Claude Code Backdoor erklärt (v2.1.91–2.1.196): Steganografie, betroffene Versionen & Maßnahmen

Sechs Problemfelder: Vertrauenskette von Reddit bis MIIT

Am 8. Juli 2026 stufte das MIIT/NVDB Anthropic Claude Code als sicherheitsrelevante Backdoor-Gefahr mit schwerwiegenden Folgen ein — die erste offizielle chinesische Regulierungsaussage zu diesem Vorfall. Die Kette: Anthropic März (verdeckte Erkennung) → April (Verteilung) → Juni (Reverse Engineering) → Juli (Rollback) → Alibaba-Verbot → MIIT-Qualifizierung. Wer bereits den Steganografie-Tiefenartikel gelesen hat, findet hier die NVDB-Regulierungsachse mit Handlungsschritten; beide Artikel ergänzen sich.

1. Clickbait vs. Technik: „Claude Code überwacht alle chinesischen Nutzer“ ist laut Reverse-Engineering-Konsens falsch — nur bei gesetztem ANTHROPIC_BASE_URL auf Nicht-Standard-Endpunkte.
2. ~3 Monate ohne Offenlegung: Seit v2.1.91 (2.4.2026), ~20 Releases, kein changelog-Eintrag. v2.1.197 (1.7.) still entfernt, ohne explizite Ankündigung.
3. Steganografie statt Telemetrie: Manipulation von system prompt (Datum, Unicode-Apostroph) — Adnane Khan: covert channel, kein dokumentiertes usage telemetry.
4. 147 obfuskierte Regeln: XOR(91) + Base64; Alibaba, Baidu, ByteDance, DeepSeek, Moonshot, Zhipu, MiniMax u. a.; strings reicht nicht — vollständiges RE nötig.
5. Hohe Rechte: Dateizugriff, Shell, MCP — unoffengelegte Fingerprints werden in Compliance-Reviews als Backdoor-Risiko eingestuft, nicht als „normale Datenerhebung“.
6. Unternehmensreaktion: Reuters/TechCrunch — Alibaba ab 10.7. internes Verbot von Claude Code und Sonnet/Opus/Fable.

Kurzdefinition: Kein nachgewiesener Massen-Leak, sondern unoffengelegte Klassifikation + regulatorische Qualifizierung + Konzernverbot. Priorität: Versions- und base-URL-Check — kein Panik-Verbot, kein Wegschauen.

In der Entscheidungsmatrix für Coding-Assistenten eine Zeile „verdecktes Client-Verhalten / Regulierungsfall“ ergänzen.

Timeline: Februar 2026 — 10. Juli 2026

• Feb. 2026: Anthropic investiert in Anti-Destillations-Technologien.
• März 2026: Verdeckte Erkennung in Claude Code, ohne Public Disclosure.
• 2026-04-02: v2.1.91 — Verteilung beginnt.
• 2026-04-02 bis 06-29: ~20 Versionen, changelog schweigt.
• 2026-06-29: v2.1.196 — letzte betroffene Version.
• 2026-06-30: Reddit LegitMichel777; Thereallo (thereallo.dev); Adnane Khan (GitHub) bestätigt v2.1.193/195/196.
• 2026-07-01: Thariq Shihipar (X) bestätigt „experiment“; Rollback versprochen.
• 2026-07-02: v2.1.197 — Code entfernt, changelog ohne expliziten Hinweis.
• 2026-07-03/04: Reuters/TechCrunch — Alibaba ab 10.7. Verbot, Qoder.
• 2026-07-08: NVDB-Warnung.
• 2026-07-10: Alibaba-Verbot wirksam.

