Anthropic warnt: Hacker stehlen Claude-Tokens von Abonnenten
Anthropic hat betroffene Nutzer gewarnt, dass Hacker Claude-Tokens von Abonnenten stehlen – selbst wenn diese gerade nicht arbeiten. Die Warnung folgt auf Berichte über sinkende Nutzungslimits ohne entsprechende Aktivität. In einem dokumentierten Fall beobachtete ein Nutzer, wie seine Nutzung während eines kontrollierten Zeitraums mit deaktivierten Claude-Aufgaben um 10 Prozentpunkte stieg.
Der Vorfall deutet auf gestohlene Anmeldesitzungen hin, nicht auf eine Kompromittierung der Modelle von Anthropic. Infostealer-Malware kann authentifizierte Sitzungsdaten von einem infizierten Computer kopieren. Angreifer können diese Daten anschließend wiederverwenden, um auf ein Konto zuzugreifen, ohne einen normalen Login abzuschließen.
Diese Unterscheidung ist wichtig, macht das Problem aber nicht weniger gravierend. Claude-Abonnements unterstützen inzwischen Programmierung, Recherche, Administration und agentenbasierte Arbeit, die über einen einzelnen Chat hinaus fortgesetzt wird. Dauerhafter Zugriff macht diese Arbeitsabläufe bequem. Er gibt einer gestohlenen Sitzung jedoch auch mehr Zeit und wertvollere Ressourcen zur Ausnutzung.
Der zentrale Konflikt reicht daher über eine einzelne Malware-Kampagne hinaus. KI-Anbieter möchten, dass ihre Assistenten über Browser, Computer, Kommandozeilen-Tools und Cloud-Aufgaben hinweg verfügbar bleiben. Nutzer benötigen zugleich unmittelbare Transparenz und zuverlässige Eindämmung, wenn einer dieser Zugriffswege gestohlen wird.
Was sich änderte, als die Claude-Nutzung von selbst stieg
Der deutlichste Beleg war eine weiter steigende Nutzung, nachdem der Abonnent alle bekannten Claude-Aufgaben beendet hatte.
Am 4. August bemerkte der unabhängige KI-Berater Grant de Swardt unerwartete Aktivität in seinem Claude-Konto. Er hatte nicht gearbeitet, doch das Nutzungskontingent des Kontos sank weiter. Am folgenden Tag versuchte er, die Ursache einzugrenzen, indem er verbundene Aktivitäten deaktivierte und Claude vollständig mied.
Während eines kontrollierten Zeitraums stieg seine Nutzung von 45 Prozent auf 55 Prozent. Geplante Cowork-Aufgaben waren pausiert oder abgeschlossen. Die Cloud-Ausführung war deaktiviert, und keine passende lokale Claude Code-Aufgabe war aktiv.
De Swardt beschrieb den ungeklärten Verbrauch während einer Untersuchung der Nutzung. Er bat Anthropic außerdem um eine detaillierte Aufstellung, aus der hervorging, was sein Kontingent verbraucht hatte. Seiner Darstellung zufolge stellte das Unternehmen diese Detailtiefe nicht bereit.
Anthropic sperrte stattdessen das kostenpflichtige Konto, erklärte aktive Sitzungen und serverseitige Claude Code-Tokens für ungültig und erstattete einen Teil des Betrags. Diese Reaktion stoppte die unmittelbare Aktivität, unterbrach jedoch auch de Swardts Arbeit.
Sein Unternehmen ist bei Programmierung, Website-Arbeit, Administration und Kundenprojekten auf KI-Agenten angewiesen. Er hilft kleineren Unternehmen bei der Automatisierung von Prozessen, etwa beim Übertragen von Bestellinformationen aus E-Mails in Buchhaltungssysteme. Der Verlust des Zugriffs betraf somit mehr als die gelegentliche Nutzung eines Chatbots.
Anthropic teilte ihm später mit, dass ein kompromittierter Claude-Sitzungsschlüssel verwendet worden sei, um nicht autorisierte Claude Code OAuth-Tokens zu erstellen. OAuth-Tokens sind Zugangsdaten, die einer genehmigten Anwendung Zugriff auf ein Konto ermöglichen, ohne wiederholt das Passwort des Nutzers anzufordern.
Das Unternehmen fand Berichten zufolge Aktivitäten, die zu einem nicht autorisierten Drittanbieter-Dienst passten, der Anfragen für andere Personen verarbeitete. Es konnte jedoch nicht genau feststellen, wie dieser externe Dienst Zugriff erhalten hatte.
