„Ab dem 14. August laufen neue Sitzungen in den Tarifen Pro, Max und Team im Auto-Modus.” Mit diesem einen Satz in seinem Produkt-Blog beendet Anthropic ein Experiment, das Anfang 2026 startete, und macht Autonomie zur Voreinstellung (Anthropic, Claude-Code-Blog). Der Auto-Modus in Claude Code war bislang eine Option, die man aktiv einschalten musste. Ab sofort gilt das Gegenteil: Wer nichts tut, bekommt einen KI-Agenten, der Dateien ändert, Befehle ausführt und mehrstufige Aufgaben selbst durchzieht, ohne bei jedem Schritt um Erlaubnis zu fragen.
Die Umstellung fällt in eine Phase, in der KI-Coding-Agenten so oft in Sicherheitsschlagzeilen stehen wie nie zuvor. Cato Networks deckte 2026 zwei kritische Lücken in Cursor mit dem Höchstwert CVSS 9,8 auf. Forscher fanden dasselbe Angriffsmuster in sechs verschiedenen KI-Assistenten. Für das zugrunde liegende Model Context Protocol meldeten Sicherheitsteams zwischen Januar und April 2026 mehr als 40 CVEs. Mehr Autonomie und mehr Angriffsfläche wachsen 2026 parallel, nicht nacheinander.
Dieser Artikel ordnet ein, was der Auto-Modus für Entwickler in Österreich bedeutet, welche Zahlen hinter Anthropics Entscheidung stehen, wie der Wettbewerb zwischen Claude Code, Cursor, GitHub Copilot und Windsurf aussieht und warum der Zeitpunkt mit dem Start der KI-Hochrisiko-Regeln der EU zusammenfällt.
Claude Code schaltet auf Autopilot: Was am 14. August passiert
Bis Anfang August 2026 mussten Nutzer den Auto-Modus in Claude Code manuell aktivieren. Anthropic dreht dieses Verhältnis nun um. Ab dem 14. August ist Auto-Modus der Standard-Berechtigungsmodus für neue Sitzungen, und zwar für alle Kundinnen und Kunden auf den Tarifen Pro, Max und Team. Bestehende Sitzungen laufen zunächst im bisherigen Modus weiter, doch jede neu gestartete Sitzung beginnt künftig autonom.
Nicht betroffen sind vorerst Claude Enterprise, die Claude API, die Claude Platform auf AWS Bedrock, Google Clouds Agent-Plattform und Microsoft Foundry. Dort bleibt Auto-Modus zunächst optional. Anthropic will die Umstellung dort laut eigener Ankündigung “innerhalb des kommenden Monats” nachziehen, was Großkunden ein Zeitfenster für interne Freigabeprozesse verschafft, bevor auch sie umgestellt werden.
Der Unterschied zwischen den beiden Gruppen ist kein Zufall. Einzelentwickler und kleine Teams testen neue Funktionen meist schneller. Unternehmen mit Compliance-Abteilungen brauchen länger, um eine Änderung dieser Tragweite freizugeben. Anthropic reagiert mit dem gestaffelten Rollout genau auf dieses Gefälle.
Was der Auto-Modus technisch verändert
Im bisherigen manuellen Modus unterbrach Claude Code seine Arbeit bei praktisch jedem Schritt: vor dem Bearbeiten einer Datei, vor jedem Terminalbefehl, vor jeder Paketinstallation. Nutzer mussten jede einzelne Aktion bestätigen. Anthropic beschreibt das neue Verhalten so: „Claude Code wird demnächst für die Tarife Pro, Max und Team standardmäßig im Auto-Modus laufen, was länger andauernde autonome Arbeit ermöglicht und in unseren Tests mehr gefährliche Befehle abfängt als eine manuelle Prüfung” (Anthropic, Claude-Code-Blog).
Im Auto-Modus entscheidet stattdessen ein Klassifikator, ob eine geplante Aktion weiterlaufen darf. Nur wenn eine Aktion als irreversibel, destruktiv oder auf ein Ziel außerhalb der eigenen Umgebung gerichtet eingestuft wird, hält das System an und fragt nach.
Welche Aktionen bleiben manuell?
