Claude Code ohne ständige Freigaben auf dem Mac nutzen
Claude Code fragt beim Arbeiten ständig nach: diese Datei lesen, jenen Befehl ausführen, dieses Verzeichnis anlegen. Wer das hundertmal am Tag wegklickt, liest irgendwann nicht mehr hin. Die offizielle Notlösung heißt claude --dangerously-skip-permissions — damit läuft der Agent komplett ohne Rückfrage, mit deinen vollen Nutzerrechten: einschließlich ~/.ssh, Schlüsselbund und Cloud-Zugängen.
Es gibt eine dritte Option: das Terminal, in dem Claude Code läuft, in die macOS-Seatbelt-Sandbox legen. Die Zugriffsgrenzen legst du vor dem Start fest — danach arbeitet der Agent ohne Rückfrage, aber nur innerhalb dieser Grenzen.
Die Idee: nicht das Tool sandboxen, sondern das Terminal
Claude Code läuft in einem Terminal. Sandboxing muss also nicht die KI selbst treffen, sondern die Sitzung darum herum: Ein ScopeShelf-Launcher für dein Terminal (iTerm oder Terminal.app) setzt die Regeln für alles, was darin läuft — Claude Code, Skripte, Hilfsbefehle. Die Regeln liegen dabei nicht in der Session, sondern als wiederverwendbarer Launcher mit sichtbarem Zonen-Modell; das eingebaute Sandboxing von Claude Code bleibt davon unberührt und kann zusätzlich laufen.
Einrichtung Schritt für Schritt
Getestet mit Claude Code 2.1.267 (nativer Installer) auf macOS 26:
- ScopeShelf installieren und einmal starten.
- Launcher für dein Terminal anlegen: Neuer Launcher → App wählen → iTerm (dafür gibt es ein Preset mit bekannten Datenordnern) oder Terminal.app.
- Diese Freigaben hinzufügen (der Ordner-Dialog nimmt seit Kurzem auch einzelne Dateien):
# Schreibbar: ~/dein-projektordner # der Code, an dem die KI arbeitet ~/.claude # Claude-Code-Einstellungen und Session-Daten ~/.local/bin # nativer Installer: Symlink auf versionierte Binaries ~/.local/share/claude # nativer Installer: die eigentlichen Binaries # Einzelne Dateien (werden als solche freigegeben, nicht als Ordner): ~/.claude.json # globale Config ~/.gitconfig # optional: git-Identität für Commits
- Netzwerk auf „Erlaubt" lassen — Claude Code braucht Netzwerk für die API. Der Schutz zielt auf Dateien.
- Terminal über ScopeShelf starten (Button „Starten" oder Dock-Starter) und darin normal arbeiten:
claude— ohne--dangerously-skip-permissions, aber auch ohne Dauer-Prompts für erlaubte Ordner.
Lieber per CLI?
# Launcher anlegen scopeshelf add "Terminal Claude" --app /Applications/iTerm.app \ --write ~/repos/mein-projekt --write ~/.claude --write ~/.local/bin \ --write ~/.local/share/claude # Dateien gehen über den GUI-Picker oder direkt im Launcher-Editor; # das Profil vorab ansehen: scopeshelf dry terminal-claude # Starten: scopeshelf run terminal-claude
Der Schutztest (so haben wir es verifiziert)
Im gesandboxten Terminal:
claude --version # läuft normal cat ~/.ssh/config # Operation not permitted — der Ordner existiert für die Sitzung nicht cat ~/.zshrc # ebenfalls unsichtbar
Alles andere in deinem Benutzerordner ist für die Sitzung komplett unsichtbar — nicht „bitte nicht anfassen", sondern vom Kernel verweigert. Versucht ein Prozess doch darauf zuzugreifen, blockiert macOS und ScopeShelfs Protokoll zeigt dir den Versuch (Operation, Pfad, wie oft).
Die ehrlichen Grenzen
- Schreibbar heißt schreibbar. Im freigegebenen Projektordner darf die KI löschen und ändern — das ist der Sinn der Sache. Versioniere (git), dann ist das ungefährlich.
- Netzwerk bleibt offen. Claude Code braucht die API. ScopeShelfs Netzwerk-Schalter ist alles-oder-nichts pro Launcher — für KI-Tools ist „erlaubt" der Normalfall.
- Erlaubte Systemdienste bleiben erlaubt. Das Profil sperrt gezielt deinen Benutzerordner (
deny subpath $HOME) statt alles — Systempfade außerhalb bleiben nutzbar, damit Apps nicht brechen. Das ist dokumentierte Absicht, keine Lücke. - Kein Schutz vor Prompt-Injection im erlaubten Bereich. Liest die KI eine manipulierte Datei im Projektordner, gelten dort deine Freigaben. Die Sandbox begrenzt den Zugriff — nicht die Absicht des Inhalts.
Fazit
Statt jede Aktion einzeln zu bestätigen — oder mit --dangerously-skip-permissions alles zu öffnen — begrenzt du den Dateizugriff einmal vor dem Start und lässt Claude Code darin arbeiten. Die Grenzen sind sichtbar, wiederverwendbar und gelten genauso für Codex oder jedes andere Tool, das du im selben Terminal startest.
ScopeShelf: 19 € einmalig, 7 Tage kostenlos testen, kein Account. Zum Download · Weiterlesen: Codex im YOLO-Modus: Dateizugriff begrenzen