Volle Berechtigungen, ohne deinen Rechner zu ruinieren

Claude Code fragt, bevor es etwas Folgenreiches tut. Am Schreibtisch ist das in Ordnung: kurz hinschauen, freigeben, weitermachen. Bist du nicht am Schreibtisch, kommt die Arbeit zum Stillstand. Der Agent hält bei Schritt drei einer zwanzigminütigen Aufgabe an und wartet auf einen Tipp, der vierzig Minuten später kommt – obwohl der ganze Sinn der Übergabe war, dass du nicht zuschaust.

Also greifen Leute zu --dangerously-skip-permissions. Dieses Flag ist auf dem falschen Rechner gefährlich und auf dem richtigen vernünftig, und der Unterschied liegt nicht darin, wie vorsichtig du bist. Er liegt darin, was der Agent erreichen kann, wenn er etwas tut, das du nicht beabsichtigt hast. Diese Seite zeigt, was das Flag wirklich tut, warum es nicht als root läuft, welches Setup es vertretbar macht und welche Gegenstücke es in Codex, OpenCode, Grok Build und Antigravity gibt.

Was bypass tatsächlich erlaubt

Claude Code hat sechs Berechtigungsmodi. Anthropics Seite zu den Berechtigungsmodi beschreibt sie so. Die Tabelle folgt der Reihenfolge der Doku: default ist der Konfigurationsname des Manual-Modus, nicht der Modus, in dem eine Session startet.

Bypass führt jeden Tool-Aufruf sofort aus, auch Schreibzugriffe auf geschützte Pfade wie .git und Claudes eigene Konfiguration. Ein paar Dinge gelten trotzdem weiter:

• Deny-Regeln in deinen Einstellungen blockieren in jedem Modus, auch in bypass. Allow-Regeln haben dort keine Wirkung.
• Explizite Ask-Regeln fragen weiterhin nach.
• rm und rmdir auf kritische Pfade fragen weiterhin nach: das Wurzelverzeichnis, Verzeichnisse der obersten Ebene, dein Home-Verzeichnis sowie das Arbeitsverzeichnis und seine übergeordneten Verzeichnisse.

Was bypass dir nicht gibt, ist irgendein Schutz gegen Prompt-Injection oder einen selbstsicher falschen Befehl. Anthropics Doku sagt es klar: Nur in isolierten Umgebungen nutzen, in denen Claude Code deinem Host nicht schaden kann.

Zwei Flags, die sich ähneln

• --dangerously-skip-permissions startet die Session in bypass. Es entspricht --permission-mode bypassPermissions.
• --allow-dangerously-skip-permissions fügt bypass nur dem Shift+Tab-Zyklus hinzu. Die Session startet in einem normalen Modus, und du wechselst in bypass, wann du willst.

Das zweite ist wichtig, weil du nicht in bypass wechseln kannst, wenn die Session nicht damit gestartet wurde. Willst du es vielleicht später, musst du das beim Start entscheiden. Die Form mit --allow- ist der vorsichtige Weg dafür: Die Session verhält sich normal, bis du bewusst umschaltest.

Der erste interaktive Start mit aktiviertem bypass zeigt einen Warndialog. Bestätigst du ihn, wird skipDangerousModePermissionPrompt: true in ~/.claude/settings.json geschrieben; lehnst du ab, beendet sich Claude Code. Nicht-interaktive Läufe mit -p überspringen den Dialog. Administratoren können den Modus für alle mit permissions.disableBypassPermissionsMode: "disable" in den verwalteten Einstellungen sperren.

Warum es als root scheitert

Unter Linux und macOS weigert sich Claude Code, als root oder unter sudo im bypass-Modus zu starten:

--dangerously-skip-permissions cannot be used with root/sudo privileges for security reasons

Die Prüfung entfällt in einer Sandbox, die Claude Code erkennt, und Anthropics Dev-Container betreibt es aus genau diesem Grund als Nicht-root-Benutzer. Auf einem einfachen VPS, auf dem du dich als root anmeldest, leg zuerst einen normalen Benutzer an. Unsere Anleitung zur VPS-Einrichtung hat die drei Befehle.

Drei praktische Dinge haben wir gelernt, als wir Claude Code unter Maudes Daemon auf vielen verschiedenen Servern betrieben haben:

• Als root scheiterte auch die Form mit --allow-. In unseren Tests mit Claude Code 2.1.x hat sich der Prozess beim Start beendet, statt bypass nur aus dem Zyklus wegzulassen. Jeder Wrapper, der das Flag hinzufügt, muss zuerst die Benutzer-ID prüfen, sonst stirbt jede Session auf einem root-Server.
• Alte Versionen lehnen das Flag rundweg ab. Eine CLI, die das Flag nicht kennt, beendet sich auf dieselbe Weise. Prüf, ob es in claude --help erscheint, bevor du es übergibst.
• Teste auf einem frischen Rechner. Deine eigene ~/.claude/settings.json enthält wahrscheinlich schon skipDangerousModePermissionPrompt, seit du dich damals durch die Warnung geklickt hast. Auf einem frischen Server erscheint dieser Dialog vor dem Prompt, und eine unbeaufsichtigte Session bleibt dort hängen. Teste in einem sauberen Container, nicht auf deinem Laptop.

Das Muster mit dem Wegwerf-Server

Bevor du irgendwo Berechtigungen lockerst, stell dir eine Frage: Wenn dieser Prozess jetzt einen beliebigen zerstörerischen Befehl ausführen würde, was würde ich verlieren?

