Wer Claude Code oder die Anthropic-API über Proxy nutzt und sich fragt, ob Claude heimlich trackt, bekommt hier die Kurzfassung: Laut Reverse-Engineering-Berichten Ende Juni 2026 schreibt Claude Code bei gesetztem nicht-offiziellem ANTHROPIC_BASE_URL die System-Prompt-Zeile Today's date is... per Text-Steganografie um — mit für das Auge identischen, Unicode-unterschiedlichen Apostrophen und Datums-Trennzeichen, die China-bezogene Domains, AI-Lab-Keywords und Zeitzonen in jeden Request kodieren. Anthropic entfernte die Logik in 2.1.197. Das Ziel dürfte Anti-Distillation sein; strittig sind Heimlichkeit und Obfuskation. Das unabhängige Claude-Desktop-Browser-Injections-Ereignis vom April 2026 ist davon zu trennen. Dieser Leitfaden liefert Ereignis-Matrix, Unicode-Tabelle, Motivanalyse, sieben Prüfschritte, acht FAQs und verifizierbare Quellenlinks.
01 Claude Code Steganografie vs. Desktop-Injection: Zwei getrennte Ereignisse
Die Welle entsteht aus zwei unabhängigen Vorfällen. Wer sie vermischt, verliert bei HN-, Reddit- und Security-Lesern sofort Glaubwürdigkeit.
| Dimension | Ereignis A: Stille Browser-Injection | Ereignis B: System-Prompt-Steganografie |
|---|---|---|
| Produkt | Claude Desktop (macOS-Client) | Claude Code (CLI-Coding-Tool) |
| Quelle | Alexander Hanff (Privacy-Berater, The Register) | Entwickler-Reverse-Engineering auf thereallo.dev, Reddit → HN |
| Zeitpunkt | April 2026 (ca. ab 18.04.) | 30. Juni 2026 |
| Kernverhalten | Schreibt Native-Messaging-Manifest com.anthropic.claude_browser_extension.json in Chrome/Edge/Brave/Arc; drei Extension-IDs dürfen chrome-native-host außerhalb der Sandbox aufrufen; Verzeichnis wird auch ohne installierten Browser angelegt, nach Löschen bei Neustart wiederhergestellt |
Bei ANTHROPIC_BASE_URL ≠ api.anthropic.com wird die Zeile Today's date is... per Steganografie umgeschrieben |
| Label | "spyware" / "backdoor" | "prompt steganography" / "covert channel" |
| Trigger | Installation/Start von Claude Desktop | Nur bei nicht-offiziellem Base URL (Proxy); nicht bei jedem Chat zwingend |
| Anthropic-Reaktion | Keine offizielle Stellungnahme; später Opt-in-Schalter, zugrunde liegendes Rechtemodell angeblich unverändert | Code bestätigt, am 01.07. in 2.1.197 entfernt, Changelog schweigt |
- Ereignis A — Reproduktion: Unabhängiger Berater Noah Kenney (Digital 520) bestätigte Hanffs technische Behauptungen; Antiy Labs veröffentlichte eine Risikoanalyse.
- Ereignis B — Versionen: Logik in 2.1.193 / 2.1.195 / 2.1.196 nachgewiesen; HN-Thread innerhalb weniger Stunden mit 350+ Points und 100+ Kommentaren.
- Vertrauenskrise: Desktop-AI-Agenten und CLI-Tools mit Systemrechten dürfen ohne informierte Zustimmung und absichtlich verborgen nicht agieren — unabhängig vom Zweck.
- Modellwahl: Anthropic bleibt in den OpenRouter-Rankings Juni 2026 relevant — doch „API bequem“ und „Tool vertrauenswürdig“ sind getrennte Achsen.
Formulierungen wie „laut Bericht / laut Reverse Engineering / mutmaßlich (alleged)“ bleiben bestehen. Anthropics Anti-Distillation-Zweck und Mittel sind getrennt zu bewerten — strittig sind die Mittel.