Löschbefehle mit weitreichenden Folgen, Zugriffe außerhalb des aktuellen Projektordners und Aktionen, die sich nicht rückgängig machen lassen, bleiben bestätigungspflichtig. Alles andere, vom Bearbeiten einzelner Dateien bis zum Ausführen von Tests, läuft künftig ohne Zwischenfrage durch. Eine zweite, leisere Änderung betrifft die Kosten: Anthropic verlangt für die zusätzlichen Tokens, die der Sicherheits-Klassifikator im Hintergrund verbraucht, keinen Aufpreis mehr. Auto-Modus kostet Pro-, Max- und Team-Kunden also nicht mehr als der bisherige manuelle Modus.
Die Anthropic-Studie: 89 % gegen 13,6 % Trefferquote
Anthropic stützt die Umstellung auf eine eigene Studie mit 1.053 bezahlten Testern. Menschliche Prüfer erkannten im manuellen Modus im Schnitt nur 13,6 Prozent der gefährlichen Befehle, die ihnen vorgelegt wurden. Der automatische Klassifikator kam in derselben Testreihe auf 89 Prozent. Auffällig ist ein Detail am Rand der Studie: Die menschliche Trefferquote fiel nach rund 50 geprüften Prompts auf etwa 5 Prozent, ein klassisches Ermüdungsmuster bei repetitiven Freigabe-Dialogen.
Diese Zahlen kommen direkt von Anthropic, nicht von einer unabhängigen Prüfstelle. Das macht sie nicht automatisch falsch, doch es lohnt sich, sie mit dieser Einschränkung zu lesen. Ein Unternehmen, das Autonomie verkauft, hat ein offensichtliches Interesse daran, Autonomie auch statistisch zu rechtfertigen. Unabhängige Wiederholungsstudien zur 89-Prozent-Zahl liegen bislang nicht vor.
Der Kernbefund deckt sich trotzdem mit einem Muster, das Sicherheitsteams aus anderen Bereichen kennen. Menschen sind schwache Wächter bei repetitiven Freigabeentscheidungen. Warnmüdigkeit ist in der IT-Sicherheit ein alter Bekannter, etwa bei Firewall- oder SIEM-Alarmen, und taucht hier in neuer Form wieder auf.
Der Zeitpunkt ist kein Zufall: Eine Schwachstellen-Welle rollt durch die Branche
Während Anthropic mehr Autonomie verspricht, meldet die Sicherheitsbranche das Gegenteil. Angriffe auf agentische KI-Systeme sind seit Juli 2026 keine Theorie mehr. Nach Angaben von Adversa.ai haben vier voneinander unabhängige Teams seit Juli 2026 funktionierende Exploits gegen produktive KI-Coding-Agenten veröffentlicht. Der Einstiegspunkt war praktisch immer derselbe: Inhalte, die der Agent gelesen hat, nicht Code, den ein Angreifer selbst ausgeführt hat.
Das ist ein wichtiger Unterschied zu klassischer Software-Sicherheit. Ein KI-Coding-Agent liest E-Mails, Webseiten, Dateien in einem Repository oder Antworten von MCP-Servern und behandelt diese Inhalte als Kontext für seine nächste Entscheidung. Versteckt ein Angreifer eine Anweisung in genau diesem Kontext, kann er den Agenten steuern, ohne dass ein Nutzer je auf einen Link klickt.
DuneSlide und DeepJack: Cursors CVSS-9,8-Lücken
Das prominenteste Beispiel des Jahres kommt von Cato Networks. Das Team Cato AI Labs deckte zwei Schwachstellen in Cursor auf, veröffentlicht unter dem Namen “DuneSlide”: CVE-2026-50548 und CVE-2026-50549, beide mit dem höchstmöglichen Wert von CVSS 9,8. Cursor wird nach Angaben von Cato von mehr als der Hälfte der Fortune-500-Unternehmen eingesetzt, was die potenzielle Reichweite der Lücke erklärt.
Der Ablauf: Eine per Prompt-Injection versteckte Anweisung, etwa in der Antwort eines MCP-Connectors oder in einem Websuche-Ergebnis, entkommt der Terminal-Sandbox von Cursor und führt beliebige Befehle auf dem Rechner der Entwicklerin aus. Kein Klick, keine Bestätigung nötig. CVE-2026-50548 überschreibt den Sandbox-Helfer selbst, CVE-2026-50549 nutzt einen Fehler bei der Auflösung von Symlinks, um Dateien außerhalb des Projektordners zu schreiben. Cursor schloss beide Lücken mit Version 3.0 am 2. April 2026. Cato veröffentlichte die vollständigen technischen Details erst am 1. Juli 2026, wie in der Sicherheitsbranche bei koordinierter Offenlegung üblich.
