MIIT-Warnung: Claude Code Backdoor-Risiko
(v2.1.91–2.1.196) — Technische Analyse und Maßnahmenplan

TL;DR:

• Regulatorische Einordnung: NVDB bezeichnet das Risiko als «Sicherheits-Backdoor mit schwerwiegenden Folgen» und empfiehlt sofortige Deinstallation oder Upgrade auf die neueste sichere Version.
• Betroffene Versionen: Claude Code v2.1.91 (Veröffentlichung 2026-04-02) bis v2.1.196 (2026-06-29) — nahezu 20 Iterationen, in keinem Changelog dokumentiert.
• Fix-Version: Berichte nennen v2.1.197 (2026-07-01/02) als Version ohne Steganografie-Code; einige chinesische Quellen nennen v2.1.198. Empfehlung: «2.1.197+» und Abgleich mit dem offiziellen Changelog.
• Wichtige Korrektur: Der Mechanismus greift nicht bei allen Nutzern — nur wenn ANTHROPIC_BASE_URL auf einen Nicht-Standard-Endpunkt zeigt (Unternehmens-Gateway, Drittanbieter-Proxy, API-Weiterverkauf). Direktverbindung zu api.anthropic.com löst die Prüfung nicht aus.
• Unternehmensreaktion: Alibaba und weitere Konzerne haben Claude Code eingeschränkt; ab 10. Juli 2026 Umstellung auf das interne Tool Qoder.

Warum Regulierung und Unternehmen gleichzeitig handeln:

• Undisclosed High-Privilege Monitoring: Claude Code hat Dateisystem- und Shell-Zugriff — eine drei Monate lang unbekannte Überwachungslogik verletzt berechtigte Erwartungen an Transparenz.
• Steganografie statt regulärer Telemetrie: Nicht die Datenerhebung an sich ist der Kernkonflikt, sondern die Manipulation des System-Prompts zur Fingerprint-Erkennung bestimmter Regionen und Wettbewerber.
• DSGVO und Compliance: EU-Unternehmen, die Entwickler-Terminals mit personenbezogenen Metadaten (Zeitzone, Proxy-Domain) an US-Anbieter senden, müssen Art. 5 (Transparenz) und Art. 32 (Sicherheit) prüfen — auch ohne bestätigten Datenleck-Fall besteht ein Risiko für Kontosperren und ungeprüfte Datenübermittlung.
• Narrative Kette: Anthropic setzt Erkennung → Reverse Engineering → Entschuldigung und Rollback → Alibaba-Verbot → MIIT-Qualifizierung als Backdoor.

Von Anthropics öffentlicher Anti-Distillation-Investition bis zur MIIT-Qualifizierung spannt sich eine nahezu fünfmonatige Kette. Der 8. Juli markiert den regulatorischen Höhepunkt; der 10. Juli den Alibaba-Verbots-Stichtag.

1. Februar 2026: Anthropic kündigt Investitionen in Anti-Distillation-Technologien an (Klassifikatoren, Verhaltens-Fingerprinting, Threat Intelligence).
2. März 2026: Verdeckte Erkennungslogik intern in Claude Code aktiviert — ohne öffentliche Ankündigung.
3. 2026-04-02: v2.1.91 veröffentlicht; Steganografie-Code wird mit ausgeliefert.
4. 2026-04-02 bis 06-29: Nahezu 20 Versionen; Logik bleibt aktiv, kein Changelog-Eintrag.
5. 2026-06-29: v2.1.196 — letzte betroffene Version.
6. 2026-06-30: Reddit-Nutzer LegitMichel777 deckt die Logik auf; Thereallo veröffentlicht technische Analyse; Adnane Khan bestätigt v2.1.193/195/196 per Reverse Engineering auf GitHub.
7. 2026-07-01: Anthropic-Ingenieur Thariq Shihipar gibt auf X zu: «experimentelles» Anti-Abuse-/Anti-Distillation-Feature aus März; Rollback versprochen.
8. 2026-07-02: v2.1.197 (teilweise als v2.1.198 berichtet) entfernt den Code — Changelog erwähnt die Änderung nicht explizit.
9. 2026-07-03/04: Reuters und TechCrunch: Alibaba verbietet ab 10. Juli Claude Code und Anthropic-Modelle; Umstellung auf Qoder.
10. 2026-07-08: NVDB veröffentlicht offizielle Risikomeldung.
11. 2026-07-10: Alibaba-internes Verbot tritt in Kraft.

