Claude Dispatch: Sicherheitslücke lässt Browser-Erweiterungen Code auf dem Desktop ausführen

Eine Browser-Erweiterung, die auf die Webseite claude.ai zugreifen kann, konnte den KI-Assistenten Claude Desktop dazu bringen, Befehle auf dem Computer des Nutzers auszuführen. Das zeigt eine Untersuchung des Sicherheitsforschers Gal Weizman von Forever Security, die das Fachportal The Register am 5. November 2026 veröffentlicht hat. Der Forscher nennt den Angriff ThisBash. Besonders brisant ist der Fall, weil Anthropic nach Angaben des Forschers bereits seit Mai 2026 von dem Problem wusste und es bis heute nicht geschlossen hat.

Was Claude Dispatch eigentlich können sollte

Dispatch ist Teil von Claude Cowork und richtet sich an zahlende Nutzer der Tarife Pro, Max und Ultra. Mit der Funktion lassen sich Aufgaben vom Smartphone oder aus dem Browser an Claude Desktop schicken. Der KI-Agent auf dem Rechner übernimmt dann die Arbeit und führt Befehle direkt auf dem Computer aus, zum Beispiel um Dateien zu bearbeiten oder Abläufe zu automatisieren. Anthropic hatte Dispatch als begrenzte Beta-Version angeboten. Genau diese Bequemlichkeit wurde zum Problem. Denn Claude Desktop basiert auf der Electron-Technik und nutzt weitgehend dieselbe Weboberfläche wie claude.ai. Der Forscher stellte fest, dass die Dispatch-Schnittstelle auch aus einer gewöhnlichen angemeldeten Sitzung im Browser erreichbar war. In der Webversion fehlte lediglich der sichtbare Link dorthin.

So funktioniert der Angriff ThisBash

Der Angriff setzt eine Browser-Erweiterung voraus, die Zugriff auf die Webseite claude.ai hat. Eine solche Erweiterung kann nach den Erkenntnissen von Weizman Anfragen an Dispatch schicken, als kämen sie vom Nutzer selbst. Claude Desktop nimmt die Aufgabe an und beginnt, sie auszuführen. Dabei kann die Erweiterung auch die Bestätigungsdialoge des Assistenten automatisch anklicken. Der Forscher beschreibt dieses Vorgehen als Prompt Forcing, also als erzwungene Eingaben, mit denen der Agent so lange gedrängt wird, bis er eine gewünschte Aktion ausführt. Am Ende kann das bedeuten, dass ein schädliches npm-Paket installiert wird oder beliebiger Code auf dem Rechner läuft.

Wer betroffen ist und wer nicht

Betroffen sind nach den vorliegenden Berichten vor allem Nutzer, die Dispatch in der Beta-Version nutzen konnten, also Abonnenten der Tarife Pro, Max und Ultra. Für einen erfolgreichen Angriff müssen mehrere Bedingungen gleichzeitig erfüllt sein. Im Browser muss eine bösartige oder übernommene Erweiterung laufen, die auf claude.ai zugreifen darf. Der Nutzer muss bei claude.ai angemeldet sein und zugleich bei Claude Desktop mit aktiviertem Dispatch. Unternehmenskunden sind nach Angaben von tech-insider.org von dem Thema nicht betroffen. In den geschäftlichen Tarifen Team und Enterprise steht Dispatch grundsätzlich nicht zur Verfügung, und die zugehörige Fernsteuerungsfunktion ist dort standardmäßig deaktiviert. Für Privatanwender bleibt das Risiko dagegen bestehen, solange Dispatch auf ihren Geräten aktiv ist. Bislang gibt es keine Berichte über echte Angriffe. Der Forscher hat den Ablauf in einer Demonstration gezeigt.

Anthropic wusste seit Mai Bescheid

Die Zeitleiste des Falls wirft Fragen auf. Weizman meldete die Schwachstelle am 14. Mai 2026 an Anthropic. Das Unternehmen bestätigte die Angaben am 19. Mai, schloss den Bericht aber als Duplikat eines intern bereits bekannten Problems. Eine Prämie gab es nicht, und auch eine CVE-Nummer, also ein offizieller Eintrag in der öffentlichen Datenbank für Sicherheitslücken, wurde dem Vorgang nicht zugewiesen. Am 13. Oktober 2026 kündigte Anthropic an, Dispatch einzustellen, voraussichtlich bis Ende Oktober 2026. Nach Berichten vom 5. November war die Funktion zu diesem Zeitpunkt weiterhin in der begrenzten Beta-Version verfügbar. Für neue Nutzer ist Dispatch seit dem 2. November 2026 nicht mehr verfügbar. Ob Anthropic endgültig auf eine Fehlerbehebung verzichtet, ist dagegen nicht offiziell bestätigt. Das Unternehmen hat auf Anfragen von The Register nicht geantwortet.

