SANDBOX FÜR KI-TOOLS · MACOS

Sandbox für KI-Tools
auf dem Mac.

Lass die KI arbeiten. Du bestimmst, worauf sie zugreifen darf. ScopeShelf startet dein Terminal oder deine App in der macOS-Seatbelt-Sandbox: Projektordner bearbeiten, Referenzen nur lesen, private Ordner unsichtbar.

7 Tage kostenlos testen Was drinsteckt

Keine Kreditkarte, kein Account. Danach einmal 19 € — kein Abo.

  • Projektordner schreibbar, Referenzen nur lesbar, private Ordner unsichtbar.
  • SSH-Schlüssel, Schlüsselbunde und Cloud-Zugänge sind standardmäßig blockiert.
  • Netzwerkzugriff einer App mit einem Schalter kappen.
  • Blockierte Zugriffe live im Protokoll sehen.

sandbox-exec · Seatbelt-Profile · macOS 14+ · Apple Silicon & Intel

ScopeShelf — Übersicht
ScopeShelf showing the launcher overview with protection status

macOS 14+ · Apple Silicon & Intel · geschützte Apps laufen auch, wenn ScopeShelf geschlossen ist

Für Claude Code, Codex & Co.

YOLO-Modus ohne Blindflug.

claude --dangerously-skip-permissions und codex --yolo sind beliebt, weil ständige Freigaben den Workflow unterbrechen. ScopeShelf gibt dir die dritte Option: Lege die Zugriffsgrenzen vor dem Start fest — einen Launcher pro Tool oder Projekt — und lass deinen KI-Agenten darin arbeiten. Blockierte Zugriffe siehst du live im Protokoll.

Projektordner — schreibbar

Referenzen — nur lesbar

Private Ordner — unsichtbar

In freigegebenen schreibbaren Ordnern darf die KI weiterhin löschen und ändern — das ist Absicht. ScopeShelf begrenzt den Dateizugriff vorher, statt dich hinterher warnen zu müssen.

Schritt-für-Schritt-Anleitungen: Claude Code ohne ständige Freigaben · Codex im YOLO-Modus, mit Grenzen

7 Tage kostenlos testen

Ständige Freigaben unterbrechen deinen Workflow.

KI-Agenten wollen arbeiten — und dein Terminal fragt bei jedem Griff nach. Oder du schaltest die Fragen ganz ab und gibst alles frei.

Jede Aktion einzeln bestätigen kostet den Flow.

Claude Code fragt bei Dateien, Befehlen, Verzeichnissen. Wer hundertmal auf „Erlauben“ klickt, liest irgendwann nicht mehr hin.

YOLO ohne Grenzen heißt: die KI liest alles.

Mit --dangerously-skip-permissions oder --yolo läuft der Agent mit deinen vollen Nutzerrechten — inklusive ~/.ssh, Schlüsselbund und Cloud-Zugängen.

Sandboxing per Hand ist ein arkaner Dialekt.

sandbox-exec liegt auf jedem Mac, aber Seatbelt-Profile pflegt niemand gern pro Tool. Also tut es fast niemand.

ScopeShelf schreibt und pflegt diese Profile für dich — pro Tool, einsehbar, wiederverwendbar.

7 Tage kostenlos testen

Die Sandbox steckt in macOS.
Wir haben sie benutzbar gemacht.

Warum es ScopeShelf gibt

Es begann mit einer App, der ich nicht traute.

Vor einiger Zeit lud ich ein kleines Tool herunter — Closed Source, von einem Anbieter, den ich nicht kannte, und es löste exakt mein Problem. Vorm Doppelklick erwischte ich mich bei dem Gedanken: Sobald das Ding läuft, kann es meinen ganzen Benutzerordner lesen. SSH-Schlüssel, Cloud-Zugänge, Kundenprojekte. Mit meinen vollen Nutzerrechten, ohne Rückfrage.

Die Ironie: macOS liefert die Antwort seit 2007 mit — Seatbelt, dieselbe Kernel-Sandbox, die Apple für die eigenen Apps nutzt. sandbox-exec liegt auf jedem Mac in /usr/bin. Aber Seatbelt-Profile von Hand zu schreiben ist mühsam, die Syntax ist ungnädig, und eine Regel in der falschen Reihenfolge macht still das ganze Profil kaputt. Also schrieb ich ein Profil, dann einen Generator, dann eine GUI.