Unicode-Mapping und Abgrenzung zum Desktop-Injection-Vorfall: Claude Code Steganografie — Technischer Deep Dive.

Kernaussage: Schlagzeilen wie «Claude Code überwacht jeden» sind falsch. Die Logik aktiviert sich nur, wenn ANTHROPIC_BASE_URL auf einen Nicht-Standard-Endpunkt zeigt. Nutzer mit direkter Verbindung zu api.anthropic.com werden nicht erfasst.

Bei aktivem Trigger führt der Code zwei Umgebungsprüfungen durch:

• Zeitzonen-Check: Asia/Shanghai oder Asia/Urumqi.
• Proxy-Domain-Blacklist: Hostname von ANTHROPIC_BASE_URL gegen 147 Einträge — chinesische Tech-Konzerne, AI-Lab-Keywords (DeepSeek, Moonshot, Zhipu, MiniMax, Baichuan, StepFun, 01.AI u. a.) und bekannte API-Reseller. Verschlüsselung: XOR (Schlüssel 91) + Base64.

Sachliche Einordnung: Die direkte Folge ist «Kontosperr-Risiko», nicht ein bestätigter Datenleck-Vorfall. Öffentliche Berichte dokumentieren keine nachgewiesenen finanziellen Schäden durch diesen Mechanismus — Fokus auf undisclosed Monitoring und Compliance-Risiken.

Dreistufiger Mechanismus:

1. Trigger: Nicht-offizielle ANTHROPIC_BASE_URL + Treffer bei Zeitzone/Domain/Keyword.
2. System-Prompt-Manipulation: Kein separater Exfil-Kanal — stattdessen Änderung am System-Prompt: Datumsformat von 2026-06-30 (Bindestrich) zu 2026/06/30 (Schrägstrich); Standard-Apostroph in Today's date is wird durch drei visuell identische Unicode-Varianten ersetzt, die drei Booleans kodieren.
3. Server-seitige Auswertung: 1 Datumsformat-Bit + 3 Apostroph-Varianten ≈ 3 Bit Umgebungsinformation pro Request. Adnane Khan: «a covert information channel embedded in system prompts».

Abgrenzung zu regulärer Telemetrie: Claude Code nutzt legitimerweise Event-Logs, Datadog und OpenTelemetry. Der Konflikt betrifft: (1) Steganografie statt abschaltbarer Telemetrie; (2) kein Changelog-Eintrag; (3) gezieltes Fingerprinting von Regionen und Wettbewerbern; (4) hohe Shell-/Dateizugriffsrechte.

Thariq Shihipar (Anthropic): «This is an experiment we launched in March that was meant to prevent account abuse from unauthorized resellers and protect against distillation... this should be fully rolled back in tomorrow's release.»

Hintergrund: US-China-Modell-Distillation. Anthropic beschränkt chinesischen Direktzugang; Nutzer umgehen via VPN und Proxy. Februar 2026: Peking-Uni/CAS-Paper zu Distillation-Spuren in chinesischen LLMs. Anthropic beschuldigte DeepSeek, Moonshot, MiniMax und Alibaba — im Senatsbrief: Qwen-Team mit ca. 25.000 betrügerischen Konten und 28,8 Mio. Interaktionen. Claude Opus 4.8 identifizierte sich in Tests fälschlich als Qwen/DeepSeek. Alibaba-Qoder spiegelt den Trend zu souveränen Entwicklungstools.

