Claude Code Malware: Gefälschte Erweiterung in Cursor

Wenn du mit Cursor arbeitest und dort die Claude-Code-Erweiterung installiert hast, solltest du heute zehn Minuten in deinen Rechner investieren. Im Cursor-Marktplatz lag am 29. Oktober eine manipulierte Version, die eine Hintertür einrichtet. Die Hintertür bleibt, auch wenn du die Erweiterung entfernst.

Was ist bei der Claude-Code-Erweiterung in Cursor passiert?

Cursor hat eine Sicherheitsmeldung veröffentlicht: Am 29. Oktober 2026 wurden zwischen etwa 2:27 Uhr und 13:35 Uhr Pazifikzeit manipulierte Versionen der Erweiterung Anthropic.claude-code verteilt, und zwar 2.1.312 und 2.1.313 für macOS und Windows. Laut Cursor wurden diese Versionen nicht von Anthropic entwickelt. heise nennt für denselben Zeitraum 10:27 bis 21:35 Uhr MEZ. Das sind gut elf Stunden.

Am 30. Oktober um 11:30 Uhr Pazifikzeit hat Cursor die Meldung aktualisiert. Die Liste der Erkennungsmerkmale wurde ergänzt und die betroffenen Versionen genauer angegeben. Zuerst war nur von 2.1.313 die Rede, jetzt sind es beide Versionen. Das bestätigt auch das Sicherheitsunternehmen Phorion, das die Schadsoftware analysiert hat.

Wie viele Menschen betroffen sind, steht nicht in Cursors Meldung. heise beruft sich auf Reuters und nennt bis zu 5.000 Nutzer.

Stand: Oktober 2026.

Was macht die Schadsoftware?

Laut Cursor sammelt der Code Informationen über deinen Rechner und dein Benutzerkonto. Dann versucht er:

• einen SSH-Schlüssel der Angreifer in die Datei ~/.ssh/authorized_keys einzutragen (Kommentar: svc-telemetry),
• den SSH-Dienst einzuschalten,
• einen Reverse-SSH-Tunnel zu öffnen, also eine Verbindung von deinem Rechner nach außen, über die die Angreifer zurück auf deinen Rechner kommen.

Damit das nach einem Neustart weiterläuft, legt die Schadsoftware auf dem Mac einen LaunchAgent namens com.apple.sysmond an. Unter Windows ist es eine geplante Aufgabe SysMon, als Ersatz dient ein Autostart-Skript. Die Namen sehen bewusst nach Systemdiensten aus.

Laut Phorion startet der Code schon beim Laden der Erweiterung. Du musst sie also nicht einmal benutzt haben. Neben Hostname und Benutzername gehen auch deine Git-E-Mail und die Namen von Umgebungsvariablen mit Begriffen wie KEY oder TOKEN an die Angreifer. Das sind genau die Stellen, an denen API-Schlüssel liegen.

Etwas Entwarnung gibt es: Den SSH-Dienst einzuschalten braucht laut Cursor meist Administratorrechte und scheitert deshalb oft. Die Server der Angreifer sind inzwischen offline. Auf dem Mac verhindert ein Logikfehler im Skript laut heise meist, dass SSH aktiviert wird. Den Schlüssel legt die Schadsoftware trotzdem ab, richtet den Autostart ein und schickt Rechnerdaten weg.

Bin ich betroffen?

Betroffen sein kannst du, wenn du am 29. Oktober Cursor auf macOS oder Windows genutzt hast und die Claude-Code-Erweiterung in dieser Zeit eine der beiden Versionen geladen hat. Laut Cursor gibt es keine Hinweise, dass andere Versionen der Erweiterung oder die offizielle Verteilung betroffen sind. Wer Claude Code nur im Terminal nutzt, hat mit dieser Erweiterung nichts zu tun. Den Unterschied erkläre ich in Was ist Claude Code?.

Am schnellsten prüfst du es über den fremden Schlüssel. Cursor nennt dafür eine Suche nach svc-telemetry in deiner authorized_keys. Auf dem Mac geht das im Terminal so:

grep svc-telemetry ~/.ssh/authorized_keys

Kommt eine Zeile zurück, ist der Schlüssel da. Kommt nichts, ist das ein gutes Zeichen, aber noch keine Garantie. Schau zusätzlich nach dem LaunchAgent bzw. der geplanten Aufgabe SysMon. Für Windows steht ein PowerShell-Befehl in der Sicherheitsmeldung.

