Geleakt: Was Claude Code wirklich über seine Nutzer weiß

Es gibt Pannen, die passieren einfach. Ein falsch konfiguriertes Build-Skript, eine Datei, die nicht hätte mitgeliefert werden dürfen, ein menschlicher Fehler in der Deployment-Pipeline. Genau das ist Anthropic am 31. März 2026 passiert – und die Folgen dürften dem Unternehmen noch eine Weile nachhängen.

Was geschah: Version 2.1.88 des npm-Pakets von Claude Code enthielt eine sogenannte Source-Map-Datei. Solche Dateien dienen Entwicklern intern zum Debugging, sie verbinden den komprimierten Produktionscode mit dem lesbaren Original. In diesem Fall verwies die Map-Datei auf ein ZIP-Archiv auf Anthropics eigenem Cloud-Speicher bei Cloudflare R2 – und darin lag der komplette TypeScript-Quellcode von Claude Code. Rund 1.900 Dateien, etwa 512.000 Zeilen Code, plötzlich für jeden sichtbar, der wusste, wo er hinschauen muss. Der Sicherheitsforscher Chaofan Shou entdeckte das Leck in den frühen Morgenstunden und teilte seinen Fund auf X. Ab da ging es schnell: Innerhalb weniger Stunden wurde der Code auf GitHub gespiegelt und dort mehr als 41.500 Mal geforkt. Das Pferd war aus dem Stall, und kein noch so schnelles Gegensteuern von Anthropic konnte es wieder einfangen.

Was im Code steckt – und warum das relevant ist

Anthropic bestätigte den Vorfall gegenüber mehreren Medien mit einer knappen Stellungnahme: kein Kundendaten-Leak, kein Sicherheitsverstoß, sondern ein Verpackungsfehler durch menschliches Versagen. Technisch gesehen stimmt das. Aber was Analysten und Sicherheitsforscher anschließend im Code fanden, erzählt eine differenziertere Geschichte. Da wäre zunächst die Telemetrie. Beim Start von Claude Code sendet ein Analytics-Dienst standardmäßig eine Reihe von Daten an Anthropic: User-ID, Session-ID, App-Version, Plattform, Terminal-Typ, Organisations-ID, Account-ID, E-Mail-Adresse (sofern hinterlegt) und eine Liste der aktuell aktiven Feature-Flags. Kann das Gerät gerade nicht online gehen, werden die Daten lokal zwischengespeichert und später nachgesendet. Ursprünglich lief diese Erfassung über Statsig – einen Dienst, den ausgerechnet Konkurrent OpenAI im September 2025 übernommen hatte. Der Wechsel zu GrowthBook, einer Plattform für A/B-Tests und Analysen, war die logische Konsequenz.

Für Enterprise-Kunden betreibt Anthropic zudem einen Server, der stündlich und ohne Nutzerinteraktion sogenannte Policy Settings auf die Clients pushen kann. Diese können Umgebungsvariablen setzen und das Verhalten von Claude Code aus der Ferne steuern – eine Möglichkeit, die für verwaltete Unternehmensumgebungen durchaus sinnvoll ist, aber im Kontext eines Leaks eben auch zeigt, wie viel Kontrolle Anthropic theoretisch über installierte Instanzen hat. Besonders viel Aufmerksamkeit erregte ein Feature mit dem Codenamen KAIROS – ein Begriff aus dem Altgriechischen für den „richtigen Zeitpunkt". Hinter dem Flag verbirgt sich ein Hintergrund-Daemon, also ein Prozess, der auch dann weiterläuft, wenn der Nutzer gerade nicht aktiv mit Claude Code arbeitet. In diesem Modus führt der Agent eine sogenannte autoDream-Funktion aus: Er durchsucht alle Session-Protokolle, konsolidiert verstreute Beobachtungen, entfernt widersprüchliche Informationen und verdichtet vage Erkenntnisse zu konkretem Kontextwissen. Was er dabei generiert, fließt in eine Memory-Datei ein, die bei künftigen Sessions automatisch in den System-Prompt injiziert wird. Das klingt nach einer cleveren Lösung für das bekannte Kontextfenster-Problem von KI-Agenten. Gleichzeitig bedeutet es: Ein Hintergrundprozess durchforstet eigenständig Ihre Arbeitsprotokolle, ohne dass Sie aktiv etwas tun. KAIROS ist laut Code-Analyse weitgehend fertig entwickelt, wurde aber noch nicht offiziell ausgerollt.

