Verseuchte Claude-Code-Erweiterung bei Cursor: So prüfen Firmen ihre Entwicklerrechner

Am 29. Oktober hat Cursor, der Hersteller eines verbreiteten KI-Code-Editors, einen Sicherheitsvorfall gemeldet. In seinem eigenen Erweiterungsmarktplatz lag rund elf Stunden lang eine manipulierte Fassung der Erweiterung Claude Code. Sie trug den echten Namen und die echte Kennung von Anthropic, kam aber nicht von Anthropic. Wer sie in dieser Zeit installiert oder automatisch aktualisiert hat, hat sich Schadcode auf den Rechner geholt.

Das betrifft nicht jeden, der Claude Code nutzt. Es betrifft aber genau die Rechner, auf denen in vielen Firmen die meisten Zugänge liegen: die der Entwickler. Wir haben die Sicherheitsmeldung von Cursor gelesen, die Versionen in den offiziellen Marktplätzen nachgesehen und zeigen, wie Sie in wenigen Minuten prüfen, ob ein Rechner betroffen ist.

Was passiert ist

Laut der Meldung von Cursor waren die Versionen 2.1.312 und 2.1.313 der Erweiterung Anthropic.claude-code im Marktplatz von Cursor manipuliert, für Windows und macOS. Der Zeitraum: 29. Oktober 2026 von etwa 2:27 Uhr bis 13:35 Uhr Pazifikzeit. In deutscher Zeit war das von 10:27 Uhr bis 21:35 Uhr. Cursor nennt gegenüber der Presse höchstens 5.000 betroffene Nutzer.

Wie die manipulierte Fassung in den Marktplatz kam, sagt Cursor bisher nicht. Anthropic stellt klar, dass die eigenen Kanäle sauber sind. David Dworken, Sicherheitsingenieur bei Anthropic, schrieb: „The versions on our official channels including VS Code and OpenVSX are not affected.“ Wer VS Code mit dem Marktplatz von Microsoft nutzt oder Open VSX, ist also nach heutigem Stand nicht betroffen.

Cursor hat die Version entfernt, den Marktplatz vorübergehend abgeschaltet, die eigenen Schlüssel gewechselt und nach eigener Aussage keine weiteren manipulierten Erweiterungen gefunden. Der Server der Angreifer ist abgeschaltet.

Was der Schadcode tat

Die Beschreibung von Cursor ist ungewöhnlich ausführlich. Der Schadcode startete schon beim Laden der Erweiterung, also beim Öffnen des Editors. Ein Chat mit Claude war nicht nötig. Dann tat er drei Dinge:

Er sammelte Daten über den Rechner: Rechnername, Benutzername, Betriebssystem, Architektur, Benutzerordner, die Namen der Umgebungsvariablen, die Arbeitsordner, die E-Mail-Adresse aus der Git-Einstellung und die öffentliche IP-Adresse. Die Inhalte der Umgebungsvariablen nennt Cursor nicht, nur ihre Namen. Schon die Namen verraten aber oft, welche Dienste ein Entwickler nutzt.

Er trug einen fremden SSH-Schlüssel mit dem Kommentar svc-telemetry in die Datei authorized_keys ein, versuchte den SSH-Dienst des Rechners einzuschalten und einen umgekehrten Tunnel zum Server der Angreifer aufzubauen. Über so einen Tunnel hätten die Angreifer von außen auf den Rechner zugreifen können, auch hinter einer Firewall.

Und er richtete sich so ein, dass er nach einem Neustart wieder anläuft: auf dem Mac über einen Startdienst, der sich als Apple-Dienst tarnt, unter Windows über eine geplante Aufgabe und ein Skript im Autostart. Etwa alle 60 Sekunden versuchte er den Tunnel neu.

Eine gute Nachricht steckt in der Meldung auch. Laut Cursor scheiterte der Tunnel in den meisten Fällen, weil das Einschalten des SSH-Dienstes Administratorrechte braucht, die eine Erweiterung normalerweise nicht hat. Das Auslesen der Rechnerdaten lief aber auch ohne diese Rechte.