Was es für dich bedeutet

Wenn du als Freelancer oder in einem kleinen Team mit Cursor arbeitest, liegen auf deinem Rechner oft Zugänge zu Kundenprojekten, Servern und bezahlten APIs. Genau darauf zielt diese Schadsoftware. Ich würde in dieser Reihenfolge vorgehen:

1. Erweiterung aktualisieren. Laut heise ist 2.1.314 eine bereinigte Version. Bei Open VSX sind 2.1.314 und 2.1.316 gelistet. Hast du 2.1.312 oder 2.1.313 installiert, aktualisiere auf 2.1.314 oder neuer.
2. Nicht nur deinstallieren. Das reicht laut Cursor und Phorion nicht, weil die Schadsoftware eigene Skripte ablegt, die weiterlaufen.
3. Rechner vom Netz nehmen, wenn du den Schlüssel findest. Cursor rät, betroffene Rechner zu isolieren.
4. Hintertür entfernen. Cursor stellt zwei Bereinigungsskripte bereit: remediate-macos.sh führst du als dein normaler Benutzer aus, nicht als root. remediate-windows.ps1 führst du als Administrator aus. Sie entfernen Schlüssel, Autostart und Tunnel. Cursor empfiehlt außerdem zu prüfen, ob eine Neuinstallation nötig ist.
5. Zugangsdaten wechseln, und zwar von einem anderen Gerät aus. Cursor schreibt: alle Zugangsdaten und Sitzungen, die vom betroffenen Rechner aus erreichbar waren. In der Praxis heißt das: API-Schlüssel (auch für Claude und OpenAI), GitHub-Tokens, SSH-Schlüssel, Cloud- und Hosting-Zugänge.

Wenn dir das Terminal fremd ist und du den Schlüssel gefunden hast, hol dir Hilfe von jemandem, der sich damit auskennt. Bei Kundendaten auf dem Rechner prüfst du außerdem, ob du deine Kunden informieren musst.

Der Vorfall zeigt ein grundsätzliches Problem: Erweiterungen in Cursor und VS Code laufen mit deinen Rechten. Laut heise haben sie damit sofort Zugriff auf lokale Dateien, Quellcode und Entwicklerwerkzeuge. Ein bekannter Name im Marktplatz ist keine Garantie dafür, dass das Paket vom Hersteller kommt. Beim Thema Paketquellen sieht es ähnlich aus, siehe GitHub Package Firewall gegen bösartige npm-Pakete. Ob du Claude Code lieber direkt oder als Erweiterung in Cursor nutzt, hängt von deiner Arbeitsweise ab. Ich vergleiche beides in Claude Code oder Cursor.

Quellen

• Cursor: Security notice: malicious version of Anthropic.claude-code (2.1.312 and 2.1.313), Update vom 30. Oktober 2026
• Phorion: Official Claude Code Extension Compromise: Security Advisory
• heise online: Claude Code extension infected with malware on Cursor marketplace
• Open VSX: Versionsliste Anthropic.claude-code

Häufige Fragen

Bin ich betroffen, wenn ich Claude Code im Terminal oder in VS Code nutze?

Nach bisherigem Stand nicht. Laut Cursor gibt es keine Hinweise darauf, dass andere Versionen der Erweiterung oder die offizielle Verteilung betroffen sind. Betroffen waren die Versionen 2.1.312 und 2.1.313 aus dem Cursor-Marktplatz für macOS und Windows.

Reicht es, die Claude-Code-Erweiterung in Cursor zu deinstallieren?

Nein. Die Schadsoftware legt eigene Skripte und Autostart-Einträge an, die unabhängig von der Erweiterung weiterlaufen. Du musst den fremden SSH-Schlüssel und die Autostart-Einträge entfernen, zum Beispiel mit den Bereinigungsskripten, die Cursor bereitstellt.

Woran erkenne ich, ob die Hintertür auf meinem Rechner ist?

Das wichtigste Merkmal ist ein SSH-Schlüssel mit dem Kommentar svc-telemetry in der Datei ~/.ssh/authorized_keys. Dazu kommen ein LaunchAgent namens com.apple.sysmond auf dem Mac oder eine geplante Aufgabe namens SysMon unter Windows.

Welche Zugangsdaten sollte ich wechseln?

Alle, die vom betroffenen Rechner aus erreichbar waren: API-Schlüssel, Tokens, SSH-Schlüssel, Passwörter und laufende Sitzungen. Wechsle sie von einem sauberen Gerät aus, nicht vom betroffenen Rechner.