Eine zweite, verwandte Lücke namens “DeepJack” betrifft Cursors Deeplink-Funktion. Verschachtelte cursor://-Links mit gezielt eingefügten Leerzeichen schieben eine bösartige MCP-Installationsanweisung im Bestätigungsdialog aus dem sichtbaren Bereich. Ein einziger Klick installiert dann einen von Angreifern kontrollierten, nicht sandboxed MCP-Server. Laut Adversa.ai ließ sich der Fehler zuletzt noch in Build 3.9.8 reproduzieren.
Die Symlink-Lücke und der GitHub-Vorfall: Sechs Assistenten, ein Muster
DuneSlide steht nicht allein. Sicherheitsforscher dokumentierten laut SecurityWeek ein systematisches Muster über sechs bekannte KI-Coding-Assistenten hinweg: Cursor, Windsurf, GitHub Copilot, Cline, Gemini CLI und die OpenClaw-Familie. Ein präpariertes Repository nutzt Symlinks, um den Agenten zum Schreiben außerhalb des eigentlichen Arbeitsbereichs zu bewegen, während der Freigabedialog dem Nutzer das tatsächliche Ziel verschweigt. Am Ende steht Remote Code Execution, unabhängig davon, welchen der sechs Assistenten man einsetzt.
Der gelöschte Datenbank-Vorfall
Auch Anthropics eigenes Produkt blieb 2026 nicht ohne Zwischenfall. Ein Nutzer berichtete öffentlich, binnen zehn Minuten in seiner ersten Claude-Code-Sitzung eine produktive Supabase-Datenbank verloren zu haben. Getrennt davon fiel auf, dass GitHubs Agentic Workflows Inhalte aus privaten Repositories las und als öffentlichen Kommentar postete, ein Datenleck durch Funktionsdesign statt durch klassischen Hack. Beide Fälle zeigen: Das Risiko bei agentischen Tools liegt selten in offensichtlicher Bösartigkeit, sondern in Automatisierung, die eine Absicherung zu wenig mitdenkt.
MCP-Protokoll unter Beschuss: 40 CVEs, 200.000 verwundbare Server
Ein Großteil der genannten Lücken hängt am selben Bauteil: dem Model Context Protocol, kurz MCP, mit dem KI-Agenten auf externe Werkzeuge und Datenquellen zugreifen. Zwischen Januar und April 2026 legten Sicherheitsforscher mehr als 40 CVEs gegen MCP-Implementierungen in Python-, TypeScript-, Java- und Rust-SDKs offen. Eine einzelne Advisory vom April 2026 schätzte, dass rund 200.000 aktive MCP-Server verwundbar waren.
Die Sicherheitsplattform Wiz erklärt das strukturelle Problem: MCP-Clients zeigen von Servern gelieferte Inhalte häufig direkt dem Nutzer an oder reichen sie ungeprüft an das Sprachmodell weiter. Ein einziger kompromittierter Server oder eine einzelne bösartige Tool-Beschreibung genügt damit für Angriffe, die klassische Anwendungssicherheit ohne direkten Speicherzugriff für unmöglich halten würde. Zu den dokumentierten Angriffsvektoren zählen serverseitige URL-Weiterleitungen, die zu Server-Side-Request-Forgery führen, sowie Session-Hijacking, bei dem Angreifer sich als legitimer Client ausgeben.
Marktvergleich: Claude Code gegen Cursor, Copilot und Windsurf
Trotz der Sicherheitsschlagzeilen wächst der Markt für KI-Coding-Werkzeuge weiter. Nach aktuellen Marktanalysen setzen mittlerweile 84 Prozent aller Entwickler irgendeine Form von KI-Unterstützung beim Programmieren ein, 70 Prozent davon nutzen parallel zwei bis vier verschiedene Werkzeuge. Ein verbreitetes Muster: Cursor für laufendes Editieren, Claude Code für komplexere, mehrstufige Aufgaben.