Daraus wurde ScopeShelf. Meine Apps stehen jetzt im Regal, jede mit genau den Ordnern, die ich freigegeben habe — und wenn eine etwas versucht, das ich nicht erlaubt habe, blockiert es macOS, und mein Protokoll zeigt mir den Versuch. Das kleine Tool nutze ich immer noch. Es kann nur mein Leben nicht mehr lesen.

— Christof, Entwickler von ScopeShelf

Funktionen

Eine Aufgabe, richtig gemacht.

ScopeShelf tut genau eines: Es entscheidet, was jede App erreichen kann. Alles Folgende dient diesem Zweck.

🗂

Drei Schutz-Zonen

Schreibbar, nur lesbar, unsichtbar — pro Launcher, pro Ordner. Nur lesbar wird durch echte deny-file-write*-Regeln erzwungen, nicht durch Höflichkeit.

🔑

Zugänge standardmäßig blockiert

~/.ssh, ~/.gnupg, ~/Library/Keychains, ~/.aws und ~/.config/gcloud sind für jeden Launcher unsichtbar, bevor du irgendetwas freigibst.

🌐

Netzwerk aus, pro App

Ein Schalter setzt deny network-outbound. Die App läuft weiter — sie kann nur nichts mehr nach draußen senden.

📜

Live-Protokoll

Starte eine Aufzeichnung und sieh macOS bei der Arbeit zu: welche Operation, welcher Pfad, wie oft. Belege schlagen Versprechen.

🚀

Dock-Starter

Mache jeden Launcher zu einer kleinen klickbaren App fürs Dock. Doppelklick, Sandboxing inklusive — ScopeShelf muss dafür nicht offen sein.

🛡

Menüleisten-Status

Das Menüleisten-Icon zeigt, welche überwachten Apps geschützt laufen — und warnt dich, wenn eine ohne Sandbox läuft.

⌨️

CLI und Projekt-Configs

scopeshelf run, dry, add, presets — plus eine .scopeshelf-Datei pro Projektordner. Skriptbar, diffbar, deins.

📦

Kuratierte App-Presets

VS Code, Cursor, Windsurf, WebStorm und iTerm bringen ihre bekannten Datenordner mit. Ein Befehl, vernünftige Sandbox.

So funktioniert's

Gebaut auf der Sandbox, die Apple mitliefert.

Keine Kernel-Extension, kein Hintergrund-Daemon, keine Cloud. ScopeShelf erzeugt pro Launcher ein Seatbelt-Profil und startet die App über sandbox-exec — die Durchsetzung ist macOS selbst, und sie funktioniert auch, wenn ScopeShelf geschlossen ist.

Terminal — scopeshelf dry 
$ scopeshelf dry "VS Code"
(version 1)
(allow default)                          ; system paths stay usable
(deny file-read* file-write* (subpath "/Users/christof"))   ; your home: invisible
(allow file-read* file-write* (subpath "/Users/christof/Projects/work"))  ; granted: writable
(allow file-read* (subpath "/Users/christof/Documents"))
(deny file-write* (subpath "/Users/christof/Documents"))    ; granted: read-only
(deny file-read* (subpath "/Users/christof/.ssh"))          ; always blocked
(deny network-outbound)                  ; no network for this app

Das ist das echte Profil, gekürzt. Die Regelreihenfolge entscheidet — der Renderer von ScopeShelf macht sie jedes Mal richtig.

7 Tage kostenlos testen

Sicherheit

Durchgesetzt vom Kernel, nicht von uns.

ScopeShelf fängt selbst nichts ab. Es schreibt Regeln; macOS setzt sie durch. Genau darin liegt der Punkt.

Kernel-erzwungene Regeln

Seatbelt-Regeln wertet der macOS-Kernel aus. Die geschützte App kann sie nicht abschalten — und ein Fehler in ihr auch nicht.

Unsichtbar heißt verweigert

„Unsichtbare" Ordner bekommen echte Deny-Regeln. Die App kann sie nicht lesen, nicht schreiben, nicht einmal sehen, dass es sie gibt.

Nur lesbar heißt nur lesbar

Nur-lesbar-Ordner erhalten explizite deny-file-write*-Regeln. Öffnen ja. Ändern nein.

Geprüfter Schutz

Der Live-Status prüft jeden laufenden Prozess mit dem systemeigenen sandbox_check. Wenn ScopeShelf „geschützt" sagt, hat macOS es bestätigt.

