Entwickler haben entdeckt, dass Claude Code die Login-E-Mail des Nutzers in den User-Agent-Header von Netzwerkanfragen schreibt und an die Drittseiten schickt, die es aufruft. Am 5. November reichte der Nutzer taylor-edwards im GitHub-Repository von Claude Code einen Fehlerbericht ein. Er erhalte deshalb täglich massenhaft Betrugsmails, schrieb er, und seine Firma wolle auf die Kombination aus Pi und OpenRouter umsteigen.
Der Melder nutzt Version 2.1.318 unter macOS. Der Bericht sammelte innerhalb eines Tages knapp 90 Kommentare und mehr als 600 Likes.
Wie die E-Mail nach außen gelangte
Nach Angaben von Anthropic-Mitarbeitern und den Kommentaren geht das Problem auf eine scheinbar harmlose Änderung zurück: Damit das Modell in Code-Kommentaren in Feldern wie author keine Autorennamen erfindet, legte Claude Code die E-Mail-Adresse des angemeldeten Kontos in den Kontext des Modells.
Wenn das Modell selbst einen curl-Befehl schreibt, um eine Webseite abzurufen, setzt es diese Adresse als Kontaktadresse in den User-Agent. Manche Websites verlangen tatsächlich, dass Skript-Clients im UA eine Kontakt-E-Mail hinterlegen, Wikipedia ist ein Beispiel. Das Modell folgte dieser Konvention, und die Folge war, dass die Adresse des Nutzers an jede Seite ging, die es nebenbei ansteuerte.
Lydia Hallie von Anthropic antwortete:
"We're removing the account email address from the context Claude Code gives the model."
(Wir entfernen die E-Mail-Adresse des Kontos aus dem Kontext, den Claude Code dem Modell liefert.)
Sie schrieb außerdem: "this should not have happened, and we should've caught this behavior earlier." Die Änderung soll mit der nächsten Version kommen, voraussichtlich Anfang kommender Woche. Bis Redaktionsschluss ist diese Version nicht erschienen, und der Fehlerbericht ist weiterhin offen.
Die Chronologie im Überblick
Die Sache zieht sich seit Monaten. Nach den Kommentaren und Medienberichten ergibt sich folgendes Bild:
- Juli: Auf GitHub gab es bereits ein Issue mit der Nummer 81138, und Kommentatoren hielten es für dasselbe Verhalten;
- Version 2.1.317: Claude Code brachte ein Datenschutz-Plugin namens cc-plugin-privacy mit, das standardmäßig aktiv ist und vor Web-Tool-Aufrufen oder curl-Befehlen mit E-Mail-Adresse nachfragt;
- 5. November: Ein neuer Bericht erscheint, der Nutzer verwendet bereits 2.1.318, und die E-Mail wird trotzdem verschickt;
- Danach: Offizielle Zusage, die Adresse ganz aus dem Kontext zu nehmen.
Vom ersten Bericht im Juli bis zur offiziellen Stellungnahme im November vergingen gut drei Monate. Der Zwischen-Patch setzte darauf, am Ausgang eine Schranke einzubauen, doch das Problem liegt am Eingang: Solange die Adresse im Kontext steht, kann das Modell sie auch auf anderen Wegen nach draußen tragen. Medien weisen darauf hin, dass das Plugin den Fall nicht erfasst, in dem Claude selbst ein Skript schreibt und ausführt. In den Kommentaren berichten zudem Nutzer, das Plugin tauche im Menü /plugins gar nicht auf, oder es werde als geladen angezeigt und Befehle mit E-Mail-Adresse liefen trotzdem. Diese Rückmeldungen lassen sich derzeit nicht überprüfen, und Anthropic hat sich zu den konkreten Fällen, in denen das Plugin versagt, nicht geäußert.
Ein weiteres Detail betrifft den Release-Kanal. Berichten zufolge stand der Stable-Kanal damals noch bei 2.1.311 und hatte damit nicht einmal die Rückfrage-Schranke; Nutzer der Stable-Version müssen manuell aktualisieren, um das Plugin zu bekommen.
Was sich jetzt tun lässt
Die Community nennt zwei Zwischenlösungen: Ein Pre-Tool-Use-Hook kann Befehle abfangen, die sowohl die Kontoadresse als auch einen User-Agent-Parameter enthalten. Alternativ legt man in der CLAUDE.md fest, dass die E-Mail nur in Anfragen an bestimmte Domains auftauchen darf. Ein Entwickler hat die erste Variante bereits in sein Konfigurations-Repository übernommen.
Für Teams hängt die Tragweite vom Login-Konto ab. Wer sich mit der Firmenadresse anmeldet, gibt die geschäftliche E-Mail preis, und Phishing-Mails landen direkt im Unternehmenspostfach. Welche Websites diese UAs erhalten haben und wie lange deren Server-Logs aufbewahrt werden, liegt allein in der Hand der jeweiligen Seiten; Anthropic kann das für die Nutzer nicht zurückholen.
Quellen: GitHub-Fehlerbericht zu Claude Code, CocoLoop, AI Chat Daily, Trending Topics; betroffene Versionsnummern und Plugin-Beschreibung wurden anhand des Fehlerberichts geprüft, Aussagen von Anthropic-Mitarbeitern gelten gemäß deren öffentlicher Antwort.