Claude Code: Rakete mit Riss im Hitzeschild

Innerhalb von weniger als 18 Monaten ist Claude Code von einem internen Kommandozeilen-Experiment zum umsatzstärksten Einzelprodukt von Anthropic geworden. Gleichzeitig hat das Unternehmen gerade eine handfeste Vertrauenskrise überstanden: Ein versteckter Tracking-Mechanismus, der chinesische Nutzer heimlich per Steganografie identifizierte, wurde Ende Juni von einem Reddit-Nutzer aufgedeckt. Beides zusammen ergibt ein seltenes Doppelporträt: ein Tool auf der Erfolgsspur, mit einem echten Riss im Vertrauensfundament.

Vom Seitenprojekt zum Kern des Unternehmens

Anthropic hat die Entstehungsgeschichte von Claude Code selbst aufgeschrieben – und die Timeline ist bemerkenswert. Im Oktober 2024 kündigte das Unternehmen öffentlich an, dass Claude Code eigenständig Code schreiben kann. Damals wurde laut Engineer Raphael Lee der Großteil der Anthropic-Labs auf das Projekt umgestellt. Anfang 2025 startete das Tool dann als Nachfolger des internen Claude CLI in die öffentliche Preview.

Was danach folgte, beschreibt Entwickler Boris Cherny in Zahlen, die wenig Interpretationsspielraum lassen: Im Februar 2025 schrieb Claude Code rund 10 Prozent seines Codes. Bis Mai stieg dieser Anteil auf 30 bis 40 Prozent. Im Winter 2025 stammte sein gesamter Code aus dem Tool. Damit beschreibt Cherny keine Ausnahme – Igor Kofman vom Technical Team räumt ein, selbst keinen Code mehr zu schreiben.

Auf Unternehmensebene ist die Entwicklung noch drastischer: Im Mai 2026 schrieb Claude mehr als 80 Prozent des produktiven Codes bei Anthropic – verglichen mit einem einstelligen Prozentanteil noch im Februar 2025. Pro Entwickler und Quartal wird heute achtmal mehr Code produziert als im Durchschnitt der Jahre 2021 bis 2025. Parallel dazu hat sich der Anteil der GitHub-Projekte mit Coding-Agent-Aktivität seit Ende 2025 mehr als verdoppelt; Nutzer von Claude Code verbringen inzwischen durchschnittlich 20 Stunden pro Woche mit dem Tool.

Finanziell schlägt sich das nieder: Claude Code erreichte nach neun Monaten auf dem Markt 2,5 Milliarden Dollar Annual Recurring Revenue und ist damit die wichtigste Einzelposition im Anthropic-Portfolio – vor allem gestützt durch Enterprise-Kunden wie Netflix, Spotify und Salesforce. Dass sich solche Produktivitätssprünge auch für Nicht-Tech-Unternehmen wiederholen lassen, zeigt das Beispiel Siemens: Das Intelligence Center X auf Basis von Claude und Amazon Bedrock meldete eine Reduktion manuellen Aufwands um 95 Prozent.

Was Metas Vibe-Coding-Ansatz mit Pocket für Mini-Games zeigt, spiegelt sich hier im Enterprise-Maßstab: KI-gestütztes Programmieren demokratisiert Entwicklung – und erhöht zugleich den Druck auf Teams, die noch manuell vorgehen.

Der Tracker: Gut gemeint, schlecht gemacht

Parallel zur Erfolgsgeschichte liegt ein Vorfall, der die Vertrauensfrage für alle Nutzer stellt – nicht nur für chinesische. Ende Juni entdeckte ein Reddit-Nutzer namens LegitMichel777 beim Reverse-Engineering von Claude Code obfuszierten Code, der seit Version 2.1.91 vom 2. April 2026 in der Software steckte – ohne einen einzigen Hinweis in den Release Notes.

Die Mechanik war technisch aufwendig: Das Tool prüfte die Systemzeitzone auf Werte wie Asia/Shanghai oder Asia/Urumqi und glich Proxy-URLs sowie Hostnamen gegen eine fest eingebaute Liste chinesischer KI-Firmen ab. Das Ergebnis wurde nicht als separate Telemetrie verschickt, sondern per Prompt-Steganografie versteckt: Das Tool tauschte das Apostroph im Satz „Today’s date is“ gegen ein optisch identisches, technisch abweichendes Unicode-Zeichen aus und änderte das Datumsformat – für Menschen unsichtbar, für Anthropics Server automatisch auslesbar. Damit die Logik im Quellcode nicht auffiel, war sie per XOR-Operation mit dem Schlüssel 91 verschleiert.

Anthropic-Ingenieur Thariq Shihipar bezeichnete die Funktion als „Experiment“, das im März gestartet worden sei, um Account-Missbrauch durch nicht autorisierte Reseller und sogenannte Distillations-Angriffe zu verhindern – also das systematische Absaugen von Modellverhalten durch Wettbewerber. Der Hintergrund: Anthropic hatte Alibaba im Juni vor dem US-Senat vorgeworfen, die bislang größte Distillations-Attacke mit Millionen manipulierter Abfragen durchgeführt zu haben. Alibaba bestreitet das.