NVDB-Kernpunkte

Laut IT之家, 新京报:

• Art: Eingebaute Überwachung, ohne Einwilligung Rückübertragung sensibler Daten.
• Inhalt: Region, Identifikatoren (entspricht Steganografie-Signalen).
• Versionen: v2.1.91–v2.1.196 (2.4.–29.6.2026).
• Empfehlung: Endgeräte prüfen → deinstallieren oder auf sichere Version upgraden → Egress-Kontrolle und Traffic-Monitoring.
• Wortlaut: „sicherheitsrelevante Backdoor-Gefahr, schwerwiegende Folgen“ vs. Anthropic „experiment“.

Wer ist betroffen? ANTHROPIC_BASE_URL als Schalter

Wenn ANTHROPIC_BASE_URL auf einen nicht-offiziellen Endpunkt zeigt (Unternehmens-Gateway, Reseller-Proxy, Reverse Proxy), dann aktiviert sich die Logik. Wenn der Standard api.anthropic.com gilt, dann nicht.

Priorität: Reseller/Aggregator-Teams; DevOps mit Custom base URL in CI/Agent-Hosts; Organisationen mit Compliance-Proxy; Versionen 2.1.91–2.1.196 ohne Upgrade.

Geringeres Risiko: Offizielle API, v2.1.197+, kein Custom base URL — dennoch claude --version prüfen (npm-Drift).

Technik: Zeitzonen-Check + 147 Regeln + Steganografie

Drei Schritte. Details: Steganografie-Artikel.

Schritt 1 — Umgebungserkennung

1. Zeitzone Asia/Shanghai oder Asia/Urumqi
2. Hostname von ANTHROPIC_BASE_URL vs. Blacklist (147 Einträge)

Speicherung: Base64 + XOR(91).

Schritt 2 — Steganografie (~3 Bit)

• Datum: 2026-06-30 → 2026/06/30 bei China-Zeitzone
• Apostroph in Today's: U+0027 / U+2019 / U+02BC / U+02B9

Schritt 3 — Server-Klassifikation (Inferenz)

Vermutete Nutzung: Reseller-Erkennung, Destillations-Pipelines, Account-Risk. Direkte Folge oft Account-Sperre, kein belegter Datei-Leak — Fokus auf Datenschutz- und Transparenzrisiko, nicht auf übertriebene Leak-Narrative.

Abgrenzung zu normaler Telemetrie (4 Punkte)

1. Kanal: Steganografie im system prompt vs. reguläre SDK-Telemetrie
2. Offenlegung: ~3 Monate ohne changelog; Entfernung undokumentiert
3. Targeting: Gezielte Fingerprints (Region, Wettbewerber, Reseller) vs. aggregierte Metrics
4. Kontext: Hohe Systemrechte — geringere Toleranz für unsichtbares Verhalten; relevant für DSGVO-Art.-5-Transparenz und Verarbeitungsverzeichnis

Cybernews zitiert „a nothing burger“ — wir zeigen beide Seiten.

Stellungnahmen: NVDB, Anthropic, Alibaba

MIIT/NVDB

Backdoor-Gefahr, schwerwiegende Folgen; Prüfung, Deinstallation/Upgrade, Egress-Kontrolle.

Anthropic / Thariq Shihipar

„experiment“, nicht „backdoor“. Hintergrund: Qwen ~25.000 betrügerische Konten, 28,8 Mio. Interaktionen — Anthropic Series H.

Alibaba (ab 10.7.2026)

Hochrisiko-Software; Claude Code und Anthropic-Modelle verboten; Qoder als Alternative.

Medienvergleich: backdoor vs. experiment vs. steganography

Kontext: US-China-Destillationskonflikt 2026

• Anthropic blockiert direkten Zugang aus China — Umgehung via VPN/Proxy möglich
• Feb. 2026: Peking/CAS-Paper zu Destillations-Spuren in chinesischen LLMs
• Anthropic beschuldigt DeepSeek, Moonshot, MiniMax, Alibaba; Qwen: 25.000 Konten, 28,8 Mio. Interaktionen
• Claude Opus 4.8 „hielt sich für Qwen/DeepSeek“ — Doppelstandard-Debatte
• Trend zu Qoder, DeepSeek, Qwen; Alibaba Qoder auf Tool-Ebene

Konsens: Ziel nachvollziehbar, Methode inakzeptabel — Unicode-Steganografie untergräbt Vertrauen schneller als Benchmarks.

