--- title: "Vier harte Riegel: Wie Code Guardian Löschen, Secrets, Deploy und Migration anhält" description: "Anzeige: Vier Riegel von Code Guardian halten einen KI-Assistenten technisch an, bevor er Arbeit vernichtet, Geheimnisse committet, deployt oder ein Schema ändert. Wie sie Befehle lesen statt Wörter suchen, und wo ihre Grenzen liegen." url: https://digital-zentral.de/code-guardian-riegel-gefaehrliche-befehle/ type: article published: 2026-11-04 updated: 2026-11-04 publisher: "digital zentral" advertising: "Anzeige" category: "Software" tags: ["Code Guardian", "Claude Code", "KI-Coding", "Sicherheit", "Shell"] language: de ai_assisted_text: true ai_generated_image: true --- > **Anzeige** · Dieser Beitrag enthält bezahlte Links # Vier harte Riegel: Wie Code Guardian Löschen, Secrets, Deploy und Migration anhält Anzeige: Vier Riegel von Code Guardian halten einen KI-Assistenten technisch an, bevor er Arbeit vernichtet, Geheimnisse committet, deployt oder ein Schema ändert. Wie sie Befehle lesen statt Wörter suchen, und wo ihre Grenzen liegen. **Offenlegung:** Code Guardian ist ein Angebot der Provimedia GmbH. Deren Geschäftsführer Alexander Weipprecht ist Bruder und Geschäftspartner des Herausgebers von digital zentral. Der Herausgeber setzt Code Guardian selbst für diese Seite ein. Dieser Beitrag enthält Partnerlinks: Kommt darüber ein Kauf zustande, erhält digital zentral eine Provision; der Preis für Sie ändert sich nicht. Ein KI-Assistent im Terminal kann mit einem einzigen Befehl die Arbeit eines Tages löschen, einen API-Schlüssel in die Versionsgeschichte schreiben oder eine Datenbanktabelle leeren. Die Werkzeuge fragen vorher nach, aber die Nachfrage ist ein Dialogfenster, und Dialogfenster werden weggeklickt. Code Guardian setzt an dieser Stelle vier Riegel ein, die vor dem Befehl laufen und ihn abweisen, statt zu fragen. Dieser Beitrag erklärt, was sie anhalten, wie sie Befehle lesen und wie der Anbieter sie gegen Fehlalarme testet. ## Warum genau vier Code Guardian hatte in früheren Versionen deutlich mehr blockierende Hooks. Seit dem Umbau zum sogenannten Riegelkern im Herbst 2026 sperren nur noch vier technisch; der Anbieter begründet das mit einer eigenen Auswertung, nach der über die Hälfte der Kundenmeldungen zu den Prozess-Riegeln Fehlalarme oder Robustheitsfehler der Riegel selbst waren. Gesperrt bleibt, was sich nicht zurückholen lässt: Code wird per Git zurückgerollt, eine gelöschte Datei außerhalb von Git, ein veröffentlichtes Geheimnis, ein Deploy auf den Live-Server und eine weggeworfene Spalte nicht. Daneben sperren zwei Hooks nur eingeschränkt: ein Schreibschutz für Läufe ohne Freigeber und im Autopilot sowie die Optionsfrage im Autopilot; der Rechtstext-Riegel und ein Abschluss-Riegel für Datenauswertungen lassen sich zuschalten, beide standardmäßig aus. Alles andere wirkt als Anweisung im Skill, nicht als Sperre. ## Riegel 1: Löschen Der Lösch-Riegel prüft jeden Shell-Befehl auf Schreibweisen, die Arbeit vernichten, die nur im Arbeitsbaum steht: rekursives Löschen, hartes Zurücksetzen in Git, Entfernen von Arbeitsbäumen, Leeren des Wurzel-, Home- oder Temp-Verzeichnisses. Wegwerf-Ordner wie Build-Reste oder Paketverzeichnisse lösen bewusst nicht aus. Entscheidend ist, wie er liest: nicht nach