Spyware-Vorwurf: Claude Desktop ändert Browser-Zugriff ohne Zustimmung

Claude Desktop für macOS legt Konfigurationsdateien für Chromium-basierte Browser an, selbst wenn diese gar nicht installiert sind. Das geht aus einem Bericht von The Register hervor. Datenschutzberater Alexander Hanff bezeichnet das Verhalten in einem Blogpost als Spyware. Anthropic hat sich zu dem Vorwurf bisher nicht geäußert.

Was macht Claude Desktop konkret?

Die Anwendung schreibt eine Manifest-Datei für Native Messaging mit dem Namen com.anthropic.claude_browser_extension.json in die Konfigurationsverzeichnisse von sieben Browsern. Native Messaging ist eine Chrome-Schnittstelle, über die Browser-Erweiterungen lokal installierte Programme aufrufen dürfen. Betroffen sind Chrome, Brave, Edge, Chromium, Arc, Vivaldi und Opera. Die Datei autorisiert drei IDs für Chrome-Erweiterungen vorab.

Hanff hat das Verhalten beim Debuggen einer eigenen Anwendung mit Native Messaging entdeckt. Auf einer Test-Maschine fand er nach eigener Schilderung 31 Installations-Ereignisse im Log von Claude Desktop. Beim Löschen der Manifest-Datei wird diese laut Hanff beim nächsten Start neu angelegt.

Anzeige

Wie wird der Vorwurf bewertet?

Hanff sieht in seinem Blogpost einen Verstoß gegen Artikel 5 Absatz 3 der ePrivacy-Richtlinie. Der Artikel verlangt eine ausdrückliche Einwilligung für den Zugriff auf Endgeräte. Eine formale Beschwerde hat Hanff nach eigener Aussage noch nicht eingereicht.

Sicherheitsforscher Noah M. Kenney von Digital 520 widerspricht dem Spyware-Label. Der Begriff Spyware setzt laut Kenney aktiven, verdeckten Datenabfluss voraus. Kenney bestätigt aber gegenüber The Register die technischen Befunde von Hanff. Er beschreibt die Konstruktion als „vorpositionierte Integrationsschicht“. Aus seiner Sicht erweitert das die Angriffsfläche.

Laut Anthropic erreichen Prompt-Injections in Claude für Chrome ohne Schutzmechanismen eine Erfolgsquote von 23,6 %. Bei Prompt Injections schmuggeln Angreifer manipulierte Anweisungen in Inhalte, die der KI-Agent verarbeitet. So übernehmen sie die Kontrolle über das Modell. Mit aktuellen Schutzmaßnahmen liegt die Erfolgsquote bei 11,2 %.

Hintergrund zur grundsätzlichen Risikolage liefert die Cornerstone-Analyse zu OpenClaw und der Sicherheitsfrage. Das Lethal Trifecta wird im Artikel zum Sandboxing-Versagen eingeordnet.