-Erlaubnisregeln nun außer Kraft (Monitor-Befehle werden ebenso vom Klassifikator geprüft wie Bash), und Wildcard-Leseverbote der macOS-Sandbox (**/.env) haben innerhalb erlaubter Lesebereiche Vorrang und lassen sich nicht durch Umbenennen der gesperrten Datei umgehen — wobei der auto-mode-Klassifikator nun die Standardwerte der Claude API auf Bedrock, Vertex AI und Foundry sowie bei deaktivierter Telemetrie verwendet²²³ (seit v2.1.273 verwenden diese Gateways „vorerst“ standardmäßig den lokalen Klassifikator – CLAUDE_CODE_AUTO_MODE_SERVER=1 aktiviert den serverseitigen Klassifikator der Plattform²¹⁷). v2.1.239 (21. August) ergänzt /claude-api upgrade (migriert Python-Projekte von anthropic 0.x auf 1.x), bezieht den Aufschlag von 1,1× für ausschließlich US-basierte Inferenz bei Arbeitsbereichen mit Datenresidenz in Kostenschätzungen ein (/cost, Statuszeile, --max-budget-usd), bringt sitzungsübergreifende Nachrichten nach Windows, zeigt mit claude.ai synchronisierte plugins als name@synced an (verwaltbar mit claude plugin enable/disable; eine gleichnamige lokale Installation wird nie überschrieben), ergänzt in ListAgents den eigenen Namen einer Sitzung und aktive Teammitglieder, erweitert "readline" um Bash-Worttasten, vergrößert die Abstände zwischen /goal-Überprüfungen (30 Min. → 1 Std. → 2 Std.) und bietet den Vollbild-Renderer auf Bedrock/Vertex/Foundry an; v2.1.240–241 (22.–23. August) sind Versionen mit Fehlerbehebungen. Die Dokumentationsübersicht derselben Woche verzeichnet zwei Statusänderungen: /design — ein skill in der Forschungsphase, der über artifacts eine Arbeitsfläche mit bearbeitbaren UI-Artboards veröffentlicht (Pro/Max/Team/Enterprise, erfordert v2.1.233+) — sowie das Ende der Forschungsphase für Remote Control, wobei Computer, auf denen claude remote-control ausgeführt wird, als Gerätekarten in der Claude-App erscheinen.²⁰⁵ Seit v2.1.174–176 (12. Juni 2026) kann die Allowlist availableModels über die neue verwaltete Einstellung enforceAvailableModels nun auch das Default-Modell einschränken (Benutzer-/Projekteinstellungen können eine verwaltete Liste nicht erweitern), Sitzungstitel werden in der Sprache Ihrer Unterhaltung erzeugt (mit der Einstellung language können Sie eine Sprache festlegen), und die neuen Einstellungen footerLinksRegexes und wheelScrollAccelerationEnabled, ein VSCode-Dialog zur Nutzungszuordnung über /usage sowie eine Fehlerbehebung, durch die if-Bedingungen von hooks mit Pfadmustern für Read/Edit/Write übereinstimmen, runden die Version ab.¹⁷² Seit v2.1.173 (11. Juni 2026) wird der Zusatz [1m] am Modellnamen Fable 5 automatisch normalisiert/entfernt — Fable 5 umfasst bereits standardmäßig einen 1M-Kontext, daher ist der Zusatz unnötig (er war nur bei Opus/Sonnet von Bedeutung). Seit v2.1.172 (10. Juni 2026) konnten sub-agents rekursiv eigene sub-agents erzeugen, bis zu einer Tiefe von 5 Ebenen — eine Standardeinstellung, die bis v2.1.216 Bestand hatte und in v2.1.217 deaktiviert wurde (siehe oben) —, Bedrock liest seine Region aus ~/.aws, wenn AWS_REGION nicht gesetzt ist (/status zeigt die Quelle an), /plugin ergänzt eine Suchleiste für den Marktplatz, und die OTEL-Metrik claude_code.lines_of_code.count erhält ein Attribut model. Seit v2.1.170 (9. Juni 2026) kann Claude Fable 5 — eine neue Modellstufe oberhalb von Opus — in Claude Code nach claude update über /model fable ausgewählt werden (sie unterstützt die vollständige Aufwandsskala von low bis max, thinking kann jedoch nicht deaktiviert werden); Opus 4.8 bleibt der agentische Standard. Seit v2.1.169 (8. Juni 2026) startet --safe-mode (und CLAUDE_CODE_SAFE_MODE) zur Fehlerbehebung eine saubere Sitzung, in der sämtliche Anpassungen deaktiviert sind, /cd verschiebt eine Sitzung in ein neues Arbeitsverzeichnis, ohne den Prompt-Cache zu beeinträchtigen, und disableBundledSkills verbirgt die integrierten skills und Slash-Befehle vor dem Modell. Seit v2.1.166 (6. Juni 2026) verkettet eine Einstellung fallbackModel bei Überlastung des primären Modells bis zu drei Ersatzmodelle, das Glob-Muster "*" funktioniert in Sperrregeln von MCP, und MAX_THINKING_TOKENS=0 / --thinking disabled deaktivieren thinking bei Modellen, die es standardmäßig verwenden, vollständig. Seit v2.1.154 (28. Mai 2026) ist Opus 4.8 der neue Standard, verwendet standardmäßig hohen Aufwand und bietet die Stufe /effort xhigh, dynamische Workflows orchestrieren über /workflows Dutzende bis Hunderte Agenten im Hintergrund, Fast mode auf Opus 4.8 kostet für die 2,5-fache Geschwindigkeit das Doppelte des Standardtarifs, der schlanke System-Prompt ist nun für alle Modelle außer Haiku/Sonnet/Opus 4.7 und älter Standard, /simplify wurde wieder auf eine reine Bereinigungsprüfung beschränkt (getrennt von /code-review --fix), claude agents akzeptiert ! <command>, um Shell-Sitzungen im Hintergrund zu starten, plugins können defaultEnabled: false deklarieren, die Streaming-Ausführung von Tools ist immer aktiviert, und stdio-Server von MCP erhalten CLAUDE_CODE_SESSION_ID sowie CLAUDECODE=1 in ihrer Umgebung. v2.1.153 ergänzte skipLfs für Plugin-Marktplätze, speicherte die Auswahl über /model als Standard (drücken Sie s, um sie nur für die Sitzung zu verwenden) und stellte COLUMNS/LINES in der Umgebung der Statuszeile bereit. v2.1.152 führte /code-review --fix ein (wendet Feststellungen auf den Arbeitsbaum an), ergänzte disallowed-tools im Frontmatter von skills, /reload-skills, das neue hook-Ereignis MessageDisplay, die Ausgaben reloadSkills/sessionTitle des hooks SessionStart, die verwaltete Einstellung pluginSuggestionMarketplaces, den Wechsel von --fallback-model während einer Sitzung und entfernte die erforderliche Zustimmung zu auto mode.^{162 163 164 165 166 167 168 169 170 244 171}

Claude Code arbeitet als agentisches System, nicht als Chat-Oberfläche mit Programmierkenntnissen. Die CLI liest Ihre Codebasis, führt Befehle aus, verändert Dateien, verwaltet git-Workflows, stellt über MCP Verbindungen zu externen Diensten her und delegiert komplexe Aufgaben an spezialisierte subagents. Alles läuft über eine Befehlszeilenschnittstelle, die sich in die tatsächliche Arbeitsweise von Entwicklern integriert. Im Februar 2026 stammten 4 % der öffentlichen Commits auf GitHub (etwa 135.000 pro Tag) von Claude Code — ein Wachstum um das 42.896-Fache in den 13 Monaten seit der Forschungsphase —, und 90 % des eigenen Codes von Anthropic werden von KI geschrieben.¹⁰³

Der Unterschied zwischen einer gelegentlichen und einer effektiven Nutzung von Claude Code liegt in fünf Kernsystemen. Wenn Sie diese beherrschen, wird Claude Code zum Produktivitätsmultiplikator:

1. Konfigurationshierarchie: steuert das Verhalten
2. Berechtigungssystem: kontrolliert Vorgänge
3. Hook-System: ermöglicht deterministische Automatisierung
4. MCP-Protokoll: erweitert die Fähigkeiten
5. Subagent-System: bearbeitet komplexe, mehrstufige Aufgaben

Wichtigste Erkenntnisse

• Fünf Systeme bestimmen Ihre Effektivität: Konfigurationshierarchie, Berechtigungen, hooks, MCP und subagents steuern alles — vom Verhalten bis zur Automatisierung.
• Verlagern Sie Arbeit in die Delegationsebene: subagents verhindern einen überladenen Kontext, indem sie Erkundungen in sauberen Kontextfenstern isolieren und nur Zusammenfassungen zurückgeben.
• Hooks garantieren die Ausführung, Prompts nicht: Verwenden Sie hooks für Linting, Formatierung und Sicherheitsprüfungen, die unabhängig vom Modellverhalten jedes Mal ausgeführt werden müssen.
• Die Abstufung von Modellen spart Kosten, ohne die Qualität zu beeinträchtigen: Leiten Sie Erkundungen durch subagents an günstigere Modelle weiter und reservieren Sie Opus für echte Architekturüberlegungen — oder standardisieren Sie auf Opus, wenn Qualität Ihre einzige Variable ist.
• MCP verbindet Claude mit Ihrer Toolchain: Datenbanken, GitHub, Sentry und mehr als 3.000 Integrationen erweitern Claude über das Lesen von Dateien und Bash-Befehle hinaus.

Ich habe Monate damit verbracht, Claude Code in produktiven Codebasen, CI/CD-Pipelines und Unternehmensbereitstellungen an seine Grenzen zu bringen. Dieser Leitfaden verdichtet diese Erfahrungen zu dem vollständigen Nachschlagewerk, das ich mir zu Beginn gewünscht hätte. Jede Funktion enthält die tatsächliche Syntax, echte Konfigurationsbeispiele und jene Grenzfälle, an denen selbst erfahrene Benutzer scheitern.

Wählen Sie Ihren Weg

So verwenden Sie diesen Leitfaden

Dies ist ein Nachschlagewerk mit mehr als 5.000 Zeilen — Sie müssen es nicht von Anfang bis Ende lesen. Beginnen Sie dort, wo es zu Ihrem Erfahrungsstand passt:

Verwenden Sie Ctrl+F / Cmd+F in Ihrem Browser, um nach bestimmten Flags, Befehlen oder Konfigurationsschlüsseln zu suchen. Die Kurzreferenz am Ende bietet eine übersichtliche Zusammenfassung aller wichtigen Befehle.

Verwandte ausführliche Artikel

Diese Blogbeiträge behandeln bestimmte Aspekte von Claude Code im Detail:

60-Sekunden-Schnellstart

Wenn Sie Claude Code einfach nur ausführen und die Ausgabe sehen möchten, gehen Sie in dieser Reihenfolge vor:

# 1. Install (pick one)
npm install -g @anthropic-ai/claude-code          # npm users
brew install anthropic/claude/claude              # macOS + Homebrew
curl -sL claude.ai/install.sh | sh                # native installer

# 2. Launch in any project directory
cd ~/your-project && claude

# 3. Authenticate (browser opens automatically on first run)
/login

# 4. Ask your first question
> What does this repo do? Read the key files and summarize.

Das war’s. Alles unterhalb dieses Abschnitts erläutert die Installationsoptionen ausführlicher, konfiguriert Berechtigungen und hooks, bindet MCP-Server an und behandelt die unternehmensweite Bereitstellung — für den Einstieg ist davon jedoch nichts erforderlich.

Voraussetzungen: Node 22+ wird nur für den veralteten npm-Installationsweg benötigt (mit v2.1.198 von Version 18 angehoben; in der aktuellen Installationsdokumentation steht „Node.js 22 or later“, überprüft am 7. August 2026); das empfohlene native Installationsprogramm benötigt Node nicht. Unterstützt werden macOS / Linux / Windows 10+. Die Nutzung ist entweder durch ein Claude-Abonnement vom Typ Pro, Max, Team oder Enterprise oder durch einen nutzungsabhängig abgerechneten Anthropic API-Schlüssel abgedeckt. Plattformspezifische Hinweise, Informationen zur Fehlerbehebung und den nativen Binärinstallationsweg (seit v2.1.113 Standard) finden Sie unter Wie installiere ich Claude Code?. Die Nachweise zur neuesten Version werden in diesem Leitfaden für jede Veröffentlichung aktualisiert; den aktuellen Überprüfungsstand finden Sie im neuesten Eintrag des Changelogs.²⁴⁴

Funktionsweise von Claude Code: Das mentale Modell

Bevor Sie sich mit den Funktionen befassen, sollten Sie verstehen, wie die Architektur von Claude Code Ihre gesamte Arbeit damit prägt. Das System arbeitet auf drei Ebenen:

┌─────────────────────────────────────────────────────────┐
│                    CLAUDE CODE LAYERS                    │
├─────────────────────────────────────────────────────────┤
│  EXTENSION LAYER                                         │
│  ┌─────────┐  ┌─────────┐  ┌─────────┐  ┌─────────┐    │
│  │   MCP   │  │  Hooks  │  │ Skills  │  │ Plugins │    │
│  └─────────┘  └─────────┘  └─────────┘  └─────────┘    │
│  External tools, deterministic automation, domain       │
│  expertise, packaged extensions                          │
├─────────────────────────────────────────────────────────┤
│  DELEGATION LAYER                                        │
│  ┌─────────────────────────────────────────────────┐    │
│  │           Subagents (20 concurrent default)      │    │
│  │   Explore | Plan | General-purpose | Custom      │    │
│  └─────────────────────────────────────────────────┘    │
│  Isolated contexts for focused work, returns summaries  │
├─────────────────────────────────────────────────────────┤
│  CORE LAYER                                              │
│  ┌─────────────────────────────────────────────────┐    │
│  │         Main Conversation Context                │    │
│  │   Tools: Read, Edit, Bash, Glob, Grep, etc.     │    │
│  └─────────────────────────────────────────────────┘    │
│  Your primary interaction; limited context; costs money │
└─────────────────────────────────────────────────────────┘

Kernebene: Ihre Hauptkonversation. Jede Nachricht, jeder Dateilesevorgang und jede Tool-Ausgabe beansprucht Kontext aus einem gemeinsamen Fenster (standardmäßig 200K Tokens⁹¹, 1M Tokens mit Opus 4.6 oder Modellen mit erweitertem Kontext). Sobald der Kontext ausgeschöpft ist, verliert Claude frühere Entscheidungen aus dem Blick, und die Qualität nimmt ab. Auf dieser Ebene entstehen Kosten pro Token.

Delegationsebene: Subagents starten mit einem leeren Kontext, erledigen gezielte Aufgaben und geben Zusammenfassungen zurück. Die Ergebnisse der Erkundung blähen Ihre Hauptkonversation nicht auf; zurückgegeben werden nur die Schlussfolgerungen. Weisen Sie Subagents für Erkundungsaufgaben günstigeren Modellstufen zu, oder verwenden Sie durchgehend Ihr primäres Modell, wenn Ihnen Qualität wichtiger als Kosten ist.

Erweiterungsebene: MCP verbindet externe Dienste (Datenbanken, GitHub, Sentry). Hooks gewährleisten die Ausführung von Shell-Befehlen unabhängig vom Verhalten des Modells. Skills bilden Fachwissen ab, das Claude automatisch anwendet. Plugins bündeln all diese Elemente für die Verteilung.

Die zentrale Erkenntnis: Die meisten Benutzer arbeiten ausschließlich auf der Kernebene und sehen dabei zu, wie der Kontext anwächst und die Kosten steigen. Erfahrene Benutzer verlagern Erkundungen und spezialisierte Aufgaben auf die Delegationsebene, konfigurieren die Erweiterungsebene passend zu ihrem Arbeitsablauf und nutzen die Kernebene nur zur Orchestrierung und für abschließende Entscheidungen.

Inhaltsverzeichnis

1. Wie installiere ich Claude Code?
2. Schnellstart: Ihre erste Sitzung
3. Grundlegende Interaktionsmodi
4. Das Konfigurationssystem im Detail
5. Welches Modell sollte ich wählen?
6. Was kostet Claude Code?
7. Entscheidungsrahmen
8. Wie funktioniert das Berechtigungssystem?
9. Wie funktionieren Hooks?
10. Was ist MCP (Model Context Protocol)?
11. Was sind Subagents?
12. Was ist der Extended Thinking Mode?
13. Ausgabestile
14. Slash Commands
15. Wie funktionieren Skills?
16. Plugin-System
17. Wie funktioniert der Speicher?
18. Bild- und multimodale Eingabe
19. Sprachmodus
20. Wie funktioniert die Git-Integration?
21. Wie verwende ich Claude Code in meiner IDE?
22. Fortgeschrittene Nutzungsmuster
23. Remote- und Hintergrund-Agenten [FORSCHUNGSVORSCHAU]
24. Claude in Chrome
25. Claude Code in Slack [FORSCHUNGSVORSCHAU]
26. Claude Code im Web [FORSCHUNGSVORSCHAU]
27. Claude in Microsoft 365 (Mai 2026)
28. Leistungsoptimierung
29. Wie behebe ich Probleme?
30. Unternehmensweite Bereitstellung
31. Referenz der Tastenkombinationen
32. Bewährte Vorgehensweisen
33. Arbeitsablaufrezepte
34. Migrationsleitfaden
35. Zielgruppenspezifische Hinweise
36. Schnellreferenz
37. Changelog
38. Quellen

Wie installiere ich Claude Code?

Systemanforderungen

Claude Code läuft unter macOS 13+, Ubuntu 20.04+/Debian 10+ und Windows 10+ (nativ oder WSL). Das System benötigt mindestens 4 GB RAM und eine aktive Internetverbindung.⁹² Die beste Shell-Kompatibilität bieten Bash, Zsh und Fish.

Unter Windows werden sowohl WSL 1 als auch WSL 2 unterstützt. Wenn Sie eine native Windows-Umgebung bevorzugen, können Sie auch Git Bash verwenden. Alpine Linux und andere musl-basierte Systeme benötigen zusätzliche Pakete:

apk add libgcc libstdc++ ripgrep
export USE_BUILTIN_RIPGREP=0

Plattform-Unterstützungsmatrix

Installation, Aktualisierung und Deinstallation im Überblick

Übersichtliche Schnellreferenz – alle Methoden, Befehle und Versionsprüfungen auf einen Blick. Die folgenden Unterabschnitte behandeln die Besonderheiten der einzelnen Methoden sowie die Fehlerbehebung.

Seit v2.1.113 startet das kanonische CLI über eine optionale plattformspezifische Abhängigkeit eine native Claude Code-Binärdatei anstelle des gebündelten JavaScript – verwenden Sie für die getestete Distribution den nativen Installer. Der npm-Weg funktioniert weiterhin, zeigt jedoch den bereits in v2.1.15 eingeführten Hinweis auf die Einstellung zuerst an.

Installationsmethoden

Native Installation (empfohlen)

Die native Binärdatei bietet ohne Node.js-Abhängigkeit die unkomplizierteste Benutzererfahrung:

# macOS and Linux
curl -fsSL https://claude.ai/install.sh | bash

# Homebrew alternative
brew install --cask claude-code

# Windows PowerShell
irm https://claude.ai/install.ps1 | iex

# Windows CMD
curl -fsSL https://claude.ai/install.cmd -o install.cmd && install.cmd && del install.cmd

Für die Installation einer bestimmten Version:

# Install specific version
curl -fsSL https://claude.ai/install.sh | bash -s 1.0.58

# Install latest explicitly
curl -fsSL https://claude.ai/install.sh | bash -s latest

# Windows PowerShell - specific version
& ([scriptblock]::Create((irm https://claude.ai/install.ps1))) 1.0.58

NPM-Installation (nicht mehr empfohlen)

Hinweis: Seit v2.1.15 zeigen npm-Installationen einen Hinweis darauf an, dass diese Methode nicht mehr empfohlen wird. Die native Binärdatei ist inzwischen die empfohlene Installationsmethode. Migrieren Sie mit claude install.

Für ältere Umgebungen, in denen npm weiterhin benötigt wird:

npm install -g @anthropic-ai/claude-code

Verwenden Sie bei der npm-Installation niemals sudo. Dadurch entstehen Berechtigungsprobleme, die alle nachfolgenden Schritte erschweren.

Migration einer vorhandenen Installation

Wenn Sie eine ältere npm-basierte Installation verwenden, migrieren Sie zur nativen Binärdatei:

claude install

Authentifizierungsoptionen

Claude Code unterstützt drei Authentifizierungswege, die jeweils unterschiedliche Vor- und Nachteile bieten:

Claude Console (API-Abrechnung)

Stellen Sie über platform.claude.com (zuvor console.anthropic.com) eine direkte Verbindung zur API von Anthropic her. Erstellen Sie ein Konto, richten Sie die Abrechnung ein und authentifizieren Sie sich über das CLI. Die Console bietet eine nutzungsabhängige Abrechnung mit vollständigem API-Zugriff. Ein eigener „Claude Code“-Workspace wird automatisch erstellt. Für diesen Workspace können Sie keine API-Schlüssel erstellen, die Nutzung jedoch überwachen. Seit v2.1.243 bietet /login → Anthropic Console neben der Erstellung eines API-Schlüssels auch den schlüssellosen Weg „Mit Ihrem Console-Konto anmelden“ (empfohlen). Dadurch können sich Organisationen, die keine API-Schlüssel zulassen, weiterhin mit ihren Console-Anmeldedaten anmelden.²²⁷

Claude Pro- oder Max-Abonnement

Verwenden Sie die Anmeldedaten Ihres claude.ai-Kontos. Das Abonnement deckt sowohl die Weboberfläche als auch die Nutzung des CLI im Rahmen eines einzigen monatlichen Tarifs ab. Für einzelne Benutzer, die planbare Kosten wünschen, vereinfacht das Abonnement die Abrechnung.

Unternehmensplattformen

AWS Bedrock, Google Vertex AI und Microsoft Foundry bieten jeweils unternehmenstauglichen Zugriff über bestehende Cloud-Abrechnungsbeziehungen. Bedrock-Einrichtungsassistent (v2.1.92+): Ein interaktiver Assistent auf dem Anmeldebildschirm führt Sie durch die AWS-Authentifizierung, die Auswahl der Region, die Überprüfung der Anmeldedaten und die Festlegung des Modells.¹³⁷ Vertex AI-Einrichtungsassistent (v2.1.98+): Ein entsprechender Assistent für Google Cloud führt Sie durch die GCP-Authentifizierung, die Konfiguration von Projekt und Region, die Überprüfung der Anmeldedaten und die Festlegung des Modells.¹⁴² Vertex AI mTLS Workload Identity Federation (v2.1.121+): Vertex AI akzeptiert nun die auf X.509-Zertifikaten basierende Workload Identity Federation (mTLS Application Default Credentials) – kurzlebige GCP-Token, die anhand eines Clientzertifikats ausgestellt werden, ohne dass ein JSON für ein Dienstkonto erforderlich ist.¹⁵⁴ Vertrauen in OS-CA-Zertifikate (v2.1.101+): TLS-Proxys in Unternehmensumgebungen funktionieren jetzt standardmäßig – Claude Code vertraut dem Zertifikatspeicher des Betriebssystems. Legen Sie CLAUDE_CODE_CERT_STORE=bundled fest, um ausschließlich gebündelte CAs zu verwenden.¹⁴³

# AWS Bedrock
export CLAUDE_CODE_USE_BEDROCK=1
export AWS_REGION=us-east-1
export AWS_PROFILE=your-profile

# Google Vertex AI
export CLAUDE_CODE_USE_VERTEX=1
export CLOUD_ML_REGION=us-east5
export ANTHROPIC_VERTEX_PROJECT_ID=your-project

# Microsoft Foundry
export CLAUDE_CODE_USE_FOUNDRY=1
export ANTHROPIC_FOUNDRY_RESOURCE=your-resource-name
# Optional: API key auth (otherwise uses Entra ID)
export ANTHROPIC_FOUNDRY_API_KEY=your-key

# Amazon Bedrock via Mantle (v2.1.94+)
export CLAUDE_CODE_USE_MANTLE=1

Für Unternehmensbereitstellungen hinter Proxys oder über LLM-Gateways:

# Corporate proxy
export HTTPS_PROXY='https://proxy.example.com:8080'

# LLM gateway (skip native auth)
export CLAUDE_CODE_USE_BEDROCK=1
export ANTHROPIC_BEDROCK_BASE_URL='https://your-gateway.com/bedrock'
export CLAUDE_CODE_SKIP_BEDROCK_AUTH=1

Gateway-Hinweis-Header (v2.1.273, optional): Wenn CLAUDE_CODE_GATEWAY_HINT_HEADERS=1 festgelegt ist, fügt Claude Code fünf Anfrage-Header hinzu, anhand derer ein LLM-Gateway Anfragen weiterleiten und beobachten kann: x-claude-code-request-class, x-claude-code-agent-type, x-claude-code-prev-tool-durations, x-claude-code-compaction und x-claude-code-context-compacted.²¹⁷

Überprüfung

claude doctor

Der Befehl gibt den Installationstyp, die Version, die Systemkonfiguration und alle erkannten Probleme aus.

Authentifizierungsverwaltung (v2.1.41+)

Verwalten Sie die Authentifizierung, ohne das REPL aufzurufen:⁹⁰

claude auth login          # Log in or switch accounts
claude auth status         # Check current auth state (account, plan, expiry)
claude auth logout         # Clear stored credentials

Seit v2.1.268 enthält claude auth status --json das Feld configDirectory – das Konfigurationsverzeichnis, aus dem das CLI tatsächlich liest. Dies ist hilfreich, wenn die Indirektion über CLAUDE_CONFIG_DIR sonst zu Unklarheiten führt.²¹⁶

Seit v2.1.273 fordert die Anmeldung mit einem Claude-Konto außerdem Zugriff auf Ihre claude.ai plugins an.²¹⁷

Üblicher Ablauf beim Wechsel zwischen Konten oder Organisationen:

claude auth logout && claude auth login

Siehe auch: Wie behebe ich Probleme? zur Behebung von Authentifizierungsfehlern.

Aktualisierungen

Claude Code wird standardmäßig automatisch aktualisiert. Beim Start und regelmäßig während einer Sitzung wird nach Aktualisierungen gesucht. Aktualisierungen werden im Hintergrund heruntergeladen und beim nächsten Start angewendet.

