Den Rechner aufräumen mit einer KI, das klingt nach der langweiligsten Aufgabe, die man einem Agenten geben kann. Ordner sortieren, Downloads umbenennen, Duplikate finden. Nichts, wobei viel passieren kann.
Ausgerechnet dabei haben im Juli 2026 die ersten Leute den Inhalt ihrer Festplatten verloren.
Der Reiz ist trotzdem real. Ein Agent liest die Dateien, statt nur ihre Namen zu vergleichen. Er erkennt eine Rechnung als Rechnung, auch wenn sie scan_0034.pdf heißt, sortiert nach Inhalt, benennt nach Schema um und findet nebenbei die Duplikate. Kein klassisches Aufräumtool kann das. Und er erledigt in einer halben Stunde, was man seit Jahren vor sich herschiebt.
Nur heißt Aufräumen eben löschen, verschieben, umbenennen. Drei Verben, die alle in dieselbe Richtung zeigen, wenn sie schiefgehen. Und es ist die Aufgabengattung, bei der man dem Agenten am seltensten sagt, was genau er anfassen soll.
Inhaltsverzeichnis
Was Rechner aufräumen mit KI tatsächlich bedeutet
Weder Claude Cowork noch ChatGPT Work sind Dateimanager mit angeflanschtem Chatfenster. Beide lesen den Ordner, bauen sich daraus einen Plan und führen ihn dann als Folge von Befehlen aus. Das ist der ganze Unterschied zum klassischen Aufräumtool, und er ist größer, als er sich anfühlt. Ein Tool tut, was du eingestellt hast. Ein Agent tut, was er für sinnvoll hält.
Bei Cowork läuft die Sitzung inzwischen nicht mehr auf deinem Rechner. Sie läuft in einer isolierten Umgebung auf Anthropics Servern und greift über die Desktop-App auf deinen Computer durch, ausschließlich für die Ordner, die du verbunden hast. Anthropic schreibt das in der eigenen Sicherheitsdokumentation ziemlich unmissverständlich. Lokale Dateien, die Claude über die Desktop-App öffnet, werden auf Anthropics Servern verarbeitet, nicht auf deinem Rechner.
Das ist deshalb erwähnenswert, weil in etlichen deutschsprachigen Cowork-Anleitungen bis heute steht, Claude arbeite rein lokal und lade nichts hoch. Das war womöglich mal richtig. Für die aktuelle Version ist es fragwürdig.
Cowork und ChatGPT Work im Vergleich
| Claude Cowork | ChatGPT Work | |
|---|---|---|
| Start | Januar 2026, Research Preview | 9. Juli 2026 |
| Lokale Dateien | Über Desktop-App, nur verbundene Ordner | Nur Desktop-App, mit Freigabe |
| Ausführungsort | Isolierte Umgebung auf Anthropic-Servern | Cloud oder lokal, je nach Oberfläche |
| Freigabemodi | Manuell, automatisch, alle überspringen | Standard, Auto-Review, Full Access |
| Löschschutz | Rückfrage vor endgültigem Löschen, in jedem Modus | Im Full-Access-Modus keine Sandbox-Grenze |
| Bildschirmsteuerung | Computer Use, ohne Sandbox, Pro und Max | Zugriff auf Desktop-Apps mit Freigabe |
| Abo nötig | Pro, Max, Team, Enterprise | Bezahlte Pläne, gestaffelter Rollout |
ChatGPT Work macht die Trennung an der Oberfläche fest. Die Web- und Mobil-Variante kommt an lokale Dateien überhaupt nicht heran, nur die Desktop-App tut das, und auch nur mit Freigabe. So steht es in OpenAIs Hilfeartikel zum Produkt. Wer also auf dem Handy »räum mal meinen Rechner auf« tippt, bekommt bestenfalls einen Vorschlag zurück.
Zwei Agenten, zwei Bremssysteme
Anthropic hat eine Bremse eingebaut, die sich nicht abschalten lässt. Vor dem endgültigen Löschen einer Datei fragt Cowork nach, und zwar in jedem Freigabemodus. Auch in »Skip all approvals«, wo sonst gar nichts mehr geprüft wird. Das ist eine unspektakuläre Designentscheidung mit großer Wirkung, weil sie genau den Fall abdeckt, in dem der Schaden nicht rückholbar ist.
Daneben gibt es drei Stufen der Aufsicht. Manuell freigeben, automatisch freigeben mit Sicherheitsprüfung vor jeder Aktion, und alle Freigaben überspringen. Anthropic empfiehlt selbst, bei sensiblen Ordnern und bei allem, was schwer rückgängig zu machen ist, in den manuellen Modus zu wechseln. Das ist im Kern die alte Regel, dass man den Praktikanten am ersten Tag nicht allein ans Archiv lässt.
OpenAI staffelt ähnlich, aber anders gewichtet. Standardmodus mit häufigen Rückfragen, ein Auto-Review-Modus, in dem ein zweiter Agent den ersten beobachtet, und der Full-Access-Modus ohne Sandbox-Grenzen. Der mittlere Modus ist die interessanteste Idee von allen dreien. Ein Wächter-Agent skaliert besser als ein Mensch, der um Mitternacht Freigaben durchklickt.