Darüber hinaus fanden Analysten Hinweise auf ein kommendes Modell mit dem internen Codenamen Capybara – offenbar eine Variante der Claude-4.6-Generation. Und es tauchten Verweise auf Team Memory Sync auf, einen bidirektionalen Dienst, der lokale Memory-Dateien mit Anthropics Servern abgleicht und das Teilen von Kontextwissen innerhalb einer Organisation ermöglicht.

Die Ironie des Ganzen

Man muss das in den richtigen Kontext setzen: Anthropic hat seine gesamte Markenidentität auf dem Versprechen aufgebaut, das sicherheitsbewussteste KI-Unternehmen der Branche zu sein. Safety First – das ist nicht nur ein Slogan, sondern das zentrale Differenzierungsmerkmal gegenüber OpenAI, Google und allen anderen. Wenn ausgerechnet dieses Unternehmen innerhalb einer einzigen Woche zwei schwerwiegende Datenpannen produziert – wenige Tage vor dem Code-Leak hatte Fortune berichtet, dass Anthropic versehentlich knapp 3.000 interne Dateien öffentlich zugänglich gemacht hatte, darunter einen Blogpost-Entwurf über ein kommendes Modell namens Mythos – dann kratzt das am Fundament der eigenen Erzählung. Und es ist nicht einmal das erste Mal: Bereits im Februar 2025 hatte eine frühe Version von Claude Code durch ein ähnliches Source-Map-Problem internen Code preisgegeben. Die KI-Sicherheitsfirma Straiker warnte in einer Analyse, dass Angreifer nun gezielt die vierstufige Kontextmanagement-Pipeline von Claude Code studieren und Payloads konstruieren könnten, die Session-übergreifend bestehen bleiben. Das mag ein Worst-Case-Szenario sein, aber es zeigt, dass der Schaden über den reinen Reputationsverlust hinausgeht.

Was bedeutet das für Nutzer und die Branche?

Aus Agentursicht gibt es hier zwei Ebenen. Die erste ist praktisch: Wer Claude Code im Unternehmen einsetzt, sollte spätestens jetzt prüfen, welche Telemetrie aktiv ist, ob die installierte Version aktuell ist (mindestens 2.1.89) und ob API-Keys turnusmäßig rotiert werden. Anthropic bietet Umgebungsvariablen an, mit denen sich Telemetrie und Memory-Funktionen deaktivieren lassen – aber man muss eben wissen, dass es sie gibt und dass die Standardeinstellungen recht mitteilsam sind. Die zweite Ebene ist strategisch. Der Vorfall zeigt, wie groß die Spannung ist zwischen dem Tempo, mit dem KI-Unternehmen Produkte ausliefern, und der Sorgfalt, die für den Schutz sensibler Infrastruktur nötig wäre. Claude Code generiert aktuell einen annualisierten Umsatz von geschätzten 2,5 Milliarden Dollar und ist damit Anthropics kommerzielles Zugpferd. Dass ausgerechnet bei diesem Produkt der gesamte Quellcode durch eine vergessene Datei ins Netz gelangt, ist mehr als nur ein peinlicher Moment. Es ist ein Geschenk an jeden Wettbewerber, der verstehen will, wie ein produktionsreifer KI-Coding-Agent unter der Haube funktioniert.

Anthropic wird das überstehen. Der Code enthält keine Modellgewichte, keine Kundendaten, keine Zugangsdaten. Aber das Narrativ des Unternehmens, das alles besser und sicherer macht als die Konkurrenz, hat einen sichtbaren Riss bekommen. Und in einer Branche, die gerade lernt, was Vertrauen in KI-Systeme wirklich bedeutet, wiegen solche Risse schwerer als jede technische Schwachstelle.