Ein Passwort, das in einen Shell-Befehl getippt wurde, kann laut Apiiro anschließend in einer Projektdatei stehen und mit dem Projekt auf GitHub landen.

Erst kostenlos reinschnuppern, dann entscheiden

Bevor du dich für eine Weiterbildung entscheidest, sieh dir kostenlos an, wie sie läuft, fünf Lektionen plus Live-Demo, ohne Verpflichtung. Passt es, ist der Digitalisierungsmanager bei bewilligtem Bildungsgutschein für dich kostenlos.

Kostenlos reinschnuppern

Was Apiiro beschreibt

Der Ablauf, den Apiiro in seinem Beitrag vom 5. November 2026 schildert, beginnt mit einer Rückfrage. Claude Code fragt vor einem Shell-Befehl um Erlaubnis. Wählt der Nutzer „Yes, and don't ask again“, speichert das Werkzeug den genauen Befehl in der Datei .claude/settings.local.json im Projektordner. Enthielt der Befehl ein eingetipptes Geheimnis, etwa ein Passwort oder einen Schlüssel, steht es danach in dieser Datei.

Nichts im Repository kennzeichnet die Datei laut Apiiro als privat, und die Regel gelangt nicht in die .gitignore des Repositorys. Apiiro führt das Verhalten auf Claude Code selbst zurück. Die Datei gehört damit zu dem, was beim Hochladen eines Projektordners mitwandern kann, auch wenn niemand sie bewusst ausgewählt hat.

Zahlen mit ihrer Bezugsgröße

Ausgangspunkt der Auswertung sind 104.185 öffentliche Kopien der Datei auf GitHub. In 1.122 davon fand Apiiro ein echtes Geheimnis. Zählt Apiiro zusätzlich den Git-Verlauf, die geteilte Datei settings.json und gespeicherte Agent-Transkripte mit, kommt die Auswertung auf insgesamt 2.539 Geheimnisse in 1.994 öffentlichen Repositories. 63 Organisationen sind betroffen. Es ist Apiiros eigene Zählung: Ob eine Fundstelle ein echtes Geheimnis ist, hat Apiiro laut The Hacker News mit Mustern und einer KI-Prüfung eingeordnet, und unabhängig geprüft sind die Treffer nicht.

Zwei Zahlen sollten nicht miteinander verwechselt werden: 1.122 gilt für die Datei in 104.185 Kopien, 2.539 für den weiter gefassten Bestand. Beide Werte sagen etwas über öffentliche Kopien auf GitHub aus und keine Quote über alle Projekte, in denen Claude Code läuft.

Ob die gefundenen Zugangsdaten noch funktionieren, hat Apiiro laut The Hacker News nicht getestet. Ob jemand sie genutzt hat, sagen die Forscher laut The Hacker News ebenfalls nicht. Eine benachrichtigte Organisation bestätigte laut Apiiro, dass ihr Schlüssel aktiv war.

ITWire ordnet den Befund als Expositionsrisiko ein. Einen nachgewiesenen Einbruch belegt er nicht.

Empfehlung und Reaktion von Anthropic

Apiiro rät, zuerst alle betroffenen Zugangsdaten auszutauschen und erst danach aufzuräumen. Außerdem empfiehlt Apiiro, die eigene GitHub-Organisation nach den Dateien .claude/settings.local.json und .claude/settings.json zu durchsuchen.

Die Reihenfolge hat einen Grund, den die Zählung selbst zeigt: Auch der Git-Verlauf gehört zu den Fundorten, die Apiiro mitzählt. Deshalb genügt aus unserer Sicht das Löschen der Datei allein nicht; der Austausch der Zugangsdaten hat Vorrang.

Zur Haltung von Anthropic liegt nur Apiiros Wiedergabe vor. Laut dem Update vom 8. November antwortete Boris Cherny, Leiter von Claude Code, am 7. November auf Hacker News, das Team prüfe, was sich gegen das Problem tun lasse. Genannt wurden laut Apiiro zwei Ansätze: Der Auto-Modus soll solche Fälle abfangen, und ein einfaches Scannen nach Geheimnissen könnte helfen. Beide sind Ansätze, einen Termin nennt Apiiro dafür nicht. Von einem Update des Werkzeugs berichtet Apiiro ebenfalls nicht. Heise online berichtete am 9. November 2026 über den Fall, The Hacker News nennt dieselben 1.122 Fundstellen wie Apiiro.