Laut de Swardt nannte Anthropic zwei mögliche Erklärungen. Zugangsdaten oder Sitzungsdaten könnten ohne sein Wissen entwendet worden sein. Alternativ könnte das Konto mit einem externen Dienst verbunden gewesen sein, der den Zugriff beibehalten hatte.
Diese Erklärungen benennen einen wahrscheinlichen Zugriffsweg, lassen die ursprüngliche Kompromittierung jedoch ungeklärt. Sie zeigen auch, warum unerklärliche KI-Nutzung schwieriger zu diagnostizieren ist als ein gewöhnliches Zurücksetzen des Passworts.
Ein Abonnent sieht den verbrauchten Prozentsatz, doch diese Zahl identifiziert nicht zwangsläufig das verantwortliche Gerät, den Client, die Sitzung oder die Aufgabe. Lokale Claude Code-Protokolle können keine Aktivitäten erklären, die von einem Browser, einem anderen Computer oder einem nicht autorisierten Remote-Client ausgehen.
Auch das Wort „Tokens“ kann Verwirrung stiften. Ein Token ist eine kleine Texteinheit, die von einem KI-Modell verarbeitet wird, doch Abonnenten begegnen Tokens meist indirekt über Nutzungslimits. In diesem Vorfall war das sichtbare Symptom erschöpfte Abonnementkapazität statt eines einsehbaren Protokolls einzelner Modellanfragen.
Andere Nutzer beschrieben anschließend ähnliche Muster auf Reddit und GitHub. Diese Berichte bleiben individuelle Behauptungen und belegen keine genaue Zahl von Betroffenen. Nachrichten, die einige Nutzer teilten, enthielten jedoch Warnungen, dass Anthropic verdächtige Zugriffe identifiziert habe.
Diese Anbieterwarnung veränderte die Einordnung. Unerklärliche Nutzung war nicht länger nur eine Beschwerde über die Abrechnung oder ein möglicher Softwarefehler. Anthropic führte zumindest einige Fälle auf gestohlene Sitzungen und aktive Malware zurück.
Warum Hacker Claude-Tokens von Abonnenten stehlen
Eine gestohlene Claude-Sitzung verwandelt das Abonnement einer anderen Person in einen authentifizierten Pool von KI-Rechenkapazität.
Anthropic teilte betroffenen Nutzern mit, dass ein Angreifer verbreitete Infostealer-Malware nutze, um Claude-Anmeldesitzungen zu stehlen. Der Angreifer verwendete diese Sitzungen anschließend, um auf Konten zuzugreifen und deren verfügbares Nutzungskontingent zu verbrauchen.
Infostealer sind Malware-Programme, die darauf ausgelegt sind, wertvolle Informationen von einem Computer zu sammeln. Zu ihren Zielen können Browser-Cookies, gespeicherte Passwörter, Kryptowährungs-Wallets, Autofill-Daten und Anwendungszugangsdaten gehören. Eine authentifizierte KI-Sitzung ist ein weiterer wiederverwendbarer Wert innerhalb dieser Sammlung.
Die Malware muss weder das Claude-Modell überwinden noch die zentrale Infrastruktur von Anthropic angreifen. Sie zielt auf den Endpunkt, an dem der Abonnent die Authentifizierung bereits abgeschlossen hat. Dieser Endpunkt kann ein persönlicher Laptop, ein Arbeitscomputer oder ein Browserprofil mit aktiver Sitzung sein.
Dieser Angriffsweg kann den Moment umgehen, in dem die Multifaktor-Authentifizierung normalerweise eingreift. Multifaktor-Authentifizierung schützt einen neuen Login, indem sie einen weiteren Identitätsnachweis verlangt. Eine kopierte Sitzung kann den Anschein erwecken, ein bereits erfolgreich abgeschlossenes Authentifizierungsereignis fortzusetzen.
Das bedeutet nicht, dass jede gestohlene Sitzung jede Sicherheitskontrolle überwindet. Anbieter können Geräteinformationen, Standort, Netzwerkverhalten und Anfragemuster bewerten. Sie können verdächtige Zugangsdaten auch widerrufen. Die Kampagne zeigt, dass Erkennung und Widerruf nicht immer erfolgten, bevor Nutzungskapazität verschwand.
