Claude Code ohne Aufsicht starten mit der Windows-Aufgabenplanung

Wer Claude Code ohne Aufsicht unter Windows laufen lassen will, braucht dafür keine Agenten-Plattform. Die alte Windows-Aufgabenplanung startet es. Acht Einstellungen, die jede IT-Abteilung kennt, reichen für einen Betrieb rund um die Uhr, bei mir sogar für Teams aus Wächtern, Betreuern und Kritikern.

Wer KI-Agenten unbeaufsichtigt laufen lassen will, ob allein am eigenen Rechner oder in einer Bank, braucht vier Dinge: ein eigenes Konto, ein Zeitlimit, eine Rechteliste und ein Budget. Die Windows-Aufgabenplanung bringt die ersten beiden mit, Claude Code, das KI-Werkzeug von Anthropic für die Kommandozeile, die anderen beiden. Die Schnittstelle, die Microsoft für neue Programme empfiehlt, gibt es laut Dokumentation¹ seit Windows Vista.

Warum nicht die Zeitplanung der KI selbst?#

KI-Werkzeuge bringen eigene Zeitpläne mit. Für die Desktop-App von Claude beschreibt ein Fehlerbericht² vom Juli 2026, dass geplante Läufe unter Windows hängen blieben, an einem beobachteten Tag 28 von 28. Der Ausweg des Melders: die Windows-Aufgabenplanung mit claude -p, das laufe „einwandfrei“ (eigene Übersetzung). Im September 2026 schloss ein Bot den Bericht wegen Inaktivität, ohne Lösung.

Die modernste Software wird also von einer der ältesten gestartet. Und die alte läuft.

Die Rollen im Team#

• Arbeiter sind gewöhnliche Skripte. Sie holen Daten, prüfen, zählen. Keine KI, keine Kosten.
• Der Wächter schaut regelmäßig nach, startet Abgestürztes neu und beendet Hängendes. Auch er ist keine KI.
• Der Betreuer ist ein frischer KI-Lauf ein paar Mal am Tag: Protokolle lesen, Qualität prüfen, nächste Aufgabe aus dem Plan nehmen.
• Kritiker lesen, was ein anderer Agent gebaut hat, und dürfen es zurückweisen.

Die KI kommt nur dort ins Spiel, wo es um Urteil geht.

Claude Code in der Windows-Aufgabenplanung: acht Schritte#

1. Eigenes Konto statt deinem. Ein Agent läuft nicht mit den Rechten des Menschen, der ihn eingerichtet hat. Lege ein Konto nur für die Agenten an. Es braucht das Recht „Anmelden als Stapelverarbeitungsauftrag“ (englisch „Log on as a batch job“); von Haus aus haben es laut Microsoft³ Administratoren und Sicherungs-Operatoren. Gib es dem Agentenkonto gezielt, nicht die Adminrechte. Legt eine Gruppenrichtlinie das Recht fest (Benutzerrechtezuweisung), vergibt die Aufgabenplanung es nicht mehr selbst, das Konto muss dann dort eingetragen⁴ werden.
2. Anmeldeart bewusst wählen. „Unabhängig von der Benutzeranmeldung ausführen“ mit gesetztem Häkchen bei „Kennwort nicht speichern“ ist die Anmeldeart S4U (Service For User). Die Aufgabe läuft dann laut Microsoft⁵ auf einem nicht interaktiven Desktop, kein Kennwort wird gespeichert, aber es gibt keinen Zugriff aufs Netzwerk und auf verschlüsselte Dateien. Das passt für die Arbeiter, die nur lokal rechnen. Ein KI-Agent muss ins Netz, er braucht eine andere Anmeldeart, etwa ein Konto mit hinterlegtem Kennwort.
3. Zeitlimit setzen. Ohne eigene Angabe stoppt Windows eine Aufgabe erst nach 72 Stunden⁶. Ein Agent, der auf eine Antwort wartet, die nie kommt, hängt also drei Tage. Setze das Limit auf das, was ein Lauf wirklich braucht, etwa eine Stunde (PT1H).
4. Doppelstarts verbieten. Läuft der alte Lauf noch, darf kein zweiter starten. Die Einstellung heißt MultipleInstances⁷, der Wert „Keine neue Instanz starten“ (IgnoreNew).
5. Den Agenten ohne Chatfenster starten. claude -p erledigt eine einzige Aufgabe und beendet sich. Für Skripte empfiehlt Anthropic laut Doku⁸ zusätzlich --bare: Dann lädt der Lauf keine Hooks, Plugins oder Projektanweisungen, die zufällig im Ordner liegen,. Er braucht dann einen API-Schlüssel statt des Abo-Logins.
6. Rechte als Liste, nicht als Vertrauen. Nachts klickt niemand auf „Erlauben“. Mit --allowedTools legst du fest, was der Agent ohne Rückfrage darf, mit --disallowedTools verbietest du Befehle gezielt. --permission-mode dontAsk lehnt alles ab, was sonst eine Rückfrage auslösen würde. Für Läufe ohne Menschen gibt es seit Claude Code 2.1.259 --permission-prompts none: Der Agent erfährt, dass niemand freigeben kann, und versucht es nicht erneut.
7. Budget und Runden deckeln. --max-turns begrenzt die Arbeitsschritte und beendet den Lauf mit einem Fehler, --max-budget-usd die geschätzten Kosten. Laut Referenz⁹ können die Kosten den Deckel überschreiten, also Luft lassen. Mit --output-format json steht nach jedem Lauf total_cost_usd im Ergebnis. Schreib es ins Protokoll.
8. Auf den Rückgabewert hören. claude -p endet mit 0, wenn es geklappt hat, sonst mit einem anderen Wert. Daran erkennt der Wächter einen gescheiterten Lauf.