Automatische Aktualisierungen deaktivieren:

export DISABLE_AUTOUPDATER=1

Oder in settings.json:

{
  "env": {
    "DISABLE_AUTOUPDATER": "1"
  }
}

Manuelle Aktualisierung:

claude update

Deinstallation

Native Installation (macOS/Linux/WSL):

rm -f ~/.local/bin/claude
rm -rf ~/.claude-code

Native Installation (Windows PowerShell):

Remove-Item -Path "$env:LOCALAPPDATA\Programs\claude-code" -Recurse -Force
Remove-Item -Path "$env:LOCALAPPDATA\Microsoft\WindowsApps\claude.exe" -Force

Konfiguration bereinigen (entfernt alle Einstellungen):

rm -rf ~/.claude
rm ~/.claude.json
rm -rf .claude
rm -f .mcp.json

Schnellstart: Ihre erste Sitzung

1. Installieren und starten:

claude                           # Launch in current directory

2. Zu einem Projekt navigieren:

cd ~/my-project && claude        # Or launch from any git repo

3. Claude mit einer Aufgabe beauftragen:

> "Explain the architecture of this project"
> "Find all TODO comments and create a summary"
> "Add input validation to the signup form"

4. Während Ihrer Sitzung Tastenkürzel verwenden:

/cost                            # Check token usage and cost
/compact                         # Free up context when it gets large
Alt+T                            # Toggle extended thinking for hard problems
Ctrl+C                           # Cancel current response

5. Später fortfahren:

claude -c                        # Resume your most recent session
claude --resume                  # Pick from session list

Expertentipp: Erstellen Sie im Stammverzeichnis Ihres Projekts eine CLAUDE.md-Datei mit Build-Befehlen, Programmierkonventionen und Hinweisen zur Architektur. Claude liest sie in jeder Sitzung – damit erzielen Sie mit einer einzigen Maßnahme die größte Qualitätssteigerung.

Zentrale Interaktionsmodi

Interaktive REPL

Starten Sie Claude Code ohne Argumente, um die interaktive Read-Eval-Print-Schleife aufzurufen:

cd your-project
claude

Die REPL behält den Gesprächskontext über mehrere Durchläufe hinweg bei. Geben Sie Anfragen direkt ein, erhalten Sie Antworten und fahren Sie fort, bis Sie die Sitzung mit /exit oder Ctrl+D beenden.

Beginnen Sie mit einem initialen Prompt, um die Sitzung thematisch auszurichten:

claude "explain the authentication flow in this project"

Expertentipp: Die REPL behält ihren Zustand auch bei Komprimierungsvorgängen bei. Wenn der Kontext zu umfangreich wird, fasst Claude ältere Gesprächsteile automatisch zusammen und bewahrt dabei wichtige Entscheidungen und Codeausschnitte. Sie können diesen Vorgang mit /compact manuell auslösen oder eigene Anweisungen dazu hinzufügen, was erhalten bleiben soll.

Nicht interaktiver Modus

Der Ausgabemodus (-p) führt eine einzelne Anfrage aus und wird anschließend beendet:

# Direct query
claude -p "list all TODO comments in this project"

# Process piped input
cat error.log | claude -p "identify the root cause of these failures"

# Chain with other tools
claude -p "generate a README" > README.md

Für eine strukturierte Ausgabe, die sich zur Verarbeitung in Skripten eignet:

claude -p "count lines by file type" --output-format json

Die JSON-Ausgabe enthält alles, was Sie für die Automatisierung benötigen:

{
  "type": "result",
  "subtype": "success",
  "total_cost_usd": 0.0034,
  "is_error": false,
  "duration_ms": 2847,
  "duration_api_ms": 1923,
  "num_turns": 4,
  "result": "Response text here...",
  "session_id": "abc-123-def"
}

Für die Echtzeitverarbeitung von Streaming-Ausgaben:

claude -p "build the application" --output-format stream-json | while read line; do
  echo "$line" | jq -r 'select(.result) | .result'
done

Optionen für das Ausgabeformat:

Subagent-Text in stream-json (v2.1.211+): Standardmäßig enthält die stream-json-Ausgabe nur die Ereignisse der Hauptsitzung – innerhalb von subagents erledigte Arbeit erscheint als Zusammenfassung. Das Flag --forward-subagent-text (oder CLAUDE_CODE_FORWARD_SUBAGENT_TEXT=1) leitet auch Text- und Denkprozessausgaben von subagents an den Stream weiter. Dadurch können Harnesses und Protokollierungspipelines delegierte Arbeit während ihrer Ausführung beobachten, statt nur den Abschlussbericht zu sehen.¹⁸⁸

Auch verschachtelte subagents werden nun weitergeleitet (v2.1.219). Ursprünglich wurden nur subagents auf Tiefe 1 angezeigt. Auf Tiefe 2 und darunter erzeugte subagents erscheinen nun ebenfalls im weitergeleiteten Stream. Jeder wird dabei anhand der tool_use-ID des Agent-Aufrufs identifiziert, der ihn erzeugt hat. So kann eine Pipeline den Delegationsbaum rekonstruieren, statt nur eine flache Textliste zu sehen. Dies ergänzt unmittelbar die in derselben Version wiederhergestellte Möglichkeit, standardmäßig bis Tiefe 3 verschachtelte subagents zu erzeugen: Andernfalls wären zwei der drei Ebenen unsichtbar geblieben.¹⁹⁶

In den Hintergrund verschobene subagents verstummen nicht mehr (v2.1.273): SDK- und stream-json-Ausgaben verwerfen die verbleibenden Nachrichten und den Abschlussbericht eines subagents nicht mehr, nachdem dieser während der Ausführung in den Hintergrund verschoben wurde, beispielsweise durch CLAUDE_AUTO_BACKGROUND_TASKS.²¹⁷

Exit-Codes:

Steuerung des agentischen Verhaltens im -p-Modus:

# Limit autonomous turns (prevents runaway loops)
claude -p "refactor the auth module" --max-turns 10

# Allow specific tools without prompting
claude -p "fix lint errors" --allowedTools "Edit,Bash(npm run lint)"

# Use with a specific model
claude -p "explain this code" --model claude-sonnet-5

# Bare mode: skip hooks, LSP, plugin sync, skill walks (v2.1.81+)
claude -p "count files" --bare

# Channel permission relay: send approval prompts to Telegram/Discord (v2.1.81+)
claude --channels

# Restricted mode for eval harnesses and shared machines (v2.1.248+)
claude --restricted -p "query" --tools "Read,Grep,Glob"

# Unattended hosts: deny anything that would prompt (v2.1.259+)
claude -p "run the nightly checks" --permission-prompts none

Eingeschränkter Modus (v2.1.248+): --restricted (oder CLAUDE_CODE_RESTRICTED=1) ist für Evaluierungsharnesses vorgesehen, die claude auf einem gemeinsam genutzten Rechner ausführen. Der Modus entfernt die integrierten Tools zur Ausführung von Befehlen oder Code sowie WebFetch, sofern Sie diese nicht einzeln in --tools angeben – die Voreinstellung default zählt dabei nicht. Außerdem beschränkt er die integrierten Datei-Tools auf die Arbeitsverzeichnisse, lädt ausschließlich verwaltete Einstellungen und --settings (Einstellungsdateien auf Benutzer-, Projekt- und lokaler Ebene werden ignoriert), verweigert bypassPermissions und verhindert das Erstellen von Cloud-Sitzungen.²⁰⁶²⁰⁹

--permission-prompts none (v2.1.259): die Ergänzung für unbeaufsichtigte Hosts. Alles, was eine Berechtigungsabfrage auslösen würde, wird automatisch abgelehnt, während der aktive Berechtigungsmodus – einschließlich des automatischen Modus – weiterhin jede Entscheidung trifft, die ohne Sie möglich ist. Verwechseln Sie dies nicht mit --permission-prompt-tool, das Abfragen an ein MCP-Tool delegiert, statt sie abzulehnen. In der CLI-Referenz ist das neue Flag noch nicht aufgeführt; maßgeblich ist der CHANGELOG.²¹¹

cd bleibt in nicht interaktiven Sitzungen über mehrere Durchläufe hinweg wirksam (v2.1.265): Mit stream-json-Eingaben versorgte -p-Sitzungen, Agent-SDK-Sitzungen und Cloud-Sitzungen setzen das Arbeitsverzeichnis der Shell nicht mehr bei jeder neuen Benutzernachricht zurück. Ein cd in einem Durchlauf gilt nun auch im nächsten.²¹⁵

--system-prompt-snapshot off (v2.1.267): Standardmäßig verwendet ein Gespräch bei jeder Anfrage erneut den aufgezeichneten System-Prompt. Mit diesem Flag wird der System-Prompt stattdessen für jede Anfrage neu erzeugt. Diese Option eignet sich zum Überarbeiten von Prompt-Texten, wenn jeder Durchlauf Ihre letzte Änderung übernehmen soll und Sie dafür auf die Stabilität des Prompt-Caches verzichten können, die der Snapshot gewährleisten soll.²¹⁶

CI/CD-Integrationsmuster:

# In a GitHub Action or CI pipeline
result=$(claude -p "review this diff for security issues" --output-format json 2>/dev/null)
is_error=$(echo "$result" | jq -r '.is_error')
if [ "$is_error" = "true" ]; then
  echo "Review failed"
  exit 1
fi
echo "$result" | jq -r '.result'

Sitzungsverwaltung

Sitzungen bewahren den Gesprächsverlauf zur späteren Fortsetzung auf. Für komplexe Arbeiten, die sich über mehrere Sitzungen erstrecken, ist die Sitzungspersistenz unverzichtbar:

# Continue most recent session
claude -c

# Continue with additional prompt
claude -c -p "now add error handling"

# Resume specific session by ID
claude -r "abc123" "implement the remaining tests"

# Fork a session for parallel exploration
claude -r "base-session" --fork-session "try a different approach"

Eine laufende Sitzung mit /cd verschieben (v2.1.169+; sofortige Konfigurationsübernahme seit v2.1.246): /cd path ändert das Arbeitsverzeichnis, ohne den Prompt-Cache zu unterbrechen. Seit v2.1.246 werden die Projekteinstellungen, hooks, .mcp.json-Server (nach der üblichen Berechtigungsabfrage), skills und agents des neuen Verzeichnisses direkt nach dem Wechsel wirksam, statt erst nach --resume.²³⁹²²⁶

Mit PRs verknüpfte Sitzungen (v2.1.27+, erweitert ab v2.1.119): Starten Sie eine Sitzung, die mit einem bestimmten Pull- oder Merge-Request verknüpft ist. Seit v2.1.119 akzeptiert --from-pr neben github.com auch URLs von GitLab-MRs, Bitbucket-PRs und GitHub-Enterprise-PRs:⁷⁴¹⁵²

claude --from-pr 123                                                # GitHub PR number (assumes current repo's remote)
claude --from-pr https://github.com/org/repo/pull/123               # GitHub URL
claude --from-pr https://gitlab.com/org/repo/-/merge_requests/45    # GitLab MR (v2.1.119+)
claude --from-pr https://bitbucket.org/org/repo/pull-requests/67    # Bitbucket PR (v2.1.119+)
claude --from-pr https://ghe.example.com/org/repo/pull/89           # GitHub Enterprise (v2.1.119+)

Sitzungen werden außerdem automatisch mit PRs verknüpft, wenn Sie diese während einer Sitzung über gh pr create erstellen. Dadurch können Sie die Arbeit an einem bestimmten PR später problemlos fortsetzen. Über die Einstellung prUrlTemplate (v2.1.119+) kann das PR-Abzeichen in der Fußzeile auf eine benutzerdefinierte Code-Review-URL verweisen – praktisch, wenn Ihr Team aus PRs heraus auf ein separates Review-Tool verlinkt.¹⁵²

/resume akzeptiert PR-URLs (v2.1.122+). Wenn Sie eine PR-URL in das Suchfeld von /resume einfügen, wird nun die Sitzung gefunden, in der dieser PR ursprünglich erstellt wurde. Dies funktioniert mit github.com, GitHub Enterprise, gitlab.com (einschließlich selbst gehosteter GitLab-Instanzen) und bitbucket.org.¹⁵⁴

Benannte Sitzungen: Benennen Sie Sitzungen beim Start oder während einer Sitzung:

# Name session at startup (v2.1.76+)
claude -n "auth-refactor"                  # --name flag sets display name[^125]

# Name current session
> /rename auth-refactor

# Resume by name or number
> /resume 1                    # Resume first session
> /resume auth-refactor        # Resume by name
claude --resume auth-refactor  # Resume from terminal
claude -r 3                    # Resume by number from terminal

# Fork for parallel exploration
claude --resume auth-refactor --fork-session

Hinweis: --session-id erfordert eine gültige UUID (z. B. 550e8400-e29b-41d4-a716-446655440000). Verwenden Sie für menschenlesbare Sitzungsnamen stattdessen /rename und --resume.

/fork erzeugt eine Hintergrundsitzung; /subtask ist der sitzungsinterne Fork (v2.1.212). Der Befehl /fork kopiert das aktuelle Gespräch nun in eine neue Hintergrundsitzung. Diese erhält einen eigenen Eintrag in claude agents, sodass Sie die Kopie eine Alternative untersuchen lassen können, während Ihre Hauptsitzung weiterläuft. Das bisherige Verhalten – ein Fork innerhalb der aktuellen Sitzung – besteht unter dem neuen Namen /subtask fort.¹⁸⁹ Seit v2.1.214 meldet eine als Fork gestartete Sitzung für den SessionStart-hook die Quelle "fork" (zuvor "resume"), sodass hooks, die nach Quellen filtern, beide unterscheiden können.¹⁹⁰ v2.1.216 verkürzt die /fork-Bestätigung auf eine Zeile, die den Namen der neuen Sitzung und ihre claude attach-ID anzeigt.¹⁹² Seit v2.1.221 erstellt eine geforkte Sitzung ihren eigenen Worktree, statt im Checkout der ursprünglichen Sitzung zu arbeiten. Ein Fork, der eine Alternative untersucht, kann dadurch nicht mehr mit den nicht committeten Dateien der Hauptsitzung kollidieren – zuvor war dies die problematische Seite davon, eine Kopie zum Experimentieren loszuschicken.¹⁹⁹ Mit v2.1.232 wird das Forken auch für subagents zum Standard: Ein subagent mit subagent_type: "fork" übernimmt das vollständige Gespräch und den Prompt-Cache; außerdem werden nicht zu einem Team gehörende agents in interaktiven Sitzungen nun standardmäßig im Hintergrund gestartet.²³²

Claude Code speichert Sitzungen als JSONL-Transkripte. Bei der Agent-Ausführung werden eindeutige agentId-Werte vergeben; die Transkripte werden als agent-{agentId}.jsonl gespeichert. Beim Fortsetzen bleibt der vollständige Kontext vorheriger Gespräche erhalten.

Planungsmodus

Der Planungsmodus beschränkt Claude auf schreibgeschützte Erkundung – keine Dateiänderungen, keine Bash-Ausführung und keine destruktiven Aktionen. Claude entwirft einen Implementierungsansatz, schreibt ihn in eine Plandatei und wartet auf Ihre Genehmigung, bevor etwas ausgeführt wird.

Planungsmodus aufrufen:

# Cycle through modes during a session
Shift+Tab           # Cycles: normal → plan → auto-accept

# Or use the /plan command with an optional description (v2.1.72+)
/plan                                     # Enter plan mode
/plan refactor the auth module            # Enter plan mode with a description

# Or ask Claude directly
"Plan how to refactor the auth module"   # Claude may enter plan mode automatically

Funktionsweise:

1. Claude wechselt in den Planungsmodus (bei komplexen Aufgaben automatisch oder über Shift+Tab)
2. Untersucht die Codebasis mit schreibgeschützten Tools: Read, Glob, Grep, WebSearch, WebFetch
3. Schreibt einen Plan nach .claude/plans/{session-slug}.md
4. Beendet den Planungsmodus mit ExitPlanMode und legt Ihnen den Plan zur Prüfung vor
5. Sie genehmigen den Plan, fordern Änderungen an oder lehnen ihn ab

Im Planungsmodus verfügbare Tools: Read, Glob, Grep, LS, WebSearch, WebFetch, AskUserQuestion. Bearbeitungs-Tools (Edit, Write, Bash, NotebookEdit) sind gesperrt.

Nach der Plangenehmigung (v2.1.32+): Claude bietet drei Optionen: - „Ja, Kontext löschen und Änderungen automatisch akzeptieren“ (Shift+Tab) – beginnt mit einem frischen, vollständig für den Plan verfügbaren Kontext - „Ja, und Änderungen manuell genehmigen“ – behält den Kontext bei; Sie genehmigen jede Änderung - „Ja, Änderungen automatisch akzeptieren“ – behält den Kontext bei; Claude führt die Änderungen ohne einzelne Genehmigungen aus

Das automatische Löschen des Kontexts bei der Genehmigung ist der empfohlene Arbeitsablauf. Dadurch erhält der Plan ein frisches Kontextfenster, was die Einhaltung des Plans erheblich verbessert – Claude bleibt länger auf Kurs, ohne dass das vorherige Gespräch dazwischenfunkt.

Wann Sie den Planungsmodus verwenden sollten: - Implementierung neuer Funktionen mit Architekturentscheidungen - Refaktorierungen über mehrere Dateien hinweg, bei denen Sie den Ansatz zuerst prüfen möchten - Unbekannte Codebasen, die vor Änderungen zunächst untersucht werden sollten - Aufgaben mit mehreren gültigen Lösungsansätzen, bei denen Sie Einfluss nehmen möchten

Expertentipp: Je mehr Zeit Sie im Planungsmodus verbringen, desto wahrscheinlicher gelingt Claude die Implementierung. Der Planungsmodus ermöglicht praktisch kostenlose Erkundung – ohne riskante Tool-Aufrufe oder vergeudete Änderungen. Nutzen Sie ihn großzügig.

Screenreader-Modus (v2.1.208)

Claude Code verfügt über einen speziellen Screenreader-Modus, der die Terminal-Benutzeroberfläche an assistive Technologien anpasst. Sie können ihn auf drei Arten aktivieren:¹⁸⁶

# Flag at launch
claude --ax-screen-reader

# Environment variable
export CLAUDE_AX_SCREEN_READER=1

# Or persistently in settings.json
{ "axScreenReader": true }

Anthropic dokumentiert den Modus und seine Interaktionsmuster auf einer neuen Seite zur Barrierefreiheit in der offiziellen Dokumentation.¹⁸⁶

Detaillierter Einblick in das Konfigurationssystem

Claude Code verwendet ein mehrstufiges Konfigurationssystem. Das Verständnis der Hierarchie ist entscheidend, da höhere Ebenen niedrigere überschreiben und Unternehmenseinstellungen überhaupt nicht umgangen werden können.

Konfigurationshierarchie

Konfiguration über den Prompt festlegen: /config key=value (v2.1.181)

Seit v2.1.181 können Sie mit /config key=value beliebige Einstellungen direkt im Prompt festlegen – beispielsweise /config thinking=false –, ohne die interaktive /config-Benutzeroberfläche zu öffnen. Dies funktioniert in interaktiven, -p- und Remote Control-Sitzungen. /config --help (v2.1.183) listet die verfügbaren Kurzschlüssel auf. Mit v2.1.183 wurde außerdem die interaktive /config-Benutzeroberfläche geändert: Sowohl die Eingabetaste als auch die Leertaste schalten nun die ausgewählte Einstellung um, während Esc speichert und die Oberfläche schließt (zuvor wurden die Änderungen verworfen).¹⁷⁴

Vollständige settings.json-Referenz

Eine vollständige Konfiguration, die alle wichtigen Optionen veranschaulicht:

{
  "$schema": "https://json.schemastore.org/claude-code-settings.json",
  "model": "claude-sonnet-5",
  "permissions": {
    "allow": [
      "Read",
      "Glob",
      "Grep",
      "Bash(npm run:*)",
      "Bash(git:*)",
      "Bash(make:*)",
      "Edit(src/**)",
      "mcp__github"
    ],
    "deny": [
      "Read(.env*)",
      "Read(secrets/**)",
      "Bash(rm -rf:*)",
      "Bash(sudo:*)",
      "Edit(package-lock.json)",
      "Edit(.git/**)"
    ],
    "ask": [
      "WebFetch",
      "Bash(curl:*)",
      "Bash(docker:*)"
    ],
    "additionalDirectories": [
      "../shared-lib",
      "../docs"
    ],
    "defaultMode": "acceptEdits"
  },
  "env": {
    "NODE_ENV": "development",
    "DEBUG": "app:*"
  },
  "hooks": {
    "PostToolUse": [
      {
        "matcher": "Edit|Write",
        "hooks": [
          {
            "type": "command",
            "command": "jq -r '.tool_input.file_path' | xargs npx prettier --write"
          }
        ]
      }
    ]
  },
  "sandbox": {
    "enabled": false,
    "autoAllowBashIfSandboxed": true,
    "excludedCommands": ["git", "docker"]
  },
  "statusLine": {
    "type": "command",
    "command": "~/.claude/statusline.sh"
  },
  "includeCoAuthoredBy": true,
  "cleanupPeriodDays": 30,
  "outputStyle": "Explanatory",
  "language": "en",
  "respectGitignore": true,
  "showTurnDuration": true,
  "plansDirectory": ".claude/plans",
  "spinnerVerbs": ["Thinking", "Processing", "Analyzing"],
  "spinnerTipsOverride": {
    "label": "Team tips",
    "tips": [
      "Custom tip 1",
      {"id": "tip-2", "text": "Custom tip 2", "cooldownSessions": 5, "priority": 1}
    ],
    "tipsFile": "~/.claude/team-tips.json",
    "excludeDefault": true
  },
  "skillOverrides": {
    "legacy-skill": "off",
    "manual-only-skill": "user-invocable-only",
    "compact-skill": "name-only"
  },
  "includeGitInstructions": false,
  "modelOverrides": {
    "bedrock": "us.anthropic.claude-opus-5",
    "vertex": "claude-opus-5",
    "foundry": "claude-opus-4-8"
  },
  "autoMemoryDirectory": ".claude/memory",
  "sandbox": {
    "enableWeakerNetworkIsolation": true
  }
}

skillOverrides ist hilfreich, wenn ein Team über eine umfangreiche skills-Bibliothek verfügt, die zur Laufzeit verfügbaren Elemente jedoch stärker begrenzen möchte. Verwenden Sie off, um ein skill sowohl vor dem Modell als auch in der Slash-Auswahl auszublenden, user-invocable-only, damit es weiterhin namentlich aufgerufen werden kann, aber nicht mehr vom Modell ausgewählt wird, und name-only, damit nur der Name des skills ohne die vollständige Beschreibung sichtbar bleibt.¹⁵⁶

Neuere Einstellungen (v2.1.174–176):

• availableModels / enforceAvailableModels (verwaltet, ab v2.1.175): Die availableModels-Zulassungsliste beschränkt, welche Modelle in einer Sitzung ausgewählt werden können. Mit enforceAvailableModels: true gilt die Zulassungsliste auch für das Standardmodell: Würde „Standard“ zu einem nicht zugelassenen Modell aufgelöst, wird stattdessen das erste zugelassene Modell verwendet. Außerdem können Benutzer- oder Projekteinstellungen eine verwaltete availableModels-Liste nicht mehr erweitern. Eine ergänzende Korrektur (v2.1.176) schließt die Lücke, durch die eine Alias-Auswahl über ANTHROPIC_DEFAULT_*_MODEL zu einem gesperrten Modell umgeleitet werden konnte; zudem weigert sich /fast nun, auf ein Modell außerhalb der Zulassungsliste umzuschalten.¹⁷² Seit v2.1.187 können Organisationen Modellbeschränkungen direkt für die /model-Auswahl, --model, /model und ANTHROPIC_MODEL durchsetzen. Bei Auswahl eines eingeschränkten Modells erscheint die Meldung „durch die Einstellungen Ihrer Organisation eingeschränkt“.¹⁷⁶
• language (Überarbeitung in v2.1.176): Neben der Festlegung der Antwortsprache werden Sitzungstitel nun standardmäßig in der Sprache Ihrer Unterhaltung erstellt. Legen Sie mit language eine bestimmte Sprache für die Titel fest.¹⁷²
• footerLinksRegexes (v2.1.176): Über reguläre Ausdrücke abgeglichene Link-Badges in der Fußzeile, die über Benutzer- oder verwaltete Einstellungen konfiguriert werden können.¹⁷²
• wheelScrollAccelerationEnabled (v2.1.174): Setzen Sie den Wert auf false, um die Beschleunigung beim Scrollen mit dem Mausrad im Vollbildmodus zu deaktivieren.¹⁷²

Neuere Einstellungen (v2.1.207–v2.1.212):

• vimInsertModeRemaps (v2.1.208): Benutzerdefinierte Tastenneubelegungen für den vim-Einfügemodus – das klassische Beispiel ist die Zuordnung von jj zu Escape (siehe Vim-Modus).¹⁸⁶
• axScreenReader (v2.1.208): Aktiviert den Screenreader-Modus dauerhaft (siehe Screenreader-Modus).¹⁸⁶
• processWrapper (v2.1.208): Leitet jeden Prozess, den Claude Code für sich selbst startet, über eine Wrapper-Programmdatei – entwickelt für Unternehmens-Launcher (siehe Unternehmens-Launcher).¹⁸⁶
• Quellenbeschränkung für autoMode (v2.1.207): Die Einstellung autoMode wird nicht mehr aus der .claude/settings.local.json eines Repositorys gelesen. Konfigurieren Sie sie stattdessen in ~/.claude/settings.json. Damit wird verhindert, dass ein geklontes Repository eine Auto-Mode-Konfiguration mitliefert.¹⁸⁵

Neuere Einstellungen (v2.1.217):

• emojiCompletionEnabled (v2.1.217): Autovervollständigung von Emoji-Kurzcodes in der Prompt-Eingabe – geben Sie :heart: ein, um ❤️ einzufügen, oder einen Teil wie :hea, um Vorschläge zu erhalten. Standardmäßig aktiviert; setzen Sie den Wert zum Deaktivieren auf false.¹⁹⁴

Neuere Einstellungen (v2.1.219):

• sandbox.network.strictAllowlist (v2.1.219): Verweigert Sandbox-Befehlen den Zugriff auf Hosts, die nicht in der Zulassungsliste stehen, ohne nachzufragen, anstatt einen Berechtigungsdialog anzuzeigen. Siehe Sandbox-Modus.¹⁹⁶
• workflowSizeGuideline (v2.1.219): Legt die unverbindliche Größenrichtlinie für Dynamic-Workflows über eine beliebige Einstellungsdatei fest – Benutzer-, Projekt- oder verwaltete Einstellungen – und nicht mehr ausschließlich über /config. Für Dynamic-Workflows gilt standardmäßig die Richtlinie mittel („weniger als 15 agents anstreben“); die entsprechende /config-Zeile wird ausgeblendet, solange der Wert aus einer Einstellungsdatei stammt. Dies ist eine Empfehlung, keine erzwungene Obergrenze. Siehe subagents.¹⁹⁶

Neuere Einstellungen (v2.1.242–243):

