TL;DR: Am 29. Oktober 2026 hat der Marktplatz des Code-Editors Cursor rund elf Stunden lang manipulierte Versionen der Claude-Code-Erweiterung verteilt, 2.1.312 und 2.1.313 für Windows und macOS. Die Versionen stammten nicht von Anthropic. Sie sammelten Daten über den Rechner, versuchten einen fremden SSH-Schlüssel einzutragen und einen Tunnel nach außen aufzubauen. Wer Cursor mit Claude Code nutzt, sollte seine Rechner jetzt prüfen. Das Deinstallieren der Erweiterung reicht nicht. Und eine Lehre gilt für alle Teams mit KI-Werkzeugen: Der Angriff scheiterte laut Cursor auf den meisten Rechnern, weil er Administratorrechte gebraucht hätte.

Prüfen in einer Minute

macOS und Linux: grep -qs svc-telemetry ~/.ssh/authorized_keys && echo "Schlüssel gefunden" || echo "kein Schlüssel"

Windows (PowerShell): siehe Abschnitt „So prüfen Sie Ihre Rechner“.

Gefunden? Rechner vom Netz trennen, Zugangsdaten von einem sauberen Gerät aus wechseln, Rechner am besten neu aufsetzen.

Was passiert ist

Cursor ist ein Code-Editor auf Basis von Visual Studio Code, mit eigenem Marktplatz für Erweiterungen. Dort wird auch die Claude-Code-Erweiterung von Anthropic angeboten. Am 29. Oktober 2026 lieferte dieser Marktplatz zwischen etwa 2:27 und 13:35 Uhr Pazifikzeit, also zwischen 10:27 und 21:35 Uhr deutscher Zeit, manipulierte Versionen aus: 2.1.312 und 2.1.313, jeweils für Windows und macOS.

Laut der Sicherheitsmeldung von Cursor wurden diese Versionen nicht von Anthropic entwickelt. Cursor hat sie nach eigener Aussage entfernt, den Marktplatz vorübergehend abgeschaltet, Schlüssel ausgetauscht, den Marktplatz neu aufgebaut und mit dem Hoster den Server der Angreifer vom Netz genommen. Andere Erweiterungen wurden laut Cursor nicht verändert. Für andere Versionen der Claude-Code-Erweiterung und für die offizielle Verteilung durch Anthropic gibt es nach Cursors Angaben keine Hinweise auf eine Manipulation.

Wie die Angreifer an den Marktplatz kamen, hat Cursor bisher nicht veröffentlicht (Stand 30. Oktober 2026).

Was die manipulierte Erweiterung tat

Laut Cursor und den Analysen von Sicherheitsfirmen hat die manipulierte Erweiterung:

Der entscheidende Satz in Cursors Meldung: Das Einschalten des SSH-Dienstes und der Tunnel scheitern wahrscheinlich auf den meisten Rechnern, weil dafür Administratorrechte nötig sind. Das Sammeln und Verschicken der Daten über den Rechner brauchte diese Rechte dagegen nicht.

So prüfen Sie Ihre Rechner

Betroffen sein kann jeder Rechner, auf dem am 29. Oktober Cursor mit der Claude-Code-Erweiterung lief und sich die Erweiterung aktualisiert hat. Die Befehle stammen aus Cursors Sicherheitsmeldung.

macOS (und Linux):

grep -qs svc-telemetry ~/.ssh/authorized_keys && echo "svc-telemetry key found" || echo "No key found; machine not impacted"

Windows (PowerShell):

$files = "$HOME\.ssh\authorized_keys", "C:\ProgramData\ssh\administrators_authorized_keys" | Where-Object { Test-Path $_ }
if ($files -and (Select-String svc-telemetry $files)) { "svc-telemetry key found" } else { "No key found; machine not impacted" }

Zusätzlich lohnt ein Blick auf die Dateien, die Cursor als Spuren nennt:

System Spuren
macOS ~/.config/.smt, ~/.config/.smtk, ~/Library/LaunchAgents/com.apple.sysmond.plist, $TMPDIR/.stk_…
Windows %USERPROFILE%\.config\smt.cmd, %USERPROFILE%\.config\smtk, %TEMP%\.stk_…, sysmon.cmd im Autostart-Ordner, geplante Aufgabe SysMon
Netzwerk Verbindungen zu 134.209.82.225 in Firewall- oder Proxy-Protokollen

Die Namen sind bewusst unauffällig gewählt: „sysmond“ und „SysMon“ klingen nach Systemüberwachung, „svc-telemetry“ nach einem Dienstkonto.

