GitHub ist ein fantastisches System. Millionen Projekte liegen dort offen, jeder kann den Code lesen, verbessern und nutzen. Wir arbeiten jeden Tag damit. Diese Offenheit nutzen aber auch Angreifer. Ende Oktober berichtete heise über einen neuen Fall: Angreifer haben 42 GitHub-Repositories gekapert, die echten Entwicklerinnen und Entwicklern gehören. Wer eines davon herunterlud und in seinem Code-Editor öffnete, konnte sich einen Wurm einfangen.
Viele Sterne, viele Downloads und ein bekannter Name sagen nichts darüber aus, ob ein Projekt heute sicher ist.
Was bei «testmetest» passiert ist
Die Sicherheitsforscher von JFrog fanden die Schadsoftware in Projekten von elf legitimen Eigentümern. Die Angreifer kamen über übernommene Konten und Mitwirkenden-Rechte hinein. Versteckt war der Auslöser in Projekteinstellungen für KI-Werkzeuge wie Claude Code, Gemini und Cursor sowie in VS-Code-Arbeitsbereichen. Öffnet man das Projekt, kann im Hintergrund ein Skript starten. Die eigentliche Datei ist über 12 MB gross, so gross, dass die Codesuche von GitHub sie nicht mehr durchsucht.
Einmal aktiv, stiehlt der Wurm Zugangsschlüssel für GitHub und npm und veröffentlicht damit vergiftete Versionen weiterer Pakete. Laut JFrog enthielten mindestens 15 npm-Pakete bösartige Versionen. Widerrufst du den gestohlenen GitHub-Schlüssel, löscht ein versteckter Hintergrunddienst des Wurms das Benutzerverzeichnis auf dem befallenen Rechner. Die Forscher raten deshalb zu einer festen Reihenfolge: den Rechner vom Netz nehmen, die versteckten Hintergrunddienste entfernen, erst dann alle Schlüssel widerrufen und erneuern und das System zum Schluss neu aufsetzen.
Sterne lassen sich kaufen
Sterne sind auf GitHub so etwas wie Likes. Sie lassen sich genauso fälschen. Eine Forschungsgruppe um Hao He von der Carnegie Mellon University hat GitHub-Daten von Mitte 2019 bis Ende 2024 ausgewertet und rund sechs Millionen mutmasslich gefälschte Sterne gefunden. Die Studie wurde im April 2026 an der ICSE vorgestellt, der führenden Konferenz für Softwaretechnik. Der grösste Teil dieser Sterne bewirbt kurzlebige Projekte, hinter denen Phishing oder Schadsoftware steckt. 2024 ist das sprunghaft angestiegen.
Wie das in der Praxis aussieht, zeigt eine Kampagne, die Check Point im Juni beschrieben hat: gefälschte Sterne, dazu passende Anleitungsvideos auf YouTube und gefälschte Kommentare, alles, damit ein Programm vertrauenswürdig wirkt, das in Wahrheit Kryptowährung stiehlt.
Neue Köder: KI-Skills und MCP-Server
Mit den KI-Assistenten ist eine neue Art von Download dazugekommen. Skills, Plugins und MCP-Server erweitern, was ein Assistent kann, und sie bekommen dafür oft weitreichenden Zugriff auf Dateien, Konten und das Terminal. Dort setzen die Angreifer jetzt an.
Das Sicherheitsunternehmen Island hat im Juli die Kampagne «FakeGit» offengelegt: rund 7’600 bösartige Repositories von etwa 6’600 Profilen, über 800 davon als KI-Skills oder MCP-Server getarnt. Etliche kopierten Namen und Beschreibung bekannter Originale, einige Profilnamen unterschieden sich nur durch ein einziges Zeichen. Über 600 Einträge der Kampagne fanden sich in öffentlichen Verzeichnissen für Skills und MCP-Server. Allein bei rund 200 dieser Repositories mass Island über 14 Millionen Downloads der Schadsoftware-Pakete. Das sind Abrufe, keine 14 Millionen Infektionen, aber eine Untergrenze: Bei Tausenden weiteren Repos wird gar nicht gezählt.
Island fragte ChatGPT, Gemini und Claude Code nach einem passenden Werkzeug, ohne einen Link vorzugeben. In mehreren Fällen nannten die Assistenten ein bösartiges Repository, teils sogar als erste Empfehlung. Island nennt das «AgentBaiting»: Die KI findet den Köder selbst und reicht ihn weiter. Auch die Empfehlung einer KI ersetzt die Prüfung nicht.
Auch grosse Projekte werden gekapert
Auch bekannte Projekte mit Tausenden Nutzern sind nicht sicher. Das zeigen zwei Fälle von 2026:
- Mini Shai-Hulud (Mai 2026): Beim verbreiteten Projekt TanStack verketteten Angreifer drei Schwächen in den automatisierten Abläufen (GitHub Actions) und veröffentlichten so 84 eigene Versionen von 42 Paketen, ganz ohne gestohlenes Passwort.
