Glossareintrag
Wir denken. KI tippt mit.
Ein Hook bei KI/AI (Mehrzahl: Hooks, deutsch etwa „Haken“) ist eine Automatik, die an einem festen Punkt im Ablauf eines KI-Agenten anspringt. Solche Punkte sind zum Beispiel der Start einer Sitzung, jeder Werkzeug-Aufruf oder das Ende einer Antwort. Anthropic beschreibt sie in der deutschen Hooks-Referenz zu Claude Code so: „Hooks sind benutzerdefinierte Shell-Befehle, HTTP-Endpunkte oder LLM-Prompts, die automatisch an bestimmten Punkten im Lebenszyklus von Claude Code ausgeführt werden.“ Ein Hook setzt an einem laufenden Durchgang an. Den Durchgang startet entweder ein Mensch oder eine Routine, also ein stehender Auftrag nach Zeitplan oder Ereignis.
Der Unterschied zu einer Anweisung im Text ist die Verlässlichkeit. Eine Regel in einer Anweisungsdatei liest das Modell mit und befolgt sie meistens. Ein Hook läuft immer, weil ihn das Programm ausführt und nicht das Modell. Anthropic nennt das im Leitfaden zu Hooks „deterministic control: certain actions always happen rather than relying on the LLM to choose to run them“. Manche Hooks dürfen sogar eingreifen und einen Werkzeug-Aufruf abbrechen, bevor er passiert.
Der Begriff kommt aus der klassischen Softwareentwicklung und ist dort Jahrzehnte alt. Git-Hooks hängen an Aktionen wie Commit oder Push und können einen Commit abbrechen, WordPress-Hooks lassen Plugins und Themes an festgelegten Stellen in den Ablauf des Systems eingreifen. Im Deutschen bleibt das Wort unübersetzt. Die deutsche Fassung der Claude-Code-Doku schreibt „Hooks“, „Hook-Ereignisse“ und „Command-Hooks“. (Hinweis: Verwechselbar mit dem Webhook, bei dem ein Dienst eine fremde Internetadresse aufruft, sobald bei ihm etwas passiert. Ein Hook im Sinne dieses Eintrags steckt dagegen im Ablauf des Agenten selbst.)
Wie viele Einstiegspunkte es gibt, hängt am Programm. Die Hooks-Referenz von Claude Code listet am 11. September 2026 33 Ereignisse und ordnet die wichtigsten davon drei Rhythmen zu: einmal pro Sitzung, einmal pro Runde und bei jedem Werkzeug-Aufruf innerhalb der Agenten-Schleife. Die zentralen Ereignisse:
Die Liste wächst weiter. Zuletzt kamen laut Änderungsprotokoll von Claude Code am 28. August 2026 die Ereignisse PreModelSwitch und PostModelSwitch dazu, mit denen sich ein Modellwechsel blockieren, bestätigen oder kommentieren lässt. Eingeführt wurden Claude Code Hooks am 30. Juni 2025 mit Version 1.0.38.
Eingerichtet werden Hooks in einer Einstellungsdatei, nicht im Chat. Bei Claude Code liegt sie im eigenen Benutzerordner, im Projektordner oder als verwaltete Vorgabe der Organisation, die ein Nutzer nicht abschalten kann. Jeder Hook nennt sein Ereignis, optional einen Filter für das betroffene Werkzeug und die Art der Ausführung. Neben dem Shell-Befehl sind auch ein HTTP-Aufruf, ein MCP-Werkzeug, ein Modell-Prompt oder ein eigener Unteragent möglich. Für Entscheidungen, die Urteilsvermögen benötigen, empfiehlt Anthropic ausdrücklich die Prompt-Variante statt einer starren Regel. Ausgelöst wird auch die vom Programm. Die Entscheidung selbst trifft dann wieder ein Modell.
Der Eingriff selbst läuft über den Rückgabewert. Endet der Hook mit dem Wert null, geht alles seinen Weg, und seine Textausgabe kann bei einigen Ereignissen als zusätzlicher Kontext im Gespräch landen. Der Wert zwei blockiert, allerdings nur bei Ereignissen, die überhaupt blockieren können. Dort setzt er sich laut Referenz auch gegen eine anderslautende JSON-Antwort durch, bei den übrigen Ereignissen bleibt er wirkungslos. Wer feiner steuern will, gibt eine JSON-Antwort zurück, in der eine Entscheidung wie „deny“ samt Begründung steht. Die Begründung liest das Modell mit und kann seinen Weg anpassen, statt einfach zu scheitern.
Andere Anbieter haben das Prinzip übernommen, jeder mit eigenem Namen. OpenAI beschreibt in der Hooks-Dokumentation für Codex zwölf Ereignisse und nennt als Einsatzzwecke das Protokollieren von Chats, das Abfangen versehentlich eingefügter Zugangsschlüssel und eigene Prüfungen am Ende einer Runde. Googles Gemini CLI nutzt ein eigenes Schema mit Namen wie BeforeTool und AfterModel, wobei AfterModel laut Ereignistabelle zum Filtern und Redigieren der Antwort gedacht ist. Cursor führte Hooks am 29. September 2025 mit Version 1.7 zunächst als Beta ein und trennt sie nach Oberflächen, damit für die automatische Code-Vervollständigung andere Regeln gelten können als für den Agenten. Antigravity kommt mit fünf Ereignissen aus, Amazons Kiro knüpft sie zusätzlich an Dateiaktionen des Agenten.
