Wenn Ihr Entwicklungs- oder Automatisierungsteam Anthropics Claude Code nutzt, könnte ein einziger Klick bereits Passwörter Ihres Unternehmens öffentlich im Internet sichtbar gemacht haben. Sicherheitsforscher haben Tausende offengelegte Zugangsdaten gefunden, die auf ein einziges Komfort-Feature des Tools zurückgehen. Die Behebung dauert nur wenige Minuten.
Was tatsächlich passiert ist
Claude Code ist ein KI-Coding-Assistent, der im Auftrag von Entwicklern Terminal-Befehle ausführen kann. Normalerweise fragt er jedes Mal um Erlaubnis. Klickt ein Nutzer jedoch auf "Yes, and don't ask again", speichert das Tool diesen genehmigten Befehl wortwörtlich, inklusive jedem darin eingegebenen Geheimnis, in einer Projekt-Einstellungsdatei namens .claude/settings.local.json. Diese Datei liegt im Projektordner und wird, sofern sie nicht explizit ausgeschlossen wird, zusammen mit allem anderen committed und auf GitHub gepusht (The Hacker News).
Die Sicherheitsfirma Apiiro durchsuchte öffentliches GitHub und fand 104'185 Kopien dieser Datei. Davon enthielten 1'122 echte, nutzbare Geheimnisse: insgesamt 1'379 Zugangsdaten, darunter 379 Datenbank-Passwörter, 43 SSH-Logins, 42 Tokens für GitHub, GitLab oder npm sowie 23 AWS-Keys. Noch problematischer: Das nachträgliche Löschen der Datei löst das Problem nicht. Ältere Commits in der Git-Historie enthalten weiterhin 734 zusätzliche offengelegte Geheimnisse über 509 Repositories hinweg, und 211 Forks von 74 Repositories tragen dieselben geleakten Geheimnisse wie die Originale (The Hacker News).
Forscher verglichen 16 verschiedene KI-Coding-Agenten und fanden heraus, dass Claude Code der einzige ist, der standardmässig den vollständigen genehmigten Befehl inklusive Geheimnissen in einer Projektdatei speichert. Das macht dies zu einem spezifischen Claude-Code-Problem, ist aber zugleich eine klare Erinnerung, dass jede "nicht mehr nachfragen"-Abkürzung kritisch hinterfragt werden sollte.
Warum das für Ihr Unternehmen wichtig ist
Schweizer KMU setzen zunehmend auf KI-Coding-Assistenten, um interne Tools, Skripte und Backoffice-Automatisierung zu beschleunigen. Der Reiz ist offensichtlich: schnellere Umsetzung, weniger manuelle Arbeit. Dieser Vorfall zeigt aber, wie ein einziger Klick, der Zeit sparen soll, still und leise Produktions-Datenbankpasswörter, SSH-Logins und Cloud-Keys in ein öffentliches Repository veröffentlichen kann, sichtbar für jeden, auch für automatisierte Scanner, die Kriminelle rund um die Uhr laufen lassen. Ein geleakter AWS-Key oder ein Datenbank-Passwort ist kein theoretisches Risiko, sondern eine offene Tür.
Und weil Forks und Git-Historie die Geheimnisse auch nach Löschung der Originaldatei aufbewahren, reicht eine schnelle Bereinigung nicht aus. Zugangsdaten müssen ab dem Moment der Offenlegung als kompromittiert gelten, das heisst, sie müssen erneuert werden, nicht nur versteckt.
Was Sie heute tun sollten
- Durchsuchen Sie Ihre GitHub-Organisation nach Dateien namens .claude/settings.local.json oder .claude/settings.json.
- Prüfen Sie die vollständige Git-Historie jedes Repositories auf diese Dateien, auch wenn sie in der aktuellen Version nicht mehr vorhanden sind, da alte Commits weiterhin Geheimnisse enthalten können.
- Wenn Geheimnisse gefunden werden: Gehen Sie davon aus, dass sie kompromittiert sind, und erneuern Sie sofort jedes betroffene Passwort, Token und jeden API-Key.
- Stoppen Sie das Tracking der lokalen Datei mit git rm --cached .claude/settings.local.json und fügen Sie sie der .gitignore hinzu, damit sie nie wieder committed wird.
- Prüfen Sie auch geforkte Kopien Ihrer Repositories, da Forks dieselben offengelegten Geheimnisse tragen können, selbst wenn das Ursprungs-Repository bereits bereinigt wurde.
- Falls Ihr Team die "don't ask again"-Option von Claude Code nutzt, überprüfen Sie, welche Befehle so genehmigt wurden, und behandeln Sie jeden geheimnishaltigen Befehl als Kandidat für eine Erneuerung.
Das grössere Bild
Dies ist ein weiterer Fall in einem wachsenden Muster: KI-Tools, die auf Geschwindigkeit und Komfort ausgelegt sind, schaffen leise neue Wege, über die Zugangsdaten und Daten durchsickern, oft durch Standardeinstellungen, die niemand genau geprüft hat. Wir verfolgen diese Entwicklungen weiter, denn die Risikolage für Schweizer Unternehmen verändert sich wochenweise, nicht jährlich.
Wenn Sie einen zweiten Blick auf Ihr GitHub-Setup, Ihre Zugangsdaten-Hygiene oder Ihre allgemeinen IT-Sicherheitsgrundlagen werfen möchten: The Mejlerö Company (unter der Marke Flitz.ai) bietet IT-Support in Obwalden, Nidwalden, Luzern und Zürich mit Sitz in Engelberg, inklusive kostenloser Netzwerk-Analyse und kostenloser 1-Stunden-Beratung. Melden Sie sich bei IT Manager Andrii Okraichenko unter 044 500 99 47, wenn Sie Hilfe bei der Prüfung Ihrer Risiken oder bei der sicheren Automatisierung Ihrer IT- und Backoffice-Prozesse wünschen.
Schweiz.