Bei Marktanteil, Umsatz und Nutzerzufriedenheit zeigt sich ein uneinheitliches Bild, je nachdem, welche Kennzahl man betrachtet:
| Tool | Nutzer / Umsatz | Primäre Werkzeugwahl (IdeaPlan, 2026) | “Most Loved” (JetBrains, Apr. 2026) |
|---|---|---|---|
| GitHub Copilot | 4,7 Mio. zahlende Abos (+75 % ggü. Vorjahr) | – | 9 % |
| Claude Code | – | 28 % | 46 % |
| Cursor | 2 Mrd. $ ARR, 1+ Mio. zahlende Nutzer | 24 % | 19 % |
| Windsurf | 1+ Mio. aktive Nutzer | – | – |
Hinweis: Die Werte stammen aus unterschiedlichen Erhebungen mit unterschiedlicher Methodik (IdeaPlan-Marktanteilsreport 2026, JetBrains-Umfrage April 2026, Unternehmensangaben) und sind daher nicht eins zu eins vergleichbar. Das Bild bleibt aber konsistent: GitHub Copilot führt bei reinen Abonnentenzahlen, Cursor beim Umsatz, Claude Code bei der Zufriedenheit.
Vom Autocomplete zum autonomen Agenten: Eine kurze Geschichte
Der Weg zum Auto-Modus begann deutlich unspektakulärer. GitHub Copilot startete 2021 als reines Autocomplete-Werkzeug: Es schlug einzelne Zeilen oder Funktionen vor, während der Mensch den Rest selbst schrieb und entschied. Ab 2022 kamen chatbasierte Assistenten dazu, die auf Nachfrage ganze Funktionen oder Erklärungen lieferten, ohne selbst in ein Projekt einzugreifen.
Der eigentliche Bruch kam 2024 und 2025 mit agentischen Werkzeugen: Systeme, die einen Auftrag entgegennehmen, selbstständig mehrere Dateien lesen und ändern und Terminalbefehle ausführen, jedoch mit einer Bestätigung vor jedem einzelnen Schritt. Der Auto-Modus markiert nun die nächste Stufe. Der Agent handelt zuerst und fragt nur noch in Ausnahmefällen nach. Von der Codezeile über den Chat bis zum autonomen Agenten hat sich die Rolle des Menschen in fünf Jahren vom Autor zum Aufseher verschoben. Mit dem 14. August wird auch die Aufsicht zur Ausnahme statt zur Regel.
Der EU AI Act trifft Österreichs Entwickler und Unternehmen
Für Unternehmen in Österreich fällt die Umstellung in eine besonders unglückliche Woche. Ab dem 2. August 2026 gelten die Regeln des EU AI Act für Hochrisiko-KI-Systeme. Artikel 50 verpflichtet unter anderem Anbieter von Chatbots und vergleichbaren Systemen zur Offenlegung, dass Nutzer mit einer KI interagieren. Für agentische Systeme wie KI-Coding-Agenten ist die Einstufung komplizierter: Ob ein Tool als hochriskant gilt, hängt vom konkreten Einsatzzweck, dem Grad der Autonomie und der Tragweite der getroffenen Entscheidungen ab, nicht vom Produkt allein.
Ein harmonisierter Standard, an dem sich Anbieter zertifizieren könnten, war laut Fachanalysen bis April 2026 noch nicht im EU-Amtsblatt veröffentlicht. Kein Anbieter kann sich also derzeit offiziell als AI-Act-konform bezeichnen. Was schon gilt: Artikel 12 verlangt für Hochrisiko-Systeme eine von Anfang an eingebaute Protokollierung mit einer Mindestaufbewahrung von sechs Monaten. Unternehmen, die Claude Code, Cursor oder vergleichbare Agenten produktiv einsetzen, sollten diese Pflicht schon jetzt mitdenken, unabhängig davon, ob ihr Agent formal als Hochrisiko-System gilt. Für österreichische Firmen kommt das zu bereits bestehenden Pflichten aus NIS2 und dem heimischen NISG 2026 sowie dem Cyber Resilience Act hinzu, drei Regelwerke, die 2026 gleichzeitig greifen.