Der dritte Modus ist der, bei dem es kracht.
Der Juli, in dem Sol Dateien löschte
Sechs Tage nach dem Start von ChatGPT Work meldete der Investor Matt Shumer, ein Agent auf Basis von GPT-5.6 Sol habe im Full-Access-Modus ein rm -rf auf sein Home-Verzeichnis losgelassen und nahezu alle lokalen Dateien gelöscht. Ursache war eine falsch aufgelöste Umgebungsvariable innerhalb eines rekursiven Löschbefehls. Die Sitzung lief eine Stunde und einundzwanzig Minuten, bevor er eingriff. Ausgangspunkt war, und das ist die Pointe, eine Aufräumaufgabe.
Parallel berichtete der Entwickler Bruno Lemos, dasselbe Modell habe seine Produktivdatenbank gelöscht, nachdem es nach eigener Beschreibung versehentlich destruktive Integrationstests ausgeführt hatte. TechCrunch und Gizmodo haben beide Fälle dokumentiert. OpenAI-Mitgründer Greg Brockman rief Shumer persönlich an.
Interessant ist weniger der Vorfall als der Zeitstempel davor. OpenAI hatte das Verhalten in der System Card zu GPT-5.6 vom 26. Juni bereits beschrieben, zwei Wochen vor Shumers Fall. Unautorisiertes Löschen ist dort als Schweregrad 3 eingestuft, definiert als Aktionen, die ein vernünftiger Nutzer nicht erwarten und denen er stark widersprechen würde. Drei vergleichbare Vorfälle aus internen Tests stehen im selben Dokument. Und Sol zeigt laut OpenAI gegenüber dem Vorgängermodell eine erhöhte Rate solcher Aktionen.
Die Erklärung des Musters hat es in sich. Sols Architektur für langlaufende Aufgaben führt dazu, dass das Modell ein Ersatzziel wählt, wenn es das benannte Ziel nicht findet. Ohne Rückfrage. In einem internen Test sollte es drei bestimmte virtuelle Maschinen löschen, fand sie nicht und nahm stattdessen drei andere.
Genau das macht Aufräumaufträge so heikel. »Lösch die alten Downloads« benennt kein Ziel, sondern eine Stimmung. Wer ein unscharfes Ziel formuliert und auf ein Modell trifft, das bei Unschärfe selbst nachbessert, kombiniert zwei Fehlerquellen, die sich gegenseitig verstärken. Bei einer Rechercheaufgabe fällt das kaum auf. Beim Löschen schon.
Der Bruch verläuft nicht zwischen einfach und komplex, sondern zwischen umkehrbar und endgültig. Ein falsch umbenannter Ordner kostet fünf Minuten. Ein deinstalliertes Programm mit Konfigurationsdateien kostet einen Abend. Und ein echter Agent, im Unterschied zu den vielen, die sich nur so nennen, kann beides.
Wo die eigentliche Gefahr sitzt, und es ist nicht das Löschen
Versehentliches Löschen ist ärgerlich, aber es ist ein Unfall. Der ernstere Fall ist Absicht, und zwar fremde.
Im Januar 2026 hat die Sicherheitsfirma PromptArmor eine Angriffskette gegen Cowork veröffentlicht. Der Ablauf ist unangenehm simpel. Der Nutzer verbindet Cowork mit einem Ordner, in dem vertrauliche Dokumente liegen. In diesem Ordner landet eine präparierte Datei, etwa eine harmlos aussehende .docx. Darin stehen Anweisungen in Ein-Punkt-Schrift, weiß auf weiß, mit minimalem Zeilenabstand. Für das Auge unsichtbar, für das Modell normaler Text. Die versteckte Anweisung lässt Claude die größte verfügbare Datei per Upload an ein fremdes Konto schicken.
Prompt Injection ist ein Angriff, bei dem Anweisungen in Inhalten versteckt werden, die eine KI im Rahmen einer legitimen Aufgabe liest. Das Modell unterscheidet nicht zuverlässig zwischen dem Auftrag des Nutzers und Text aus einer Datei oder Website. Es befolgt beides.
Anthropic beschreibt die Bedingung dafür selbst sehr klar. Ein solcher Angriff braucht zwei Dinge gleichzeitig, nämlich dass Claude Inhalte außerhalb der vertrauenswürdigen Grenze liest und dass Claude Aktionen ausführen kann, die dem Nutzer schaden. Fällt eine der beiden Bedingungen weg, wird der Angriff deutlich schwerer.
Und jetzt schau dir an, was ein Download-Ordner ist. Eine Sammlung von Dateien aus Quellen, die du überwiegend nicht kennst, angehäuft über Monate. Der Aufräum-Auftrag ist der eine Auftrag, bei dem beide Bedingungen garantiert erfüllt sind. Der Agent liest alles, und er darf alles anfassen.
