Claude Code Leak: 31.088 Passwörter und API-Keys liegen offen auf GitHub

Die Fakten in 30 Sekunden

• Was passiert ist: Claude Code legt jeden dauerhaft freigegebenen Befehl als Erlaubnisregel in einer Projektdatei ab, im Klartext. Steht im Befehl ein Passwort, steht es danach in der Datei.
• Wie es öffentlich wurde: Die Datei wurde mit dem Projekt nach GitHub, in npm-Pakete und in Docker-Images übertragen.
• Wie groß: 31.088 Secrets, 5.343 davon gültig (GitGuardian, 9. November 2026). 2.539 Secrets in 1.994 Repositories (Apiiro, 5. November 2026).
• Was geleakt wurde: vor allem Datenbank-Zugangsdaten, dazu SSH-Passwörter, Cloud-Schlüssel, GitHub- und npm-Tokens sowie API-Keys von KI-Diensten.
• Ist es Claude-spezifisch? Teilweise. Apiiro verglich 16 Coding-Agenten: Nur Claude Code speichert standardmäßig den vollständigen freigegebenen Befehl in einer Projektdatei. Konfigurationsdateien anderer Agenten leaken über andere Wege.
• Hat Anthropic reagiert? Claude-Code-Leiter Boris Cherny schrieb laut Berichten auf Hacker News, das Team prüfe das Problem, Claude Code habe Secrets bisher nicht bereinigt, eine eingebaute Secret-Erkennung werde erprobt. Einen ausgelieferten Fix gibt es zum 11. November 2026 nicht.
• Nicht verwechseln: Der „Claude Code Leak“ vom 31. März 2026 war ein anderer Vorfall. Damals veröffentlichte Anthropic versehentlich den Quellcode des Werkzeugs.
• Ihre Pflicht: Gültige Datenbank-Zugangsdaten mit Kundendaten dahinter können eine Meldung nach Art. 33 DSGVO binnen 72 Stunden auslösen.

Was beim Claude Code Leak im November 2026 passiert ist

Claude Code ist der Coding-Agent von Anthropic für das Terminal. Bevor er einen Shell-Befehl ausführt, fragt er nach. Zur Auswahl stehen eine einmalige Freigabe und die Option „Yes, and don't ask again“. Wählt man die zweite, schreibt Claude Code eine Erlaubnisregel in die Datei .claude/settings.local.json im Projektordner, damit der gleiche Befehl künftig ohne Rückfrage läuft.

Das Problem liegt in der Form dieser Regel. Gespeichert wird der Befehl selbst, Zeichen für Zeichen. Ein Beispiel, wie es tausendfach vorkommt: Ein Entwickler lässt den Agenten eine Datenbank abfragen, der Befehl enthält die Verbindungszeichenkette mit Benutzer und Passwort, der Entwickler klickt auf „nicht mehr fragen“. Ab diesem Moment liegt das Datenbankpasswort im Klartext in einer Datei, die im Projektordner neben dem Quellcode steht.

Claude Code trägt die Datei beim ersten Schreiben in die globale Git-Ausschlussliste des Rechners ein. Diese Schutzmaßnahme ist real, aber sie reist nicht mit: Sie greift nicht, wenn der Ordner erst später ein Git-Repository wird, wenn Git die Datei schon verfolgt, auf einem anderen Rechner, in einer CI-Pipeline, in einem Container-Build oder beim Packen eines npm-Pakets. Die Cloud Security Alliance hat diese Lücken in einer Research Note vom 8. November 2026 zusammengefasst.

Das Ergebnis: Die Datei wanderte mit git add . in öffentliche Repositories, mit npm publish in Pakete und mit COPY . . in Docker-Images. In 263 Repositories war sogar Claude selbst als Git-Autor des Commits eingetragen, also der Agent oder seine GitHub-Action, der die Datei im Auftrag des Nutzers eingecheckt hat.

