---
term: "Tool Allowlist"
slug: "tool-allowlist"
glossar_id: "G447"
variants: []
category: "sicherheit-missbrauch-und-governance"
marker: ""
short: "Explizite Liste der erlaubten Tools."
sources:
  - label: "Anthropic: Subagents in the SDK"
    url: "https://code.claude.com/docs/en/agent-sdk/subagents"
  - label: "Model Context Protocol: Tools"
    url: "https://modelcontextprotocol.io/specification/2025-06-18/server/tools"
status: "entwurf"
updated: "2026-09-21"
---

Eine Tool Allowlist legt fest, welche Werkzeuge ein System oder ein Teilagent benutzen darf. Was nicht auf der Liste steht, ist nicht verfügbar, und zwar nicht als Verbot, sondern schlicht als fehlendes Angebot: Ein weggelassenes Werkzeug ist in der Sitzung gar nicht vorhanden. [Anthropic: Subagents in the SDK](https://code.claude.com/docs/en/agent-sdk/subagents)

## Wirksam, weil sie vor dem Prompt greift

Der Vorteil gegenüber Anweisungen ist grundsätzlich: Eine Anweisung kann übergangen werden, ein nicht vorhandenes Werkzeug nicht. Deshalb ist die Liste das erste Mittel, wenn ein Agent nur lesen oder nur in einem Bereich arbeiten soll.

Ergänzend empfiehlt die Protokollspezifikation, sichtbar zu machen, welche Werkzeuge einem Modell überhaupt zur Verfügung stehen. [Model Context Protocol: Tools](https://modelcontextprotocol.io/specification/2025-06-18/server/tools)

## So kannst du dir das vorstellen

Ein Schlüsselbund, auf den nur die Schlüssel kommen, die für die Aufgabe nötig sind. Die anderen liegen im Schrank, nicht in der Tasche. Das Bild erklärt die Beschränkung, nicht die Sorgfalt des Trägers.

## Was es in der Praxis bedeutet

Sinnvoll ist ein Zuschnitt je Aufgabe statt einer allgemeinen Liste: Recherche bekommt lesende Werkzeuge, ein Bearbeitungslauf zusätzlich schreibende, und jeder Schritt mit Außenwirkung eine Freigabe.

Für Teilagenten gilt dasselbe. Wer Aufgaben abgibt, sollte die Rechte nicht mitgeben, sondern enger fassen: Ein prüfender Teilagent braucht keine Schreibrechte.

## Wo es verwechselt wird

Eine Liste erlaubter Werkzeuge ist keine Rechteverwaltung: Was ein Werkzeug darf, entscheidet dessen eigene Konfiguration. Und sie ersetzt keine Freigabe, weil ein erlaubtes Werkzeug trotzdem Schaden anrichten kann.

## Verwandte Begriffe

**Action Space**, **Scoped Credentials**, **Approval Gate**, **Guardrails**, **Tool Catalog**, **Subagent**.