Warum die Versionsnummer allein nichts beweist

Viele Anleitungen sagen jetzt sinngemäß: Wer 2.1.312 oder 2.1.313 hat, ist betroffen. Wir haben am 1. November in den beiden offiziellen Marktplätzen nachgesehen, welche Versionen es dort gibt. Das Ergebnis ist genauer.

Version	Microsoft-Marktplatz	Open VSX
2.1.311	26.10.2026	26.10.2026
2.1.312	27.10.2026	27.10.2026
2.1.313	nicht vorhanden	nicht vorhanden
2.1.314	30.10.2026	30.10.2026
2.1.316	nicht vorhanden	31.10.2026

Die Version 2.1.312 gibt es also auch in einer sauberen Fassung von Anthropic, veröffentlicht zwei Tage vor dem Vorfall. Wer sie aus dem Microsoft-Marktplatz oder von Open VSX hat, muss sich keine Sorgen machen. Die Version 2.1.313 dagegen hat Anthropic nie veröffentlicht. Sie stammt nur aus dem manipulierten Paket bei Cursor. Wer sie findet, hat mit sehr hoher Wahrscheinlichkeit die verseuchte Fassung.

Entscheidend sind deshalb drei Fragen zusammen: Welcher Editor, also Cursor oder VS Code? Welche Version? Und wurde sie am 29. Oktober installiert oder aktualisiert? Nur wenn alle drei passen, wird es ernst. Am sichersten ist trotzdem die Prüfung auf die Spuren am Rechner, denn die hängt an keiner dieser Antworten.

So prüfen Sie einen Rechner

Cursor stellt für macOS und Windows Prüfskripte bereit, die nicht nur suchen, sondern auch aufräumen. Für eine erste Prüfung reicht aber ein einzelner Befehl.

Auf dem Mac im Terminal, als der normale Benutzer:

grep svc-telemetry ~/.ssh/authorized_keys
ls -la ~/Library/LaunchAgents/com.apple.sysmond.plist ~/.config/.smt ~/.config/.smtk

Unter Windows in der PowerShell:

Select-String -Path "$env:USERPROFILE\.ssh\authorized_keys" -Pattern svc-telemetry
Select-String -Path "$env:ProgramData\ssh\administrators_authorized_keys" -Pattern svc-telemetry
Get-ScheduledTask -TaskName SysMon -ErrorAction SilentlyContinue
Test-Path "$env:APPDATA\Microsoft\Windows\Start Menu\Programs\Startup\sysmon.cmd"

Gibt keiner der Befehle etwas aus und meldet Test-Path den Wert False, ist der Rechner nach den bekannten Merkmalen sauber. Cursor nennt dazu noch die Adresse 134.209.82.225. Wer eine Firewall mit Protokoll hat, kann dort nach Verbindungen zu dieser Adresse am 29. und 30. Oktober suchen, auf Port 22 oder 8099.

Wir haben die Befehle für Linux auf unserem eigenen Server laufen lassen, der keinen Cursor nutzt. Kein Treffer, wie erwartet. Betroffen waren laut Cursor nur Windows und macOS. Die Merkmalsliste nennt aber auch Spuren für Linux, nämlich einen Eintrag in der Crontab, der beim Start ~/.config/.smt ausführt. Wer Cursor unter Linux nutzt, sieht zur Sicherheit mit crontab -l nach.

Wenn ein Rechner betroffen ist

Dann reicht Deinstallieren nicht. Cursor rät zu diesen Schritten, und wir halten die Reihenfolge für richtig:

1. Den Rechner vom Netz nehmen, bevor etwas gelöscht wird.
2. Den fremden Schlüssel, die Autostart-Einträge und laufende Prozesse mit ssh -N -R oder autossh entfernen, am besten mit den Skripten von Cursor. Sie melden einen Fehler, wenn noch etwas übrig ist.
3. Eine Neuinstallation des Rechners erwägen. Bei einem Entwicklerrechner mit Zugängen zu Kundensystemen würden wir das tun.
4. Alle Zugangsdaten wechseln, die von diesem Rechner erreichbar waren: Git, Cloud-Zugänge, API-Schlüssel für KI-Dienste, Datenbanken. Und zwar von einem anderen, sauberen Rechner aus.

