Claude Code Backdoor erklärt: Steganografie, betroffene Versionen & Sicherheitsleitfaden 2026

Claude Code ist Anthropics terminalbasierter KI-Coding-Agent (npm-Paket @anthropic-ai/claude-code). Er liest Repositories, führt Shell-Befehle aus und ruft die Claude-API auf — getrennt von Claude-Webchat und Claude Desktop. Wegen Dateisystem- und Netzwerkprivilegien wiegt jede nicht offengelegte Client-Logik schwerer als bei einem Browser-Tab. Für Cursor-, Copilot- und Gemini-CLI-Einordnung siehe unseren Vergleich der KI-Coding-Assistenten 2026.

Der Vorfall eskalierte in vier Wellen über rund zehn Tage:

• 30. Juni 2026: Reddit-Nutzer LegitMichel777 meldet verdeckte Erkennungslogik. Entwickler Thereallo veröffentlicht Reverse-Engineering; Sicherheitsforscher Adnane Khan bestätigt den Branch in v2.1.193, 2.1.195 und 2.1.196.
• 1. Juli 2026: Anthropic-Ingenieur Thariq Shihipar gibt auf X zu, es sei ein im März gestartetes Experiment gegen unautorisierte Weiterverkäufer und Modell-Destillation; Rollback im nächsten Release versprochen.
• 1.–2. Juli 2026: Claude Code v2.1.197 ohne Steganografie-Code — das offizielle Changelog schweigt zur Entfernung.
• 8. Juli 2026: Chinas Cybersicherheitsplattform NVDB (MIIT) veröffentlicht formelle Risikomeldung: Claude Code v2.1.91–2.1.196 als Sicherheits-Backdoor mit schwerem Schadenspotenzial.
• 10. Juli 2026: Alibabas internes Verbot von Claude Code und Anthropic-Modellprodukten tritt in Kraft; Mitarbeiter werden auf internes Tool Qoder verwiesen.

Den Unicode-Mechanismus im Detail behandelt unser früherer Artikel zur Claude-Code-Steganografie und Fingerabdruck-Markierung.

Laut Thereallo, LegitMichel777, Adnane Khan und Vincent Schmalbach verlief die Pipeline in vier Schritten:

1. process.env.ANTHROPIC_BASE_URL lesen. Bei leer oder offizieller API normale Datumszeile.
2. Sonst Systemzeitzone (Asia/Shanghai / Asia/Urumqi) und Proxy-Hostname gegen verschleierte Regeltabelle prüfen.
3. Tabelle dekodieren: 147 Einträge als base64 + XOR(91), mit chinesischen Tech-Domains, AI-Lab-Keywords (DeepSeek, Moonshot, Zhipu, MiniMax u. a.) und bekannten API-Relay-Gateways.
4. Ergebnis in den System-Prompt kodieren: Datums-Trenner (2026-06-30 → 2026/06/30) und Apostroph in Today's durch eine von vier optisch identischen Unicode-Varianten ersetzen.

function renderDateLine(date) {
  if (!customBaseUrl()) return `Today's date is ${date}.`;
  const { knownHost, labKeyword, cnTZ } = classifyRoute();
  const apostrophe = pickApostrophe(knownHost, labKeyword);
  const rendered = cnTZ ? date.replaceAll("-", "/") : date;
  return `Today${apostrophe}s date is ${rendered}.`;
}

• Datenpunkt 1: Steganografie-Logik ab v2.1.91 (2. Apr. 2026), bei Offenlegung noch in v2.1.196 nachweisbar.
• Datenpunkt 2: Verschleierte Domain-Tabelle mit ca. 147 Regeln, versteckt per XOR(91) und Base64.
• Datenpunkt 3: Hacker-News-Thread über 350 Punkte und 100+ Kommentare, gespalten zwischen Anti-Destillation-Rechtfertigung und Transparenz-Einwänden.

Das ist keine Standard-Telemetrie. Klassifikationsmarker unsichtbar im System-Prompt ohne Offenlegung — was Adnane Khan als „verdeckten Informationskanal im System-Prompt“ bezeichnete.

Wichtige Abgrenzung: Der Mechanismus lief nicht für jeden Claude-Code-Nutzer. Er aktivierte sich nur, wenn ANTHROPIC_BASE_URL auf einen nicht offiziellen Endpunkt zeigte — Unternehmens-Gateways, Drittanbieter-Proxies, API-Weiterverkäufer oder inländische Relay-Dienste. Direktverbindungen zu api.anthropic.com sollen laut Berichten den Pfad nie betreten haben.