02 Wie Claude Code Steganografie funktioniert: Unicode-Apostroph-Mapping
Voraussetzung: ANTHROPIC_BASE_URL zeigt auf eine nicht-offizielle Adresse (Proxy, Gateway, Reseller, OpenAI-kompatible Schicht). Offiziell api.anthropic.com bleibt unangetastet; normale Claude-Web-Nutzer sind von Ereignis B nicht betroffen.
Nach dem Trigger passieren in der harmlos wirkenden Zeile Today's date is ... zwei Dinge:
- Datums-Trennzeichen: Bei Systemzeitzone
Asia/ShanghaioderAsia/Urumqiwird2026-06-30zu2026/06/30. - Apostroph-Tausch: Das Apostroph in
Today'swird durch optisch gleiche, Unicode-unterschiedliche Zeichen ersetzt und kodiert den Trefferstatus.
| Erkennungsbedingung | Datumsformat | Apostroph-Zeichen | Unicode |
|---|---|---|---|
| Standard (kein Domain-/Lab-Treffer) | 2026-06-30 |
' ASCII-Apostroph |
U+0027 |
| China-Domain/Reseller-Treffer | 2026-06-30 |
' rechter Anführungsstrich |
U+2019 |
| AI-Lab-Keywords (deepseek/moonshot/zhipu/minimax/baichuan/stepfun/01ai u. a.) | 2026-06-30 |
ʼ Modifikator-Apostroph |
U+02BC |
| Domain und Lab gleichzeitig | 2026-06-30 |
ʹ Modifikator-Winkelminute |
U+02B9 |
| China-Zeitzone überlagert (Asia/Shanghai / Asia/Urumqi) | 2026/06/30 |
(Apostroph-Regeln wie oben) | — |
Kurz gesagt: Der Request wirkt wie normaler englischer Prompt-Text; das Backend kann allein über Trennzeichen und Apostroph-Unicode taggen — z. B. „VPN im Ausland, aber China-Zeitzone, vermutlich AI-Lab“. Domain-/Keyword-Listen sind mit base64 + XOR(91) leicht obfuskiert, ca. 147 Regeln. Klassischer Covert Channel und Prompt-Steganografie.
# Unicode-Codepoint des Apostrophs in Today's prüfen (Beispiel)
echo "Today's date is 2026-06-30" | xxd | grep -A1 "Today"
# Byte-Sequenz außerhalb U+0027 kann Fingerabdruck sein
python3 -c "s=\"Today\u2019s\"; print([hex(ord(c)) for c in s if c in \"'\u2019\u02bc\u02b9\"])"
03 Warum hat Anthropic das getan? Ist es Spyware?
Community-Konsens (relativ zurückhaltend): Ziel ist Anti-Distillation plus Schutz vor unautorisiertem API-Reselling. Anthropic, OpenAI und Google warnen öffentlich vor Massen-API-Outputs zum Training kleinerer Modelle. China-bezogene Proxies, Reseller und Labs standen im Verdacht — daher die Tagging-Logik.
Das Ziel ist nachvollziehbar, die Mittel nicht: Klassifikationssignale unsichtbar und obfuskiert in jeden Request zu legen, verletzt bei einem auf Entwicklervertrauen basierenden Tool eine rote Linie. Auf HN teilt sich die Meinung:
- „Legitime Anti-Distillation“: Reselling und Distillation sind reale Bedrohungen; Anbieter dürfen Modelle schützen.
- „Beinahe bösartig für Dev-Tools“: Heimlich, obfuskiert, undisclosed — Entdeckung nur per Binary-Reverse-Engineering darf nicht Default sein.
„Spyware“ ist ein emotional aufgeladenes Label. Präziser:
- Ereignis A entspricht eher „unautorisierte Manipulation fremder Software plus vorbereitete Angriffsfläche“. Kombiniert mit Anthropics eigenen Prompt-Injection-Raten für Claude for Chrome (ohne Mitigation 23,6 %, mit Mitigation 11,2 %) ist das Risiko konkret.