Warum die Lücke weiter reicht als Dispatch

Weizman warnt, dass das Problem mit der Einstellung von Dispatch allein nicht verschwindet. Nach seiner Einschätzung steckt dieselbe Schwäche auch in anderen Funktionen, die auf derselben Architektur aufbauen. Dazu zählen die Fernsteuerung von Claude Code, also Remote Control, und Sitzungen von Claude Cowork. Wenn diese Einschätzung stimmt, bleibt der Angriffsweg auch dann bestehen, wenn Dispatch selbst abgeschaltet wird. Der Forscher schlägt vor, die Webversion wie ein eigenes Gerät mit deutlich weniger Rechten zu behandeln. Unter anderem sollte sie von dort keine Befehle mehr auslösen dürfen. Forever Security hat nach eigenen Angaben in Unternehmensumgebungen geprüft, wie verbreitet private Claude-Konten auf Arbeitsgeräten sind. Der Anteil lag demnach zwischen 18 und 71 Prozent. Genau diese Vermischung macht den Angriff für Unternehmen interessant, denn eine Erweiterung im privaten Browser kann über das geteilte Konto den Arbeitsrechner erreichen.

Was Nutzer jetzt tun sollten

Wer Claude Desktop nutzt, kann das Risiko mit wenigen Schritten deutlich senken. Zuerst lohnt ein Blick auf die installierten Browser-Erweiterungen. Jede Erweiterung, die Zugriff auf claude.ai hat oder deren Herkunft unklar ist, sollte entfernt werden. Grundsätzlich gilt: Nur Erweiterungen behalten, die wirklich gebraucht werden und von vertrauenswürdigen Anbietern stammen. Außerdem hilft es, Dispatch zu deaktivieren, solange die Funktion nicht gebraucht wird. Wer die Funktion gar nicht nutzt, kann sie ganz abschalten. Diese Maßnahmen ersetzen keinen Patch, aber sie schließen die Wege, die der Angriff braucht. Solange Anthropic keine offizielle Korrektur liefert, bleibt die Sorgfalt der Nutzer die wichtigste Schutzmaßnahme.

Ein Muster, das die Branche kennt

Der Fall reiht sich in eine Reihe von Meldungen ein, in denen KI-Agenten mehr Rechte erhalten, als ihre Umgebung eigentlich hergibt. Agenten, die Befehle auf dem Rechner ausführen und Dateien verändern, brauchen klare Grenzen. Wenn eine Weboberfläche denselben Zugang hat wie die Desktop-Anwendung, verschwimmt die Grenze zwischen Browser und Betriebssystem. Genau das hat Weizman ausgenutzt. Der Dispatch-Fall zeigt, dass schon ein fehlender Link in der Webversion nicht ausreicht, wenn die Schnittstelle dahinter weiterhin offen ist. Für Nutzer bleibt die Lehre einfach: Erweiterungen sind Software mit weitreichenden Rechten. Wer sie installiert, sollte wissen, worauf sie zugreifen dürfen.

Häufig gestellte Fragen

Was ist die Sicherheitslücke in Claude Dispatch?

Eine Browser-Erweiterung mit Zugriff auf claude.ai konnte über die Dispatch-Schnittstelle Aufgaben an Claude Desktop schicken. Der Assistent führte die Befehle dann auf dem Computer aus, auch auf einem zweiten Rechner mit demselben Konto. Forscher Gal Weizman hat den Angriff ThisBash genannt und am 5. November 2026 über The Register öffentlich gemacht.

Ist mein Computer gefährdet, wenn ich Claude nutze?

Gefährdet sind vor allem zahlende Nutzer der Tarife Pro, Max und Ultra, die Dispatch in der Beta-Version nutzen und zugleich eine Erweiterung im Browser haben, die auf claude.ai zugreifen darf. Unternehmenskunden mit den Tarifen Team und Enterprise sind nach vorliegenden Angaben nicht betroffen, weil Dispatch dort nicht angeboten wird. Echte Angriffe sind bislang nicht bekannt.

Was kann ich tun, um mich zu schützen?

Prüfen Sie Ihre Browser-Erweiterungen und entfernen Sie alle, die Sie nicht brauchen oder deren Anbieter Sie nicht kennen. Teilen Sie Ihr Claude-Konto nicht zwischen privatem Browser und Arbeitslaptop. Deaktivieren Sie Dispatch, wenn Sie die Funktion nicht nutzen. Diese Schritte schließen die Wege, die der Angriff braucht.