Sicherheitsvorfälle bei KI-Coding-Agenten 2026 im Überblick
| Vorfall | Betroffenes Tool | Schweregrad | Zeitpunkt | Status |
|---|---|---|---|---|
| DuneSlide (CVE-2026-50548 / -50549) | Cursor | CVSS 9,8 | Patch 2.4., Offenlegung 1.7.2026 | Behoben in Cursor 3.0 |
| DeepJack (Deeplink-RCE) | Cursor | 1-Klick-RCE | 2026, Build 3.9.8 | Laut Adversa.ai weiter reproduzierbar |
| Symlink-Schwachstelle | Cursor, Windsurf, Copilot, Cline, Gemini CLI, OpenClaw | RCE via Workspace-Escape | 2026 | Herstellerabhängig behoben |
| MCP-SDK-Lücken (40+ CVEs) | MCP-Server (Python/TS/Java/Rust) | Divers, teils kritisch | Jan.–Apr. 2026 | ~200.000 Server laut Advisory verwundbar |
| GitHub Agentic Workflows | GitHub | Datenexposition | 2026 | Von GitHub bestätigt |
Stimmen zur Entscheidung und Marktauswirkungen
„Ab dem 14. August ist der Auto-Modus der Standard-Berechtigungsmodus für neue Sitzungen in den Tarifen Pro, Max und Team.”
Claude Code Docs, offizielle Dokumentation (Quelle)
Der Ton der Ankündigung ist nüchtern, fast beiläufig, für eine Änderung, die das Sicherheitsmodell des Produkts grundlegend umkehrt. Auch der offizielle Entwickler-Account des Unternehmens hielt sich an diesen sachlichen Ton: „Ab dem 14. August ist der Auto-Modus der Standard-Berechtigungsmodus in Claude Code für Pro-, Max- und Team-Nutzer” (ClaudeDevs, offizieller Entwickler-Account von Anthropic).
Außerhalb von Anthropic fällt die Einordnung vorsichtiger aus. InfoWorld beschreibt die Umstellung als Tauschgeschäft: mehr Produktivität und bessere Steuerungsmöglichkeiten für IT-Verantwortliche stünden einem veränderten Sicherheitsrisikoprofil gegenüber, das Unternehmen erst noch verstehen müssten. Der unabhängige Entwickler und vielgelesene KI-Kommentator Simon Willison ordnete die Umstellung in seinem Blog als konsequente, aber nicht überraschende nächste Stufe ein, nachdem Auto-Modus monatelang im Betatest lief.
Für den Markt bedeutet die Entscheidung vor allem Wettbewerbsdruck. Cursor, GitHub Copilot und Windsurf müssen zeigen, ob und wie sie auf einen Standard-Autonomiemodus reagieren, ohne die eigene Sicherheitsbilanz nach DuneSlide, DeepJack und der Symlink-Lücke zu verschlechtern. Für Unternehmenskunden verschiebt sich die Kernfrage von “Welches Tool schreibt den besseren Code?” zu “Welcher Anbieter kontrolliert Autonomie am verlässlichsten?”
Fünf Prognosen für die nächsten Monate
- Konkurrenzdruck bei der Autonomie: Cursor, GitHub Copilot und Windsurf dürften binnen weniger Monate eigene Standard-Autonomiemodi ankündigen, um nicht als das langsamere Werkzeug dazustehen.
- Mehr MCP-CVEs statt weniger: Mit mehr produktiven MCP-Servern und mehr Sicherheitsforschern, die gezielt danach suchen, dürfte die Zahl gemeldeter CVEs im zweiten Halbjahr 2026 weiter steigen.
- Cyberversicherer ziehen nach: Unternehmenspolicen dürften 2026/27 erstmals explizite Klauseln zu autonom handelnden KI-Coding-Agenten enthalten, inklusive möglicher Ausschlüsse bei ungeprüften Auto-Modus-Konfigurationen.
- Zwei-Klassen-Autonomie in Unternehmen: Solange Enterprise, API und die Cloud-Plattformen beim Opt-in bleiben, arbeiten Einzelentwickler autonomer als ihre eigenen Unternehmenskunden. IT-Abteilungen müssen diesem Spannungsfeld aktiv gegensteuern.
- AI-Act-Nachschärfung: Sobald ein harmonisierter Standard vorliegt, ist mit konkreteren Vorgaben speziell für agentische Coding-Werkzeuge zu rechnen, was heutige Protokollierungs- und Freigabeprozesse in Unternehmen erneut verändern wird.