Wie viele Passwörter hat Claude Code geleakt? Die Zahlen im Überblick

Zwei Sicherheitsfirmen haben unabhängig voneinander gemessen, mit unterschiedlicher Methode. Beide Zahlen sind richtig, sie beantworten verschiedene Fragen.

Apiiro (Bericht vom 5. November 2026) hat zwischen dem 1. und 3. November eine Momentaufnahme der öffentlich auffindbaren Dateien gemacht:

• 104.185 öffentliche Kopien von settings.local.json geprüft, 1.122 davon mit mindestens einem echten Secret, zusammen 1.379 verschiedene Secrets.
• Mit Git-Historie, Forks und der geteilten Projektdatei settings.json: 2.539 Secrets in 1.994 Repositories.
• 734 Secrets nur noch in der Historie, also in Repositories, die die Datei längst gelöscht hatten.
• Aufteilung: 379 Datenbankpasswörter, 122 Supabase-Service-Schlüssel, 43 SSH-Zugänge (teils mit Root-Passwort), 42 GitHub-, GitLab- und npm-Tokens, 23 AWS-Schlüssel.
• Die gängigen Scanner Gitleaks und TruffleHog verfehlten zusammen 215 der 1.122 Dateien, meist Passwörter, die mitten in einer Befehlszeile stehen.
• Im Median lag die Datei 217 Tage auf dem Hauptzweig, bevor jemand sie fand.

GitGuardian (Analyse vom 9. November 2026) überwacht öffentliche Commits fortlaufend und hat die Funde auf Gültigkeit geprüft:

• 31.088 verschiedene Secrets in settings.local.json, verteilt auf 23.276 Repositories, davon 5.343 beim Fund gültig.
• Größte gültige Gruppe sind Datenbank-Zugangsdaten mit 2.280, darunter 1.955 gültige Postgres-Verbindungszeichenketten und 292 gültige SSH-Passwörter. Es folgen Cloud-Schlüssel (971) und Tokens von KI-Diensten (583).
• Über Docker Hub: 613 Secrets in öffentlichen Images, 99 davon gültig, ein einziges gültiges Cloudflare-Token in 559 Image-Tags.
• Der Verlauf: erste Funde im Juni 2025, Höhepunkt im April 2026 mit 12.535 Vorkommen in einem Monat, seitdem ein Rückgang um 92 Prozent auf 959 im Oktober. Warum, weiß auch GitGuardian nicht.

Die vielzitierte Zahl „2.539 Passwörter“ ist also ungenau: Es sind 2.539 Secrets aller Art aus der Apiiro-Stichprobe. Passwörter im engeren Sinn sind die größte Gruppe darin. Die breitere Messung von GitGuardian liegt mehr als zehnmal höher.

Nicht verwechseln: der Quellcode-Leak vom März 2026

Wer nach „Claude Code Leak“ sucht, findet überwiegend einen anderen Vorfall. Am 31. März 2026 enthielt das öffentliche npm-Paket von Claude Code in Version 2.1.88 eine 59,8 MB große Source-Map-Datei, aus der sich der Quellcode des Werkzeugs rekonstruieren ließ, laut Zscaler rund 513.000 Zeilen TypeScript. Betroffen war damals das geistige Eigentum von Anthropic, nicht die Daten der Nutzer.

Der Secrets-Leak vom November ist für Unternehmen der folgenreichere. Hier liegen Ihre Datenbankpasswörter, Ihre Cloud-Schlüssel und Ihre Tokens offen. Und anders als beim Quellcode-Leak können Sie selbst etwas tun.

Ist das ein Fehler von Anthropic oder der Nutzer?

Beides, und die Antwort entscheidet, wo Sie ansetzen. Die Dateien wurden von Menschen oder Agenten eingecheckt, nicht von Anthropic veröffentlicht. Boris Cherny, bei Anthropic verantwortlich für Claude Code, argumentierte laut GitGuardian und iTnews genau so: Claude Code schließe die Datei beim Anlegen aus Git aus, die geleakten Kopien seien vermutlich von Hand angelegt und eingecheckt worden.