Am 1. Juli entfernte Anthropic die Tracking-Funktion per Software-Update. Alibaba reagierte trotzdem und verbot seinen Mitarbeitern die Nutzung von Claude Code mit Wirkung zum 10. Juli – das Tool wurde intern als „Hochrisiko-Software mit Sicherheitslücken“ eingestuft. Als Alternative empfiehlt Alibaba seinen Mitarbeitern Qoder, den hauseigenen Coding-Agenten.

Das wirft eine Frage auf, die weit über China hinausgeht: Claude Code benötigt tiefe Zugriffsrechte auf das lokale Dateisystem. Wer solchen Tools Zugang zu sensiblen Projektordnern, Konfigurationsdateien und API-Keys gibt, vertraut darauf, dass der Anbieter keine verdeckten Aktionen ausführt. Dieser Vertrauensvorschuss wurde beschädigt – auch wenn nach aktuellem Stand keine Daten gegen Nutzer verwendet wurden.

Wie gefährlich unzureichend gesicherte KI-Agenten mit weitreichenden Systemrechten sein können, haben wir bereits in unserem Artikel „Fotos weg, Datenbank gelöscht“ beschrieben. Der Claude-Code-Fall zeigt: Das Problem liegt nicht nur bei schlecht konfigurierten Agenten, sondern kann direkt beim Anbieter beginnen.

Einordnung: Zwei Krisen in einer

Der Making-Of-Bericht von Anthropic ist gut gemachtes Produkt-Marketing – und gleichzeitig ehrlich genug, um als Dokument ernstzunehmen. Die Wachstumszahlen sind unabhängig belegt, die Mitarbeiterzitate konsistent. Was der Bericht erzählt, ist die Geschichte eines Tools, das seinen eigenen Anbieter verändert hat, bevor es den Markt verändert.

Der Tracker-Vorfall ist das Gegenstück. Er zeigt, wie ein Unternehmen, das sich explizit Safety-First auf die Fahne schreibt, im Wettbewerbsdruck zu Methoden greift, die es bei anderen scharf kritisieren würde. Das Motiv – Schutz vor Modell-Diebstahl – ist nachvollziehbar. Chinesische Firmen wie Alibaba können US-Modelle laut Washington Post in wenigen Monaten nachbauen, wenn sie Zugang zu deren Ausgaben haben. Die Methode – verschlüsselt, undokumentiert, aktiv vor Entdeckung geschützt – ist nicht nachvollziehbar.

Für den DACH-Markt spitzt sich die Frage zu: Wer Claude Code in produktiven Umgebungen einsetzt, sollte das Thema Tool-Governance genauso ernst nehmen wie Datenschutz und Lizenzen. Das betrifft nicht nur Entwicklungsteams, sondern auch Marketer, die mit KI-Coding-Tools Automationen, Templates oder Tracking-Setups bauen. Die DSGVO macht hier keinen Unterschied zwischen absichtlichem und „experimentellem“ Tracking – relevant ist, ob Daten ohne transparente Grundlage verarbeitet werden.

Bemerkenswert ist auch die geopolitische Dimension: Der Vorfall beschleunigt Chinas Abkehr von US-KI-Tools. Alibabas Verbots-Memo ist kein Einzelfall – er ist ein Signal an alle chinesischen Tech-Konzerne, eigene Alternativen zu priorisieren. Für westliche Anbieter bedeutet das langfristig den Verlust eines riesigen Marktes, was den Kostendruck für verbleibende Nutzer erhöhen könnte. Wir haben die wachsende europäische KI-Abhängigkeit von US-Anbietern bereits in „Codex Micro und Anthropic-Werben“ beleuchtet – der Claude-Code-Tracker gibt diesem Thema eine neue Dringlichkeit.

Was das für Teams bedeutet

1. Netzwerkverkehr von KI-Tools beobachten. Wer Claude Code oder ähnliche Agenten in der Unternehmensumgebung einsetzt, sollte gelegentlich den ausgehenden Traffic prüfen. Tools mit Dateisystemzugriff haben im Prinzip Zugriff auf alles – das verdient dieselbe Sorgfalt wie jede andere Software mit privilegierten Rechten. Technisch reicht ein einfaches Proxy-Log oder ein Netzwerk-Monitor.

2. Updates nicht blind einspielen – Changelogs lesen. Der Tracking-Code steckte seit Version 2.1.91 im Tool, ohne Release-Note-Hinweis. Automatische Updates sind komfortabel, aber bei Tools mit Systemzugriff lohnt es sich, zumindest grob zu verfolgen, was sich zwischen Versionen verändert. Differenzierte Changelogs, Sicherheitshinweise und Community-Diskussionen (z. B. auf Reddit oder GitHub) können frühe Signale liefern.

3. Tool-Auswahl nach Transparenz, nicht nur nach Features. Leistung und Preis sind offensichtliche Kriterien. Datenschutzdokumentation, offene Architektur und die Reaktionsschnelligkeit eines Anbieters bei Sicherheitsvorfällen sollten gleichwertig bewertet werden – besonders für Teams, die unter DSGVO-Anforderungen arbeiten. Anthropic hat den Code nach Aufdeckung schnell entfernt; das ist richtig. Die bessere Wahl wäre gewesen, ihn nie heimlich einzubauen.

Quellen

Beitragsbild: Foto von cottonbro studio auf Pexels

Marktnotiz

Marketing, E-Commerce & Startups – kompakt eingeordnet