Versionstabelle

Unicode-Apostroph-Mapping (3 Bit)

Selbstprüf-Befehle

# 1. Version prüfen
claude --version

# 2. Proxy-Endpunkt prüfen
echo $ANTHROPIC_BASE_URL

# 3. Global upgraden
npm install -g @anthropic-ai/claude-code@latest

# 4. Built-in Update
claude update

Deinstallation — Restpfade: macOS/Linux ~/.claude, ~/.claude.json, ~/.cache/claude-code, ~/.config/claude-code; Windows %USERPROFILE%\.claude usw. Unternehmen: Egress-Audit für nicht autorisierte AI-Endpunkte.

Checkliste: 6 persönliche + 4 Unternehmens-Schritte

Persönlich (6)

1. claude --version — Wenn 2.1.91–2.1.196, dann Hochrisiko.
2. echo $ANTHROPIC_BASE_URL — Wenn ≠ leer und ≠ api.anthropic.com, dann Proxy-Historie prüfen.
3. Sofort v2.1.197+ upgraden.
4. Optional: Deinstall + ~/.claude* löschen.
5. Optional: Prompt-Stichprobe — Steganografie-Artikel.
6. Toolchain-Entscheidung dokumentieren; Isolations-Host erwägen.

IT/Sicherheit (4)

1. Asset-Inventar: Versionen + ANTHROPIC_BASE_URL-Liste.
2. 2.1.91–2.1.196 → 2.1.197+ oder NVDB-Deinstallation; MDM-Pinning.
3. Egress-Logs; 147-Regel-Reseller-Domains (Threat Intel).
4. Whitelist-Update — Vergleichsmatrix um Regulierungs-/Client-Verhalten erweitern; DSGVO-Fragebogen anpassen.

Drei Hard-Data-Punkte fürs Security-Briefing

• 147 Regeln Base64+XOR(91) in v2.1.193/195/196; entfernt in v2.1.197 (1.7.2026).
• HN 350+ Upvotes, 100+ Kommentare (30.6.2026).
• Alibaba-Verbot ab 10.7.2026 — vollständige Anthropic-Produktlinie.

Fazit: Lokales Notebook vs. isolierter Agent-Host

Kern: verteidigbares Ziel, indefensible Verheimlichung. NVDB, Anthropic, Community — drei Vokabulare, ein Supply-Chain-Risiko 2026.

(a) Totalverbot bricht MCP/hook-Workflows. (b) Fehlende Selbstprüfung = Audit-Lücke. (c) Hochprivilegierter Agent auf dem Alltags-MacBook mit Browser und Produktions-Keys maximiert den Blast Radius — auch unter DSGVO-Gesichtspunkten (Datenminimierung, Zweckbindung).

Nach Upgrade, base-URL-Policy und Egress-Audit ist Host-Isolation meist der nächste Engpass. Wenn Sie SSH in Minuten, planbare Monatskosten und minimal privilegierte Claude-Code-Agenten auf macOS ohne Browser-/Key-Mix brauchen, dann ist ein MACCOME Mac Mini M4 Cloud-Host oft die stabilere Option — echtes Apple Silicon, launchd-taugliche Uptime, getrennte Zeitzone/base URL. Preise: Mietpreise; Betrieb: Hilfe & FAQ.

Bleiben Sie skeptisch, bis Verhalten reproduzierbar, dokumentiert und abschaltbar ist. Fordern Sie Offenlegung statt Steganografie. Behandeln Sie jeden CLI-Agenten als Hochrechte-Software.

Quellen

• IT之家
• 新京报
• CNBC
• The Register
• TechCrunch
• Ars Technica
• thereallo.dev