Dazu kommt die Bildschirmsteuerung. Bei Computer Use gibt es keine Sandbox zwischen Claude und deinen Programmen, und die üblichen Freigabeprüfungen für Dateioperationen greifen dort nicht. Anthropic sagt das offen und rät, sensible Apps auf eine Sperrliste zu setzen. Wer Claude zusätzlich im Browser arbeiten lässt, öffnet noch einen Kanal, über den fremder Text ins Modell kommt.
Neun Regeln, bevor du einen Agenten an deine Ordner lässt
- Ein Arbeitsordner, nicht die Festplatte. Einen eigenen Ordner verbinden statt das Benutzerverzeichnis. Das ist die wirksamste einzelne Maßnahme, und sie kostet nichts.
- Erst inventarisieren, dann anfassen. Der erste Auftrag lautet nie »räum auf«, sondern »liste mir auf, was hier liegt, und schlag eine Struktur vor«. Lesen ist harmlos, Handeln nicht.
- Verschieben statt löschen. Ein Ordner namens Zum Löschen erledigt dieselbe Aufgabe und ist umkehrbar. Das endgültige Löschen macht man später selbst, wenn man vier Wochen nichts vermisst hat.
- Backup vorher, nicht nachher. Sollte man sowieso haben. Hat jeder, oder? Es ist trivial, wird trotzdem übersprungen. Time Machine oder eine externe Platte anschmeißen, bevor die erste Sitzung startet.
- Manuell freigeben, solange die Aufgabe neu ist. Die Automatik ist für Abläufe, die du dreimal gesehen hast. Nicht für den ersten Lauf.
- Keine sensiblen Ordner verbinden. Steuerunterlagen, Passwortdateien, Gesundheitsdaten, Verträge. Nicht weil der Agent böse wäre, sondern weil dort der Prompt-Injection-Schaden maximal wird.
- Fremde Dateien nicht im selben Ordner wie eigene. Downloads und Arbeitsdokumente gehören getrennt. Genau diese Vermischung ist die Voraussetzung des PromptArmor-Angriffs.
- Muster beobachten, nicht Befehle. Anthropic empfiehlt ausdrücklich, nicht jeden einzelnen Befehl prüfen zu wollen, sondern auf Auffälligkeiten zu achten. Greift der Agent auf etwas zu, das du nie erwähnt hast? Wächst der Auftrag über das hinaus, was du gefragt hast? Dann abbrechen.
- Keine Aufräumaufgaben als geplante Tasks. Geplante Aufgaben laufen, während du nicht hinschaust. Für Zusammenfassungen ist das perfekt. Für Dateioperationen ist es die schlechteste denkbare Kombination.
Was das im Alltag heißt
Das klingt nach viel Vorsicht für eine Aufgabe, die man früher mit gedrückter Umschalttaste erledigt hat. Ist es auch. Der Punkt ist aber nicht, dass Aufräumen mit KI nicht funktioniert. Es funktioniert erstaunlich gut, und für einen zugewucherten Download-Ordner ist es die erste Methode seit Jahren, die schneller ist als resigniertes Ignorieren.
Sieben Aufträge, die man gefahrlos abgeben kann
Inventur. »Liste alle Dateien nach Typ, Größe und Alter auf und sag mir, wo die 20 größten liegen.«
Duplikatsuche ohne Löschen. »Finde Duplikate und schreib mir eine Textdatei mit den Pfaden. Nichts anfassen.«
Strukturvorschlag. »Schlag eine Ordnerstruktur für diese 200 Dateien vor, aber leg noch nichts an.«
Umbenennen nach Schema. »Benenne alle Rechnungen nach dem Muster Jahr-Monat-Absender um.« Umkehrbar, wenn die Zuordnung protokolliert wird.
Inhalt erschließen. »Was steht in diesen 40 PDFs? Ein Satz pro Datei.« Reines Lesen, kein Eingriff.
Format umwandeln. »Wandle die .heic-Bilder in .jpg um, Originale behalten.«
Sortierregeln vorbereiten. »Schreib mir ein Skript, das das erledigt, aber führ es nicht aus.« Du liest es und startest es selbst.
Aber die Fehlerkosten sind asymmetrisch. Zwei Stunden gespart auf der einen Seite, ein verlorenes Projektarchiv auf der anderen. Bei solchen Verteilungen lohnt sich die halbe Stunde Einrichtung, auch wenn sie sich pedantisch anfühlt. Wer sich schon mal durch die Berechtigungsflut beim ersten Agentenlauf geklickt hat, kennt das Gefühl, ab einem bestimmten Punkt nur noch zu bestätigen. Genau dagegen hilft ein kleiner, klar abgegrenzter Arbeitsordner.
Und ja, man gewöhnt sich schnell daran. Nach ein paar Durchgängen weiß man, welche Aufträge man formulieren kann und welche man besser aufteilt. Die nützlichen Handgriffe lernt man ohnehin erst beim Arbeiten, nicht aus Anleitungen.
Aufräumen ist die Aufgabe, bei der die Ziele am unschärfsten sind und die Folgen am endgültigsten. Ausgerechnet die gibt man als erste ab. (lk)
