Lücke in Claude: Browser-Erweiterung kann fremde Rechner kapern – Anthropic patcht nicht

Worum es geht

Der Sicherheitsforscher Gal Weizman von der Firma Forever Security hat eine Schwachstelle in Anthropics Claude-Produkten veröffentlicht, die er „ThisBash“ nennt. Über die Lücke kann eine bösartige Browser-Erweiterung die Desktop-App Claude Desktop dazu bringen, Programmcode auf dem Computer auszuführen. Das klappt sogar auf einem anderen Rechner, der mit demselben Claude-Konto verbunden ist. Berichtet haben unter anderem The Register, Dataconomy, GBHackers und das ukrainische Portal dev.ua. Laut Weizman hat Anthropic die Meldung im Mai 2026 als berechtigt anerkannt, aber als Duplikat eines bereits bekannten Problems geschlossen. Eine CVE-Nummer, also einen offiziellen Eintrag im weltweiten Verzeichnis für Sicherheitslücken, gab es nicht, eine Prämie aus dem Bug-Bounty-Programm auch nicht.

„Sie haben trotzdem beschlossen, nichts dagegen zu unternehmen“, sagt Weizman.

Was Claude Dispatch ist und wo das Problem liegt

Mit Claude Dispatch schickt man vom Handy oder aus dem Browser Aufgaben an Claude Desktop. Die App erledigt sie dann auf dem Computer und kann dabei laut Anthropics Dokumentation lokale Dateien, Connectoren, Plugins und Apps nutzen. Claude Desktop kann also auch Befehle im Betriebssystem ausführen.

GBHackers erklärt, wo der Fehler sitzt: Claude Desktop ist eine Electron-App, im Grunde eine Webseite in einem eigenen Programmfenster, und nutzt weitgehend dieselbe Oberfläche und dieselbe Programmierschnittstelle (API) wie claude.ai. In der Webversion war der Link zu Dispatch nur ausgeblendet. Wer die Adresse aus der Desktop-App kannte, konnte sie in jedem angemeldeten Browser-Tab öffnen und Anfragen schicken. Die Funktion war also versteckt, aber nicht abgesichert. Der Kern des Problems ist laut den Forschern, dass eine eingeloggte Web-Sitzung kein Beleg dafür ist, dass der Nutzer selbst einen Befehl auf seinem Rechner freigegeben hat.

So läuft der Angriff ab

Für den Angriff muss das Opfer gleichzeitig bei claude.ai und in Claude Desktop angemeldet sein, und Dispatch muss aktiv sein. Außerdem muss eine Browser-Erweiterung installiert sein, die auf claude.ai zugreifen darf. Eine Sicherheitslücke im Browser selbst braucht man nicht. Weizmans Proof of Concept, also sein Vorführ-Beispiel, sah laut GBHackers so aus:

1. Eine Erweiterung nach dem aktuellen Chrome-Standard Manifest V3 schleust ein Skript in claude.ai ein und öffnet die Dispatch-Seite in einem winzigen Popup-Fenster von 200 × 200 Pixeln im Hintergrund.
2. Mit den Cookies des Nutzers, also den gespeicherten Anmeldedaten im Browser, fragt sie über /v1/sessions?tags=cowork-dispatch-local die Kennung der laufenden Desktop-Sitzung ab.
3. Dann schickt sie nacheinander vier vorbereitete Anweisungen und wartet jeweils auf Claudes Antwort.
4. Ein Timer klickt jede Sekunde auf jeden „Allow“-Button, der erscheint. Freigeben muss also niemand etwas.

Zuerst zögerte Claude, ein unbekanntes npm-Paket zu installieren (npm ist das Paketverzeichnis für JavaScript-Software). Eine Folge-Anweisung beruhigte das Modell, und die Installation lief durch. Das Paket enthielt ein preinstall.js-Skript, das schon vor der eigentlichen Installation startet. In der Vorführung öffnete es nur den Taschenrechner, das übliche harmlose Zeichen dafür, dass fremder Code ausgeführt wurde (Remote Code Execution). Ein echter Angreifer könnte stattdessen Dateien abziehen, SSH-Schlüssel für den Fernzugriff hinterlegen oder eine Hintertür einbauen.

Die Forscher nennen die Technik „Prompt Forcing“. Anders als bei einer einmaligen Prompt Injection, bei der versteckte Anweisungen etwa in einer Webseite lauern, kontrolliert der Angreifer hier den Eingabekanal komplett. Er liest Claudes Antworten mit und passt seine nächsten Anweisungen daran an, bis das Modell mitmacht.

„Diese Erweiterung konnte eine klassische Rechteausweitung durchführen“, sagt Weizman. „Denn Claude hat Zugriff auf die Dateien des Betriebssystems, kann dort Code ausführen und die Maschine vollständig kompromittieren.“

An die bösartige Erweiterung käme ein Angreifer laut Weizman auf mehreren Wegen: Er veröffentlicht sie selbst, übernimmt eine beliebte Erweiterung durch einen Kauf, oder er manipuliert sie über einen Supply-Chain-Angriff, also über die Lieferkette, etwa durch ein gekapertes Entwicklerkonto.