Laut der Mitteilung an betroffene Nutzer beobachtete Anthropic ein erkennbares Symptom. Nutzungslimits schienen sich wieder aufzufüllen und dann zu leeren, während der Eigentümer inaktiv war. Das Unternehmen reagierte in erkannten Fällen, indem es Nutzer abmeldete und Autorisierungen für ungültig erklärte.
Eine separate Malware-Warnung berichtete, dass Anthropic außerdem gespeicherte Zahlungsmethoden entfernte und Belastungen erstattete, die das Unternehmen als nicht autorisiert einstufte. Das Unternehmen identifizierte bei seiner Untersuchung mehrere Windows-Infostealer sowie eine auf Macs ausgerichtete Malware-Familie.
Anthropic betonte, dass das Abmelden die gestohlene Sitzung stoppt, die Malware aber nicht entfernt. Bleibt das infizierte Gerät kompromittiert, kann nach einer erneuten Anmeldung des Nutzers eine neue Sitzung gestohlen werden.
Diese Abfolge erklärt, warum das Ändern eines einzelnen Passworts das Problem möglicherweise nicht löst. Der Nutzer kann die Zugangsdaten eines Kontos ersetzen, eine neue Sitzung erstellen und diese neue Sitzung unwissentlich derselben Malware aussetzen.
Angreifer haben einen direkten wirtschaftlichen Anreiz, KI-Zugriff zu sammeln. Modellnutzung kann Programmierung, automatisierte Inhaltserstellung, Datenverarbeitung, Modellextraktion und andere Aufgaben mit hohem Volumen unterstützen. Gestohlene Kapazität verlagert Kosten und Kontorisiko auf das Opfer.
Rund um vergünstigten Zugang zu kommerziellen KI-Modellen hat sich zudem ein grauer Markt entwickelt. Einige Dienste bündeln Aktionsguthaben, betrügerische Konten, geteilte Abonnements oder nicht autorisierte Zugangsdaten hinter kompatiblen Endpunkten. Kunden senden Prompts an den Vermittler, ohne zwangsläufig zu wissen, welches Konto die Anfragen finanziert.
In Berichten über diesen Markt zitierte Sicherheitsforscher fanden Dienste, die Zugriff über mehrere Konten bündelten. Eine solche Infrastruktur bietet ein plausibles Ziel für gestohlene Kapazität, beweist jedoch nicht, dass jedes betroffene Claude-Konto dieselbe Operation versorgte.
Diese Unterscheidung sollte klar bleiben. Anthropic beobachtete Berichten zufolge einen nicht autorisierten Dienst, der de Swardts Konto für Aktivitäten unter Beteiligung anderer Personen nutzte. Die öffentlich verfügbaren Belege identifizieren weder den Betreiber noch dessen Kunden oder die vollständige kommerzielle Vereinbarung.
Der Vorfall entspricht dennoch einem vertrauten Modell der Cyberkriminalität. Malware-Betreiber stehlen wiederverwendbare Zugangsdaten, Vermittler organisieren sie, und nachgelagerte Nutzer verbrauchen die gestohlene Ressource. Verändert hat sich die Ressource, die monetarisiert wird.
Passwörter öffneten einst E-Mail- oder Bankkonten. Browser-Cookies wurden später wertvoll, weil sie nach einem Login den Zugriff bewahren konnten. Nun können KI-Sitzungen kostspielige Rechenleistung, verbundene Tools, gespeicherten Kontext und Arbeitsabläufe offenlegen, die über weitere Dienste hinweg agieren.
Dauerhafte KI-Sitzungen schaffen einen neuen Sicherheitskonflikt
Die geräteübergreifende Bequemlichkeit von Claude erhöht den Wert jeder authentifizierten Sitzung und die Kosten unzureichender Eindämmung.
Claude kann über seine Website, Desktop-Anwendungen, Mobilgeräte, Claude Code und verbundene Arbeitsabläufe genutzt werden. Nutzer erwarten, dass diese Schnittstellen ihre Identität speichern und Kontinuität gewährleisten. Eine vollständige Authentifizierung vor jeder Anfrage zu verlangen, würde die alltägliche Arbeit frustrierend machen.
Claude Code verwendet OAuth für die Authentifizierung von Abonnements. Die Authentifizierungsdokumentation von Anthropic erklärt, dass Nutzer auch Tokens für bestimmte Entwicklungsumgebungen erstellen können. Diese Zugangsdaten ermöglichen kompatiblen Tools, im Rahmen einer genehmigten Kontobeziehung zu handeln.
