Ist es sicher, Claude Code-Aktionen vom Handy aus freizugeben?

01So funktioniert die Remote-Freigabe

Claude Code hat ein Hook-Event namens PermissionRequest. Es wird ausgelöst, wenn Claude Code dich gleich um Erlaubnis für ein Tool fragen würde. Ein Hook kann mit einer Entscheidung antworten, allow oder deny, und Claude Code verwendet sie, statt auf deine Antwort im Terminal zu warten. Remote-Freigabe-Tools nutzen diesen Hook: Er schickt die Anfrage an dein Handy, wartet und gibt deine Antwort zurück. Der PermissionRequest-Guide zeigt das JSON.

Drei Eigenschaften dieses Designs sind für die Sicherheit wichtig. Alle stammen aus der Hooks-Dokumentation von Anthropic:

• Er wird nur ausgelöst, wenn es einen Prompt gäbe. Wenn dein Permission-Modus oder deine Allow-Regeln eine Aktion ohnehin durchlassen, gibt es keine Anfrage. Remote-Freigabe kann Claude also nicht mehr Rechte geben, als du an der Tastatur gehabt hättest.
• Deny-Regeln haben weiterhin Vorrang. Ein Hook, der allow zurückgibt, umgeht keine Deny-Regeln aus deinen Einstellungen. Wenn du Read(./.env) verbietest, kann ein Tippen aufs Handy Claude das Lesen nicht erlauben.
• Der Hook läuft als du. Command-Hooks laufen mit deinen vollen Benutzerrechten. Jedes Programm, das du als Hook installierst, kann alles lesen und ändern, was dein Account darf. Damit ist die Wahl des Tools Teil deiner Sicherheit, nicht nur das Handy.

02Die Risiken und was sie jeweils begrenzt

Jemand anderes antwortet

Der schlimmste Fall: Eine Person oder ein Gerät, das du nicht vorgesehen hast, gibt eine Aktion frei. Was das begrenzt:

• Kopplung. Ein Handy kann nur für einen Computer antworten, mit dem es gekoppelt ist. Bei Claude Code Notifier läuft die Kopplung über einen QR-Code oder einen 6-stelligen Code, der 24 Stunden gültig ist, und jeder Computer kann bis zu drei Handys haben.
• Widerrufen. ccn devices listet die mit einem Computer gekoppelten Handys auf, und ccn devices revoke <name> entfernt eines. ccn forget löscht den Computer und seine Kopplungen vom Server.
• Die Sperre deines Handys. Wer dein entsperrtes Handy in der Hand hat, kann antworten. Betrachte das Handy als Schlüssel zu den Claude Code-Sessions deines Computers und nutze einen Code oder eine biometrische Sperre.

Du gibst etwas frei, das du nicht gelesen hast

Auf dem Handy überfliegt man einen langen Shell-Befehl leicht. Ein paar Gewohnheiten helfen:

• Lies den ganzen Befehl, bevor du auf Erlauben tippst. Wenn er nicht offensichtlich unbedenklich ist, lehne ihn ab und schau dir später das Terminal an.
• Nimm lieber einmal erlauben statt für die Session erlauben, wenn etwas außerhalb des Projekts Zustand verändert, etwa git push, Deploys oder Paketinstallationen.
• Leg riskante Befehle in deinen Settings hinter ask-Regeln und Secrets hinter deny-Regeln. So entscheiden über die gefährlichen Fälle Regeln, die du in Ruhe geschrieben hast, und nicht ein schneller Tap in einer Warteschlange. Die Syntax findest du im Guide zu den Permission-Modi.

Du sitzt tatsächlich an der Tastatur

Kommt eine Anfrage aufs Handy, während du am Rechner sitzt, können zwei (du und dein Handy) denselben Prompt beantworten. Claude Code Notifier prüft deshalb, ob du am Computer bist: Hast du in den letzten 30 Sekunden getippt, wartet nichts aufs Handy und das Terminal fragt wie gewohnt. Bist du weg, wartet das Terminal bis zu einem von dir festgelegten Limit auf die Antwort vom Handy und hört sofort auf zu warten, sobald du die Tastatur anfasst. Die Idle-Prüfung läuft auf dem Computer, ihr Ergebnis wird nie übertragen.