Wörtern, sondern nach der Struktur des Befehls. Laut Versionshinweisen zu 17.8 und 17.9 erkennt er Befehle hinter Shell-Hüllen mit zusätzlichen Schaltern, in Zeichenketten von Skript-Interpretern, die eine Shell starten, hinter Umleitungen und über die Standardeingabe, und seit 17.10 auch Fernlöschen, bei dem der ssh-Aufruf aus einer Variablen kommt. Zwei Verhaltensweisen fallen im Alltag auf. Er verwirft die ganze Befehlskette, nicht nur den gefährlichen Teil, und sagt, in welchem Glied der Grund steckt. Und er löst Variablen in Pfaden nicht auf: Steht das Ziel eines Löschbefehls in einer Shell-Variablen, weist er ab, weil er sonst raten müsste. Beides steht im Audit-Protokoll dieser Seite (Einträge vom 8. Oktober und 4. November); der [Erfahrungsbericht](https://digital-zentral.de/code-guardian-erfahrungen-digital-zentral/) beschreibt die Fälle. Der Ausweg ist ein angehängter Kommentar mit Grund; der steht danach im Terminal-Verlauf, wo ihn der nächste Leser findet. ## Riegel 2: Geheimnisse im Commit Der zweite Riegel prüft vor einem Commit, ob Zugangsdaten, Schlüssel oder Token in den Änderungen stehen. Ein Geheimnis in der Versionsgeschichte ist auch nach dem Entfernen noch da, in jedem Klon und jedem Backup. Laut Versionshinweisen zu 17.8 hält der Riegel bei Merges seltener zu Unrecht an als früher. ## Riegel 3: Deploy Der Deploy-Riegel lässt Befehle, die etwas auf einen fremden Rechner übertragen, nur durch, wenn ein frischer Freigabebericht des Deploy-Gates vorliegt. Das Gate klassifiziert jede Datei der Übertragungsliste; der Riegel sorgt dafür, dass niemand das Gate überspringt. Seit 17.8 führt auch ein Neustart oder Stopp eines Dienstes auf einem fremden Rechner im selben Befehl zu einer Nachfrage. Was das Gate prüft, steht in [Die sieben Gates](https://digital-zentral.de/code-guardian-sieben-gates-erklaert/). ## Riegel 4: Migration Der Migrations-Riegel hält Befehle an, die ein Datenbankschema ändern, inklusive roher ALTER-, DROP- und TRUNCATE-Anweisungen, und seit 17.9 auch Text, der über xargs an einen Datenbank-Client geht. Ein Befehl, der eine Nicht-Testdatenbank leert, wird ohne Bedingungen abgewiesen. Lesende Abfragen, Status-Anzeigen und Läufe gegen die Testumgebung sind ausgenommen. ## Wie der Anbieter sie testet Ein Riegel, der zu oft anhält, wird abgeschaltet. Deshalb veröffentlicht der Anbieter Zahlen, die hier als Herstellerangaben mit Stand 4. November 2026 wiedergegeben werden: Die Riegel sind gegen über 4.900 festgeschriebene Prüffälle getestet; in einem Schattenlauf wurden über 200.000 Befehle aus echten Sitzungen gegen die Sperren gefahren. In den Versionshinweisen zu 17.10 und 17.11 stehen entfernte Fehlalarme: Ein lesendes grep auf ein Deploy-Skript ist erlaubt, ein Deploy-Name in einem Literal löst nicht mehr aus, und eine gequotete ssh-Nutzlast, die nur eine eigene Wegwerfdatei löscht, schlägt nicht mehr an. ## Voraussetzungen und Ausfallverhalten Die Riegel brauchen Python ab 3.9 mit Standardbibliothek; die übrigen Hooks brauchen unter Linux zusätzlich jq. Fehlt jq, installiert der Installer trotzdem und endet mit Rückgabewert 3; dann prüfen laut Anleitung nur noch die vier Befehlssperren in Python. Fehlt Python, fragt jede Sperre nach, statt zu verweigern, und unter Codex bleibt der Befehl