Apiiro hat mehr als 100.000 öffentlich auffindbare Exemplare der Datei .claude/settings.local.json ausgewertet und in 1.122 davon echte Zugangsdaten gefunden. Das Sicherheitsunternehmen führt die Funde auf die Dauerfreigabe für Shell-Befehle in Claude Code zurück.
Betroffen sind alle, die Claude Code im Terminal, in VS Code, in JetBrains-IDEs oder in der Desktop-App nutzen und ihren Code auf GitHub ablegen, also auch Webdesigner und Selbstständige, die damit Seiten und Skripte bauen. Die Datei entsteht auf dem eigenen Rechner. Ob die Datei im Repository landet, bestimmt das Risiko. Land und Abo spielen keine Rolle.
Wie kommt ein Passwort in die Konfigurationsdatei?
Bestätigst du in Claude Code einen Shell-Befehl mit „Yes, and don't ask again“, speichert das Programm den gesamten Befehl als Erlaubnisregel in .claude/settings.local.json. Steht ein Passwort im Befehl, etwa hinter PGPASSWORD=, sshpass -p oder mysql -p, liegt das Passwort danach im Klartext in der Datei.
Claude Code schützt die Datei nur auf deinem eigenen Rechner vor einem versehentlichen Commit. Laut der Dokumentation von Anthropic setzt das Programm die Datei beim ersten Schreiben auf die globale Git-Ausschlussliste, nicht auf die .gitignore des Projekts. Legst du die Datei von Hand an, ergänzt du die .gitignore selbst.
Was hat Apiiro gefunden?
In der Auswertung von Apiiro stehen 104.185 Kopien der Datei in 103.617 öffentlichen Repositories. In 1.122 davon, rund 1,1 Prozent, fanden sich insgesamt 1.379 geheime Zugangsdaten aus 63 Organisationen, darunter 379 Datenbankpasswörter, 43 SSH-Zugänge, 42 Tokens für GitHub, GitLab und npm sowie 23 AWS-Schlüssel.
Gängige Scanner übersahen viele Treffer: Gitleaks erkannte 564 der 1.122 Dateien, TruffleHog 643, und 215 blieben bei beiden unentdeckt. Laut Apiiro haben Passwörter hinter PGPASSWORD= kein typisches Schlüsselformat und sehen für ein Suchmuster wie gewöhnliche Wörter aus.
Ob die gefundenen Zugangsdaten noch gültig sind, blieb ungeprüft. Ein betroffenes Unternehmen bestätigte allerdings, dass ein offengelegter Schlüssel noch gültig war. Anthropic kommt in den Berichten über die Auswertung nicht zu Wort.
Was das für dich bedeutet
Prüf zuerst, ob die Datei in deinem Repository liegt. Der Befehl git ls-files .claude listet jede Datei im Ordner .claude, die Git verfolgt. Steht settings.local.json in der Liste und ist das Repository auf GitHub öffentlich, geh davon aus, dass die gespeicherten Zugangsdaten bekannt sind.
So räumst du dein Repository auf
Vier Schritte, falls die Datei .claude/settings.local.json im Repository liegt
- Prüfengit ls-files .claude zeigt, ob Git die Datei verfolgt
- TauschenZugangsdaten zuerst austauschen, dann aufräumen
- Entfernengit rm --cached nimmt die Datei aus der Versionsverwaltung
- AusschließenPfad in die .gitignore des Projekts aufnehmen
Quellen: Apiiro, Claude Code Docs
Tausche die Zugangsdaten aus, bevor du aufräumst, denn das Löschen der Datei bereinigt weder die Git-Historie noch Forks. Danach nimmst du die Datei mit git rm --cached .claude/settings.local.json aus der Versionsverwaltung und ergänzt die .gitignore des Projekts um diesen Pfad, damit auch Teammitglieder geschützt sind.
Künftig gehören Passwörter nicht in Befehle, die du dauerhaft freigibst. Lies Passwörter stattdessen aus Umgebungsvariablen oder einem Werkzeug zur Verwaltung von Zugangsdaten, dann enthält die Erlaubnisregel nur das Muster, etwa Bash(npm run test *) wie im Beispiel der Dokumentation. Das Secret-Scanning deines Git-Anbieters ergänzt den Schutz, übersieht aber Passwörter ohne typisches Format.
Apiiro hat die Auswertung Anfang November 2026 veröffentlicht.
Quellen