Projektdetails verlassen deinen Computer

Damit du eine Anfrage sehen kannst, muss irgendetwas ihre Details an dein Handy schicken. Das ist der Privacy-Kompromiss jeder Handy-Benachrichtigung für Claude Code, ob selbst gebaut oder nicht. Bei Claude Code Notifier gilt laut Datenschutzerklärung:

• Es gibt keine Accounts. Jeder Computer und jedes Handy wird über eine zufällige ID identifiziert.
• Was eine Benachrichtigung enthalten kann: Projektname und Ordnerpfad, die Nachricht von Claude bzw. die Frage, die es stellt, den Anfang deines Prompts und bei einem Permission-Prompt den Tool-Namen plus eine Zusammenfassung des Inputs, etwa den Shell-Befehl oder Dateipfad (bis zu 200 Zeichen).
• Wohin sie geht: über den Relay-Server von TouchTap, der auf Cloudflare läuft, und in gekürzter Form an Apple oder Google, die den Push zustellen. Projektordnerpfade werden nicht an Apple oder Google gesendet.
• Wie lange sie gespeichert wird: Der Server löscht Benachrichtigungen und deine Antworten darauf innerhalb von 48 Stunden. Der Relay-Server speichert deine IP-Adresse nicht.
• Bei der Übertragung: Die gesamte Kommunikation mit dem Server läuft über TLS (HTTPS und WSS). Der Relay hält den Inhalt der Benachrichtigung für die Zustellung vor, es ist also Transportverschlüsselung, keine Ende-zu-Ende-Verschlüsselung.
• Kein Verkauf: Daten werden weder verkauft noch für Werbung genutzt.

Auf dem Computer ist das Credential von ccn ein zufälliges Token. Standardmäßig liegt es im macOS-Schlüsselbund bzw. in der Windows-Anmeldeinformationsverwaltung und unter Linux in einer Datei, die nur dein Benutzerkonto lesen kann; mit ccn config set credential_store wechselst du zwischen System-Keychain und Datei.

Wenn du an vertraulichem Code arbeitest, rät die Datenschutzerklärung selbst, zu überlegen, ob Handy-Benachrichtigungen passen und welche Arten du pro Computer aktivierst. Du kannst notify_on_done, notify_on_permission und notify_on_question einzeln und pro Computer abschalten, per Kommandozeile oder in der App.

Der Sperrbildschirm zeigt zu viel

Ein Banner mit einem Befehl oder dem Projektnamen eines Kunden sieht jeder, der kurz auf dein Handy schaut. Auf iPhone und Android kannst du Vorschauen ausblenden, bis das Gerät entsperrt ist, für alle Apps oder nur für eine. Auf dem iPhone findest du das unter Einstellungen > Mitteilungen. Auf Android steckt es in den Einstellungen für Benachrichtigungen auf dem Sperrbildschirm, meist als Option zum Ausblenden sensibler Inhalte.

03Remote-Freigabe im Eigenbau

Du kannst Remote-Freigaben selbst bauen, mit einem PermissionRequest-Hook und einem Chatbot oder Push-Dienst. Dann baust du aber ein Authentifizierungssystem: Nur du darfst antworten können, eine alte Antwort darf nicht für eine neue Anfrage gelten, und eine hängende Anfrage darf keine Session blockieren. Auf einem geteilten öffentlichen Push-Server hält nur der Topic-Name Fremde fern, behandle ihn also wie ein Passwort. Die Guides zu ntfy und Telegram, Slack oder Discord beschreiben reine Benachrichtigungs-Setups, die viel weniger riskant sind, weil sie nichts freigeben können.

04Hooks aus fremden Repositories

Ein weiteres Risiko betrifft jeden Hook, nicht nur Freigaben. Hooks können in der .claude/settings.json eines Projekts eingecheckt sein. In einer interaktiven Session hält Claude Code Hooks zurück, bis du den Workspace-Trust-Dialog für den Ordner bestätigst – lies also die .claude/-Dateien eines Repositorys, bevor du ihm vertraust. Bei claude -p und SDK-Läufen gibt es keinen Dialog, der Ordner gilt als vertrauenswürdig und eingecheckte Hooks laufen. Für Skript-Läufe über fremden Code gib --settings '{"disableAllHooks": true}' mit.

05Wo Claude Code Notifier ins Spiel kommt

Claude Code Notifier ist ein unabhängiges Tool von TouchTap Ltd. Es wird nicht von Anthropic entwickelt, unterstützt oder gesponsert. Das Kommandozeilen-Tool ccn läuft als Claude Code-Hooks auf Mac, Windows und Linux, und mit den Apps für iPhone und Android kannst du einmal erlauben, für die Session erlauben oder ablehnen. Der Quellcode von ccn ist auf GitHub einsehbar, du kannst also vor der Installation genau nachlesen, was als dein Hook läuft. Die Einrichtung beschreibt der Guide zur Freigabe per Handy.

06FAQ