GitGuardian widerspricht in einem Punkt: In allen rund 3.000 untersuchten Vorkommen stand das Secret in einer Erlaubnisregel genau der Form, die der Freigabedialog schreibt. Die Inhalte wurden nicht von Hand getippt. Und Apiiro hat 16 Coding-Agenten anhand ihrer Dokumentation verglichen: Claude Code ist der einzige, der standardmäßig den vollständigen freigegebenen Befehl in eine Projektdatei schreibt.

Für Ihre Organisation ist die Schuldfrage zweitrangig. Wichtig ist der Befund: Ein Werkzeug, das Entwickler täglich nutzen, legt bei einer bequemen Standardaktion Zugangsdaten im Klartext ab, und die einzige Schutzmaßnahme wirkt nur auf dem Rechner, auf dem sie gesetzt wurde. Das ist ein Governance-Problem, kein Problem einzelner Entwickler.

Anthropic hat laut Cherny eine eingebaute Secret-Erkennung und einen automatischen Modus in Erprobung, die das Problem aber womöglich nicht vollständig lösen. Ältere Fehlermeldungen zum selben Thema, etwa die Meldung #5544 vom August 2025 zur Klartextspeicherung, wurden laut CSA ohne Antwort automatisch geschlossen.

Nicht nur Claude Code: was andere KI-Coding-Agenten leaken

GitGuardian hat die Konfigurationsdateien von 30 Coding-Agenten auf GitHub ausgewertet. Das Ergebnis: Alle leaken, meist auf dem gleichen Weg, nämlich über MCP-Serverdefinitionen mit API-Keys im Klartext. Nur bei Claude Code dominieren Zugangsdaten, die in Befehle getippt und dann gespeichert wurden.

• CLAUDE.md, die Anweisungsdatei für den Agenten: 6.155 Secrets, 2.537 davon gültig, die höchste Gültigkeitsquote aller Dateien. Entwickler schreiben echte Verbindungsdaten in die Anweisungen.
• .claude/.credentials.json, das Anthropic-Login des Agenten selbst: 1.366 Tokens in 371 Repositories, weil ganze Home-Verzeichnisse eingecheckt wurden.
• OpenAI Codex, Datei .codex/auth.json: 1.064 Tokens in 536 Repositories.
• npm-Pakete: Lakera, eine Tochter von Check Point, fand 33 Dateien mit Zugangsdaten in 30 veröffentlichten Paketen.

Die Lehre geht über ein Werkzeug hinaus: Agenten-Ordner sind so sensibel wie `.env`-Dateien und müssen genauso behandelt werden, in Git, in Paketen, in Images und in Backups. Grundlagen zu Risiken autonomer Agenten finden Sie in unserem Leitfaden KI-Agenten im Unternehmen.

Dass Komfortfunktionen zum Ausgang für Daten werden, ist kein Einzelfall: Kurz zuvor wurde bekannt, wie sich der ChatGPT Lockdown-Modus umgehen ließ, die Schutzeinstellung von OpenAI gegen Datenabfluss.

Prüfen Sie jetzt: ist Ihr Repository betroffen?

Die Prüfung dauert für ein einzelnes Repository wenige Minuten. Für eine Organisation mit vielen Repositories gehört sie in einen gesteuerten Ablauf.

1. Datei suchen, auch in der Historie: git log --all --oneline -- .claude/settings.local.json. Jeder Treffer heißt: Die Datei war mindestens einmal eingecheckt.
2. Inhalt lesen: Prüfen Sie die allow-Listen in .claude/settings.local.json und .claude/settings.json auf Passwörter, Tokens, Verbindungszeichenketten, Authorization-Header und -p-Parameter von Datenbank-Clients.
3. CLAUDE.md und Agenten-Ordner mitprüfen, ebenso .cursor/, .codex/ und .gemini/, falls im Einsatz.
4. Pakete und Images prüfen: npm pack --dry-run zeigt, was ein Paket enthalten würde. Für Docker gilt: COPY . . kopiert das Arbeitsverzeichnis, nicht den Git-Index, also auch ignorierte Dateien.
5. Organisationsweit scannen, inklusive Forks und Archiven, mit eigener Regel für Passwörter innerhalb von Befehlszeilen. Standardregeln übersehen genau diese Fälle.

