Claude Code: Dein „don't ask again“ ist ein Passwort im Klartext

Kennst du das? Claude Code fragt, ob es einen Befehl ausführen darf. Du klickst „Yes, and don't ask again“. Weil du nicht zum zwanzigsten Mal dasselbe bestätigen willst.

Genau dieser Klick ist das Problem.

Was Apiiro gefunden hat

Laut einer Untersuchung der Security-Firma Apiiro, über die The Hacker News am 7. November berichtet hat, speichert Claude Code bei „don't ask again“ den kompletten freigegebenen Befehl als Regel in einer Projektdatei, meist .claude/settings.local.json. Stand im Befehl ein Passwort oder Token, liegt es danach im Klartext da.

• Apiiro fand die Datei in über 104.000 öffentlichen GitHub-Repositories.
• 1.122 davon enthalten mindestens ein Secret, zusammen 1.379 verschiedene. Darunter 379 Datenbank-Passwörter, 43 SSH-Zugänge und 23 AWS-Schlüssel.
• Betroffen sind 63 Organisationen, meist Softwarefirmen. Mit alten Versionen und Agent-Logs zählt Apiiro 2.539 Secrets in 1.994 Repositories.

Ob die Zugänge noch funktionieren, hat Apiiro nicht getestet. Ein benachrichtigtes Unternehmen bestätigte einen aktiven Schlüssel. Eine Stellungnahme von Anthropic enthält der Bericht nicht; ältere Bug-Reports zum gleichen Verhalten wurden laut den Forschern von einem Bot geschlossen.

Das ist kein Bug. Das ist Approval-Fatigue

Was ich daran spannend finde: Die Lücke entsteht nicht im Modell, sondern im Workflow. Agenten fragen oft, Menschen klicken irgendwann blind. Jede Bequemlichkeitsregel wird zum Archiv dessen, was du freigegeben hast. Inklusive Passwort.

Und es trifft längst nicht mehr nur Entwickler. Marketing-Teams bauen mit Claude Code Landingpages, Reports und Automationen. Ich baue meine Website und meinen Funnel selbst so. Heißt: Die Leute mit den Zugangsdaten zu CRM, Newsletter-Tool und Ads-Konto sitzen heute im Terminal. Oft ohne Security-Team daneben.

Laut Apiiro taucht in 539 der untersuchten Repositories Claude selbst als Co-Autor des Commits auf, der die Datei verändert hat. Der Agent räumt also nicht nur auf, er checkt auch ein.

Der Haken: Git ist nicht der einzige Ort

Claude Code schließt die lokale Datei nur auf dem eigenen Rechner von Git aus, nicht im Projekt. Und Apiiro weist darauf hin, dass die Datei auch in Archiven, Docker-Images oder synchronisierten Ordnern landen kann.

Synchronisierte Ordner. Mein Projekt liegt in Dropbox. Ich habe die Datei heute früh (8.11.2026) geprüft: sechs Regeln, kein Passwort, kein Token. Glück gehabt. Eine Strategie ist das nicht.

Was ich jetzt tun würde

• Heute suchen. In allen Repos und geteilten Ordnern nach .claude/settings.local.json und .claude/settings.json suchen, auch in der Git-Historie.
• Erst rotieren, dann aufräumen. Jeder Schlüssel, der je in so einer Datei stand, wird neu erzeugt. Löschen allein reicht nicht.
• Secrets raus aus Befehlen. Zugangsdaten als Variable aus einem Passwort-Manager laden, Muster freigeben (etwa npm run:*) statt einzelner Befehle, Datei in die .gitignore.

Bottom Line: Jedes „don't ask again“ ist eine Entscheidung, die du nie wieder siehst. Behandle sie wie ein Passwort.