OAuth selbst ist nicht die in der berichteten Kampagne beschriebene Schwachstelle. Es ist ein standardisiertes Autorisierungsframework, das in moderner Software weit verbreitet ist. Das Risiko entsteht, wenn Malware gültige Zugangsdaten stiehlt, wenn sich Autorisierungen über Clients hinweg ausweiten oder wenn Nutzer den anschließenden Verbrauch nicht nachvollziehen können.
Der zentrale Gegensatz dieser Geschichte besteht daher zwischen dauerhafter Bequemlichkeit und sichtbarer Eindämmung. Dauerhafte Sitzungen machen einen KI-Assistenten über Geräte und lang laufende Arbeiten hinweg nützlich. Sichtbare Eindämmung ermöglicht es dem Kontoinhaber, jeden Pfad, der das Konto nutzt, zu identifizieren, zuzuordnen und zu beenden.
Anthropic bietet eine Seite für aktive Sitzungen, die Geräte, Browser, ungefähre Standorte und jüngste Aktivitäten anzeigt. Nutzer können Sitzungen beenden, die sie nicht wiedererkennen. Dies ist eine wichtige Kontrolle, da sie einen direkten Weg vom Verdacht zum Widerruf schafft.
Der berichtete Fall legt jedoch nahe, dass Browser-Sitzungen nur einen Teil des Gesamtbilds darstellen. De Swardt sagte, Anthropic habe sowohl seine Sitzungen als auch serverseitige Claude Code-Tokens für ungültig erklärt. Wer die Nutzung untersucht, benötigt daher einen vollständigen Überblick über jede Art von Autorisierung.
Claude Code-Tokens, Browser-Sitzungen, Desktop-Anwendungen, Erweiterungen, Cloud-Aufgaben und verbundene Dienste können jeweils einen legitimen Zugriff darstellen. Wenn diese Kategorien in getrennten Schnittstellen erscheinen, kann es für Nutzer schwierig sein, eine kontoübergreifende Zeitleiste zu rekonstruieren.
Das Problem verschärft sich, wenn KI-Arbeit asynchron läuft. Eine herkömmliche Websitzung spiegelt meist eine Person wider, die sich durch Seiten klickt. Ein KI-Agent könnte eine Aufgabe weiterverarbeiten, nachdem der Nutzer den Bildschirm verlassen hat.
Das macht Hintergrundnutzung unter bestimmten Umständen normal. Eine geplante Rechercheaufgabe, ein Coding-Prozess, ein Cloud-Agent oder ein Connector kann legitime Aktivität ohne aktive Tastatureingabe erzeugen. Dasselbe Verhalten erschwert es, unbefugte Nutzung zu erkennen.
Anbieter können helfen, indem sie die Nutzung nach Client, Gerät, Autorisierung und Aufgabe aufschlüsseln. Ein Kontoinhaber sollte grundlegende Fragen beantworten können, ohne eine individuelle Untersuchung anfordern zu müssen.
Welche Anwendung hat die Anfrage initiiert? Welche Zugangsdaten haben sie autorisiert? Wann wurden diese Zugangsdaten erstellt? Welches Gerät oder welches ungefähre Netzwerk wurde verwendet? Wie viel Kontokapazität wurde verbraucht?
Diese Details erfordern weder die Offenlegung privater Sicherheitssignale noch proprietärer Betrugserkennungssysteme. Sie bilden einen Prüfpfad für Ressourcen, die einem Nutzerkonto belastet oder davon abgezogen wurden.
Diese Erwartung existiert bereits in der Cloud-Infrastruktur. Administratoren prüfen routinemäßig Zugriffsprotokolle, API-Key-Aktivitäten, Dienstidentitäten, Ressourcenverbrauch und Abrechnungsdaten. Verbraucherorientierte KI-Abonnements unterstützen zunehmend ähnliche professionelle Arbeit, doch ihre Transparenz kann weiterhin eher einer Medienmitgliedschaft ähneln.
Diese Diskrepanz erhöht den Druck auf Anthropic. Claude wird als Arbeitsumgebung vermarktet und genutzt, insbesondere wenn Claude Code und Agenten Teil des täglichen Betriebs werden. Die professionelle Abhängigkeit steigert die Erwartungen an Prüfbarkeit und Wiederherstellung nach Vorfällen.