• modelPicker (Benutzer oder verwaltet, ab v2.1.242): Stellen Sie die /model-Auswahl mit einer geordneten, beschrifteten Modellliste zusammen. Ein Objekt mit einem options-Array (jede Zeile enthält das erforderliche model sowie optional label und description; model wird unverändert übernommen, sodass Aliasse, Anthropic-IDs und Bedrock-/Vertex-/Foundry-/Gateway-IDs unterstützt werden) und einem optionalen booleschen Wert replaceBuiltInOptions (false, der Standardwert, hängt die Zeilen an die integrierte Auswahl an; true zeigt nur Ihre Zeilen, Standard und das Modell, mit dem die Sitzung bereits ausgeführt wird). Claude Code liest den Schlüssel aus verwalteten Einstellungen, --settings und Benutzereinstellungen, ignoriert ihn jedoch in Projekt- und lokalen Einstellungen, sodass ein geklontes Repository die Auswahl nicht umbenennen kann. Die höchstrangige Quelle, in der der Schlüssel festgelegt ist, liefert die gesamte Auswahl. Eine availableModels-Zulassungsliste gilt weiterhin für jede Zeile, und ein Label ändert lediglich die Anzeige in der Auswahl, nicht das tatsächlich ausgeführte Modell.²²⁷²²⁵
• promptCacheTtl / subagentPromptCacheTtl (beliebige Datei, ab v2.1.242): "5m" oder "1h" pro Anfrage-Bucket, sodass Benutzer mit API-Schlüsseln und Cloud-Anbietern für die Hauptunterhaltung einen einstündigen Cache beibehalten können, während subagents bei fünf Minuten bleiben. Siehe Caching-Strategien.²²⁷²²⁵
• modelPricing (verwaltet, ab v2.1.243): Die vertraglich vereinbarten organisationsspezifischen Preise pro Modell und der Rabattmultiplikator, die von /cost, der Statuszeile und den Telemetrie-Kostenangaben anstelle des Listenpreises verwendet werden. Siehe Kosten anzeigen.²²⁷

Neuere Einstellungen (v2.1.247): - feedbackDrafts (v2.1.247): steuert das neue SendFeedback-Tool – wenn in einer Sitzung etwas schiefläuft, kann Claude einen Feedbackbericht entwerfen, den Sie unter /feedback prüfen und senden können; mit dieser Einstellung deaktivieren Sie das Erstellen solcher Entwürfe. Siehe die Zeile zu /feedback unter Slash Commands.²²² - Erweiterte Struktur von spinnerTipsOverride (v2.1.247): Einträge mit Tipps können neben einfachen Zeichenfolgen jetzt auch Objekte der Form {id, text, cooldownSessions, priority} sein. Außerdem erhält das Objekt die Schlüssel tipsFile und label, sodass Organisationen ihre eigenen Tipps zusammen mit den integrierten rotieren lassen können (das obige Beispiel zeigt die erweiterte Struktur). In der Dokumentation zu den Einstellungen sind die neuen Schlüssel noch nicht aufgeführt – der CHANGELOG ist dafür die einzige Quelle.²²²

Neuere Einstellungen (v2.1.248–251):

• desktopSessionCleanupPeriodDays (v2.1.248): begrenzt, wie lange vom Desktop geschriebene Sitzungen von der Transkriptbereinigung ausgenommen bleiben. Wichtiger als die Einstellung selbst ist die zugehörige Fehlerbehebung: Sitzungen aus Claude Desktop und Cowork verschwanden früher nach Ablauf von cleanupPeriodDays (standardmäßig 30 Tage); die Bereinigung behält sie jetzt bei, solange sie sich in der App befinden, sofern die Aufbewahrung nicht durch eine Organisationsrichtlinie geregelt wird.²⁰⁶
• Einschränkungen für env auf Projektebene (v2.1.251): Ein env-Block in einer .claude/settings.json auf Projektebene kann CLAUDE_CONFIG_DIR, CLAUDE_CODE_TMPDIR oder TMPDIR/TMP/TEMP nicht mehr festlegen. Definieren Sie diese stattdessen in Ihrer Shell oder in Benutzer- beziehungsweise verwalteten Einstellungen, damit ein geklontes Repository nicht umleiten kann, wohin Claude Code seine Konfigurations- und temporären Dateien schreibt.²⁰⁶

Neuere Einstellungen (v2.1.257-259):

• timeFormat / timeZone (v2.1.257): steuern, wie Claude Code Uhrzeiten darstellt – sowohl die Abschlusszeit am Ende eines Durchlaufs als auch Zeitstempel in Transkripten. timeFormat akzeptiert das 12-Stunden-Format, das 24-Stunden-Format, das 24-Stunden-Format in UTC oder ein explizites strftime-Muster; timeZone gibt die Zeitzone an. In der Dokumentation zu den Einstellungen sind diese Optionen noch nicht aufgeführt – der CHANGELOG ist die Quelle.²¹¹
• permissions.blockReadsOutsideWorkingDirectories (v2.1.257): verweigert Dateilesezugriffe außerhalb der Arbeitsverzeichnisse einer Sitzung vollständig. Ohne diese Einstellung fragt der auto mode jetzt einmalig vor dem ersten derartigen Lesezugriff einer Sitzung nach (siehe Auto Mode).²¹¹ v2.1.273 schließt 2 Lücken: Bei einem Bash-Befehl, den die Prüfung nicht vollständig analysieren kann, wird nachgefragt, anstatt die Prüfung zu überspringen. Außerdem wird ein Speicherverzeichnis, das in den Einstellungen eines Repositorys ausgewählt wurde, unter dieser Einstellung weder geladen noch abgerufen oder indexiert.²¹⁷
• managedMcpServers / managedSourcesBehavior: Schlüssel im verwalteten Geltungsbereich, die unter Unternehmensbereitstellung behandelt werden – für Organisationen, die allen Benutzern MCP-Server bereitstellen (v2.1.259), sowie für die optionale Zusammenführung verwalteter Quellen (in v2.1.257 verfeinert).²¹¹²²¹

Neuere Einstellungen (v2.1.261):

• bashOutputMaxChars / taskOutputMaxChars (v2.1.261): erhöhen die Menge der Befehlsausgabe beziehungsweise der Ausgabe von Hintergrundaufgaben, die Claude direkt erhält, bevor der Rest in einer Datei gespeichert wird – auf bis zu 128K Zeichen. Dies ist ein anderer Mechanismus als die Umgebungsvariable BASH_MAX_OUTPUT_LENGTH, die das Rücklesefenster aus der Arbeitsausgabedatei des Befehls festlegt (standardmäßig 30.000 Zeichen, begrenzt auf 150.000): Diese Schlüssel steuern den Schwellenwert zwischen direkter Ausgabe und Speicherung in einer Datei. Wird er überschritten, landet die Ausgabe in einer Datei, die Claude bei Bedarf lesen kann, anstatt abgeschnitten zu werden.²¹⁴ Seit v2.1.265 gilt auch für die gespeicherte Ausgabe eine Obergrenze: Auf der Festplatte gespeicherte Tool-Ergebnisse sind auf 1 GB begrenzt, und die Vorschau innerhalb der Unterhaltung weist darauf hin, wenn eine gespeicherte Datei abgeschnitten wurde.²¹⁵

Neuere Einstellungen (v2.1.267-269):

• maxEffortLevel (v2.1.267): begrenzt das auswählbare Aufwandsniveau – entweder auf oberster Ebene oder je Modell unter modelSettings – und gilt für alle Anbieter, einschließlich Bedrock, Vertex und Foundry. Benutzer können weiterhin ein Niveau unterhalb der Obergrenze auswählen; dies ist das administrative Gegenstück zu /effort.²¹⁶
• bashEditDiffEnabled (v2.1.269): Wenn das Bash-Tool eine Datei bearbeitet, enthält das Tool-Ergebnis ein Diff der durch den Befehl geänderten Dateien. So zeigt die Unterhaltung, was eine Bearbeitung im Stil von sed tatsächlich bewirkt hat.²¹⁶

Einstellungen im Überblick: die meistgesuchten Flags

Falls Sie gezielt nach einer bestimmten Einstellung gesucht haben, finden Sie hier den Kurzindex. Jeder Eintrag nennt die Version, mit der die Einstellung eingeführt wurde, und – sofern sie einem bestimmten Geltungsbereich zugeordnet ist – den entsprechenden Bereich:

ANTHROPIC_API_KEY=sk-ant-...                    # Direct API authentication
ANTHROPIC_AUTH_TOKEN=token                      # Custom authorization header
ANTHROPIC_CUSTOM_HEADERS="X-Key: val"           # Additional request headers; credential/org/routing/API-behavior headers set from managed or project settings require approval (v2.1.251)[^238]

Modellkonfiguration:

ANTHROPIC_MODEL=claude-opus-4-7                 # Override default model (Apr 16, 2026)
ANTHROPIC_DEFAULT_MODEL=claude-opus-5           # Model new sessions START on; a /model pick overrides + persists (v2.1.236)
ANTHROPIC_DEFAULT_OPUS_MODEL=claude-opus-5      # What the `opus` alias resolves to (Opus 5 since v2.1.219)
ANTHROPIC_DEFAULT_SONNET_MODEL=claude-sonnet-4-6
ANTHROPIC_DEFAULT_HAIKU_MODEL=claude-haiku-4-5-20251001
CLAUDE_CODE_SUBAGENT_MODEL=sonnet               # Default model for subagents; an agent's model: field and per-spawn picks win (v2.1.251 demoted it from override to default)[^238]
CLAUDE_CODE_SUBAGENT_MODEL_FORCE=1              # Force every subagent onto CLAUDE_CODE_SUBAGENT_MODEL (or the main model), ignoring agent-definition and per-spawn overrides -- the pre-v2.1.251 behavior, opt-in (v2.1.257)[^243]
CLAUDE_CODE_WORKFLOWS=1                         # Enable Workflow tool for deterministic multi-agent orchestration (v2.1.147+)
MAX_THINKING_TOKENS=10000                       # (Opus 4.6 and Sonnet 4.6 only — removed in Opus 4.7)
CLAUDE_CODE_MAX_OUTPUT_TOKENS=4000              # Limit output length
CLAUDE_CODE_EXPERIMENTAL_AGENT_TEAMS=1          # Enable agent teams (v2.1.32+)

Cloud-Anbieter-Konfiguration:

CLAUDE_CODE_USE_BEDROCK=1                       # Use AWS Bedrock
CLAUDE_CODE_USE_VERTEX=1                        # Use Google Vertex AI
CLAUDE_CODE_USE_FOUNDRY=1                       # Use Microsoft Foundry
ANTHROPIC_BEDROCK_BASE_URL=https://...          # Custom Bedrock endpoint
ANTHROPIC_BEDROCK_SERVICE_TIER=priority         # Bedrock service tier (v2.1.122+): 'default', 'flex', or 'priority'; sent as X-Amzn-Bedrock-Service-Tier header[^162]
CLAUDE_CODE_SKIP_BEDROCK_AUTH=1                 # Skip Bedrock auth (for gateways)
CLAUDE_CODE_SKIP_VERTEX_AUTH=1                  # Skip Vertex auth
AWS_BEARER_TOKEN_BEDROCK=token                  # Bedrock bearer token
VERTEX_REGION_CLAUDE_3_7_SONNET=us-west1        # Override Vertex region
CLAUDE_CODE_ENABLE_GATEWAY_MODEL_DISCOVERY=1    # Opt in gateway /v1/models discovery for /model picker (v2.1.129+)[^164]
CLAUDE_CODE_GATEWAY_MODEL_DISCOVERY_TIMEOUT_MS=3000  # Extend the LLM gateway /v1/models discovery timeout (default 3s; v2.1.269+)[^252]
CLAUDE_CODE_GATEWAY_HINT_HEADERS=1              # Send five x-claude-code-* hint headers (request-class, agent-type, prev-tool-durations, compaction, context-compacted) for LLM gateways (opt-in; v2.1.273+)[^253]
CLAUDE_CODE_AUTO_MODE_SERVER=1                  # Use the platform's server-side auto-mode classifier on Bedrock/Vertex/Foundry; since v2.1.273 the local classifier is the default there "for now"[^253]

Verhaltenssteuerung:

DISABLE_AUTOUPDATER=1                           # Prevent automatic background updates
DISABLE_UPDATES=1                               # Block ALL update paths including manual `claude update` (v2.1.118+, stricter than DISABLE_AUTOUPDATER)[^160]
CLAUDE_CODE_PACKAGE_MANAGER_AUTO_UPDATE=1       # Homebrew/WinGet installs run package-manager upgrade in background, then prompt restart (v2.1.129+)[^164]
DISABLE_TELEMETRY=1                             # Opt out of usage telemetry
DISABLE_ERROR_REPORTING=1                       # Disable Sentry
DISABLE_BUG_COMMAND=1                           # Disable /bug command
CLAUDE_CODE_RESTRICTED=1                        # Restricted mode: no command/code tools or WebFetch unless named in --tools; only managed settings load (v2.1.248+)[^238]
DISABLE_COST_WARNINGS=1                         # Hide cost warnings
DISABLE_PROMPT_CACHING=1                        # Disable prompt caching globally
DISABLE_PROMPT_CACHING_SONNET=1                 # Disable for Sonnet only
DISABLE_PROMPT_CACHING_OPUS=1                   # Disable for Opus only
DISABLE_NON_ESSENTIAL_MODEL_CALLS=1             # Skip non-critical API calls
ENABLE_PROMPT_CACHING_1H=1                      # Opt into 1-hour prompt cache TTL (v2.1.108+, API/Bedrock/Vertex/Foundry)
ENABLE_PROMPT_CACHING_1H_BEDROCK=1              # Deprecated alias for the above; v2.1.108+ still honors it on Bedrock but logs a deprecation notice
FORCE_PROMPT_CACHING_5M=1                       # Force 5-minute cache TTL (v2.1.108+)
CLAUDE_CODE_PROMPT_CACHE_TTL=1h                 # Main-conversation cache TTL, 5m or 1h; beats the promptCacheTtl setting (v2.1.242+)[^234]
CLAUDE_CODE_SUBAGENT_PROMPT_CACHE_TTL=5m        # TTL for subagents, workflows, forks, compaction, titles; beats subagentPromptCacheTtl (v2.1.242+)[^234]
ENABLE_TOOL_SEARCH=true                         # Re-enable tool search on Vertex AI (disabled by default v2.1.119+ to avoid unsupported beta header). Valid values: true, false, auto, auto:N[^160]
CLAUDE_CODE_HIDE_CWD=1                          # Hide the working directory in the startup logo (v2.1.119+)[^160]
CLAUDE_CODE_FORK_SUBAGENT=1                     # Enable forked subagents on external builds (v2.1.117+)[^160]
CLAUDE_CODE_FORCE_SYNC_OUTPUT=1                 # Force synchronized terminal output when auto-detection misses it, such as Emacs eat (v2.1.129+)[^164]
CLAUDE_CODE_SESSION_ID=...                      # Read-only: present in the Bash tool subprocess; matches the session_id passed to hooks (v2.1.132+)[^168]
CLAUDE_CODE_DISABLE_ALTERNATE_SCREEN=1          # Skip the fullscreen alternate-screen renderer; keep the conversation in the terminal's native scrollback (v2.1.132+)[^168]
CLAUDE_EFFORT=...                               # Read-only: current effort level inside hooks and Bash tool subprocess (v2.1.133+)[^169]
CLAUDE_CODE_FORWARD_SUBAGENT_TEXT=1             # Include subagent text + thinking in stream-json output; pairs with --forward-subagent-text (v2.1.211+). Covers depth-2+ nested subagents as of v2.1.219[^205][^213]
CLAUDE_CODE_MAX_WEB_SEARCHES_PER_SESSION=200    # Per-session WebSearch cap (default 200; v2.1.212+)[^206]
CLAUDE_CODE_WEBFETCH_CACHE_TTL_MS=900000        # WebFetch per-URL session cache TTL (default 15 min; v2.1.233+)[^226]
CLAUDE_CODE_WEBFETCH_DEADLINE_MS=300000         # WebFetch hard deadline: a server that never finishes its response fails the fetch after 300s by default; 0 disables (v2.1.268+)[^252]
CLAUDE_CODE_PROJECT_DIR_NAME=myproj             # Short name for the per-project transcript directory, for hosts that give each session its own config dir (v2.1.234+)[^227]
CLAUDE_CODE_GOAL_CHECKIN_MINUTES=30             # How long background tasks may keep a /goal waiting before Claude checks in on them; 0 disables (v2.1.234+)[^227]
CLAUDE_CODE_MAX_SUBAGENTS_PER_SESSION=200       # Per-session subagent-spawn cap (default 200 in v2.1.212–223; the default cap was REMOVED in v2.1.224 — set this to reimpose one)[^206][^218]
CLAUDE_CODE_MAX_CONCURRENT_SUBAGENTS=20         # Cap on concurrently-RUNNING subagents (default 20; distinct from the per-session total above; v2.1.217+)[^211]
CLAUDE_CODE_WORKFLOW_PREFIX_STAGGER_MS=0        # Disable the v2.1.229 workflow fan-out stagger (same-prefix sibling agents launch staggered so they read the cached prompt prefix instead of re-paying it)[^224]
CLAUDE_CODE_WORKFLOW_MAX_CONCURRENT_AGENTS=64   # Raise the Workflow tool's per-run concurrent agent limit, 1-256, for inference-bound fan-outs (v2.1.269+)[^252]
CLAUDE_CODE_MAX_SUBAGENT_SPAWN_DEPTH=3          # Nested subagent spawn depth. Default 3 as of v2.1.219; set 1 to disable nesting. Default history: 5 (v2.1.172–v2.1.216) → 1 (v2.1.217) → 3 (v2.1.219). Set it explicitly[^211][^213]

Tool-Konfiguration:

BASH_DEFAULT_TIMEOUT_MS=30000                   # Bash command timeout (30s)
BASH_MAX_TIMEOUT_MS=600000                      # Maximum bash timeout (10min)
BASH_MAX_OUTPUT_LENGTH=50000                    # Read-back window from the Bash working output file (default 30,000 chars, hard ceiling 150,000)
CLAUDE_BASH_MAINTAIN_PROJECT_WORKING_DIR=1     # Reset CWD after each bash
MCP_TIMEOUT=5000                                # MCP server startup timeout
MCP_TOOL_TIMEOUT=30000                          # MCP tool execution timeout
MAX_MCP_OUTPUT_TOKENS=25000                     # MCP output limit
CLAUDE_CODE_MCP_AUTO_BACKGROUND_MS=120000       # Threshold before a long MCP tool call moves to the background (default 2 min; v2.1.212+)[^206]
CLAUDE_CODE_TOOL_MEMORY_LIMIT=4096              # Opt-in Linux memory cgroup (MB) for Bash tool commands — a runaway build can't stall the session (v2.1.233+)[^226]
CLAUDE_CODE_ENABLE_TODO_TOOLS=1                 # Offer the TodoWrite/TaskCreate-family tools on models outside v2.1.268's allowlist (Claude 3.x, Opus 4.0-4.7, Sonnet 4.0-4.6, Haiku 4.5); elsewhere they are off unless set (first turned off on newer models in v2.1.233)[^226][^252]
SLASH_COMMAND_TOOL_CHAR_BUDGET=15000            # Slash command context limit

Netzwerk und Proxy:

HTTP_PROXY=http://proxy:8080                    # HTTP proxy
HTTPS_PROXY=https://proxy:8080                  # HTTPS proxy
NO_PROXY=localhost,example.com                  # Bypass proxy for domains
CLAUDE_CODE_CLIENT_CERT=/path/to/cert           # mTLS certificate
CLAUDE_CODE_CLIENT_KEY=/path/to/key             # mTLS private key
CLAUDE_CODE_CLIENT_KEY_PASSPHRASE=pass          # mTLS passphrase

UI und Terminal:

CLAUDE_CODE_DISABLE_TERMINAL_TITLE=1            # Don't update terminal title
CLAUDE_CODE_IDE_SKIP_AUTO_INSTALL=1             # Skip IDE extension install
CLAUDE_CODE_SHELL=/bin/zsh                      # Override shell detection
USE_BUILTIN_RIPGREP=1                           # Use included ripgrep (default)
CLAUDE_CONFIG_DIR=~/.myconfig                   # Custom config directory; not settable from project-settings env (v2.1.251)[^238]
IS_DEMO=1                                       # Hide sensitive UI elements[^37]
CLAUDE_CODE_DISABLE_BACKGROUND_TASKS=1          # Disable background tasks and Ctrl+B[^46]
CLAUDE_CODE_TMPDIR=/path/to/tmp                 # Override temp directory; not settable from project-settings env, nor are TMPDIR/TMP/TEMP (v2.1.251)[^50][^238]
CLAUDE_CODE_DISABLE_1M_CONTEXT=1               # Hold ALL native-1M models to 200K via auto-compaction (v2.1.223 widened scope)[^103][^217]
CLAUDE_CODE_DISABLE_UNKNOWN_MODEL_WINDOW_ENFORCEMENT=1  # Let unrecognized model IDs exceed the assumed context window (v2.1.223)[^217]
CLAUDE_CODE_PLUGIN_GIT_TIMEOUT_MS=120000       # Plugin marketplace git timeout (default 120s, was 30s)[^105]
CLAUDE_CODE_DISABLE_GIT_INSTRUCTIONS=1        # Remove built-in commit/PR instructions[^117]
CLAUDE_CODE_DISABLE_CRON=1                    # Stop scheduled cron jobs mid-session[^121]
CLAUDE_CODE_SESSIONEND_HOOKS_TIMEOUT_MS=30000 # SessionEnd hooks timeout (default varies)[^123]
CLAUDE_CODE_USE_POWERSHELL_TOOL=1             # Enable Windows PowerShell tool on Linux/macOS (requires pwsh on PATH; v2.1.111+)[^153]
CLAUDE_CODE_DISABLE_MOUSE_CLICKS=1           # Disable mouse click/drag/hover in fullscreen mode; wheel scroll still works (v2.1.195+)[^196]
CLAUDE_ENABLE_STREAM_WATCHDOG=0              # Disable the streaming idle watchdog (on by default for all providers since v2.1.196: aborts+retries after 5 min of silence)[^198]
CLAUDE_CODE_DISABLE_BG_SHELL_PRESSURE_REAP=1 # Turn off automatic memory-pressure reaping of idle background shell commands (v2.1.193+)[^196]
CLAUDE_CODE_ENABLE_AWAY_SUMMARY=1             # Force Session Recap when telemetry disabled (v2.1.108+)[^153]
CLAUDE_CODE_BG_TASKS_REPORT_RUNNING=0         # Restore pre-v2.1.269 behavior: remote/headless sessions may report "waiting for your input" while background agents still run[^252]
CLAUDE_AX_SCREEN_READER=1                     # Enable screen reader mode; same as --ax-screen-reader or "axScreenReader": true (v2.1.208+)[^203]
OTEL_LOG_RAW_API_BODIES=1                     # Emit full API request/response bodies as OTel log events (v2.1.111+)[^153]
TRACEPARENT=00-...                            # W3C Trace Context parent (v2.1.110+, SDK/headless)[^153]
TRACESTATE=vendor=value                       # W3C Trace Context state (v2.1.110+, SDK/headless)[^153]

OpenTelemetry-Exporter und Schutz sensibler Felder:²⁴⁵

OTEL_LOGS_EXPORTER=none                       # OTel logs exporter (supports 'none' for disable; v2.1.85 fixed crash)
OTEL_METRICS_EXPORTER=none                    # OTel metrics exporter (supports 'none'; v2.1.85 fixed crash)
OTEL_TRACES_EXPORTER=none                     # OTel traces exporter (supports 'none'; v2.1.85 fixed crash)
OTEL_LOG_TOOL_CONTENT=1                       # Opt in to emitting tool content in OTel spans (v2.1.101+, sensitive by default)
OTEL_LOG_TOOL_DETAILS=1                       # Opt in to tool_parameters in OTel tool_result events (v2.1.85+); as of v2.1.273 also puts real agent, skill, plugin, and MCP server names on cost and token metrics[^253]
OTEL_LOG_USER_PROMPTS=1                       # Opt in to emitting user prompts in OTel traces (v2.1.101+, sensitive by default)
OTEL_LOG_ASSISTANT_RESPONSES=0                # Gate the claude_code.assistant_response log event holding the model's response text (v2.1.193+)
OTEL_METRICS_INCLUDE_REPOSITORY=1             # Tag OTel metrics and events with vcs.* repository attributes; with OTEL_LOG_TOOL_DETAILS, commit events carry vcs.ref.head.* (v2.1.269+)[^252]
CLAUDE_CODE_OTEL_CONTENT_MAX_LENGTH=60000     # Truncation limit for OTel content attributes (default 60 KB; v2.1.214+)[^207]
CLAUDE_CODE_DISABLE_NONESSENTIAL_TRAFFIC=1    # Disable release-notes fetch (v2.0.17+); v2.1.110 also stopped the auto-title Haiku request in headless/SDK when set

v2.1.121+ Attribute für LLM-Anfrage-Spans: stop_reason, gen_ai.response.finish_reasons und user_system_prompt werden jetzt für LLM-Anfrage-Spans ausgegeben. user_system_prompt wird nur ausgegeben, wenn OTEL_LOG_USER_PROMPTS=1 gesetzt ist, da es personenbezogene Daten enthalten kann.¹⁵⁴

v2.1.122+ Änderungen auf Ereignisebene: Numerische Attribute in den Log-Ereignissen api_request und api_error werden jetzt als Zahlen ausgegeben (zuvor als Zeichenfolgen) – dadurch werden Probleme mit nachgelagerten OTel-Collectoren behoben, die für das Schema strikte Typen voraussetzen. Das neue Log-Ereignis claude_code.at_mention wird ausgelöst, wenn Claude Code eine @-Erwähnung auflöst.¹⁵⁴

v2.1.193+ Log-Ereignis claude_code.assistant_response: Claude Code kann den vollständigen Antworttext des Modells als OTel-Log-Ereignis ausgeben, sofern OTEL_LOG_ASSISTANT_RESPONSES dies zulässt. Dabei gibt es einen wichtigen Fallstrick beim Upgrade: Ist OTEL_LOG_ASSISTANT_RESPONSES nicht gesetzt, übernimmt es den Wert von OTEL_LOG_USER_PROMPTS. Jede Bereitstellung, die bereits Prompt-Inhalte protokolliert, empfängt nach dem Upgrade daher zusätzlich die Antwortinhalte des Assistenten. Setzen Sie OTEL_LOG_ASSISTANT_RESPONSES=0, damit die Telemetrie weiterhin ausschließlich Prompts enthält.¹⁷⁹

Telemetrie-Erweiterungen in v2.1.214: OTel-Log-Ereignisse enthalten jetzt die Attribute message.uuid, client_request_id und tool_source, um Nachrichten zu korrelieren und die Herkunft von Tools nachzuverfolgen. Die Nutzlast subagentStatusLine enthält den Reasoning-Aufwand des subagents, sodass benutzerdefinierte Statuszeilen Modell und Aufwand gemeinsam darstellen können. Außerdem lässt sich mit der neuen Umgebungsvariablen CLAUDE_CODE_OTEL_CONTENT_MAX_LENGTH die Begrenzung für das Abschneiden von OTel-Inhaltsattributen konfigurieren, die standardmäßig 60 KB beträgt.¹⁹⁰

