Ing. Calogero Bono
Anthropic hat die Version 2.1.314 von Claude Code auf GitHub veröffentlicht, das Werkzeug, das Code direkt im Terminal, in VS Code und in Claude Desktop bearbeitet. Die konkreteste Neuerung ist eine neue Berechtigungseinstellung, die verhindert, dass Claude Dateien außerhalb der Arbeitsordner schreibt. Der Rest ist eine lange Liste an Korrekturen, viele davon für Teams, die Claude Code in einem Unternehmen mit Gateways, Cloud-Anbietern und zentralen Regeln einsetzen. Entscheidend sind genau diese Sicherheits- und Verwaltungsdetails, wenn es darum geht, ob ein solches Werkzeug in einem Team landet oder nicht.
Ein paar Begriffe vorab, bevor es um die Fakten geht. Ein Gateway ist ein Zwischenserver zwischen Entwicklern und Modellen, mit dem das Unternehmen kontrolliert, wer was nutzt. Ein IdP (Identity Provider) ist das System, das Identitäten und Benutzergruppen verwaltet. Bedrock, Vertex und Foundry sind die Cloud-Dienste von Amazon, Google und Microsoft, über die sich die Modelle nutzen lassen. Eine Kompaktierung ist die Zusammenfassung eines langen Gesprächs, damit der Speicher des Modells nicht überläuft. Ein Hook ist ein Skript, das zu einem bestimmten Zeitpunkt startet, etwa vor einem Befehl.
Was macht die Schreibsperre außerhalb des Ordners?
Laut den Versionshinweisen im offiziellen Repository von Claude Code heißt die neue Einstellung permissions.blockWritesOutsideWorkingDirectories. Ist sie aktiv, lehnen die Werkzeuge Write, Edit und NotebookEdit Pfade außerhalb der Arbeitsordner ab, und zwar in jedem Berechtigungsmodus.
Das Detail am Ende ist entscheidend. Bisher hing das Verhalten auch bei strengen Regeln vom gewählten Modus ab. Laut Hinweis gilt die Ablehnung jetzt in jedem Modus, also auch dann, wenn der Nutzer dem Agenten mehr Freiheit gegeben hat. Der Name der Option zeigt, dass sie optional ist und aktiviert werden muss.
In dieselbe Richtung gehen einige Korrekturen am Sandbox-Modus. Die Beschreibung von sandbox.excludedCommands sagte, die aufgelisteten Befehle laufen immer außerhalb der Sandbox, jetzt wird klargestellt, dass jeder Befehl einer Aufrufkette einem Eintrag entsprechen muss. Außerdem galten die Schutzmechanismen der Sandbox nicht für einen Worktree, der mit claude -p --resume oder --continue geöffnet wurde, jetzt schon. Eine weitere Korrektur betrifft eine mit --setting-sources ausgeschlossene Einstellungsdatei, die weiterhin manche Einstellungen lieferte, etwa Regeln des Auto-Modus und bereits gespeicherte Zustimmungen.
Was ändert sich für Gateway und Administratoren?
Das Gateway der Claude-Apps bekommt eine Neuerung für Organisationen. Jeder Upstream, also jedes Ziel, an das das Gateway Anfragen weiterleitet, kann eine optionale Liste von Gruppen haben. Nur Entwickler aus den aufgeführten IdP-Gruppen werden an diesen Upstream geschickt, auch im Failover, also wenn das Gateway nach einem Ausfall auf eine Alternative umschaltet.
Für Bedrock-Upstreams kommt guardrail_trace hinzu. Damit lässt sich protokollieren, welcher Filter der Amazon-Bedrock-Guardrails bei einer Anfrage ausgelöst wurde, ohne den Text zu speichern, der den Filter ausgelöst hat. Das ist ein nützlicher Kompromiss für alle, die verstehen müssen, warum eine Anfrage blockiert wurde, ohne sensible Daten in den Logs aufzubewahren.
Mehrere Korrekturen betreffen die von Administratoren verwalteten Einstellungen.
- Vom Administrator definierte TLS-Einstellungen wurden in Claude-Desktop-Sitzungen nicht angewendet, jetzt schon.
- Wenn forceRemoteSettingsRefresh nur in den Remote-Einstellungen gesetzt war, wurde eine abgelaufene gespeicherte Kopie nicht mehr angewendet. Sitzungen konnten ohne Richtlinien starten, wenn der Server nicht erreichbar war.
- Auf Rechnern mit verwalteten Plugins wurde der Moduswechsel abgelehnt, wenn ein persönliches Plugin ein kaputtes Manifest oder einen fehlgeschlagenen Download hatte.
- Begrenzt ein Administrator den Effort-Level eines Modells, senkt Claude Code den Effort, versucht es erneut und nennt die verwendete Stufe. Früher scheiterten die Sitzungen bei jedem Zug.
Ein Vertex-Upstream des Gateways konnte außerdem minutenlang hängen bleiben, wenn ein Google-Token-Endpunkt die Verbindung annahm, ohne zu antworten. Auch das ist behoben.
Welche Korrekturen betreffen Bedrock, Foundry und Vertex?
