Claude Codes E-Mail im User-Agent ist ein Datenschutzfehler in den Standardeinstellungen

Würden Sie jeder Website, die Ihr Assistent für Sie liest, Ihre E-Mail-Adresse geben? Niemand würde Ja sagen. Genau das soll Claude Code laut einem Fehlerbericht aber getan haben, und die Details sind weniger wichtig als der Designinstinkt dahinter.

Was passiert ist, kurz gefasst

Am 5. November eröffnete ein Entwickler das GitHub-Issue #107757 zu Claude Code. Der Melder gibt an, Claude Code habe bei Websuchen seine E-Mail-Adresse im User-Agent-Header an beliebige Dritte weitergegeben, und er erhalte nun dutzende Betrugs-E-Mails pro Tag. Laut AI Weekly Malaysia wurde der Bericht zu Version 2.1.318 unter macOS eingereicht, und der Melder stellt sein Unternehmen auf Pi mit OpenRouter um. Die Geschichte verbreitete sich schnell: clauding.de zufolge erreichte das Issue binnen Stunden 687 Punkte auf Hacker News.

Zur Behebung ist die Dokumentation dünner und teilweise widersprüchlich. StartupHub.ai zufolge besteht Anthropics Antwort in einem Schalter namens cc-plugin-privacy unter /plugins, der in Version 2.1.317 standardmäßig aktiviert ist. Diese Versionsnummer ist niedriger als die im Fehlerbericht, sodass sich anhand der vorliegenden Informationen nicht sagen lässt, welche Builds betroffen sind. Eine offizielle Stellungnahme von Anthropic haben wir ebenfalls nicht gesehen. Die Details sind daher mit Vorsicht zu behandeln. Dass die Betrugs-E-Mails darauf zurückgehen, ist zudem eine Behauptung des Melders und für uns nicht überprüfbar.

Eine Kennung im Header ist eine Entscheidung, kein Zufall

User-Agent-Strings sollen einem Server mitteilen, welche Software anfragt. Eine persönliche E-Mail-Adresse dort einzutragen, macht aus einem technischen Etikett ein Tracking-Merkmal. Wie auch immer sie dorthin gelangt ist: Aus unserer Sicht musste jemand entscheiden, dass sie in den ausgehenden Datenverkehr gehört.

Unserer Ansicht nach liegt hier der eigentliche Fehler. Nicht darin, dass ein Bug durchgerutscht ist, denn Bugs passieren. Der Fehler ist, dass personenbezogene Daten auf dem Standardweg ins offene Internet gelangten. Eine datenschutzfreundliche Voreinstellung wäre das Gegenteil: Der Agent sendet nichts, was den Nutzer identifiziert, es sei denn, dieser schaltet es ein. Hat ein Anbieter einen guten Grund, eine Kennung zu senden, etwa Missbrauchsprävention oder Zuordnung, kann er einmal in klaren Worten fragen und erklären, wer sie erhält.

Coding-Agenten verschärfen das Problem im Vergleich zu einer normalen App. Ein Browser zeigt Ihnen, wenn Sie eine Seite besuchen. Ein Agent ruft Seiten eigenständig ab, und zwar viele, mitten in einer Aufgabe, die Sie in einem Satz beschrieben haben. Sie sehen die Anfragen nicht und können ihnen daher nicht widersprechen. Stille ist das Standarderlebnis, und genau deshalb müssen die Voreinstellungen konservativ sein.

Die größere Lücke ist die fehlende Offenlegung

Selbst wenn der Schalter diesen einen Fall behebt, bleibt die Frage: Was senden Agenten sonst noch? Hostnamen, Rechnerdaten, Projektpfade, Sitzungskennungen? Wir wissen es nicht, und bei den meisten Tools wissen es auch die Nutzer nicht. Das ist das eigentliche Problem.

Das Ökosystem reagiert bereits. Das Open-Source-Projekt Stroq gibt an, frühere Claude-Code- und Codex-Sitzungen scannen und anzeigen zu können, welche Schlüssel Ihren Rechner verlassen haben, und ausgehende Aufrufe mit bekannten Geheimnissen blockieren zu können. Wir halten es für ein gutes Zeichen, dass Menschen solche Werkzeuge bauen, und für ein schlechtes, dass sie nötig sind. Nutzer sollten ihren eigenen Assistenten nicht mit einem Drittanbieter-Skript prüfen müssen, um zu erfahren, was er sendet.

Was Anbieter schulden und was Sie tun sollten

Unsere Empfehlung an die Anbieter ist einfach. Erstens: Kennungen standardmäßig aus und nur per Opt-in mit klarer Abfrage. Zweitens: eine veröffentlichte, versionierte Liste dessen, was der Agent außerhalb der Modell-API sendet, einschließlich der Header bei Web-Abrufen. Drittens: ein Changelog, das unmissverständlich angibt, wenn sich diese Liste ändert. Nichts davon ist exotisch, und ein Unternehmen, das ein Werkzeug verkauft, dem Menschen ihre Codebasis und Zugangsdaten anvertrauen, kann sich das leisten.

Für Nutzer sind die praktischen Schritte überschaubar. Auf die neueste Version aktualisieren, die oben erwähnte Plugin-Datenschutzeinstellung prüfen und den Issue-Thread lesen, bevor man sich sicher wähnt. Ist die Adresse offengelegt, ist mit mehr Spam zu rechnen, und man sollte entsprechend vorsorgen. Wer in einem Unternehmen arbeitet, sollte das Sicherheitsteam bitten, zu prüfen, was die eigenen Agenten senden, bevor es der nächste Vorfall tut.

Die Lehre reicht über einen einzelnen Anbieter hinaus. Anthropic ist bei Weitem nicht der Einzige, der Agenten baut, die in unserem Namen handeln, und alle stehen vor derselben Versuchung, etwas mehr als nötig zu senden. Opt-in-Kennungen und ehrliche Offenlegung sollten der Mindeststandard sein. Alles darunter verlangt von Nutzern Vertrauen im Voraus, und Vertrauen ist das Einzige, was ein Agent nicht voraussetzen sollte.