Ehrlich in dem, was es sieht

Lässt sich der Schutz-Status eines Prozesses nicht bestimmen, sagt ScopeShelf genau das — es behauptet nie einen Schutz, den es nicht prüfen kann.

Nichts Neues in deinem System

Keine Kext, kein launchd-Daemon, keine Root-Rechte. ScopeShelf kombiniert Werkzeuge, die dein Mac schon hat — und hinterlässt nichts, wenn du es entfernst.

7 Tage kostenlos testen

Datenschutz

Alles lokal. Kein Account. Keine Telemetrie.

Wir wissen nicht, wer du bist — und das ist gut so.

🚫 Keine Telemetrie, niemals

Kein Analytics-SDK, kein Crash-Reporting ohne deine Zustimmung, keine Nutzungsstatistiken. Die App baut selbst keine Netzwerkverbindungen auf.

🗄 Local-first mit Absicht

Launcher, Profile und Protokolle liegen in deinem Benutzerordner. Es gibt keine ScopeShelf-Cloud, die lecken, gehackt oder herausverlangt werden könnte.

👤 Kein Account

Du lädst die App, und sie läuft. Keine Registrierung, keine E-Mail-Bestätigung, kein Passwort zum Vergessen.

🧾 Verkauft über Polar, nicht über Daten

Polar.sh ist unser Merchant of Record. Dort läuft die Zahlung; wir erhalten eine E-Mail-Adresse für deine Lizenz. Sonst wechselt nichts den Besitzer.

Preise

Einmal kaufen. Für immer deins.

Eine Zahlung, kein Abo. Verkauft von Christof Müller (Schweiz) über Polar.sh als Merchant of Record — mit korrekter MwSt. und Rechnung.

Personal

€19 einmalig

Für Entwickler, Freelancer und alle, die Software installieren, der sie nicht blind trauen.

  • ✓ Unbegrenzt Launcher & geschützte Apps
  • ✓ GUI, Menüleisten-Agent & Dock-Starter
  • ✓ CLI mit Presets & .scopeshelf-Projekt-Configs
  • ✓ Live-Protokoll & geprüfter Schutz-Status
  • ✓ 1 Nutzer, Installation auf all deinen Macs
  • ✓ Jedes 1.x-Update inklusive — eine künftige v2 wäre ein optionales Upgrade
  • ✓ 7 Tage kostenlos testen, ohne Kreditkarte, ohne Account
  • ✓ 14 Tage Geld-zurück
Jetzt kaufen für 19 € 7 Tage kostenlos testen

Gut zu wissen vor dem Kauf: ScopeShelf ist mit unserer Apple-Developer-ID signiert und von Apple notarisiert — Gatekeeper öffnet es direkt nach dem Download, ohne Warnung. Die einzige echte Einschränkung: Apps, die Apples eigene App-Sandbox mitbringen, lassen sich nicht einbetten; ScopeShelf erkennt sie und sagt es dir.

Ehrliche Erwartungen

Was ScopeShelf ist — und was nicht.

Bitte lies das vor dem Kauf. Es erspart uns beiden eine Rückerstattung.

✓ Was es ist

  • Ein Launcher, der deine Mac-Apps in der macOS-Seatbelt-Sandbox startet.
  • Pro-App-Kontrolle darüber, welche Ordner schreibbar, nur lesbar oder unsichtbar sind.
  • Ein Weg, den ausgehenden Netzwerkverkehr einer App komplett zu kappen.
  • Ein Live-Protokoll der Zugriffe, die macOS blockiert hat.
  • Eine GUI plus skriptbare CLI mit Konfigurationsdateien pro Projekt.
  • Komplett auf macOS-Bordmitteln gebaut: sandbox-exec und Seatbelt-Profile.

✗ Was es nicht ist

  • Kein Antivirus: Es scannt nicht, erkennt keine Schadsoftware und entfernt nichts.
  • Kein Verbindungsfilter wie Little Snitch: Der Netzwerk-Schalter kennt nur alles oder nichts pro App, keine Regeln pro Zielhost.
  • Nicht für Apps mit Apples eigener App-Sandbox — macOS schachtelt keine Sandboxen, und ScopeShelf sagt dir, wenn es eine erkennt.
  • Kein Container und keine VM: Geschützte Apps teilen sich deinen Kernel und deine Dateisystem-Semantik — und die Leistung deines echten Macs.
  • Keine Garantie gegen Schadsoftware: Seatbelt verkleinert, was eine App erreichen kann; bösartigen Code macht es nicht harmlos.
  • Nicht cloud-verwaltet: kein Account, kein Dashboard, kein Sync, nichts zum Einloggen.