- Shai-Hulud (August 2026): Über die verbreitete Bibliothek keyv verbreitete sich ein Wurm auf über 400 Pakete in mehr als 1’700 Versionen. Das erste vergiftete Paket, keyv 6.0.0, trug laut SafeDep sogar eine gültige Herkunftsbescheinigung, weil es über den echten Veröffentlichungsablauf des Projekts auf GitHub erschien.
Ein Projekt kann also über Jahre sauber sein und mit dem nächsten Update Schadcode ausliefern. Das Prüfsiegel stimmt dann formal trotzdem.
Was wir selbst erlebt haben
Wir arbeiten intensiv mit KI-Assistenten und prüfen jedes fremde Werkzeug, bevor es auf unsere Rechner kommt. Dabei sind wir auf einiges gestossen:
- Der saubere Skill, der es nicht blieb. Ein KI-Skill mit rund 26’000 Installationen war bei der Prüfung unauffällig. Er lud aber zur Laufzeit Inhalte von einer fremden Adresse nach. Was dort steht, kann der Betreiber jederzeit ändern, ohne dass sich am geprüften Code etwas bewegt. Die hohe Zahl an Installationen macht einen solchen Skill für Angreifer erst interessant.
- Zehntausende Sterne, versteckte Regeln. Ein Repository mit über 80’000 Sternen schrieb beim Einsatz eigene Verhaltensregeln in die Anweisungen unserer KI-Assistenten. Schadsoftware war das nicht, aber ein Eingriff, den man nicht ungefragt in seinem System haben will.
- Werkzeuge, die Einstellungen umschreiben. Ein anderes, stark beworbenes Tool änderte bei der Installation die Konfiguration des Assistenten und hängte sich selbst in dessen Abläufe ein.
- Schöne Zahlen. Bei einem dritten Projekt passten die beworbenen Leistungswerte nicht zu dem, was der Code tatsächlich tat.
In keinem dieser Fälle hätten die Sterne oder die Downloadzahlen etwas verraten. Erst der Blick in den Code hat es gezeigt. Wir haben auch Projekte mit über 200’000 Sternen geprüft, für gut befunden und trotzdem nicht installiert, weil wir das Nützliche daraus selbst nachbauen konnten. Jedes fremde Werkzeug, das du nicht brauchst, ist eines weniger, das schiefgehen kann.
Augen auf, bevor der Download startet
Du musst kein Sicherheitsprofi sein, um die meisten Fallen zu umgehen. Diese Fragen helfen:
- Wer steht dahinter? Schau dir das Profil an. Wie alt ist es, was hat die Person sonst veröffentlicht? Vergleiche den Namen Zeichen für Zeichen mit dem Original, das du suchst.
- Passt die Geschichte? Ein Projekt mit Tausenden Sternen, aber kaum Issues, kaum Mitwirkenden und einer Handvoll Commits ist verdächtig, denn echte Beliebtheit hinterlässt Spuren.
- Woher kommt der Link? Nimm Programme von der offiziellen Website des Herstellers, nicht aus dem ersten Suchtreffer, einem YouTube-Video oder einer KI-Empfehlung. Das gilt besonders für bekannte Namen wie ChatGPT oder Claude, die gerne nachgeahmt werden.
- Was darf es? Ein Skill, der nur Texte formatieren soll, braucht keinen Zugriff auf deine Passwörter oder dein Terminal. Lies die Installationsanleitung, bevor du sie ausführst, besonders Befehle, die etwas aus dem Internet laden und direkt starten.
- Lädt es später nach? Achte darauf, ob ein Werkzeug zur Laufzeit Inhalte von fremden Adressen holt. Dann prüfst du heute etwas anderes als das, was morgen läuft.
- Erst ansehen, dann öffnen. Fremde Projekte nicht direkt im Editor oder mit dem KI-Assistenten öffnen. Wie «testmetest» zeigt, kann schon das Öffnen Code ausführen.
- Versionen festhalten. Wer Pakete einsetzt, legt die Version fest und aktualisiert bewusst statt automatisch. So landet ein vergiftetes Update nicht unbemerkt im Projekt.
Und wenn etwas schon passiert ist: Rechner vom Netz, Fachleute beiziehen, Zugangsdaten erst von einem sauberen Gerät aus erneuern und den befallenen Rechner erst nach dem Neuaufsetzen wieder ans Netz hängen.
Bei dataloft
Wir betreuen die Websites unserer Kundinnen und Kunden technisch und redaktionell. Jedes Plugin, jedes Theme und jedes Werkzeug, das wir einsetzen, prüfen wir vorher, auch dann, wenn es Tausende Sterne hat. Wenn du unsicher bist, ob eine Erweiterung oder ein KI-Tool vertrauenswürdig ist, schauen wir es uns gerne mit dir an.
Dieser Beitrag wurde KI-gestützt erstellt und vor der Veröffentlichung von unserer Redaktion geprüft und freigegeben.