Gateway-Telemetrie in v2.1.265: Sitzungen über das Claude apps gateway exportieren OpenTelemetry jetzt direkt an einen Collector, wenn in den verwalteten Einstellungen des Gateways unter OTEL_EXPORTER_OTLP_ENDPOINT einer angegeben ist, statt die Daten über den Relay-Dienst des Gateways zu leiten. Sitzungen ohne angegebenen Collector verwenden weiterhin den Relay-Dienst. Dieselbe Version ergänzt die Telemetrie, die Claude Desktop und Cowork über ein Claude apps gateway senden, um user.email und user.groups und gleicht sie damit an Terminalsitzungen an.²¹⁵

API / Modellsteuerung:²⁴⁵

CLAUDE_CODE_EXTRA_BODY='{...}'                # Inject extra body fields into API calls; v2.1.113 fixed 400 errors with output_config.effort on Vertex/subagent calls
CLAUDE_CODE_MAX_CONTEXT_TOKENS=200000         # Override max context tokens (pre-existing var; v2.1.98 fixed handling of DISABLE_COMPACT when both are set)
CLAUDE_CODE_FILE_READ_MAX_OUTPUT_TOKENS=25000 # Override default token limit for file read operations (v2.1.0+)
CLAUDE_CODE_DISABLE_NONSTREAMING_FALLBACK=1   # Do not fall back to non-streaming API on streaming failures (v2.1.83+)
ANTHROPIC_BETAS=beta1,beta2                   # Enable beta API headers; v2.1.78 fixed silent ignore on Haiku models
ANTHROPIC_SMALL_FAST_MODEL=arn:...            # Fast model ID (Bedrock ARN supported; v0.2.125 stopped escaping slashes in ARN)

Plugins / MCP:²⁴⁵

CLAUDE_CODE_PLUGIN_CACHE_DIR=~/.claude/plugins # Plugin cache directory (v2.1.72 fixed literal '~' dir on some shells)
CLAUDE_CODE_PLUGIN_KEEP_MARKETPLACE_ON_FAILURE=1 # Preserve plugin marketplace cache when git pull fails (offline-friendly; v2.1.90+)
CLAUDE_CODE_MCP_SERVER_NAME=server1           # Passed to MCP headersHelper scripts so one helper can serve multiple servers (v2.1.85+)
CLAUDE_CODE_MCP_SERVER_URL=https://...        # Passed to MCP headersHelper scripts alongside the name (v2.1.85+)

Shell / IDE:²⁴⁵

CLAUDE_CODE_SHELL_PREFIX="time "              # Wrap every Claude-invoked shell command with a prefix (v1.0.61+)
CLAUDE_CODE_GIT_BASH_PATH=C:\Program\ Files\Git\bin\bash.exe  # Custom Git Bash path on Windows (v2.1.98+)
CLAUDE_CODE_EXIT_AFTER_STOP_DELAY=60000       # SDK: exit after N ms idle (v2.0.35+)
CLAUDE_CODE_AUTO_CONNECT_IDE=false            # Disable IDE auto-connection (v1.0.61+)

Unternehmen / Authentifizierung:²⁴⁵

CLAUDE_CODE_PROXY_RESOLVES_HOSTS=1            # Opt into proxy-side DNS resolution (v2.0.55 moved this from default-on to opt-in)
CLAUDE_CODE_API_KEY_HELPER_TTL_MS=300000      # TTL for dynamically generated API keys via apiKeyHelper (apiKeyHelper refresh added v0.2.74 with 5-min default; env var added v0.2.117)
CLAUDE_CODE_PROCESS_WRAPPER=/path/to/wrapper  # Route all Claude Code self-spawned processes through a wrapper executable; same as the processWrapper setting (v2.1.208+)[^203]

Skill-Variablen (v2.1.69+):

${CLAUDE_SKILL_DIR}                            # Self-reference for skills to locate their own directory[^117]

SDK-Aufruferidentität (v2.1.51+):

CLAUDE_CODE_ACCOUNT_UUID=uuid                  # Provide account UUID synchronously for SDK callers
CLAUDE_CODE_USER_EMAIL=user@example.com        # Provide user email for SDK callers
CLAUDE_CODE_ORGANIZATION_UUID=uuid             # Provide organization UUID for SDK callers

Fehlerbehebung:

ANTHROPIC_LOG=debug                             # Enable API request logging

Welches Modell sollte ich wählen?

Die Wahl des richtigen Modells für die jeweilige Aufgabe wirkt sich erheblich auf Kosten und Qualität aus. Claude Code ermöglicht einen flexiblen Modellwechsel auf mehreren Ebenen.

Verfügbare Modelle

Zwei grundlegende Änderungen beim Umstieg eines Harnesses von Opus 4.8 auf Opus 5:¹⁹⁷

1. Denken ist standardmäßig aktiviert. Unter Opus 4.8 wurde eine Anfrage ohne thinking-Feld ohne Denken ausgeführt; unter Opus 5 läuft dieselbe Anfrage mit adaptivem Denken. max_tokens bleibt eine feste Obergrenze für die gesamte Ausgabe — Gedanken plus Antworttext. Prüfen Sie deshalb den verfügbaren Spielraum für alle Workloads erneut, die zuvor ohne Denken ausgeführt wurden. Übergeben Sie thinking: {type: "disabled"}, um das frühere Verhalten wiederherzustellen; dabei gilt allerdings der folgende Punkt.
2. Bei deaktiviertem Denken ist der Aufwand auf high begrenzt. Die Kombination von thinking: {type: "disabled"} mit dem Aufwand xhigh oder max führt zu einem 400-Fehler. Die Prüfung erfolgt für jede Anfrage einzeln — wird der Aufwand bei deaktiviertem Denken auf xhigh erhöht, wird die Anfrage abgelehnt, selbst wenn frühere Nachrichten derselben Unterhaltung akzeptiert wurden.

Speziell in Claude Code ist effort bei Opus 5 standardmäßig auf high eingestellt (wie auch bei der Claude API); die vollständige Abstufung steht zur Verfügung: low, medium, high, xhigh, max. Anthropic empfiehlt in den eigenen Migrationshinweisen, den Aufwand max zu testen, wenn die Leistungsfähigkeit wichtiger als der Tokenverbrauch ist. Der schnelle Modus deckt Opus 5 zu $10/$50 pro MTok ab (siehe Schneller Modus).¹⁹⁷¹⁹⁸

Claude Fable 5.1 (1. September 2026): Die neue Spitze der Fable-Stufe und seit v2.1.257 das Modell, auf das der Alias fable verweist (sofern ANTHROPIC_DEFAULT_FABLE_MODEL nicht ein anderes Modell festlegt); best bedeutet nun „das neueste Fable-Modell, sofern es für Sie verfügbar ist“. Bei der Mindestversion ist eine Einordnung erforderlich: Laut Dokumentation zur Modellkonfiguration wurde der Alias mit v2.1.255 umgestellt, und laut Modellseite „erfordert“ Fable 5.1 Claude Code v2.1.255 oder neuer. Die Versionen 2.1.253–256 wurden jedoch nie auf npm veröffentlicht – v2.1.257 (1. September) ist die erste installierbare Version, die Fable 5.1 enthält. Modell-ID: claude-fable-5-1 (Bedrock: anthropic.claude-fable-5-1). Dieselbe Stufe und derselbe Preis pro Token wie bei Fable 5 – $10/MTok für Eingaben, $50/MTok für Ausgaben, 1M Kontext, maximal 128K Ausgabe, adaptives und stets aktives Denken sowie effort standardmäßig auf high – mit einer Preisänderung, die für lange agentische Sitzungen relevant ist: Cache-Lesevorgänge kosten $0.25/MTok, also das 0,025-Fache des Eingabepreises (2,5 %), statt der üblichen 10 %; nur Fable 5.1 und Mythos 5.1 bieten diesen Tarif, während Cache-Schreibvorgänge beim Standardpreis bleiben ($12.50 für 5 Minuten, $20 für 1 Stunde). Verlässlicher Wissensstand: Juni 2026 (Trainingsdaten ebenfalls bis Juni 2026) – der aktuellste aller derzeitigen Claude-Modelle. Einstellung frühestens am 1. September 2027. Gegenüber Fable 5 gibt es drei grundlegende Änderungen: Erzwungene Tool-Nutzung führt zu einem Fehler, frühere Modelle können seine Gedankenblöcke nicht lesen und die Bearbeitung früherer Nachrichten macht Gedankenblöcke ungültig. Hinzu kommen fünf Erweiterungen: Aufwand pro Nachricht (Beta), auf eine einzelne Runde beschränkte Systemnachrichten (Beta), Fortschrittsmeldungen zwischen Tool-Aufrufen (display: "updates", Beta), günstigere Cache-Lesevorgänge und Herkunftsnachweise für Inhalte. Claude Mythos 5.1 ist dasselbe Modell mit denselben Spezifikationen und ausschließlich auf Einladung über Project Glasswing verfügbar. Mit der Einführung wird Fable 5 zusammen mit Opus 4.8/4.7/4.6/4.5 und Sonnet 4.6/4.5 in die Tabelle der Legacy-Modelle in der Dokumentation verschoben. Ein Gateway-Vorbehalt aus den Versionshinweisen: In Gateway-Sitzungen der Claude-Apps verweisen fable und best vorerst weiterhin auf Fable 5 – ein noch nicht für 5.1 konfiguriertes Gateway lehnt das Modell ab. Wählen Sie Fable 5.1 dort daher ausdrücklich über /model aus. Beachten Sie, dass die /model-Auswahl Fable 5.1 vor v2.1.260 nicht aufführte; eine explizite Auswahl erforderte deshalb die vollständige Eingabe /model claude-fable-5-1 (siehe die nachfolgenden Korrekturen rund um die Veröffentlichung). Die tarifabhängigen Standardmodelle bleiben unverändert: Opus 5 in den Premiumtarifen, Sonnet 5 bei Pro und Team Standard.^211218219

Korrekturen rund um die Veröffentlichung von Fable 5.1 (v2.1.260, 3. September): Die erste Version nach der Veröffentlichung behebt vier Schwachstellen. Die /model-Auswahl zeigt Fable 5.1 nun für Organisationen an, die es verwenden können – vor dieser Korrektur wurde das Modell nur akzeptiert, wenn es vollständig als /model claude-fable-5-1 eingegeben wurde. Das Prompt-Caching bei Fable 5.1 umfasst nun auch Kontext, der nach Tool-Ergebnissen angehängt wird; zuvor wurde dieser bei jeder Runde mit einem Tool-Aufruf als nicht zwischengespeicherte Eingabe erneut gesendet – und untergrub damit unbemerkt den wirtschaftlichen Vorteil des 0,025-fachen Cache-Lesepreises gerade bei den langen agentischen Sitzungen, für die er gedacht ist. Wird /effort während einer Sitzung geändert, verliert der Prompt-Cache nicht länger seine Gültigkeit. Außerdem berücksichtigen Agenten mit model: fable nun das [1m]-Tag einer durch ANTHROPIC_DEFAULT_FABLE_MODEL festgelegten Vorgabe, statt unbemerkt mit einem Kontextfenster von 200K ausgeführt zu werden.²¹²

Claude Fable 5 (9. Juni 2026; Legacy seit 1. September 2026): Eine neue Modellstufe oberhalb von Opus — das leistungsfähigste und intelligenteste Modell von Anthropic, das bei nahezu jedem getesteten Benchmark dem Stand der Technik entspricht und darauf ausgelegt ist, über Millionen von Kontext-Tokens hinweg kohärent zu bleiben. Fable 5 ist das für die allgemeine Nutzung abgesicherte Frontier-Modell der „Mythos-Klasse“: Es enthält Sicherheitsklassifikatoren, die bei Anfragen zu Cyberthemen, Biochemie und Modelldestillation auf Opus 4.8 zurückfallen (Claude Mythos 5 ist dasselbe Modell ohne diese Schutzmaßnahmen und steht autorisierten Forschern zur Verfügung). Mit v2.1.170 (9. Juni 2026) wurde es in Claude Code auswählbar — führen Sie claude update und anschließend /model fable aus (der kurze Alias, der seit v2.1.257 auf Fable 5.1 verweist – wählen Sie Fable 5 heute mit /model claude-fable-5 aus) — und bis zum 22. Juni 2026 vollständig für Abonnementtarife ausgerollt. Modell-ID: claude-fable-5. Fable 5 umfasst standardmäßig ein 1M-Kontextfenster, weshalb das Suffix [1m] nicht erforderlich ist — und seit v2.1.173 (11. Juni 2026) wird der Modellname claude-fable-5[1m] automatisch normalisiert beziehungsweise auf claude-fable-5 gekürzt (das Suffix war nur bei Opus/Sonnet relevant, wo der 1M-Kontext hinter [1m] freigeschaltet wird); maximal 128K Ausgabe. Der Preis beträgt $10/MTok für Eingaben und $50/MTok für Ausgaben — etwa das Doppelte von Opus 4.8. Setzen Sie es deshalb für wirklich anspruchsvolle Schlussfolgerungen ein, nicht für routinemäßige Änderungen. Es verwendet dieselbe Anfrageoberfläche wie Opus 4.8 (ausschließlich adaptives Denken; temperature/top_p/top_k und budget_tokens wurden entfernt), allerdings mit einer Besonderheit: Ein explizites thinking: {type: "disabled"} führt zu einem 400-Fehler. Lassen Sie den Parameter thinking daher vollständig weg, wenn die Ausführung ohne Denken erfolgen soll.²³⁸ Speziell in Claude Code: Fable 5 unterstützt genau wie Opus 5 die vollständige Effort-Skala (low/medium/high/xhigh/max, standardmäßig high). Thinking kann bei Fable 5 nicht deaktiviert werden — weder der Thinking-Schalter der Sitzung noch die Einstellung alwaysThinkingEnabled oder MAX_THINKING_TOKENS=0 haben eine Wirkung; das Modell schlussfolgert stets adaptiv. Eine vollständige Konfigurationsoberfläche der fable-Familie entspricht den Opus-Optionen: ANTHROPIC_DEFAULT_FABLE_MODEL legt fest, auf welches Modell der Alias fable verweist (nützlich bei Bedrock/Vertex/Foundry), mit DISABLE_PROMPT_CACHING_FABLE wird Fable vom Prompt-Caching ausgenommen, und auf den Enterprise-Gateways greift ein inhaltsbasierter automatischer Fallback. /model opus wählt jetzt Opus 5 aus (standardmäßig mit hohem Effort, /effort xhigh für die schwierigsten Aufgaben), und die Standardeinstellung richtet sich nach Ihrem Tarif – Opus 5 in den Premiumtarifen, Sonnet 5 bei Pro/Team Standard; wählen Sie die Fable-Stufe bewusst mit /model fable, wenn Sie die absolut höchste Leistungsfähigkeit benötigen – seit v2.1.257 ist das Fable 5.1.^238197207219

Opus 4.7 (16. April 2026): Das Flaggschiff der vorherigen Generation ist weiterhin uneingeschränkt verfügbar. Kontextfenster mit 1 Mio. Token zum Standardpreis — ohne Aufpreis für lange Kontexte. Maximale Ausgabe von 128K, ausschließlich Adaptive Thinking (Extended Thinking wurde entfernt) und eine neue Effort-Stufe xhigh, die als Ausgangspunkt für Coding- und agentische Workloads empfohlen wird.¹⁴⁵ Zuverlässiger Wissensstand: Januar 2026. Trainingsdatenstand: Januar 2026. Modell-ID: claude-opus-4-7. Die Preise entsprechen mit 5 $/25 $ pro MTok denen von Opus 4.6; das Schreiben in den 5-Minuten-Cache kostet 6,25 $, das Schreiben in den 1-Stunden-Cache 10 $ und das Lesen aus dem Cache 0,50 $ pro MTok.¹⁴⁴ Opus 4.7 löst bei SWE-Bench dreimal so viele Produktionsaufgaben wie Opus 4.6, erreicht 70 % bei CursorBench (gegenüber 58 % bei 4.6) und steigert die Lösungsquote im internen Coding-Benchmark von Anthropic mit 93 Aufgaben um 13 %.¹⁴⁴ Es verwendet einen neuen Tokenizer — rechnen Sie für denselben Text mit ungefähr 1- bis 1,35-mal so vielen Token; erhöhen Sie den Spielraum für max_tokens und die Schwellenwerte für die Komprimierung.¹⁴⁵ Vision unterstützt Bilder mit bis zu 2.576 px/3,75 MP und 1:1-Pixelkoordinaten.¹⁴⁵

Coding-Benchmarks für Opus 4.7 (April 2026):¹⁵¹

Standardmodell nach Tarif (Claude Code):²⁰⁷

Inkompatible Änderungen von Opus 4.7 für Aufrufer der Messages API:¹⁴⁵

• budget_tokens für Extended Thinking wurde entfernt. Verwenden Sie stattdessen thinking: {type: "adaptive"}. Adaptive Thinking ist standardmäßig deaktiviert; Anfragen ohne Feld thinking werden ohne Thinking ausgeführt.
• Wenn Sie temperature, top_p oder top_k auf einen vom Standard abweichenden Wert setzen, wird HTTP 400 zurückgegeben. Lassen Sie diese Parameter weg und steuern Sie das Modell per Prompt.
• Thinking-Inhalte werden standardmäßig nicht in Antworten ausgegeben. Setzen Sie thinking.display: "summarized", um sichtbare Schlussfolgerungen wiederherzustellen (erforderlich, wenn Ihr Produkt Thinking an Benutzer streamt).

Mit Aufgabenbudgets (Beta-Header task-budgets-2026-03-13) können Sie dem Modell über output_config.task_budget ein Token-Ziel für eine vollständige agentische Schleife vorgeben; mindestens 20K Token.¹⁴⁵

Opus 4.6 (Legacy): Unter claude-opus-4-6 weiterhin mit einem Kontextfenster von 1 Mio. Token und einer maximalen Ausgabe von 128K verfügbar. Für besseres agentisches Coding empfiehlt sich die Migration zu Opus 4.7. Opus 4.6 erschien ursprünglich am 5. Februar 2026.⁷⁹¹⁴⁴ Seit v2.1.117 (22. April 2026) verwenden Pro- und Max-Abonnenten bei Opus 4.6 und Sonnet 4.6 standardmäßig den Effort high (zuvor medium); Opus 4.7 bleibt bei xhigh. Diese Änderung stellte die Leistungsfähigkeit nach der im Postmortem vom 23. April dokumentierten Herabstufung des Efforts vom 4. März bis zum 7. April wieder her.¹⁵²¹⁵³

Sonnet 5 (30. Juni 2026): Die aktuelle Sonnet-Stufe wird als „beste Kombination aus Geschwindigkeit und Intelligenz“ positioniert. Laut Anthropic liegt ihre Leistung nahe bei Opus 4.8, allerdings zu niedrigeren Preisen. Gegenüber Sonnet 4.6 bietet sie deutliche Verbesserungen bei agentischem Schlussfolgern, Tool-Nutzung, Coding und Wissensarbeit — zugleich treten insgesamt weniger unerwünschte Verhaltensweisen auf, während ihre Fähigkeiten im Bereich Cybersicherheit wesentlich schwächer sind als bei den Opus-Modellen (ein Sicherheitskompromiss, durch den das Modell ohne Exportkontrollsperren veröffentlicht werden konnte). Modell-ID: claude-sonnet-5 (datumsunabhängiger, festgelegter Snapshot). Kontextfenster mit 1 Mio. Token, maximale Ausgabe von 128K (bis zu 300K in der Batches API mit dem Beta-Header output-300k-2026-03-24), ausschließlich Adaptive Thinking. Zuverlässiger Wissensstand: Januar 2026. Preis: 2 $/10 $ pro MTok für Eingabe/Ausgabe, jetzt der reguläre Listenpreis. Anthropic kündigte bei der Einführung 2 $/10 $ als Aktionspreis bis zum 31. August 2026 an, behielt ihn anschließend jedoch bei: Auf der Preisseite heißt es, die geplante Erhöhung auf 3 $/15 $ am 1. September werde „nicht stattfinden“, und v2.1.243 aktualisierte die /model-Auswahl sowie das enthaltene claude-api-Skill, sodass 2 $/10 $ als Listenpreis statt als zeitlich begrenztes Angebot angezeigt wird.²²⁸ Das liegt 60 % unter den 5 $/25 $ von Opus 5. In Claude Code ist der Parameter effort bei Sonnet 5 standardmäßig auf high gesetzt (legen Sie ihn ausdrücklich fest, wenn Sie dies ändern möchten). Wählen Sie das Modell mit /model sonnet (oder /model claude-sonnet-5) aus.¹⁸⁰ Mit v2.1.197 (30. Juni 2026) wurde Sonnet 5 damals zum Standardmodell für neue Sitzungen in Claude Code; heute bleibt es das Standardmodell der Standardstufe (Pro, Team Standard), während in den Premiumtarifen sowie in der Anthropic API standardmäßig Opus 5 verwendet wird – siehe die Tariftabelle oben.¹⁸¹²⁰⁷

Sonnet 4.6 (17. Februar 2026, inzwischen durch Sonnet 5 ersetzt): Ausgewogenes Modell, das Sonnet 4.5 als Standardmodell in claude.ai und Claude Cowork ablöste.⁹³ Gleicher Preis wie Sonnet 4.5 (3 $/15 $ pro MTok). Verbesserte Leistung bei der agentischen Suche bei geringerem Token-Verbrauch. Unterstützt Extended Thinking, Adaptive Thinking und ein Kontextfenster mit 1 Mio. Token (Beta). Maximale Ausgabe von 64K (Obergrenze von 128K in v2.1.77).¹¹⁹ Wissensstand: August 2025 (zuverlässig), Januar 2026 (Trainingsdaten). Modell-ID: claude-sonnet-4-6.

Claude Mythos Preview (7. April 2026): Ein Frontier-Modell als Forschungsvorschau für defensive Cybersicherheitsarbeit, das im Rahmen von Project Glasswing angeboten wird.¹³⁹ Nur auf Einladung; nicht allgemein verfügbar. Anthropic beschreibt Opus 4.7 in Cybersicherheitsbereichen bewusst als weniger leistungsfähig als Mythos — ein Sicherheitskompromiss — und hat unter https://claude.com/form/cyber-use-case ein Cyber Verification Program für legitime Sicherheitsforscher eingerichtet, die erweiterten Zugriff benötigen.¹⁴⁶

Warum diese Preisunterschiede relevant sind: Eine typische Coding-Sitzung verbraucht 50K–200K Eingabe-Token und 10K–50K Ausgabe-Token. Mit Haiku kostet das 0,10–0,45 $ pro Sitzung. Mit Opus kostet dieselbe Sitzung 0,50–2,25 $ und damit fünfmal so viel. Reservieren Sie Opus für wirklich schwierige Probleme.¹

Wann Sie welches Modell verwenden sollten

Haiku: Verwenden Sie es für subagents, die Erkundungen, einfache Dateisuchen oder schnelle Fragen bearbeiten. Es ist etwa fünfmal günstiger als Opus und antwortet schneller. Ideal für Hintergrundaufgaben, bei denen Sie keine tiefgreifenden Schlussfolgerungen benötigen. Sonnet: Das Arbeitstier für die tägliche Entwicklung, wenn die Kosten eine Rolle spielen – und das Standardmodell im Standard-Tarif sowie in Pro und Team Standard (nativer 1M-Kontext, regulärer Listenpreis von 2 $/10 $ pro MTok; die für den 1. September geplante Preiserhöhung wurde abgesagt).^181228207 Bewältigt die meisten Programmieraufgaben: Funktionen implementieren, Fehler beheben, Tests schreiben und Code-Reviews durchführen. Historischer Hinweis: Lange wurde berichtet – auch hier –, dass v2.1.197 (30. Juni 2026) Sonnet 5 überall zum Standard gemacht habe. Laut der tarifabhängigen Darstellung in der Dokumentation zur Modellkonfiguration wird der Standard für Premium/API jedoch seit v2.1.154 als Opus 4.8 und seit v2.1.219 als Opus 5 aufgelöst; „überall“ bezog sich somit tatsächlich auf den Standard-Tarif. Sonnet 4.6 erfüllte diese Sonnet-Rolle bis Juni 2026.^93147207 Verwenden Sie Sonnet, wenn Sie günstigere Token, kürzere Latenzzeiten oder eine bessere Wirtschaftlichkeit für subagents benötigen.

Opus: Die Stufe für tiefgehendes Schlussfolgern – seit v2.1.219 wählt der Alias opus Claude Opus 5 aus (5 $/25 $ pro MTok, 1M-Kontext, effort standardmäßig auf high).¹⁹⁷ Der folgende Absatz beschreibt Opus 4.7 bei seiner Veröffentlichung am 16. April 2026 und bleibt als historischer Rückblick erhalten.¹⁴⁴¹⁴⁷ Setzen Sie das kostspieligere Schlussfolgern dort ein, wo es sich auszahlt: bei Architekturentscheidungen, schwieriger Fehlerdiagnose, dem Verständnis komplexer Systeme, Sicherheitsanalysen und langfristiger agentischer Arbeit. Opus 4.7 löst auf SWE-Bench dreimal so viele Produktionsaufgaben wie Opus 4.6, erreicht beim CursorBench 70 % (gegenüber 58 %) und steigert die Lösungsquote in einem internen Programmierbenchmark mit 93 Aufgaben um 13 %.¹⁴⁴ Claude Code verwendet bei Opus 4.7 standardmäßig den Aufwand xhigh, der sich über /effort anpassen lässt (ab v2.1.111).¹⁴⁶¹⁴⁷ Auto Mode steht Max-Abonnenten mit Opus 4.7 über Anthropic API zur Verfügung, ohne dass --enable-auto-mode erforderlich ist; bei anderen Tarifen und Anbietern hängt die Verfügbarkeit vom jeweiligen Tarif und den administrativen Vorgaben ab.¹⁴⁶ 1M-Kontext zum Standardpreis – ohne Aufschlag für lange Kontexte. Wichtige Verhaltensänderungen: Opus 4.7 befolgt Anweisungen wörtlicher, passt die Antwortlänge an die Komplexität der Aufgabe an, führt standardmäßig weniger subagents aus und verwendet einen direkteren Ton mit weniger bestätigungsorientierten Formulierungen. Falls Ihre Prompts Hilfskonstruktionen enthalten, die Zwischenmeldungen zum Fortschritt oder eine nochmalige Überprüfung erzwingen, versuchen Sie, diese zu entfernen.¹⁴⁵

Opusplan: Ein Hybridmodus, der Opus für die Planung verwendet, bei der die Qualität des Schlussfolgerns am wichtigsten ist, und Sonnet für die Ausführung, bei der es auf Geschwindigkeit ankommt. Hervorragend für komplexe Refaktorierungen, bei denen Sie den bestmöglichen Plan wünschen, aber nicht für jede einzelne Änderung Schlussfolgern auf Opus-Niveau benötigen.

