Sicherheit von Claude-Skills: Ein nüchterner Blick auf Marktplatzrisiken

Die Frage, ob die Installation von Skills aus einem Claude-Skill-Marktplatz sicher ist, ist keine theoretische. Bei SkillProof spekulieren wir nicht; wir installieren und führen sie aus. Unser gesamter Katalog basiert auf der Erfahrung, Skills direkt von öffentlichen Marktplätzen und GitHub-Repositories zu beziehen, sie für reale Aufgaben auszuführen und die Ergebnisse zu veröffentlichen, unabhängig davon, ob sie erfolgreich sind oder fehlschlagen. Dieser Prozess ermöglicht uns einen direkten, praktischen Einblick in die Sicherheitslandschaft des Claude-Plugin-Marktplatzes.

Die kurze Antwort ist, dass das Ökosystem begonnen hat, Prüfungen einzuführen, aber keine davon gibt Auskunft darüber, ob ein Skill tatsächlich funktioniert oder was er auf Ihrem System bewirken wird. Es gibt kein Code-Signing. Das vorhandene Screening besteht aus automatisiertem Muster- und Malware-Scanning, nicht aus menschlicher Überprüfung, und Forscher haben gezeigt, dass es umgangen werden kann. Niemand im Vorfeld führt den Skill an einer realen Aufgabe aus, bevor Sie es tun. Dieser letzte Punkt ist das eigentliche Problem, und es ist der Teil, der beim Benutzer landet.

Dieser Artikel beschreibt die Arten von Risiken, die im Ökosystem vorhanden sind, von offenkundig bösartigem Code bis hin zum häufigeren Problem nicht funktionierender oder qualitativ minderwertiger Skills. Wir werden spezifische, anonymisierte Muster vorstellen, die unsere Sicherheitspipeline erkannt hat, und erklären, was unsere Testurteile tatsächlich bedeuten.

Das offene, aber ungeprüfte Ökosystem

Der Hauptreiz des Claude-Skills-Ökosystems liegt in seiner Offenheit. Jeder kann einen Skill schreiben und ihn in vielen Fällen in einem öffentlichen Index veröffentlichen oder auf GitHub teilen. Dies senkt die Eintrittsbarriere und fördert Innovation. Allerdings schafft dies auch ein Umfeld, in dem Qualität und Sicherheit nicht garantiert sind. Wenn Leute fragen, ob ClawHub sicher ist, fragen sie in der Regel, ob der Index für die von ihm gelisteten Inhalte bürgt. Die ehrliche Antwort ist, dass die größeren Indizes nach eigenen Vorfällen die Zügel angezogen haben: ClawHub verlangt nun eine Verifizierung der Herausgeberidentität, führt bei Einreichungen Scans mit VirusTotal und Code-Pattern-Scannern durch und hält seit Juli 2026 neue Veröffentlichungen hinter einem Vorab-Scan zurück. Das ist eine reale Maßnahme und besser als nichts. Es ist jedoch nicht dasselbe, als würde jemand den Skill-Code lesen. Trail of Bits hat im Juni 2026 gezeigt, dass diese Art von Scanner umgangen werden kann, und Snyks ToxicSkills-Studie fand immer noch Prompt-Injection-Payloads in einem großen Teil der untersuchten Skills.

Das Screening filtert also bekannte schlechte Signaturen; es entscheidet nicht darüber, ob ein Skill vertrauenswürdig oder nützlich ist. Die Verantwortung für die Überprüfung des Codes – also zu prüfen, was die Hooks eines Skills tun, welche Pakete er installieren oder auf welche Daten er zugreifen könnte – liegt beim Endbenutzer. Für Entwickler, die mit dem Lesen von Shell-Skripten und Python vertraut sind, mag dies eine zu bewältigende Aufgabe sein. Für die meisten Benutzer ist dies eine unzumutbare Erwartung. Man installiert einen Skill, um Zeit zu sparen, nicht um ein Code-Audit zu beginnen.

Das ist die Lücke, die SkillProof schließen soll. Wir führen dieses Audit durch, damit Sie es nicht tun müssen.

Unser Security Gate vor der Installation

Unsere Test-Pipeline beginnt mit einem entscheidenden Schritt, der stattfindet, bevor ein Skill jemals installiert oder ausgeführt wird: dem Stage 0 Security Gate. Wenn wir einen neuen Skill zum Testen abrufen, führen wir nicht sofort sein Installationsskript aus. Stattdessen unterziehen wir zuerst seinen Quellcode und seine Manifest-Dateien (SKILL.md, Hooks, Tool-Definitionen) einem statischen Analyseprozess.