Wenn Sie betroffen sind

  1. Den Rechner isolieren, also vom Netz trennen, bevor Sie weiter aufräumen.
  2. Den Schlüssel, die Startskripte und laufende Tunnel-Prozesse entfernen. Cursor stellt dafür Skripte für macOS und Windows bereit. Die Erweiterung zu deinstallieren reicht nicht, die Startskripte laufen unabhängig davon weiter.
  3. Den Rechner neu aufsetzen, wenn er für Kundenprojekte oder Zugänge zu Servern genutzt wird. Ein aufgeräumter Rechner ist kein vertrauenswürdiger Rechner.
  4. Alle Zugangsdaten wechseln, die von diesem Rechner aus erreichbar waren: SSH-Schlüssel, Git-Token, Cloud-Zugänge, API-Schlüssel in Umgebungsvariablen und .env-Dateien. Und zwar von einem anderen, sauberen Gerät aus.
  5. Protokolle prüfen: Gab es SSH-Anmeldungen mit dem fremden Schlüssel? Verbindungen zur genannten Adresse?

Auch wenn kein Schlüssel gefunden wurde: Die Informationen über Rechner, Benutzer und Git-Konto können abgeflossen sein. Wer dort Hinweise auf Kundennamen oder interne Systeme im Heimatverzeichnis oder in Umgebungsvariablen hat, sollte das im Hinterkopf behalten.

Nichts davon ist neu

Wir haben unsere eigenen Rechner geprüft: nicht betroffen. Überrascht hat uns der Vorfall trotzdem nicht. Er ist kein Fehler in Claude Code und kein Fehler eines Sprachmodells, sondern ein klassischer Angriff auf die Lieferkette: Nicht das Werkzeug wurde angegriffen, sondern der Weg, über den es auf die Rechner kommt. Genau vor diesem Weg warnen wir in diesem Blog seit Monaten.

Dass es diesmal die Claude-Code-Erweiterung getroffen hat, sagt wenig über Claude Code. Getroffen wurde der Verteilweg, und derselbe Angriff funktioniert mit jeder anderen Erweiterung: mit GitHub Copilot, Codex oder jedem anderen KI-Werkzeug im Editor, im Marktplatz von Cursor genauso wie im Marktplatz von Microsoft oder in Open VSX. Ein beliebtes Werkzeug mit vielen Installationen ist für Angreifer schlicht das lohnendste Ziel. Vor einem Jahr, im Oktober 2025, verbreitete sich der Wurm GlassWorm über Erweiterungen in Open VSX und im offiziellen Marktplatz von Microsoft. Er versteckte seinen Code in unsichtbaren Unicode-Zeichen, stahl Zugangsdaten für GitHub, npm und Open VSX und infizierte damit weitere Erweiterungen, auf die die Betroffenen Zugriff hatten. Die Regeln unten gelten deshalb unabhängig davon, welches KI-Werkzeug Sie einsetzen.

Neu ist nur, wie attraktiv dieser Weg geworden ist. Laut GitHubs Octoverse-Bericht begannen im September 2026 mehr als 40 % der Pull Requests auf GitHub mit dem ersten Entwurf eines Agenten, im März waren es noch 17 %. KI-Werkzeuge laufen inzwischen auf fast jedem Entwicklerrechner, mit Zugriff auf Quellcode, Zugangsdaten und Server. Wer dort hineinkommt, sitzt an der Quelle.

Vier Regeln, die wir seit Monaten schreiben und selbst leben, hätten diesen Angriff ins Leere laufen lassen:

1. Keine Administratorrechte, nirgends, wo es nicht sein muss. Der gefährlichste Teil des Angriffs, der Zugang von außen, scheiterte laut Cursor auf den meisten Rechnern an fehlenden Administratorrechten. Für Agenten und ihre Werkzeuge ist das bei uns Grundsatz, seit wir darüber schreiben: Im August haben wir festgehalten, dass ein MCP-Server „niemals einen Admin-Zugang“ bekommt, sondern eigene Zugangsdaten mit genau den Rechten, die seine Werkzeuge brauchen (Eigene MCP-Server mit .NET entwickeln). Im Oktober folgte die vollständige Regel: Ein Agent arbeitet nie mit Ihrem Konto und nie mit einem Admin-Token, sondern mit einem eigenen Konto ohne Administratorrechte (KI-Agenten an der eigenen Infrastruktur). Dasselbe gilt für die Menschen an den Rechnern: Wer im Alltag als normaler Benutzer arbeitet, hat diesen Angriff zum großen Teil abgewehrt, ohne von ihm zu wissen. Wie das auf Entwicklerrechnern geht, ohne dass es täglich nervt, zeigt Entwicklerrechner ohne Adminrechte: sicher und trotzdem produktiv.

2. Jede Erweiterung ist eine Lieferkette. Im September haben wir geschrieben: „Mit jedem Plugin installieren Sie eine Lieferkette“, und davor gewarnt, dass Marketplaces im einfachsten Fall beliebige Git-Repositories sind, mit allen bekannten Risiken von Typosquatting bis zum kompromittierten Maintainer-Account (Agent Plugins und Sicherheit: die neue Supply Chain). Eine Erweiterung im Editor läuft mit den Rechten des Benutzers, liest dieselben Dateien und erreicht dieselben Server. Für sie gelten deshalb dieselben Regeln wie für installierte Programme: nur aus zugelassenen Quellen, nur in freigegebenen Versionen und in sensiblen Umgebungen nicht am Tag der Veröffentlichung automatisch aktualisiert. Wie Erweiterungen, Plugins, Skills und MCP-Server zusammenhängen, ordnet Plugin, Agent, Skill oder MCP: Wer steckt eigentlich in wem? ein.