Modelle wechseln

Während einer Sitzung:

> /model opus
> /model sonnet
> /model haiku

Beim Start:

claude --model opus

Über die Umgebung:

export ANTHROPIC_MODEL=opus

In settings.json:

{
  "model": "claude-sonnet-5"
}

Den Picker selbst konfigurieren (modelPicker, ab v2.1.242): In einer Benutzer- oder verwalteten Einstellungsdatei lassen sich die Modelle, die /model anbietet, in Ihrer gewünschten Reihenfolge und mit Ihren eigenen Bezeichnungen auflisten, sodass die integrierte Auswahl nicht das einzige Menü bleibt. Jede Zeile gibt ein model an (jede von --model akzeptierte Schreibweise, einschließlich Vertex- und Bedrock-IDs) und kann optional ein label sowie eine description enthalten. Setzen Sie replaceBuiltInOptions auf true, um ausschließlich diese Zeilen sowie Default und das aktuelle Modell der Sitzung anzuzeigen. Projekt- und lokale Einstellungen werden für diesen Schlüssel ignoriert, während eine availableModels-Zulassungsliste die Zeilen weiterhin filtert. Claude Code entfernt eine nicht unterstützte Zeile, stellt eine noch nicht auswählbare Zeile zusammen mit dem Grund ausgegraut dar und greift auf die integrierte Auswahl zurück, falls keine Zeile übrig bleibt.²²⁷²²⁵

{
  "modelPicker": {
    "options": [
      { "model": "us.anthropic.claude-opus-4-8", "label": "Opus (production)" },
      {
        "model": "us.anthropic.claude-sonnet-4-6",
        "label": "Sonnet (production)",
        "description": "Day-to-day work"
      }
    ]
  }
}

Speziell für subagents:

export CLAUDE_CODE_SUBAGENT_MODEL=haiku

Seit v2.1.251 legt CLAUDE_CODE_SUBAGENT_MODEL das Standardmodell für subagents fest, statt alles zu überschreiben: model: in einer Agentendefinition und ein explizit beim Erzeugen ausgewähltes Modell haben Vorrang.²⁰⁶ Seit v2.1.257 lässt sich das frühere Verhalten mit CLAUDE_CODE_SUBAGENT_MODEL_FORCE wieder aktivieren: Die Variable wendet CLAUDE_CODE_SUBAGENT_MODEL – oder, falls diese nicht gesetzt ist, das Modell der Hauptkonversation – auf jeden subagent an und ignoriert sowohl die beim Erzeugen getroffene Auswahl als auch model: in Agentendefinitionen.²¹¹

Fallback-Modellkette (ab v2.1.166): Mit der Einstellung fallbackModel können Sie bis zu drei Fallback-Modelle konfigurieren, die der Reihe nach ausprobiert werden, wenn das primäre Modell überlastet oder nicht verfügbar ist. Das Flag --fallback-model, das zuvor nur während einer Sitzung einen Wechsel ermöglichte, gilt nun bereits beim Start auch für interaktive Sitzungen.²⁴⁰

{
  "model": "claude-opus-4-8",
  "fallbackModel": ["claude-sonnet-4-6", "claude-haiku-4-5"]
}

Wenn API einen unerwarteten, nicht erneut versuchbaren Fehler zurückgibt, wiederholt Claude Code den Turn nun außerdem einmal mit dem Fallback-Modell, bevor der Fehler angezeigt wird. Dadurch wird ein vorübergehendes Problem des primären Modells zuverlässig abgefangen, statt den Turn zu verwerfen.²⁴⁰

Seit v2.1.178 berücksichtigt auch die Komprimierung die Fallback-Kette: Ist das primäre Modell während der Komprimierung überlastet oder nicht verfügbar, verwendet der Komprimierungsschritt die konfigurierte Kette aus fallbackModel/--fallback-model, statt den Turn fehlschlagen zu lassen. Bei langen autonomen Läufen schließt dies die Lücke, durch die eine eigentlich wiederherstellbare Komprimierung die Sitzung aufgrund eines vorübergehenden Modellfehlers abbrechen konnte.¹⁷³

Erweiterter Kontext

Aktivieren Sie für große Codebasen oder lange Sitzungen einen Kontext von 1M Token:

claude --model sonnet[1m]
claude --model opus[1m]           # Opus 4.7 with 1M context

Oder innerhalb einer Sitzung:

> /model sonnet[1m]
> /model opus[1m]

Opus 4.7, Opus 4.6 und Sonnet 4.6 umfassen jeweils das vollständige Kontextfenster von 1M Token zum Standardpreis – ohne Aufschlag für lange Kontexte.¹⁴⁸ Eine Anfrage mit 900K Token wird zum gleichen Preis pro Token abgerechnet wie eine Anfrage mit 9K Token. Rabatte für Prompt-Caching und Stapelverarbeitung gelten im gesamten Kontextfenster zu den Standardkonditionen.

Bei Max-, Team- und Enterprise-Abonnements ist Opus mit 1M-Kontext automatisch enthalten – ein [1m]-Suffix ist nicht erforderlich (seit v2.1.75 vom 13. März 2026 standardmäßig aktiviert).¹¹⁷¹⁴⁷ Bei Pro ist der 1M-Kontext über zusätzliche Nutzung verfügbar. Benutzer von API und nutzungsabhängig abgerechneten Angeboten erhalten zum regulären Preis pro Token vollständigen Zugriff auf 1M.¹⁴⁷

Um Varianten mit 1M-Kontext im Modell-Picker zu deaktivieren, setzen Sie CLAUDE_CODE_DISABLE_1M_CONTEXT=1. Seit v2.1.223 hat sich die Reichweite dieser Variable geändert: Durch automatische Komprimierung begrenzt sie jedes Modell mit einem nativen 1M-Fenster auf 200K – nicht nur eine feste Liste bekannter Varianten. Beim Start erscheint eine Warnung, wenn die automatische Komprimierung die Sitzung nicht tatsächlich auf 200K begrenzt. Falls Sie diese Variable für besser vorhersehbare Kosten bei einer Modellfamilie setzen, erfasst sie nun neue 1M-Modelle bereits am Tag ihrer Veröffentlichung, statt unbemerkt ihre Wirkung zu verlieren. Dieselbe Version sorgt dafür, dass Auto-Compact Sitzungen mit nicht erkannten Modell-IDs innerhalb des angenommenen Kontextfensters hält, statt sie darüber hinaus anwachsen zu lassen; CLAUDE_CODE_DISABLE_UNKNOWN_MODEL_WINDOW_ENFORCEMENT=1 stellt für Gateways, die benutzerdefinierte IDs mit tatsächlich größeren Fenstern registrieren, das frühere Verhalten wieder her.²⁰⁰

Seit v2.1.247 entspricht das standardmäßige Auto-Compact-Fenster von Sonnet 5 seinem vollständigen 1M-Kontext: Sitzungen mit dem 1M-Fenster werden nun bei ungefähr 967K statt bei ungefähr 934K Token automatisch komprimiert.²²² v2.1.260 erweitert Auto-Compact kurz vor Erreichen des Limits auf die übrige 1M-Stufe: Auch Opus- und Fable-Sitzungen werden nun kurz vor dem Limit von 1M Token komprimiert, und die Wiederherstellungskomprimierung sehr großer Kontexte läuft nicht mehr nach 10 Minuten ab.²¹²

Seit v2.1.271 behält --resume das [1m]-Fenster bei: Beim Fortsetzen einer Sitzung, deren Modellfamilie vom konfigurierten Standardmodell abweicht, wird das [1m]-Suffix nicht mehr entfernt.²¹⁶

v2.1.273 behebt einen Fehler, durch den die Kontextanzeige und Auto-Compact Turns des advisor-tools mit ungefähr dem Doppelten ihrer tatsächlichen Kontextgröße berechneten – Auto-Compact wurde dadurch bereits bei etwa der Hälfte des tatsächlichen Fensters ausgelöst.²¹⁷

Aktuelles Modell prüfen

> /status

Der Befehl zeigt das aktuelle Modell, Kontoinformationen, angewandte Einstellungen und weitere Angaben zum Sitzungsstatus an.

Beschriftungen im Modell-Picker (ab v2.1.51): Der /model-Picker zeigt für angeheftete Versionen nun verständliche Bezeichnungen wie „Sonnet 4.6“ statt roher Modell-IDs an und weist auf Upgrades hin, wenn neuere Versionen verfügbar sind.⁹⁸ v2.1.219 behebt die Darstellung der zusammengeführten Opus-Zeile als schlichtes „Opus“ statt „Opus (1M context)“ und beschränkt die Hervorhebung neuer Veröffentlichungen auf den Namen des neuesten Modells. Damit kennzeichnet die Hervorhebung die tatsächliche Neuerscheinung und nicht einen willkürlichen Ausschnitt der Liste.¹⁹⁶

Fast Mode (ab v2.1.36)

Fast Mode liefert eine deutlich schnellere Ausgabe vom gleichen Modell; es findet kein Wechsel zu einem günstigeren Modell statt. Aktivieren oder deaktivieren Sie den Modus während einer Sitzung mit /fast.⁸⁶

> /fast            # Toggle fast mode on/off

Welche Modelle (Stand v2.1.219): Der schnelle Modus gilt für Claude Opus 5 und Claude Opus 4.8. Mit v2.1.219 wurde Opus 4.7 aus dem schnellen Modus entfernt; für Sonnet, Haiku oder Fable war die Funktion nie verfügbar. Sie bleibt eine Forschungsvorschau, die ausschließlich über die Claude API (einschließlich Claude Managed Agents) verfügbar ist — nicht über Amazon Bedrock, Google Cloud, Microsoft Foundry oder Claude Platform on AWS. Der Zugriff ist beschränkt: Wenden Sie sich an Ihren Kundenbetreuer oder tragen Sie sich in die Warteliste ein.¹⁹⁶¹⁹⁸

Remote-Sitzungen (v2.1.271): Der schnelle Modus ist jetzt auch in Claude Code Remote-Sitzungen verfügbar — sowohl in Cloud-Sitzungen als auch auf selbst gehosteten Runnern. Es gilt die Einstellung des Hosts für den schnellen Modus; alternativ können Sie in der Sitzung selbst /fast eingeben. Beides funktioniert nur, wenn Ihre Organisation den schnellen Modus zulässt. Dieselbe Version behebt zudem /fast off: Der Befehl deaktiviert den schnellen Modus jetzt tatsächlich, statt mit „Schneller Modus nicht verfügbar“ zu antworten, wenn die Organisation ihn deaktiviert hat.²¹⁶

Preise (schneller Modus von Opus 5 / Opus 4.8):¹⁹⁸

Die Opus-4.7-Falle (v2.1.219). Nicht unterstützte Modelle verhalten sich nicht alle gleich. Eine Anfrage an claude-opus-4-7 mit speed: "fast" gibt jetzt einen Fehler zurück — sie fällt nicht stillschweigend auf die Standardgeschwindigkeit zurück. Opus 4.6 ist die Ausnahme, derentwegen Sie diesen Unterschied kennen sollten: Es akzeptiert speed: "fast", läuft dennoch mit Standardgeschwindigkeit, wird zu Standardtarifen abgerechnet und meldet usage.speed: "standard". Wenn Ihr Harness auf 4.7 festgelegt war und darauf vertraute, dass Anfragen im schnellen Modus ohne Hinweis auf die Standardgeschwindigkeit zurückfallen, schlagen sie nun vollständig fehl; stellen Sie die Festlegung auf Opus 5 oder 4.8 um.¹⁹⁸

Wann Sie den schnellen Modus verwenden sollten: - Bei schnellen Iterationen an kleinen Änderungen, wenn die Latenz den Engpass darstellt - Beim Generieren von Tests, Boilerplate oder repetitivem Code, wenn Geschwindigkeit wichtiger als Kosten ist - Beim sequenziellen Abarbeiten einer Liste ähnlicher Aufgaben

Wann Sie den schnellen Modus NICHT verwenden sollten: - Bei lang laufenden agentischen Aufgaben (die Kosten verdoppeln sich weiterhin über den gesamten Lauf) - Für Arbeiten von subagents im Hintergrund (niemand wartet auf die Ausgabe) - In kostenbewussten Sitzungen

Der schnelle Modus umfasst das vollständige Kontextfenster mit 1M Tokens (v2.1.50+). Der Preis wird als fester Multiplikator auf den gesamten Kontext angewendet, einschließlich Anfragen mit mehr als 200K Eingabetokens — ohne zusätzlichen Aufschlag für lange Kontexte — und kommt zusätzlich zu den Multiplikatoren für Prompt-Caching und Datenresidenz hinzu.⁹⁶¹⁹⁸

Betriebshinweise. Für den schnellen Modus gilt ein eigenes Ratenlimit, das von den Standardlimits für Opus getrennt ist. Wird es überschritten, erfolgt eine 429-Antwort mit retry-after (die anthropic-fast-*-tokens-*-Antwortheader geben die verbleibende Kapazität an). Beim Wechsel zwischen dem schnellen und dem Standardmodus wird der Prompt-Cache ungültig — Anfragen mit unterschiedlichen Geschwindigkeiten verwenden keine gemeinsamen zwischengespeicherten Präfixe. Wenn Sie /fast während einer Sitzung umschalten, entsteht daher ein Cache-Miss. Der schnelle Modus ist weder mit der Batch API noch mit einer Priority-Tier-Verpflichtung verfügbar.¹⁹⁸

Expertentipp: Der schnelle Modus lässt sich nicht mit opusplan kombinieren (opusplan mischt bereits Opus und Sonnet; der schnelle Modus wirkt sich nur auf den Opus-Abschnitt aus). Verwenden Sie ihn, wenn die Latenz wichtiger als die Kosten ist, und deaktivieren Sie ihn für autonome Aufgaben oder Batch-Verarbeitung. /fast erfordert zusätzliche Nutzungskapazität; Administratoren von Team- oder Enterprise-Plänen müssen die Funktion möglicherweise zuerst aktivieren (Fehlerbehebung in v2.1.37). Mit CLAUDE_CODE_DISABLE_FAST_MODE=1 können Sie sie vollständig deaktivieren. Seit v2.1.218 weist Claude Code darauf hin, wenn ein Modellwechsel über /config model=<x> oder Remote Control den Status des schnellen Modus ändert. In v2.1.219 wurde zudem behoben, dass Remote-Control-Clients nach einem Wechsel, einer erneuten Verbindung oder einer fehlgeschlagenen Organisationsprüfung einen veralteten Status des schnellen Modus beibehielten.^86149195196

Aufwandssteuerung (v2.1.111+, Opus 4.7)

Opus 4.7 führt einen neuen Aufwandsregler ein, mit dem Sie das Verhältnis zwischen Geschwindigkeit und Intelligenz abstimmen können. Verwenden Sie während einer Sitzung /effort:

> /effort              # opens an interactive slider (arrow keys + Enter)
> /effort xhigh        # set directly

Modellspezifisch gespeichert (v2.1.251+): /effort speichert Ihre standardmäßige Aufwandsstufe jetzt für jedes Modell separat, sodass jedes Modell beim Wechsel seine eigene Einstellung beibehält — eine xhigh-Gewohnheit bei Opus wird nicht mehr auf Haiku übertragen (CHANGELOG: „/effort wurde so geändert, dass Ihre standardmäßige Aufwandsstufe pro Modell gespeichert wird, damit jedes Modell beim Wechsel seine eigene Einstellung beibehält“). Die Ausnahme, dass max nur für die Sitzung gilt, bleibt bestehen.²⁰⁶ v2.1.257 verfeinert beide Regler: /effort akzeptiert s für eine Auswahl, die nur für die Sitzung gilt, entsprechend der Konvention von /model. Außerdem ist das Flag --effort nun auf die Sitzung beschränkt — es hebt die Sperre der Standardaufwandsstufe eines neuen Modells nur für diese Sitzung auf, nicht dauerhaft (laut CLI-Referenz „überschreibt“ es den Standard „für diese Sitzung und wird nicht dauerhaft gespeichert“).²¹¹²²⁰

Auto Mode für Max (v2.1.111+)

Auto Mode ist seit dem 14. August 2026 der standardmäßige Berechtigungsmodus für Pro-, Max- und Team-Pläne (angekündigt am 7. August) — die Studienzahlen aus der Ankündigung, die Möglichkeiten zum Deaktivieren sowie die Pläne und Gateways, bei denen weiterhin eine explizite Aktivierung erforderlich ist, finden Sie unter Berechtigungsmodi.²⁰³ Ursprünglich wurde er als sichererer Ersatz für --dangerously-skip-permissions eingeführt und war zunächst über die Anthropic API für Max-Abonnenten mit Opus 4.7 verfügbar.¹⁴⁶ Ein separates Klassifikatormodell — seit v2.1.210 Claude Sonnet 5 — prüft jede Aktion vor der Ausführung darauf, ob sie der Absicht entspricht und sicher ist.¹⁸⁷ Hinweis (v2.1.111+): Das Flag --enable-auto-mode wurde entfernt; starten Sie eine Sitzung stattdessen mit --permission-mode auto im Auto Mode. Pro war während des größten Teils der bisherigen Lebensdauer von Auto Mode ausgeschlossen — mit der Einführung als Standard am 14. August endet diese Einschränkung. Bedrock/Vertex/Foundry (v2.1.158+): Auto Mode ließ sich auf diesen Gateways für Opus 4.7 und Opus 4.8 mit CLAUDE_CODE_ENABLE_AUTO_MODE=1 explizit aktivieren.²⁴³ Seit v2.1.207 ist diese explizite Aktivierung nicht mehr erforderlich: Auto Mode funktioniert auf AWS Bedrock, Google Vertex AI und Microsoft Foundry ohne CLAUDE_CODE_ENABLE_AUTO_MODE. Administratoren, die ihn deaktivieren möchten, verwenden dafür die verwaltete Einstellung disableAutoMode. Dieselbe Version legt für Bedrock, Vertex AI und Claude Platform on AWS außerdem standardmäßig Claude Opus 4.8 fest und liest die Einstellung autoMode nicht mehr aus der Datei .claude/settings.local.json eines Repositorys — konfigurieren Sie die Regeln für Auto Mode stattdessen in ~/.claude/settings.json.¹⁸⁵ Seit v2.1.247 enthalten Bash-Berechtigungsabfragen einen Hinweis auf Auto Mode sowie die mit einem Tastendruck wählbare Option „Ja, und zu Auto Mode wechseln“.²²² Seit v2.1.273 verwendet Auto Mode auf Bedrock, Vertex AI und Foundry „vorerst“ standardmäßig den lokalen Klassifikator — legen Sie CLAUDE_CODE_AUTO_MODE_SERVER=1 fest, um den serverseitigen Klassifikator der Plattform zu verwenden. Dabei handelt es sich um eine Statusänderung auf einer anderen Ebene als beim Hinweis zu den Klassifikatorstandards in v2.1.236: Lokal oder serverseitig bezeichnet den Mechanismus, den frühere Versionen nie offengelegt hatten.²¹⁷ Was Auto Mode nicht ist: eine Sicherheitsgrenze. Die meisten der folgenden Maßnahmen härten einen Klassifikator ab – und ein Klassifikator ist keine Sandbox. Am 26. August 2026 veröffentlichte der Prompt-Injection-Forscher Johann Rehberger eine funktionierende Angriffskette gegen Claude Code Opus 5 im Auto Mode. Bei kleinen Stichproben meldete er eine Erfolgsquote von 60–80 %: 3 von 5 Durchläufen bei der primären Kette, die einen isolierten python3-Kindprozess startet, sowie 3 von 5 und 4 von 5 Durchläufen bei zwei Konfigurationen einer Variante, deren Payload eine Headless-Instanz von claude -p startet. Er weist selbst darauf hin, dass es sich um kleine Stichproben und nicht um eine allgemein gültige Messung der Angriffserfolgsquote handelt.²¹⁰ Die Kette sollten Sie nachvollziehen, denn jeder einzelne Schritt wirkt plausibel: Ein Server beantwortet WebFetch mit HTTP 415, sodass der Agent auf curl ausweicht; das heruntergeladene Archiv wird in ein temporäres Verzeichnis entpackt, das ein Manifest, sieben mit Base85/zlib codierte Datensätze, eine native Binärdatei und eine struct.py enthält; Claude lehnt es ab, die nicht vertrauenswürdige Binärdatei auszuführen, schreibt daraufhin einen eigenen Python-Decoder und führt ihn innerhalb dieses Verzeichnisses aus; der Decoder importiert base64, base64 importiert struct, und Python löst zuerst die struct.py des Angreifers auf. Keine Anweisung in dieser Abfolge ist offensichtlich bösartig – die Injection muss den kompromittierten Pfad lediglich als plausibelsten Weg erscheinen lassen, die Aufgabe abzuschließen. Rehberger berichtet außerdem, dass Claude in einigen Durchläufen versuchte, den Malware-Prozess zu beenden, nachdem es die Kompromittierung erkannt hatte, Auto Mode den Bereinigungsbefehl jedoch ablehnte.²¹⁰ Er stellt den gesamten Befund einer von Anthropic beworbenen Zahl gegenüber: Eine beauftragte Evaluierung durch Dritte meldete für Opus 5 im Auto Mode bei 72 Szenarien mit jeweils zehn Durchläufen eine Erfolgsquote von 0,00 % für Prompt-Injection-Angriffe. Seine Kette war in diesem Testsatz nicht enthalten. Deshalb können ein Benchmark-Ergebnis von 0,00 % und eine funktionierende Codeausführungskette gleichzeitig zutreffen; für ihn sind dies zwei Botschaften, die nicht zusammenpassen.²¹⁰ Beachten Sie auch die Einordnung: In seinem Update vom 30. August stimmt Simon Willison dem Hinweis eines Lesers zu, dass dies keine klassische Prompt Injection ist – das Modell liest und befolgt zu keinem Zeitpunkt Anweisungen eines Angreifers –, sondern ein Angriff über eine verwirrende Umgebung.²¹⁰

Anthropic schloss den Bericht als „Informative“ – das Verhalten entspreche dem vorgesehenen Design. Die von Rehberger wiedergegebene Position sollten Sie Ihrer Sicherheitsarchitektur zugrunde legen: Auto Mode ist ein nach bestem Bemühen arbeitender Klassifikator und keine Sicherheitsgarantie. Gezielt zusammengesetzte Injection-Ketten aus einzeln harmlosen Schritten fallen außerhalb dessen, was ein Klassifikator voraussichtlich erkennen kann; die tatsächliche Eindämmungsgrenze bilden die Isolation auf Betriebssystemebene und die Kontrolle des ausgehenden Netzwerkverkehrs.²¹⁰ Das widerspricht den folgenden Härtungsmaßnahmen nicht – vielmehr ist es der richtige Rahmen dafür. Auto Mode reduziert die Anzahl der Rückfragen und blockiert eine dokumentierte Liste destruktiver Vorgänge; eine Sitzung mit nicht vertrauenswürdigen Eingaben wird dadurch nicht sicher. Wenn eine Sitzung mit Inhalten arbeitet, die ein Angreifer beeinflussen kann – abgerufenen Seiten, heruntergeladenen Archiven, Issue-Texten oder MCP-Servern von Drittanbietern –, begrenzen ausschließlich Kontrollen außerhalb des Modells den möglichen Schaden: ein Container oder eine VM, eingeschränkter ausgehender Netzwerkverkehr, die Überwachung der tatsächlichen Agentenaktivitäten sowie ein Home-Verzeichnis, das weder die SSH-Schlüssel noch Cloud-Zugangsdaten enthält, deren Verlust Sie nicht hinnehmen könnten. Eine Genehmigung durch Auto Mode ist kein Beleg dafür, dass eine Aktion sicher war.

Benutzerdefinierte Regeln, ohne die Standardregeln zu verlieren (v2.1.118+). In früheren Versionen galt für autoMode.allow, autoMode.soft_deny und autoMode.environment ein Entweder-oder-Prinzip: Sobald Sie eine eigene Liste definierten, entfielen die integrierten Sicherheitsregeln. Der Sentinel $defaults löst dieses Problem – er wird genau an der Stelle, an der Sie ihn einfügen, inline zur integrierten Liste erweitert. So können Sie Ihre eigenen Regeln vor und nach den Standardregeln anordnen:¹⁵²

// .claude/settings.json
{
  "autoMode": {
    "allow": [
      "Bash(npm test:*)",        // your additions, prepended
      "$defaults",                // built-in allow list inserted here
      "Bash(git push:origin/feature/*)"  // appended after
    ]
  }
}

Regeln des Klassifikators über /permissions bearbeiten (v2.1.246). Führen Sie /permissions aus und öffnen Sie den Tab Auto mode, der nur angezeigt wird, wenn Auto Mode für die Sitzung verfügbar ist. Dort werden die Einträge für allow, soft_deny, hard_deny und environment aus allen vom Klassifikator gelesenen Geltungsbereichen aufgeführt. Außerdem sehen Sie für jeden Abschnitt, ob die integrierten Regeln aktiv sind. Einträge aus verwalteten Einstellungen oder --settings sind schreibgeschützt, und jede Änderung wird unter ~/.claude/settings.json gespeichert. Wenn Sie einem Abschnitt die erste Regel hinzufügen, wird zugleich "$defaults" eingefügt, damit die integrierten Regeln aktiv bleiben. Sie können die integrierten Regeln für jeden Abschnitt einzeln ein- oder ausschalten, wobei ein Abschnitt mindestens eine eigene Regel enthalten muss, bevor sich seine integrierten Regeln deaktivieren lassen. environment wird als ein zusammenhängendes Dokument in Ihrem Editor geöffnet.²²⁶²²⁴

Opt-in für „Don’t ask again“ (v2.1.118+). Die Opt-in-Abfrage für Auto Mode bietet jetzt die Option „Don’t ask again“. Wenn Sie Auto Mode häufig verwenden, können Sie den Erklärungshinweis damit ohne ein geskriptetes Flag ausblenden.¹⁵²

Schutzvorkehrungen für destruktive Befehle (v2.1.183). Auto Mode blockiert jetzt bestimmte irreversible Befehle vollständig, sofern Sie diese in der Sitzung nicht ausdrücklich angefordert haben: destruktive Git-Operationen (git reset --hard, git checkout -- ., git clean -fd, git stash drop), wenn Sie nicht darum gebeten haben, lokale Änderungen zu verwerfen; git commit --amend, wenn der Commit nicht in dieser Sitzung vom Agenten erstellt wurde; sowie den Abbau von Infrastruktur (terraform destroy, pulumi destroy, cdk destroy), sofern Sie den konkreten Stack nicht genannt haben. Dadurch wird der Wirkungsradius des Klassifikators gerade bei solchen Operationen begrenzt, die unbemerkt Arbeit vernichten oder Umgebungen abbauen können. Der Agent kann sie weiterhin ausführen, allerdings nur auf Ihre ausdrückliche Anweisung und nicht auf eigene Initiative.¹⁷⁴

Jeden Shell-Befehl klassifizieren (v2.1.193). Standardmäßig prüft der Auto-Mode-Klassifikator nur Shell-Befehle, die Mustern für die Ausführung beliebigen Codes entsprechen; Routinebefehle werden übersprungen. Mit der neuen Einstellung autoMode.classifyAllShell werden stattdessen alle Bash-/PowerShell-Befehle durch den Klassifikator geleitet. Wenn jeder Shell-Aufruf geprüft werden soll, erhalten Sie damit ein engmaschigeres Sicherheitsnetz, nehmen dafür aber eine etwas höhere Latenz in Kauf. Dieselbe Version zeigt außerdem Gründe für Ablehnungen durch Auto Mode im Transkript, in der Ablehnungsbenachrichtigung und unter den letzten Ablehnungen in /permissions an. Bei einem blockierten Befehl erfahren Sie nun also, warum er blockiert wurde.¹⁷⁹

Drei weitere Härtungsregeln (v2.1.205). Auto Mode blockiert jetzt Manipulationen an Sitzungstranskriptdateien – selbst der Audit-Trail ist für den Agenten tabu. Vor der Ausführung von rm -rf mit einer Variablen, die sich aus dem Kontext nicht auflösen lässt, wird nachgefragt; damit wird die Unfallklasse rm -rf $DIR mit unbekanntem $DIR abgefangen. Außerdem weisen Benachrichtigungen zu Hintergrundaufgaben nun ausdrücklich darauf hin, dass keine menschliche Eingabe erfolgt ist. Dadurch kann eine erfundene Zeile wie „user approved“ in einem Transkript nicht mehr in eine vermeintlich gültige Genehmigung umgedeutet und ausgeführt werden.¹⁸³ Die dritte Regel ist eine Prompt-Injection-Abwehr, deren Prinzip Sie verinnerlichen sollten: Eine Genehmigung muss über den Genehmigungskanal eingehen, und das Harness macht diese Voraussetzung nun ausdrücklich kenntlich.

