Eine lokale Settings-Datei von Claude Code landet in öffentlichen Repos, samt Passwörtern.
Bei „Yes, and don't ask again" wird der Befehl in .claude/settings.local.json gespeichert, oft im Klartext.
Über 100.000 Dateien öffentlich, rund 1.100 mit echten Secrets aus 63 Organisationen.
Gelöschte Secrets bleiben in Historie und Forks. Tausche Passwörter und Tokens sofort aus.
Ignore-Regel ins Projekt, Pre-Commit-Hook, Scanner und GitHub-Push-Schutz kombinieren.
gitleaks und TruffleHog erkannten 215 von rund 1.100 Secrets nicht. Eine Schicht reicht nicht.
Alle neun Schritte, Fehlerliste und DACH-Hinweise findest du im Artikel.