Alibaba verbietet Claude Code: Anthropics verstecktes China-Erkennungscode nach 90 Tagen aufgedeckt

Hier ist meine These, und ich will, dass jemand sie widerlegt: Alibaba nennt das Ganze bewusst „Backdoor”, obwohl der Mechanismus technisch näher an einem Wasserzeichen liegt als an einem echten Fernzugriffskanal. Der Begriff ist strategisch gewählt, weil er im Streit um die Destillationsvorwürfe die maximale PR-Wirkung erzielt. Wer die Gegenposition vertritt, kann gerne mit der Code-Analyse dagegenhalten. Aber verwechselt bitte nicht die Frage, ob Anthropic getäuscht hat, mit der Frage, ob das, was gefunden wurde, tatsächlich die Kontrolle über fremde Systeme ermöglicht hätte. Das sind zwei unterschiedliche Vorwürfe, die hier in einen Topf geworfen werden.

Was passiert ist

Alibaba hat heute konzernweit ein Verbot für Anthropics Produkte verhängt. Claude Sonnet, Claude Opus, Claude Fable und das Entwicklungstool Claude Code stehen alle auf der Liste. Mitarbeitende müssen sie bis zur Frist deinstallieren und auf Alibabas eigene Coding-Plattform Qoder wechseln. Intern stufte Alibaba die Produkte nach eigener Prüfung als Hochrisiko-Software mit Sicherheitslücken ein.

Der Auslöser war ein Reddit-Beitrag. Ein Nutzer namens LegitMichel777 wollte am 30. Juni eine deaktivierte Fernsteuerungsfunktion in Claude Code wiederherstellen und stieß beim Reverse Engineering auf verschleierten Code, der nie in einem Changelog auftauchte. Er war seit Version 2.1.91 vom 2. April stillschweigend enthalten und blieb drei Monate lang unentdeckt. Der Code prüft, ob die Systemzeitzone auf Asia/Shanghai oder Asia/Urumqi steht, und gleicht Proxy-URLs mit einer fest codierten Liste chinesischer Domains ab, darunter Alibaba, Baidu, Ant Group und ByteDance.

Was die eigentliche Empörung auslöste, war die Übertragungsmethode. Statt die Ergebnisse in ein gewöhnliches Log zu schreiben, versteckte der Code die Signale mit einer steganografischen Technik im System-Prompt, der an Anthropics eigene Server zurückgesendet wird. Bei erkannter chinesischer Zeitzone wechselte das Datumsformat von Bindestrichen zu Schrägstrichen, und der Apostroph in „Today’s date is” wurde durch eines von drei optisch identischen, aber technisch unterschiedlichen Unicode-Zeichen ersetzt, je nachdem welche Regel ausgelöst wurde. Weder Nutzer noch das Modell selbst konnten etwas davon bemerken. Tom’s Hardware nannte das Verfahren ein unsichtbares Tracking-Wasserzeichen.

Thariq Shihipar, Ingenieur im Claude-Code-Team, äußerte sich auf X dazu und beschrieb den Mechanismus als ein im März gestartetes Experiment, das Account-Missbrauch durch nicht autorisierte Wiederverkäufer verhindern und vor Destillation schützen sollte. Der Pull Request zur Entfernung des Codes sei bereits am 1. Juli gemerged worden, einen Tag nach dem Reddit-Beitrag. Alibaba gab sich damit offenkundig nicht zufrieden und verhängte zehn Tage später das vollständige Verbot.

Das alles geschah nicht im luftleeren Raum. Am 10. Juni hatte Anthropic dem Bankenausschuss des US-Senats mitgeteilt, dass Akteure mit Verbindungen zu Alibabas Qwen-Labor den bislang größten bekannten Destillationsangriff auf Claude gefahren hätten, 25.000 gefälschte Konten mit 28,8 Millionen Anfragen über sechs Wochen. Die Details und rechtlichen Grauzonen dieser Anschuldigung habe ich in meinem Beitrag vom 27. Juni aufgeschlüsselt. TechCrunch hatte beide Geschichten bereits auf derselben Zeitlinie verortet, und der Fund des versteckten Erkennungscodes lieferte Alibaba ein zusätzliches Argument für die eigene Gegenoffensive.