Ein gemeinsamer Standard ist daraus bisher nicht geworden. Die Spezifikation Agent Plugins 1.0 lässt Hooks ausdrücklich draußen. Vorgeschlagene Bestandteile wie Befehle, Hooks, Agenten, Regeln und LSP-Server seien „too client-specific for a stable portable contract“ und blieben außerhalb des portablen Formats, bis sich die Formate annähern. Mitreisen dürfen Hooks in einem Paket trotzdem, aber nur in einem Unterordner, der einem einzelnen Programm gehört. Angenähert haben sie sich dennoch, nur ohne Papier. GitHub Copilot akzeptiert die Ereignisnamen in zwei Schreibweisen: Die eine passt zum Format der Visual-Studio-Code-Erweiterung, und für die Filter übernimmt Copilot die Semantik von Claude Code. Cursor liest Hooks aus Claude Code mit, Copilot liest dessen Einstellungsdateien, und Codex setzt für Plugin-Hooks sogar die Umgebungsvariablen von Claude Code.
Weil ein Hook eigenen Code ausführt, ist er der heikelste Teil eines Plugins. Anthropic schreibt es in der deutschen Referenz unmissverständlich: „Command-Hooks führen Shell-Befehle mit Ihren vollständigen Benutzerberechtigungen aus. Sie können alle Dateien ändern, löschen oder zugreifen, auf die Ihr Benutzerkonto zugreifen kann.“ Wie ernst das ist, zeigt ein Fall von Check Point Research. Der Bericht „Caught in the Hook“ vom 25. Februar 2026 beschreibt, wie ein Hook aus der Einstellungsdatei eines fremden Projekts sofort ein Programm startete, nachdem die Tester das Projekt einmal bestätigt hatten, ohne weitere Rückfrage und ohne Warnung. Aus dem Öffnen eines heruntergeladenen Projekts wurde so Codeausführung auf dem Rechner. Anthropic führt diese Lücke als Sicherheitshinweis GHSA-ph6w-f82w-28w6 und schloss sie mit einem verschärften Warndialog für fremde Konfigurationen. Zwei weitere Lücken desselben Berichts tragen die CVE-Nummern CVE-2025-59536 und CVE-2026-21852.
Aus dieser Erfahrung folgen die Vertrauensmodelle der Anbieter. Codex verlangt für jeden Hook, der nicht von der Firmen-Verwaltung kommt, eine ausdrückliche Freigabe und merkt sich dabei den Prüfwert der Hook-Definition. Ändert sich der Hook, muss er erneut geprüft werden. Für Pakete gilt dort wörtlich, dass die Installation eines Plugins seine Hooks nicht automatisch vertrauenswürdig macht. Codex überspringt sie bis zur Freigabe. Bei Copilot sind Hooks der Firmen-Verwaltung dem Endnutzer entzogen, und ein abgestürzter Wächter-Hook verbietet den Werkzeug-Aufruf, während eine Zeitüberschreitung ihn durchlässt. Bremsen darf nicht jedes Ereignis. Bei Gemini CLI kann ein Hook am Sitzungsstart Kontext einspeisen, den Start selbst aber nicht verhindern, und Benachrichtigungen sind dort rein beobachtend.
Hooks sind der Teil des KI-Baukastens, den ein Betrieb selten selbst baut, aber regelmäßig freigibt. Im normalen Chat von ChatGPT oder Claude gibt es sie nicht. Anthropic hält in seiner Hilfe zu Plugins fest, dass Hooks und Unteragenten aus einem Plugin nur in Claude Cowork laufen. Wer also ein Plugin installiert, sollte wissen, dass genau dieser Bestandteil eigene Befehle auf dem Rechner ausführt, während Skills und Anbindungen nur Text und Schnittstellen mitbringen.
Bei der Installation eines Plugins ist die Liste der enthaltenen Hooks deshalb die Stelle, an der man langsam liest. Codex verlangt für jeden davon eine einzelne Freigabe, und die gilt nur für den geprüften Stand. Kommt ein Paket von einem Dienstleister oder aus einem freien Katalog, gehört diese Freigabe nicht nebenbei weggeklickt.
Den direkten Nutzen erlebt ein Betrieb dort, wo jemand mit einem Agenten wirklich arbeitet, z. B. in der Werkstatt-EDV, bei einer IT-Betreuung oder in einer Agentur, die für den Betrieb entwickelt. Die Beispiele aus dem Leitfaden von Anthropic lassen sich unmittelbar in Betriebsanliegen übersetzen:
Der Unterschied zu einem Skill liegt im Auslöser. Ein Skill liefert das Wissen, wie eine Aufgabe abläuft. Angestoßen wird sie von einem Menschen. Ein Hook benötigt niemanden, der ihn aufruft, er hängt am Ereignis. Für die Prüfung gilt damit eine andere Reihenfolge. Beim Skill liest man den Anweisungstext, beim Hook den Befehl.
Drei Punkte, die vor dem Einsatz geklärt sein sollten:
Wer ein Plugin aus einem freien Katalog einsetzt, sollte den Hook-Teil als Programmcode behandeln und nicht als Einstellung. Die Prüfung fällt leichter aus, weil in der Regel ein einzelner Befehl pro Ereignis dort steht. Versteht man ihn nicht, ist das schon die Antwort, denn eine versteckte Anweisung in einer solchen Datei ist ein bekannter Weg für eine Prompt Injection.
