Claude Code sicher nutzen: Warum dein Agent nicht auf deinen Laptop gehört

Claude Code ist ein starkes Werkzeug: Es liest deinen Code, führt Befehle aus und baut Funktionen weitgehend selbstständig. Genau das macht es aber auch heikel, wenn es auf deinem eigenen Laptop läuft. Hier erfährst du, was ein Agent dort alles erreichen kann, welche Schutzmechanismen Claude Code mitbringt und wie du deinen Agenten sauber abschottest.

Was dein Agent auf deinem Laptop sieht

Claude Code läuft mit deinen Benutzerrechten. Alles, was du in einem Terminal tun kannst, kann grundsätzlich auch der Agent, sobald du es ihm erlaubst oder Rückfragen abschaltest. Dazu gehören:

• dein SSH-Verzeichnis ~/.ssh mit privaten Schlüsseln für Server und Git,
• .env-Dateien mit API-Keys und Datenbank-Passwörtern,
• Cloud-Zugangsdaten wie ~/.aws oder ~/.config/gcloud,
• Browserprofile, Downloads und Dokumente,
• die Ordner aller anderen Projekte und Kunden.

Ein Agent hat dabei keine bösen Absichten. Das Risiko entsteht aus Versehen: ein falsch verstandener Auftrag, ein Löschbefehl im falschen Verzeichnis oder eine präparierte Datei in einem fremden Repository, die den Agenten zu etwas verleitet (Prompt Injection). Je mehr ein Agent selbstständig darf, desto größer ist der mögliche Schaden.

Was Claude Code selbst mitbringt

Claude Code fragt standardmäßig nach, bevor es Dateien ändert oder Befehle ausführt. Über Berechtigungsmodi und Erlaubnislisten legst du fest, was ohne Rückfrage erlaubt ist.

Mit dem Befehl /sandbox schaltest du zusätzlich eine Sandbox ein. Befehle des Agenten dürfen dann nur in freigegebenen Verzeichnissen schreiben und nur freigegebene Netzwerkziele erreichen. Die Sandbox gibt es unter macOS, Linux und WSL2, unter nativem Windows nicht.

Für lange Aufgaben ist es verlockend, alle Rückfragen mit --dangerously-skip-permissions abzuschalten. Der Name ist ernst gemeint: Auf deinem Arbeitsrechner bekommt der Agent damit freie Hand über alles, was du erreichst. Verwende diesen Schalter nur in einer Umgebung, in der es nichts zu verlieren gibt.

Drei Wege, deinen Agenten abzuschotten

1. Berechtigungen eng halten. Arbeite im Standardmodus, erlaube nur die Befehle, die du wirklich brauchst, und nutze die Sandbox. Das kostet nichts, bedeutet aber viele Rückfragen. Und der Agent arbeitet nur, solange dein Laptop läuft.

2. Lokale VM oder Container. Du startest den Agenten in einer eigenen Umgebung auf deinem Rechner, etwa in einem Devcontainer oder mit OrbStack auf dem Mac:

orb create --isolated ubuntu agent

Diese Linux-Maschine hat keinen Zugriff auf deine Mac-Dateien. Der Nachteil: Dein Laptop muss eingeschaltet bleiben, und der Agent teilt sich Rechenleistung und Speicher mit dir.

3. Eine eigene Linux-Maschine auf einem Server. Der Agent läuft auf einem Server, auf dem nur liegt, was er für seine Aufgabe braucht. Dort kannst du ihm mehr Freiheit lassen, denn im schlimmsten Fall setzt du die Maschine zurück. Außerdem arbeitet er weiter, wenn du den Laptop zuklappst. Wie das geht, steht in der Anleitung Agent läuft weiter, Laptop zu.

Checkliste für jede Agenten-Umgebung

• Eigener Benutzer: Der Agent läuft nicht unter deinem Hauptkonto.
• Keine Produktions-Schlüssel: keine Zugänge zu Live-Datenbanken, Zahlungsanbietern oder Kundenservern.
• Nur das nötige Repository: Klone das Projekt in die Umgebung, statt deinen ganzen Projektordner freizugeben.
• Git als Sicherheitsnetz: Lass den Agenten auf einem eigenen Branch arbeiten und prüfe seine Änderungen per Pull Request.
• Snapshots oder Backups: So kommst du nach einem Fehler in Minuten auf einen sauberen Stand zurück.
• Zugangsdaten mit wenig Rechten: ein Deploy-Key für genau ein Repository statt deines persönlichen SSH-Schlüssels, API-Tokens mit engem Geltungsbereich.

Fazit

Ein Agent ist so sicher wie die Umgebung, in der er läuft. Auf deinem Laptop solltest du ihn eng führen. Mehr Freiheit gibst du ihm erst in einer abgeschotteten Maschine, die du jederzeit zurücksetzen kannst. Genau dafür haben wir die euhost Box gebaut. Das Prinzip funktioniert aber mit jeder Linux-Maschine.