Was Entwickler und Unternehmen jetzt tun sollten
Vor dem 14. August lohnt sich für Teams ein kurzer Check. Wer den bisherigen manuellen Modus behalten möchte, kann das in den Einstellungen von Claude Code weiterhin so konfigurieren. Auto-Modus ersetzt die Wahlmöglichkeit nicht, sondern nur die Voreinstellung. Sicherheitsverantwortliche sollten zusätzlich eigene MCP-Server gegen die 2026 gemeldeten CVEs prüfen, Symlink-Handling in eigenen Agenten-Workflows testen und Protokollierung für Hochrisiko-Anwendungen jetzt statt erst kurz vor einer Prüfung einrichten.
// Beispielhafte Struktur, um den Berechtigungsmodus bewusst zu setzen
// (exakte Syntax siehe aktuelle Claude-Code-Dokumentation)
{
"permissions": {
"defaultMode": "manual"
}
}
// "auto" ist ab 14. August 2026 die neue VoreinstellungFür Teams, die produktive Datenbanken oder Kundendaten an einen Agenten anbinden, gilt zusätzlich: Testumgebungen mit eingeschränkten Rechten sind 2026 kein optionales Extra mehr, sondern angesichts des gemeldeten Supabase-Vorfalls die Mindestabsicherung.
Related Coverage
- Five Eyes: KI-Bedrohung in Monaten, CISA 3-Tage-Patch [2026]
- NISG 2026: 5.000 Firmen, 10 Mio. € Strafe ab Oktober [2026]
- Cyber Resilience Act: 15 Mio. € Strafe ab 2026
- OAuth 2.0 in Node.js: 12 Schritte, 45 Min [2026]
- WebAuthn in Node.js: Passwortlos in 12 Schritten [2026]
Häufige Fragen zu Claude Code Auto-Modus und KI-Coding-Sicherheit
Was ist der Claude-Code-Auto-Modus genau?
Ein Berechtigungsmodus, in dem der KI-Agent Aktionen wie Dateiänderungen oder Terminalbefehle selbstständig ausführt, statt bei jedem Schritt eine Bestätigung einzuholen. Nur irreversible, destruktive oder nach außen gerichtete Aktionen lösen weiterhin eine Nachfrage aus.
Ab wann gilt der Auto-Modus als Standard?
Ab dem 14. August 2026, zunächst für neue Sitzungen auf den Tarifen Pro, Max und Team.
Welche Nutzer sind noch nicht betroffen?
Claude Enterprise, die Claude API sowie Claude auf AWS Bedrock, Google Clouds Agent-Plattform und Microsoft Foundry. Dort bleibt Auto-Modus vorerst optional, Anthropic kündigte eine Umstellung “innerhalb des kommenden Monats” an.
Kann ich den Auto-Modus deaktivieren?
Ja. Die Voreinstellung ändert sich, die Wahlmöglichkeit bleibt bestehen. Nutzer können in den Einstellungen weiterhin den manuellen Modus mit Bestätigung bei jedem Schritt aktivieren.
Ist der Auto-Modus wirklich sicherer als manuelle Freigaben?
Laut Anthropics eigener Studie mit 1.053 Testern schon: 89 Prozent Trefferquote beim Erkennen gefährlicher Befehle gegen 13,6 Prozent bei Menschen. Die Studie stammt allerdings vom Hersteller selbst, unabhängige Bestätigungen fehlen bislang.
Was war die DuneSlide-Schwachstelle in Cursor?
Zwei von Cato Networks entdeckte Zero-Click-RCE-Lücken (CVE-2026-50548 und CVE-2026-50549) mit CVSS 9,8, die über präparierte Inhalte die Terminal-Sandbox von Cursor umgingen. Beide wurden mit Cursor 3.0 im April 2026 geschlossen.
Was bedeutet der EU AI Act für Unternehmen, die KI-Coding-Agenten einsetzen?
Seit 2. August 2026 gelten Regeln für Hochrisiko-KI-Systeme, inklusive einer Protokollierungspflicht mit mindestens sechs Monaten Aufbewahrung nach Artikel 12. Ob ein konkreter Coding-Agent als Hochrisiko-System gilt, hängt vom Einsatzzweck ab, nicht vom Produktnamen.
Welches KI-Coding-Tool ist 2026 am beliebtesten?
Je nach Kennzahl unterschiedlich: GitHub Copilot führt bei zahlenden Abonnenten (4,7 Millionen), Cursor beim Umsatz (2 Milliarden Dollar ARR), Claude Code bei der Nutzerzufriedenheit mit 46 Prozent “Most Loved” laut JetBrains-Umfrage vom April 2026.
