Sicherheits-Check für deine KI-App: Cloudflares kostenloser Skill findet Lücken in Login, Datenbank und Schnittstellen

Von Ernst Neumeister · Lesezeit ca. 8 Minuten

Mit Claude hast du dir in ein paar Stunden einen Mitgliederbereich, ein Kundenportal oder ein kleines Tool gebaut. Es läuft, es sieht gut aus, deine ersten Kunden warten schon. Nur eine Frage bleibt: Ist das Ganze auch sicher? Kann jemand ohne Passwort in den Login? Liegen die Kundendaten offen im Netz? Und was passiert, wenn jemand deiner eingebauten KI einfach sagt, sie soll die Regeln vergessen?

Die ehrliche Antwort: Das weiß man bei selbstgebauten Apps oft erst, wenn es zu spät ist. Dafür hat Cloudflare (die Firma, die einen großen Teil des Internets absichert) einen KI-Skill veröffentlicht, den jeder kostenlos nutzen darf. Du installierst ihn in Claude Code, und ein Team aus KI-Agenten durchsucht deine App nach Sicherheitslücken. Auf dieser Seite bekommst du den Link, die Einrichtung und einen fertigen Startauftrag zum Kopieren.

Kein Suchen, kein Umweg, hier ist das offizielle Projekt:

Der Link führt zu GitHub, der großen Plattform, auf der Entwickler ihre Software teilen. Die Seite ist englisch und technisch, das darf dich nicht abschrecken: Du musst dort nichts verstehen und nichts anklicken. Gut zu wissen: Der Skill hat dort schon über 30.000 Sterne (das ist so etwas wie ein Like unter Entwicklern), und die MIT-Lizenz erlaubt dir die kostenlose Nutzung, auch geschäftlich.

Und warum solltest du dem Ding trauen? Cloudflare hat aus diesem Skill ein Prüfsystem für den eigenen Code gebaut. Laut dem Cloudflare-Blog blieben dabei über 7.000 umsetzbare Sicherheitsprobleme in 128 eigenen Projekten übrig. Wichtig für die Einordnung: Das schafft nicht der kleine Skill allein, sondern das große System, das daraus gewachsen ist. Der Skill auf dieser Seite ist der Startpunkt für ein einzelnes Projekt, also genau für deine App.

Das bekommst du am Ende

Das brauchst du

Was der Skill in sechs Schritten macht

Laut Anleitung im Repo läuft jeder Check in sechs Phasen. Hier die Übersetzung in normales Deutsch:

  1. Erkundung: Der Skill zeichnet eine Landkarte deiner App: Welche Seiten, welcher Login, welche Datenbank, welche Eingänge von außen gibt es?
  2. Jagd: Mehrere Agenten, die nichts voneinander wissen, durchsuchen je ein Stück der Landkarte. Typische Ziele sind Login, Datenbank und Schnittstellen. Ist in deiner App eine KI eingebaut, kommen auch die Tricks dazu, mit denen jemand diese KI austrickst („Prompt Injection“).
  3. Gegenprüfung: Jeden Verdacht bekommt ein frischer Agent, dessen einzige Aufgabe es ist, ihn zu widerlegen.
  4. Ordnung: Die Ergebnisse werden in drei Schubladen sortiert: bestätigt, noch ungeklärt, widerlegt.
  5. Nachprüfung: Weitere unabhängige Agenten prüfen, ob die Angaben im Bericht wirklich zum Code passen.
  6. Bericht: Daraus entstehen drei lesbare Dateien: der Hauptbericht, die Details zu jedem Fund und eine Liste dessen, was noch geklärt werden muss.