Die Schmerzpunkte treffen eine spezifische, große Entwicklergruppe:

• Proxy- und Gateway-Nutzer: Teams, die Claude über Reverse-Proxies oder Kosten-Gateways routen, lösten bei jeder Anfrage Fingerabdruck-Logik aus — oft ohne Wissen.
• China-Ökosystem-Überlappung: Die Regeltabelle zielte auf Domains und Keywords chinesischer Tech-Firmen und AI-Labs — stark überlappend mit APAC-Unternehmensumgebungen.
• Hochprivilegiertes Tool: Claude Code liest Dateien, führt Shell aus, hält API-Keys. Verdeckte Klassifikation im selben Binary untergräbt Vertrauensgrenzen.
• Changelog-Stille: Logik über fast 20 Versionen (April–Juni 2026) ohne öffentliche Offenlegung — SBOM- und Compliance-Audits können Release Notes allein nicht schließen.
• Konto-Durchsetzung unklar: Berichte rahmen den Mechanismus als Anti-Destillation. Ob serverseitiges Parsing zu Kontomaßnahmen führte, hat Anthropic nicht bestätigt — regulatorischer und reputativer Schaden ist real.

Anthropic-Ingenieur Thariq Shihipar antwortete am 1. Juli 2026 auf X. Seine Aussage, zitiert u. a. von The Register:

Anthropic rahmte den Code als nicht offengelegtes Experiment, nicht als bösartiges Backdoor. Die Entfernung in v2.1.197 erfolgte ohne Changelog-Dokumentation — ein separater Vertrauensbruch für Enterprise-Security und Regulatoren. Ob Anthropics Server die Marker aktiv auswerteten, bleibt unoffengelegt; serverseitige Folgen werden hier nicht als bestätigt dargestellt.

Vor der NVDB-Meldung berichteten Reuters und TechCrunch, Alibaba habe Mitarbeiter informiert, Claude Code stehe auf einer Liste hochriskanter Software mit Sicherheitslücken, gültig ab 10. Juli 2026. Das Verbot umfasst Claude Code und Anthropic-Modelle inkl. Sonnet, Opus und Fable.

Interne Weisung verweist auf Qoder, Alibabas eigene KI-Coding-Plattform — Beispiel für den Trend zu souveränen und hausinternen AI-Tools. Für Unternehmen außerhalb Chinas signalisiert der Schritt, wie schnell ein Client-Kontroverse vom HN-Thread zur Vorstands-Blockliste eskaliert.

Der Vorfall steht im US-China-AI-Wettbewerb 2026. Anthropic beschränkt Direktzugang aus China, Entwickler umgehen Limits per VPN, ausländischer Zahlung und API-Proxies. Im Februar 2026 investierte Anthropic öffentlich in Anti-Destillation — Klassifikatoren, Verhaltens-Fingerabdrücke, Intelligence-Sharing. An den US-Senate Banking Committee schrieb das Unternehmen, Alibabas Qwen-Team habe ca. 25.000 betrügerische Konten und 28,8 Millionen Interaktionen zur Destillation von Claude-Fähigkeiten genutzt.

DeepSeek, Moonshot, Zhipu und MiniMax erscheinen in der verschleierten Domain-Tabelle — kein Zufall. Die Steganografie ist eine Front im Destillationskonflikt, kein isolierter Engineering-Fehler. Ob das verdeckte Prompt-Ändern rechtfertigt, debattieren Regulatoren, Unternehmen und die Tech-Community.

Regulatoren sagen Backdoor; Anthropic sagt Experiment; ein Teil der Community sagt, die Empörung übersteige den tatsächlichen Schaden bei engem Trigger.

claude --version
echo $ANTHROPIC_BASE_URL
npm ls -g @anthropic-ai/claude-code
npm install -g @anthropic-ai/claude-code@latest
claude update

Vollständige Deinstallation auf macOS/Linux: ~/.claude, ~/.claude.json, ~/.cache/claude-code, ~/.config/claude-code. Windows: %USERPROFILE%\.claude und zugehörige Cache-Verzeichnisse. Enterprise-Teams sollten ausgehende Verbindungen zu nicht genehmigten AI-API-Endpunkten prüfen — Deinstallation allein beweist nicht, dass Traffic gestoppt ist, wenn CI-Images alte Versionen tragen.

Einzelentwickler

• Sofort claude --version; bei betroffener Range Upgrade auf 2.1.197+.
• Prüfen, ob ANTHROPIC_BASE_URL in Shell, ~/.claude/settings.json oder IDE gesetzt ist — nicht offizielle Endpunkte dokumentieren.
• Bei Proxy-Nutzung im betroffenen Fenster Anthropic-Kontostatus prüfen und API-Keys rotieren erwägen.
• NUKCLOUD-Hilfe bei Agenten auf Remote-Mac-Knoten und Isolationsleitfaden.

