Claude Code gab Konto-E-Mails an fremde Websites weiter - News

Wer Claude Code mit seinem Konto nutzt, hat seine E-Mail-Adresse womöglich an Websites weitergegeben, ohne es zu merken. Das KI-Coding-Werkzeug schrieb die Adresse teils in die Kennung seiner Webanfragen. Das Claude-Code-Team hat das bei Hacker News bestätigt und sich entschuldigt. Die eigentliche Korrektur steht aber noch aus, bisher gibt es nur eine Teillösung.

Was passiert ist

Am späten Donnerstagabend eröffnete ein Nutzer auf GitHub einen Fehlerbericht: Claude Code habe die Adresse bei Websuchen im User-Agent übermittelt, also in der Kennung, mit der sich ein Programm bei einem Server vorstellt. Der Beitrag landete bei Hacker News auf 986 Punkten. Der Nutzer führt Dutzende Betrugsmails pro Tag darauf zurück. Dieser Zusammenhang ist seine eigene Darstellung und nicht belegt.

Die Ursache beschreibt Lydia Hallie, nach eigener Angabe im Claude-Code-Team, bei Hacker News. Anthropic habe die Konto-Adresse in den Kontext des Modells aufgenommen, weil Claude sonst etwa bei @author-Angaben im Code Namen erfunden habe. Das Modell setzte die Adresse dann bei selbst geschriebenen Befehlen wie einem curl-Aufruf manchmal als Kontakt ein. Der Hintergrund: Einige Websites erwarten, dass sich automatische Abrufe mit einer Kontaktadresse ausweisen. Das Modell folgte also einer gängigen Regel, nur eben mit der Adresse des Nutzers.

„I'm sorry we let this happen.“

So kommentierte Hallie den Fehler und ergänzte, man hätte das Verhalten früher bemerken müssen.

Neu ist das Problem nicht

Bei Hacker News schrieb ein weiterer Nutzer, der für das Team zu sprechen scheint, man habe vor einigen Tagen über Reddit davon erfahren. Die GitHub-Einträge reichen allerdings weiter zurück. Schon am 17. und 25. Juli gingen Berichte dazu ein, der zweite kritisiert ausdrücklich, dass die Adresse ohne Zustimmung in den Kontext gelangt. Im Oktober folgten zwei weitere Meldungen, in einem Fall ging die Adresse laut Bericht in vier Suchanfragen an Wikipedia. Eine offizielle Mitteilung von Anthropic oder Berichte großer Fachmedien waren bis Freitagmorgen nicht zu finden, die Aussagen des Teams stammen aus den Beiträgen bei Hacker News.

Gelber Briefkasten an einer Hauswand neben einem Mauerwerk aus rotem Sandstein

Der Stand der Korrektur

Hallie kündigt an, die Adresse ganz aus dem Kontext zu entfernen. Das soll mit dem nächsten Release kommen, voraussichtlich Anfang nächster Woche. Bis dahin gilt:

Ab Version 2.1.317 ist eine eingebaute Erweiterung aktiv, die nachfragt, bevor Claude eine Webanfrage oder einen curl-artigen Befehl mit der Adresse ausführt.
Lücken bleiben: Laut Hallie greift das nicht in allen Fällen, zum Beispiel nicht, wenn Claude ein Skript schreibt und selbst ausführt.
Der Stable-Kanal lag laut Hallie noch auf 2.1.311 und ist damit nicht geschützt. Wer diesen Kanal nutzt, muss gezielt aktualisieren.

Warum das Unternehmen angeht

Eine berufliche E-Mail-Adresse ist in aller Regel ein personenbezogenes Datum. Sie enthält oft den Namen und zeigt zugleich den Arbeitgeber. Wurde sie in den Kopfzeilen einer Anfrage übertragen, kann sie beim Betreiber der abgerufenen Website in den Server-Protokollen landen, und zwar bei Seiten, die niemand bewusst ausgewählt hat.

Ob das im Einzelfall eine meldepflichtige Datenschutzverletzung ist, lässt sich pauschal nicht sagen. Das hängt vom Risiko für die Betroffenen ab, und eine Einschätzung einer Aufsichtsbehörde gibt es bisher nicht. Unternehmen sollten die Frage trotzdem bewusst klären und das Ergebnis festhalten, statt sie liegen zu lassen. Offen ist auch, wie viele Nutzer betroffen sind, denn das Verhalten trat nur manchmal auf.

Der Fall reiht sich ein in eine Serie von Lehren zu Coding-Agenten: Sie haben weitreichende Rechte, handeln auf eigene Faust und übernehmen Daten aus ihrem Kontext. Erst kürzlich zeigte eine gefälschte Erweiterung, wie schnell Entwicklerrechner zum Einfallstor werden.

Was das für Ihr Unternehmen heißt

Version prüfen: Stellen Sie sicher, dass alle Installationen mindestens auf 2.1.317 laufen, und ziehen Sie das angekündigte Release nach. claude --version zeigt den Stand.
Erweiterung nicht abschalten: Sie lässt sich über /plugins deaktivieren. Das sollte in der Übergangszeit niemand tun.
Datenschutz einbinden: Informieren Sie Ihren Datenschutzbeauftragten und dokumentieren Sie die Bewertung. Prüfen Sie auch, welche Rolle Anthropic in Ihren Verträgen hat.
Verläufe durchsuchen: Claude Code speichert Sitzungen lokal, standardmäßig unter ~/.claude/projects. Eine Suche nach der eigenen Adresse zusammen mit User-Agent zeigt, was noch nachvollziehbar ist.
Funktionspostfach prüfen: Falls möglich, nutzen Sie für Entwickler-Konten Adressen, die weder Person noch Projekt verraten.
Ausgehenden Verkehr begrenzen: Agenten brauchen selten das ganze Internet. Eine Freigabeliste für Webzugriffe, etwa über Proxy oder Sandbox, begrenzt nicht nur solche Fehler, sondern auch gezielte Angriffe.

Fazit

Der Schaden dürfte im Einzelfall überschaubar sein, die Lehre reicht aber weiter: Alles, was im Kontext eines Agenten steht, kann auch aus ihm herausgelangen. Eine Anweisung an das Modell ersetzt keine technische Grenze. Prüfen Sie deshalb nicht nur, was ein Agent darf, sondern auch, was er überhaupt wissen muss. Wenn Sie Coding-Agenten im Team sicher aufsetzen möchten, sprechen Sie mich gern an.