Claude Code lässt Sessions miteinander reden: Agenten koordinieren sich künftig selbst
Ab Version 2.1.224 schicken sich Claude-Code-Sessions gegenseitig Nachrichten. Was übertragen wird und wie Unternehmen den Kanal begrenzen.
Wer mit KI-Werkzeugen entwickelt, kennt die Situation: In einem Terminal läuft eine Datenbankmigration, im zweiten wird an der Oberfläche gearbeitet, im dritten wartet ein Testlauf. Bisher war der Mensch die Verbindung zwischen diesen Fenstern - er hat Zwischenstände kopiert und Erkenntnisse weitergereicht. Das ist nicht mehr nötig: Mit Version 2.1.224 können Claude-Code-Sessions einander Nachrichten schicken, und zwar von sich aus, ohne dass jemand die Aufforderung dazu tippt. Anfang August 2026 wurde die Funktion dokumentiert.
Was tatsächlich übertragen wird
Eine Nachricht ist ein Stück Text, das eine Session einer anderen schreibt. Nicht der Gesprächsverlauf, nicht der Kontext, keine Dateien. Wer eine ganze Unterhaltung in ein anderes Fenster holen möchte, muss die Sitzung weiterhin fortsetzen statt eine Nachricht zu senden.
Technisch stehen dahinter zwei Werkzeuge: eines listet auf, welche Sessions erreichbar sind, das andere stellt einer davon eine Nachricht zu. Beide ruft das Modell selbst auf. Die typischen Fälle beschreibt Anthropic in der Dokumentation: eine Erkenntnis weitergeben, wenn eine Änderung die Arbeit an anderer Stelle betrifft, parallele Arbeitskopien eines Repositorys koordinieren, oder den Stand einer lang laufenden Aufgabe abfragen.
Die empfangende Session liest die Nachricht zwischen zwei Werkzeugaufrufen, ein laufender Vorgang wird also nie unterbrochen. Ist sie gerade untätig, startet sie damit einen neuen Durchgang.
Eine Nachricht von einer anderen Session gilt nie als Ihre Zustimmung, sie kann also keine offene Berechtigungsabfrage an Ihrer Stelle beantworten.
So steht es in der Dokumentation, und dieser Satz ist der eigentlich wichtige. Anthropic zieht an mehreren Stellen eine Grenze: Eine eingehende Nachricht darf keine Konfiguration ändern, keine Berechtigungen erweitern und keine Schrägstrich-Befehle ausführen - ein /compact im Text kommt als reiner Text an. Verlangt die Nachricht eine Aktion, für die der Empfänger keine Freigabe hat, erscheint dieselbe Rückfrage wie bei jeder anderen Arbeit.
Der Unterschied zwischen einem Rechner und mehreren
Für die Bewertung im Unternehmen ist der Übertragungsweg entscheidend, und er ist nicht einheitlich.
Laufen beide Sessions auf demselben Rechner, geht die Nachricht über einen Socket pro Session, der auf das Benutzerkonto beschränkt ist. Sie verlässt die Maschine nicht und läuft nie über Server von Anthropic. Sitzt die andere Session dagegen auf einem zweiten Rechner oder in der Web-Version, wandert die Nachricht über Anthropics Infrastruktur - und in diese Richtung sind ausschließlich Antworten möglich. Eine Unterhaltung über Rechnergrenzen hinweg kann von hier aus nicht begonnen werden.
Wer diesen Weg ganz ausschließen will, setzt isolatePeerMachines auf true. Dann ist eine ausdrückliche Freigabe nötig, bevor irgendeine Nachricht den Rechner verlässt, selbst in einem Modus, der sonst alle Rückfragen überspringt. Die Einstellung lässt sich aus jeder Konfigurationsebene einschalten, aber nicht wieder ausschalten - eine im Projekt hinterlegte Datei kann die Anforderung also verschärfen, nicht lockern.
Wer entscheidet, was ankommt
Auf der Empfangsseite steuert die Einstellung crossSessionInbound mit drei Werten, was mit eingehenden Nachrichten passiert: zustellen, zurückhalten oder verwerfen. Ist nichts gesetzt, entscheidet Claude Code anhand der Berechtigungsmodi beider Seiten. Der Gedanke dahinter: Sessions, die Berechtigungsabfragen überspringen, und Sessions, die nachfragen, gelten als zwei Klassen. Kommt eine Nachricht aus der jeweils anderen Klasse, wird sie nicht zugestellt, sondern zur Freigabe vorgelegt. Der Dialog dazu läuft nach fünf Minuten ab, danach wird die Nachricht verworfen.
