Claude Code Sicherheitslücke: Wie eine CLAUDE.md-Datei unbemerkt Ihre Daten stehlen kann

Die eigentliche Neuigkeit ist nicht, dass Claude Code Symlinks folgt – das ist dokumentiert und beabsichtigt. Die Neuigkeit ist die Umgehung der Zustimmung: Die Prüfung auf externe Importe erfolgt anhand des unaufgelösten Pfads, das Lesen erfolgt anhand des aufgelösten Pfads, und der Memory-Loader erhielt nie die Symlink-Auflösungs-Korrektur, die in zwei früheren CVEs auf das Berechtigungssubsystem von Claude Code angewendet wurde .

Die Antwort von Anthropic

Tego AI meldete das Problem im Juli 2026 über HackerOne. Anthropic schloss den Bericht als „Informativ" – das Unternehmen behandelte ihn also nicht als Sicherheitslücke im Rahmen seines aktuellen Bedrohungsmodells .

Anthropics Begründung: Im Bedrohungsmodell von Claude Code stellt der „Trust this folder"-Dialog die Sicherheitsgrenze dar. Wer diesen Dialog akzeptiert, gewährt dem Projekt bereits umfassende Lese-, Bearbeitungs- und Ausführungsrechte. Tego AI bestreitet nicht, dass Anthropic dieses Modell konsequent anwendet, argumentiert aber, dass der Befund dennoch relevant ist, weil die Daten automatisch, still und ohne Wissen des Benutzers den Rechner verlassen .

Bemerkenswerterweise war das gleiche Muster des Symlink-vs.-Sicherheitspr-Check-Versagens bereits zweimal zuvor im Berechtigungssubsystem von Claude Code behoben worden:

• CVE-2025-59829 (behoben September 2025): Symlink-Umgehung von Verweigerungsregeln in Dateiberechtigungen
• CVE-2026-25724 (behoben Januar 2026): das gleiche Muster erneut, Umgehung von Verweigerungsregeln via Symlinks

Beide früheren Korrekturen lösten den Symlink vor der Berechtigungsprüfung auf – aber diese Korrektur wurde nie auf den Code-Pfad des Memory-Loaders angewendet .

Breiteres Muster: Claude-Ökosystem und KI-Coding-Tool-Sicherheit

Tego AIs Offenlegung ist der zweite Fehler im Claude-Ökosystem innerhalb einer Woche. Am 14. Juli 2026 deckte Tego auf, dass die Slack-Integration von Claude Tag durch einfachen @Claude-Text in jeder Nachricht ausgelöst werden konnte, was möglicherweise unbefugte Aktionen im Unternehmen ermöglichte .

Über Tegos Arbeit hinaus hat Claude Code in etwa einem Jahr seines Bestehens mindestens 28 CVEs angehäuft, darunter:

• Zwei kritische Sandbox-Escapes mit CVSS 10.0: CVE-2026-39861 (Symlink-Sandbox-Escape) und CVE-2026-25725 (settings.json Sandbox-Umgehung)
• CVE-2026-46406 (Juni 2026): Der /copy-Befehl schrieb Antworten in einen fest codierten, weltweit lesbaren Temp-Pfad /tmp/claude/response.md, sodass jeder lokale Benutzer Geheimnisse lesen konnte
• Check Point Research (Februar 2026): Kritische Schwachstellen (CVE-2025-59536, CVE-2026-21852), die RCE und API-Key-Diebstahl über bösartige Konfigurationsdateien auf Repository-Ebene ermöglichten

Branchenübergreifende Forschung zeigt, dass dies nicht nur Anthropic betrifft:

• GhostApproval (Wiz, Juli 2026): Symlink-Fehler in sechs KI-Code-Assistenten (Amazon Q Developer, Anthropic, Cursor, Google Gemini, GitHub Copilot, Vercel) erlaubten es einem präparierten Repository, das Tool in eine sensible Datei schreiben zu lassen, während der Benutzer das Schreiben in eine harmlose Datei genehmigte
• SymJack (Adversa AI, Mai 2026): Ein einzelner Symlink-Hijacking-Angriff, der RCE in sechs Produkten (Claude Code, Gemini CLI, Cursor, Copilot, Grok Build, Codex CLI) erreichte. Der Benutzer genehmigt eine Dateikopie; der Kernel schreibt woanders hin
• TrustFall (Adversa AI, Mai 2026): Im Repository definierte MCP-Server werden automatisch ausgeführt, sobald der Benutzer die Ordner-Vertrauensaufforderung akzeptiert

Die zugrundeliegende architektonische Spannung ist branchenweit konsistent: KI-Code-Agenten benötigen umfassende Dateisystem-, Shell- und Netzwerkzugriffe, um nützlich zu sein – aber dieser erhöhte Zugriff ist genau das Privileg, das ein Angreifer braucht. Jeder Sandbox-Escape, jede Pfad-Traversierung und jede Trust-Dialog-Umgehung entspringt dieser gleichen Herausforderung . Die Angriffsfläche schrumpft nicht; neue Funktionen fügen schneller neue Vektoren hinzu, als bestehende gepatcht werden.