--- title: 'Claude-Skills vor der Installation prüfen mit SkillSpector: Skill-Abo #11' description: Claude-Skills prüfen mit SkillSpector, bevor du installierst. Mein Test mit drei Skills zeigt, was die Note sagt, was nicht und welche Checks du selbst machst. slug: skill-abo-11-skillspector date: '2026-10-29' author: Gerhard Schröder tags: - skill-abo-newsletter - ki primary_tag: skill-abo-newsletter excerpt: Jeder vierte Skill aus den großen Marktplätzen hat laut einer Studie eine Schwachstelle. SkillSpector von NVIDIA prüft, bevor du installierst. Mein Probescan zeigt, wo die Zahl hilft und wo du selbst lesen musst. canonical: https://visales.de/skill-abo-11-skillspector.html --- - **SkillSpector von NVIDIA prüft Claude-Skills, bevor du sie installierst: 71 Risikomuster in 17 Kategorien, von Prompt Injection bis zur Hintertür im Installationsskript.** - **Mein Probescan mit drei Skills aus früheren Ausgaben: dreimal 100 von 100 Punkten, dreimal DO NOT INSTALL. Und trotzdem nutze ich alle drei. Die Zahl ist ein Hinweis, kein Urteil.** - **Open Source unter Apache 2.0, kostenlos, statisch ohne Sprachmodell nutzbar. Dann bleiben die Dateien auf deinem Rechner.**    
In der letzten Ausgabe: Diagramme im eigenen Branding erstellen mit diagram-design Skill-Abo #10: **diagram-design** Claude versteht deinen Inhalt, zeichnet aber Kästchen mit runden Ecken und Schatten. diagram-design schreibt den Geschmack auf, den das Modell nicht hat, und holt sich deine Markenfarben direkt von der Website. → [Skill-Abo #10 lesen](https://visales.de/skill-abo-10-diagram-design.html)
Zuletzt bei Visual Sales: Produktkonfigurator vs. Angebotskonfigurator Drei Abteilungen, ein Wort, drei verschiedene Systeme gemeint: Marketing will Variantenvisualisierung, Vertrieb braucht Preislogik, Konstruktion ein Regelwerk. Der Unterschied zwischen Produktkonfigurator (zeigt gültige Varianten, unverbindlich) und Angebotskonfigurator (erzeugt ein verbindliches Angebot mit Preisen & Lieferzeiten) entscheidet, welches System du wirklich brauchst. → [Artikel lesen](https://visales.de/produktkonfigurator-angebotskonfigurator-unterschied.html)
  Neun Ausgaben lang habe ich dir Skills empfohlen. Jeder davon bekommt auf deinem Rechner Zugriff auf Dateien, oft auf das Terminal, manchmal aufs Netz. Du installierst ihn mit einem Befehl, und ab dann vertraut Claude ihm. Laut einer Studie aus diesem Jahr hat jeder vierte Skill aus den großen Marktplätzen mindestens eine Schwachstelle. Deshalb geht es in dieser Ausgabe nicht um einen Skill, der etwas für dich erledigt, sondern um einen, der die anderen prüft: [SkillSpector](https://github.com/NVIDIA/skillspector) von NVIDIA. ## Wie sicher sind Claude-Skills aus dem Netz? Ein Skill ist im Kern ein Ordner mit einer Anleitung (`SKILL.md`) und oft ein paar Skripten. Claude liest die Anleitung und folgt ihr. Genau das macht Skills so praktisch und so heikel: Was in der Anleitung steht, wird ausgeführt, ohne dass du jede Zeile siehst. Wie schlank ein guter Skill sein kann, zeigt der [Caveman-Skill](/skill-abo-caveman-skill.html). Die Studie „Agent Skills in the Wild" (Liu und andere, 2026), auf der SkillSpector aufbaut, nennt drei Zahlen, die ich mir gemerkt habe: - **26,1 Prozent** der 31.132 ausgewerteten Skills hatten mindestens eine Schwachstelle. - **5,2 Prozent** zeigten wahrscheinlich böse Absicht. - Skills mit ausführbaren Skripten waren **2,12-mal so oft** betroffen. Das heißt nicht, dass du keine Skills mehr installieren sollst. Es heißt: Schau vorher hin.
