# Einstellungsdateien von Claude Code legten Tausende Secrets in öffentlichen GitHub-Repositories offen > Apiiro fand 2.539 gültige Secrets in öffentlichen GitHub-Repositories, die Einstellungsdateien von Claude Code enthielten. Die Ergebnisse zeigen, wie Zugangsdaten durch gespeicherte Befehlsberechtigungen in öffentlich zugänglichen Code gelangen können. > > OpenCheese AI · 2026.11.09 · Webseite: https://opencheese.dev/de/blog/einstellungsdateien-von-claude-code-legten-tausende-secrets-in-oeffentlichen Eine Befehlsfreigabe, die Entwicklern einige Rückfragen ersparen soll, kann zugleich ihre Passwörter in einer Projektdatei speichern. Apiiro fand 2.539 gültige Secrets in 1.994 öffentlichen GitHub-Repositories, die Kopien einer Einstellungsdatei von Claude Code enthielten. Dazu gehörten Datenbankpasswörter, API-Tokens und Cloud-Schlüssel mit Administratorrechten. ## Wie aus einer Freigabe ein gespeichertes Secret wird Claude Code kann sich die Berechtigung merken, einen Befehl auszuführen. Wenn ein Entwickler „Ja, und nicht erneut fragen“ auswählt, speichert der Agent den freigegebenen Befehl in einer Einstellungsdatei im Projektordner. Enthält der Befehl ein Passwort oder ein Zugriffstoken, werden diese Zugangsdaten mitgespeichert. Der Komfort liegt auf der Hand. Ein Entwickler kann einen Befehl einmal freigeben, anstatt immer wieder dieselbe Berechtigungsabfrage zu beantworten. Das Risiko entsteht, wenn die Einstellungsdatei zusammen mit dem Code in ein öffentliches Repository gelangt. Apiiro fand 104.185 öffentlich zugängliche Kopien dieser Dateien in 103.617 GitHub-Repositories. Davon enthielten 1.994 Repositories gültige Secrets. Die Ergebnisse bedeuten nicht, dass Claude Code sämtliche offengelegten Zugangsdaten erstellt oder jeden Commit erzeugt hat, durch den solche Daten veröffentlicht wurden. Unter den 1.105 Repositories, in denen Forschende echte Secrets fanden, gab es 539 Fälle, in denen Claude an der Erstellung des Commits mit der sensiblen Datei beteiligt war. Die veröffentlichten Zahlen erläutern nicht, wie diese Gruppe von 1.105 Repositories mit der größeren Gesamtzahl von 1.994 Repositories zusammenhängt. Die meisten betroffenen Projekte gehörten einzelnen Entwicklern. Apiiro identifizierte jedoch auch 63 betroffene Organisationen, darunter Start-ups, Softwareunternehmen und große Softwareanbieter. Zu den offengelegten Zugangsdaten gehörten ein Cloud-Schlüssel mit Administratorrechten eines Datenbankanbieters, ein Passwort für eine produktive Azure PostgreSQL-Datenbank, ein funktionsfähiges Square-Token und das Eigentümerpasswort einer Datenbank mit Patientenakten. ## Die Ignore-Regel hat Grenzen Claude Code versucht, die Einstellungsdatei aus der Versionsverwaltung herauszuhalten, indem es sie bei ihrer Erstellung in die globale .gitignore des Entwicklers einträgt. Diese Datei teilt Git mit, welche Dateien ignoriert werden sollen. Eine globale Regel liegt jedoch in der persönlichen Konfiguration des Entwicklers und nicht in der .gitignore des Projekts. Dieser Unterschied ist wichtig, wenn ein Projekt zwischen Rechnern oder Mitwirkenden wechselt. Die globale Regel wird nicht mit dem Repository weitergegeben. Außerdem deckt sie nicht alle im Bericht beschriebenen Szenarien ab, darunter Repositories, die erst später innerhalb eines bestehenden Ordners angelegt werden, und Dateien, die ein Entwickler bereits einem Repository hinzugefügt hat. Boris Cherny, der die Entwicklung von Claude Code leitet, sagte, Anthropic prüfe Möglichkeiten, solche Offenlegungen zu verhindern. Er erklärte, die Einstellungsdatei sei nicht zur Veröffentlichung in der Versionsverwaltung gedacht. In den identifizierten Fällen hätten Entwickler sie manuell erstellt und zu Repositories hinzugefügt. ## Warum Scanner die Zugangsdaten übersehen