3. Der eigene Marketplace statt des öffentlichen Katalogs. Schon zum Start der Agent Plugins im August haben wir darauf hingewiesen, dass sich eigene, firmeninterne Marketplaces einbinden lassen (Agent Plugins 1.0). Wir haben das umgesetzt: Unsere eigenen Plugins, etwa die LaTeX-Schreibstube für Claude Code, verteilen wir aus einem Git-Repository auf unserem eigenen Server, und das Team bekommt nur, was dort freigegeben ist. Wie das geht, auch mit den Stolperstellen, steht seit Anfang September in Claude-Code-Plugins vom eigenen Azure DevOps Server verteilen. Ein Vorfall in einem fremden Katalog erreicht so nicht automatisch Ihre Rechner.

4. Was ein Agent nicht erreicht, kann er nicht verlieren. SSH-Schlüssel für Produktionsserver haben auf dem Rechner, auf dem KI-Werkzeuge und Erweiterungen laufen, nichts verloren. Bei uns ist das Grundsatz und Netzarchitektur zugleich: Auf einem Produktivserver läuft kein Agent, und unsere Produktivserver haben grundsätzlich keinen Internetzugang. Kein Netz nach draußen ist am Ende die beste Sandbox, die es gibt (Cross-Session Messaging). Agenten arbeiten nur auf eigenen Management-Rechnern mit eigenen Zugängen, in einer abgegrenzten Umgebung (Warum KI-Agenten im Unternehmen echte Sandboxes brauchen).

Es ist auch nicht der erste Vorfall dieser Art, den wir auseinandernehmen. Im September haben wir analysiert, wie KI-Agenten während einer Sicherheitsprüfung über einen vertrauenswürdigen Zwischendienst aus ihrer Testumgebung herauskamen (Reward Hacking und Confused Deputy: der Hugging-Face-Vorfall). Das Muster ist dasselbe: Angegriffen wird nicht das Modell, sondern das, dem alle vertrauen.

Häufige Fragen

Bin ich betroffen, wenn ich Claude Code im Terminal nutze? Nach den bisherigen Angaben nicht. Betroffen waren die Versionen 2.1.312 und 2.1.313 der Erweiterung für Windows und macOS aus dem Marktplatz von Cursor. Für die offizielle Verteilung durch Anthropic gibt es laut Cursor keine Hinweise auf eine Manipulation.

Ich nutze Visual Studio Code, nicht Cursor. Muss ich etwas tun? Nach Cursors Angaben war nur der Cursor-Marktplatz betroffen. Die Prüfung auf den Schlüssel dauert trotzdem nur einen Befehl.

Wir nutzen GitHub Copilot, nicht Claude Code. Betrifft uns das? Von diesem Vorfall nicht. Vom Muster schon: Jede Erweiterung im Editor kann auf demselben Weg manipuliert werden, unabhängig vom Hersteller. Prüfen Sie, aus welchen Quellen Ihre Erweiterungen kommen und ob sie sich unkontrolliert automatisch aktualisieren.

Reicht es, die Erweiterung zu deinstallieren? Nein. Die manipulierte Version hat Startskripte abgelegt, die unabhängig von der Erweiterung weiterlaufen. Schlüssel, Skripte und geplante Aufgaben müssen einzeln entfernt werden, oder der Rechner wird neu aufgesetzt.

Der Server der Angreifer ist abgeschaltet. Ist das Thema damit erledigt? Nein. Die Daten über den Rechner können bereits abgeflossen sein, und ein eingetragener SSH-Schlüssel bleibt gültig, bis jemand ihn entfernt. Cursor empfiehlt ausdrücklich, die Schritte trotzdem durchzuführen.

Fazit

Ein Werkzeug kann sauber sein und trotzdem manipuliert auf dem Rechner landen. Gegen diesen Fall helfen keine besseren Prompts und keine sichereren Modelle, sondern Regeln, die wir hier seit Monaten aufschreiben: arbeiten ohne Administratorrechte, Erweiterungen nur aus zugelassenen Quellen, ein eigener Marketplace und keine Zugangsdaten dort, wo fremder Code läuft. Die erste Regel allein hätte den Zugang von außen auf den meisten Rechnern verhindert. Wer alle vier befolgt, liest über solche Vorfälle, statt sie aufzuräumen.

Sie möchten Ihre Entwicklerrechner und KI-Werkzeuge absichern oder nach dem Vorfall prüfen lassen? Mehr zu unserer IT-Sicherheit, oder sprechen Sie uns direkt an.

Quellen: Cursor – Security notice: malicious Anthropic.claude-code extension · Sophos – Malicious Claude Code extension distributed through Cursor marketplace · The Hacker News – Official Claude Code extension on Cursor Marketplace trojanized · BleepingComputer – Self-spreading GlassWorm malware hits OpenVSX, VS Code registries · GitHub – Octoverse 2026