Installation: ein Auftrag an Claude

Der offizielle Installationsbefehl ist eine einzige Zeile. Du musst ihn nicht selbst eintippen, du kannst Claude Code bitten, es zu erledigen:

  1. Öffne Claude Code (in der Claude-Desktop-App im Bereich „Code“ oder im Terminal) in einem beliebigen Ordner.
  2. Kopiere den Auftrag unten und schicke ihn ab.
  3. Gib Claudes Rückfragen frei, wenn es etwas installieren möchte. Lass dir kurz erklären, was passiert, das ist normal.
Bitte installiere mir den kostenlosen Sicherheits-Skill "security-audit" von Cloudflare. Das Repository ist: https://github.com/cloudflare/security-audit-skill

Die offizielle Installation laut README ist:
npx skills add https://github.com/cloudflare/security-audit-skill --skill security-audit
(Mit dem Zusatz --global gilt er für alle meine Projekte.)

Bitte geh so vor:
1. Prüfe, ob Node.js auf meinem Rechner vorhanden ist. Falls nicht, erkläre mir in einem Satz, was fehlt, und frag mich um Erlaubnis, bevor du es einrichtest.
2. Lies die README des Repositorys und installiere den Skill nach der offiziellen Anleitung.
3. Sag mir danach, ob der Skill korrekt installiert ist und in welchem Ordner er liegt.

Installiere nichts anderes und starte noch keinen Sicherheits-Check. Erkläre mir alles wie einem Nicht-Techniker.

Für Selbermacher im Terminal ist es dieser Befehl (auf Windows gilt dasselbe, du brauchst nur Node.js): 

npx skills add https://github.com/cloudflare/security-audit-skill --skill security-audit

Den Check starten

Öffne Claude Code jetzt im Ordner deiner App-Kopie und schicke diesen Auftrag. Er aktiviert den Skill in seinem vollen Modus und hält die Regeln ein, die du bei den Stolperfallen unten findest. Passe nur die Klammer an: 

Mach bitte ein vollständiges Sicherheits-Audit dieses Projekts mit dem installierten Skill "security-audit" von Cloudflare.

Worum es geht: [In einem Satz beschreiben, z. B. "Das ist mein Mitgliederbereich mit Login, Kursvideos und Zahlungen" oder "Das ist mein Kundenportal, in dem Kunden Dokumente hochladen"]

Besonders wichtig sind mir: Login und Passwörter, Kundendaten in der Datenbank, die Schnittstellen nach außen und, falls vorhanden, die eingebaute KI (Prompt Injection).

Regeln:
- Schreib den Bericht in einen Ordner AUSSERHALB dieses Projekts, damit nichts im Projekt verändert wird.
- Ändere keinen Code und behebe noch nichts. Erst der Bericht.
- Teste nur dieses Projekt und nur lokal. Greif niemals auf fremde Seiten oder echte Kundendaten zu.
- Wenn keine abgeschottete Umgebung (Sandbox) vorhanden ist, führe keinen Projektcode aus und sag mir das klar.

Am Ende: Fasse mir den Bericht auf Deutsch zusammen, sortiert nach Gefahr. Nenne die drei wichtigsten Lücken, erkläre sie ohne Fachsprache und sag mir bei jeder, wie sie geschlossen wird.

Rechne damit, dass das eine Weile dauert. Der Skill setzt viele Agenten nacheinander und parallel ein. Lass das Fenster offen und gib Rückfragen frei, wenn sie kommen.

Den Bericht lesen

Ohne eigene Angabe landet der Bericht laut Anleitung in einem Ordner namens security-audit-skill in deinem Benutzerordner, darin ein Unterordner mit dem Namen deines Projekts und der Nummer des Durchlaufs. Dort findest du drei Dateien. Du musst sie nicht selbst öffnen, Claude fasst sie dir zusammen. Wichtig ist, was die drei Begriffe bedeuten:

Lass Claude die bestätigten Lücken danach nacheinander schließen, jede einzeln mit Test, und starte den Check anschließend noch einmal. So siehst du, dass die Lücke wirklich zu ist.