Sofortmaßnahmen: in dieser Reihenfolge

Die Reihenfolge ist der wichtigste Teil. Wer zuerst die Datei löscht, fühlt sich sicher und ist es nicht.

1. Zuerst rotieren. Jedes Passwort und jeden Schlüssel, der je in der Datei stand, ändern oder widerrufen. Klone, Forks und Docker-Images behalten ihre Kopie, ein Löschen oder Umschreiben der Historie entfernt sie dort nicht. Beginnen Sie mit Datenbank-, SSH- und Paket-Tokens.
2. Zugriffe prüfen. Für jeden gültigen Fund die Logs auf fremde Anmeldungen seit dem ersten Commit der Datei durchsehen.
3. Datei aus Git nehmen: git rm --cached .claude/settings.local.json, danach in die projekteigene .gitignore eintragen, nicht nur global. Dazu .claude/ in .npmignore und .dockerignore.
4. Regeln entschärfen. Jede Erlaubnisregel mit einem echten Secret löschen. Zugangsdaten nur noch über Umgebungsvariablen oder einen Secret-Manager übergeben, sodass der Befehl $DB_PASSWORD enthält, nicht das Passwort.
5. Schmale Muster statt Volltext. Für risikoarme Befehle Musterregeln wie Bash(npm run test *) verwenden. Für curl, ssh oder Datenbank-Clients keine dauerhaften Freigaben.
6. Zentral steuern. Wo Claude Code im Unternehmen verteilt wird, verwaltete Einstellungen nutzen: Verbotsregeln, die den Zugriff auf .env-Dateien und Secret-Ordner sperren, plus Sandboxing für Shell-Befehle.
7. Prüfung vor der Veröffentlichung. Ein Build-Schritt, der fehlschlägt, sobald Agenten-Konfiguration in einem Paket oder Image landet.

Claude Code Sicherheit und Compliance: was Unternehmen beachten müssen

Für Unternehmen in der EU ist ein geleaktes Datenbankpasswort nicht nur ein technisches Problem. Drei Prüfungen gehören in die Bewertung jedes Fundes.

DSGVO. Liegt hinter dem Zugang eine Datenbank mit personenbezogenen Daten und war der Zugang gültig und öffentlich, kann das eine Verletzung des Schutzes personenbezogener Daten sein. Dann gilt Art. 33 DSGVO: Meldung an die Aufsichtsbehörde binnen 72 Stunden nach Kenntnis, es sei denn, ein Risiko für die Betroffenen ist unwahrscheinlich. Diese Abwägung muss dokumentiert werden, auch wenn sie gegen eine Meldung ausfällt.

NIS2. Für Einrichtungen, die unter das deutsche NIS2-Umsetzungsgesetz fallen, kann ein ausgenutzter Zugang ein erheblicher Sicherheitsvorfall sein, mit Frühwarnung an das BSI binnen 24 Stunden. Ein offener, aber nachweislich ungenutzter Schlüssel ist das in der Regel nicht, die Prüfung gehört trotzdem in den Prozess.

Datenabfluss an den Anbieter. Unabhängig vom Leak: Jeder Befehl, jede Datei und jede Datenbankantwort, die ein Cloud-Agent verarbeitet, geht an die Server des Anbieters. Bei US-Anbietern gilt der CLOUD Act. Wer Kundendaten, Quellcode mit Geschäftsgeheimnissen oder regulierte Daten mit dem Agenten bearbeitet, braucht dafür eine tragfähige Rechtsgrundlage und einen Auftragsverarbeitungsvertrag. Die Grundlagen dazu stehen in unserem Leitfaden DSGVO-konforme KI.