Auf einem typischen Laptop ist die ehrliche Antwort unangenehm: deine SSH-Schlüssel, Cloud-Zugangsdaten in ~/.aws und ~/.config, Browser-Profile mit aktiven Sessions, eine .env mit Produktions-URLs und jedes andere Repository, das du ausgecheckt hast. Auf einem Wegwerf-VPS mit einem einzigen Projekt lautet die Antwort: dieses Projekt, das ohnehin gepusht ist, plus eine Stunde Neuaufbau. Das ist ein Risiko, das du eingehen kannst. Hier drei Orte für den Agenten:

Ein Container auf deinem eigenen Rechner

Das ist die günstigste und naheliegendste Option. Betreib einen Linux-Container mit Docker oder OrbStack, installiere Claude Code darin als Nicht-root-Benutzer und binde nur das Projekt ein, das er anfassen soll. Binde nicht dein Home-Verzeichnis ein, reich keine Zugangsdaten des Hosts durch und nutze weder --privileged noch das Docker-Socket, denn beides gibt den Host wieder preis.

Ein eigener VPS

Bei dieser Option landen die meisten: ein kleiner Rechner mit einem oder zwei Projekten und sonst nichts. Er ist immer an, die Arbeit läuft also weiter, während deine eigenen Rechner aus sind. Wird er je kompromittiert, löschst du ihn und baust einen neuen. Halte den Neuaufbau langweilig, mit einem kurzen Setup-Skript statt eines Rechners, den du ein Jahr lang von Hand getunt hast. Die VPS-Kaufberatung behandelt die Dimensionierung.

Eine kurzlebige Cloud-Sandbox

Anthropics Cloud-Sessions führen jede Aufgabe in einer isolierten VM aus, mit git-Zugangsdaten außerhalb der Sandbox und standardmäßig eingeschränktem Netzwerkzugriff. Das ist starke Isolation ohne Wartungsaufwand. Bypass gibt es dort aber nicht. Cloud-Sessions bieten Accept edits, Plan und Auto und ignorieren bypassPermissions, wenn es in den Einstellungen eines Repositorys steht.

Geheimnisse, die nicht auf den Rechner gehören

• Produktions-Zugangsdaten. Richte ihn auf Staging oder eine lokale Kopie. Wovor du dich schützt, ist keine Bosheit, sondern ein selbstsicherer Fehler gegen einen Connection-String, der zufällig herumlag.
• Dein privater SSH-Schlüssel. Gib dem Server einen eigenen Deploy-Key oder ein fein granuliertes Token, beschränkt auf die Repositories, die er braucht. Nutze auch kein SSH-Agent-Forwarding dorthin: Das leiht dem Rechner deine Schlüssel, solange du verbunden bist.
• Weitreichende Cloud-Tokens. Keine Admin-Schlüssel für AWS und keine organisationsweiten GitHub-Tokens. Braucht eine Aufgabe eines, beschränke es und lass es ablaufen.
• Alles, was es nur dort gibt. Pushe oft, damit dich der Verlust des Servers nichts kostet, was du nicht wiederherstellen kannst.

Ein Zugangsdatum muss auf dem Rechner liegen: der eigene Login des Agenten. Claude Code bewahrt ihn in ~/.claude/.credentials.json auf, jeder mit einer Shell als dieser Benutzer kann also dein Abo nutzen. Ein Grund mehr, dem Agenten einen eigenen Benutzer zu geben.

Gegenstücke in Codex und anderen Agenten

Jeder Coding-Agent hat seine eigene Version dieses Schalters, und sie bedeuten nicht alle dasselbe:

Quellen: Codex-CLI-Referenz und Freigaben und Sicherheit, OpenCode-Berechtigungen, Grok-Build-Berechtigungen, Antigravity-Berechtigungen und Googles Codelab zu Antigravity CLI, geprüft im Oktober 2026. Codex und Antigravity nutzen beide standardmäßig eine Sandbox, Abfragen abzuschalten und die Sandbox abzuschalten sind dort also getrennte Entscheidungen. Die Sandbox abzuschalten ist die, die den Wegwerf-Rechner braucht.

Kann ich bypass vom Handy aus aktivieren?

Nicht in der Claude-App. Laut Anthropics Mobil-Doku kannst du Bypass permissions in der App nicht auswählen, weder für Cloud-Sessions noch für Remote Control, und Remote Control bietet in der App auch Auto nicht an. Für einen Allzweck-Client ist das ein vernünftiger Standard.

Maude ist für den anderen Fall gebaut – einen Server, der dir gehört und den du neu aufsetzen könntest –, deshalb bietet es den Vollzugriffsmodus jedes Agenten als „yolo“ neben dessen übrigen Modi an. Bei Claude greift er nur, wenn der Daemon als Nicht-root-Benutzer läuft und das installierte Claude Code das Flag unterstützt. Andernfalls bleibt die Session in einem normalen Modus. Maude startet die Session in einem normalen Modus und wechselt nach dem Start in bypass, nie schon beim Start. Auf einem Server, der nur root hat, legt eine Schaltfläche in der App einen Nicht-root-Benutzer für dich an. Du kannst pro Agent einen Standardmodus festlegen oder ihn pro Session ändern.

Vom Handy aus betreiben

Hast du den Wegwerf-Server eingerichtet, zeigt Claude Code auf dem Handy, wie Maude es dort betreibt. Agent-Berechtigungen vom Handy freigeben behandelt den umgekehrten Ansatz: Abfragen eingeschaltet lassen und sie aus einer Benachrichtigung beantworten.

Häufige Fragen

Was sich geändert hat

• 1. Oktober 2026 — Neu geschrieben: root-Einschränkung, --allow-dangerously-skip-permissions vs. --dangerously-skip-permissions, Auto-Modus als Standard-Mitte, was bypass weiterhin blockiert, Gegenstücke in Codex/OpenCode/Grok Build/Antigravity und was Anthropics Handy-App und Maude erlauben.
• 25. Juli 2026 — Erstveröffentlichung.