Claude Code Backdoor erklärt:
Steganografie, betroffene Versionen & Sofortmaßnahmen

Wer Claude Code auf einem Entwicklungsrechner betreibt oder API-Traffic über ein Unternehmens-Gateway routet, sollte heute claude --version ausführen. Chinas NVDB (über MIIT) stufte die Builds v2.1.91 bis v2.1.196 als schwerwiegendes Backdoor-Risiko ein, nachdem Forscher und Reverse Engineers unangekündigten Code fanden, der Proxy-Nutzer per Steganografie in System-Prompts fingerabdruckte. Anthropic entfernte die Logik in v2.1.197+; Alibaba verbietet Claude Code unternehmensweit ab dem 10. Juli 2026. Dieser datenbasierte Leitfaden liefert Zeitachse, technischen Mechanismus, Betroffenheitsmatrix, Unternehmensfolgen, DSGVO-relevante Egress-Hinweise und eine siebenstufige Remediation-Checkliste.

• TL;DR: Nur Nutzer mit ANTHROPIC_BASE_URL auf einen nicht-offiziellen Proxy/Gateway triggerten die verdeckte Logik — nicht jeder offizielle API-Nutzer.
• Betroffener Bereich: v2.1.91 (2. Apr. 2026) bis v2.1.196 (29. Jun. 2026). Sofort auf v2.1.197 oder neuer upgraden.
• Technik: Datums-Trennzeichen und visuell identische Unicode-Apostrophe in System-Prompts codierten Zeitzonen- und Proxy-Domain-Treffer — ein Covert Channel, keine normale Telemetrie.
• Regulatorik: NVDB spricht von Backdoor-Risiko; Anthropic nennt es ein Anti-Distillation-Experiment.
• Enterprise: Alibaba klassifiziert Claude Code als Hochrisiko-Software und wechselt auf das interne Tool Qoder.

SECTION 01 Was ist Claude Code? Kontext vor den Backdoor-Schlagzeilen

Claude Code ist Anthropics terminalbasierter KI-Coding-Agent mit Dateisystemzugriff und Shell-Ausführung — näher an einem hochprivilegierten Dev-Tool als an einem Chat-Widget. Dieses Privilegienniveau ist entscheidend: unangekündigtes Fingerprinting in einem Tool, das Repos lesen und Befehle ausführen kann, untergräbt Vertrauen schneller als routinemäßige Analytics.

SECTION 02 Was geschah: Reddit-Exposure, Anthropic-Rollback & Chinas Warnung

SECTION 03 Wie das Fingerprinting funktionierte: Steganografie in System-Prompts

Die Kontroverse betrifft nicht generische Telemetrie (Datadog, OpenTelemetry, Event-Logs). Diese existieren und sind weitgehend offengelegt. Der umstrittene Code nutzte Steganografie — Ersetzung des System-Prompts selbst, um Signale upstream zu schmuggeln.

Schritt 1 — Environment Recon. Nach Aktivierung prüft der Client (a) ob die OS-Zeitzone Asia/Shanghai oder Asia/Urumqi ist und (b) ob der Hostname in ANTHROPIC_BASE_URL einer eingebauten Denylist entspricht. Unabhängige Reversals (LegitMichel777, Thereallo, Adnane Khan, Vincent Schmalbach) rekonstruierten 147 Einträge, obfuskiert mit XOR-Schlüssel 91 + Base64, darunter große chinesische Tech-Domains, AI-Lab-Keywords (DeepSeek, Moonshot, Zhipu, MiniMax u. a.) und bekannte API-Reseller.

Schritt 2 — Covert Encoding. Bei China-Zeitzonen-Treffern wechselt die Datumsformatierung im System-Prompt von 2026-06-30 zu 2026/06/30. Das Apostroph in Today's date is kann gegen eine von drei visuell identischen, Unicode-unterschiedlichen Apostroph-Varianten getauscht werden — codiert Booleans für Zeitzonen-Treffer, Domain-Treffer und AI-Lab-Keyword-Treffer. Grob 3 Bit Umgebungszustand pro Request in einem ansonsten normalen englischen Satz — was Adnane Khan als covert information channel embedded in system prompts definierte.

Schritt 3 — Warum das eine Grenze überschreitet. Kein Changelog-Eintrag für ~3 Monate; gezieltes geopolitisches/kommerzielles Fingerprinting; hochprivilegierter CLI-Kontext. Einige Kommentatoren (z. B. Cybernews) halten die Reaktion für überzogen — legitime Anti-Distillation-Engineering —, aber unangekündigte Steganografie in einem Shell-fähigen Agent ist der Kern des Vertrauensverlusts.

SECTION 04 Bin ich betroffen? ANTHROPIC_BASE_URL und der Proxy-Trigger

Nein, bei Nutzung des offiziellen Anthropic-API-Endpunkts. Der Mechanismus aktiviert sich nur, wenn ANTHROPIC_BASE_URL auf einen nicht-offiziellen Proxy, Gateway oder Reseller zeigt. Schlagzeilen mit universeller Überwachung sind irreführend.

SECTION 05 Was Anthropic sagte: Experiment vs. Backdoor

Thariq Shihipar auf X (1. Jul. 2026): "This is an experiment we launched in March that was meant to prevent account abuse from unauthorized resellers and protect against distillation. The team has landed stronger mitigations since then and we've actually been meaning to take this down for a while... this should be fully rolled back in tomorrow's release."