Was darf ein Skill eigentlich? Ein Skill hat keine eigenen Rechte. Er bekommt die Rechte des Werkzeugs, in dem er läuft. In Claude Code sind das in der Regel Lesen und Schreiben im Projektordner, Befehle im Terminal und Netzzugriff, je nachdem, was du freigegeben hast. Ein unauffälliger Satz in der Anleitung reicht deshalb, um etwas zu tun, das du nie bestellt hast: Umgebungsvariablen mit API-Keys auslesen, eine Datei nach außen schicken oder einen Eintrag anlegen, der beim nächsten Start wieder ausgeführt wird. Am günstigsten prüfst du vor der Installation. Danach musst du suchen, was der Skill schon getan hat.
## Was prüft SkillSpector an einem Skill? SkillSpector arbeitet in zwei Stufen. **Stufe 1, statische Prüfung:** Der Scanner durchsucht alle Dateien nach Mustern, prüft Python-Code auf gefährliche Aufrufe wie `exec`, `eval` oder `subprocess`, sucht mit YARA-Signaturen nach bekannter Schadsoftware und gleicht die Abhängigkeiten mit der Schwachstellen-Datenbank OSV.dev ab. Schnell, gründlich, mit Fehlalarmen. **Stufe 2, Prüfung mit Sprachmodell (optional):** Ein Modell deiner Wahl bewertet Absicht und Kontext. Bestätigte Befunde bekommen eine Erklärung, unbestätigte eine Markierung. Gestrichen wird kein Befund. Die 71 Muster verteilen sich auf 17 Kategorien. Die wichtigsten für den Büroalltag: **Prompt Injection:** versteckte Anweisungen in Kommentaren, unsichtbarem Text oder hinter vielen Leerzeilen. **Datenabfluss:** Umgebungsvariablen einsammeln, Verzeichnisse durchsuchen, Gesprächsinhalt nach außen senden. **Lieferkette:** `curl | bash`, verschleierter Code, Paketnamen mit Tippfehler, unbekannte Paketquellen. **Übergriffige Agenten:** Werkzeugzugriff ohne Grenzen, folgenreiche Entscheidungen ohne Rückfrage, Selbstveränderung, Einträge in Autostart oder Cron. **Auslöser:** Skills, die auf Allerweltswörter reagieren oder eingebaute Befehle überdecken. Am Ende steht ein Score von 0 bis 100 mit Empfehlung: bis 20 SAFE, bis 50 CAUTION, darüber DO NOT INSTALL. Ob ein Skill korrekt geladen wird, prüft die Claude-Doku. Ob er sicher ist, prüft SkillSpector. ## SkillSpector installieren und ersten Skill scannen Du brauchst Python 3.12 oder neuer und das Paketwerkzeug `uv`. Dann ist es ein Befehl: ```bash uv tool install git+https://github.com/NVIDIA/skillspector.git ``` Danach prüfst du einen Skill, bevor er in deinem Skill-Ordner landet: ```bash # Lokalen Ordner prüfen, ohne Sprachmodell skillspector scan ./neuer-skill/ --no-llm # Direkt von GitHub prüfen skillspector scan https://github.com/name/skill --no-llm # Bericht als Markdown für die Ablage skillspector scan ./neuer-skill/ --no-llm --format markdown --output pruefung.md ``` Nutzt du Claude Code, läuft die zweite Stufe über deinen Zugang, ohne API-Key: ```bash export SKILLSPECTOR_PROVIDER=claude_cli skillspector scan ./neuer-skill/ ``` **Lieber prüfen lassen, als selbst im Terminal zu arbeiten?** Schreib uns über die [Kontaktseite](https://visales.de/kontakt.html). Wir schauen uns deine Skills und deinen Ablauf mit Claude an und sagen dir, was davon bleiben kann.