Die 6 Stolperfallen

  1. Immer auf einer Kopie arbeiten. Der Skill ist ein Prüfer, kein Handwerker, und trotzdem lässt du ihn besser nicht an dein Original und nie an echte Zugangsdaten. Lege vorher eine Kopie des Ordners an, ohne Passwörter und ohne echte Kundendaten.
  2. Nur deine eigene App prüfen. Der Skill ist ein Werkzeug für die Prüfung von Code, den du selbst besitzt. Fremde Seiten zu testen ist tabu und kann strafbar sein.
  3. Ein Durchlauf findet nicht alles. Laut dem Repo hat ein einzelner Durchlauf in den Tests ungefähr die Hälfte dessen gefunden, was mehrere Durchläufe zusammen fanden. Die Durchläufe ergänzen sich. Für eine App mit Kundendaten lohnen sich also zwei oder drei Runden.
  4. Das kostet Nutzung. Viele Agenten arbeiten lange. Das kann dein Claude-Limit spürbar belasten. Starte lieber an einem Tag, an dem du Luft hast, und lass dir bei einer großen App erst einen Teil prüfen, zum Beispiel nur den Login.
  5. Der Bericht ist kein Gütesiegel. „Keine Funde“ heißt nicht „garantiert sicher“, sondern „der Skill hat nichts bestätigt“. Bei Zahlungen, Gesundheitsdaten oder vielen Kundendaten gehört zusätzlich ein Fachmensch drauf.
  6. Erst prüfen, dann live gehen, nicht umgekehrt. Der beste Zeitpunkt ist vor dem ersten echten Kunden. Danach jedes Mal, wenn du größere Teile änderst, besonders am Login.

Häufige Fragen

Kostet der Skill etwas?

Der Skill selbst nicht, er steht unter der MIT-Lizenz und ist kostenlos, auch für Firmen. Du brauchst aber einen KI-Programmierer wie Claude Code, und der verbraucht beim Audit Nutzung aus deinem Abo.

Muss ich dafür programmieren können?

Nein. Du kopierst die zwei Aufträge von oben und lässt Claude arbeiten. Die Ergebnisse bekommst du auf Deutsch und ohne Fachsprache erklärt, wenn du das im Auftrag verlangst, so wie oben.

Ersetzt das einen Sicherheitsprofi oder einen Penetrationstest?

Nein. Es ist eine gründliche erste Prüfung, die Lücken findet, die du sonst übersehen hättest, aber kein Ersatz für einen Fachmenschen, wenn viel auf dem Spiel steht. Cloudflare selbst nennt das Ganze ein Forschungsexperiment.

Geht das auch mit Codex oder einer anderen KI?

Laut Anleitung braucht der Skill einen Programmier-Agenten, der Werkzeuge nutzen und mehrere Helfer parallel einsetzen kann. Claude Code passt. Der Installationsbefehl hat laut README auch Optionen für andere Agenten, schau dazu in die Anleitung im Repo.

Keine Lust, dich da selbst reinzufuchsen?

Verständlich 😄 In meiner kostenlosen Community kannst du jederzeit in einen bezahlten Plan (Premium oder VIP) upgraden, dann bekommst du meine fertigen, geprüften Setups und Workflows (dieselben, mit denen meine eigenen KI-Agenten arbeiten), und Claude passt sie nur noch an dein Business an.

Und jetzt du

Installiere den Skill, kopiere dir deine App und lass den Check einmal laufen, bevor du den nächsten Kunden in deinen Mitgliederbereich einlädst. Wenn du magst, schreib mir auf Instagram, was dabei herausgekommen ist. Ich freue mich über jede Nachricht. ❤️

PS: Falls du über „Kommentiere AUDIT“ hierher gekommen bist – die DM kam von meinem selbstgebauten ManyChat-Ersatz. Wie du dir das baust, zeige ich dir in meiner kostenlosen Community: hier geht's direkt zum Video. 😉

Das Reel zur Anleitung

Um das Reel hier anzusehen, erlaube externe Inhalte in den Cookie-Einstellungen.

Reel auf Instagram ansehen