Befehlssubstitution kann keine Katastrophe verbergen (v2.1.208). Katastrophale Löschvorgänge wie rm -rf ~ lösen jetzt auch dann eine Rückfrage aus, wenn sie in $(...), Backticks oder einer Prozesssubstitution (<(...)) verborgen sind – und zwar selbst in --dangerously-skip-permissions und Auto Mode. Ein destruktiver Befehl lässt sich nicht mehr durch das Verpacken in eine Substitution am Sicherheitsnetz vorbeischmuggeln.¹⁸⁶

Auto-Mode-Status zurücksetzen: claude auto-mode reset (v2.1.212). Mit einem neuen Unterbefehl können Sie Ihren Auto-Mode-Status über das Terminal zurücksetzen. Mit --yes überspringen Sie die Bestätigungsabfrage:¹⁸⁹

claude auto-mode reset          # Confirmation prompt
claude auto-mode reset --yes    # Skip confirmation (scripts)

Weniger Dialoge bei gleicher Prüftiefe (v2.1.218). Drei Prüfungen, die Auto Mode bisher mit einem Berechtigungsdialog unterbrachen – gefährliches rm, ein im Hintergrund ausgeführtes & und verdächtige Windows-Pfade –, tun dies nicht mehr. Stattdessen entscheidet der Auto-Mode-Klassifikator, sodass die Sicherheitsprüfung weiterhin stattfindet, ohne Sie bei jedem Treffer einzubeziehen. Dieselbe Version weitet dieses Verhalten auf Plan Mode mit Auto aus: Bash-Befehle, deren Schreibschutz der statische Analysator nicht zweifelsfrei bestätigen kann, lösen keine Rückfrage mehr aus – anstelle eines Ausweichens auf einen Dialog bewertet sie der Klassifikator.¹⁹⁵

Regel gegen das Verlassen der Eindämmungsumgebung (v2.1.257). Die Liste der Vorgänge, die der Klassifikator niemals automatisch genehmigt, wird um die Regel „Containment Escape“ erweitert: Das Abrufen von Zugangsdaten aus Cloud-Metadaten, das Umgehen von Beschränkungen für ausgehenden Netzwerkverkehr und tenantübergreifende Zugriffe werden nicht mehr automatisch genehmigt, sofern sie in der Umgebung nicht als erwartet gekennzeichnet sind. Ordnen Sie dies in den durch den obigen Vorbehalt gesetzten Rahmen ein: Es handelt sich um eine weitere Härtung des Klassifikators – eine zusätzliche dokumentierte Ablehnungsklasse, nicht um eine Änderung dessen, was Auto Mode ist.²¹¹ Einmalige Abfrage bei Lesezugriffen außerhalb der Arbeitsverzeichnisse (v2.1.257). Der Auto-Modus fragt jetzt einmal vor dem ersten Dateilesezugriff einer Sitzung außerhalb der Arbeitsverzeichnisse nach. Mit der zugehörigen Einstellung permissions.blockReadsOutsideWorkingDirectories wird aus der Abfrage eine Verweigerung – solche Lesezugriffe werden vollständig blockiert.²¹¹ v2.1.273 weitet beide Verhaltensweisen auf Vorgänge aus, die das Prüfprogramm nicht einsehen kann: Ein Bash-Befehl, den es nicht vollständig analysieren kann, löst nun eine Abfrage aus, anstatt die Prüfung zu überspringen. Außerdem wird ein durch die Einstellungen eines Repositorys ausgewähltes Speicherverzeichnis bei aktivierter Blockierungseinstellung nicht mehr in den Prompt geladen, abgerufen, indiziert oder für die Speicherextraktion verwendet.²¹⁷

URLs von Diagramm-Renderern gelten als Uploads (v2.1.261). Ein Link, der Inhalte in die URL eines öffentlichen Diagramm-Renderers einbettet – etwa im Stil von mermaid.live, wobei die Daten direkt in der URL codiert sind –, wird nicht mehr automatisch genehmigt, sofern Sie ihn nicht angefordert haben. Der Klassifikator behandelt einen solchen Link als Upload: Die eingebetteten Daten werden in der URL selbst übertragen, sodass die Skripte der Renderer-Website sie nach dem Öffnen der Seite auslesen können. Bei Links im Stil von mermaid.live befindet sich die Nutzlast im URL-Fragment, das der Browser an den JavaScript der Seite übergibt, anstatt es mit der Netzwerkanfrage zu senden. Es gilt dieselbe Einordnung wie beim obigen Vorbehalt: In einem gehärteten Klassifikator wurde ein weiterer Datenabflusskanal geschlossen; eine neue Sicherheitsgrenze ist dies nicht.²¹⁴

Inline-!-Shell verlässt den Klassifikator; Rückgaben von subagents werden aufgenommen (v2.1.271). Hierbei handelt es sich um 2 mechanische Änderungen und nicht um neue Ablehnungsklassen. Inline-!-Shell-Befehle eines skills oder slash commands folgen nun den Berechtigungsregeln des Standardmodus statt dem Klassifikator – ein Befehl, über den keine Regel entscheidet, wird als überprüfter Tool-Aufruf ausgeführt. Außerdem meldet sich ein subagent jetzt über einen dedizierten Rückgabeaufruf bei seinem Aufrufer zurück, den der Sicherheitsklassifikator prüft. Zuvor wurde seine letzte Nachricht erst im Nachhinein geprüft – der Kontrollpunkt wurde also vom Zeitpunkt nach der Übergabe auf die Übergabe selbst verlagert.²¹⁶

Neue Befehle in v2.1.105–v2.1.114¹⁴⁶¹⁵⁰

Push-Benachrichtigungen (v2.1.110+)

Wenn Remote Control mit aktivierter Option „Push when Claude decides“ konfiguriert ist, kann Claude jetzt nach eigenem Ermessen über ein neues Push-Benachrichtigungstool mobile Push-Benachrichtigungen senden. Dies ergänzt die bestehende mobile/webbasierte Remote-Control-Oberfläche.¹⁴⁶ /context, /exit und /reload-plugins funktionieren jetzt ebenfalls über Remote-Control-Clients.

Windows-PowerShell-Tool (v2.1.111+, Einführung)

Claude Code führt schrittweise ein natives Windows-PowerShell-Tool ein. Unter Linux/macOS aktivieren Sie es mit CLAUDE_CODE_USE_POWERSHELL_TOOL=1 (pwsh muss sich im PATH befinden). Unter Windows steuert dieselbe Variable während der Einführung die Aktivierung beziehungsweise Deaktivierung.¹⁴⁶

Automatische Genehmigung im Berechtigungsmodus (v2.1.119+). Befehle des PowerShell-Tools können im Berechtigungsmodus jetzt ebenso automatisch genehmigt werden wie Bash-Befehle. Zulassungsregeln wie PowerShell(Get-*:*) und die vorhandene Mustersyntax umgehen nun bei schreibgeschützten Operationen die Abfrage und bieten Teams damit dieselbe Bedienfreundlichkeit, die sie bereits unter Linux/macOS erhalten.¹⁵²

Weniger Berechtigungsabfragen: schreibgeschütztes Bash (v2.1.111+)

Schreibgeschützte Bash-Muster mit Glob-Argumenten (z. B. ls *.ts, cat src/*.md) sowie Befehle, die mit cd <project-dir> && beginnen, lösen keine Berechtigungsabfrage mehr aus.¹⁴⁶ Zusammen mit /less-permission-prompts dürfte dies die Zahl der Unterbrechungen in alltäglichen Arbeitsabläufen deutlich verringern.

Verteiltes Tracing (v2.1.110+)

SDK und Headless-Sitzungen lesen jetzt TRACEPARENT und TRACESTATE aus der Umgebung, wodurch Claude Code-Ausführungen in verteilte Traces eingebunden werden. In Kombination mit OTEL_LOG_RAW_API_BODIES=1 (v2.1.111+) lassen sich vollständige API-Anfrage-/Antwortinhalte zur Fehlerdiagnose als OpenTelemetry-Protokollereignisse ausgeben.¹⁴⁶

Native Binärdistribution (v2.1.113+)¹⁵⁰

v2.1.113 ändert die Startweise von CLI: claude startet jetzt über eine optionale, plattformspezifische Abhängigkeit eine native Claude Code-Binärdatei, anstatt das gebündelte JavaScript auszuführen. Die Installations- und Aktualisierungsbefehle bleiben unverändert, sodass Teams ihre Einführungsskripte nicht anpassen müssen.

Tastenkombinationen des Prompt-Editors (v2.1.113+)¹⁵⁰

Der Prompt-Editor erhält eine Navigation im Readline-Stil für mehrzeilige Eingaben sowie das Scrollen im Vollbild-Viewport:

Zeitüberschreitung bei blockierten subagents (v2.1.113+)¹⁵⁰

subagents, deren Stream während der Verarbeitung ins Stocken gerät, schlagen jetzt nach 10 Minuten mit einer eindeutigen Fehlermeldung fehl, anstatt ohne Rückmeldung hängenzubleiben. Verwenden Sie zusätzlich CLAUDE_STREAM_IDLE_TIMEOUT_MS (v2.1.84+), um festgefahrene Prozesse bei Streaming-APIs umfassender abzudecken.

Stabilitätskorrektur in v2.1.114¹⁵⁰

v2.1.114 (18. April 2026) enthält eine einzige Korrektur: Der Berechtigungsdialog konnte abstürzen, wenn ein Teammitglied eines Agent-Teams eine Tool-Berechtigung anforderte. Führen Sie ein Upgrade durch, wenn Sie Agent Teams verwenden.

Inhaltskennzeichnung: Textwasserzeichen und C2PA-Dateimetadaten (August 2026)

Anthropic kündigte eine maschinenlesbare Kennzeichnung für von Claude generierte Inhalte an, die durch Artikel 50 des EU AI Act veranlasst wurde (für neu eingeführte KI-Systeme ab dem 2. August 2026 durchsetzbar). Das System umfasst 2 Komponenten: ein unsichtbares statistisches Wasserzeichen in generiertem Text und signierte Herkunftsmetadaten – gemäß dem offenen C2PA-Standard – für generierte Dateien wie .svg, .png und .jpg.²²⁹²⁰⁴ Das in den Schlagzeilen verwischte Detail: Für beide Komponenten gilt derselbe Modellzeitplan. Laut Supportseite werden „Claude models launched on or after August 2, 2026 […] support machine-readable marking at launch“. Modelle, die vor diesem Datum eingeführt wurden – also die gesamte aktuelle Modellpalette (Fable 5, Opus 5, Sonnet 5, Haiku 4.5) –, fallen unter die Übergangsfrist des EU-Gesetzes; zugleich arbeitet Anthropic „to add marking support for those models as well“.²⁰⁴ Nichts, was Sie derzeit über Claude Code generieren, ist gekennzeichnet – weder Text noch Dateien. Ausgaben künftiger Modelle werden dagegen auf allen Oberflächen eine Kennzeichnung tragen – Claude Platform (API), claude.ai, Claude Code, Claude Cowork, Claude Tag und die Cloud-Gateways –, da die Kennzeichnung auf Modellebene erfolgt. Eine Schlussfolgerung sollte ausdrücklich genannt werden, weil sie in einem viralen Thread genau umgekehrt dargestellt wurde: Jede Stil- oder Verhaltensänderung, die Sie bei einem aktuellen Modell wahrnehmen, kann nicht vom Wasserzeichen stammen – dieses ist in keinem aktuellen Modell aktiv.

Funktionsweise: Verwendet wird eine Variante von Google DeepMinds SynthID-Text. Das Wasserzeichen verändert „die Quelle des Zufalls, anhand dessen Wörter ausgewählt werden“, wenn Claude zwischen semantisch gleichwertigen Möglichkeiten entscheidet – es werden keine Zeichen hinzugefügt und keine Nachbearbeitung vorgenommen. Laut internen Tests von Anthropic hat die Wasserzeichenfunktion zudem „keine Auswirkungen auf Inhalt, Kreativitätsniveau oder Lesbarkeit“.²²⁹ Was Benutzer von Claude Code interessieren dürfte: Code trägt ein spärliches Wasserzeichen. Funktionierender Code lässt wenig Raum für willkürliche Entscheidungen, weshalb sich die Markierung dort konzentriert, wo Gestaltungsspielraum besteht – in Kommentaren und bei der Benennung – und laut Anthropic „vernachlässigbare Auswirkungen auf den tatsächlich erzeugten Code“ hat.²²⁹ Die Beständigkeit ist probabilistisch und unterscheidet sich je nach Komponente: Bei Texten wird die Markierung durch leichte Bearbeitungen „wahrscheinlich nicht vollständig entfernt“, durch eine vollständige Neufassung hingegen schon; eine von Claude erstellte Übersetzung trägt eine eigene neue Markierung. Bei Dateimetadaten können Formatkonvertierungen, erneutes Speichern und Screenshots die C2PA-Signatur entfernen.²⁰⁴ Ein API zur Erkennung ist geplant; ein positives Ergebnis belegt, dass „Claude wahrscheinlich irgendwann an dem Inhalt beteiligt war“, kann jedoch ausdrücklich nicht zwischen „Claude hat dies geschrieben“ und „Claude hat dies umfassend bearbeitet“ unterscheiden. Laut Supportseite beweist auch eine fehlende Markierung nichts. Für keine Kundenstufe wird eine Opt-out-Möglichkeit erwähnt.²²⁹²⁰⁴

Was kostet Claude Code?

Das Verständnis und die Kontrolle der Kosten sind für eine nachhaltige Nutzung von Claude Code unerlässlich. Informationen zu den Modellfunktionen finden Sie auch unter Modellauswahl und Hilfestellung zur Wahl des passenden Modells für die jeweilige Aufgabe unter Entscheidungsrahmen.

Kosten anzeigen

> /cost

Ausgabe:

Total cost:            $0.55
Total duration (API):  6m 19.7s
Total duration (wall): 6h 33m 10.2s
Total code changes:    247 lines added, 89 lines removed

Abonnementnutzer sehen unter /cost eine Aufschlüsselung nach Modell und Cache-Treffern. Daraus geht genau hervor, welche Modelle Tokens verbraucht haben und welcher Anteil aus dem Cache bereitgestellt wurde (ab v2.1.92).¹³⁷

Vertraglich vereinbarte Tarife statt Listenpreise (modelPricing, verwaltet, ab v2.1.243): Organisationen mit ausgehandelten Tarifen pro Modell oder einem Rabattmultiplikator können diese über die verwaltete Einstellung modelPricing bereitstellen. /cost, die Statuszeile und die Kostenangaben in der Telemetrie verwenden dann diese Tarife statt der Listenpreise, sodass die den Entwicklern angezeigten Beträge den tatsächlichen Ausgaben der Organisation entsprechen.²²⁷ Seit v2.1.271 kann der Multiplikator auch über 1 liegen – bis zu 10 –, wenn Organisationen ihren internen Teams Preisaufschläge berechnen.²¹⁶

Prompt-Cache-Zeile pro Sitzung (ab v2.1.251): /cost ergänzt für die Sitzung eine Prompt-Cache-Zeile mit Trefferquote, Fehltreffern, erneut im Cache gespeicherten Tokens und dem Status des Caches als warm oder kalt. Für Statuszeilenskripte steht ein entsprechendes prompt_cache-Objekt bereit. Das Objekt erscheint nach der ersten API-Antwort der Hauptkonversation, berücksichtigt keine subagent-Anfragen und wird anhand der Cache-Token-Zahlen in den Antworten der API berechnet. Dadurch funktioniert es bei jedem Anbieter. /usage zeigt dieselben Statistiken in der Zeile Prompt cache (main) an.²⁰⁶²⁰⁹ Seit v2.1.260 nennen die /cost-Zeile und das prompt_cache-Objekt der Statuszeile zudem eine wahrscheinliche Ursache für Cache-Fehltreffer – etwa geänderte Tool-Definitionen oder einen geänderten System-Prompt sowie eine Sitzung, die länger als die Cache-TTL inaktiv war.²¹²

Agent-Datenverkehr unterbricht nicht mehr sein eigenes Cache-Präfix (v2.1.265): Zwei Korrekturen schließen Prompt-Cache-Lecks bei delegierten Aufgaben. Beim Fortsetzen eines im Vordergrund gestarteten subagent ändern sich dessen Tool-Liste und System-Prompt-Präfix nicht mehr. Außerdem verschieben Teammitglieder des Agents und fortgesetzte subagents den Kontext des SubagentStart-hooks sowie vorgeladene skills in späteren Durchläufen nicht mehr aus dem Prompt-Präfix. Beide Fehler verhinderten die Wiederverwendung des Prompt-Caches: Weil sich das Präfix änderte, wurde alles Folgende erneut als nicht zwischengespeicherte Eingabe gesendet. Das trat ausgerechnet bei langen agentischen Sitzungen auf, in denen die Cache-Wirtschaftlichkeit am wichtigsten ist – derselbe Fehlermodus, den v2.1.260 bei Tool-Aufrufen von Fable 5.1 behoben hatte.²¹⁵

Das Paket zur Cache-Stabilität in v2.1.267: Eine Version, rund zehn Korrekturen, stets derselbe Fehlermodus: Etwas schrieb das Prompt-Präfix mitten in der Konversation neu, woraufhin alles Folgende erneut als nicht zwischengespeicherte Eingabe gesendet wurde. Fortgesetzte Sitzungen schreiben Tool-Listen nicht mehr neu, rendern Tool-Beschreibungen nicht erneut und verändern keine früheren MCP-Tool-Ankündigungen, bevor deren connectors wieder verbunden sind. Ein Modellwechsel mit /model sendet nicht mehr jede Tool-Definition erneut; Texte zur Zuordnung von Commits und PRs werden nun als Konversationsnotiz übermittelt, die bei Modellwechseln aktualisiert wird. subagents und Sitzungen, die mit --system-prompt oder --append-system-prompt gestartet wurden, zeichnen den System-Prompt und die Tool-Definitionen einmalig auf. Außerdem erreichen MCP- und plugin-Tools laufende Sitzungen ohne ToolSearch als verzögerte Definitionen statt in Form einer neu geschriebenen Tool-Liste. Das Paket weitet die Korrekturen aus v2.1.260 und v2.1.265 auf fortgesetzte Sitzungen, Modellwechsel und erneute MCP-Verbindungen aus.²¹⁶

v2.1.273 hält den Gesprächsfaden aufrecht: /login, /upgrade und /extra-usage verwarfen zuvor frühere Gedankengänge aus der Konversation, wodurch bei der nächsten Anfrage der gesamte Prompt-Cache neu geschrieben werden musste.²¹⁷

Abonnementtarife

Ratenbegrenzungen (August 2025): Anthropic führte wöchentliche Ratenbegrenzungen für zahlende Abonnenten ein. Max-Abonnenten können über die Ratenbegrenzung hinaus zusätzliche Nutzung zu den regulären API-Tarifen erwerben.¹⁴

Verdoppelung der Ratenbegrenzung (6. Mai 2026): Während der Veranstaltung Code with Claude SF verdoppelte Anthropic die fünfstündigen Ratenbegrenzungen von Claude Code für Pro-, Max-, Team- und sitzplatzbasierte Enterprise-Tarife, hob die Reduzierung zu Spitzenzeiten für Pro- und Max-Konten auf und erhöhte die API-Ratenbegrenzungen für Claude-Opus-Modelle „beträchtlich“. Als Kapazitätsreserve dient die Vereinbarung zu SpaceX Colossus 1: „mehr als 300 Megawatt neue Kapazität (über 220.000 NVIDIA GPUs) innerhalb eines Monats“.¹⁵⁷

Wöchentliche Begrenzungen ab 14. September 2026 (angekündigt am 29. August): Die seit der Erhöhung im Mai geltende vorübergehende Anhebung der wöchentlichen Begrenzung um 50 % endet am 14. September. An ihre Stelle tritt für Pro-, Max-, Team- und sitzplatzbasierte Enterprise-Tarife eine dauerhafte Erhöhung um 25 % gegenüber dem Niveau vor der Anhebung. Anthropic rechnet die Änderung selbst so vor: „Verglichen mit heute ergibt sich daraus eine Senkung der wöchentlichen Begrenzungen für Claude Code um 17 %.“ Liegt Ihre wöchentliche Obergrenze heute bei 150 Einheiten, beträgt sie ab dem 14. September 125. Die fünfstündigen Begrenzungen sind von dieser Ankündigung nicht betroffen; die Verdoppelung vom Mai bleibt bestehen. Wenn Sie lange unbeaufsichtigte Sitzungen ausführen, sollten Sie die niedrigere Obergrenze bereits jetzt einplanen: Der Schalter zum automatischen Fortsetzen nach dem Zurücksetzen (v2.1.234) und /usage sind die beiden entscheidenden Steuerungsmöglichkeiten.²¹³

API-Token-Preise (April 2026)¹¹⁴⁴

Für Nutzer mit API-Abrechnung gelten je 1 Million Tokens folgende Preise:

Preise für ein Kontextfenster mit 1 Million Tokens (April 2026): Bei Opus 4.7, Opus 4.6, Sonnet 4.6 und Mythos Preview ist ein Kontextfenster mit 1 Million Tokens zu den regulären Preisen pro Million Tokens enthalten – ohne Aufpreis für langen Kontext.¹⁴⁸ Diese Vereinheitlichung ist neu; ältere Hinweise, nach denen bei Opus 4.6 oder Sonnet 4.6 oberhalb von 200.000 Eingabe-Tokens der doppelte Eingabepreis und der 1,5-fache Ausgabepreis anfielen, sind nicht mehr aktuell. Für ältere Modelle bis einschließlich Opus 4.5 gelten weiterhin die ursprünglichen Preisstrukturen.

Preise für Datenresidenz: Wenn Sie mit inference_geo ausschließlich Inferenz in den USA festlegen, werden sämtliche Token-Preise einschließlich Cache-Lese- und -Schreibvorgängen mit dem Faktor 1,1 multipliziert (Modelle ab Opus 4.6).¹⁴⁸

Prompt caching senkt die Kosten für wiederholte Eingaben deutlich: Cache-Schreibvorgänge kosten das 1,25-Fache des Grundpreises bei einem 5-Minuten-Cache beziehungsweise das Doppelte bei einem 1-Stunden-Cache. Cache-Lesevorgänge kosten dagegen nur das 0,1-Fache, was einer Ersparnis von 90 % entspricht. Ausschließlich bei Claude Fable 5.1 und Mythos 5.1 sinken die Kosten für Lesevorgänge sogar auf das 0,025-Fache ($0.25/MTok bei Fable 5.1), also um 97,5 %.²¹⁸ Bei RAG-Systemen und Code-Assistenten mit wiederkehrendem Kontext kann caching die Kosten um 88–95 % senken.

Batch API bietet für nicht dringende Aufgaben wie nächtliche Testsuiten 50 % Rabatt bei einer Bearbeitungszeit von 24 Stunden.

Richtlinie für mehrere Konten⁵²

Dürfen Sie mehrere Claude-Konten besitzen? Ja, sofern legitime Anwendungsfälle vorliegen. Anthropic erlaubt ausdrücklich mehrere Konten, wenn sie unterschiedlichen Zwecken dienen.

Zulässige Fälle:

Technische Begrenzungen: - Bis zu 3 Konten können mit derselben Telefonnummer verifiziert werden - Mehrere kostenpflichtige Abonnements über dieselbe IP-Adresse beziehungsweise dasselbe Netzwerk werden ausdrücklich unterstützt - Die Konten sind vollständig voneinander getrennt; Chats oder Projekte lassen sich nicht zwischen ihnen übertragen

Unzulässige Fälle (gemäß der Nutzungsrichtlinie): - Erstellen neuer Konten, um nach einer Sperrung Sperren zu umgehen - Koordination böswilliger Aktivitäten über mehrere Konten hinweg, um einer Erkennung zu entgehen - Nutzung mehrerer Konten, um Ratenbegrenzungen oder Guthaben des kostenlosen Tarifs zu umgehen

Hinweis aus der Praxis: Im Januar 2026 wurden 22 Max-Konten des Power-Users Jeffrey Emanuel (@doodlestein) automatisch markiert und vorübergehend gesperrt. Der Anthropic-Mitarbeiter Thariq (@trq212) hob die Sperrung innerhalb von 4 Stunden auf, nachdem die legitime Nutzung bestätigt worden war. Wenn Sie Claude Code sowohl für berufliche als auch für private Projekte intensiv über mehrere Konten hinweg verwenden, entspricht das genau dem vorgesehenen Einsatzzweck des Dienstes. Versuchen Sie jedoch nicht, das System auszutricksen.

Im Zweifelsfall: Wenden Sie sich an den Anthropic Support, um sich Ihre konkrete Konfiguration schriftlich bestätigen zu lassen.

Kostenfaktoren

Praxisnahe Kostenbeispiele

Spartipp: Wenn Sie Haiku für erkundende subagents und Sonnet für die Implementierung verwenden, sinken die Kosten im Vergleich zum ausschließlichen Einsatz von Sonnet in der Regel um 40–50 %.

Kostenmanagement für Teams

Empfohlene TPM/RPM nach Teamgröße:

Verdeckte Tool-Gebühren

Zusätzlich zu den Token-Preisen fallen für einige Tools separate Gebühren an:⁹

Diese Kosten summieren sich in Agent-Schleifen. Ein Debugging-Zyklus mit 100 Durchläufen und Bash verursacht allein durch den Zusatzaufwand rund 24.500 weitere Eingabe-Tokens.

