Was genau wurde gehackt?

Die experimentelle Chrome-Erweiterung Claude in Chrome, die dem KI-Assistenten Anthropic Claude erweiterte Rechte auf Browserinhalte, Tabs, Formulare und Cloud-Dienste gibt. Sicherheitsforscher konnten die Vertrauensarchitektur erneut umgehen.

Warum hielt der Sicherheitsfix nur 3 Stunden?

Der Patch hat laut Forschern nur einzelne Angriffspfade blockiert, statt das grundlegende Vertrauensmodell zwischen Claude und anderen Erweiterungen neu zu gestalten. Sobald ein alternativer Kommunikationsweg gefunden wurde, war der Fix wieder ausgehebelt.

Welche Daten sind potenziell gefährdet?

Browser-Sessions, Cookies, Inhalte aus Google Drive, Microsoft 365, GitHub-Repositories, interne Dokumente, Formulareingaben und Cloud-Konsolen. Alles, worauf Claude im Browser zugreifen darf, ist potenziell exfiltrierbar.

Sind andere KI-Browser-Agenten ebenfalls betroffen?

Das konkrete Bypass-Verfahren betrifft Claude. Das strukturelle Problem – KI-Agenten mit weitreichenden Browserrechten – betrifft jedoch praktisch alle aktuellen Agentic-AI-Lösungen, von OpenAI Operator bis zu Open-Source-Browser-Agents.

Sollten Unternehmen Claude in Chrome jetzt deinstallieren?

Solange ein dauerhafter Fix nicht bestätigt ist, ja – zumindest auf Geräten mit Zugriff auf sensible Cloud-Dienste, Entwickler-Tools oder Unternehmensdaten. Mindestens sollten die Berechtigungen drastisch reduziert werden.

Was ist Agentic AI und warum ist sie so riskant?

Agentic AI bezeichnet KI-Systeme, die selbstständig Aktionen ausführen – Klicks, Logins, API-Calls, Dateioperationen. Sie kombinieren KI-Logik mit echten Systemrechten. Wird ein solcher Agent missbraucht, wirken seine Aktionen aus Sicht des Systems legitim.

Claude erneut gehackt: Fix nach 3 Stunden umgangen

Kurzantwort

Sicherheitsforscher haben die Chrome-Erweiterung von Anthropic Claude erneut kompromittiert. Ein frisch veröffentlichter Sicherheitsfix wurde innerhalb von rund 3 Stunden wieder umgangen. Das Kernproblem: Claude besitzt als Agentic-AI-Agent tiefe Browserrechte – und andere Erweiterungen können diese Rechte missbrauchen, ohne selbst privilegiert zu sein.

Was genau passiert ist

Betroffen ist die experimentelle Browser-Erweiterung Claude in Chrome. Sie erlaubt dem KI-Assistenten, direkt mit Webseiten, Browserdaten und verbundenen Diensten zu interagieren. Genau diese tiefen Rechte werden jetzt zum Problem: Sicherheitsforscher demonstrierten, dass andere Browser-Erweiterungen mit Claude kommunizieren und die KI dazu bringen können, Aktionen mit deren privilegierten Rechten auszuführen. Eine bösartige Erweiterung benötigt kaum eigene Berechtigungen – sie nutzt die von Claude.

Brisant: Damit wird das Sicherheitsmodell von Chrome – jede Erweiterung soll nur das dürfen, was der Nutzer explizit erlaubt – praktisch ausgehebelt. Nicht durch eine klassische Lücke im Browser, sondern durch das Vertrauensmodell der KI selbst.

Vertrauensarchitektur: Was die KI im Browser darf

Damit Claude produktiv arbeiten kann, erhält die KI weitreichende Berechtigungen – die im Missbrauchsfall direkt zum Angriffswerkzeug werden:

Browserinhalte lesen

Tabs, Formulare, Texte, gerenderte Seiten – alles im Klartext sichtbar

Sessions & Cookies nutzen

Eingeloggter Zugriff auf M365, Google, Banking, GitHub – ohne MFA-Reibung

Cloud-Dokumente abrufen

Google Drive, OneDrive, Notion, Confluence – KI sieht, was der Nutzer sieht

Aktionen automatisieren

Klicken, tippen, absenden, hochladen – legitime UI-Aktionen, nicht erkennbar als Angriff

API- & Cloud-Konsolen

AWS, Azure, GCP – produktive Konfigurationen können verändert werden

Code-Repositories

GitHub-Inhalte lesen, Commits analysieren, Secrets ableiten

Warum der Fix nur 3 Stunden hielt

Anthropic reagierte schnell und veröffentlichte einen Patch. Doch dieser wurde laut Sicherheitsforschern in rund drei Stunden erneut umgangen. Der Grund: Statt das Vertrauensmodell grundlegend zu überarbeiten, wurden offenbar nur einzelne Angriffspfade blockiert.

3 h

bis Bypass

Bypass binnen Wochen

∞

mögl. Folgepfade

Bei KI-Agenten mit tiefen Systemrechten reicht ein oberflächlicher Fix nicht. Sobald ein Angreifer einen alternativen Kommunikationskanal zwischen Erweiterungen findet, hängen die Schutzmechanismen wieder in der Luft – genau das ist hier geschehen.

