Claude Code: „Nicht erneut fragen“ speichert Passwörter im Klartext

Eine Untersuchung des IT-Sicherheitsunternehmens Apiiro hat ein erhebliches Sicherheitsrisiko beim Einsatz des KI-Werkzeugs Claude Code aufgedeckt. Wie die Sicherheitsforscher Shmulik Cohen und Matan Giladi am 5. November 2026 darlegten, speichert die Software freigegebene Befehle samt Passwörtern im Klartext ab.

Wenn Entwickler eine Eingabeaufforderung mit der Option bestätigen, nicht erneut zu fragen, legt das System den vollständigen Shell-Befehl in der Datei .claude/settings.local.json ab.

Da Claude Code diesen Pfad standardmäßig nur in die globale Ausschlussliste des Entwicklers einträgt und nicht in die .gitignore-Datei des jeweiligen Repositoriums, gelangten zahlreiche dieser Dateien unbemerkt auf die Entwicklungsplattform GitHub.

Tausende vertrauliche Schlüssel in öffentlichen Repositorien

Zwischen dem 1. und 3. November 2026 untersuchte Apiiro 104.185 öffentlich zugängliche Kopien dieser Einstellungsdatei in 103.617 öffentlichen GitHub-Repositorien. In 1.122 Dateien, was einem Anteil von rund 1,1 Prozent entspricht, entdeckten die Analysten mindestens ein echtes Geheimnis. Insgesamt summierten sich die Funde auf 1.379 unterschiedliche Zugangsdaten.

Unter den aufgespürten Daten befanden sich 636 Schlüssel in Formaten gängiger Diensteanbieter sowie 743 Passwörter und Token in Zeilen mit Verweisen auf öffentliche Hosts.

Konkret zählten die Forscher 379 Datenbank-Passwörter, 122 Service-Role-Schlüssel und 103 Account-Token für Supabase, 43 SSH-Zugänge für öffentliche Server inklusive Root-Berechtigungen, 42 Token für GitHub, GitLab und npm sowie 23 AWS-Schlüssel und sechs private kryptografische Schlüssel.

Als Dateieigner sind 63 Organisationen betroffen, bei denen es sich überwiegend um Softwareunternehmen handelt. Ein vorab informiertes Unternehmen bestätigte gegenüber Apiiro, dass ein betroffener Schlüssel zum Zeitpunkt der Benachrichtigung aktiv war. Apiiro selbst prüfte die Gültigkeit der gefundenen Zugangsdaten nicht systematisch.

Anzeige

Wer im Unternehmen KI-Lösungen wie Claude Code einsetzt oder entwickelt, muss die neuen rechtlichen Rahmenbedingungen des EU AI Acts genau kennen. Dieser kostenlose Umsetzungsleitfaden bietet einen kompakten Überblick über alle Anforderungen, Pflichten und Fristen für Unternehmen. EU AI Act in 5 Schritten verstehen

Hohe Persistenz und mangelhafte Erkennung

Besonders anfällig zeigten sich umfangreichere Konfigurationen: Bei Dateien mit einer Größe von über 8 Kilobyte enthielt jede zehnte Datei ein vertrauliches Datum, während der Anteil bei Dateien unter 500 Bytes bei unter 1 zu 500 lag. Auf dem Hauptentwicklungszweig betrug der Median seit dem ersten Einchecken der Datei 217 Tage; in 118 Repositorien lag die Datei bereits über ein Jahr offen.

Eine erweiterte Auswertung unter Einbeziehung der Git-Historie, geteilter Konfigurationsdateien und Chat-Transkripte ergab sogar 2.539 Zugangsdaten in 1.994 Repositorien. Weitere 734 Geheimnisse in 509 Projekten waren ausschließlich über frühere Commits abrufbar. Zudem wiesen 211 Abspaltungen von 74 Repositorien identische Zugangsdaten auf.

In 539 von 1.105 nachverfolgbaren Projekten hatten Commits, die von Claude mitautorisiert wurden, die Datei verändert. Herkömmliche Sicherheitswerkzeuge stießen an Grenzen: gitleaks schlug bei 564 und TruffleHog bei 643 der 1.122 Dateien an, während 215 betroffene Dateien von beiden Scannern übersehen wurden.

Anzeige

Solche Sicherheitslücken zeigen, wie schnell sensible Firmendaten durch neue technologische Risiken gefährdet sein können. Dieser kostenlose Report klärt darüber auf, welche KI-Risiken und gesetzlichen Pflichten Unternehmer jetzt kennen müssen, um proaktiv Sicherheitslücken zu schließen. Kostenlosen Report zu KI-Risiken herunterladen

Modellunabhängiges Verhalten und Reaktionen

Von 16 verglichenen Programmierassistenten speichert nach Angaben von Apiiro lediglich Claude Code vollständige Befehle standardmäßig in einer lokalen Projektdatei ab. Der Mechanismus erwies sich als unabhängig vom genutzten Sprachmodell und wurde sowohl mit Opus 5.5 als auch mit Fable 5.1 reproduziert.

Bereits am 11. August 2025 war ein entsprechender Fehlerbericht bei GitHub eingereicht worden. Dieser wurde jedoch nach 60 Tagen ohne Aktivität am 3. Januar durch einen Bot geschlossen; vier verwandte Meldungen wurden ebenfalls ohne Antwort von Anthropic geschlossen.

Am 7. November 2026 äußerte sich Boris Cherny, Leiter für Claude Code bei Anthropic, im Entwicklerforum Hacker News. Er erklärte, dass eine automatische Bereinigung vertraulicher Daten bislang fehle und die betroffenen Dateien manuell erstellt sowie eingecheckt worden seien.

Man prüfe derzeit Gegenmaßnahmen wie eine Erkennung im Automatikmodus sowie Scans nach Geheimnissen. Eine offizielle Stellungnahme zur Behebung des Lecks liegt von Anthropic bislang nicht vor.

Sicherheitsexperten raten betroffenen Entwicklern, exponierte Anmeldedaten unverzüglich auszutauschen, die Dateien aus der Git-Versionsverwaltung zu entfernen und in die lokale .gitignore einzutragen.

Da ein einfaches Löschen wegen Forks und der Git-Historie nicht genüge, seien bei betroffenen Daten auch Meldepflichten nach der Datenschutz-Grundverordnung zu beachten. Bereits im April hatte Check Point auf npm einen ähnlichen Fall gemeldet, bei dem 428 von rund 46.500 Paketen die Konfigurationsdatei enthielten.