Strategien zur Kostensenkung

1. Haiku für subagents verwenden: Für die meisten Erkundungsaufgaben ist Sonnet nicht erforderlich
2. Prompt caching aktivieren: Es ist standardmäßig aktiviert, prüfen Sie jedoch, ob es nicht deaktiviert wurde
3. Maximale Anzahl an Durchläufen festlegen: claude --max-turns 5 verhindert außer Kontrolle geratene Konversationen
4. Ausgabenobergrenze festlegen: claude --max-budget-usd 5 beendet die Sitzung zwingend, sobald die festgelegte Kostengrenze erreicht ist. Seit v2.1.217 gilt die Obergrenze auch für subagents im Hintergrund: Sobald sie erreicht ist, werden neue Starts abgelehnt und laufende Hintergrund-Agents angehalten (zuvor fielen Hintergrund-Agents nicht unter das Budget)¹⁹⁴
5. plan mode zur Erkundung verwenden: Keine Ausführung bedeutet keine versehentlich ausgelösten kostspieligen Vorgänge
6. Frühzeitig komprimieren: Weniger Kontext bedeutet weniger Tokens
7. Ausgabe begrenzen: export CLAUDE_CODE_MAX_OUTPUT_TOKENS=2000
8. Batch API für nicht dringende Aufgaben verwenden: 50 % Rabatt auf Eingabe- und Ausgabe-Tokens
9. Claude-API-Ausgaben eines Projekts analysieren: /claude-api cost-optimize (ab v2.1.247) analysiert die bisherigen Claude-API-Ausgaben eines Projekts und arbeitet die Kostenhebel – caching, Token-Hygiene, batch, effort und Modellauswahl – mit jeweils einer gemessenen Änderung ab. Dies gilt für Anwendungen, die Sie mit der API entwickeln, nicht für die Claude Code-Sitzung selbst²²²

Nutzung überwachen

• Claude Console: platform.claude.com (erfordert die Rolle Admin oder Billing)
• Arbeitsbereichsbegrenzungen: Legen Sie Ausgabenbegrenzungen je Arbeitsbereich fest
• Bedrock/Vertex: Verwenden Sie die nativen Funktionen zur Cloud-Kostenüberwachung
• LiteLLM: Für eine detaillierte benutzerbezogene Nachverfolgung bei Drittanbietern

Token-Verbrauch im Hintergrund

Einige Vorgänge verbrauchen im Hintergrund Tokens: - Zusammenfassung von Konversationen für /resume - Befehle /cost und /status - Automatische Komprimierung

In der Regel weniger als $0.04 pro Sitzung.

Claude Code Analytics API (Team/Enterprise)⁴⁶

Über die Admin API können Sie programmatisch auf die Nutzungsanalysen und Produktivitätskennzahlen Ihrer Organisation für Claude Code zugreifen.

Endpunkt: GET /v1/organizations/usage_report/claude_code

Voraussetzungen: - Admin-API-Schlüssel (sk-ant-admin...) - Team- oder Enterprise-Tarif - Rolle Admin, Billing oder Developer

Verfügbare Kennzahlen:

Beispielanfrage:

curl "https://api.anthropic.com/v1/organizations/usage_report/claude_code?starting_at=2026-01-15" \
  -H "x-api-key: sk-ant-admin..." \
  -H "anthropic-version: 2023-06-01"

Anwendungsfälle: - Analyse der Entwicklerproduktivität (Sitzungen, Commits, PRs) - Kennzahlen zur Tool-Nutzung (Annahme-/Ablehnungsraten für Edit, Write usw.) - Kostennachverfolgung und -zuordnung über Teams hinweg - ROI-Begründung für KI-Programmierwerkzeuge

Hinweis: Die Daten erscheinen innerhalb von 1 Stunde nach Abschluss einer Aktivität. Um konsistente Ergebnisse zu gewährleisten, enthalten Antworten nur Daten, die älter als 1 Stunde sind.

Entscheidungsgrundlagen

Funktionen zu kennen, reicht nicht aus. Sie müssen wissen, wann Sie welche einsetzen sollten. Diese Entscheidungsbäume machen aus Wissen konkretes Handeln.

Welches Modell sollte ich verwenden?

START → Is the task simple? (file search, quick question, formatting)
         │
         ├── YES → Use Haiku
         │         Cost: ~$0.03/task
         │         Speed: Fastest
         │
         └── NO → Does it require deep reasoning?
                  (architecture, complex debugging, security analysis)
                  │
                  ├── YES → Use Opus 5 (high effort default; /effort xhigh for harder)
                  │         Cost: ~$2.00/task
                  │         Quality: Highest (1M context at standard price, adaptive reasoning)
                  │
                  └── NO → Use Sonnet
                           Cost: ~$0.75/task
                           Balance: Best overall when cost matters

Faustregel: Die Standardeinstellung richtet sich nach Ihrem Tarif – Opus 5 bei den Premium-Tarifen und dem Anthropic API, Sonnet 5 bei Pro und Team Standard; mit /model opus wechseln Sie eine Sonnet-Sitzung zu Opus 5.^181197207 Verwenden Sie für subagents Haiku. Wechseln Sie zu Opus, wenn Ihnen die Antwort von Sonnet oberflächlich erscheint. Bei Agent Teams (ab v2.1.32) kann Opus mehrere agents koordinieren, die parallel an unterschiedlichen Teilaufgaben arbeiten.⁷⁹

Befehl vs. skill vs. subagent vs. Agent Team?

Do you want explicit control over when it runs?
│
├── YES → Use Slash Command
│         Example: /deploy, /test, /security-review
│         You invoke it. You control timing.
│
└── NO → Should the expertise apply automatically based on context?
         │
         ├── YES → Use Skill
         │         Example: Security patterns, domain rules, code standards
         │         Claude recognizes context and applies expertise.
         │
         └── NO → Does the work need isolated context?
                  │
                  ├── YES → Is there one subtask or many parallel subtasks?
                  │         │
                  │         ├── ONE → Use Subagent (Task tool)
                  │         │         Example: Deep exploration, parallel analysis
                  │         │         Prevents context bloat in main conversation.
                  │         │
                  │         └── MANY → Use Agent Team (v2.1.32+)
                  │                   Example: 5 agents reviewing different modules simultaneously
                  │                   Opus coordinates; each agent works independently.
                  │
                  └── NO → Just prompt directly
                           Not everything needs abstraction.

hook vs. Prompt?

Must the action ALWAYS happen, regardless of Claude's judgment?
│
├── YES → Use Hook (deterministic)
│         Examples:
│         - Format code after every edit
│         - Log all bash commands
│         - Block access to .env files
│         Claude cannot skip, forget, or decide otherwise.
│
└── NO → Use Prompt (probabilistic)
         Examples:
         - "Consider adding tests"
         - "Think about edge cases"
         - "Review for security if relevant"
         Claude decides based on context.

Wann sollte Extended Thinking verwendet werden?

Is this a genuinely hard problem?
│
├── Architectural decision with many tradeoffs → YES, use thinking
├── Complex debugging with unclear root cause → YES, use thinking
├── Security analysis requiring careful reasoning → YES, use thinking
├── Understanding unfamiliar codebase → YES, use thinking
│
├── Routine bug fix → NO, skip thinking
├── Simple refactoring → NO, skip thinking
├── Code formatting → NO, skip thinking
└── Quick questions → NO, skip thinking

Aktivieren oder deaktivieren Sie es während der Sitzung mit Alt+T. Höhere Thinking-Budgets kosten mehr; beginnen Sie mit dem Minimum und erhöhen Sie es nur, wenn die Antworten übereilt wirken.

Adaptives Thinking von Opus 4.6: Opus 4.6 passt die Thinking-Tiefe automatisch an die Komplexität des Problems an. Bei den meisten Aufgaben müssen Sie das Thinking-Budget nicht ausdrücklich steuern – bei schwierigen Problemen erhöht Opus die Tiefe, während es bei einfachen Aufgaben schnell bleibt. Das manuelle Umschalten von Thinking ist vor allem bei Sonnet hilfreich, wenn Sie eine tiefere Analyse erzwingen möchten.

Welche Ausführungsoberfläche?

Where should this work happen?
│
├── Requires YOUR local files and tools
│   │
│   ├── Interactive, iterative work → Main REPL session
│   ├── One-shot scripted task → claude -p "prompt" (print mode)
│   ├── CI/CD automation → claude -p --json (non-interactive + structured output)
│   └── Parallel isolated tasks → Subagents via Task tool
│
├── Requires SOMEONE ELSE'S environment
│   │
│   └── Remote codebase or server → Background agent (cloud)
│
└── Doesn't require any environment
    │
    ├── Research or analysis → Subagent with Explore type
    └── Web content extraction → WebFetch / WebSearch tools

Agent Teams vs. subagents vs. parallele Sitzungen

Do you need multiple agents working on related subtasks?
│
├── YES → Are the subtasks independent (no shared state)?
│         │
│         ├── YES → Can they share the same codebase?
│         │         │
│         │         ├── YES → Use Agent Team (v2.1.32+)
│         │         │         Opus coordinates. Agents share repo access.
│         │         │         Example: "Review auth, API, and DB modules in parallel"
│         │         │
│         │         └── NO → Use Parallel Sessions (separate terminals)
│         │                  Each has its own working directory.
│         │                  Example: "Fix repo-A and repo-B simultaneously"
│         │
│         └── NO → Use Sequential Subagents
│                  Results from one feed into the next.
│                  Example: "Explore → Plan → Implement"
│
└── NO → Use Single Subagent or Main REPL

Welcher hook-Typ?

What kind of automation do you need?
│
├── Run a shell command at a specific event?
│   │
│   └── Use Command Hook
│       Trigger: PreToolUse, PostToolUse, Notification, Stop, SubagentStop
│       Example: "Run prettier after every file edit"
│       Config: hooks.PostToolUse[].command = "prettier --write $FILE"
│
├── Modify Claude's system prompt based on context?
│   │
│   └── Use Prompt Hook (v2.1.35+)
│       Trigger: Same events
│       Example: "Inject project rules when working in /src/auth/"
│       Config: hooks.PreToolUse[].prompt = "When editing auth files..."
│
└── Have Claude make a judgment call before proceeding?
    │
    └── Use Agent Hook (v2.1.35+)
        Trigger: Same events
        Example: "Evaluate if this bash command is safe before running"
        Config: hooks.PreToolUse[].agent = { prompt: "Is this safe?" }

Wann sollte /fast verwendet werden?

Is response speed more important than depth right now?
│
├── YES → Use /fast   (Opus 5 or Opus 4.8 only, v2.1.219+)
│         Same model, ~2.5× output speed at 2× price
│         Good for: quick questions, simple edits, code explanations,
│                   file searches, formatting tasks
│
└── NO → Stay in normal mode
         Good for: architecture decisions, complex debugging,
                   security reviews, multi-file refactors,
                   anything requiring deep reasoning

/fast schaltet den Fast Mode für die aktuelle Sitzung ein oder aus. Dabei kommt dasselbe Modell zum Einsatz – Opus 5 oder Opus 4.8, die beiden einzigen Modelle, die den Fast Mode ab v2.1.219 unterstützen –, allerdings mit optimierter Ausgabegeschwindigkeit. Es wird NICHT zu einem günstigeren Modell gewechselt, und mit 10/50 US-Dollar pro MTok ist der Fast Mode auch nicht günstiger.¹⁹⁶¹⁹⁸

Wie funktioniert das Berechtigungssystem?

Das Berechtigungssystem von Claude Code ermöglicht eine präzise Steuerung der ausführbaren Vorgänge. Es zu verstehen, ist sowohl für die Sicherheit als auch für effiziente Arbeitsabläufe unerlässlich. Informationen zu verwalteten Einstellungen, mit denen sich Berechtigungen unternehmensweit durchsetzen lassen, finden Sie außerdem unter Unternehmensbereitstellung.

Berechtigungsstufen

Schreibgeschützte Tools (automatisch genehmigt): - Read - Dateiinhalte lesen - Glob - Dateien anhand eines Musters finden - Grep - Dateiinhalte durchsuchen - WebSearch - Das Web durchsuchen - LSP - Code-Intelligence (Zur Definition springen, Referenzen suchen, Hover-Dokumentation)¹⁸

Funktionen des LSP-Tools (v2.0.74+): Das LSP-Tool bietet IDE-ähnliche Code-Intelligence: - Zur Definition springen: Zur Definitionsstelle eines Symbols springen - Referenzen suchen: Alle Verwendungen eines Symbols in der gesamten Codebasis auflisten - Hover-Dokumentation: Typinformationen und Dokumentation für jedes Symbol abrufen - Funktioniert mit TypeScript, Python, Go, Rust und anderen Sprachen mit LSP-Unterstützung - Erfordert einen verfügbaren Sprachserver (in der Regel zusammen mit Ihrer Toolchain installiert)

Änderungs-Tools (Genehmigung erforderlich): - Edit - Vorhandene Dateien ändern - Write - Neue Dateien erstellen - Bash - Shell-Befehle ausführen - WebFetch - Inhalte von URLs abrufen - NotebookEdit - Jupyter-Notebooks ändern

Bei der ersten Ausführung eines Änderungs-Tools fordert Claude Code eine Genehmigung an. Genehmigungen gelten für die gesamte Sitzung, sofern nicht ausdrücklich etwas anderes konfiguriert wurde.

EndConversation-Tool (v2.1.214). Claude Code verfügt nun über dieselbe Möglichkeit zum Beenden von Unterhaltungen, die Claude auf claude.ai bereits seit 2025 besitzt: Bei besonders missbräuchlichen Eingaben oder hartnäckigen Jailbreak-Versuchen kann Claude die Sitzung in seltenen Fällen über das integrierte EndConversation-Tool vollständig beenden. Dabei handelt es sich um eine Maßnahme zur Missbrauchsabwehr und zum Schutz des Modells, nicht um eine Workflow-Funktion — in normalen Entwicklungssitzungen wird sie nie ausgelöst.¹⁹⁰¹⁹³

Berechtigungsmodi

Der Modus default wird seit v2.1.200 als „Manual“ bezeichnet. Die Umbenennung betrifft CLI, --help, VS Code und JetBrains; der Konfigurationswert hat sich nicht geändert, sodass "defaultMode": "default" weiterhin funktioniert und --permission-mode manual / "defaultMode": "manual" nun ebenfalls als Aliasse akzeptiert werden. Das Verhalten ist identisch — bei der ersten Verwendung jedes Tools wird nachgefragt. Lediglich die Bezeichnung erweckt nicht mehr den Eindruck, es handle sich um „den zufällig standardmäßig verwendeten Modus“, obwohl tatsächlich der Modus für manuelle Genehmigungen gemeint ist. Mit derselben Version werden AskUserQuestion-Dialoge standardmäßig nicht mehr automatisch fortgesetzt; stellt ein subagent eine Frage, wartet er nun auf Ihre Antwort, statt nach einem Timeout fortzufahren. Einen Leerlauf-Timeout können Sie über /config wieder aktivieren.

Seit dem 14. August 2026 ist der Auto-Modus die standardmäßige Voreinstellung für Pro, Max und Team — angekündigt am 7. August und am Umstellungstag in der offiziellen Dokumentation zu Berechtigungsmodi als aktiv bestätigt. Deren aktueller Wortlaut ergänzt zwei wichtige Details zum Geltungsbereich: Der Standard gilt für neue Sitzungen, und „eine von Ihnen selbst festgelegte Voreinstellung bleibt bestehen, sofern Sie der einmaligen Aufforderung zur Umstellung nicht zustimmen; eine von Ihrer Organisation verwaltete Voreinstellung bleibt unverändert“. Neue Sitzungen mit diesen Tarifen starten im Auto-Modus, der „jeden Tool-Aufruf durch einen Klassifikator leitet, der darauf ausgerichtet ist, irreversible, destruktive oder auf Ziele außerhalb Ihrer Umgebung gerichtete Aktionen zu blockieren“. Anthropic begründet die Umstellung mit einer Studie unter 1.053 Testpersonen: Der Auto-Modus erkannte 89 % der gefährlichen Befehle, die menschliche Prüfung dagegen nur 13,6 % — zudem genehmigen Benutzer ohnehin 97 % aller Berechtigungsabfragen, weshalb die manuelle Prüfung in der Praxis wenig wirksam ist. Der Token-Overhead des Klassifikators wird Pro/Max/Team seit der Ankündigung nicht mehr in Rechnung gestellt. Mit einmaligem Drücken von Shift+Tab (oder über das Modus-Dropdown der Desktop-App) wechseln Sie zurück; mit defaultMode können Sie in den Einstellungen eine andere Voreinstellung festlegen. Organisationsadministratoren können den Auto-Modus über die verwaltete Einstellung disableAutoMode vollständig deaktivieren. Enterprise, das Claude API, die Claude Platform auf AWS, Bedrock, die Agent Platform von Google Cloud und Foundry bleiben vorerst opt-in — Anthropic plant, die Voreinstellung „im kommenden Monat“ auch auf sie auszuweiten.²⁰³ Was der Auto-Modus nicht verspricht — einschließlich der von Forschern demonstrierten Umgehung, die Anthropic zu dieser Klarstellung veranlasste — erfahren Sie unter Auto-Modus auf Max.

Bei Code ausführenden Konfigurationsdateien wird nun auch unter acceptEdits nachgefragt (v2.1.160). acceptEdits genehmigt gewöhnliche Änderungen automatisch, hält seit v2.1.160 jedoch an und fragt nach, bevor Dateien geschrieben werden, die eine unbemerkte Befehlsausführung ermöglichen können: Shell-Startdateien (.zshenv, .zlogin, .bash_login), ~/.config/git/ und Konfigurationen von Build-Tools (.npmrc, .yarnrc*, bunfig.toml, .bazelrc, .pre-commit-config.yaml, .devcontainer/ und Ähnliche). Der Grund: Eine Änderung an einer dieser Dateien macht die nächste Shell, Installation oder den nächsten Commit zu einem Ausführungsvektor. Daher greift selbst in einem Modus für vertrauenswürdige Projekte, der andere Änderungen ohne Rückfrage zulässt, eine bewusste Schutzschranke. Das entspricht demselben Bedrohungsmodell wie die bestehenden Schreibschutzmaßnahmen für .claude/, .git/ und .vscode/, erweitert auf die größere Klasse von Dateien, bei denen eine „Änderung zur Ausführung wird“.²⁴²

Auto Mode (v2.1.85+): Ein sichererer Ersatz für --dangerously-skip-permissions. Ein separates Klassifikatormodell — seit v2.1.210 Claude Sonnet 5 (ursprünglich Sonnet 4.6) — prüft jede Aktion vor der Ausführung darauf, ob sie der Absicht des Benutzers entspricht und sicher ist.¹²⁴¹⁸⁷

Funktionsweise: - Schreibgeschützte Aktionen und Dateiänderungen im Arbeitsverzeichnis werden automatisch genehmigt - Benutzerdefinierte Zulassungs- und Ablehnungsregeln werden zuerst ausgewertet - Alles andere wird dem Klassifikator zur Bewertung übergeben - Bei einer Blockierung versucht Claude automatisch einen alternativen Ansatz

Standardmäßig automatisch blockiert: curl | bash, Force-Pushes auf main, Produktionsbereitstellungen/-migrationen, massenhafte Cloud-Löschvorgänge, IAM-/Berechtigungsänderungen und das externe Senden vertraulicher Daten.¹²⁵

Sicherungsschalter: Nach 3 aufeinanderfolgenden oder insgesamt 20 Blockierungen in einer Sitzung wird wieder auf manuelle Abfragen umgestellt.¹²⁵

# Enable at startup
claude --permission-mode auto

# Or cycle into it during a session
Shift+Tab  # Cycles through: Manual (aka default) → acceptEdits → auto → plan

Der Auto-Modus erfordert keine explizite Aktivierung mehr (v2.1.152), funktioniert auf Bedrock/Vertex/Foundry ohne Umgebungsvariable (v2.1.207) und ist seit dem 14. August 2026 die standardmäßige Voreinstellung für Pro/Max/Team.^244185203

YOLO Mode (v2.0.68+): Für einen vollständig autonomen Betrieb ohne Sicherheitsklassifikator verwenden Sie das Flag --dangerously-skip-permissions. Das Flag stimmt allem zu: Dateiänderungen, Bash-Befehlen und sämtlichen Tool-Aufrufen. Das Wort „dangerous“ ist bewusst gewählt. Für die meisten Anwendungsfälle ist Auto Mode die empfohlene Alternative.⁵⁴

claude --dangerously-skip-permissions

Modus über CLI festlegen:

claude --permission-mode auto  # or acceptEdits, plan, bypassPermissions

Während der Sitzung umschalten:

Shift+Tab  # Cycles through modes

In settings.json:

{
  "permissions": {
    "defaultMode": "acceptEdits"
  }
}

Einschränkung des Geltungsbereichs von defaultMode (v2.1.257): In .claude/settings.json oder .claude/settings.local.json eines Projekts kann defaultMode: "bypassPermissions" nicht mehr festgelegt werden — der Wert wird dort ignoriert, wie es bereits bei "auto" der Fall war. Die Dokumentation formuliert die Regel nun ausdrücklich: Die permissions.defaultMode-Werte auto und bypassPermissions „werden in Projekt- oder lokalen Einstellungen nicht wirksam“ — legen Sie sie in Benutzer- oder verwalteten Einstellungen beziehungsweise sitzungsbezogen mit --permission-mode fest. Ein geklontes Repository kann somit keine Einstellungsdatei mitliefern, durch die Sitzungen unter Umgehung der Berechtigungen starten. (Das obige Beispiel verwendet acceptEdits, das in jedem Geltungsbereich festgelegt werden kann; auch die bereits bestehende Einschränkung für auto war in diesem Leitfaden bisher nicht dokumentiert — nun sind beide festgehalten.)²¹¹²²⁰

Syntax der Berechtigungsregeln

Detaillierte Regeln steuern einzelne Vorgänge. Sie werden der Reihe nach ausgewertet: Der erste Treffer entscheidet.

Muster für Bash-Befehle:

{
  "allow": [
    "Bash(npm run build)",
    "Bash(npm run test:*)",
    "Bash(git commit:*)",
    "Bash(make:*)"
  ],
  "deny": [
    "Bash(rm -rf:*)",
    "Bash(sudo:*)",
    "Bash(curl|wget:*)"
  ]
}

Das Sternchen ermöglicht einen Präfixabgleich: Bash(npm run test:*) erlaubt npm run test, npm run test:unit und npm run test:integration.

Wichtige Einschränkung: Bash-Muster gleichen nur Präfixe ab, keine regulären Ausdrücke. Ein Muster wie Bash(curl http:*) trifft nicht auf curl -X GET http://... zu, weil die Optionen vor der URL stehen. Um zuverlässig zu blockieren, lehnen Sie den gesamten Befehl ab: Bash(curl:*).