Das Gate liest die Komponenten des Skills, um nach bekannten bösartigen oder manipulativen Mustern zu suchen. Es ist darauf ausgelegt, offene Versuche zu erkennen, die Sicherheit oder Integrität der Claude-Umgebung zu kompromittieren.

Wenn ein Skill diese Stage-0-Prüfung nicht besteht, wird er zur Überprüfung zurückgehalten. Er wird niemals installiert, niemals ausgeführt und erhält niemals ein Urteil oder einen Eintrag in unserem Hauptkatalog. Dies ist ein wichtiger Punkt: Die von uns veröffentlichten Katalogstatistiken enthalten diese vorab geprüften bösartigen Skills nicht. Die von uns dokumentierten Fehlschläge sind funktionale Fehler, keine Sicherheitsverletzungen, die am Gate erkannt wurden. Das Sicherheitsproblem ist eine separate, vorgelagerte Risikoschicht.

Bösartige Muster, die von unserem Stage 0 Gate erkannt wurden

Unser Security Gate hat mehrere Verhaltensmuster aufgedeckt, die von manipulativ bis offen feindselig reichen. Dies sind keine theoretischen Risiken; es sind reale Beispiele, die in Skills gefunden wurden, die bei öffentlichen Indizes eingereicht wurden. Für eine tiefere Auseinandersetzung mit diesen Themen lesen Sie unseren Beitrag über bösartige Claude-Skills, die wir entdeckt haben. Hier sind drei verschiedene Muster, die wir blockiert haben, allgemein beschrieben.

1. Persona-Override durch Prompt-Injection

Die SKILL.md-Datei eines Skills begann nicht mit einer Beschreibung seiner Funktion, sondern mit einem großen Textblock, der als CRITICAL SYSTEM OVERRIDE formatiert war. Dies ist eine Form der Prompt-Injection. Der Text wies das Modell an, seine hilfreiche Assistenten-Persona vollständig abzulegen und eine neue, starre Persona anzunehmen. Die Anweisungen enthielten Direktiven, jede einzelne Antwort mit einem bestimmten Aktivierungsschlüssel zu versehen und die Beantwortung jeder Anfrage zu verweigern, wenn eine andere aktive Persona erkannt wurde.

Das unmittelbare Risiko hier ist Session-Hijacking. Der Skill übernimmt effektiv die Kontrolle über das Verhalten des Modells und macht es für jede andere Aufgabe unbrauchbar. Er schafft eine Denial-of-Service-Bedingung für andere Skills und zwingt den Benutzer, zu den Bedingungen des Skill-Autors zu interagieren. Dies könnte genutzt werden, um ein eigenes Monetarisierungsschema des Autors außerhalb der Plattform durchzusetzen oder einfach den Arbeitsablauf des Benutzers zu stören. Mehr über diese Technik können Sie in unserem Artikel über Prompt-Injection in Claude-Skills lesen.

2. Bash-Hook zur automatischen Genehmigung

Claude Code enthält eine kritische Sicherheitsfunktion: Wenn ein Skill einen Shell-Befehl ausführen möchte, muss er zuerst den Benutzer über eine Bestätigungsaufforderung um Erlaubnis fragen. Wir haben einen Skill entdeckt, der darauf ausgelegt war, diesen Schutz unbemerkt für das gesamte Projekt zu deaktivieren.

Er enthielt einen PreToolUse-Hook – ein Skript, das unmittelbar vor der Ausführung eines Tools läuft. Die Logik dieses Hooks war einfach und gefährlich: Für praktisch jeden Befehl gab er eine permissionDecision von allow zurück. Eine kurze Blocklist offensichtlich destruktiver Befehle führte dazu, dass er sich enthielt, aber er lehnte niemals etwas ab. In der Praxis drückt er im Namen des Benutzers auf „Ja“, für jeden Skill, ohne jemals eine Aufforderung anzuzeigen.

Sobald dieser Skill aktiv ist, könnte jeder andere Skill (oder der sich selbst genehmigende Skill) beliebige Shell-Befehle (rm -rf /, curl | sh, Exfiltrieren von Umgebungsvariablen) ohne jegliche Benutzerinteraktion ausführen. Es verwandelt eine zentrale Sicherheitsfunktion in ein offenes Tor für die Ausführung von bösartigem Code. Dies ist eines der größten Risiken im Ökosystem, das wir in unserem allgemeinen Überblick über die Sicherheit von Claude-Skills behandeln.