Unsere Einschätzung

Der Fall betrifft Betriebe, die Skripte und Automatisierungen mit KI-Coding-Werkzeugen bauen lassen, selbst oder durch Agentur und Freelancer. Aus unserer Sicht liegt der Kern in einer Frage, die sich leicht überlesen lässt: Wo landen Zugangsdaten, wenn jemand sie während der Arbeit in ein Terminal tippt? Ein Passwort im Befehl ist schnell geschrieben, und dass ein Werkzeug den Befehl dauerhaft in einer Projektdatei ablegt, bemerkt der Nutzer im Moment der Bestätigung womöglich nicht. Wer den Projektordner später in ein öffentliches Repository schiebt, gibt die Datei womöglich mit. Die Frage trifft auch Betriebe, die selbst nie programmieren, sobald ein beauftragter Dienstleister mit solchen Werkzeugen arbeitet. Bei externen Dienstleistern würden wir deshalb ausdrücklich nachfragen, wo ihre Projektordner liegen und ob diese öffentlich sind. Für den eigenen Bestand würden wir die Suche nach den beiden Dateien einplanen, die Apiiro nennt, und jeden Fund wie einen Verlust behandeln: Zugangsdaten tauschen, dann aufräumen. Apiiro hat die Funde auf Funktionsfähigkeit nicht getestet, und das ist kein Grund zur Entwarnung: Den Austausch nimmt der Betrieb besser selbst vor, als auf eine Prüfung zu warten. Zum Thema abhandengekommener Zugangsdaten gibt es bei uns bereits den Artikel Manipuliertes Bauteil im KI-Baukasten: die Zugangsdaten sind weg.

Ein Expositionsrisiko ist kein Einbruch, das stimmt. Es lässt sich aber beheben, bevor ein Schaden nachgewiesen ist, und genau dafür ist der Austausch von Zugangsdaten da.

Bis Anthropic selbst Stellung nimmt, bleibt die Lage ein Bericht von Apiiro mit Apiiros Zählung.

Quellen

Die genannten Angaben stützen sich auf folgende öffentlich zugängliche Quellen (Stand der Recherche: 10. November 2026):

Häufige Fragen

Was berichtet Apiiro über Claude Code?

Laut Apiiro speichert Claude Code bei der Auswahl von „Yes, and don't ask again“ den genauen Shell-Befehl samt eingetipptem Geheimnis in der Datei .claude/settings.local.json im Projektordner. Nichts im Repository kennzeichnet die Datei als privat, und die Regel gelangt nicht in die .gitignore.

Wie viele Zugangsdaten hat Apiiro gefunden?

Von 104.185 öffentlichen Kopien der Datei auf GitHub enthalten laut Apiiro 1.122 ein echtes Geheimnis. Mit Git-Verlauf, settings.json und gespeicherten Agent-Transkripten nennt Apiiro insgesamt 2.539 Geheimnisse in 1.994 öffentlichen Repositories. Es ist Apiiros eigene Zählung.

Wurden die Zugangsdaten tatsächlich missbraucht?

Laut The Hacker News hat Apiiro nicht geprüft, ob die Zugangsdaten noch funktionieren, und sagt nicht, ob jemand sie genutzt hat. ITWire nennt den Befund ein Expositionsrisiko ohne nachgewiesenen Einbruch. Eine benachrichtigte Organisation bestätigte laut Apiiro, dass ihr Schlüssel aktiv war.

Was sollte ein Betrieb jetzt regeln?

Apiiro rät, betroffene Zugangsdaten zuerst auszutauschen und danach aufzuräumen sowie die GitHub-Organisation nach .claude/settings.local.json und .claude/settings.json zu durchsuchen. Aus unserer Sicht gehört dazu die Nachfrage bei Agentur oder Freelancer, wo deren Projektordner liegen und ob sie öffentlich sind.

Wer im Betrieb weiß, wo die Zugangsdaten der KI-Werkzeuge und Automatisierungen tatsächlich liegen?

Im kostenlosen KI-Schnupperkurs zeigen wir in fünf Lektionen, wie kleine und mittlere Firmen KI im Alltag einsetzen. Tiefer und praxisnah geht es im Vollkurs Digitalisierungsmanager, DEKRA-zertifiziert und förderfähig über den Bildungsgutschein.

Zuletzt aktualisiert: 10. November 2026. Stand der Recherche: 10. November 2026.