Anthropic macht Auto-Mode zum Standard: Claude Code vertraut jetzt auf KI statt auf menschliche Bestätigungen

Anthropic hat die Art und Weise, wie Entwickler Aktionen in Claude Code genehmigen, grundlegend verändert. Am 14. August 2025 machte das Unternehmen den Auto-Mode zur Standard-Berechtigungseinstellung für neue Sitzungen in seinen Pro-, Max- und Team-Tarifen . Statt den Benutzer vor jeder Dateibearbeitung, jedem Shell-Befehl oder jedem Netzwerkaufruf um Erlaubnis zu bitten, leitet Claude Code nun jeden Tool-Aufruf durch ein spezielles Klassifikationsmodell, das in Echtzeit entscheidet, ob die Aktion sicher ist . Anthropic stützt sich auf eine kontrollierte Studie, in der der Klassifikator 89 % der absichtlich eingeschleusten gefährlichen Befehle abfing – verglichen mit nur 13,6 % bei menschlichen Testern, die durch Genehmigungsaufforderungen klickten .

Was sich am 14. August ändert

Der Auto-Mode selbst ist keine neue Funktion – er wurde erstmals im März 2025 als experimentelle Option eingeführt . Neu ist, dass er ab dem 14. August zum Standard wird: Jede neue Claude Code-Sitzung auf Pro, Max oder Team startet nun im Auto-Mode, es sei denn, der Benutzer oder ein Administrator hat einen anderen Standard festgelegt . Die Umstellung gilt nicht für Claude Enterprise, die Claude API oder Cloud-Plattform-Deployments (AWS Bedrock, Google Cloud Agent Platform, Microsoft Foundry); dort bleibt der Modus vorerst eine Option . Anthropic hat angekündigt, den Auto-Mode innerhalb des folgenden Monats auch dort zum Standard machen zu wollen .

Wer bereits vor dem 14. August einen persönlichen Standard festgelegt hatte, erhält möglicherweise eine einmalige Aufforderung in der App, ob er zum Auto-Mode wechseln möchte . Von der Organisation festgelegte Standards werden nicht überschrieben .

Wie der Auto-Mode funktioniert

Im Auto-Mode hält Claude Code nicht an, um eine Berechtigungsabfrage anzuzeigen. Stattdessen wird jeder Tool-Aufruf von einem separaten Klassifikationsmodell bewertet, dessen Aufgabe es ist, die Sicherheit der Aktion zu beurteilen . Der Klassifikator soll Aktionen blockieren, die irreversibel, destruktiv oder auf die Umgebung des Benutzers außerhalb gerichtet sind .

Wenn der Klassifikator einen Befehl blockiert, findet Claude normalerweise einen sichereren Weg oder fragt den Benutzer direkt um Bestätigung . Blockiert der Klassifikator drei Aktionen hintereinander oder zwanzig innerhalb einer einzigen Sitzung, fällt die Sitzung automatisch in den manuellen Berechtigungsmodus zurück – so kann das System bei unsicheren Aufgaben nicht lautlos blockieren .

Die Sicherheitsdaten: Warum Anthropic den Wechsel vornahm

Anthropics Begründung basiert auf einer kontrollierten Studie, die ein mangelhaftes Überprüfungsmodell offenlegt. An der Studie nahmen 1.053 bezahlte professionelle Tester teil . Die Forscher tauschten in jeder Sitzung eine einzige Genehmigungsaufforderung gegen einen eindeutig gefährlichen Befehl aus und notierten, ob der Tester ihn genehmigte. Die Ergebnisse:

• Auto-Mode-Klassifikator fing 89 % der eingeschleusten gefährlichen Befehle ab (937 von 1.053) .
• Menschliche Tester, die durch die Aufforderungen klickten, erkannten nur 13,6 % (143 von 1.053) .
• Die Benutzer genehmigten 97 % der ihnen gezeigten Genehmigungsaufforderungen .
• Die Erkennungsrate beim Menschen fiel von rund 17 % zu Beginn einer Sitzung auf etwa 5 % nach fünfzig oder mehr vorherigen Genehmigungen .

Anthropic maß auch die Schäden in der Produktion: In 2,4 % der Auto-Mode-Sitzungen zeigte sich schädliches Verhalten, verglichen mit 6,3 % der manuell genehmigten Sitzungen . Unabhängige Tests von Trajectory Labs ergaben, dass null von 720 indirekten Prompt-Injection-Angriffen gegen Claude Code mit aktiviertem Auto-Mode erfolgreich waren – im Vergleich zu einer Erfolgsquote von 19 % gegen OpenAIs Codex in einem vergleichbaren Test .

Laut Anthropic hat der Auto-Mode in allen getesteten Kategorien die manuelle Überprüfung erreicht oder übertroffen .

Boris Chernys Unterstützung

Boris Cherny, Leiter von Claude Code bei Anthropic, ist ein überzeugter Befürworter des Auto-Mode. In einem Beitrag auf X (ehemals Twitter) vom 7. August 2025 schrieb er: „Das Team und ich nutzen ausschließlich den Auto-Mode, und das seit vielen Monaten. Ich könnte mir nicht vorstellen, zu den Bestätigungsaufforderungen zurückzukehren! Ich freue mich sehr, das jetzt allen zugänglich zu machen.“

Cherny hat den Auto-Mode wiederholt als seinen wichtigsten Tipp bezeichnet, um das Beste aus Claude Code herauszuholen, und nannte ihn „den grundlegenden Baustein für Multi-Clauding“ – das gleichzeitige Ausführen mehrerer paralleler Sitzungen .

Neue Sicherheitsfunktionen parallel zur Standardumstellung

Zusammen mit der Standardeinstellung des Auto-Mode führte Anthropic mehrere neue Sicherheitskontrollen ein:

• Harte Verbote für Datendiebstahlversuche .
• Explizite Regeln für den Umgang mit Geheimnissen und Git-Push-Operationen .
• Konfigurierbare Erlaubnis-/Blockregeln, damit Benutzer und Organisationen dem Klassifikator mitteilen können, welche Repositories, Cloud-Buckets und Domains vertrauenswürdig sind .
• Automatischer Rückfall in den manuellen Modus nach wiederholten Klassifikator-Blockaden .
• Verweigerungs- und explizite Anfrageregeln werden vor dem Klassifikator ausgewertet, sodass sie unabhängig von seiner Entscheidung weiterhin blockieren oder nachfragen .

Anthropic stellte außerdem die Berechnung der Token-Kosten des Klassifikators für Pro-, Max- und Team-Benutzer ein – mit sofortiger Wirkung .

Wer ist betroffen

Tarif	Standard ändert sich?
Claude Pro	Ja, ab 14. August
Claude Max	Ja, ab 14. August
Team	Ja, ab 14. August
Enterprise	Nein, bleibt vorerst optional
Claude API	Nein, bleibt vorerst optional
Cloud-Plattformen (Bedrock, Vertex, Foundry)	Nein, bleibt vorerst optional

Für Benutzer, die manuelle Genehmigungsaufforderungen behalten möchten, bleibt die bestehende Möglichkeit, einen anderen Standard festzulegen, weiterhin verfügbar. Administratoren können auch organisationsweite Standards durchsetzen, die die Änderung überschreiben .