Sie erhöht auch den Druck auf andere KI-Anbieter. ChatGPT, Gemini, GitHub Copilot und unabhängige Coding-Tools verwalten allesamt authentifizierte Sitzungen oder API-Zugangsdaten. Ein Malware-Betreiber hat kaum einen Grund, die Datensammlung auf einen einzelnen Anbieter zu beschränken.
Die unmittelbare Kampagne betrifft laut der Warnung von Anthropic Claude. Das übergeordnete Problem betrifft jedoch jeden Assistenten, dessen Zugangsdaten relevante Rechenleistung oder verknüpfte Daten freischalten.
Unternehmen führen bereits durchsuchbare Vorfallsakten, interne Dokumentationen und Zugriffsverzeichnisse. Ein persönliches Wissenssystem kann dabei helfen, Support-Nachrichten und Reaktionsschritte festzuhalten. Es kann jedoch weder Endpunktsicherheit, den Widerruf von Zugangsdaten noch anbieterseitige Protokolle ersetzen.
Diese Grenze ist wichtig. Bessere Dokumentation unterstützt die Untersuchung, doch der Anbieter muss weiterhin die Belege bereitstellen, die zur Identifizierung unbefugter Zugriffe erforderlich sind.
Die Reaktion von Anthropic stoppt den Zugriff, lässt aber Fragen zur Transparenz offen
Anthropic ergriff konkrete Maßnahmen zur Eindämmung, doch Nutzern fehlt weiterhin eine öffentlich dokumentierte Darstellung des Umfangs der Kampagne und der Grenzen ihrer Erkennung.
Die gemeldete Reaktion des Unternehmens umfasste erzwungene Abmeldungen, die Ungültigmachung von Autorisierungen, die Entfernung von Zahlungsmethoden und Rückerstattungen für Aktivitäten, die es als unbefugt einstufte. Diese Maßnahmen können laufende Verluste begrenzen und betroffene Nutzer vor weiteren Käufen schützen.
Anthropic warnte die Empfänger zudem, dass die Malware nicht durch die Nutzung von Claude selbst verbreitet wurde. Infostealer gelangen häufig über infizierte Downloads, täuschende Werbung, raubkopierte Software, bösartige Installer oder kompromittierte Pakete auf Geräte.
Diese Nachricht trennt eine Infektion des Endgeräts richtigerweise von einem Einbruch in die Systeme von Anthropic. Auf Basis der verfügbaren Belege gibt es keine verifizierte Behauptung, dass Angreifer in Anthropics zentrale Modellinfrastruktur eingedrungen sind, um diese Abonnentensitzungen zu stehlen.
Die Verantwortung für den Endpunkt beantwortet jedoch nicht jede Plattformfrage. Anbieter entscheiden, wie lange Sitzungen gültig bleiben, welche Autorisierungen in den Kontosteuerungen sichtbar sind und welche Nutzungsdetails Abonnenten prüfen können.
Sie entscheiden auch, wie verdächtiger Verbrauch Warnungen auslöst. Ein Nutzer, dessen Kontingent innerhalb weniger Minuten von ungenutzt auf stark beansprucht wechselt, zeigt ein potenziell erkennbares Muster. Cloud-Aufgaben und Agenten können jedoch legitime Spitzen erzeugen, sodass einfache Schwellenwerte unzuverlässig sind.
Eine wirksame Erkennung wird wahrscheinlich mehrere Signale zugleich erfordern. Dazu können unbekannte Gerätemerkmale, plötzliche geografische Veränderungen, ungewöhnliche Client-Software, parallele Zugriffe, die Erstellung von Autorisierungen und eine Nutzung gehören, die nicht zum bisherigen Verhalten passt.
Anthropic hat die in dieser Kampagne verwendeten Schwellenwerte nicht öffentlich offengelegt. Das ist nachvollziehbar, da detaillierte Betrugsregeln Angreifern helfen können, die Erkennung zu umgehen. Nutzer benötigen dennoch Klarheit auf hoher Ebene über verfügbare Schutzmaßnahmen und die Abdeckung durch Benachrichtigungen.
Die Zahl betroffener Abonnenten bleibt unbekannt. Öffentliche Berichte umfassen mehrere Nutzerkonten und Kopien von Anbieter-E-Mails, doch diese Beispiele erlauben keine Aussage über die Verbreitung. Anthropic hat keine kampagnenweite Opferzahl veröffentlicht.
