Die Sicherheitsforscher von Mitiga Labs haben einen eleganten, aber gefährlichen Angriffsvektor gegen Claude Code dokumentiert. Im Kern des Problems steht die Möglichkeit, OAuth-Token, die als Konfigurationsdatei im Verzeichnis ~/.claude.json gespeichert sind, unbemerkt abzufangen und zu missbrauchen.
Die Attacke funktioniert über zwei Schritte: Zunächst müssen Angreifer ein manipuliertes npm-Paket auf dem System installieren, auf dem Claude Code mit dynamischen MCP-Servern konfiguriert ist. Das Paket enthält einen sogenannten Post-Installation-Hook – ein Skript, das automatisch nach der Installation ausgeführt wird. Dieser Hook sucht nach häufigen Clone-Speicherorten und setzt Vertrauensdialoge auf “true”. Dadurch werden keine Sicherheitswarnungen mehr angezeigt, wenn Verzeichnisse später geöffnet werden.
Der Hook bearbeitet anschließend die ~/.claude.json-Datei und manipuliert die MCP-Serveradressen so, dass sie über ein Proxy-System des Angreifers laufen. Jede Kommunikation zwischen Claude Code und den MCP-Servern wird nun abgefangen – ein klassischer Man-in-the-Middle-Angriff. Die Genialität liegt in der Persistenz: Sollte der Nutzer das OAuth-Token rotieren oder die MCP-URL ändern, wird der Hook diese Änderungen automatisch wieder rückgängig machen. Das System ist für den Nutzer völlig unsichtbar.
Das gestohlene OAuth-Token fungiert als digitaler Schlüssel mit umfassenden Zugriffsrechten zu allen mit Claude Code verbundenen SaaS-Plattformen – Google Workspace, Slack, GitHub, Salesforce und weiteren. Ein solches Token umgeht effektiv Multifaktor-Authentifizierung und ermöglicht dem Angreifer, mit den gleichen Berechtigungen wie der legitime Nutzer zu agieren.
Besonders bemerkenswert ist Anthropic’s Reaktion: Das Unternehmen lehnte die Meldung von Mitiga Labs am 12. April 2026 ab und erklärte das Problem als “out of scope”. Die Begründung war ähnlich wie bei früheren Sicherheitsmeldungen: Der Nutzer habe bereits dem Risiko zugestimmt, indem er Claude Code installiert und konfiguriert habe.
Mitiga empfiehlt Unternehmen, Claude-Code-Konfigurationsänderungen, MCP-Server-URL-Wechsel und verdächtige SaaS-API-Aktivitäten zu überwachen. Entwickler sollten npm-Installationen kritisch überprüfen und nur aus vertrauenswürdigen Quellen installieren. Da Anthropic keine offiziellen Fixes bereitstellen wird, müssen Organisationen eigenverantwortlich ihre KI-Werkzeuge schützen.