Die Version enthält zahlreiche Eingriffe für alle, die die APIs von Anthropic nicht direkt nutzen.
Bedrock
Bedrock-Sitzungen mit vielen Bildern scheiterten bei jedem Zug, ebenso /compact, mit einem Fehler wegen zu langer Eingabe. Jetzt entfernt Claude Code die ältesten Bilder und kompaktiert. Eine weitere Korrektur betrifft das Angebot zur Modellaktualisierung auf Bedrock und Vertex, das bei jedem Start erneut erschien, auch wenn verwaltete Einstellungen das Modell sperrten.
Microsoft Foundry
Sitzungen scheiterten, wenn die Ressource kein Deployment für das Standardmodell Sonnet, Opus oder Haiku hatte. Jetzt weicht Claude Code auf ein älteres Modell derselben Familie aus.
Drittanbieter-Gateways
Wenn ein Gateway die tool_reference-Blöcke der Tool-Suche nicht akzeptiert, wird die Anfrage einmal ohne diese Funktion erneut gesendet, und die Sitzung merkt sich das. Dasselbe gilt, wenn ein Gateway oder ein Anbieter einen der Beta-Header von Claude Code namentlich ablehnt, dann wird ohne diesen Header erneut gesendet. Modell-IDs mit Punkt, wie claude-opus-4.8, wurden wie ein älteres Modell behandelt, mit falschem Kontextfenster, Ausgabelimit, Effort, Denkmodus und Kosten. Jetzt nicht mehr.
Bei den Zertifikaten schlugen TLS-Verbindungen mit UNABLE_TO_GET_ISSUER_CERT fehl, wenn der Systemspeicher ein erneuertes Root-Zertifikat enthielt, das mit dem Vorgänger kreuzsigniert war. Auch das ist behoben.
Was ändert sich im täglichen Einsatz?
Für alle, die Code schreiben, ist die sichtbarste Neuerung die Kompaktierung im Leerlauf in VS Code und im Code-Tab von Claude Desktop. Ein Gespräch mit über 200.000 Token, das inaktiv bleibt, wird zusammengefasst, und die Zusammenfassung wird bei der nächsten Nachricht verwendet, wenn der Prompt-Cache abgelaufen ist.
Dazu kommt eine Reihe von Korrekturen für Terminal und CI.
- claude -p beendete sich mit Code 0 und ohne Ausgabe, wenn der Start fehlschlug. Jetzt wird der Fehler ausgegeben und mit 1 beendet, was für Skripte wichtig ist.
- claude ultrareview und claude remote-control fragen in einem CI-Job mit Terminal nicht mehr nach dem Vertrauen in den Ordner. Mit gesetztem CI lehnen sie einen nicht vertrauenswürdigen Ordner sofort ab.
- Ein PreCompact-Hook mit sehr großer Ausgabe ließ die Kompaktierung fehlschlagen oder wiederholen. Die Ausgabe jedes Hooks wird jetzt auf 10.000 Zeichen gekürzt.
- Hintergrund-Updates des Diffs hielten kurz das Index-Lock des Repositorys, was einen zeitgleich ausgeführten git-Befehl scheitern lassen konnte.
- Hooks, die Bash abfangen, griffen nicht bei Befehlen, die das Werkzeug Monitor startete. Jetzt greifen sie, können diese Befehle aber nur blockieren oder Bestätigung verlangen, nicht genehmigen oder umschreiben.
Der Rest sind Feinheiten der Oberfläche, etwa Markdown-Tabellen, der Vim-Modus, die Auswahl von Agenten, das Einfügen von Text und Bildern, Sitzungstitel und Berechtigungsdialoge.
Einschränkungen, die man kennen sollte
Der Versionshinweis, der uns vorliegt, ist am Ende abgeschnitten, deshalb können wir weitere Einträge nicht ausschließen. Ein Veröffentlichungsdatum haben wir nicht, und zur Schreibeinstellung gibt es keine ausführliche Dokumentation. Wir wissen nicht, ob sie standardmäßig aktiv ist, der Text legt nahe, dass nicht. Auch wie ein Arbeitsordner genau definiert ist, etwa bei symbolischen Links oder verknüpften Repositories, wissen wir nicht.
Das sind Angaben des Herstellers, keine unabhängigen Tests. Eine Sperre für Schreibwerkzeuge sagt nichts darüber, was ein Shell-Befehl tun kann, der den Regeln der Sandbox folgt. Auch der Satz zu Hooks auf Monitor sollte mit Vorsicht gelesen werden, denn er verändert, was ein Hook versprechen kann.
Was sich für Menschen in der digitalen Arbeit ändert
Wenn du ein Team leitest, ist das Erste, die Liste durchzugehen und zu prüfen, welche Korrekturen deinen Fall betreffen. Wer Bedrock mit vielen Bildern nutzt, Foundry mit unvollständigen Deployments oder ein Unternehmens-Gateway, findet direkte Korrekturen. Wer allein arbeitet und den Basistarif nutzt, sieht vor allem die Kompaktierung im Leerlauf und die Feinheiten.