Auch die ursprüngliche Infektionsmethode bleibt im Fall von de Swardt ungewiss. Anthropic konnte Berichten zufolge nicht feststellen, ob Malware seine Sitzungsdaten gestohlen hatte oder ob ein externer Dienst über eine frühere Verbindung Zugriff behalten hatte.
Diese Unsicherheit begrenzt den Nutzen allgemeingültiger Empfehlungen zur Behebung. Das Entfernen von Malware ist unerlässlich, wenn ein Gerät infiziert ist. Die Prüfung von Integrationen ist ebenso wichtig, wenn eine Drittanbieteranwendung eine Autorisierung erhalten hat.
Eine öffentliche Sicherheitsbeschwerde behauptete zudem, dass bestimmte Claude-Zugangsdaten über sichtbare Kontosteuerungen schwer auffindbar oder widerrufbar waren. Der Bericht belegte die Quelle der unbefugten Nutzung von de Swardt nicht unabhängig.
Er hebt dennoch die richtige Frage hervor: Beendet das Schließen aller sichtbaren Zugriffe auch jede Zugangsdatenart, die Kontoresourcen verbrauchen kann?
Die Antwort muss für jeden Autorisierungspfad geprüft werden. Eine globale Abmeldung sollte einen klar dokumentierten Geltungsbereich haben. Claude Code-Tokens sollten in einer zugänglichen Verwaltungsoberfläche erscheinen. Erweiterungen und verbundene Anwendungen sollten ihre Berechtigungen und ihre letzte Aktivität offenlegen.
Die Dokumentation von Anthropic besagt, dass Abonnement-OAuth für native Anthropic-Anwendungen und die gewöhnliche Nutzung von Claude Code vorgesehen ist. Seine OAuth-Richtlinie untersagt Drittanbieterdiensten, Abonnementzugriffe auf unbefugte Weise umzuwidmen.
Die Durchsetzung dieser Richtlinien ist wichtig, weil gestohlene Konten hinter Drittanbieter-Gateways gebündelt werden können. Sie kann jedoch auch ein Opfer sperren, wenn Angreifer unzulässigen Datenverkehr erzeugen. Dadurch entsteht nach dem Nutzungsdiebstahl ein zweiter Schaden.
De Swardt sagte, die Sperrung habe sein Geschäft beeinträchtigt. Aus Sicht von Anthropic kann die Deaktivierung eines kompromittierten Kontos Missbrauch schnell stoppen. Aus Sicht des Abonnenten nimmt eine unerklärte Sperrung ein Werkzeug weg, das den täglichen Betrieb unterstützen könnte.
Eine ausgereifte Reaktion braucht sowohl Eindämmung als auch schnelle Wiederherstellung. Anbieter sollten Beweise sichern, kompromittierte Zugangsdaten isolieren, den betroffenen Zugriffspfad erklären und legitime Nutzer sicher wieder in den Dienst zurückbringen.
Die skeptische Schlussfolgerung lautet nicht, dass Anthropic das Problem ignoriert hat. Das Unternehmen erkannte einige Fälle und warnte Nutzer. Ungeklärt bleibt, ob jeder Abonnent genügend Informationen erhalten kann, um einen ähnlichen Vorfall eigenständig zu entdecken und einzudämmen.
Claude-Nutzer sollten Token-Verbrauch als umfassenderen Kompromittierungsfall behandeln
Unerwartete Claude-Nutzung sollte eine Reaktion im Bereich Endpunktsicherheit auslösen, nicht nur eine Abrechnungsbeschwerde.
Ein Abonnent könnte zunächst annehmen, dass eine Nutzungsanzeige verzögert oder ungenau ist. Das bleibt möglich, insbesondere wenn Agenten und Hintergrundaufgaben ein gemeinsames Kontingent nutzen. Der erste Schritt besteht darin, legitime Aktivitäten systematisch auszuschließen.
Pausieren Sie geplante Aufgaben und Cloud-Ausführungen. Schließen Sie Claude Code-Prozesse auf bekannten Geräten. Prüfen Sie verbundene Dienste, Erweiterungen und aktive Sitzungen. Notieren Sie den Nutzungsstand und kontrollieren Sie, ob er sich während eines kontrollierten Zeitraums verändert.
Wenn die Nutzung fortgesetzt wird, beenden Sie unbekannte Sitzungen unverzüglich. Die Sitzungsverwaltungsfunktionen von Anthropic zeigen Gerät, Browser, ungefähren Standort und den Zeitpunkt der letzten Aktualisierung. Jede Sitzung, die keinem bekannten Gerät entspricht, verdient Aufmerksamkeit.