Für Administratoren gibt es den harten Schalter. In den verwalteten Einstellungen lassen sich beide Werkzeuge organisationsweit sperren und der Empfang auf Verwerfen stellen. Der Socket wird dann zwar weiter gebunden, aber nichts davon erreicht das Modell. Bemerkenswert dabei: Eine Session, die Nachrichten verwirft, zeigt das nach außen nicht an - weder im eigenen Status noch in der Auflistung anderer Sessions. Ob die Sperre greift, lässt sich nur an der Konfiguration ablesen.
Zwei praktische Grenzen sind ebenfalls eingebaut. Zugestellte Nachrichten zählen wie ein selbst getippter Prompt zum Verbrauch, kosten also Geld. Und eine Endlosschleife zwischen zwei Sessions läuft nicht ewig: Wiederholungen werden gedrosselt, identische Nachrichten innerhalb kurzer Zeit verworfen und höchstens 50 wartende Nachrichten pro Session angenommen.
Wo die Funktion nicht ankommt
Die Voraussetzungen sind eng gesteckt. Nötig ist mindestens Version 2.1.224, und sie läuft nur auf macOS und Linux, einschließlich Linux unter WSL 2. Unter nativem Windows gibt es sie nicht.
Für Unternehmen relevanter ist die zweite Einschränkung: Über Amazon Bedrock, die Claude Platform auf AWS, Googles Agent Platform und Microsoft Foundry steht die Funktion nicht zur Verfügung. Wer Claude bewusst über einen Cloud-Anbieter bezieht, um Daten in einer bestimmten Umgebung zu halten, bekommt sie also gar nicht erst. Auch Container-Grenzen wirken: Eine Session im Container und eine auf dem Wirtssystem finden einander nicht, weil sie unterschiedliche Dateisysteme sehen.
Was das für Ihr Unternehmen heißt
- Aus Einzelwerkzeugen wird ein Verbund. Bisher war jede Session eine abgeschlossene Einheit, deren Wirkung am Terminalfenster endete. Jetzt kann eine Session eine andere zum Handeln bringen, ohne dass jemand dazwischensitzt. Das ist der eigentliche Sprung, nicht die Textnachricht.
- Der Übertragungsweg gehört in die Bewertung. Auf einem Rechner bleibt alles lokal, zwischen Rechnern läuft es über Anthropic-Server. Wer eine Datenschutzfolgenabschätzung erstellt hat, sollte diesen zweiten Fall darin wiederfinden oder ihn per Einstellung ausschließen.
- Entscheiden Sie bewusst, statt es laufen zu lassen. Die Funktion ist aktiv, sobald die Voraussetzungen erfüllt sind, es gibt nichts einzuschalten. Wer keine Regel setzt, hat die Standardregel - und die kennt kaum jemand im Detail.
- Automatisierte Läufe brauchen eine eigene Entscheidung. Ein unbeaufsichtigter Hintergrundlauf kann den Freigabedialog nicht anzeigen. Entweder er nimmt Nachrichten grundsätzlich an, oder er bleibt für sie unerreichbar. Etwas dazwischen gibt es nicht.
- Kosten steigen unauffällig. Jede zugestellte Nachricht zählt wie ein Prompt. Bei mehreren dauerhaft laufenden Sessions ist das ein Posten, der in keiner Planung steht.
- Über Cloud-Anbieter fällt die Funktion weg. Wer Claude über Bedrock, Google Cloud oder Microsoft Foundry nutzt, muss weiter selbst koordinieren. Für die Werkzeugauswahl ist das ein Kriterium mehr.
Einordnung für die Praxis
Der Schritt ist klein in der Umsetzung und groß in der Wirkung. Ein Textkanal zwischen zwei Prozessen ist technisch unspektakulär; dass zwei KI-Assistenten damit ohne Umweg über einen Menschen Arbeit aufeinander abstimmen, ist es nicht. Anthropic hat die Grenzen erkennbar mitgedacht - keine Genehmigungen, keine Konfigurationsänderungen, keine Befehlsausführung, gedrosselte Schleifen. Das ist die richtige Reihenfolge und deutlich mehr, als viele Agenten-Werkzeuge derzeit vorsehen.
Für die Praxis heißt das trotzdem: Wer mehrere Sessions parallel laufen lässt, sollte einmal festlegen, wer wem etwas schicken darf und ob Nachrichten den Rechner verlassen dürfen. Das sind zwei Zeilen Konfiguration und eine halbe Stunde Nachdenken. Wenn Sie gerade dabei sind, KI-Werkzeuge in Ihren Entwicklungsalltag zu holen, und dafür einen sauberen Rahmen suchen, sprechen Sie mich gern an.
