Claude Dispatch: Browser-Erweiterungen können Code über Claude Desktop starten
Forever Security hat am 4. November 2026 die Lücke ThisBash in Claude Dispatch beschrieben: Eine Browser-Erweiterung kann über claude.ai Befehle an Claude Desktop schicken und so Code ausführen lassen. Anthropic hat die Meldung im Mai anerkannt, laut The Register und Forscher aber bislang nicht behoben. Admins sollten Dispatch abschalten, wo es nicht gebraucht wird, und Erweiterungen kontrollieren.
Über die Funktion Dispatch in Claude kann eine Browser-Erweiterung Code auf dem Rechner ausführen lassen, auf dem Claude Desktop läuft, auch auf einem anderen Gerät mit demselben Claude-Konto. Das beschreibt der Forscher Gal Weizman von Forever Security in einem Bericht vom 4. November 2026, The Register berichtete am 5. November exklusiv darüber. Anthropic kennt das Problem seit Mai, geschlossen ist es laut beiden Berichten bislang nicht.
Relevant ist das für Unternehmen, in denen Beschäftigte Claude Desktop mit Dispatch nutzen oder private Claude-Konten auf Arbeitsrechnern angemeldet sind. Einen Fix von Anthropic gibt es nach den Berichten nicht. Admins können das Risiko nur organisatorisch senken: Dispatch deaktivieren, wo es nicht gebraucht wird, auf Firmengeräten nur Firmenkonten zulassen und Browser-Erweiterungen strenger steuern.
Was ist passiert?
Dispatch schickt Aufgaben vom Handy oder Browser an Claude Desktop, das dort mit lokalen Dateien arbeitet und Befehle ausführt. Laut Weizman waren Oberfläche und Schnittstelle von Dispatch auch aus einer normalen angemeldeten Sitzung auf claude.ai erreichbar. Eine Erweiterung, die claude.ai steuern darf, kann deshalb Anweisungen an den Desktop-Agenten senden, als kämen sie vom Nutzer. Einen Browser-Exploit braucht es dafür nicht.
Im Proof of Concept schickte die Erweiterung vier Prompts und klickte die „Allow“-Knöpfe automatisch an. Als Claude bei einem unbekannten npm-Paket zögerte, beschwichtigte der vierte, vorab geschriebene Prompt im Namen des Nutzers, danach installierte der Agent das Paket. Das öffnete zur Demonstration den Taschenrechner. Der Forscher nennt den Angriff ThisBash.
Gemeldet hat Weizman die Lücke am 14. Mai 2026. Anthropic erkannte sie am 19. Mai als gültig an, schloss die Meldung aber als Duplikat eines intern bekannten Problems. Am 13. Oktober kündigte Anthropic laut Bericht an, Dispatch einzustellen, angepeilt war Ende Oktober. Das ist laut The Register nicht geschehen. Es gab weder eine CVE noch ein Bug Bounty, Fragen von The Register beantwortete Anthropic nicht. Die Support-Seite von Claude führt Dispatch weiter als eingeschränkte Beta für einige Pro-, Max- und Ultra-Konten, nicht für neue Nutzer. Bestehende Nutzer können die Funktion vorerst weiter verwenden.
Wer ist betroffen?
Voraussetzung ist laut The Register eine Erweiterung mit Zugriff auf claude.ai sowie eine Anmeldung bei claude.ai und bei Claude Desktop mit aktivem Dispatch. Dispatch braucht laut Support-Seite zusätzlich die Mobile-App, der Rechner muss wach und Claude Desktop geöffnet sein. Die Desktop-App gibt es für macOS, Windows und Linux. Weizman schreibt, das gleiche Grundmuster stecke auch in Claude Code Remote Control und in Claude-Cowork-Sitzungen. Diese Aussage stammt vom Forscher, Anthropic hat sich dazu öffentlich nicht geäußert. Das Abschalten von Dispatch allein deckt diese Wege also nicht ab.
Wie kritisch ist das?
Die Lücke ist kein Angriff aus dem Netz: Ohne bösartige, gekaperte oder verwundbare Erweiterung passiert nichts. Weizman verweist aber darauf, dass Erweiterungen regelmäßig über Lieferkettenangriffe oder einen Schwarzmarkt für legitime Erweiterungen in falsche Hände geraten. Ist das der Fall, reicht die Wirkung über den Browser hinaus bis zur Codeausführung im Betriebssystem. Besonders heikel ist der Weg über Gerätegrenzen: Eine verseuchte Erweiterung am privaten Rechner kann laut Bericht Befehle auf einem Firmenlaptop auslösen, auf dem dasselbe Claude-Konto angemeldet, Dispatch aktiv und der Rechner erreichbar ist.
Was sollten Admins jetzt tun?
- Inventar: Auf welchen Rechnern läuft Claude Desktop, mit welchen Konten, und ist Dispatch eingerichtet?
- Dispatch und andere Fernsteuerungsfunktionen abschalten, wo es keinen klaren Bedarf gibt.
- Private Claude-Konten auf Arbeitsgeräten untersagen und über die Firmenidentität steuern.
- Browser-Erweiterungen wie Software behandeln: Positivliste, Berechtigungen prüfen, Änderungen an Rechten beobachten.
- Auf Endpunkten auf unerwartete Paketinstallationen und Prozesse achten, die von Claude Desktop gestartet werden.
Einordnung für Unternehmen
Nach Einschätzung der Redaktion reiht sich der Fall in eine Serie ein: KI-Agenten mit Zugriff auf das Betriebssystem werden über Kanäle gesteuert, die ursprünglich nur Text transportierten. Eine Freigabe, die im selben Browser angezeigt wird, den ein Angreifer kontrolliert, schützt dann kaum. Wer KI-Assistenten mit lokalen Rechten erlaubt, sollte das in der KI-Richtlinie regeln und die Verteilung von Erweiterungen zentral steuern.
Passende Anleitungen auf S-EDV
- KI-Nutzungsrichtlinie im Unternehmen erstellen (Copilot, ChatGPT & Co.)
- BragJack: Eine Browser-Erweiterung kann die KI-Assistenten in Chrome, Edge, Opera Neon, Comet und Claude übernehmen
- Claude-Code-Erweiterung im Cursor-Marktplatz mit SSH-Hintertür