Nutzer sollten auch Claude Code-Autorisierungen widerrufen, die sie nicht mehr benötigen. Eine Browser-Abmeldung und ein Entwicklungstoken sind nicht zwangsläufig dieselbe Zugangsdatenart. Jede Autorisierungskategorie sollte separat überprüft werden.
Melden Sie sich nicht wiederholt von einem Gerät an, das möglicherweise weiterhin infiziert ist. Eine neue Sitzung kann zu einem weiteren Ziel werden, wenn der Infostealer fortbesteht. Das Trennen des Geräts vom Netzwerk kann die weitere Gefährdung reduzieren, während die Untersuchung läuft.
Führen Sie vertrauenswürdige Sicherheitstools aus und prüfen Sie kürzlich installierte Software. Achten Sie besonders auf inoffizielle Downloads, gecrackte Anwendungen, Browser-Erweiterungen, Entwicklerpakete und kopierte Befehle von nicht vertrauenswürdigen Websites.
Ein einziger sauberer Scan beweist nicht, dass kein Infostealer vorhanden war. Manche Malware löscht sich nach dem Sammeln von Daten selbst, während andere Varianten ein bestimmtes Sicherheitsprodukt umgehen. Nutzer, die mit sensiblen Daten arbeiten, sollten professionelle Unterstützung bei der Reaktion auf Sicherheitsvorfälle in Betracht ziehen.
Eine gestohlene Claude-Sitzung kann darauf hinweisen, dass andere Zugangsdaten desselben Geräts offengelegt wurden. E-Mail-Konten, Passwortmanager, Cloud-Dashboards, Entwicklerdienste, Zahlungskonten und Kryptowallets könnten schwerwiegendere Folgen erleben als verlorene KI-Nutzung.
Ändern Sie wichtige Zugangsdaten von einem Gerät aus, das als sauber gilt. Beenden Sie andere aktive Sitzungen, soweit möglich. Prüfen Sie Kontowiederherstellungseinstellungen und bestätigen Sie, dass Weiterleitungsregeln, vertrauenswürdige Geräte und Multifaktor-Methoden nicht verändert wurden.
Hardware-Sicherheitsschlüssel können die Widerstandsfähigkeit gegen Phishing und Passwortdiebstahl verbessern. Sie neutralisieren jedoch nicht automatisch Sitzungsdaten, die nach einer erfolgreichen Authentifizierung kopiert wurden. Der Widerruf von Sitzungen und die Bereinigung des Endgeräts bleiben notwendig.
Entwickler sollten auf dem betroffenen Rechner gespeicherte Geheimnisse rotieren. Umgebungsdateien, Shell-Verläufe, lokale Konfigurationsverzeichnisse, Browserspeicher und Quellcode-Repositories können wiederverwendbare Zugangsdaten enthalten.
Unternehmen sollten das Gerät im Rahmen ihres bestehenden Vorfallsprozesses als potenziell kompromittiert behandeln. Dazu können die Isolierung des Endpunkts, das Rotieren von Zugangsdaten, die Sicherung von Protokollen, die Überprüfung von Identitäten und die Benachrichtigung interner Sicherheitsmitarbeiter gehören.
Nutzer sollten Beweise sichern, bevor sie alles löschen. Screenshots von Nutzungsänderungen, Sitzungslisten, Warnmeldungen, Zeitstempeln, lokalen Prozessinformationen und der Support-Korrespondenz können helfen, den Vorfall nachzuvollziehen.
Sie sollten es vermeiden, bei der Suche nach Hilfe aktive Tokens, Sitzungs-Cookies oder detaillierte private Protokolle zu veröffentlichen. Ein öffentlicher Troubleshooting-Beitrag kann versehentlich Zugangsdaten offenlegen, die weiterhin nutzbar sind.
Die Kontaktaufnahme mit dem Anthropic-Support bleibt notwendig. Der Anbieter kann serverseitige Autorisierungen ungültig machen, Muster prüfen, die dem Abonnenten nicht zugänglich sind, und feststellen, ob Gebühren oder Kontomaßnahmen für eine Abhilfe infrage kommen.
Entscheidend ist, den Vorfall präzise zu beschreiben. Geben Sie das Datum, die beobachtete Nutzungsänderung, deaktivierte Aufgaben, bekannte Geräte, verdächtige Sitzungen und bereits abgeschlossene Abhilfemaßnahmen an. Fragen Sie, welche Autorisierung die Nutzung verursacht hat und ob jede Token-Familie widerrufen wurde.