Claude Code Alternative für Mittelstand und Enterprise: die ADVISORI CLI

Viele Teams werden Claude Code weiter nutzen, und mit den Maßnahmen oben ist das vertretbar. Für Unternehmen, die einen Coding-Agenten mit Leitplanken und Compliance ab Werk brauchen, statt sie nachträglich um ein Cloud-Werkzeug herum zu bauen, haben wir die ADVISORI CLI entwickelt. Sie verbindet drei Bausteine, die es einzeln schon gibt:

• Modelle in europäischen Rechenzentren. Die CLI arbeitet mit unserem lokalen LLM-Service in eigenen Rechenzentren, gemeinsam mit unserem Infrastrukturpartner Yorizon, einem Gemeinschaftsunternehmen von HOCHTIEF und Thomas-Krenn. Ihr Quellcode und Ihre Befehle verlassen die EU nicht, kein US-Anbieter im Datenpfad, kein CLOUD Act.
• Fugi Guardrails auf jedem Aufruf. Jede Anfrage läuft durch Fugi Guardrails: Prüfung auf Prompt-Injection, Maskierung personenbezogener Daten, Protokollierung, betrieben in einem deutschen Rechenzentrum mit Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.
• Offene Coding-Modelle statt Black Box. Aus dem Modellkatalog des LLM-Service stehen Coding-Modelle wie Qwen3 Coder 480B oder Kimi K2.7 Code zur Verfügung, ohne Abhängigkeit von der Preis- und Produktpolitik eines einzelnen Anbieters.

Ehrlich bleibt dabei: Kein Werkzeug macht ein Passwort im Befehl ungefährlich. Die Regeln aus diesem Artikel gelten für jeden Agenten, auch für unseren. Der Unterschied liegt darin, wo die Daten verarbeitet werden, wer die Leitplanken vorgibt und ob Ihre Revision die Kette nachvollziehen kann.

Für wen sich das lohnt: für Mittelständler und Konzerne in regulierten Branchen (Banken, Versicherungen, KRITIS, Industrie mit sensiblem Know-how), für Teams, die Quellcode mit Geschäftsgeheimnissen bearbeiten, und für alle, deren Datenschutzbeauftragter bei US-Coding-Agenten bisher Nein sagt. Wenn Sie das an einem eigenen Repository ausprobieren möchten, klären wir Einsatzszenario, Modellwahl und Anbindung in einem 30-minütigen Gespräch.

Fazit

Der Claude Code Leak vom November 2026 ist kein Einbruch bei Anthropic, sondern das Ergebnis einer bequemen Voreinstellung: Ein Klick auf „nicht mehr fragen“ schreibt Zugangsdaten im Klartext in eine Projektdatei, und eine Schutzmaßnahme, die nur auf einem Rechner wirkt, hält sie nicht zurück. Über 31.000 Secrets, davon mehr als 5.000 gültig, zeigen, wie oft das geschehen ist.

Die Antwort hat zwei Ebenen. Kurzfristig: rotieren, prüfen, die Datei aus Git, Paketen und Images verbannen. Langfristig: Coding-Agenten wie jede andere privilegierte Software behandeln, mit zentral gesteuerten Regeln, klarer Datenhoheit und einer Kette, die Ihre Revision prüfen kann. Wer dafür eine Claude Code Alternative mit eingebauten Leitplanken und europäischem Betrieb sucht, findet sie in der ADVISORI CLI.

Aktualisierungen

• 11. November 2026: Erstveröffentlichung. Stand: Anthropic prüft Gegenmaßnahmen, ein Fix ist nicht ausgeliefert. Wir aktualisieren diesen Beitrag, sobald sich das ändert.

Häufig gestellte Fragen

Was ist der Claude Code Leak?

Im November 2026 zeigten Apiiro und GitGuardian, dass Claude Code dauerhaft freigegebene Shell-Befehle wörtlich in der Datei .claude/settings.local.json speichert, inklusive enthaltener Passwörter und API-Keys. Diese Dateien landeten tausendfach in öffentlichen GitHub-Repositories, npm-Paketen und Docker-Images. Davon zu unterscheiden ist der Quellcode-Leak vom 31. März 2026, bei dem Anthropic versehentlich den Quellcode von Claude Code veröffentlichte.