Setzen Sie das * hinter den Unterbefehl. Claude Code gleicht alles vor dem ersten * wie geschrieben ab; diese Wörter begrenzen also die Regel: Bash(git log *) erlaubt ausschließlich git log-Befehle, während das * in Bash(git * main) für den Unterbefehl und jede davorstehende Option steht. Dazu gehört -c, womit git ein von Ihnen angegebenes Programm ausführt. Daher genehmigt Bash(git * main) auch git -c core.fsmonitor=<script> diff main. Seit v2.1.246 warnt Claude Code beim Start vor Zulassungsregeln mit einem Platzhalter vor dem Unterbefehl — unabhängig davon, ob sie in einer Einstellungsdatei, in verwalteten Einstellungen oder in einem --allowedTools-/--settings-Wert enthalten sind. Verwenden Sie stattdessen genau den beabsichtigten Wert, also etwa Bash(git checkout main) anstelle von Bash(git * main).²²⁶²²⁴

Datei-Ablehnungsregeln greifen durch Umleitungen hindurch; die Erweiterung auf Argumente wurde veröffentlicht und binnen eines Tages zurückgenommen (v2.1.257-260). Read(...)- und Edit(...)-Ablehnungsregeln für Bash-Befehle erfassen Eingabeumleitungen (< file) sowie Lesebefehle wie tac und egrep (v2.1.257) — die engere Variante, die nach dem Zurücknehmen der Prüfungen von Eingabeumleitungen aus v2.1.232 in v2.1.233 zugesagt wurde; dieser Teil bleibt bestehen. In v2.1.259 wurde dieselbe Abdeckung auf Dateipfade erweitert, die in Optionswerten und Operanden verborgen sind (--ignore-revs-file=.env, -f.env, @file-Argumente, Operanden von git diff und git grep, Kombinationen wie cd DIR && cat FILE, wobei grep -r/cp -r über ein Verzeichnis mit einer abgelehnten Datei zunächst nachfragten). v2.1.260 nahm diese Erweiterung am folgenden Tag wieder zurück: Unter einer Read(./**/build/**)-Regel wurde npm run build in jedem Modus abgelehnt, und cd ... && grep löste selbst im Auto-Modus eine Rückfrage aus. Dies ist bereits die dritte Richtungsänderung bei der Abdeckung auf Argumentebene — v2.1.232 führte sie ein, v2.1.233 nahm sie zurück, v2.1.257 implementierte die weiterhin bestehende Teilmenge für Umleitungen und Lesebefehle, v2.1.259 erweiterte sie auf Argumente und v2.1.260 nahm diese Erweiterung wieder zurück. Somit erfassen Ablehnungsregeln seit v2.1.260 Umleitungen und Lesebefehle, jedoch keine in beliebigen Befehlsargumenten verborgenen Pfade — dieser mit v2.1.260 festgelegte Zustand gilt weiterhin; danach folgten punktuelle Korrekturen einzelner Umgehungsmöglichkeiten, keine vierte Richtungsänderung (siehe nächster Absatz).²¹¹²¹²

Punktuelle Korrekturen nach der Rücknahme und eine zweite begrenzte Rücknahme (v2.1.268-273). Die Rücknahme der Argumentprüfung bleibt bestehen; diese Änderungen schließen bestimmte Umgehungsmöglichkeiten — wobei eine davon ihrerseits zurückgenommen wurde. v2.1.268: Ablehnungs- und Rückfrageregeln für verlinkte Systemverzeichnisse (/etc, /tmp, /var unter macOS; /bin unter Linux) greifen nun auch, wenn ein Pfad über seinen tatsächlichen Speicherort angegeben wird. Zudem ignorieren Bash-Befehle keine Ablehnungsregeln mehr, die eine über einen Symlink angegebene Schreibweise verwenden — beides gilt weiterhin. Dieselbe Version verhinderte außerdem, dass ein env -C-, eval- oder ähnlicher Befehl, den die Berechtigungsprüfung in derselben Zeile nicht analysieren kann, eine Read- oder Edit-Ablehnungsregel aushebelt — v2.1.273 nahm genau diese Prüfung wieder zurück: „Befehle wie time -p make build fragen wieder nach, statt abgelehnt zu werden.“ v2.1.269: Edit()-Ablehnungsregeln und die Schreibpfadprüfung erfassen nun die Datei, in die ein Bash-tee-Befehl schreibt; eine Bash(tee:*)-Zulassungsregel deckt keine Ziele außerhalb der Arbeitsverzeichnisse mehr ab; und eine mit ! beginnende Ablehnungs- oder Rückfrageregel gilt nur innerhalb der Einstellungsquelle, in der sie definiert wurde (eine alleinstehende !-Negation wird ignoriert). v2.1.271 korrigiert die Prüfung selbst: Die von fmt, column und ähnlichen Befehlen gelesene Datei wird auch dann geprüft, wenn sie auf eine unbekannte Option folgt; Dateien, zu denen ein Platzhalter expandiert, werden geprüft, wenn dieser in einem Muster oder Optionswert steht (beispielsweise grep -v dir/* file); Flags für Shell-Variablendeklarationen können den ausgeführten Befehl nicht mehr falsch darstellen; und Befehle mit zwei Verzeichniswechseln, einer Subshell oder einer cd+git-Kette überspringen unter permissions.blockReadsOutsideWorkingDirectories im Bypass- und Auto-Modus nicht mehr die Rückfrage. v2.1.273 kombiniert die Rücknahme mit drei eigenen punktuellen Korrekturen: Ein nicht analysierbarer Bash-Befehl überspringt die Rückfrage unter permissions.blockReadsOutsideWorkingDirectories nicht mehr, eine Subshell mit einem verborgenen gefährlichen rm überspringt im Bypass-Modus nicht mehr die Bestätigung, und ein über die Einstellungen eines Repositorys ausgewähltes Speicherverzeichnis wird unter dieser Einstellung nicht mehr geladen, abgerufen oder indexiert. Einfach ausgedrückt gilt für Bash-Zeilen, die die Prüfung nicht analysieren kann: Ablehnungsregeln führen zu einer Rückfrage statt zu einer Ablehnung, und blockReadsOutsideWorkingDirectories führt zu einer Rückfrage statt zum Überspringen.²¹⁶²¹⁷

Muster für Dateioperationen:

{
  "allow": [
    "Edit(src/**)",
    "Read(docs/**)"
  ],
  "deny": [
    "Read(.env*)",
    "Read(secrets/**)",
    "Edit(.git/**)",
    "Edit(node_modules/**)"
  ]
}

Pfadsyntax: - Relative Pfade: Edit(src/**) - relativ zum Arbeitsverzeichnis - Absolut ausgehend von der Einstellungsdatei: Edit(/build/**) - relativ zum Speicherort der Einstellungsdatei - Tatsächlich absolut: Edit(//tmp/**) - beginnt mit // - Home-Verzeichnis: Read(~/.zshrc)

Zulassungsregeln der Form dir/** mit einem einzelnen Segment stimmen nun ausschließlich mit <cwd>/dir überein (v2.1.214) — prüfen Sie Ihre bestehenden Regeln. Vor v2.1.214 genehmigte eine Zulassungsregel wie Edit(src/**) automatisch Schreibvorgänge in jedem Verzeichnis mit dem Namen src innerhalb des gesamten Verzeichnisbaums — darunter vendor/src/, packages/foo/src/ und alle weiteren. Nun stimmt sie nur noch mit dem Verzeichnis src direkt unterhalb des Arbeitsverzeichnisses überein. Falls Sie auf das frühere Verhalten für beliebige Verzeichnistiefen angewiesen waren, schreiben Sie die Regel als Edit(**/src/**) um. deny- und ask-Regeln behalten ihren Abgleich in beliebiger Tiefe bei — die Änderung schränkt lediglich die automatische Genehmigung ein, niemals die Blockierung. Wenn eine Regel nicht mehr stillschweigend greift, zeigt sich dies nach dem Upgrade durch neue Berechtigungsabfragen und nicht durch eine Fehlermeldung. Prüfen Sie daher alle Zulassungsregeln mit nur einem Segment. Hook-if:-Bedingungen erhielten in dieser Version dieselbe cwd-Begrenzung (siehe Matchers).¹⁹⁰

Verwenden Sie Edit(path)/Read(path) statt Write(path)/NotebookEdit(path)/Glob(path) (v2.1.210). Claude Code zeigt nun beim Start eine Warnung für Berechtigungsregeln an, die auf Write(path), NotebookEdit(path) oder Glob(path) basieren. Die kanonischen Formen sind die beiden Regelfamilien, die den Dateizugriff tatsächlich steuern: Edit(path) deckt alle Tools zum Schreiben von Dateien ab, einschließlich Write und NotebookEdit; Read(path) deckt alle Tools zum Lesen von Dateien ab, einschließlich Glob. Migrieren Sie veraltete Regeln, um die Warnung zu beseitigen und die Absicht eindeutig auszudrücken.¹⁸⁷

„Always allow“ speichert im Stammverzeichnis des Repositorys (v2.1.211). Berechtigungsregeln, die über die Option „Always allow“ in einer Abfrage erstellt werden, werden nun im Stammverzeichnis des Repositorys statt im aktuellen Worktree gespeichert. Dadurch bleibt eine in einem Worktree erteilte Genehmigung sitzungsübergreifend und in jedem Worktree dieses Repositorys bestehen — derselbe Befehl muss nicht mehr in jedem parallelen Checkout erneut genehmigt werden.¹⁸⁸

Pfade mit Klammern und fehlerhafte Muster verhalten sich ausfallsicher (v2.1.260). Drei Parsing-Fehler bei Dateiberechtigungsregeln wurden behoben, der erste davon war sicherheitsrelevant. Edit-/Write-/Read-Regeln, deren Pfad Klammern enthält — beispielsweise eine Next.js-Routengruppe wie Edit(src/app/(admin)/**) — wurden als ungültig verworfen oder von der Bash-Sandbox ignoriert. Dadurch blieben Ordner beschreibbar, die ein Administrator für schreibgeschützt hielt; nun werden die Regeln angewendet. Eine Datei-Ablehnungsregel mit einem nicht kompilierbaren Muster, etwa einer nicht geschlossenen [, führte zuvor dazu, dass jede Dateiänderung mit Invalid regular expression fehlschlug; nun schützt eine solche Regel den von ihr wörtlich angegebenen Pfad. Und die Einstellungsfehlermeldung für eine Regel wie Edit(C:\dir\(name)\**), bei der \( als maskierte Klammer statt als Pfadtrennzeichen gelesen wird, schlägt nun eine eindeutige Schreibweise vor. Dieselbe Version verhindert außerdem, dass Regeln mit Text hinter der schließenden Klammer stillschweigend ignoriert werden (Bash(ls) x stimmte nie mit etwas überein); sie werden jetzt als ungültige Einstellungen gemeldet.²¹²

Tool-Muster für MCP:

{
  "allow": [
    "mcp__github",
    "mcp__database__query",
    "mcp__myserver__*"
  ],
  "deny": [
    "mcp__dangerous_server",
    "mcp__untrusted__*"
  ]
}

Mit der Platzhaltersyntax mcp__server__* können Sie alle Tools eines bestimmten MCP-Servers zulassen oder ablehnen.³² Die Platzhaltersyntax eignet sich dazu, schnell alle Tools vertrauenswürdiger Server zu aktivieren oder komplette Server aus nicht vertrauenswürdigen Quellen zu blockieren.

Seit v2.1.166 akzeptieren auch Ablehnungsregeln einen Glob an der Position des Tool-Namens: Ein alleinstehendes "*" im Feld für den Tool-Namen lehnt alle Tools ab, sodass Sie zunächst alles blockieren und anschließend eine eng begrenzte Auswahl wieder zulassen können. Zulassungsregeln weisen dagegen Globs zurück, die sich nicht auf MCP beziehen — eine vergleichbar pauschale Zulassung ist also nicht möglich, wodurch die standardmäßige Sicherheitsausrichtung restriktiv bleibt.²⁴⁰

Abgleich auf Parameterebene — Tool(param:value) (v2.1.178):

Eine Regel kann neben dem Tool-Namen auch die Eingabeparameter eines Tools abgleichen, wobei * als Platzhalter für den Wert dient:

{
  "deny": [
    "Agent(model:opus)"
  ]
}

Agent(model:opus) blockiert jeden subagent, der auf der Opus-Stufe gestartet wird — der Start selbst wird abgelehnt, nicht bloß im Prompt darum gebeten, darauf zu verzichten. Damit reicht die Berechtigungssteuerung von der Frage „Welches Tool?“ bis hin zu „Wie wird es aufgerufen?“ und wird als deterministische Regel statt als Anweisung auf Prompt-Ebene umgesetzt. Dies ergänzt die verwaltete Einstellung enforceAvailableModels: Die Zulassungsliste legt fest, welche Modellstufen für die Sitzung verfügbar sind, und Tool(model:...)-Regeln begrenzen, wie subagents daraus auswählen.¹⁷³

Seit v2.1.186 werden diese Agent(...)-Regeln auch beim Start benannter subagents durchgesetzt: Agent(agent_type)-Ablehnungsregeln und Agent(x,y)-Einschränkungen zulässiger Typen greifen nun auch, wenn ein bestimmter benannter Agent gestartet wird — über einen Workflow, --agents oder ein Agent-Team — und nicht nur bei anonymen Starts im Task-Stil. Der Start wird unmittelbar blockiert. Damit ist eine Lücke geschlossen, durch die ein benannter Agent eine zu seiner Einschränkung vorgesehene Regel umgehen konnte.¹⁷⁵

WebFetch-Muster:

{
  "allow": [
    "WebFetch(domain:github.com)",
    "WebFetch(domain:api.example.com)"
  ]
}

Seit v2.1.268 gelten einfache WebFetch-Ablehnungs- und Rückfrageregeln nicht mehr für Lese- und Aktualisierungsvorgänge des Artifact-Tools — schreiben Sie eine Artifact-Regel oder WebFetch(domain:claude.ai), um diese zu blockieren oder einer Rückfrage zu unterwerfen.²¹⁶

Zusätzliche Verzeichnisse

Erweitern Sie den Zugriff von Claude über das aktuelle Projekt hinaus:

{
  "permissions": {
    "additionalDirectories": [
      "../shared-lib",
      "../docs",
      "~/reference-projects/design-system"
    ]
  }
}

Zusätzliche Verzeichnisse sind für Monorepos oder dann unerlässlich, wenn Claude auf Code in benachbarten Verzeichnissen zugreifen muss.

Sandbox-Modus

Dateisystem- und Netzwerkisolation aktivieren:

> /sandbox

Oder in den Einstellungen konfigurieren:

{
  "sandbox": {
    "enabled": true,
    "autoAllowBashIfSandboxed": true,
    "excludedCommands": ["git", "docker"],
    "network": {
      "allowUnixSockets": ["~/.ssh/agent-socket"],
      "allowLocalBinding": true,
      "deniedDomains": ["pastebin.com", "transfer.sh", "0x0.st"]
    }
  }
}

Seit v2.1.187 verhindert die Einstellung sandbox.credentials, dass in der Sandbox ausgeführte Befehle Anmeldedatendateien und geheime Umgebungsvariablen lesen — eine zusätzliche Schutzebene gegen die Exfiltration von Geheimnissen durch Sandbox-Befehle.¹⁷⁶

Seit v2.1.221 gibt es für Anmeldedatendateien neben Zulassen und Ablehnen einen dritten Modus: mode: "mask" (Linux und WSL). Ein Sandbox-Befehl, der die Datei liest, erhält eine Sentinel-Kopie — entweder der gesamten Datei oder nur der durch einen regulären extract-Ausdruck erfassten Abschnitte — und der Sandbox-Proxy ersetzt den Wert beim ausgehenden Datenverkehr durch den echten Wert. Der Befehl funktioniert und kann sich über den Proxy authentifizieren, ohne dass sich das Geheimnis jemals in seiner Umgebung befindet. Genau diese Eigenschaft ist wünschenswert, wenn ein durch Prompt-Injection eingeschleuster Befehl nach Tokens sucht. Unter macOS, wo der Mechanismus zur Proxy-Ersetzung nicht verfügbar ist, fällt mask auf deny zurück. Eine für Linux-CI geschriebene Konfiguration bleibt damit sicher, statt die Datei unbemerkt offenzulegen.¹⁹⁹

v2.1.224 erweitert die Maskierung über statische Dateiinhalte hinaus. extract und onExtractNoMatch verarbeiten strukturierte Umgebungswerte; decode: "jwt" mit maskClaims maskiert ausgewählte Claims innerhalb eines JWT statt des gesamten Tokens, sodass ein Befehl weiterhin die Routing-Metadaten des Tokens lesen kann, während vertrauliche Claims als Sentinel erhalten bleiben; und awsPairs/sigv4 signiert AWS-SigV4-Anfragen am Proxy neu. Erst dadurch lässt sich die Maskierung überhaupt mit AWS-CLIs verwenden — ein maskierter Schlüssel würde andernfalls bei der Signaturprüfung scheitern. All diese Funktionen erfordern network.tlsTerminate und werden ausschließlich aus Benutzer-, verwalteten oder --settings-Geltungsbereichen berücksichtigt — ein Repository kann keine Maskierungskonfiguration mitliefern, die Ihre Anmeldedaten unbemerkt umleitet.²⁰¹

Seit v2.1.216 überspringt die Einstellung sandbox.filesystem.disabled die Dateisystemisolation, während die Kontrolle des ausgehenden Netzwerkverkehrs bestehen bleibt. Das ist nützlich, wenn die Dateisystembeschränkung ein Build-Tool beeinträchtigt, Sie aber weiterhin die Domain-Zulassungsliste für ausgehenden Datenverkehr durchsetzen möchten.¹⁹²

Seit v2.1.219 lehnt die Einstellung sandbox.network.strictAllowlist Hosts, die nicht in der Zulassungsliste stehen, ohne Rückfrage vollständig ab. Standardmäßig löst ein Sandbox-Befehl, der einen Host außerhalb von allowedDomains kontaktiert, eine Berechtigungsabfrage aus; mit aktiviertem strictAllowlist wird die Verbindung einfach verweigert. Diese Einstellung eignet sich für unbeaufsichtigte Ausführungen — CI, Hintergrundagenten und nächtliche Schleifen — bei denen eine unbeantwortete Rückfrage zum Stillstand führt und „Bei unerwartetem ausgehendem Datenverkehr nachfragen“ ohnehin die falsche Richtlinie wäre. Sie vervollständigt den Dreiklang der Netzwerksteuerung: allowedDomains legt fest, was zulässig ist, deniedDomains (siehe unten) nimmt Ausnahmen aus einer breiten Zulassung heraus, und strictAllowlist bestimmt, ob alles andere eine Rückfrage auslöst oder fehlschlägt.¹⁹⁶ v2.1.229 verschärft außerdem die Syntax der Domain-Liste: IPv6-Literale müssen in eckigen Klammern stehen ([::1]:443), mehrdeutige Schreibweisen werden nach dem Fail-Closed-Prinzip behandelt und /doctor kennzeichnet sie.²³⁴ v2.1.236 ergänzt zwei weitere Härtungsmaßnahmen: Unter macOS haben Read-Ablehnungsregeln mit Platzhaltern (z. B. **/.env) nun Vorrang innerhalb zulässiger Lesebereiche, erfassen den Inhalt übereinstimmender Verzeichnisse und lassen sich nicht durch Umbenennen der abgelehnten Datei umgehen. Außerdem werden bei aktivem Auto-Modus Monitor-Zulassungsregeln außer Kraft gesetzt — Monitor-Befehle werden wie Bash-Befehle vom Klassifikator geprüft. Der Auto-Modus-Klassifikator verwendet nun auch auf Bedrock, Vertex AI und Foundry sowie bei deaktivierter Telemetrie dieselben Voreinstellungen wie auf dem Claude API — einschließlich einer Klassifizierung nach Schweregrad.²²³ v2.1.273 ändert den Standardmechanismus auf diesen Gateways: Dort verwendet der Auto-Modus nun „vorerst“ standardmäßig den lokalen Klassifikator; mit CLAUDE_CODE_AUTO_MODE_SERVER=1 wird stattdessen der serverseitige Klassifikator der Plattform aktiviert.²¹⁷

Befehlsbezogene allowed_domains im Auto-Modus (v2.1.271): Bei aktivierter Sandbox können Bash-, PowerShell- und Monitor-Befehle im Auto-Modus eigene allowed_domains mitführen. Die von einem Befehl benötigten Hosts werden zusammen mit dem Befehl geprüft und ausschließlich für diesen Befehl freigegeben; andere Hosts werden abgelehnt. Damit ist ausgehender Datenverkehr keine sitzungsweite Freigabe mehr: Jeder Befehl benennt seine Ziele, und die Prüfung erfasst exakt diese Kombination.²¹⁶

Strikter Sandbox-Modus und die !-Ausnahme (sandbox.allowUnsandboxedCommands, v2.1.260). Eine Einstellung, die dieser Leitfaden bisher nicht erwähnt hat: Standardmäßig kann ein Befehl, der in der Sandbox fehlschlägt, über den Fluchtweg dangerouslyDisableSandbox außerhalb der Sandbox erneut ausgeführt werden, vorbehaltlich des regulären Berechtigungsablaufs. sandbox.allowUnsandboxedCommands: false — im Tab Overrides von /sandbox als Strict sandbox mode angezeigt — deaktiviert diesen Fluchtweg: Der Parameter wird ignoriert, und jeder Befehl muss entweder in der Sandbox ausgeführt werden oder in excludedCommands aufgeführt sein. Seit v2.1.260 werden Befehle, die Sie selbst am !-Prompt des Bash-Modus eingeben, auch im strikten Sandbox-Modus außerhalb der Sandbox ausgeführt, „als würden Sie sie in Ihr eigenes Terminal eingeben“. Die Striktheit betrifft, was Claude ausführt, nicht Ihre eigenen Eingaben. Falls Ihr Bedrohungsmodell davon ausging, dass !-Befehle ebenfalls innerhalb der Isolation ausgeführt werden, ist dies nicht mehr der Fall.²¹²

In der Sandbox gilt: - Der Dateisystemzugriff ist auf das Projektverzeichnis beschränkt - Der Netzwerkzugriff wird kontrolliert - Bestimmte Befehle sind von den Sandbox-Beschränkungen ausgenommen - Bash-Befehle werden automatisch zugelassen, wenn autoAllowBashIfSandboxed auf true gesetzt ist

Expertentipp: Der Sandbox-Modus eignet sich hervorragend, um Claude auf nicht vertrauenswürdigen Codebasen auszuführen. Aktivieren Sie ihn, wenn Sie unbekannte Projekte untersuchen oder eine zusätzliche Schutzebene wünschen. Interne Tests von Anthropic ergaben, dass Sandboxing die Anzahl der Berechtigungsabfragen um 84 % reduziert.³⁸ Die Sandbox nutzt Primitive auf Betriebssystemebene (macOS Seatbelt, Linux Bubblewrap) zur Datei- und Netzwerksystemisolation, sodass selbst eine erfolgreiche Prompt-Injection vollständig eingedämmt bleibt. Anthropic hat die Sandbox-Runtime als Open Source veröffentlicht, damit Teams eigene Agenten entwickeln können.⁸²

Sicherheitshinweise (v2.1.34+): Befehle, die über sandbox.excludedCommands oder dangerouslyDisableSandbox vom Sandboxing ausgenommen waren, konnten zuvor die Bash-Rückfrageregel umgehen, wenn autoAllowBashIfSandboxed aktiviert war; dies wurde in v2.1.34 behoben.⁸⁷ Seit v2.1.38 werden Schreibvorgänge in .claude/skills im Sandbox-Modus blockiert, sodass Prompt-Injection keine skill-Definitionen verändern kann.⁸⁸ v2.1.77 ergänzt die Sandbox-Dateisystemeinstellung allowRead, mit der sich der Lesezugriff innerhalb von denyRead-Bereichen wieder zulassen lässt — nützlich, wenn Sie den Großteil eines Verzeichnisbaums blockieren, aber bestimmte Unterverzeichnisse in eine Zulassungsliste aufnehmen möchten.¹¹⁹

Ausnahme für Agent-Konfigurationen unter .claude/ (v2.1.121+): --dangerously-skip-permissions fragt bei Schreibvorgängen in .claude/skills/, .claude/agents/ und .claude/commands/ nicht mehr nach.¹⁵⁴

Auflösung verschachtelter .claude/-Verzeichnisse (v2.1.178): skills in verschachtelten .claude/skills-Verzeichnissen werden nun automatisch geladen, wenn Sie an Dateien unterhalb des jeweiligen Verzeichnisses arbeiten, nicht mehr nur aus dem Stammverzeichnis des Repositorys. Bei Namenskonflikten ist der verschachtelte skill als <dir>:<name> erreichbar, sodass beide verfügbar bleiben. Der übrige Projektbereich wird auf dieselbe Weise aufgelöst: Wenn der Name eines Agenten, Workflows oder Ausgabestils zwischen verschachtelten .claude/-Verzeichnissen kollidiert, gewinnt der Eintrag, der dem Arbeitsverzeichnis am nächsten liegt; beim Speichern eines Workflows im Projekt-Geltungsbereich wird das nächstgelegene vorhandene .claude/workflows/ verwendet. Für ein Monorepo oder Repository aus mehreren Repositorys entsteht dadurch eine paketbezogene Tooling-Struktur, die sich kontextabhängig aktiviert, statt einer einzigen flachen globalen Oberfläche.¹⁷³

Benutzerdefinierte Pfade für Bubblewrap und Socat (v2.1.133+): Mit den verwalteten Einstellungen sandbox.bwrapPath und sandbox.socatPath können Administratoren Linux-/WSL-Bereitstellungen auf nicht standardmäßige Speicherorte der Binärdateien bubblewrap und socat verweisen. Das ist nützlich, wenn Distributionen diese Tools außerhalb von $PATH installieren oder eine Organisation gehärtete Builds bereitstellt.¹⁶⁰

Sicherheitshärtung in v2.1.113:¹⁵⁰

• sandbox.network.deniedDomains blockiert bestimmte Hosts selbst dann, wenn ein breiterer Platzhalter in allowedDomains sie andernfalls zulassen würde. Mit der Blockierliste können Sie Pastebins, Dateiablagen oder bekanntermaßen schädliche Hosts sperren, ohne Ihre gesamte Zulassungsrichtlinie neu zu schreiben. Kombinieren Sie sie mit sandbox.network.strictAllowlist (v2.1.219, siehe oben), wenn alles außerhalb der Zulassungsliste ohne Rückfrage abgelehnt werden soll.
• Ablehnungsregeln für Wrapper-Befehle. Bash-Ablehnungsregeln erfassen nun Befehle, die in env, sudo, watch, ionice, setsid und ähnliche Ausführungs-Wrapper eingebettet sind. Regeln wie Bash(rm:*) erfassen nun env rm -rf, sudo rm -rf und verwandte Umgehungsmuster.
• Bash(find:*)-Zulassungsregeln genehmigen find -exec oder find -delete nicht mehr automatisch. Diese Flags führen Befehle aus beziehungsweise löschen Dateien, weshalb Claude Code sie nun durch den normalen Berechtigungsablauf leitet.
• Löschschutz unter macOS. Bash(rm:*)-Zulassungsregeln behandeln /private/etc, /private/var, /private/tmp und /private/home nun als gefährliche Löschziele. /var, /etc und /tmp sind Symlinks auf Pfade unter /private/, sodass die vorherige Regelform die kanonischen Ziele nicht erfasste.

Fail-Closed-Härtung der Berechtigungen in v2.1.214:¹⁹⁰

Mit einer einzigen Version wurden mehrere Lücken in der Berechtigungsprüfung geschlossen, durchgehend nach dem Fail-Closed-Prinzip — kann die Analyse keine Sicherheit herstellen, fragt sie nach:

• Umgehungsmöglichkeit unter Windows PowerShell 5.1 behoben. Befehle in PowerShell-5.1-Sitzungen konnten die Berechtigungsprüfung zuvor umgehen.
• Bash-Dateideskriptorumleitungen verhalten sich nach dem Fail-Closed-Prinzip. Umleitungsformen, die Bash anders als die Berechtigungsanalyse parst, lösen nun eine Rückfrage aus, statt ausgeführt zu werden.
• Befehle mit mehr als 10.000 Zeichen lösen immer eine Rückfrage aus. Sehr lange Befehle wurden zuvor falsch bewertet; nun werden sie niemals automatisch ausgeführt.
• zsh-Indizes und -Modifikatoren in [[ ]] lösen eine Rückfrage aus. Variablenindizes und -modifikatoren innerhalb von [[ ]]-Vergleichen wurden als passiver Text behandelt. Da sie Code ausführen können, benötigen sie nun eine Genehmigung.
• Unsichere help-/man-Varianten werden nicht mehr automatisch genehmigt. Bestimmte Aufrufe konnten unter dem Vorwand, Dokumentation zu lesen, unsichere Optionen, Befehlssubstitutionen oder Pfade mit Backslashes ausführen.
• Reihenfolge der Rückfragen in Remote-Sitzungen. Berechtigungsabfragen in Remote-Sitzungen können nicht mehr fortgesetzt werden, bevor der lokale Bestätigungsdialog beantwortet wurde.
• Flags zur Umleitung des docker-Daemons lösen eine Rückfrage aus. docker-Befehle — einschließlich des Podman-docker-Shims — mit --url, --connection, --identity oder Podmans Remote-Modus wurden zuvor ohne Rückfrage ausgeführt. Diese Flags verweisen den Befehl jedoch auf einen völlig anderen Daemon.
• file verliert seine automatische Freigabe als schreibgeschützter Befehl, wenn ein Schreibziel angegeben wird. file -m/--magic-file und -f/--files-from benötigen nun eine Berechtigung, statt als schreibgeschützt automatisch zugelassen zu werden.

Wie funktionieren Hooks?

Hooks führen an bestimmten Punkten im Arbeitsablauf von Claude Code deterministische Shell-Befehle aus. Anders als bei einer Aufforderung an Claude, Aktionen auszuführen, garantieren Hooks die Ausführung unabhängig vom Modellverhalten. Sie sind unverzichtbar, um Teamstandards durchzusetzen und wiederkehrende Aufgaben zu automatisieren. Unter Entscheidungsgrundlagen finden Sie den Entscheidungsbaum „Welcher Hook-Typ?“, der Befehls-, Prompt- und Agent-Hooks abdeckt.

Warum Hooks statt Prompts: Wenn Sie Claude anweisen, „nach dem Bearbeiten von Dateien immer Prettier auszuführen“, funktioniert das manchmal. Claude könnte es jedoch vergessen, Geschwindigkeit priorisieren oder entscheiden, die Änderung sei „zu klein“. Hooks garantieren die Ausführung: Jedes Edit oder Write löst ausnahmslos und jedes Mal Ihren Formatierer aus. Bei Compliance, Sicherheit und Teamstandards sind deterministische Verfahren probabilistischen überlegen.⁴

Verfügbare Ereignisse