- Ereignis B ist „undisclosed heimliche Telemetrie / User-Klassifikation“ — kein klassischer Credential-Diebstahl-Trojaner, sondern ein Covert Channel.
Unabhängig vom Wort „Spyware“ bleibt der Kern: ohne informierte Zustimmung und absichtlich verborgen.
04 Claude Code prüfen und absichern: 7-Schritte-Leitfaden
ANTHROPIC_BASE_URLprüfen: In Shell-Konfiguration oder.envmitecho $ANTHROPIC_BASE_URL. Leer oderapi.anthropic.com→ Ereignis B nicht aktiv; Proxy-Nutzer priorisieren.- Claude Code auf 2.1.197+ aktualisieren: Anthropic entfernte die Steganografie am 01.07.2026 (Changelog schweigt — Binary verifizieren).
- macOS Native-Messaging-Manifeste prüfen (Ereignis A): Unter
~/Library/Application Support/<Browser>/NativeMessagingHosts/com.anthropic.claude_browser_extension.json— Chrome, Edge, Brave, Arc, Vivaldi, Opera, Chromium. - Gezielt löschen und Wiederauftauchen beobachten: JSON manuell entfernen, Claude Desktop neu starten. Spätere Opt-in-Schalter ändern das Rechtemodell angeblich nicht grundlegend.
- Systemzeitzone und Fingerabdruck-Reste: Prüfen, ob
Asia/Shanghai/Asia/Urumqidas Datumsformat beeinflussen; bei älteren Versionen Apostroph per Hex-Tools im System-Prompt analysieren. - Enterprise-/Compliance-Minimum (DSGVO-relevant): Claude Desktop und Claude Code als hochprivilegierte Programme behandeln — explizite Freigabe, Netzwerksegmentierung, auditierbare Logs. Wo personenbezogene Prompt-Inhalte über Drittanbieter-Proxies fließen, ist eine DSGVO-konforme Rechtsgrundlage, Datenminimierung und dokumentierte TOMs Pflicht; produktive Agent-Ketten nur nach DPIA-Freigabe. Bewerten, ob Desktop-Agenten in der Produktion bleiben.
- Offizielle und Community-Updates verfolgen: Anthropic-Changelog und Security Advisories abonnieren; API-Reseller zu Base-URL-Routing und Compliance-Offenlegung befragen.
05 Zitierbare Hard Facts, FAQ und Umgang mit AI-Vendor-Overreach
Zitierbare Kennzahlen (laut öffentlichem Reverse Engineering und Community-Diskussion — vor Veröffentlichung erneut prüfen):
- Regelumfang: base64 + XOR(91), ca. 147 Domain-/Keyword-Regeln
- Betroffene Versionen: 2.1.193 / 2.1.195 / 2.1.196 bestätigt; Entfernung in 2.1.197
- HN-Reichweite: Frontpage in wenigen Stunden, 350+ Points, 100+ Kommentare, stark gespaltene Community
- Claude for Chrome Prompt Injection: ohne Mitigation 23,6 %, mit Mitigation 11,2 % (Anthropic-eigene Zahlen, relevant für Ereignis A)
- Native Messaging: drei Extension-IDs mit Zugriff auf
chrome-native-hostaußerhalb der Sandbox; Verzeichnis auch ohne installierten Browser
Ist Claude Code Spyware?
Kein klassischer Spyware-Trojaner, aber undisclosed, obfuskierte Fingerabdrücke im System-Prompt zur Markierung China-bezogener Proxy-Nutzer. Entfernt in 2.1.197. Präziser: „undisclosed Covert Channel“ statt Credential-Diebstahl.
Erkennt Claude Code meine Zeitzone?
Laut Reverse Engineering prüft es Asia/Shanghai / Asia/Urumqi — aber nur bei nicht-standardmäßigem ANTHROPIC_BASE_URL. Offizieller Endpoint: Datumszeile unverändert.
Was ist der Today's-date-Apostroph-Unicode-Trick?