Checkliste für Einzelentwickler:

1. Version prüfen: claude --version oder npm list -g @anthropic-ai/claude-code.
2. Betroffenheitsintervall: Liegt die Version zwischen 2.1.91 und 2.1.196, sofort upgraden; bei 2.1.197+ Changelog und Binary abgleichen.
3. Proxy-Endpunkt: echo $ANTHROPIC_BASE_URL — zeigt er nicht auf api.anthropic.com, gehören Sie zur potenziell fingerprintierten Gruppe.
4. Upgrade: npm install -g @anthropic-ai/claude-code@latest oder claude update.
5. Deinstallation: npm-Paket entfernen; Reste löschen: ~/.claude, ~/.claude.json, ~/.cache/claude-code, ~/.config/claude-code; Windows: %USERPROFILE%\.claude usw.
6. Alternativen: Qoder, Tongyi Lingma, Cursor — unter DSGVO- und Unternehmensrichtlinien bewerten.

Checkliste für Unternehmens-IT:

7. Asset-Inventar: NVDB-Empfehlung: alle Dev-Terminals auf Claude-Code-Versionen prüfen; 2.1.91–2.1.196 verbieten.
8. Egress-Audit: Deinstallation allein reicht nicht — unautorisierte AI-Endpunkt-Verbindungen und Kernnetz-Egress-Kontrolle prüfen.

claude --version
echo $ANTHROPIC_BASE_URL
npm install -g @anthropic-ai/claude-code@latest
claude update

• Hat Claude Code ein Backdoor? In v2.1.91–2.1.196: undisclosed Steganografie-Fingerprint; NVDB: Backdoor-Risiko; Anthropic: Anti-Distillation-Experiment, in v2.1.197 entfernt.
• Welche Versionen? v2.1.91 (2026-04-02) bis v2.1.196 (2026-06-29).
• Offizielle API betroffen? Nein — nur bei nicht-offiziellem ANTHROPIC_BASE_URL.
• Version prüfen? claude --version.
• Noch nutzbar? Ab 2.1.197+ technisches Risiko reduziert; Unternehmen müssen Alibaba-Verbot und DSGVO separat bewerten.
• Welche Steganografie? Datumsformat + Unicode-Apostrophe kodieren Zeitzone/Proxy/Lab-Signale.
• Warum Alibaba-Verbot? High-Risk-Einstufung; ab 10. Juli Qoder-Pflicht.
• Changelog-Eintrag? Keiner in betroffenen Versionen.
• Jetzt sicher? Code in 2.1.197+ entfernt; Vertrauen hängt von Risikotoleranz ab.
• Distillation-Zusammenhang? Anthropic nennt Anti-Reseller/Anti-Distillation als Motiv — ändert nichts an undisclosed Implementierung.

Harte Daten:

• Domain-Blacklist: ca. 147 Einträge, XOR(91)+Base64
• Qwen-Distillation-Vorwurf: ca. 25.000 Konten, 28,8 Mio. Interaktionen (Anthropic-Senatsbrief)
• Kodierkapazität: 1 Datumsbit + 3 Apostroph-Varianten ≈ 3 Bit

Quellen (nach Veröffentlichung erneut prüfen):

IT之家: MIIT Claude Code Sicherheitswarnung

CNBC: China warns about AI risks with Anthropic's Claude Code

The Register: China ditch older Claude versions with backdoor code

Thereallo: Claude Code Is Steganographically Marking Requests

Lokale Laptops und geteilte VPS scheitern bei Claude Code und CI oft an: Sleep-Modus unterbricht Agenten, mehrere Projekte konkurrieren um eine Instanz, fehlende Isolation und auditierbarer Egress. Für stabile Claude-Code-, OpenClaw- und iOS-CI/CD-Produktion bietet CALMVPS Bare-Metal Mac Mini dediziertes Apple Silicon, 7×24-Betrieb, 120-Sekunden-Bereitstellung und monatliche Abrechnung — bei API-Vertrauenskrise und Exportkontrollen lassen sich Endpunkte auf isolierten Knoten hot-migrieren. Details: Mietpreise.

Dieser Artikel basiert auf der NVDB-Meldung und öffentlichen Medienberichten. Er dient der technischen und Compliance-Orientierung, ersetzt keine Rechtsberatung oder Sicherheitsaudit. Maßnahmen vor Deinstallation, Sperrung oder Traffic-Kontrolle mit Ihrer Sicherheitsrichtlinie und DSGVO-Verantwortlichen abstimmen.