Kontext: Anthropic teilte dem U.S. Senate Banking Committee mit, dass Alibabas Qwen-Team rund 25.000 betrügerische Konten und 28,8 Millionen Interaktionen nutzte, um Claude-Fähigkeiten zu destillieren — Teil einer breiteren US–China-Distillation-Streitigkeit, die den Vorfall politisch auflädt.

SECTION 06 Enterprise-Folgen: Warum Alibaba Claude Code verbannte

Laut SCMP und Ars Technica zitiert interne Mitteilungen: "As Claude Code was recently discovered to carry back-door risks... added to a list of high-risk software with security vulnerabilities." Ab dem 10. Juli 2026 müssen Mitarbeitende Claude Code und Anthropic-Modellprodukte (Sonnet, Opus, Fable u. a.) einstellen und auf Alibabas interne Coding-Plattform Qoder wechseln — ein konkretes Enterprise-Signal jenseits regulatorischer Formulierungen.

DSGVO-Bezug für EU-Unternehmen: Auch wenn kein bestätigter Massendatenleck vorliegt, codierte Umgebungsfingerprints (Zeitzone, Proxy-Domain, AI-Lab-Keyword-Treffer) können unter bestimmten Konstellationen personenbezogene oder pseudonyme Nutzungsdaten darstellen, sobald sie mit Konten oder Entwickler-Identitäten korrelierbar sind. Unternehmen mit Entwickler-Terminals in der EU sollten neben Deinstallation einen Egress-Audit der ausgehenden Verbindungen zu KI-Endpunkten dokumentieren — relevant für Art. 32 DSGVO (technische Maßnahmen) und ggf. Meldepflichten nach Art. 33, falls nachweisbar personenbezogene Daten an nicht genehmigte Dritte übermittelt wurden.

SECTION 07 Sofortmaßnahmen: Versionscheck, Upgrade & Deinstallation

1. Version prüfen: claude --version — vergleichen mit v2.1.91–2.1.196.
2. Proxy-Konfiguration prüfen: echo $ANTHROPIC_BASE_URL — nicht-offizielle Hostnames waren der Trigger.
3. Sofort upgraden: npm install -g @anthropic-ai/claude-code@latest oder claude update auf v2.1.197+.
4. Vollständige Deinstallation (falls erforderlich): Entfernen von ~/.claude, ~/.claude.json, ~/.cache/claude-code, ~/.config/claude-code unter macOS/Linux; entsprechende Pfade unter %USERPROFILE% unter Windows.
5. Egress-Audit: Deinstallation allein reicht nicht — Dev-Maschinen auf persistente ausgehende Aufrufe zu nicht autorisierten KI-Endpunkten scannen.
6. Policy-Alignment: Unternehmen sollten Terminals inventarisieren, betroffene Builds blockieren und genehmigte KI-Coding-Tools dokumentieren.
7. Sensible Workloads isolieren: Hochvertrauens-Build-/Agent-Pipelines von geteilten Laptops auf auditierbare Infrastruktur verlagern.

claude --version
2.1.196  betroffen — jetzt upgraden

echo $ANTHROPIC_BASE_URL
https://internal-gateway.corp.example

npm install -g @anthropic-ai/claude-code@latest

Zitierfähige technische Fakten:

• Betroffene Builds: v2.1.91 (2. Apr. 2026) – v2.1.196 (29. Jun. 2026), ~3 Monate unangekündigt
• Denylist-Größe: 147 Hostnames/Keywords (Übereinstimmung mehrerer Reversals)
• Encoding-Kanal: 1 Datumsformat-Bit + 3 Unicode-Apostroph-Varianten ≈ 3 Bit pro Request
• Obfuskation: XOR-91 + Base64 — nicht per naivem strings auf der Binary extrahierbar
• Distillation-Streitmaßstab laut Anthropic: ~25k betrügerische Konten, 28,8M Interaktionen (Qwen-Team-Vorwurf)

Ein Shell-fähiger KI-Agent auf einem geteilten Laptop mit Traffic über undurchsichtige Proxies ist die typische Umgebung für Fingerprinting-Pipelines — das direkte Risiko hier ist unangekündigte Identifikation und Account-Enforcement, kein bestätigter Massendatenleck. VMs bringen EULA-Reibung und Hypervisor-Overhead. Teams, die natives Apple Silicon, vollen Root und physisch isolierte Dev-Knoten für iOS-CI oder 24/7-Agent-Automation brauchen, finden in MACNOX dedizierten physischen Mac Mini M4 Knoten oft die bessere Produktionswahl — hochvertrauenswürdige Workloads von riskanten Toolchains trennen. Siehe unsere Miete-vs.-Kauf-TCO-Analyse und den AI-Agent-Hardening-Leitfaden oder die Preisseite.

Primärquellen (Links vor Verlass auf Versionsnummern erneut prüfen):

CNBC — China warns about AI risks with Anthropic's Claude Code

The Register — China: Ditch older Claude versions with backdoor code

Ars Technica — Secret Claude tracker shocks users

The Register — Anthropic removing covert anti-competitor code

Haftungsausschluss: Basierend auf öffentlichen NVDB-Hinweisen, Anthropic-Stellungnahmen und unabhängiger Security-Forschung. Nur zur Information — keine Rechts- oder Security-Audit-Beratung.

SECTION 08 FAQ