Ein Klick auf „Nicht mehr fragen“: Wie Passwörter aus Coding-Agenten auf GitHub landen

Was ist passiert?

Apiiro hat im November 2026 öffentliche GitHub-Repositories durchsucht und 104.185 Kopien der Datei .claude/settings.local.json gefunden. 1.122 davon enthalten mindestens ein Geheimnis, darunter 379 Datenbank-Passwörter, 43 SSH-Zugänge und 23 AWS-Schlüssel.

Rechnet man ältere Dateiversionen, gemeinsam genutzte Einstellungen und Chat-Protokolle von Agenten dazu, sind es 2.539 Geheimnisse in 1.994 Repositories. Betroffen sind 63 Organisationen, die meisten Funde liegen aber bei einzelnen Entwicklern.

Der Mechanismus: Der genehmigte Befehl wird als Regel im Wortlaut gespeichert. Die Datei soll lokal bleiben, Claude Code trägt sie dafür in die globale Git-Ausschlussliste des Rechners ein. Das schützt aber nicht, wenn der Ordner später zum Repository wird oder die Datei schon versioniert ist.

Anthropic-Verantwortlicher Boris Cherny schrieb auf Hacker News, das Team prüfe Gegenmaßnahmen, etwa eine eingebaute Suche nach Geheimnissen. Er sagte auch, die Datei werde beim Anlegen ausgeschlossen, die offenen Kopien seien aus seiner Sicht manuell eingecheckt worden. Apiiro zählt dagegen 539 von 1.105 untersuchten Repositories, in denen ein von Claude mitverfasster Commit die Datei verändert hat.

Was bedeutet das?

Zur Einordnung: Apiiro hat keine Zugangsdaten ausprobiert. „Echtes Geheimnis“ heißt dort, dass es einem bekannten Format entspricht oder neben einem öffentlichen Server steht. Ein Unternehmen hat bestätigt, dass sein Schlüssel noch gültig war.

Das Problem reicht über ein Werkzeug hinaus. Von 16 verglichenen Coding-Agenten ist laut Apiiro nur bei Claude Code belegt, dass der genehmigte Befehl standardmäßig im Projekt gespeichert wird. Die Gewohnheit dahinter gibt es aber überall: Wer ein Passwort in einen Befehl tippt, hinterlässt es in Protokollen, Notizen und Chat-Verläufen.

Übliche Scanner helfen nur zum Teil. Von den 1.122 Dateien erkannte gitleaks 564 und TruffleHog 643, 215 fand keines der beiden. Passwörter mitten in Befehlen sehen für sie aus wie gewöhnliche Wörter.

Was Sie jetzt tun können

Suchen: Durchsuchen Sie Ihre GitHub-Organisation nach .claude/settings.local.json und .claude/settings.json, auch in der Git-Historie.
Erst tauschen, dann aufräumen: Jedes Passwort und jeden Schlüssel erneuern, den die Datei je enthielt. Das Löschen allein entfernt nichts aus Historie, Forks und Klonen.
Datei aus Git nehmen: Mit git rm --cached .claude/settings.local.json entfernen und in die .gitignore des Projekts aufnehmen, am besten in die Vorlage für alle neuen Projekte.
Lokale Regeln durchsehen: Auch nie veröffentlichte Dateien öffnen und jede Regel löschen, die ein Geheimnis enthält.
Keine Geheimnisse in Befehle: Geheimnisse als Variable aus einem Secrets-Manager einsetzen, etwa $DB_URL, und Muster statt einzelner Befehle freigeben.
Agent-Ordner wie .env behandeln: Ordner wie .claude/, .cursor/ und .gemini/ gehören in die Suche nach Geheimnissen, in Pre-Commit und CI, einschließlich der Historie.

Häufige Fragen

Bin ich betroffen, wenn das Repository privat ist?

Nicht durch diese öffentliche Sammlung. Die Datei liegt aber im Klartext vor, und Schadsoftware auf Entwicklerrechnern sucht gezielt nach solchen Dateien. Löschen Sie Regeln mit Geheimnissen deshalb auch lokal.

Sind die gefundenen Zugangsdaten noch gültig?

Das hat Apiiro nicht getestet. Behandeln Sie sie trotzdem als kompromittiert und tauschen Sie sie.

Quellen

Apiiro: Coding Agents Are Leaking Your Secrets to GitHub (6. November 2026)
The Hacker News: Claude Code’s “Don’t Ask Again” File Exposes Passwords and Keys in 1,122 Public Copies (7. November 2026)

Stand: 8. November 2026. Diese Einordnung ersetzt keine Rechtsberatung und keine Prüfung im Einzelfall.