Wie viele Passwörter hat Claude Code geleakt?

GitGuardian zählt 31.088 verschiedene Secrets in 23.276 öffentlichen Repositories, davon 5.343 zum Fundzeitpunkt gültig. Apiiro fand in einer engeren Stichprobe 2.539 Secrets in 1.994 Repositories, darunter 379 Datenbankpasswörter als größte Gruppe. Die oft genannte Zahl „2.539 Passwörter“ meint also Secrets aller Art.

Wurde Anthropic gehackt?

Nein. Die Zugangsdaten stammen von Nutzern und wurden mit deren Projekten veröffentlicht. Die Ursache ist eine Voreinstellung im Werkzeug: Freigaben werden im Klartext gespeichert, und der Git-Ausschluss wirkt nur auf dem Rechner, auf dem er gesetzt wurde.

Wie prüfe ich, ob mein Repository betroffen ist?

Mit git log --all --oneline -- .claude/settings.local.json sehen Sie, ob die Datei je eingecheckt war. Prüfen Sie danach die allow-Listen in settings.local.json und settings.json auf Passwörter, Tokens und Verbindungszeichenketten, ebenso CLAUDE.md, veröffentlichte npm-Pakete und Docker-Images.

Reicht es, die Datei zu löschen?

Nein. Klone, Forks und Docker-Images behalten ihre Kopien, auch ein Umschreiben der Git-Historie entfernt sie dort nicht. Jedes Secret, das je in der Datei stand, muss zuerst rotiert oder widerrufen werden. Erst danach die Datei aus Git nehmen und in die projekteigene .gitignore eintragen.

Hat Anthropic das Problem behoben?

Zum 11. November 2026 gibt es keinen ausgelieferten Fix. Claude-Code-Leiter Boris Cherny schrieb laut Berichten auf Hacker News, das Team prüfe das Problem und erprobe eine eingebaute Secret-Erkennung, die es aber womöglich nicht vollständig löse.

Ist Claude Code noch sicher nutzbar?

Ja, mit Disziplin und zentraler Steuerung: keine Secrets in Befehlen, Zugangsdaten über Umgebungsvariablen, keine dauerhaften Freigaben für curl, ssh oder Datenbank-Clients, .claude/ in .gitignore, .npmignore und .dockerignore, verwaltete Einstellungen mit Verbotsregeln und ein Secret-Scan vor jeder Veröffentlichung.

Betrifft das auch Cursor, Codex und andere KI-Coding-Agenten?

Teilweise. Laut Apiiro speichert nur Claude Code standardmäßig den vollständigen freigegebenen Befehl in einer Projektdatei. GitGuardian fand aber bei allen 30 untersuchten Agenten geleakte Konfigurationsdateien, meist über API-Keys in MCP-Serverdefinitionen, und bei OpenAI Codex 1.064 Login-Tokens in 536 Repositories.

Ist ein geleakter API-Key eine meldepflichtige Datenpanne nach DSGVO?

Das hängt davon ab, was hinter dem Zugang liegt. Ermöglicht ein gültiger, öffentlicher Zugang den Zugriff auf personenbezogene Daten, kann eine Verletzung nach Art. 33 DSGVO vorliegen, mit Meldung binnen 72 Stunden, sofern ein Risiko für Betroffene nicht unwahrscheinlich ist. Die Abwägung ist in jedem Fall zu dokumentieren.

Welche Claude Code Alternative eignet sich für Unternehmen?

Für regulierte Unternehmen zählen drei Kriterien: Wo laufen die Modelle, wer setzt die Leitplanken, und lässt sich die Kette prüfen. Die ADVISORI CLI arbeitet mit unserem lokalen LLM-Service in europäischen Rechenzentren mit Partner Yorizon und prüft jeden Aufruf mit Fugi Guardrails. Offene Coding-Modelle wie Qwen3 Coder stehen zur Auswahl.