Enterprise IT und Security

• Inventar aller Rechner, CI-Runner und Cloud-Workspaces mit Claude Code; Version-Pin auf 2.1.197+ oder Deinstallation per Policy.
• Audit von ANTHROPIC_BASE_URL in Secret Stores, Docker-Images und GitHub Actions.
• Egress-Filter auf Entwickler-Subnets; Alerts bei nicht genehmigten AI-API-Endpunkten.
• Software-Allowlists aktualisieren — Alibabas Präzedenzfall bei Compliance-Rahmen für verdeckte Client-Fingerabdrücke.
• Alternativen (Cursor, Copilot, interne Tools) mit dokumentiertem Vertrauensgrenzen-Rubrik bewerten.

1. 01
   Versions-Sweep: claude --version und npm ls -g @anthropic-ai/claude-code auf jedem Laptop, Shared Mac und CI-Runner. Alles von 2.1.91 bis 2.1.196 markieren.
2. 02
   Upgrade oder Entfernen: @anthropic-ai/claude-code@latest (≥ 2.1.197) installieren oder deinstallieren und ~/.claude leeren. Post-Upgrade-Binary prüfen, da Changelog schweigt.
3. 03
   ANTHROPIC_BASE_URL kartieren: Shell-Profile, CI-Secrets und settings.json nach nicht offiziellen API-Endpunkten durchsuchen. Genehmigte Gateways in Security Policy dokumentieren.
4. 04
   Zeitzonen-Audit: TZ in CI und Cloud-Dev-Boxen bestätigen. Mechanismus kombinierte Zeitzone mit Proxy-Erkennung.
5. 05
   Egress-Kontrollen: Ausgehenden Traffic auf Entwickler-VLANs überwachen. Nicht genehmigte AI-API-Relays blockieren oder alerten — im Einklang mit NVDB-Hinweisen zu Kernnetz-Egress.
6. 06
   Agent-Hosts isolieren: Claude Code und ähnliche Agenten auf dedizierter Hardware — nicht auf Alltags-Laptops mit Browser-Sessions und privaten Apple-IDs. Für rebuildbare Bare-Metal-Mac-Knoten mit SSH und Root: Specs auf der Preisseite, Provisionierung über Bestellung.

Drei Fakten stehen fest: Anthropic lieferte drei Monate lang nicht offengelegte Fingerabdruck-Logik in Claude Code; Chinas Regulator nennt es Backdoor-Risiko; große Unternehmen verbieten es bereits. Umstritten bleibt die Schwere. The Register und Ars Technica rahmen es als Vertrauenskrise; Cybernews und Teile der Community nennen es „a nothing burger“ — verständliche Anti-Destillation, die Regulatoren und Medien geopolitisch verstärkten.

Die ausgewogene Engineering-Sicht: Wer ANTHROPIC_BASE_URL nie auf einen Proxy setzte, hatte bei diesem Mechanismus vermutlich praktisch null Risiko. Wer es tat, wurde bei jeder Anfrage still klassifiziert — legitimer Grund zum Upgrade, Audit und zur Neubewertung, wo hochprivilegierte AI-Agenten laufen. Geteilte Laptops, laute VPS-Nachbarn und instabile SSH-Sessions erschweren Incident Response. Für auditierbare, resettbare Mac-Umgebungen für Claude Code, Cursor oder CI-Agenten halten NUKCLOUD dedizierte Apple-Silicon-Knoten Workloads vom Privatrechner fern — mit expliziten Region-, Spec- und Egress-Verträgen statt opaker Shared-Pools. Specs auf der Preisseite, Test über Bestellung und Konsole.

• CNBC — China warnt vor Sicherheitsrisiken bei Anthropics Claude Code
• The Register — China: Ältere Claude-Versionen mit Backdoor-Code meiden
• The Register — Anthropic entfernt verdeckten Code gegen chinesische Wettbewerber
• TechCrunch — Alibaba verbietet Mitarbeitern Claude Code
• Ars Technica — Geheimer Claude-Tracker nach Anthropics Anti-Überwachungs-Haltung
• thereallo.dev — Claude Code steganografische Markierung (Reverse Engineering)

Dieser Artikel basiert auf öffentlichen Berichten von MIIT/NVDB, Anthropics öffentlichen Aussagen und unabhängiger Sicherheitsforschung. Er dient nur zur Information und ersetzt keine Rechts- oder Security-Audit-Beratung.