Reverse Engineering mit Claude: Ghidra MCP, REA und wo die Grenzen liegen

Reverse Engineering mit Claude bedeutet heute meistens: Ein MCP-Server verbindet Claude mit Ghidra, IDA oder Hopper, und der Agent arbeitet sich selbst durch Dekompilat, Funktionen und Strings. Neu sind dabei nicht die Werkzeuge. Neu ist, dass ein Agent sie bedient. Gleichzeitig blockt Claude einen Teil dieser Arbeit, auch wenn sie legitim ist. Beides gehört in eine ehrliche Bestandsaufnahme.

Was Reverse Engineering mit Claude konkret heißt

Reverse Engineering heißt, aus einem fertigen Programm herauszulesen, wie es funktioniert. Klassisch sitzt dafür ein Mensch vor einem Disassembler, benennt Funktionen um und rekonstruiert Datenstrukturen. Mit einem Sprachmodell verschiebt sich die Rollenverteilung: Claude liest den Pseudocode, stellt Hypothesen auf, benennt Funktionen, sucht Querverweise und fasst zusammen. Der Mensch prüft und entscheidet.

Ohne Werkzeuganbindung bleibt das Copy-and-Paste. Man kopiert Pseudocode aus Ghidra in den Chat und bekommt eine Erklärung zurück. Das funktioniert für einzelne Funktionen, aber nicht für ein Programm mit Tausenden davon. Hier setzt das Model Context Protocol an: Es macht die Analysewerkzeuge für den Agenten direkt aufrufbar.

Welche MCP-Server es für Reverse Engineering gibt

Die bekannteste Anbindung ist GhidraMCP. Sie besteht aus einem Ghidra-Plugin, das einen lokalen HTTP-Server startet, und einer Python-Brücke, die diesen Server als MCP-Werkzeuge anbietet. Claude kann darüber dekompilieren, Methoden und Daten automatisch umbenennen sowie Klassen, Importe und Exporte auflisten. Eingetragen wird die Brücke in Claude Desktop über die claude_desktop_config.json.

pyghidra-mcp geht einen Schritt weiter und startet Ghidra selbst, wahlweise ohne Oberfläche. Das passt besser zu Automatisierung und zu Agenten, die ohne grafische Sitzung laufen.

ida-pro-mcp bindet IDA Pro an. Der Server selbst ist frei, setzt aber eine kostenpflichtige IDA-Lizenz voraus und muss von Hand eingerichtet werden.

Viel Aufmerksamkeit bekommt gerade REA (Reverse Engineer Anything), das Anfang Oktober 2026 auf GitHub Trending auftauchte. Dazu gleich mehr.

Zur Einordnung, wie stark das Thema gesucht wird: Laut Ahrefs liegt „ghidra mcp“ in Deutschland bei rund 250 Suchanfragen im Monat, SISTRIX schätzt etwa 200. „ida pro mcp“ kommt bei Ahrefs auf rund 150. Das sind Schätzwerte der Tools, keine gemessenen Zahlen, aber sie zeigen, dass Entwickler gezielt nach der Anbindung suchen und nicht allein nach Ghidra.

REA: was der virale MCP-Server wirklich kann

REA stammt von morluto, steht unter MIT-Lizenz und bietet dieselben Analyse-Workflows als MCP-Server und als Kommandozeilenwerkzeug an. Installiert wird es als Skill für den Agenten, unterstützt werden unter anderem Claude Code, Codex, Cursor und Gemini CLI. REA richtet die nötigen Analysewerkzeuge selbst ein und lädt die untersuchte App laut Projektbeschreibung nicht zu einem externen Dienst hoch. Der Schwerpunkt liegt derzeit auf nativen macOS-Apps, dazu kommen JavaScript- und Electron-Apps, .NET-Assemblies und Websites.

Der Ablauf ist ein Kreislauf: Der Agent lässt REA dekompilieren, bekommt Pseudocode samt einer Liste offener Fragen zurück, schreibt eine eigene Implementierung, testet sie gegen das Original und beginnt die nächste Runde.

In einem Praxistest, den MindStudio beschreibt, wurde Apples Vorschau-App nachgebaut. Die mit REA nachgebaute Version bildete Zoom, Annotationen, Zeichnen, Drehen und Speichern recht treu nach. Ein Agent ohne REA, der nur mit Screenshots und eigenem Schlussfolgern arbeitete, kam aber zu einem vergleichbaren Ergebnis und war in diesem Test sogar schneller fertig. Das Fazit der Autoren: REA ist eine Bedienschicht über Jahrzehnte alter Werkzeuge, kein technischer Durchbruch, und der Hype stützt sich mehr auf GitHub-Sterne als auf überzeugende Demos.

Ich sehe das ähnlich. Der Wert von REA liegt in der Bequemlichkeit: ein Installationsschritt statt drei Werkzeuge mit eigenen APIs. Bei einfachen Apps reicht oft schon ein guter Coding-Agent. Interessant wird ein Werkzeug wie REA erst bei Binaries, deren Verhalten man nicht von außen beobachten kann.

Warum Claude Reverse-Engineering-Anfragen ablehnt

Wer mit Claude Code an Binaries arbeitet, trifft früher oder später auf diese Meldung: Die Anfrage verstoße offenbar gegen die Usage Policy. Das ist kein Bug im einzelnen Fall, sondern Absicht. Laut Anthropic werden die allgemein verfügbaren Modelle wie Claude Opus 5.5, Claude Fable 5.1 und Claude Sonnet 5.5 mit vorsichtigen Cyber-Schutzmechanismen ausgeliefert, die den Großteil der Cyber-Arbeit blockieren. Echtzeit-Klassifikatoren prüfen dabei die Anfrage, und sie können Malware-Analyse oder das Validieren von Exploits unterbrechen.