Angriffsszenarien, die jetzt realistisch sind

Sicherheitsforscher demonstrierten verschiedene Szenarien – aus Sicht klassischer Sicherheitslösungen wirken viele davon legitim, weil die KI die Rechte tatsächlich besitzt:

▸Inhalte aus Google Drive & OneDrive exfiltrieren
▸GitHub-Repositories analysieren oder klonen
▸Sensible Unternehmensdokumente zusammenfassen & versenden
▸Browser-Sessions in Cloud-Konsolen missbrauchen
▸OAuth-Grants stillschweigend ausweiten
▸Formulare ausfüllen und Aktionen automatisiert auslösen
▸Sitzungstoken auf C2-Server abfließen lassen
▸Nutzerinteraktionen imitieren (Buttons, Bestätigungen)

Erkennungslücke: Klassische Antivirus- oder EDR-Lösungen achten auf verdächtige Prozesse, Malware-Signaturen und auffällige Netzwerkkommunikation. Hier handelt eine legitime KI innerhalb erlaubter Prozesse – das Verhalten sieht sauber aus.

Das eigentliche Problem: KI-Agenten mit zu vielen Rechten

Der Vorfall ist symptomatisch. Unternehmen integrieren Agentic-AI-Systeme mit weitreichenden Berechtigungen – schneller, als Sicherheitskonzepte dafür existieren. Ein kompromittierter KI-Agent besitzt unter Umständen mehr Rechte als einzelne Mitarbeiter:

Microsoft 365 / Google Workspace

Mail, Drive, Kalender, Teams – KI sieht und versendet

GitHub & Entwickler-Tools

Repos, Issues, Secrets, Pipelines, Tokens

Lokale Dateien & Cloud-Storage

Sync-Ordner, Dropbox, Box, S3, SharePoint

CRM, ERP, Wissensdatenbanken

HubSpot, Salesforce, Notion, Confluence, Jira

Terminal- & Shell-Zugriff

Agentic Coding, ausführbare Befehle, Build-Systeme

API-Steuerung

REST/GraphQL-Endpunkte mit produktiven Berechtigungen

Sofortmaßnahmen für Unternehmen

Behandeln Sie KI-Agenten wie hochprivilegierte Systeme. Diese sechs Schritte reduzieren das akute Risiko deutlich:

1
Claude-Erweiterung deaktivieren oder deinstallieren
Auf allen Arbeitsgeräten mit Zugriff auf produktive Daten – mindestens bis ein dauerhaft wirksamer Fix bestätigt ist.
2
Browser-Sessions und Tokens widerrufen
Microsoft 365, Google Workspace, GitHub, Cloud-Konsolen, SaaS-Dienste – aktive Sessions invalidieren und neu anmelden.
3
Berechtigungen aller Browser-Erweiterungen prüfen
Welche Erweiterung darf was lesen, ändern, exfiltrieren? Alles Nicht-Notwendige entfernen oder per Application Control sperren.
4
KI-Zugriffe auf Cloud-Dienste segmentieren
Claude/ChatGPT/Copilot dürfen nicht automatisch alle Daten sehen – getrennte Konten, minimale Scopes, OAuth-Reviews.
5
EDR/XDR um Browser- und KI-Telemetrie erweitern
Auffällige Datenabflüsse aus dem Browser, ungewöhnliche API-Calls oder neue OAuth-Grants müssen alarmieren.
6
KI-Nutzungsrichtlinie aktualisieren
Welche KI-Agenten sind erlaubt? Welche Datenkategorien? Wer überprüft? Schriftlich, verbindlich, mit Schulung.

Minimale Rechte (PoLP)

KI-Agenten erhalten nur die wirklich nötigen Scopes – nichts darüber hinaus

Browser-Erweiterungen kontrollieren

Application Control, Allowlists, kein Mix aus KI-Agent + beliebiger Extension

Cloud-Zugriffe segmentieren

Eigene Konten und Token-Scopes für KI – getrennt vom Nutzer-Account

Zero-Trust für KI-Agenten

Jeder Agent gilt als potenziell kompromittiert – Re-Auth, kurzlebige Tokens

EDR/XDR + Browser-Telemetrie

Datenabflüsse, OAuth-Grants und neue Tokens müssen alarmieren

Entwicklerzugriffe absichern

GitHub-, API- und Terminalrechte mit zusätzlicher MFA und Approval-Flows

EDR / XDR Service ansehen Kostenlose Sicherheitsanalyse

Wasacon-Einschätzung

Die größte Gefahr moderner KI-Systeme ist aktuell nicht die KI selbst, sondern die Kombination aus enormen Berechtigungen und unausgereiften Sicherheitsmodellen. Wer KI-Agenten produktiv einsetzt, gibt ihnen Zugriff auf E-Mail, Cloud-Dokumente, Repositories und Konsolen – und damit potenziell auf das Tafelsilber des Unternehmens.

Klassische Schutzmaßnahmen wurden nicht für autonome KI-Agenten entwickelt. 2026 brauchen Unternehmen ein eigenes KI-Sicherheitskonzept: Inventarisierung aller eingesetzten KI-Agenten, minimale Rechte, getrennte Identitäten, Browser-Telemetrie und schriftliche Nutzungsrichtlinien. Wer das verschiebt, akzeptiert ein Risiko, dessen Eintrittswahrscheinlichkeit gerade dramatisch steigt.