Nutzer sollten außerdem fragen, ob ihr Konto Aktivität über einen unbekannten Client erzeugt hat. Eine Client-Kennung kann einen versteckten lokalen Prozess von einem entfernten Gateway, einer Browser-Wiedergabe oder einer autorisierten Integration unterscheiden.
Für Teams sollte dasselbe Ereignis eine Überprüfung des gemeinsam genutzten KI-Zugriffs auslösen. Zugangsdaten für individuelle Abonnements sollten nicht zwischen Mitarbeitern oder Automatisierungssystemen weitergegeben werden. Gemeinsame Zugangsdaten schwächen die Zurechenbarkeit und machen den Widerruf störender.
Auch Geschäftsabläufe benötigen Notfallpläne. Wenn ein Assistent für Coding oder Administration zentral wird, kann eine Kontosperrung den Betrieb zum Stillstand bringen. Kritische Verfahren, Zugangsdaten und Unterlagen sollten auch ohne einen einzelnen KI-Dienst zugänglich bleiben.
Drei Signale werden zeigen, ob der Diebstahl von Claude-Tokens eingedämmt ist
Die nächste Phase wird von besserer Kontotelemetrie, klarerem Widerrufsverhalten und Belegen dafür abhängen, dass verdächtige Nutzung zurückgeht.
Das erste Signal wäre ein umfassenderes, kontoweites Nutzungsprotokoll. Abonnenten benötigen eine Zuordnung nach Client, Autorisierung, Aufgabe und Zeitraum. Ein Release, das diese Details ergänzt, würde die durch de Swardts Fall offengelegte Diagnose-Lücke unmittelbar schließen.
Ein solches Protokoll würde Anthropic stärken, weil Nutzer legitime Agenten schnell von gestohlenem Zugriff unterscheiden könnten. Bleibt die Sichtbarkeit auf aggregierte Prozentwerte beschränkt, bleibt das zentrale Verantwortlichkeitsproblem bestehen.
Das zweite Signal ist eine explizite Dokumentation zur globalen Widerrufung. Anthropic sollte klarstellen, ob eine vollständige Abmeldung Browser-Sitzungen, mobile Sitzungen, Desktop-Sitzungen, Erweiterungen, Claude Code-Anmeldedaten und serverseitige Autorisierungen beendet.
Klarere Kontrollen würden die Eindämmung berechenbar machen. Anhaltende Berichte über Nutzung, nachdem Nutzer alles Sichtbare widerrufen haben, würden das Vertrauen schwächen und darauf hindeuten, dass manche Autorisierungspfade weiterhin schwer zu verwalten sind.
Das dritte Signal ist die berichtete Häufigkeit der Kampagne. Anthropic muss keine sensiblen Erkennungsregeln veröffentlichen, kann aber offenlegen, ob Benachrichtigungen und erzwungene Abmeldungen zunehmen oder abnehmen.
Weniger glaubwürdige Berichte würden die Einschätzung stützen, dass Erkennung und Widerruf die Kampagne begrenzen. Anhaltende Häufungen unerklärlicher Nutzung würden zeigen, dass Angreifer Sitzungen von Abonnenten weiterhin als wirtschaftlich wertvoll ansehen.
Reaktionen von Wettbewerbern liefern zusätzlichen Kontext. Wenn andere KI-Anbieter Sitzungs-Dashboards oder Verbrauchswarnungen ausbauen, wird die Branche authentifizierten KI-Zugriff als eigenständige Sicherheitskategorie behandeln.
Für Claude-Nutzer ist die praktische Frage unmittelbar: Lässt sich jede Einheit unerwarteter Nutzung auf ein Gerät, eine Aufgabe oder eine Autorisierung zurückführen? Solange die Antwort nicht ja lautet, verdient ein unerklärlicher Token-Verbrauch dieselbe Dringlichkeit wie eine unbekannte Cloud-Anmeldung.
Hacker stehlen Claude-Tokens von Abonnenten, weil persistente Sitzungen einen echten Wert haben. Anthropic hat damit begonnen, erkannte Opfer zu warnen und zu schützen. Der entscheidende Test wird sein, ob Nutzer genügend Transparenz erhalten, um die nächste gestohlene Sitzung zu erkennen, bevor sie ihre Arbeitskapazität aufbraucht.
