Ab heute ist es soweit: Auf Pro-, Max- und Team-Plänen startet Claude Code neue Sessions standardmäßig im Auto Mode. Wer bisher bei jedem Tool-Aufruf ein Freigabe-Fenster wegklicken musste, bekommt das jetzt nicht mehr. Stattdessen läuft jede Aktion durch einen Klassifizierer, der nur eingreift, wenn etwas irreversibel, zerstörerisch oder auf die Welt außerhalb deiner Umgebung gerichtet ist.
Warum Anthropic das ändert
Die Zahlen im Blogpost sind das eigentlich Spannende. 97 Prozent aller Freigabe-Prompts werden bestätigt. Klingt nach Kontrolle, ist aber das Gegenteil: Wer hundertmal am Tag «Ja» klickt, liest irgendwann nicht mehr mit. Bei Plänen, die Claude vorlegt, lehnen Nutzer 39 Prozent ab – bei einzelnen Berechtigungen nur 3 Prozent. Die Freigabe-Klickerei ist zur Gewohnheit geworden, nicht zur Prüfung.
Dazu kommt ein Test, der hängen bleibt. Anthropic hat 1.053 bezahlte Tester in eine Coding-Session gesetzt und mittendrin einen klar gefährlichen Befehl eingeschmuggelt. Die Menschen haben ihn in 13,6 Prozent der Fälle gestoppt. Der Auto Mode in 89 Prozent. Und je länger die Session lief, desto schlechter wurden die Menschen – der Klassifizierer blieb konstant.
Was der Auto Mode tatsächlich tut
Er ersetzt die Prompts durch eine Prüfung pro Tool-Aufruf. Blockt der Klassifizierer etwas, sucht Claude meist selbst einen sichereren Weg oder fragt dich direkt. Kommt er nicht weiter – dreimal blockiert hintereinander oder zwanzigmal in einer Session – fällt Claude Code auf manuelle Freigaben zurück.
Datenexfiltration ist eine harte Grenze: Code oder Secrets nach außen schicken wird nie automatisch erlaubt. Vor einem git push prüft der Klassifizierer sogar, ob das Ziel öffentlich oder privat ist. Und Inhalte aus Webseiten oder Tool-Ergebnissen werden auf versteckte Anweisungen gescannt, bevor sie in Claudes Kontext landen.
Intern bei Anthropic hat der Auto Mode drei echte Vorfälle verhindert: einen Report, der nach fehlgeschlagenem Upload auf einer öffentlichen Code-Seite gelandet wäre, einen Massen-Kill, der hunderte GPUs mit laufenden Trainings-Jobs gerissen hätte, und eine Rolle mit vollem Admin-Zugriff, wo nur Lesezugriff aufs Billing gefragt war.
Meine Einordnung
Das ist ein Wendepunkt, auch wenn er leise kommt. Anthropic verschiebt die Grundhaltung von «frag bei allem nach» zu «lauf, solange nichts brennt». Und die Daten geben ihnen recht: Teams, die den Auto Mode nutzen, liefern rund 25 Prozent mehr PRs. Adobe, Nuro, Gusto und Garner Health fahren ihn schon als Produktions-Standard.
Trotzdem bleibt ein mulmiges Gefühl, und das ist gesund. Ein Klassifizierer ist keine Garantie – Anthropic sagt selbst, dass er das Risiko nicht auf null bringt. Bei kritischen Änderungen an Produktions-Infrastruktur solltest du weiter selbst draufschauen. Umschalten geht mit Shift+Tab, und Enterprise-Admins können den Modus per disableAutoMode ganz abdrehen. Für den Alltag aber nehme ich den Auto Mode gern – weniger Klicks, mehr Fokus, und offenbar sogar der sicherere Weg.
Quellen: