Leitfaden

Worauf können KI-Coding-Agents auf Ihrem Rechner zugreifen?

Claude Code, Codex und Cursor laufen unter Ihrem Konto. Was sie auf einem Entwickler-Laptop erreichen, wie jedes Tool das standardmäßig begrenzt und wo Lücken bleiben.

10. November 2026 · 8 Min. Lesezeit · Vom vetkit-Team

Die kurze Antwort

Ein KI-Coding-Agent wie Claude Code, OpenAI Codex oder Cursor läuft auf Ihrem Rechner unter Ihrem Benutzerkonto. Alles, was dieses Konto lesen, ausführen oder über das Netzwerk erreichen kann, liegt grundsätzlich auch in der Reichweite des Agents. Was ihn tatsächlich bremst, ist eine Kombination aus Freigabeabfragen, einer optionalen oder standardmäßig aktiven Sandbox und den Einstellungen, die Sie oder Ihr Repository festgelegt haben.

Diese Schutzmechanismen sind real und werden schnell besser. Sie unterscheiden sich aber von Tool zu Tool, mehrere davon sind standardmäßig deaktiviert oder gelockert, und jeder Hersteller beschreibt sie als Leitplanken, nicht als harte Grenze. Es lohnt sich zu wissen, was auf der anderen Seite liegt.

Was in Reichweite ist

Auf einem typischen Entwickler-Laptop kommt ein Prozess, der unter Ihrem Konto läuft, meist an:

Zugangsdaten auf der Festplatte. SSH-Schlüssel in ~/.ssh, Cloud-Zugangsdaten wie ~/.aws/credentials, Registry-Tokens in ~/.npmrc, CLI-Anmeldungen für GitHub, Cloud-Anbieter und Datenbanken sowie .env-Dateien in jedem Projekt, das Sie ausgecheckt haben.
Andere Projekte. Quellcode, Notizen und Konfiguration außerhalb des Repositorys, in dem der Agent gestartet wurde.
Das Netzwerk. Jede Domain, die Ihr Rechner erreicht, also auch Paste-Dienste, Filesharing-Dienste und beliebige Webhooks.
Tools mit Seiteneffekten. git push, Paketmanager, Cloud-CLIs, Datenbank-Clients und kubectl, oft bereits angemeldet.
Orte, die bestehen bleiben. Shell-Profile, Anmeldeobjekte, Git-Hooks sowie die eigenen Konfigurations- und Anweisungsdateien des Agents, die festlegen, was die nächste Sitzung tun darf.

Nichts davon setzt einen bösartigen Agent voraus. Die üblichen Wege sind banal: ein Befehl, der mehr tut als beabsichtigt, eine Abhängigkeitsinstallation, die ein Skript ausführt, oder Anweisungen, die in einer Webseite, einem Issue oder einer README versteckt sind und die der Agent liest und befolgt (Prompt Injection). Alle drei Hersteller warnen in ihrer eigenen Sicherheitsdokumentation vor Prompt Injection.

Wie Claude Code, Codex und Cursor den Zugriff begrenzen

Diese Tabelle fasst zusammen, was die Dokumentation des jeweiligen Tools am 10. November 2026 angab. Standardwerte ändern sich zwischen Releases, prüfen Sie daher Ihre eigene Version und Ihre Einstellungen.

Standardgrenzen von drei KI-Coding-Agents
Tool	Freigaben standardmäßig	Sandbox für Befehle	Option „alles überspringen“
Claude Code	Interaktive Sitzungen starten im Auto-Modus, in dem ein Klassifikator Aktionen prüft, statt Sie jedes Mal zu fragen; ein manueller Modus fragt vor Änderungen und Befehlen nach	Standardmäßig aus. Wenn aktiviert (Seatbelt unter macOS, bubblewrap unter Linux), sind Schreibzugriffe auf das Projekt beschränkt und Netzwerkzugriffe laufen über eine Allowlist, Lesezugriffe umfassen aber weiterhin den Großteil des Rechners, sofern Sie sie nicht verbieten	Modus `bypassPermissions`; laut Dokumentation nur in Containern oder VMs zu verwenden
OpenAI Codex	In versionierten Ordnern Schreibzugriff auf den Workspace mit Freigabe auf Anfrage; anderswo nur Lesezugriff	Standardmäßig an (Seatbelt unter macOS, bubblewrap und seccomp unter Linux); Netzwerk standardmäßig aus	`--dangerously-bypass-approvals-and-sandbox` (Alias `--yolo`), als nicht empfohlen gekennzeichnet
Cursor	Sensible Aktionen erfordern eine Freigabe; der empfohlene Ausführungsmodus nutzt einen automatischen Prüfer, und Dateiänderungen im Workspace lösen außer bei Konfigurationsdateien keine Abfrage aus	Im Standardmodus wenn möglich genutzt (Seatbelt unter macOS, Landlock unter Linux); Lesezugriffe außerhalb des Workspace sind bei der Standardeinstellung für Lesezugriff erlaubt	Modus „Run Everything“, ohne Sandbox und ohne Prüfer

Zwei Details überraschen viele. Erstens beschränken Sandboxes vor allem Schreibzugriffe und das Netzwerk, nicht Lesezugriffe: In der Sandbox von Claude Code und in der Standardeinstellung von Cursor kann ein Befehl weiterhin Dateien wie ~/.ssh lesen, sofern Sie das nicht ausdrücklich verbieten. Zweitens ist der am sichersten klingende Standard nicht immer der, mit dem Sie tatsächlich arbeiten, denn ein Teammitglied, ein Shell-Alias oder ein CI-Skript startet den Agent womöglich mit deaktivierten Freigaben.

Wo die Grenzen enden

Freigegebene Befehle laufen mit Ihren vollen Rechten. Die Sicherheitsseite von Claude Code weist darauf hin, dass ein freigegebener Bash-Befehl weiterhin überall schreiben kann, wo Ihr Benutzerkonto schreiben darf. Wer npm install freigibt, gibt jedes Installationsskript frei, das dabei mitkommt.
Automatische Prüfer sind ebenfalls Modelle. Auto-Modi verringern die Abfrage-Müdigkeit, aber ein Klassifikator kann sich irren, und die Hersteller bezeichnen diese Modi als Best Effort.
Hooks sind keine Sicherheitsgrenze. Claude Code und Cursor dokumentieren, dass Hooks bei Timeouts oder Fehlern standardmäßig fail-open sind, und Claude Code empfiehlt für harte Allow- oder Deny-Regeln das Berechtigungssystem, nicht Hooks.
Repositorys bringen Konfiguration mit. Projekteinstellungen, MCP-Server-Definitionen, Hooks und Anweisungsdateien kommen mit einem git clone. Tools warten zunehmend darauf, dass Sie einem Ordner vertrauen, bevor sie diese anwenden, aber nicht jede Einstellung ist auf die gleiche Weise abgesichert. Der Leitfaden zu Berechtigungen geht durch, was ein Repository verändern kann.
Hinterher schaut niemand hin. Abfragen schützen den Moment der Freigabe. Ohne Aufzeichnung dessen, was die Sitzung tatsächlich getan hat, sieht ein Lesen von Zugangsdaten mit anschließendem Upload aus wie jeder andere geschäftige Nachmittag.

Wie Sie die Reichweite eines Agents verkleinern

Schalten Sie die Sandbox ein, wo sie optional ist, und verbieten Sie Lesezugriffe auf Pfade mit Zugangsdaten (Claude Code unterstützt filesystem.denyRead und das Blockieren von Lesezugriffen außerhalb des Arbeitsverzeichnisses; Cursor hat eine Einstellung, die Lesezugriffe auf den Workspace beschränkt).
Lassen Sie Netzwerkzugriff standardmäßig geschlossen und erlauben Sie nur die Domains, die eine Aufgabe braucht.
Nutzen Sie Modi, die alles überspringen, nur in einem Wegwerf-Container oder einer VM ohne eingebundene persönliche Zugangsdaten, wie es die Hersteller selbst empfehlen.
Verwenden Sie kurzlebige, eng begrenzte Zugangsdaten auf Entwicklungsrechnern, damit ein geleaktes Token weniger wert ist.
Reviewen Sie Agent-Konfiguration wie Code. Einstellungsdateien, MCP-Server und Anweisungsdateien in einem Pull Request verdienen dieselbe Aufmerksamkeit wie eine neue Abhängigkeit.
Zeichnen Sie Sitzungen auf, damit Sie im Nachhinein beantworten können, „was hat der Agent angefasst?“. Der Leitfaden zum Monitoring vergleicht die Optionen.

Wo vetkit ins Spiel kommt

vetkit betrachtet das von zwei Seiten. Die Checks für KI-Code-Risiken im Repository-Audit melden committete Agent-Konfiguration, die den Zugriff erweitert: deaktivierte Freigaben, Einstellungen, die beliebige Shell- oder Netzwerkbefehle vorab freigeben, Hooks, die Skripte herunterladen und ausführen, nicht gepinnte oder aus der Ferne geladene MCP-Server, Zugangsdaten in der MCP-Konfiguration und versteckten Text in Anweisungsdateien für Agents.

Agent Watch, eine Desktop-App für Team-Rechner, zeichnet auf, was KI-Coding-Agents während einer Sitzung tatsächlich tun: Lesen von Zugangsdaten, neue Netzwerkziele, destruktive Befehle, Schreibzugriffe außerhalb des Projekts und Änderungen an ihren eigenen Einstellungen. Die App beobachtet und berichtet; sie blockiert keine Aktionen und lädt Warnungen und Sitzungszusammenfassungen hoch, keine Dateiinhalte oder Prompts. Verfügbarkeit und Datenschutzmodell finden Sie in der Dokumentation zu Agent Watch.

Quellen

Die Aussagen zu jedem Tool haben wir am 10. November 2026 aus dessen eigener Dokumentation entnommen. Maßgeblich sind die Seiten des jeweiligen Herstellers:

Produktnamen sind Marken ihrer jeweiligen Inhaber. vetkit ist mit ihnen weder verbunden noch wird es von ihnen unterstützt oder gesponsert. Etwas veraltet? Schreiben Sie an contact@vetkit.dev, und wir korrigieren es.