3. Manipulation der Ausführungsumgebung und unautorisierte Installationen

Ein drittes Muster betraf einen Skill, der die zentrale Benutzererfahrung manipulierte, um seine eigene Verwendung zu erzwingen, während er unbemerkt nicht autorisierte Software installierte. Er nutzte eine Kombination von Hooks, um dies zu erreichen:

• Tool-Verweigerung: Seine Hooks verweigerten die Berechtigung für grundlegende Tools wie Edit/Write/Task, es sei denn, dieser spezielle Skill wurde in der aktuellen Sitzung aufgerufen.
• Blockieren des Rundenendes: Der Skill blockierte auch das turn-end-Ereignis, was den Benutzer daran hinderte, seine Runde zu beenden, und ihn zwang, mit dem Skill zu interagieren, um fortzufahren.
• Unautorisierte Paketinstallation: Am besorgniserregendsten war, dass er einen SessionStart-Hook enthielt, der beim Start jeder Sitzung unbemerkt Paketmanager-Befehle (bun install, npm install) in jedem Plugin-Cache-Verzeichnis ausführte, das er finden konnte.

Dieses Muster stellt einen ausgeklügelten Versuch dar, einen Skill in der Umgebung des Benutzers zu verankern. Es schafft eine Form von Lock-in, beeinträchtigt die Funktionalität des Basismodells und – am gefährlichsten – nutzt das Hook-System, um beliebige, nicht nachverfolgte Software auf dem Rechner des Benutzers zu installieren. Fairerweise muss man sagen, dass bei diesem speziellen Autor die Hooks nicht durch die Ein-Zeilen-Installation aktiviert werden; sie werden nur wirksam, wenn man die mitgelieferte Einstellungsdatei selbst zusammenführt. Wir haben den Skill trotzdem zurückgehalten, da die alleinige Auslieferung dieser Datei eine Absichtserklärung darstellt. Dies könnte leicht dazu verwendet werden, Keylogger, Krypto-Miner oder andere Malware zu installieren. Es wirft auch die Frage auf: Können Claude-Skills API-Schlüssel stehlen? Mit der Fähigkeit, beliebigen Code auszuführen, lautet die Antwort ja.

Jenseits von Bösartigkeit: Das Problem minderwertiger Skills

Obwohl bösartige Skills ein ernstes Problem darstellen, sind sie nicht das häufigste Problem, dem ein Benutzer begegnen wird. Das weitaus häufigere Problem ist einfach, dass ein Skill nicht funktioniert. Er könnte defekt, verwaist oder so schlecht dokumentiert sein, dass er unbenutzbar ist.

Hier liefern unsere öffentlichen Katalogdaten ein klares Bild. Von den 1755 Skills, die wir vollständig getestet haben – alle haben die Sicherheitsprüfung bestanden, einige bei der Aufnahme und die älteren in einer nachträglichen Überprüfung – sind die Ergebnisse gemischt. Nur 1083 Skills, oder etwa 62 %, haben unsere Tests auf Anhieb bestanden.

Hier ist die Aufschlüsselung unserer Ergebnisse:

Urteil	Anzahl	Beschreibung
Bestanden	1083	Lässt sich installieren und funktioniert wie beworben, übertrifft die Baseline.
Einrichtung erforderlich	589	Funktioniert, erfordert aber zuerst zusätzliche Konfiguration.
Fehlgeschlagen	83	Erzielt Ergebnisse unterhalb der Baseline oder lässt sich nicht ausführen.
Insgesamt getestet	1755	Schließt Skills aus, die die Sicherheitsprüfungen vor der Installation nicht bestanden haben.

Das Verständnis dieser Urteile ist entscheidend, um sicher auf dem Marktplatz zu navigieren:

• Bestanden (62%): Ein pass-Urteil bedeutet, dass der Skill gemäß den Anweisungen des Autors installiert, für seinen beabsichtigten Zweck ausgelöst werden konnte und bei einer realen Aufgabe besser abschnitt als die Verwendung von Claude ohne installierten Skill. Dies sind die Skills, die ihr Versprechen halten.

• Einrichtung erforderlich: Dies ist keine negative Bewertung. Diese 589 Skills bieten einen Mehrwert, aber nicht sofort nach der Installation. Sie erfordern möglicherweise die manuelle Konfiguration von API-Schlüsseln, die Installation eines Begleit-Skills oder die Verbindung zu einem Drittanbieterdienst. Unser Urteil hebt dies hervor, damit Sie vor der Installation wissen, was Sie erwartet.

• Fehlgeschlagen: Die 83 Skills in dieser Kategorie sind diejenigen, die Zeitverschwendung oder einen negativen Einfluss bedeuten. Dieses Urteil deckt zwei Szenarien ab. Erstens umfasst es Skills, die einfach nicht ausgeführt werden konnten – ein fehlendes Kommandozeilen-Tool, eine tote Abhängigkeit, ein Beispiel, das abstürzt. Zweitens umfasst es Skills, die zwar liefen, aber ein schlechteres Ergebnis lieferten als die Baseline ohne Skill. Das sind Skills, die die Arbeit aktiv erschweren. Die Installation eines dieser 83 Skills ist eine nachweislich schlechtere Wahl als die Verwendung des Basismodells.