Vom Privatrechner auf den Firmen-Laptop

Am meisten Sorgen macht die Reichweite. Dispatch kann eine Browser-Sitzung mit Claude Desktop auf einem anderen Computer verbinden, wenn dort dasselbe Konto angemeldet ist. Eine verseuchte Erweiterung auf dem privaten Laptop könnte so den Arbeitsrechner angreifen, wenn ein Mitarbeiter dasselbe Claude-Konto für beides nutzt.

Dass das kein Randfall ist, belegt Forever Security mit Zahlen aus sechs Organisationen, in denen private Claude-Konten in Firmenumgebungen gefunden wurden:

GBHackers zitiert zudem einen LayerX-Bericht von 2025: 99 % der Unternehmensnutzer haben mindestens eine Browser-Erweiterung installiert, 53 % solche mit hohen oder kritischen Berechtigungen. Zur Größenordnung: Laut Anthropics Nutzungsdaten hatte claude.ai Mitte 2026 rund 950 Millionen Besuche pro Monat. Für Claude Cowork wurden im Mai 2026 1,2 Millionen Stichproben-Sitzungen aus mehr als 600.000 Organisationen gezählt.

Abschaltung statt Patch und das Problem bleibt

Anthropic will Dispatch abschalten, ursprünglich bis Ende Oktober 2026. Laut Weizman war die Funktion am 30. Oktober aber noch in einer begrenzten Beta für einige Abonnenten der Tarife Pro, Max und Ultra verfügbar. Neue Nutzer bekommen sie nicht mehr. Die Hilfeseiten sagen inzwischen, Dispatch stehe Neukunden nicht zur Verfügung, bestehende Nutzer könnten es aber weiter verwenden. Solange es läuft, ist die Lücke ausnutzbar.

Wichtiger ist laut den Forschern, dass die Ursache Dispatch überdauert. Auch Claude Cowork und Claude Code Remote Control erlauben, dass Web- und Desktop-Version auf gemeinsame Sitzungen zugreifen, und damit denselben Angriff. Weizman schlägt vor, Web-Sitzungen grundsätzlich den Zugriff auf Desktop-Sitzungen zu verwehren. Die Verbindung zwischen Geräten solle es weiter geben, aber mit strengeren Sicherheitsberechtigungen. Forever Security kündigt einen weiteren Beitrag zu den breiteren Folgen an. Eine eigene Stellungnahme von Anthropic über die Angaben des Forschers hinaus zitieren die Quellen nicht.

Ganz neu ist so etwas nicht. Laut GBHackers wurde in diesem Jahr bereits eine Zero-Click-Lücke in Claude Desktop Extensions bekannt, bei der ein präparierter Google-Kalender-Termin reichte, um einen Rechner zu übernehmen, ohne dass der Nutzer etwas anklicken musste. Zuletzt versuchte eine trojanisierte Claude-Code-Erweiterung im Marktplatz von Cursor, dauerhafte SSH-Hintertüren einzurichten. Dieselben Forscher haben nach Angaben von dev.ua auch Schwachstellen in OpenAIs Codex und in VS Code gemeldet, die Ende Oktober ebenfalls noch offen waren.

Was du tun kannst

GBHackers empfiehlt unter anderem: - Dispatch und andere geräteübergreifende Fernsteuerung abschalten, wenn du sie nicht brauchst. - Private und berufliche Claude-Konten strikt trennen. - Browser-Erweiterungen kritisch prüfen, ungenutzte entfernen und Berechtigungen regelmäßig kontrollieren. Unternehmen sollten Erweiterungen genauso verwalten wie installierte Software. - In Firmen erfassen, welche KI-Agenten und Claude-Konten im Einsatz sind, und Agenten-Prozesse auf ungewöhnliche Paketinstallationen, Zugriffe auf Zugangsdaten und ausgehende Verbindungen überwachen.

Einordnung

Der Fall zeigt ein Grundproblem von KI-Agenten, die nicht nur Texte schreiben, sondern auf dem eigenen Rechner handeln: Wer den Eingabekanal kontrolliert, kontrolliert den Agenten. Die Sicherheitsabfrage „Allow“ schützt nicht, wenn ein Skript sie wegklicken kann. Die bloße Anmeldung im Browser als Nachweis für die Absicht des Nutzers ist eine schwache Grundlage. Kritisch ist Anthropics Umgang mit der Meldung. Das Unternehmen bestätigte die Lücke, ließ eine abgekündigte Funktion aber monatelang weiterlaufen und vergab weder CVE noch Prämie. Offen ist, ob und wie Anthropic Cowork und Claude Code Remote Control absichert. Dabei ist zu beachten, dass die Angaben dazu bisher nur vom Forscher selbst stammen. Für einen Angriff braucht es mehrere Voraussetzungen, vor allem eine bösartige Erweiterung mit Zugriff auf claude.ai. Bei der großen Verbreitung von Erweiterungen und gemischt genutzten Konten ist das aber kein abwegiges Szenario.