blockiert. Unter Codex muss die Sperre nach jedem Update erneut bestätigt werden; die Bestätigung fällt sonst ohne Warnung weg. Wer die Riegel prüfen will, schickt einen vorbereiteten Testbefehl an die Hook-Skripte; der Deploy-Riegel muss mit einer Verweigerung antworten. ## Grenzen, die der Anbieter nennt Die Versionshinweise listen offene Lücken: Seltene Schreibweisen über die Standardeingabe werden von Lösch- und Migrations-Riegel noch nicht gelesen, eine Anmelde-Shell ohne eigenen Befehl und Shells in Containern erfasst der Lösch-Riegel nicht, die ssh-Variablenerkennung stützt sich auf die Schreibweise und ist nicht vollständig, und Migrations- und Deploy-Riegel akzeptieren einen selbst geschriebenen Freigabebericht. Das Bedrohungsmodell ist laut Anbieter das Versehen, nicht der Vorsatz: Ein Assistent, der einen Riegel absichtlich täuschen will, wird mit einem weiteren Muster nicht aufgehalten. ## Häufig gestellte Fragen ### Kann ich einen Riegel für einen bestimmten Befehl umgehen? Beim Lösch- und beim Secrets-Riegel ja: mit einem angehängten Kommentar, der einen Grund nennt; ohne Grund zählt er nicht, und der Grund steht danach im Verlauf. Deploy- und Migrations-Riegel lassen sich so nicht umgehen; sie verlangen einen frischen Freigabebericht des Gates. ### Halten die Riegel auch Befehle an, die der Mensch selbst tippt? Nein. Sie laufen als Hooks des KI-Assistenten und prüfen dessen Werkzeugaufrufe. Was Sie selbst im Terminal eingeben, sieht kein Riegel. ### Was ist mit Pfaden in Variablen? Der Lösch-Riegel löst sie nicht auf, auch nicht bei einer Zuweisung in derselben Zeile. Er weist ab und verlangt den ausgeschriebenen Pfad. Das ist Absicht: Ein Riegel, der rät, ist keiner. ### Ersetzen die Riegel ein Backup? Nein. Sie verhindern eine Klasse von Versehen. Ein Backup bleibt die einzige Antwort auf alles, was sie nicht sehen. ## Weiterlesen in dieser Serie - [Code Guardian: Was das Prüfpaket für Claude Code und Codex wirklich tut](https://digital-zentral.de/code-guardian-claude-code-codex-ueberblick/) - [Die sieben Gates von Code Guardian erklärt](https://digital-zentral.de/code-guardian-sieben-gates-erklaert/) - [Code Guardian installieren: Claude Code, Codex, macOS, Linux, Windows](https://digital-zentral.de/code-guardian-installation-claude-code-codex/) - [Code Guardian im Alltag: Erfahrungen aus dem Betrieb von digital zentral](https://digital-zentral.de/code-guardian-erfahrungen-digital-zentral/) ## Code Guardian ansehen Alle Angaben zu Umfang und Lizenz stehen beim Anbieter: [Code Guardian bei Provimedia](https://www.provimedia.de/code-guardian?ref=YPmLYaNybstq)Anzeige. Mit dem Code **PARTNER-4B79** erhalten Sie 10 % Rabatt auf den Einmalkauf der Firmenlizenz (nicht auf das Update-Abo; Stand 4. November 2026). > Mit „Anzeige“ markierte Links sind Partnerlinks. Kommt darüber ein Kauf zustande, erhalten wir eine Provision. Der Preis ändert sich für Sie nicht. ## Quellen - [Code Guardian – Produktseite \(v17.16\)](https://www.provimedia.de/code-guardian), Provimedia GmbH - [Code Guardian 17.9: Neuerungen](https://www.provimedia.de/blog/code-guardian-17-9-neuerungen), Provimedia GmbH, 2026-10-12 - [Code Guardian 17.13: Neuerungen](https://www.provimedia.de/blog/code-guardian-17-13-neuerungen), Provimedia GmbH, 2026-10-26