Das Apostroph in Today's wechselt zwischen U+0027, U+2019, U+02BC, U+02B9 und kodiert, ob China-Domains, AI-Lab-Keywords, beides oder nichts getroffen wurde.
Warum hat Anthropic das eingebaut?
Mainstream-Interpretation: Distillation und unautorisiertes API-Reselling erkennen — legitimes Ziel, undisclosed und versteckte Umsetzung löste Vertrauenskrise aus.
Ist das dasselbe wie der Claude-Desktop-„Spyware“-Vorfall?
Nein. Separates Ereignis April 2026: Claude Desktop schrieb still Native-Messaging-Manifeste, enthüllt von Alexander Hanff in The Register.
Betrifft das normale Claude-Web-Nutzer?
Ereignis B nur bei Claude Code mit nicht-offiziellem ANTHROPIC_BASE_URL; offizielle Web-Nutzer nicht betroffen.
Wie lösche ich die injizierten Browser-Dateien?
com.anthropic.claude_browser_extension.json unter ~/Library/Application Support/<Browser>/NativeMessagingHosts/ entfernen — Neustart von Claude Desktop kann sie neu anlegen.
Sollte man Anthropic danach noch vertrauen?
Vertrauen basiert auf reproduzierbarem, auditierbarem, abschaltbarem Verhalten — nicht auf Geheimnissen, die nur per Binary-Reverse-Engineering auffallen. Anti-Distillation kann offen mit User-Schalter erfolgen.
Die eigentliche Warnung liegt nicht im Apostroph, sondern darin, dass bei rasant wachsender Modellleistung und hinterherhinkenden Sicherheitsgrenzen, Freigaben und Audits Anbieter unter „UX/Abuse Prevention“ einseitig Vertrauensgrenzen überschreiten. Praktische Antworten:
- Default-Miss trauen, Evidenz verlangen: Reproduzierbar, auditierbar, abschaltbar.
- Offenlegung statt Verstecken: Anti-Distillation transparent mit Opt-out — nicht in Interpunktion versteckt.
- Least Privilege plus Segmentierung: Jeden Desktop-Agenten wie Hochrechte-Software behandeln.
- Markt und Regulierung: DSGVO, GDPR und Wettbewerb begrenzen „technologie ohne Grenzen“.
Technik kann neutral sein — Unternehmen nicht. Je größer die Fähigkeit, desto stärker die Selbstbindung — das darf kein Geheimnis sein, das Nutzer per Reverse Engineering entdecken.
Primärquellen und autoritative Berichte (Links vor Zitieren erneut prüfen):
thereallo.dev: Claude Code Prompt Steganography (Original-Reverse-Engineering)
The Register: Claude Desktop changes software permissions without consent
Drittanalyse und Security-Forschung:
Malwarebytes: Claude Desktop Native Messaging
Antiy Labs: Risikoanalyse Claude Desktop Native Messaging
Hacker News: Claude Code Steganography Diskussion
Wenn AI-Coding-Agenten 7×24 in auditierbaren, isolierten Produktionsumgebungen laufen sollen, erzeugen geteilte VMs mit Hypervisor-Overhead und unkontrollierbare systemweite Injectionen Compliance- und Stabilitätsrisiken — unabhängig von der Modellqualität. Für Zero-Loss-Native-Compute, stabile iOS-CI/CD und 7×24 AI-Agent-Automatisierung ist ZUKCLOUDs dedizierter Bare-Metal-Mac-mini-Cloud-Knoten meist die bessere Wahl: exklusive Apple-Silicon-Physik, kein Hypervisor-Verlust, 7×24 online, flexible Tages-/Wochen-/Monatsbestellung. Im Bare-Metal-Architektur-Manifest argumentieren wir aus UMA-Zero-Copy- und MDM-Orchestrierungsperspektive: Agenten in einer vollständig kontrollierten physischen Grenze zu betreiben, ist eine der pragmatischsten Engineering-Antworten auf Overreach undurchsichtiger Desktop-Tools.