Hat Claude Code eine Backdoor?

In v2.1.91–2.1.196 verbaute Anthropic eine undisclosed Steganografie-Fingerabdruck-Logik. NVDB stufte es als Backdoor-Risiko ein; Anthropic nannte es ein Anti-Destillations-Experiment und entfernte es in v2.1.197.

Welche Versionen sind betroffen?

v2.1.91 (2. April 2026) bis v2.1.196 (29. Juni 2026). Upgrade auf v2.1.197 oder höher.

Wie prüfe ich die Version?

claude --version im Terminal oder npm list -g @anthropic-ai/claude-code.

Soll ich deinstallieren?

Betroffene Versionen sofort upgraden; Unternehmen mit Compliance-Pflichten können zusätzlich deinstallieren und ausgehenden Traffic auditieren.

Wie funktionierte die Steganografie?

Manipulation des Datums-Trennzeichens und Unicode-Apostroph-Varianten im system prompt zur Kodierung von Zeitzone, Proxy und AI-Lab-Treffern.

Warum verbot Alibaba Claude Code?

Als Hochrisiko-Software eingestuft; ab 10. Juli 2026 firmenweit verboten, Wechsel zu Qoder.

Stand es im Changelog?

Nein. Keine betroffene Version erwähnte den Mechanismus in ~3 Monaten.

Ist Claude Code jetzt sicher?

Code in v2.1.197+ entfernt; weitere Nutzung hängt von Risikotoleranz und Compliance ab.

Was hat Destillation damit zu tun?

Destillation trainiert ein Modell mit Outputs eines anderen. Anthropic zielte auf unautorisierte Reseller und Destillations-Pipelines — Teil eines breiteren Konflikts mit chinesischen AI-Labs inkl. Alibabas Qwen-Team.

Claude Code Backdoor-Warnung (v2.1.91–2.1.196): NVDB-Risiko vom 8.7.2026 und Sicherheitsleitfaden

Q: Bin ich betroffen mit der offiziellen API?

Nein. Die Logik aktivierte sich nur, wenn ANTHROPIC_BASE_URL auf einen nicht-offiziellen Proxy oder Gateway zeigte.

Einleitung: Wenn Sie Claude Code auf dem Mac-Terminal nutzen und Ihre Version zwischen v2.1.91 und v2.1.196 liegt, führen Sie sofort claude --version aus. Am 8. Juli 2026 veröffentlichte Chinas MIIT/NVDB eine Risikomeldung: Anthropics AI-Programmiertool enthält eine schwerwiegende Backdoor-Gefahr — ein eingebauter Überwachungsmechanismus kann ohne Nutzereinwilligung Standort- und Identitätsdaten übermitteln. Für EU-Unternehmen ist dies GDPR-relevant: undisclosed Verarbeitung personenbezogener Signale, fehlende Transparenz, Egress-Risiken. Dieser Leitfaden erklärt Timeline, Steganografie, Antworten von NVDB/Anthropic/Alibaba, US-China-Destillationshintergrund, 5+ Schritte und 10 FAQ.

TL;DR

● 8.7.2026 NVDB: v2.1.91–2.1.196, schwere Backdoor-Gefahr
● Trigger: nur bei nicht-offiziellem ANTHROPIC_BASE_URL
● Technik: Steganografie im system prompt, 147-Domain-Blacklist (XOR 91 + Base64)
● Alibaba: Verbot ab 10.7., Wechsel zu Qoder
● GDPR: Art. 5 Transparenz verletzt; DPIA und Egress-Audit empfohlen

1. Warum dies keine normale Telemetry-Debatte ist

Hohe Privilegien + verdecktes Verhalten in einem Shell-fähigen Agenten.
Keine Changelog-Offenlegung über ~3 Monate; Domain-Liste XOR+Base64 verschleiert.
Regulatorische Einordnung durch NVDB — relevant auch für globale Compliance-Teams.
GDPR-Winkel: Standort-/Identitäts-Fingerprinting ohne informierte Einwilligung kann Art. 6, 13 und 32 DSGVO berühren; Verarbeitung in den USA (Anthropic) erfordert Rechtsgrundlage und TIA.

2. Was passiert ist: NVDB und Timeline

Feld	Details
Datum	8. Juli 2026
Behörde	MIIT NVDB (China)
Betroffene Versionen	v2.1.91 – v2.1.196 (2.4. – 29.6.2026)
Empfehlung	Deinstallieren/upgraden, Egress-Kontrolle und Traffic-Monitoring

2.1 Ereigniskette

Datum	Ereignis
Feb 2026	Anthropic kündigt Anti-Destillations-Investitionen an
März 2026	Verdeckter Detektionsmechanismus intern deployed
2026-04-02	v2.1.91 — erste öffentliche Version mit Logik
Apr–Jun	~20 Releases, kein Changelog-Eintrag
2026-06-29	v2.1.196 letzte betroffene Version
2026-06-30	LegitMichel777 (Reddit), Thereallo, Adnane Khan (GitHub) validieren v2.1.193/195/196
2026-07-01	Thariq Shihipar auf X: „Experiment“, Rollback versprochen
2026-07-02	v2.1.197 entfernt Steganografie, Changelog schweigt
2026-07-03/04	Reuters/TechCrunch: Alibaba-Verbot ab 10.7., Qoder
2026-07-08	NVDB offizielle Backdoor-Warnung
2026-07-10	Alibaba-Verbot tritt in Kraft

3. Wer ist wirklich betroffen?

Nicht alle Nutzer. Nur wenn ANTHROPIC_BASE_URL auf einen nicht-offiziellen Endpunkt zeigt (Unternehmens-Gateway, LiteLLM, Reseller). Offizielle api.anthropic.com-Nutzer: kein Trigger.

