# Was sind Berechtigungsmodi bei Coding-Agenten?

URL: https://agentvera.dev/de/glossary/permission-modes/

Berechtigungsmodi sind die Voreinstellungen eines Coding-Agenten dafür, was er ohne Rückfrage tun darf: Dateien lesen, bearbeiten, Befehle ausführen oder ins Netz gehen. Claude Code nennt sie Permission Modes; Codex kombiniert eine Freigaberichtlinie (approval policy) mit einem Sandbox-Modus.

**Die Berechtigungsmodi von Claude Code.** Mit Shift+Tab wechselst du zwischen ihnen, mit claude --permission-mode startest du in einem bestimmten, und mit permissions.defaultMode in einer Einstellungsdatei legst du den Standard fest.

- default (auch Manual): fragt vor den meisten Änderungen, Shell-Befehlen und Netzwerkzugriffen.
- acceptEdits: genehmigt Dateiänderungen und gängige Dateibefehle wie mkdir, mv und cp im Arbeitsverzeichnis.
- plan: Claude recherchiert und schlägt einen Plan vor, kann Quelldateien aber erst ändern, wenn du den Plan genehmigst.
- auto: Ein Klassifikationsmodell prüft jede Aktion an deiner Stelle, sodass die meisten ohne Rückfrage laufen; nach wiederholten Blockaden fragt es wieder. Neuere Versionen starten interaktive Sitzungen in auto, wo es verfügbar ist.
- dontAsk: lehnt alles ab, was sonst eine Rückfrage auslösen würde; gedacht für CI und abgesicherte Skripte.
- bypassPermissions (das Flag --dangerously-skip-permissions): überspringt Rückfragen und Sicherheitsprüfungen; nur für isolierte Container oder VMs gedacht.

**Codex: Freigaberichtlinie und Sandbox.** Codex teilt die Frage in zwei: wann du gefragt wirst (die Freigaberichtlinie) und was Befehle technisch erreichen können (die Sandbox, vom Betriebssystem durchgesetzt, mit Seatbelt unter macOS und bwrap mit seccomp unter Linux).

- Sandbox-Modi: read-only, workspace-write (Änderungen im Workspace) und danger-full-access. Netzwerkzugriff ist standardmäßig aus.
- Freigaberichtlinien: on-request fragt, wenn der Agent die Sandbox verlassen muss; never fragt gar nicht.
- Die Voreinstellung Auto (workspace-write mit on-request) nutzt Codex in einem versionierten Ordner; /permissions wechselt den Modus während einer Sitzung.
- approvals_reviewer = "auto_review" schickt geeignete Freigabeanfragen an einen Prüf-Agenten statt an dich.
- --yolo, kurz für --dangerously-bypass-approvals-and-sandbox, schaltet beides ab; OpenAI rät davon ab.

**Warum das bei unbeaufsichtigten Läufen zählt.** Ein Agent, der über Nacht oder in der CI allein läuft, kann nicht auf einen Klick warten: Eine Rückfrage, die niemand beantwortet, hält ihn stundenlang auf, und wer alle Prüfungen abschaltet, lässt einen einzigen falschen Befehl echten Schaden anrichten. Die übliche Lösung: Rückfragen weg, Schutz an anderer Stelle.

- In einer Sandbox, einem Container oder einer VM laufen lassen, die nur das Projekt sieht, nicht deine SSH-Schlüssel oder dein Home-Verzeichnis.
- Sichere Befehle per Allow-Regeln vorab genehmigen und zerstörerische wie git push, rm -rf und Deploys verbieten.
- Den Agenten auf einen Branch committen, aber nicht pushen lassen, und morgens prüfen.
- In der CI die nicht interaktiven Optionen nutzen: dontAsk in Claude Code oder codex exec mit ausdrücklich gesetzter Sandbox.

**Den passenden Modus wählen.** Nimm plan, um dich vor einer großen Änderung auf ein Vorgehen zu einigen, default oder acceptEdits, wenn du am Rechner sitzt, und auto oder eine Sandbox-Voreinstellung für lange Läufe, auf die du nur ab und zu schaust. Die Bypass-Optionen gehören in Wegwerf-Umgebungen. Unsere Anleitung, Claude Code über Nacht laufen zu lassen, zeigt ein komplettes Setup.

**Wo AgentVera einzuordnen ist.** AgentVera ersetzt diese Modi nicht, sondern arbeitet mit ihnen: Die automatische Freigabe beantwortet sichere Anfragen von Claude Code wie Lesen und Tests, während git push und rm immer bei dir landen (Pro und Team), wartende Agenten sammeln sich in einer Freigabe-Warteschlange, und ein Claude-Code- oder Codex-Agent kann in einem Docker-Container laufen, der nur den Projektordner sieht.

- **Welcher Berechtigungsmodus ist am sichersten?** In Claude Code der Modus plan, weil Quelldateien erst nach deiner Freigabe des Plans geändert werden können, in Codex die read-only-Sandbox. Was der Rechner preisgibt, zählt so viel wie der Modus, daher hilft auch Isolation.
- **Ist auto dasselbe wie bypassPermissions?** Nein. Im Modus auto prüft weiterhin ein Klassifikator jede Aktion und kann sie blockieren; bypassPermissions überspringt die Prüfungen komplett.
- **Kann ich einen Standardmodus festlegen?** Ja. In Claude Code setzt du permissions.defaultMode in einer Einstellungsdatei. In Codex setzt du sandbox_mode und approval_policy in config.toml oder übergibst --sandbox und --ask-for-approval.
- **Wie lasse ich einen Agenten sicher unbeaufsichtigt laufen?** Gib ihm eine Sandbox oder einen Container, genehmige vorab nur sichere Befehle, blockiere Pushes und Deploys und prüf danach seinen Branch.

---

**Über AgentVera.** AgentVera ist eine Desktop-App für macOS, Windows und Linux, entwickelt von Solviera Teknoloji. Sie führt 18 KI-Coding-Agenten (Claude Code, Codex, Gemini CLI, Copilot, Cursor, Antigravity, opencode, Hermes, Qwen Code, Kimi Code, Kiro, Amp, Droid, Goose, Vibe, Crush, Aider, Cline) nebeneinander aus, pro Projekt, in echten Terminals mit den eigenen CLI-Installationen und Logins des Nutzers. Der kostenlose Plan hat unbegrenzt viele Agenten. Download: https://agentvera.dev/de/download/ · Preise: https://agentvera.dev/de/pricing/