Ob ein Fall nach der DSGVO meldepflichtig ist, hängt davon ab, ob personenbezogene Daten betroffen sein können. Rechner- und Benutzernamen und eine Git-E-Mail-Adresse sind personenbezogen. Das sollte der Datenschutzbeauftragte bewerten, und zwar innerhalb der 72 Stunden aus Art. 33 DSGVO, die ab Kenntnis laufen.

Was der Vorfall für Firmen heißt

Der Angriff zielte nicht auf Claude selbst, sondern auf den Weg, auf dem die Erweiterung zum Rechner kommt. Das ist ein klassischer Angriff auf die Lieferkette, und KI-Werkzeuge sind dafür ein dankbares Ziel. Sie sind beliebt, sie werden oft und automatisch aktualisiert, und sie laufen dort, wo die wertvollsten Zugänge liegen.

Drei Dinge würden wir jetzt festlegen, wenn sie noch nicht geregelt sind.

Erstens die Quelle. Welche Editoren und welche Marktplätze sind im Betrieb erlaubt? Cursor und VS Code beziehen dieselbe Erweiterung aus verschiedenen Quellen, und genau das hat hier den Unterschied gemacht.

Zweitens die Updates. Automatische Aktualisierung von Erweiterungen ist bequem und meistens richtig, weil sie Sicherheitslücken schnell schließt. Auf Rechnern mit Zugang zu Kundensystemen kann eine kurze Wartezeit vor neuen Versionen aber sinnvoll sein. Dieser Vorfall war nach elf Stunden erledigt.

Drittens die Rechte. Dass der Tunnel meistens scheiterte, lag an fehlenden Administratorrechten. Entwickler, die dauerhaft als Administrator arbeiten, hätten den vollen Schaden gehabt.

Wie Erweiterungen für Claude Code mit den Rechten des Nutzers laufen, haben wir in Claude Code Mods und Sicherheit beschrieben. Wie man neue Versionen von Werkzeugen kontrolliert in den Betrieb lässt, statt sie blind zu übernehmen, steht auf unserer Seite zur Update-Schleuse. Und wer KI-Agenten im Betrieb Grenzen setzen will, findet bei AgentGuard unseren Ansatz dafür.

Wenn Sie wissen wollen, welche KI-Werkzeuge in Ihrer Firma aus welchen Quellen laufen, sprechen Sie mit uns.

Quellen

Alle abgerufen am 01.11.2026.

• Cursor: Security notice: malicious version of Anthropic.claude-code (2.1.312 and 2.1.313) identified in the Cursor VS Code Extension Marketplace, veröffentlicht 29.10.2026, aktualisiert 30.10.2026 (Versionen, Zeitraum, Plattformen, Verhalten des Schadcodes, Merkmale, Abhilfe)
• The Hacker News: Official Claude Code VS Code extension on Cursor Marketplace trojanized, 30.10.2026 (Angabe von Cursor „at most 5,000 users“, Aussagen von David Dworken und Felix Rieseberg, Anthropic)
• OX Security: Malicious Claude Code Extension Installs SSH Backdoor via Cursor, 30.10.2026
• Open VSX: Anthropic/claude-code, Versionsliste über die Schnittstelle open-vsx.org/api/Anthropic/claude-code, eigene Abfrage
• Visual Studio Marketplace: Claude Code for VS Code, Versionsliste über die öffentliche Abfrageschnittstelle, eigene Abfrage
• DSGVO: Art. 33 Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde

Stand: 1. November 2026. Die Merkmale stammen aus der Meldung von Cursor in der Fassung vom 30. Oktober. Wenn Cursor oder Anthropic neue Erkenntnisse veröffentlichen, kann sich das Bild ändern.