Für eine Agentur oder ein Softwarehaus ist die Schreibregel ein Argument für Kundengespräche. Sie zeigt, dass ein Agent auf das Projekt beschränkt werden kann, was nützlich ist, wenn auf demselben Rechner mehrere Repositories oder Konfigurationsdateien liegen. Der Grundsatz bleibt gültig, dass ein Agent wie ein Mitarbeiter mit minimalen Zugriffsrechten behandelt werden sollte. Wir haben das auch bei der mit SSH-Backdoor manipulierten Claude-Code-Erweiterung für Cursor gesehen, wo das Risiko aus dem Umfeld des Werkzeugs kam.
Wer claude -p-Skripte in CI laufen lässt, sollte die Exit-Codes erneut prüfen. Ein Fehler, der früher als Erfolg durchging, stoppt jetzt die Pipeline. Das ist richtig, kann aber überraschen. Wenn du außerdem Entwicklungsumgebungen auf eigenen Servern betreibst, denk daran, dass auch die Maschine zählt, und dafür brauchst du verwaltete Server mit Sicherheitsupdates.
Unsere Einschätzung
Diese Version sagt viel darüber, wo Programmieragenten gerade stehen. Die neuen Funktionen sind wenige, der große Teil besteht aus Korrekturen an Grenzfällen, Proxys, Zertifikaten, Richtlinien und Fallbacks. Das ist das Zeichen eines Werkzeugs, das vom Laptop einzelner Entwickler in Umgebungen vordringt, in denen nichts mehrdeutig sein darf.
Die Schreibsperre außerhalb der Ordner ist die richtige Entscheidung, lässt aber zwei Zweifel offen. Der erste – Sie ist optional. Ein Schutz, den man kennen muss, um ihn zu aktivieren, schützt vor allem diejenigen, die ohnehin aufmerksam sind. Der zweite – Das Thema Berechtigungen braucht so viele Korrekturen, unter anderem ausgeschlossene Einstellungen, die weiter galten, und Hooks, die nicht griffen. Das ist kein Vorwurf, erinnert aber daran, dass Kontrollen geprüft und nicht als gegeben vorausgesetzt werden sollten.
Bleibt die Frage, wer den erzeugten Code kontrolliert. Ein stärker eingeschränkter Agent ersetzt keine menschliche Prüfung, deshalb bleiben Praktiken wie Pull Requests und Code Reviews auf GitHub und Werkzeuge für KI für Code Reviews nützlich.
Häufige Fragen
Was macht permissions.blockWritesOutsideWorkingDirectories?
Die Option lässt Write, Edit und NotebookEdit Pfade außerhalb der Arbeitsordner ablehnen. Laut Versionshinweisen gilt das in jedem Berechtigungsmodus. Details dazu, wie Sonderfälle wie symbolische Links behandelt werden, haben wir nicht.
Ist die Sperre standardmäßig aktiv?
Die Hinweise sagen das nicht ausdrücklich. Sie sprechen von einer neu hinzugefügten Einstellung, deshalb ist es ratsam, sie in deiner Konfiguration zu prüfen. Lies die offizielle Dokumentation, bevor du den Schutz als gegeben annimmst.
Müssen Bedrock- oder Foundry-Nutzer aktualisieren?
Wenn du auf die beschriebenen Probleme gestoßen bist, ja. Die Version korrigiert Bedrock-Sitzungen mit vielen Bildern und den Foundry-Fall ohne Deployment für das Standardmodell. Bevor du die Rechner des ganzen Teams aktualisierst, teste die Version auf einem Gerät.
Was sind die Gruppen bei den Gateway-Upstreams?
Es handelt sich um eine optionale Liste von IdP-Gruppen pro Upstream. Nur Entwickler dieser Gruppen werden dorthin geleitet, auch im Failover. Damit lässt sich festlegen, wer welche Ziele nutzen darf.
Lässt sich die Kompaktierung im Leerlauf überall nutzen?
Nein, laut Hinweis wurde sie für VS Code und den Code-Tab von Claude Desktop hinzugefügt. Sie betrifft Gespräche mit über 200.000 Token, die inaktiv bleiben. Die Zusammenfassung wird nur verwendet, wenn der Prompt-Cache abgelaufen ist.
Was in den nächsten Monaten zu beobachten ist, zwischen Berechtigungen und Agenten im Unternehmen
Es geht nicht um diese Version, sondern um die Richtung. Agenten werden immer stärker zentral gesteuert, und es lohnt sich, sich jetzt vorzubereiten.
- Prüfe deine Berechtigungskonfiguration und entscheide, ob du die Schreibsperre außerhalb der Ordner aktivierst, vielleicht zuerst in einem Testprojekt.
- Kontrolliere CI-Skripte mit claude -p, denn ein Startfehler endet jetzt mit Code 1 und kann die Pipeline stoppen.
- Wenn du ein Gateway oder einen Cloud-Anbieter nutzt, lies die vollständige Liste der Korrekturen und gleiche die Fälle mit deinen Logs ab. Für den Kostenvergleich der Anbieter lohnt auch der Vergleich zwischen Claude und OpenAI, und behalte im Blick, dass laufende Fehler bei mehreren Modellen auch dich treffen können.
