Claude Code sicher einrichten: KI löscht keine Dateien

Diese Woche ging ein Satz durch mein halbes Feed: „GPT-5.6 Sol hat gerade meine komplette Produktionsdatenbank gelöscht.” Kein Einzelfall. Der Chef von OthersideAI berichtete, das Modell habe fast alle Dateien auf seinem Mac entfernt (Quelle: TechCrunch). Wenn du kein Entwickler bist und so etwas liest, ist die Frage berechtigt: Kann meine KI das auch?

Claude Code sicher einrichten heißt: standardmäßig darf es nur lesen, jede Änderung braucht dein OK, und es schreibt nur in den Ordner, in dem du es gestartet hast. Mit dem Plan-Modus und drei deny-Regeln in der settings.json sperrst du Löschbefehle komplett aus. Anders als bei den GPT-5.6-Sol-Pannen kann Claude Code so nichts hinter deinem Rücken löschen.

Das Problem: Wenn die KI mehr darf als gedacht

Florian ist kein Coder. Er lässt sich von Claude Code seine Mails sortieren, ein paar Notizen ordnen, vielleicht mal ein Skript bauen. Und dann liest er, dass ein anderes Modell reihenweise Dateien und Datenbanken gelöscht hat, laut t3n teils ohne jede Aufforderung. Die Angst dahinter ist real: Ein Werkzeug, das ich nicht ganz verstehe, hat Zugriff auf meine Sachen.

Der Grund für die GPT-Pannen laut OpenAIs eigener Doku: Das Modell ging davon aus, dass eine Aktion erlaubt ist, solange sie nicht „explizit und unmissverständlich verboten” wurde (TechCrunch). Genau da setzt Claude Code anders an. Aber verlassen solltest du dich nicht auf Werbeversprechen, sondern auf drei Einstellungen, die du selbst kontrollierst.

Warum ist Claude Code standardmäßig vorsichtiger?

Claude Code arbeitet ab Werk mit strikten Nur-Lesen-Berechtigungen. Sobald es etwas ändern will, also eine Datei bearbeiten, einen Befehl ausführen oder etwas löschen, fragt es vorher nach und wartet auf dein OK (Quelle: offizielle Doku zur Sicherheit). Nur eine feste Liste harmloser Lese-Befehle wie ls, cat oder git status läuft ohne Rückfrage durch.

Dazu kommt eine zweite Schutzschicht: die Arbeitsverzeichnis-Grenze. Claude Code kann nur in den Ordner schreiben, in dem du es gestartet hast, und in dessen Unterordner. An Dateien in übergeordneten Verzeichnissen kommt es ohne ausdrückliche Erlaubnis nicht heran. Startest du es also in einem Projektordner, ist der Rest deiner Festplatte für Schreibzugriffe tabu.

Der wichtigste Satz für Nicht-Coder steht in der Doku etwas versteckt: Die Berechtigungen erzwingt Claude Code selbst, nicht das Sprachmodell. Was du in die CLAUDE.md oder in den Prompt schreibst, steuert nur, was Claude versucht. Was es darf, entscheiden allein die Regeln. Deshalb reicht „bitte nichts löschen” im Prompt nicht als Sicherung.

Die fünf Berechtigungsmodi, kurz erklärt

Claude Code kennt mehrere Modi, die steuern, wie streng nachgefragt wird. Für Florian zählen vor allem die ersten beiden.

Quelle für die Modi: offizielle Doku zu Berechtigungen. Die Kurzfassung: Bleib bei default, nutz plan wenn du unsicher bist, und lass die Finger von acceptEdits und bypassPermissions, solange du nicht genau weißt, was du tust. Genau in diesen beiden Modi genehmigt Claude Code Löschbefehle im Arbeitsordner ohne Rückfrage.

Schritt für Schritt: Claude Code sicher einrichten

Das Ganze dauert keine zehn Minuten und ist zum größten Teil Copy-und-Paste.

1. Plan-Modus für heikle Aufgaben nutzen. Wenn du Claude Code an etwas Größeres oder Unbekanntes lässt, schalt in den Plan-Modus. Claude schaut sich dann alles an und legt dir einen Plan vor, bevor es eine einzige Datei anfasst. Du liest, du entscheidest.

2. Dauerhaft im Plan-Modus starten (optional). Willst du grundsätzlich vorsichtig starten, trag "defaultMode": "plan" in deine settings.json ein. Dann beginnt jede Sitzung im Erkunden-Modus.

3. Drei deny-Regeln setzen. Eine deny-Regel verbietet Claude Code eine Aktion komplett, egal was du oder das Modell wollen. Öffne (oder erstelle) ~/.claude/settings.json und trag ein:

{
  "permissions": {
    "defaultMode": "plan",
    "deny": [
      "Bash(rm *)",
      "Bash(git push *)",
      "Edit(//**/.env)"
    ]
  }
}

Bash(rm *) verbietet jeden Lösch-Befehl über das Terminal. Bash(git push *) sorgt dafür, dass nichts aus Versehen online landet. Edit(//**/.env) schützt deine .env-Dateien, in denen oft Passwörter und Schlüssel stehen. Die deny-Regel gewinnt immer, auch gegen eine spätere Erlaubnis (Quelle: Berechtigungen konfigurieren).

4. Regeln kontrollieren. Tipp /permissions in Claude Code ein. Du siehst eine Liste aller aktiven Regeln und aus welcher Datei sie kommen. So merkst du sofort, wenn irgendwo doch mehr erlaubt ist, als du denkst.

Was du danach hast

Nach diesen Schritten startet Claude Code vorsichtig, fragt vor jeder Änderung, kommt an nichts außerhalb deines Projektordners heran und kann per Terminal gar nichts mehr löschen. Ich lasse Claude Code bei mir teils im Hintergrund weiterlaufen, und genau diese deny-Regeln sind der Grund, warum ich dabei ruhig schlafe. Wer sein Setup ohnehin gerade sortiert, findet im Aufräum-Befehl /checkup den passenden nächsten Schritt.

Für wen lohnt sich das, und für wen nicht

Für jeden, der Claude Code außerhalb einer isolierten Testumgebung nutzt und echte Dateien im Spiel hat: Ja. Die zehn Minuten sind gut investiert, gerade wenn du kein Entwickler bist und nicht bei jeder Aktion mitlesen willst.

Eine ehrliche Grenze musst du kennen: Die rm- und Edit-Sperren greifen bei Claudes eingebauten Werkzeugen und den Datei-Befehlen, die Claude Code im Terminal erkennt. Sie greifen nicht bei beliebigen Skripten, etwa einem Python-Skript, das selbst Dateien öffnet und löscht. Wer wirklich harte Isolation braucht, arbeitet zusätzlich mit der Sandbox oder einer VM (Quelle: offizielle Doku zu Berechtigungen). Für den Alltag von Florian reichen die drei Regeln plus Plan-Modus aber locker.

Newsletter

Willst du wissen, welche KI-Tools wirklich halten, was sie versprechen, und welche du getrost ignorieren kannst? Im Newsletter teste ich jede Woche neue Tools und schicke dir ehrlich nur die, die den Test überstehen.

👉 Zum Newsletter anmelden

Mehr Tutorials rund um Claude findest du in der Tutorial-Übersicht.