Claude Code ohne Freigaben: Risiko für Ihre Daten

Was an dieser Geschichte bestätigt ist

Die angebliche Löschung von ~/Library ist nicht bestätigt, die Gefahr des gewählten Modus hingegen offiziell dokumentiert. Mit Stand vom 8. November 2026 gibt es keinen verlässlichen Primärbericht, kein Postmortem und keine Diskussion, die den behaupteten Ablauf der Ereignisse belegt.

In der verbreiteten Version soll Claude Code mit dem Modell Opus 5.5 im xHigh-Modus gearbeitet und rm -rf für die macOS-Benutzerbibliothek ausgeführt haben. Der Befehl soll fast zwei Minuten gelaufen sein und Anwendungsdaten, gespeicherte Passwörter sowie Systemeinstellungen betroffen haben. Diese Details dürfen nicht als erwiesene Tatsachen dargestellt werden: Die verfügbaren Materialien bestätigen sie nicht unabhängig.

Anthropic beschreibt jedoch in der Dokumentation zu den Berechtigungsmodi von Claude Code ausdrücklich den zentralen Risikomechanismus. Das Flag --dangerously-skip-permissions entspricht dem Modus bypassPermissions: Freigabeaufforderungen und Sicherheitsprüfungen werden deaktiviert, sodass Werkzeugaufrufe einschließlich potenziell zerstörerischer Shell-Befehle sofort ausgeführt werden.

Das ist weder eine Sandbox noch eine Beschränkung auf den Projektbereich. Kann der Prozess auf den Host zugreifen, erhält der Agent denselben Dateizugriff wie das Benutzerkonto. Bei einem Befehl wie rm -rf ~/Library löst die Shell das Home-Verzeichnis auf, und die rekursive Löschung beginnt, die Benutzerbibliothek zu durchlaufen.

Im normalen Modus bleibt vor einer gefährlichen Aktion wenigstens eine manuelle Schranke bestehen. Werden Berechtigungen umgangen, werden ein Modellfehler, eine falsche Variable oder Prompt Injection sofort zu einer Systemaktion. Anthropic warnt ausdrücklich vor Datenverlust, Systemschäden und dem Abfluss von Informationen.

Warum Befehlskontrolle allein nicht genügt

Die wichtigste Erkenntnis ist einfach: Freigabe und Isolation lösen unterschiedliche Probleme. Erstere kann einen verdächtigen Befehl stoppen, letztere begrenzt den Schaden, wenn der Befehl dennoch automatisch gestartet wird.

Für autonome Ausführungen mit umgangenen Berechtigungen empfiehlt Anthropic einen isolierten Container, eine virtuelle Maschine oder eine Sandbox ohne Internetzugang. In einer solchen Umgebung würde ich zuerst sichtbare Verzeichnisse, Schreibrechte, Netzwerkzugriff und die Wiederherstellbarkeit von Dateien prüfen – nicht das Intelligenzniveau des Modells.

Die Geschichte um ~/Library könnte sich als ungenaue Nacherzählung erweisen, doch der Architekturfehler bleibt bestehen. Ein autonomer Agent mit vollem Shell-Zugriff, weitreichenden Dateisystemrechten und ohne Freigaben ist bereits für sich ein Vorfallsszenario. Unklar ist nur, wann ein wahrscheinlicher Fehler irreversibel wird.

Wir haben bereits untersucht, wo Claude als Entwicklungswerkzeug Fehler machen und Risiken bei System- und DevOps-Aufgaben schaffen kann. Dieser rm -rf-Fall zeigt, warum man solche Aktionen nicht ohne klare Grenzen und Prüfung anvertrauen darf.