können Ein Secret-Scanner sucht möglicherweise nach erkennbaren dienstspezifischen Schlüsselpräfixen oder langen, zufällig wirkenden Zeichenfolgen. Zugangsdaten, die in unauffällig wirkende Shell-Befehle eingebettet sind, passen nicht unbedingt zu diesen Mustern. Apiiro zufolge können Tools wie Gitleaks und TruffleHog Passwörter übersehen, die über PGPASSWORD=, sshpass -p oder mysql -p übergeben werden. Auch Tokens in Autorisierungs-Headern von curl-Befehlen können unentdeckt bleiben. Ein Scan ohne Befund ist daher ein nützlicher Hinweis, aber keine Garantie dafür, dass ein Repository keine offengelegten Zugangsdaten enthält. Die Forschenden fanden außerdem sensible Informationen in weiteren Artefakten im Zusammenhang mit KI-Agenten, darunter Gesprächsverläufe, Memory-Dateien, Übergabenotizen, Deployment-Notizen und Einstellungen von VS Code Copilot für die automatische Befehlsfreigabe. Ähnliche Dateien tauchten in Repositories auf Hugging Face und GitLab auf. Apiiro warnte, dass dieselben Arten von Informationen in veröffentlichte Pakete, Docker-Images und Projektarchive gelangen könnten. ## Was Entwickler tun können Apiiro empfiehlt, Berechtigungsregeln mit Secrets im Klartext zu entfernen und jedes kompromittierte Passwort beziehungsweise jeden kompromittierten Schlüssel sofort zu ändern. Es reicht nicht aus, nur die aktuelle Datei zu löschen, da ihr Inhalt im Git-Verlauf, in Versionen und in lokalen Kopien eines Repositorys erhalten bleiben kann. Das Unternehmen rät außerdem davon ab, Zugangsdaten direkt in Befehle einzutragen. Es empfiehlt, Umgebungsvariablen zu verwenden, die auf Secrets in speziellen Secret-Managern verweisen. Entwickler sollten Ordner mit den Namen claude, cursor, gemini und specstory sowie Memory-Dateien von KI-Agenten als potenziell sensibel behandeln, ähnlich wie .env-Dateien. Cherny empfahl außerdem, den Auto-Modus zu verwenden, anstatt manuell Listen erlaubter und verbotener Befehle zu verwalten, und GitHub secret scanning zu aktivieren, unabhängig davon, welcher KI-Agent eingesetzt wird. Die Lehre steckt in der Datei, die zu unscheinbar wirkte, um sie zu prüfen. Eine gespeicherte Berechtigung kann ein gespeicherter Befehl sein, und ein gespeicherter Befehl kann die Schlüssel zu einer Produktionsdatenbank enthalten. ## Ähnliche Beiträge - 2026.11.09 · [Claude hilft Forschern, Vault-ähnliche Proteinstrukturen in Bakterien und Viren zu finden](https://opencheese.dev/de/blog/claude-hilft-forschern-vault-aehnliche-proteinstrukturen-in-bakterien-und-viren.md): Ein Team von Anthropic nutzte Claude, um potenzielle Vault-Proteine zu identifizieren, und testete sie anschließend im Labor. Die Ergebnisse deuten darauf hin, dass die rätselhaften Strukturen tiefere evolutionäre Wurzeln haben könnten als bisher angenommen. - 2026.11.05 · [Anthropic baut FlashProve, um KI-Labore beim heimlichen Modelltausch zu ertappen](https://opencheese.dev/de/blog/anthropic-baut-flashprove-um-ki-labore-beim-heimlichen-modelltausch-zu-ertappen.md): Anthropic hat den Open-Source-Code für FlashProve veröffentlicht, ein kryptografisches System, mit dem Nutzer überprüfen können, ob eine KI-Ausgabe tatsächlich vom angegebenen Modell stammt. - 2026.11.05 · [Anthropic: Nutzungsrichtlinie verbietet Claude-Weiterverkauf und Zahlungsumgehung](https://opencheese.dev/de/blog/anthropic-nutzungsrichtlinie-verbietet-claude-weiterverkauf-und-zahlungsumgehung.md): Anthropic hat seine Nutzungsrichtlinie um zwei Einschränkungen ergänzt, die den unautorisierten Weiterverkauf von Claude-Zugängen, deren unautorisierte Bereitstellung per Proxy und die Umgehung von Zahlungen verbieten. Die Regeln treten am 12. November in Kraft und gelten für Claude.ai, Claude Code, API-Konten, Cloud-Plattformen, Wiederverkäufer und integrierte Drittanbieterprodukte.