Häufige Fragen

Fragen, beantwortet.

Gibt es eine Testversion?

Ja: 7 Tage, voller Funktionsumfang, ohne Kreditkarte, ohne Account. Laden, erste App schützen, entscheiden.

Rückerstattung?

14 Tage, Geld zurück, ohne Fragen. Schreib an [email protected] von der Adresse, mit der du gekauft hast.

Wie funktionieren Updates?

Jedes 1.x-Update ist kostenlos, solange das System es erlaubt. Eine künftige v2 wäre ein optionales, bezahltes Upgrade — deine v1 läuft so oder so weiter.

Ist die App signiert und notarisiert?

Ja — signiert mit unserer Apple-Developer-ID und von Apple notarisiert. Die App öffnet sich direkt nach dem Download, ohne Warnung und ohne Rechtsklick-Umweg. Und sie baut selbst keine Netzwerkverbindungen auf — gesandboxt oder nicht.

Warum kann ScopeShelf manche Apps nicht schützen?

Apps mit Apples eigener App-Sandbox-Signatur lassen sich nicht in eine weitere Sandbox schachteln — macOS verweigert das schlicht. ScopeShelf erkennt das bei der App-Auswahl und sagt es dir, bevor du umsonst einen Launcher anlegst.

Funktionieren Electron-Apps?

Ja. ScopeShelf behandelt deren Hilfsprozesse und die innere Chromium-Sandbox (--no-sandbox), sodass die äußeren Seatbelt-Regeln sauber für die ganze App greifen.

Gibt es eine Kommandozeile?

Ja — scopeshelf mit list, run, dry, add, remove, init und presets. Dazu: --env für Umgebungsvariablen, ein :ro-Suffix für Nur-lesen-Ordner und .scopeshelf-Configs pro Projekt.

Welche macOS-Versionen werden unterstützt?

macOS 14 Sonoma oder neuer, auf Apple Silicon und Intel.

Was genau deckt die Netzwerk-Sperre ab?

deny network-outbound blockiert alle ausgehenden Verbindungen der App und ihrer Kindprozesse — TCP, UDP, alles. Sie ist bewusst alles-oder-nichts pro Launcher, keine Filterung pro Zielhost; dafür bleibt eine verbindungsbasierte Firewall das richtige Werkzeug.

Was, wenn eine App einen Ordner braucht, den ich nicht freigegeben habe?

Sie sieht ihn schlicht nicht — als existierte er nicht. Die meisten Apps kommen damit klar. Wenn eine spinnt, zeigt das Protokoll exakt, welcher Zugriff blockiert wurde, und die Freigabe ist ein Klick.

Ersetzt ScopeShelf das eingebaute Sandboxing von Claude Code?

Nein, und es muss es nicht. Claude Code kann selbst sandboxen — aber die Regeln liegen pro Session im Tool. ScopeShelf verwaltet die Grenzen sichtbar und wiederverwendbar außerhalb: ein Launcher pro Tool oder Projekt, das Zonen-Modell (schreibbar/nur lesbar/unsichtbar), und ein Live-Protokoll, das zeigt, was macOS tatsächlich blockiert hat — über Claude Code, Codex und jede andere App hinweg.

Schreib uns

Bug, Funktionswunsch oder Frage vor dem Kauf?

Wir lesen jede Nachricht und antworten meist innerhalb eines Arbeitstags.

Oder schreib direkt an [email protected].

Aus derselben Werkstatt

Zwei weitere Werkzeuge aus dem Regal.

DeviceShelf

Kartiere dein Netzwerk, mit DeviceShelf

Unser Local-first-Netzwerkscanner: jedes Gerät im LAN, offene Ports, Sicherheitsbericht und Anwesenheits-Alerts. Gleiche Prinzipien: Einmalkauf, kein Account, keine Telemetrie.

DeviceShelf entdecken ↗
ServerShelf

Kenne deine Server, mit ServerShelf

Unser Local-first-Server-Cockpit: SSH-Inventar, Docker, TLS- und Uptime-Monitoring, AI-Log-Triage — mit deinem eigenen Key. Gleiche Prinzipien: Einmalkauf, kein Account, keine Telemetrie.

ServerShelf entdecken ↗