Claude Code: Freigabedatei legt Passwörter und Schlüssel auf GitHub offen

Die Sicherheitsfirma Apiiro hat am 5. November 2026 eine Auswertung veröffentlicht und am 6. November aktualisiert, nach der die lokale Freigabedatei von Claude Code auf GitHub massenhaft Zugangsdaten preisgibt. In 1.122 von 104.185 öffentlichen Kopien der Datei .claude/settings.local.json fanden die Forscher mindestens ein echtes Geheimnis, darunter Datenbankpasswörter, Cloud-Schlüssel, API-Tokens und SSH-Logins.

Betroffen sind Teams, in denen Entwickler oder Admins mit Claude Code arbeiten und Befehle mit „Yes, and don't ask again“ dauerhaft freigeben. Wer nie einen Befehl mit Passwort oder Token dauerhaft freigegeben hat, ist nicht betroffen. Liegt die Datei in einem Repository, gehören die Zugangsdaten sofort getauscht, nicht erst im Wartungsfenster.

Was ist passiert?

Wählt der Nutzer vor einem Shell-Befehl „Yes, and don't ask again“, speichert das Werkzeug laut Anthropic-Dokumentation eine Erlaubnisregel in .claude/settings.local.json im Wurzelverzeichnis des Repositorys. Eine Regel ohne Platzhalter * entspricht genau einem Befehl. Steht in diesem Befehl ein Passwort, etwa nach PGPASSWORD=, sshpass -p oder mysql -p, landet es im Klartext in der Datei. Laut Apiiro setzt Claude Code das Geheimnis oft selbst aus einer Konfigurationsdatei in den vorgeschlagenen Befehl.

Anthropic will die Datei aus Git heraushalten: Beim ersten Schreiben trägt Claude Code sie in die globale Git-Ausschlussliste des Nutzers ein. Laut Apiiro wirkt das nur auf diesem Rechner, nicht bei einem Klon anderswo, einem Ordner, der erst später zum Repository wird, oder einer schon eingecheckten Datei. In die .gitignore des Projekts schreibt Claude Code den Eintrag nicht. In 539 von 1.105 nachverfolgten Repositorys mit echtem Geheimnis hat laut Apiiro ein Commit mit Claude als Co-Autor die Datei verändert.

Apiiro hat das Verhalten nach eigener Angabe mit Opus 5.5 und Fable 5.1 nachgestellt. Unter 16 Coding-Agenten, deren Dokumentation Apiiro verglich, ist nur für Claude Code belegt, dass es standardmäßig den vollständigen Befehl in einer Projektdatei speichert. Nutzer haben das Verhalten seit August 2025 in mehreren GitHub-Issues gemeldet; eine Antwort von Anthropic gab es laut Apiiro auf keines davon.

Wer ist betroffen?

Die 1.122 Dateien enthalten nach Apiiro 1.379 verschiedene Geheimnisse. Mehr als ein Drittel öffnet direkt eine Datenbank, darunter 379 Datenbankpasswörter. Dazu kommen 43 SSH-Logins für öffentliche Server, 42 Tokens für GitHub, GitLab und npm sowie 23 AWS-Schlüssel. 63 Organisationen konnten die Forscher zuordnen, meist Softwarefirmen. Mit älteren Dateiversionen, der geteilten .claude/settings.json, gespeicherten Agenten-Chats und weiteren Agenten-Dateien zählt Apiiro 2.539 Geheimnisse in 1.994 Repositorys.

Löschen allein hilft nicht: Ältere Dateiversionen enthalten 734 weitere Geheimnisse, 211 Forks tragen dieselben Daten weiter.

Wie kritisch ist das?

Es geht nicht um eine Lücke, sondern um offene Zugangsdaten, die ohne Exploit nutzbar sind: Ein Datenbankpasswort samt Adresse eines öffentlichen Servers reicht. Apiiro hat keine Zugangsdaten ausprobiert. „Echt“ heißt hier, dass ein Wert einem bekannten Schlüsselformat entspricht oder neben einem öffentlichen Host steht. Eine Firma bestätigte den Forschern, dass ihr Schlüssel gültig war. Ob jemand die Daten bereits missbraucht hat, ist nicht bekannt.

Gängige Scanner helfen nur teilweise: Von den 1.122 Dateien erkannte gitleaks 564 und TruffleHog 643, 215 fand keines der beiden Werkzeuge.

Was sollten Admins jetzt tun?

• Inventar: in der eigenen Organisation nach .claude/settings.local.json und .claude/settings.json suchen, auch in Historie und Forks.
• Rotieren vor Aufräumen: jedes Passwort, jeden Token und jeden Schlüssel tauschen, der je in einer dieser Dateien stand. Zugangsdaten zu öffentlich erreichbaren Servern zuerst.
• Austragen: mit git rm --cached .claude/settings.local.json entfernen und den Pfad in die .gitignore des Projekts und die Vorlagen der Organisation aufnehmen.
• Lokale Kopien prüfen: auch nie eingecheckte Dateien öffnen und Regeln mit Geheimnissen löschen. Laut Apiiro kann die Datei auch über npm-Pakete, Docker-Images oder Zip-Archive abfließen.
• Arbeitsweise ändern: Geheimnisse als Variable wie $DB_URL aus einem Secrets-Manager einsetzen und Muster wie Bash(npm run:*) statt einzelner Befehle freigeben.
• Scanning erweitern: Agent-Ordner wie .claude/ und .cursor/ wie .env-Dateien behandeln und samt Historie in Pre-Commit- und CI-Scans aufnehmen, auch mit Regeln für Passwörter in Befehlszeilen.

Einordnung für Unternehmen

Das Problem liegt im Verhalten des Werkzeugs und im Umgang damit, nicht im Modell: Eine Ausschlussregel auf einem einzelnen Rechner ersetzt keine Projektregel. Firmen mit Claude Code oder ähnlichen Agenten sollten Geheimnisse aus Befehlszeilen heraushalten und Agent-Ordner in bestehende Prüfungen aufnehmen.

In eigener Sache

Für kleine Unternehmen, die Passwörter zentral und sicher verwalten wollen, betreibt S-EDV mit Passwortheld einen eigenen Passwort-Manager auf Basis von Vaultwarden.

Passende Anleitungen auf S-EDV

• Gitleaks mit Docker installieren: Schneller Secret-Scanner für Git-Repositories
• OpenBao mit Docker unter Linux installieren: zentraler Secrets-Store unter MPL-2.0

Quellen

• Apiiro: Auswertung der Claude-Code-Freigabedateien auf GitHub
• Anthropic: Dokumentation zu den Einstellungsdateien von Claude Code
• Anthropic: Dokumentation zu Berechtigungsregeln in Claude Code
• GitHub: Fehlermeldung zu gespeicherten Befehlen mit Schlüsseln
• The Hacker News: Bericht zu den offengelegten Zugangsdaten