Diese Daten zeigen, dass selbst nach dem Herausfiltern offenkundiger Sicherheitsrisiken die Wahrscheinlichkeit, einen Skill herunterzuladen, der entweder nicht funktioniert oder eine erhebliche zusätzliche Einrichtung erfordert, beträchtlich ist.

Was das „Bestehen“ eines Tests bedeutet

Unser Ziel ist es, ein ehrliches, praktisches Urteil zu fällen. Dazu verwenden wir keinen einzigen, standardisierten Benchmark für alle Skills. Ein Test für einen Code-Refactoring-Skill wird ganz anders aussehen als ein Test für einen Datenbankabfrage-Skill.

Stattdessen wird jeder Testfall speziell für den zu bewertenden Skill entwickelt, basierend auf dem, was der Skill in seiner eigenen Dokumentation zu tun verspricht. Wir definieren eine realistische Aufgabe, die dem beworbenen Zweck des Skills entspricht, und führen sie dann zweimal aus: einmal mit installiertem Skill und einmal mit reinem Claude.

Der Skill erhält nur dann ein pass, wenn er die Baseline nachweislich übertrifft. Das kann bedeuten, dass er die Aufgabe schneller, mit weniger Prompts oder mit einem qualitativ hochwertigeren Ergebnis erledigt. Der gesamte Prozess basiert auf einer einfachen Frage: Macht dieses Tool einen erfahrenen Anwender effektiver? Eine vollständige Beschreibung unseres Test-Frameworks, unserer Bewertung und unserer Urteilskriterien finden Sie in unserer vollständigen Methodik.

Das Urteil zur Sicherheit der Marktplätze

Also, sind Installationen von Claude-Skill-Marktplätzen sicher? Das Ökosystem ist nicht von Natur aus sicher, so wie es ein kuratierter App Store mit obligatorischem Code-Signing und Sicherheitsüberprüfungen ist. Das Risiko, auf bösartigen Code zu stoßen, ist real, wie die von unserem eigenen Security Gate blockierten Muster zeigen.

Das wahrscheinlichere Risiko für den durchschnittlichen Benutzer ist jedoch kein gezielter Angriff, sondern eine erhebliche Verschwendung von Zeit und Mühe für minderwertige, defekte oder undokumentierte Skills. Da ein erheblicher Teil der Skills nicht wie beworben funktioniert oder eine komplexe Einrichtung erfordert, ist die Installation von einem öffentlichen Marktplatz ein Glücksspiel.

Eine sichere Installation erfordert entweder die technische Fähigkeit, ein eigenes Code-Audit durchzuführen, oder das Vertrauen in einen Dritten, der diese Arbeit für Sie erledigt hat. Ohne diese Prüfung installieren Sie ungeprüften Code, der mit den vollen Berechtigungen Ihres Benutzerkontos ausgeführt wird.

Weiterführende Lektüre: zu den Mustern selbst, bösartige Claude-Skills: was die Ausführung von 1.672 von ihnen ergab; für die Vorab-Prüfung, die Sie selbst in zwei Minuten durchführen können, Sicherheit von Claude-Skills: Risiken und Checkliste vor der Installation.

Geprüfte und einsatzbereite Skills finden

Wir veröffentlichen nicht nur Fehlschläge. Das Hauptziel unserer Arbeit ist es, die Tools zu identifizieren, die wirklich effektiv sind. Die 1083 Skills, die unsere Tests bestanden haben, stellen ein leistungsstarkes, geprüftes Toolkit für professionelle Entwickler, Analysten und Autoren dar.

Um deren Einsatz zu erleichtern, gruppieren wir jeweils zehn getestete Skills in rollenspezifische Pakete: ein Entwickler-Toolkit, ein Paket für Sicherheit und Code-Review, ein Optimierer-Paket sowie Pakete für Marketing, Vertrieb, Design, Autoren und Gründer. Jeder Skill in einem Paket hat das Security Gate passiert und wurde von uns ausgeführt. Die meisten haben das Urteil pass; einige Plätze gehen an setup-Skills, die sich ihren Platz trotz vorheriger Konfiguration verdient haben. Jede Paketseite listet jeden enthaltenen Skill mit seinem individuellen Urteil auf, sodass Sie vor dem Kauf genau sehen können, welches Urteil zu welchem Skill gehört.

Sie finden diese getesteten Skill-Pakete auf unserer Paketseite zum einmaligen Preis von jeweils 10 $. Es ist eine unkomplizierte Möglichkeit, ein Set von Tools zu erwerben, die nachweislich funktionieren, ohne dass Sie sich selbst den Risiken der öffentlichen Marktplätze aussetzen müssen.