Was verlässt beim Scan meinen Rechner? Mit `--no-llm` bleiben die Inhalte deiner Dateien lokal. Der Skill wird nie ausgeführt, nur gelesen. Eine Ausnahme gibt es auch im statischen Modus: Die Namen und Versionen der Abhängigkeiten gehen an OSV.dev, die öffentliche Datenbank für bekannte Schwachstellen. Dateiinhalte sind nicht dabei. Ohne Netz nutzt der Scanner eine kleine eingebaute Liste. Mit der zweiten Stufe gehen die Inhalte der geprüften Dateien an den Anbieter, den du eingestellt hast. Für Skills mit internen Daten heißt das: erst statisch prüfen, dann entscheiden.
## SkillSpector im Test: drei echte Skills gescannt Ich wollte wissen, wie streng der Scanner ist, und habe drei Skills aus früheren Ausgaben geprüft, jeweils den aktuellen Stand von GitHub, nur statisch: | Skill | Ausgabe | Befunde | Score | Empfehlung | |---|---|---|---|---| | Prompt Injection Scanner | [#1](/skill-abo-1-prompt-injection-scanner.html) | 255 | 100 | DO NOT INSTALL | | SkillSafe | [#7](/skill-abo-7-skillsafe.html) | 32 | 100 | DO NOT INSTALL | | claude-rank | [#9](/skill-abo-9-claude-rank.html) | 17 | 100 | DO NOT INSTALL | Dreimal Höchststufe. Schauen wir in die Befunde: **Prompt Injection Scanner:** Die meisten Treffer stecken in Testdateien und in der Musterbibliothek. Ein Werkzeug, das Angriffe erkennen soll, enthält Hunderte Beispielangriffe. Der Scanner sieht die Angriffe, nicht den Zweck. **claude-rank:** Ein hoher Befund lautet „Refusal Suppression", also die Anweisung, niemals abzulehnen. Ausgelöst hat ihn die Zeile „Always respond in German". Der echte Befund ist ein anderer: Die Installation läuft per `curl | bash`, also ein Skript aus dem Netz direkt ins Terminal. Das ist verbreitet und bequem, und genau deshalb lohnt der Blick ins Skript, bevor du es startest. **SkillSafe:** Der kritische Befund lautet „Credential Exfiltration Chain", also Zugangsdaten auf dem Weg ins Netz. Der Blick in die Zeile zeigt etwas anderes: Die Umgebungsvariable ist ein Schalter, der den Netzzugriff abschaltet. Der Abruf selbst holt nur Dokumente per HTTPS von einer vorher eingetragenen Adresse, ohne Zugangsdaten, und nur, wenn du ihn mit `--extern` ausdrücklich anforderst. Kein Problem, aber das sagt dir erst die Zeile, nicht die Zahl. ## SkillSpector-Score richtig lesen: Befunde statt Empfehlung Die Rechnung ist einfach: kritisch zählt 50 Punkte, hoch 25, mittel 10, niedrig 5, mit ausführbaren Skripten mal 1,3. Ein kritischer und ein hoher Befund reichen für DO NOT INSTALL, bei Skills mit Skripten auch zwei hohe (2 × 25 × 1,3 = 65). Bei echten, umfangreichen Skills ist die 100 schnell erreicht. Das ist Absicht: Die erste Stufe meldet lieber zu viel, so steht es in der Dokumentation. Für dich heißt das: Nicht die Empfehlung lesen, sondern die Befunde. Jeder Befund hat Datei und Zeile. Drei Fragen helfen beim Sortieren: - Passt das, was der Code tut, zu dem, was der Skill verspricht? - Verlässt etwas den Rechner, und steht das irgendwo erklärt? - Wird etwas ausgeführt, das aus dem Netz kommt? Wenn alle drei Antworten sauber sind, ist auch eine 100 kein Grund zur Panik. Wenn eine davon offen bleibt, ist auch eine 20 kein Freifahrtschein. ## SkillSpector in Claude Code als Prüfschritt Am