Diese Klassifikatoren treffen auch legitime Arbeit. In öffentlichen Issue-Trackern finden sich Fälle, in denen Nutzer eine offiziell vertriebene Android-App dekompilieren wollten, um das Protokoll für ihre eigene Hardware zu verstehen, oder die Firmware eines eigenen Geräts analysieren wollten. Beides wurde abgebrochen. Ob das jeweils ein Fehlalarm war, lässt sich von außen nicht prüfen. Das Muster ist aber klar: Der Klassifikator reagiert auf das Thema, nicht auf die Absicht.

Wie man mit einer Ablehnung umgeht

Es gibt Anleitungen, die versprechen, Claudes Ablehnungen auszuhebeln. Davon rate ich ab. Wer Schutzmechanismen gezielt umgeht, verstößt gegen die Nutzungsbedingungen und riskiert sein Konto. Und eine Analyse, die nur durch Verschleierung zustande kommt, lässt sich später schlecht vertreten, wenn jemand fragt, was man da eigentlich getan hat.

Was hilft, ist ehrlicher Kontext:

• Ziel benennen. „Ich will verstehen, welches Protokoll diese App für meinen Drucker nutzt“ ist eine andere Anfrage als „Entschlüssle diese App“.
• Besitz und Berechtigung nennen. Eigene Software, eigene Geräte, ein Auftrag mit schriftlicher Freigabe.
• Die Aufgabe so schneiden, wie sie wirklich ist. Oft braucht man nur die Struktur einer Datei oder die Signatur einer Funktion, nicht das ganze Binary.

Das ist keine Formulierungstaktik. Es gibt dem Modell die Information, die ein menschlicher Kollege auch hätte. Blockiert der Klassifikator trotzdem, lässt sich das nicht wegdiskutieren.

Für Sicherheitsteams gibt es seit dem 6. Oktober 2026 einen offiziellen Weg: das erweiterte Cyber Verification Program (CVP). Es hat drei Stufen, Defense, Red Team und Specialized Access, und jede Stufe umfasst Claude Opus 5.5, Sonnet 5.5 und Mythos 5.1. Das Programm ist kostenlos, setzt aber eine Bewerbung als Organisation, eine Verifizierung und den Nachweis von Sicherheitskontrollen voraus. Außerdem verlangt Anthropic Datenaufbewahrung, um Missbrauch erkennen zu können. Für eine Einzelperson, die eine App aus Neugier zerlegen will, ist das nicht gedacht.

Was in Deutschland erlaubt ist

Rechtlich ist Dekompilieren in Deutschland nicht grundsätzlich verboten, aber eng geregelt. § 69e UrhG erlaubt es ohne Zustimmung des Rechteinhabers nur, wenn es unerlässlich ist, um Interoperabilität eines unabhängig geschaffenen Programms herzustellen. Dazu kommen Bedingungen: Es handelt der berechtigte Nutzer, die Informationen sind nicht anderweitig verfügbar, und es werden nur die nötigen Programmteile untersucht. Die gewonnenen Informationen dürfen nicht für ein Programm mit im Wesentlichen ähnlicher Ausdrucksform verwendet werden. Diese Regel lässt sich vertraglich nicht ausschließen.

Für das REA-Szenario „Rebuild this app“ ist das der entscheidende Punkt. Eine App zu analysieren, um mit ihr zusammenzuarbeiten, ist etwas anderes, als sie nachzubauen und zu vertreiben. Auch MindStudio weist darauf hin, dass ein naher Klon fremder Software rechtliche Risiken trägt, egal mit welchem Werkzeug er entstanden ist. Ich bin kein Anwalt; bei konkreten Projekten gehört diese Frage vor den Start geklärt.

Wie ich Reverse-Engineering-Agenten einsetzen würde

Aus meiner Arbeit mit MCP-Servern übertrage ich drei Regeln, die hier genauso gelten.

Erstens: minimale Rechte. Ein Analyse-Agent braucht Lesezugriff auf das Ghidra-Projekt. Er braucht keine Netzwerkverbindung nach außen und kein Schreibrecht im Home-Verzeichnis. Wie man Werkzeuge in einem MCP-Server auf das Nötige begrenzt, habe ich in MCP-Server mit n8n erstellen beschrieben.

Zweitens: isolierte Umgebung. Die REA-Dokumentation sagt selbst, dass die Laufzeitbeobachtung das Ziel mit den Rechten des aktuellen Nutzers ausführt. Unbekannte Binaries gehören in eine VM oder einen Container, nicht auf den Arbeitsrechner.

Drittens: ein Mensch gibt frei. Der Agent darf analysieren und vorschlagen. Ob etwas ausgeführt, verändert oder weitergegeben wird, entscheide ich. In Claude Code lässt sich das mit Hooks erzwingen, die bestimmte Tool-Aufrufe blockieren; mehr dazu in Claude Code Mods erklärt.

Mit diesen Regeln ist ein Reverse-Engineering-Agent ein gutes Werkzeug, um eigene Altsysteme zu verstehen, undokumentierte Schnittstellen für eine Integration zu erschließen oder eine verdächtige Datei vorzusortieren, bevor ein Sicherheitsteam übernimmt.