WissenClaude Code & Vibe Coding
Fremde Erweiterungen für Claude Code sicher nutzen
Ein Plugin für Claude Code bekommt denselben Zugriff auf deinen Rechner, den du selbst hast. Woran du vor der Installation erkennst, ob du dem wirklich vertrauen willst.
Eine Browser-Erweiterung, die du installierst, weil sie praktisch aussieht, ohne zu wissen, wer sie geschrieben hat oder was sie im Hintergrund mitliest. Bei einem Plugin für Claude Code ist der Einsatz höher: es läuft nicht in einem abgeschotteten Browser-Tab, sondern mit demselben Zugriff auf deinen Rechner, den Claude Code selbst hat.
Kurz gesagt
Ein Plugin für Claude Code sicher zu nutzen heißt, die Quelle zu kennen und vor der Installation zu lesen, was es wirklich anfordert. Anthropic kontrolliert oder garantiert Inhalt und Verhalten von Plugins nicht, auch nicht im eigenen Marketplace. Ein installiertes Plugin kann Dateien lesen, externe Dienste aufrufen und lokale Befehle starten, genau wie du selbst. Die Absicherung liegt in Permissions, einer bekannten Quelle und einem kurzen Blick vor dem Installieren.
Was ein Plugin technisch alles darf
Ein Plugin ist kein isoliertes Zusatzfeature, es kann Skills, MCP-Server und eigene Befehle in einem Paket bündeln. Läuft es, hat es Zugriff auf dieselbe Umgebung wie Claude Code: Projektdateien lesen, externe Dienste aufrufen, lokale Befehle ausführen, im Zweifel auch Commit- und Deploymentabläufe beeinflussen. Anthropic schreibt in der eigenen Dokumentation offen, dass es weder MCP-Server, Dateien noch sonstige in einem Plugin enthaltene Software kontrolliert und nicht garantieren kann, dass sie wie beschrieben funktionieren oder unverändert bleiben. Wer ein Plugin installiert, vertraut also nicht nur dem heutigen Code, sondern der gesamten Update-Kette dahinter.
Woran du vor der Installation prüfst
Der Plugin-Manager zeigt vor jeder Installation eine Liste dessen, was tatsächlich installiert wird, dazu eine Einschätzung, wie viel Kontext das Plugin im Gespräch belegt. Genau diese Liste lohnt sich zu lesen, nicht nur wegzuklicken. Zusätzlich hilfreich: kommt das Plugin aus dem kuratierten claude-plugins-official, aus claude-community, wo die Community selbst die Einreichungen prüft, oder aus einer Drittquelle ganz ohne Kontrolle. Eine Untersuchung von SentinelOne beschreibt den Ansatz der Marketplaces insgesamt als Modell mit implizitem Vertrauen, ohne zentrale Prüfung, ohne Signierung des Codes und ohne eine Sandbox zur Laufzeit, was das Risiko einer Übernahme über eine kompromittierte Abhängigkeit real macht.
Die Absicherung, die wirklich zählt
Drei Dinge senken das Risiko spürbar. Erstens: Permissions so eng wie möglich halten, damit eine riskante Aktion trotzdem eine Rückfrage auslöst, auch wenn sie aus einem Plugin kommt statt direkt von dir. Zweitens: bei einem wichtigen Projekt zuerst in einer isolierten Umgebung testen, etwa einem Container ohne Zugriff auf echte Zugangsdaten. Drittens: Plugins, die du nicht mehr aktiv nutzt, wieder entfernen, jede installierte Erweiterung bleibt Teil deiner Vertrauensgrenze, auch ungenutzt.
Ich denke, der Denkfehler bei vielen ist, ein Plugin wie eine App aus einem geprüften Store zu behandeln. Bei Claude Code ist die Kuration deutlich dünner, selbst der offizielle Marketplace ist laut Anthropic keine Garantie. Wer ein Plugin installiert, sollte sich dieselbe Frage stellen wie bei einem neuen Mitarbeiter mit Zugriff auf den eigenen Rechner: kenne ich die Quelle wirklich, und was passiert, wenn sie sich morgen ändert.
Quellen: Create plugins (Claude Code Docs) · Marketplace Skills and Dependency Hijack in Claude Code (SentinelOne) · Securing Claude Code plug-ins (Red Hat Developer)
Häufige Fragen
Wo installiere ich Plugins für Claude Code, und ist das automatisch sicher?
Über den Befehl /plugin, aus dem eingebauten Marketplace claude-plugins-official oder aus claude-community, wo die Community selbst Einreichungen prüft. Anthropic kuratiert den ersten selbst, beim zweiten gehen Einreichungen durch eine Prüfung, eine Garantie gegen jede Lücke ist das trotzdem nicht.
Kann ein Plugin auf meine anderen Dateien und Zugangsdaten zugreifen?
Ja, sofern die Aktion nicht durch deine Permissions blockiert wird. Ein installiertes Plugin läuft mit derselben Berechtigung wie Claude Code selbst, also potenziell mit Zugriff auf Dateisystem, Umgebungsvariablen und Netzwerk.
Was ist der Unterschied zwischen einem Plugin und einer Skill in Bezug auf das Risiko?
Ein Plugin kann mehrere Skills, MCP-Server und Befehle in einem Paket bündeln, das Risiko ist also breiter gestreut als bei einer einzelnen Skill. Die Prüfregeln sind aber dieselben: Quelle kennen, Inhalt vor der Installation lesen, Berechtigungen begrenzen.
Reicht es, nur offizielle Marketplaces zu nutzen?
Das senkt das Risiko deutlich, weil eine Kuration oder Prüfung stattfindet, ersetzt aber nicht den eigenen Blick auf das, was ein Plugin bei der Installation an Rechten anfordert.
Willst du das bei dir umsetzen?
In der Community zeige ich, was bei mir hält. Im Erstgespräch schauen wir uns dein Vorhaben konkret an.