Kurz gesagt: Eine Komfortfunktion des KI-Coding-Agenten Claude Code kann vertrauliche Zugangsdaten unbeabsichtigt in öffentliche GitHub-Repositories übertragen. Sicherheitsforscher von Apiiro fanden Tausende offengelegte Geheimnisse, darunter API-Token, Datenbankpasswörter und Cloud-Zugangsschlüssel.
Ein Klick auf „Ja, nicht mehr fragen“ soll die Arbeit mit Claude Code erleichtern. Doch genau diese Option kann sensible Informationen öffentlich zugänglich machen. Wie entsteht dieses Sicherheitsrisiko, und was können Entwickler dagegen unternehmen?
Wie Claude Code Zugangsdaten unbeabsichtigt speichert
Claude Code unterstützt Entwickler bei Programmieraufgaben und der automatisierten Codeerstellung. Greift der KI-Agent auf Datenbanken oder APIs zu, fragt er bei bestimmten Befehlen zunächst nach einer Bestätigung.
Wählen Nutzer „Ja, nicht mehr fragen“ beziehungsweise „Yes, and don’t ask again“, speichert Claude Code die entsprechende Berechtigung einschließlich des Befehls in der Datei .claude/settings.local.json. Enthält dieser Befehl Zugangsdaten oder API-Token, werden diese ebenfalls gespeichert.
Die Datei soll eigentlich lokal bleiben. Claude Code trägt sie deshalb beim Anlegen innerhalb eines bestehenden Git-Repositories in die globale Git-Ignore-Liste ein. Dieser Schutz greift jedoch nicht zuverlässig, wenn ein Projektordner erst später zum Git-Repository wird, von einem anderen Rechner stammt oder die Datei bereits zuvor committet wurde.
Da ein entsprechender Eintrag in der projektbezogenen .gitignore fehlen kann, besteht das Risiko einer unbeabsichtigten Veröffentlichung.
Tausende Zugangsdaten in öffentlichen Repositories entdeckt
Das IT-Sicherheitsunternehmen Apiiro untersuchte mehr als 100.000 öffentlich verfügbare Kopien einer Claude-Code-Konfigurationsdatei auf GitHub. In über 1.100 Fällen enthielten diese tatsächlich vertrauliche Informationen.
Insgesamt identifizierten die Forscher 2.539 echte Geheimnisse in 1.994 öffentlichen GitHub-Repositories. Dazu gehörten Datenbankpasswörter, Cloud-Schlüssel, API-Token und SSH-Root-Zugangsdaten.
Weitere 1.160 Geheimnisse fanden sich unter anderem in der Git-History, gemeinsam genutzten Konfigurationsdateien und gespeicherten Chat-Transkripten von KI-Agenten.
Bemerkenswert ist die Beteiligung des Coding-Agenten selbst: In 539 von 1.105 untersuchten Repositories mit echten Geheimnissen existierten Commits, bei denen Claude als Mitautor Änderungen an der betroffenen Datei vorgenommen hatte.
Anthropic prüft Gegenmaßnahmen
Laut Apiiro kündigte Boris Cherny, Leiter von Anthropics Claude Code, an, mögliche Schutzmaßnahmen zu untersuchen. Dazu gehören eine automatische Erkennung problematischer Vorgänge im Auto-Modus und eine integrierte Prüfung auf vertrauliche Zugangsdaten.
Auch GitHub arbeitet an entsprechenden Sicherheitsmechanismen. Bereits im Frühjahr 2025 wurde GitHub Advanced Security (GHAS) um eine zusätzliche Scan-Funktion zum Schutz vor der Offenlegung von Geheimnissen erweitert.
Was Entwickler und Unternehmen beachten sollten
Apiiro empfiehlt, GitHub-Organisationen einschließlich ihrer Versionshistorie gezielt nach .claude/settings.local.json und .claude/settings.json zu durchsuchen.
Werden veröffentlichte Zugangsdaten entdeckt, sollten diese zuerst ausgetauscht beziehungsweise ungültig gemacht werden. Erst anschließend sollte die Bereinigung der betroffenen Repositories und ihrer Historie erfolgen.
Der Vorfall verdeutlicht, dass Komfortfunktionen von KI-Coding-Agenten bestehende Sicherheitsrisiken in Entwicklungsprozessen verstärken können. Entscheidend bleibt deshalb, vertrauliche Informationen konsequent vor unbeabsichtigter Veröffentlichung zu schützen.
Weitere Entwicklungen rund um KI-Coding-Agenten, IT-Sicherheit und den professionellen KI-Einsatz behandelt der Newsletter Beratung-KI.
Effizienz durch Innovation: Teile der textlichen und visuellen Ausgestaltung dieser Seite wurden durch generative KI-Systeme unterstützt.