4. Technik: Steganografie in drei Schritten

4.1 Umgebungsaufklärung

Timezone: Asia/Shanghai oder Asia/Urumqi
Hostname-Match gegen 147 obfuskierte Domains (Alibaba, Baidu, ByteDance, DeepSeek, Moonshot, Zhipu, MiniMax …), XOR-Schlüssel 91 + Base64

4.2 Kodierung im system prompt

Signal	Normal	Variante
Datums-Trenner	`2026-06-30`	`2026/06/30` bei China-Timezone
Apostroph in „Today's"	U+0027	U+2019 / U+02BC / U+02B9 für Domain/Lab-Treffer

4.3 Versionsprüfung und Deinstallation

claude --version
echo $ANTHROPIC_BASE_URL
npm install -g @anthropic-ai/claude-code@latest
claude update

# Deinstallation macOS/Linux
npm uninstall -g @anthropic-ai/claude-code
rm -rf ~/.claude ~/.claude.json ~/.cache/claude-code ~/.config/claude-code

5. Stellungnahmen: NVDB / Anthropic / Alibaba

"This is an experiment we launched in March that was meant to prevent account abuse from unauthorized resellers and protect against distillation... this should be fully rolled back in tomorrow's release." — Thariq Shihipar

Alibaba (ab 10.7.): Hochrisiko-Software, Verbot von Claude Code und Anthropic-Modellen, Ersatz Qoder.

5.1 Medien-Einordnung

Quelle	Framing
NVDB	backdoor / severe threat
CNBC/Reuters	security backdoor / monitoring
The Register	covert steganography
Ars Technica	spyware-like tracking
Cybernews	"a nothing burger"
Anthropic	experiment / anti-distillation

6. Hintergrund: US-China-Destillationskrieg

PKU/CAS-Forschung (Feb 2026), Anthropic-Brief an US-Senat (~25.000 betrügerische Konten, 28,8 Mio. Interaktionen durch Qwen), Anschuldigungen gegen DeepSeek, Moonshot, MiniMax, Alibaba.

7. Faktencheck

Nur nicht-offizielle ANTHROPIC_BASE_URL
Fix: v2.1.197+ (teilweise v2.1.198)
„Backdoor“ = NVDB-Label, nicht alleinige technische Definition
Kein bestätigter Massendatenleck; Risiko: Klassifikation + Account-Sperren

8. Handlungsempfehlungen (5+ Schritte)

8.1 Einzelentwickler

claude --version prüfen
ANTHROPIC_BASE_URL dokumentieren
Auf v2.1.197+ upgraden
Bei Deinstallation Restpfade löschen
Agent von Produktionsgeheimnissen isolieren
DSGVO: Verarbeitungsverzeichnis und AVV mit Anthropic prüfen

8.2 Enterprise IT / DSB

MDM-Inventar aller Dev-Laptops
Erzwingen: Upgrade oder Blockierung
Egress-Audit (Firewall, Zscaler)
Gateway-Konfigurationen dokumentieren
Alternativen evaluieren (Qoder, Cursor, self-hosted)

9. FAQ (10 Fragen)

F1: Backdoor?

v2.1.91–196: undisclosed Steganografie. NVDB: Backdoor-Risiko. Anthropic: Experiment, entfernt in v2.1.197.

F2: Betroffene Versionen?

2.1.91–2.1.196. Upgrade 2.1.197+.

F3: Offizielle API?

Nicht betroffen.

F4: Version prüfen?

claude --version

F5: Deinstallieren?

Sofort upgraden; Compliance-Teams zusätzlich deinstallieren.

F6: Steganografie?

Datumsformat + Unicode-Apostrophe im system prompt.

F7: Alibaba-Verbot?

Hochrisiko, ab 10.7., Qoder.

F8: Changelog?

Nein.

F9: Jetzt sicher?

Code entfernt in 2.1.197+; Vertrauen organisatorisch.

F10: Destillation?

Anti-Reseller/Anti-Destillation, Konflikt mit chinesischen Labs.

10. Haftungsausschluss

Keine Rechts- oder Audit-Beratung. NVDB-Meldungen und öffentliche Quellen als Grundlage.

11. Quellen

CNBC, Register, Ars Technica, TechCrunch, Reuters
Thereallo, Adnane Khan, Vincent Schmalbach

12. Fazit: Isolierte Mac-Node für Compliance

Hochprivilegierte AI-Agenten gehören nicht auf Produktionslaptops. MACGPU Remote Mac mini M4: isolierte Claude-Code-Umgebung, SSH, Snapshot-Rollback.