Was die Zahlen wirklich zeigen

Zuerst der Begriff „Backdoor”. In der Sicherheitsterminologie meint das üblicherweise einen Kanal, der die reguläre Authentifizierung umgeht und einer außenstehenden Partei Kontrolle über ein System verschafft. Das, was in Claude Code gefunden wurde, passt nicht zu dieser Definition. Es steuert nicht fernab das Gerät der Nutzenden. Es leitet ein paar Umgebungsmerkmale über einen bereits existierenden Datenkanal, den System-Prompt, an Anthropics eigene Server zurück. Das ähnelt eher einem Wasserzeichen oder einem Verhaltensfingerabdruck zur Erkennung verdächtigen automatisierten Traffics als einer Backdoor, die jemandem die Kontrolle übergibt. Alibaba hat sich für den Begriff mit der größten Wirkung entschieden.

Es allein als Anti-Betrugs-Maßnahme abzutun, hält aber ebenso wenig stand. Anthropics eigener Ingenieur räumt ein, dass das Experiment im März startete, aber nie in einem einzigen Changelog-Eintrag auftauchte, bis ein externer Nutzer das Tool reverse-engineerte. Die Verschleierung selbst war mehrschichtig aufgebaut: Zeitzonenprüfung, Proxy-Domain-Abgleich, dann die Kodierung des Ergebnisses über optisch identische, aber technisch unterschiedliche Unicode-Zeichen. Dieser Aufwand übersteigt deutlich das, was ein normales Missbrauchs-Logging erfordern würde. Die Absicht, unentdeckt zu bleiben, wiegt hier schwerer als die Absicht, Betrug zu verhindern.

Die Kostenrechnung macht das Ungleichgewicht deutlicher. Der von Anthropic behauptete Destillationsangriff mit 28,8 Millionen API-Anfragen hätte schätzungsweise 86.000 bis 115.000 US-Dollar gekostet. Die Entdeckung des versteckten Codes zwingt im Gegenzug mehr als 200.000 Alibaba-Beschäftigte innerhalb von zehn Tagen zu einer konzernweiten Tool-Migration. Die technischen Kosten unterscheiden sich um zwei Größenordnungen, aber was Anthropic tatsächlich zahlt, ist ein Vertrauensverlust, der auf keiner Rechnung auftaucht und der das Unternehmen in jedes künftige Gespräch mit Regierungs- und Konzernkunden begleitet, denen Datensouveränität wichtig ist.

Auch der Zeitverlauf selbst ist ein Signal. Zwischen dem Ausrollen des Codes am 2. April und seiner Entdeckung am 30. Juni liegen 90 Tage. Das sagt weniger darüber aus, wie gut der Mechanismus versteckt war, als darüber, wie selten jemand ein Werkzeug, das täglich genutzt wird, tatsächlich prüft. Gefunden hat es kein Sicherheitsforschungsteam bei einer Routineprüfung, sondern eine einzelne Person, die das Tool wegen einer ganz anderen Funktion auseinandergenommen hat.

Indikatoren, die als Nächstes zählen

Ob weitere chinesische Tech-Konzerne mit eigenen Audits nachziehen. ByteDance, Baidu und Ant Group stehen alle auf der fest codierten Domain-Liste. Veröffentlichen in den kommenden Wochen ein zweites und drittes Unternehmen eigene Sicherheitsbefunde oder Verbote gegen Claude Code, wird aus dem Einzelfall eine branchenweite Neubewertung des Risikos von US-KI-Tools. Aktuell liegt die Stichprobe bei eins.

Ob Anthropic eine vollständige Offenlegung liefert. Bisher gibt es nur den Beitrag eines Ingenieurs auf X, keine formale Sicherheitsmitteilung und keine Angabe, wie oft der Mechanismus ausgelöst wurde oder wie viele Nutzende betroffen waren. Ein echter Transparenzbericht mit vollständiger Trigger-Logik und Datenfluss wäre ein substanzieller Schritt zur Vertrauensreparatur. Bleibt es bei der kurzen Klarstellung in sozialen Medien, wird die Vertrauenslücke weiter wachsen.

Ob Claude for Government, noch in der Beta-Phase, zusätzliche Quellcode-Audits verlangt bekommt. Regierungskunden tolerieren nicht offengelegte Datenkanäle in der Regel deutlich weniger als typische Unternehmenskunden. Fordert eine Bundes- oder Landesbehörde deshalb im Beschaffungsprozess prüfbaren Quellcode, hat sich die Wirkung dieser Kontroverse vom China-Markt in genau das Regierungsgeschäft ausgeweitet, das Anthropic am meisten will.

Wenn dieser Artikel hilfreich war, abonniere den Newsletter für wöchentliche KI-PM-Einblicke.

Quellen:

• Alibaba bans Anthropic’s Claude Code after an alleged hidden China-detection backdoor is uncovered, Tom’s Hardware
• Alibaba reportedly bans employees from using Claude Code, TechCrunch
• China’s Alibaba bans Anthropic AI for employees after ‘distillation attack’ accusation, CNBC