meisten Zeit sparst du, wenn Claude den Scan selbst startet, bevor er einen Skill installiert. Dafür läuft SkillSpector als MCP-Server: ```bash uv tool install --force 'skillspector[mcp] @ git+https://github.com/NVIDIA/skillspector.git' claude mcp add skillspector -- skillspector mcp ``` Ab dann kannst du in Claude Code sagen: „Prüf diesen Skill, bevor wir ihn installieren." Claude bekommt Score, Befunde und die Angabe, ob die Sprachmodell-Stufe gelaufen ist. Im Repo liegt außerdem ein Skill namens `skill-inspector`. Er macht genau das, was ich oben von Hand gemacht habe: erst scannen, dann die markierten Stellen im Code lesen, dann ein Urteil in drei Stufen, APPROVE, CAUTION oder REJECT. Mit der ausdrücklichen Regel, sich nie allein auf die Zahl zu verlassen. ## Checkliste: Claude-Skill in drei Stufen prüfen 1. **Schnell:** `skillspector scan --no-llm`. Kein Befund als kritisch markiert? Dann weiter. 2. **Normal:** `SKILL.md`, Skripte, Abhängigkeiten und jede Stelle, an der Daten das Gerät verlassen, selbst lesen. 3. **Gründlich:** LLM-Stufe oder skill-inspector, wenn der Skill Skripte mitbringt oder MCP-Rechte will. Am Ende steht eine Ampel: Grün heißt installieren, Gelb nur in einer Testumgebung, Rot nicht installieren. **Und im Betrieb:** Verarbeitet dein Skill fremde Dokumente, prüf sie vorher mit dem [Prompt Injection Scanner aus Skill-Abo #1](/skill-abo-1-prompt-injection-scanner.html). SkillSpector prüft den Skill, der Scanner die Dokumente, die er liest. ## Mein Take: Erst scannen, dann selbst lesen SkillSpector ersetzt nicht dein Urteil. Er sagt dir, wo du hinschauen sollst. Das ist viel wert, wenn ein Skill aus vierzig Dateien besteht und du keine Zeit hast, jede davon zu lesen. Mein Ablauf ab jetzt: Jeder neue Skill geht erst durch `skillspector scan --no-llm`. Hohe und kritische Befunde lese ich selbst nach, und was ich nicht verstehe, frage ich Claude in einem eigenen Chat, der den Skill nicht installiert hat. Das ist dieselbe Trennung wie in [Skill-Abo #8](https://visales.de/skill-abo-8-wer-baut-prueft-nicht.html): Wer baut, prüft nicht. Zwei Grenzen solltest du kennen. Erstens prüft der Scanner vor der Installation, nicht danach. Zweitens erkennt er laut eigener Liste Bilder, verschlüsselten Code und nicht englische Texte nur eingeschränkt. Wichtig für dich: Deutsche Anweisungen in einem Skill liest du besser selbst. Für die Dokumente, die dein Agent liest, bleibt der [Prompt Injection Scanner aus Skill-Abo #1](https://visales.de/skill-abo-1-prompt-injection-scanner.html) das passende Werkzeug. SkillSpector prüft das Werkzeug selbst. Dass ausgerechnet NVIDIA so einen Scanner offen bereitstellt, passt ins Bild: Laut README prüft und signiert der Konzern damit die Skills für den eigenen [Katalog](https://github.com/NVIDIA/skills), bevor sie veröffentlicht werden. Wenn die Anbieter selbst so vorgehen, sollten wir es im Büro auch tun. Der Scanner steht unter Apache 2.0 auf [GitHub](https://github.com/NVIDIA/skillspector). Viele Grüße aus Bochum, Gerhard Schröder PS: Wenn du wissen willst, welche deiner installierten Skills du dir genauer anschauen solltest, schreib mir über die [Kontaktseite](https://visales.de/kontakt.html). Ich schaue gern mit drauf.