Claude Code schickte Mailadressen an Websites

Claude Code hat die E-Mail-Adresse von angemeldeten Nutzerinnen und Nutzern an fremde Websites geschickt, versteckt im User-Agent-Header von Webanfragen. Gemeldet hat das ein Nutzer am 05.11.2026 in Issue #107757. Er bekomme seitdem täglich Dutzende Scam-Mails und zieht mit seiner Firma zu einem anderen Werkzeug um. Auf Hacker News kam der Beitrag auf knapp 1.000 Punkte.

Anthropic hat den Fehler bestätigt. Ein Schutz steckt seit Version 2.1.317 drin, die eigentliche Korrektur soll Anfang nächster Woche kommen.

Wie die Adresse in den Header kam

Die Erklärung kommt von Lydia Hallie aus dem Claude-Code-Team, auf Hacker News. Nutzer hatten sich beschwert, dass Claude bei Angaben wie @author in Code-Kommentaren Namen erfindet. Deshalb hat Anthropic die Account-Mail in den Kontext gelegt, den das Modell bei angemeldeten Accounts sieht.

Schreibt Claude dann selbst einen Befehl, etwa einen curl-Aufruf, hat es die Adresse manchmal als Kontaktangabe in den User-Agent gesetzt. Manche Websites bitten automatisierte Clients um eine Kontaktadresse, und Claude hat die genommen, die es im Kontext fand. Betroffen sind also nicht die eingebauten Web-Werkzeuge mit ihrem festen User-Agent, sondern Befehle, die das Modell selbst formuliert.

Bemerkenswert daran: Seit Version 2.1.234 vom August stand im Kontext bereits die Anweisung, die Mail nur zur Identifikation zu nutzen und nicht ungefragt an fremde Dienste zu schicken. Das hat nicht gereicht. Eine Regel im Prompt ist eben keine Garantie, das Modell wägt sie gegen andere Signale ab, hier gegen die Bitte einer Website um einen Kontakt.

Was Anthropic bisher getan hat

Seit 2.1.317 (02.11.2026) ist ein eingebauter Mod namens cc-plugin-privacy dabei und standardmäßig aktiv. Er fragt nach, bevor ein Web- oder Shell-Aufruf die Account-Mail ins Netz schickt. Das Team wusste laut eigener Aussage schon ein paar Tage vor dem Issue Bescheid, weil das Thema auf Reddit hochkochte.
Lücke im Schutz: Laut Hallie fängt der Mod nicht alle Fälle ab, zum Beispiel wenn Claude ein Skript schreibt und es dann selbst ausführt.
Nächstes Release: Die Mail fliegt ganz aus dem Modellkontext. Das soll Anfang nächster Woche kommen.

Der Haken: Der Stable-Kanal steht laut npm am 06.11.2026 noch auf 2.1.311 und hat den Schutz damit nicht. Wer Claude Code über Homebrew mit dem Cask claude-code installiert hat, ist ebenfalls auf Stable.

Was ihr jetzt tun solltet

Version prüfen. claude --version zeigt, was läuft. Alles unter 2.1.317 hat keinen Schutz.

Updaten. Auf dem Latest-Kanal reicht claude update. Auf Stable heißt das, vorübergehend auf Latest zu wechseln: "autoUpdatesChannel": "latest" in den Settings, bei Homebrew der Cask claude-code@latest. Wer das nicht will, sollte bis zum Update keine Webaufrufe von Claude freigeben. Wer später zurück auf Stable will, kann mit der Einstellung minimumVersion verhindern, dass ein Update wieder unter 2.1.317 zurückfällt.

Den Mod anlassen. Er lässt sich über /plugins abschalten. Das solltet ihr nicht tun, auch wenn die Rückfragen nerven.

Webaufrufe weiter prüfen. Solange die Mail noch im Kontext steht, schaut bei Freigaben von curl, wget oder selbst geschriebenen Skripten mit Netzzugriff kurz auf die Header. Genau diese Fälle deckt der Mod nicht sicher ab.

Nachsehen, ob es euch getroffen hat. Claude Code speichert Sitzungen als JSONL-Dateien unter ~/.claude/projects/. Eine Suche nach der eigenen Adresse zusammen mit User-Agent zeigt, ob sie in einem Befehl gelandet ist:

grep -rl "deine@adresse.de" ~/.claude/projects/ | xargs grep -l "User-Agent"

Zurückholen lässt sich eine verschickte Adresse nicht. Wer Treffer findet, sollte mit mehr Spam und gezieltem Phishing rechnen, das sich auf Claude oder Anthropic beruft.

Für Teams

Bei Firmen-Accounts ist es die dienstliche Adresse eurer Entwickler, die bei fremden Websites liegen kann. Sagt dem Team Bescheid, damit Phishing-Mails mit Bezug auf Claude oder Anthropic nicht ins Leere laufen, und informiert bei Bedarf eure Datenschutzbeauftragten. Wer Claude Code zentral verwaltet, kann über die Managed Settings mit requiredMinimumVersion verhindern, dass ältere Versionen ohne Schutz überhaupt starten.

Die Lehre reicht über diesen Fall hinaus. Was im Kontext eines Agenten steht, kann er in einem Befehl auch nach draußen schicken, ob Mailadresse, Token oder Kundendaten. Mehr dazu, wie viel Zugriff Erweiterungen in Claude Code haben, steht in unserer Meldung zu Claude-Code-Mods.

Diese Meldung wird ergänzt, sobald das angekündigte Release erschienen ist.