Dazu kommen zwei Regeln, die in keiner Doku stehen, sondern aus dem Betrieb: Wer baut, nimmt nicht ab. Jede Arbeit eines Agenten prüft ein anderer, frischer Agent. Banken kennen das als Vier-Augen-Prinzip. Und: Eine Datei hält alles an. Liegt sie im Ordner, startet kein Lauf mehr. Das versteht jedes Skript, auch eins ohne KI.

Der Preis: ein schwarzes Fenster#

Laufen die Aufgaben im eigenen Benutzerkonto, sieht man sie. Bei mir sprang immer wieder ein schwarzes Konsolenfenster auf und nahm den Cursor mit. Ausgerechnet der Schalter, der das verhindern soll, half nicht: powershell.exe -WindowStyle Hidden. Das Fenster blitzte trotzdem kurz auf.

Welche Aufgabe blitzt, zeigt dieser Befehl in PowerShell. Die Liste nennt zu jeder Aufgabe ihr Programm:

Get-ScheduledTask | Select-Object TaskName, @{n='Programm';e={$_.Actions.Execute}}

Verdächtig ist alles, was mit powershell.exe oder einer .cmd-Datei beginnt. Die Lösung: In der Aktion der Aufgabe wird conhost.exe das Programm, die Argumente beginnen mit --headless powershell.exe, danach folgen die alten. Für Python heißt der Weg pythonw.exe statt python.exe.

Achtung bei Einrichtungsskripten: Legt ein Skript die Aufgaben neu an, überschreibt es den Fix beim nächsten Lauf. Der Fix muss darum ins Skript, nicht nur in die Aufgabe.

Für Sicherheitssoftware sieht das aus wie Schadsoftware#

Ganz sauber ist der Fenster-Trick nicht. Ein Microsoft-Entwickler nannte 2022 in einem Fehlerbericht¹⁰ den direkten Aufruf von conhost mit seinen „(zugegebenermaßen undokumentierten)“ Argumenten „nicht gerade ‚offiziell‘ unterstützt“ (eigene Übersetzung); damals stürzte er in Vorabversionen von Windows 11 ab. Sicherheitsanbieter sehen darin ein Angriffsmuster. Die offene Regelsammlung Sigma hat dafür eine Erkennungsregel detection.fyi ↗, der Anbieter Elastic führt es als Tarntechnik elastic.co ↗ und räumt ein, dass harmlose Automatisierung genauso aussehen kann.

Für ein Unternehmen heißt das: Den Trick nur am eigenen Arbeitsplatz nutzen. Auf Servern sitzt niemand vor dem Bildschirm, dort braucht es ihn nicht. Und die Sicherheitsabteilung erfährt vorher, welche Aufgaben unsichtbar PowerShell starten, nicht erst durch einen Alarm.

Auf Laptops gilt Microsofts eigener Rat aus der Dokumentation zur Aufgabenplanung: „Verwende nie kurz getaktete Abfrage-Aufgaben auf Geräten mit Akku“ (eigene Übersetzung). Eine Aufgabe alle fünf Minuten halte das System vom Stromsparen ab. Ein Wächter gehört darum auf einen Rechner am Netzstrom.

Das Zuverlässigste ist der Wecker#

Konto, Zeitlimit und Doppelstart-Sperre hat die Aufgabenplanung längst eingebaut, Rechteliste und Budget liefert der Agent selbst. Eine neue Plattform braucht es dafür nicht, nur jemanden, der die Häkchen setzt.

Stand: 31.10.2026