Gibt Claude Code die E-Mail-Adresse an Websites weiter? Wirbel auf GitHub

Claude Code und die E-Mail-Adresse: Am 5. November meldete GitHub-Nutzer taylor-edwards im Claude-Code-Repository, dass der Agent seine E-Mail-Adresse im User-Agent-Header an fremde Websites weitergegeben hat, während er im Web suchte, und zwar ohne seine Zustimmung. Innerhalb einer Stunde landete der Beitrag mit über 110 Punkten auf der Startseite von Hacker News.

Was ist mit der E-Mail-Adresse in Claude Code passiert?

Die Meldung trägt den Titel „Bug Report: Privacy violation in User-Agent header“ und betrifft Claude Code in Version 2.1.318 unter macOS. Der Autor schreibt, dass er täglich Dutzende Mails von Betrügern bekommt, weil Claude Code seine Adresse beliebigen Diensten verraten habe, und dass er seine Firma auf den Agent-Harness Pi mit OpenRouter umstellt. Er fordert, dieses Verhalten komplett zu entfernen, statt es hinter einer Opt-in- oder Opt-out-Einstellung zu verstecken.

Man muss hier allerdings Vorwurf und Beweis trennen. Die Meldung enthält weder Logs noch den Header selbst, und der Zusammenhang zwischen Claude Code und dem Spam ist die Schlussfolgerung des Autors. Zum Zeitpunkt des Schreibens gibt es unter der Meldung auch keine Antwort von Anthropic, dafür 33 Daumen nach oben.

Woher kennt Claude Code überhaupt unsere E-Mail-Adresse?

Hier wird es interessanter. Im Juli beschrieb ein Nutzer in Issue #81138, dass Claude Code die Adresse aus dem Konto übernimmt (oauthAccount.emailAddress in ~/.claude.json) und sie in jeder Sitzung in den Kontext des Modells schreibt, als Zeile „The user’s email address is …“. Laut späteren Kommentaren in diesem Thread gilt:

1. Seit Version 2.1.246 steht bei der Adresse der Hinweis, sie nicht an unbeteiligte Dienste zu senden, außer der Nutzer bittet ausdrücklich darum.
2. Die Adresse landet nicht im Kontext, wenn wir uns mit einem API-Schlüssel anmelden oder Bedrock bzw. Vertex nutzen.
3. Es gibt keine dokumentierte Einstellung, die das abschaltet.

Das sind Erkenntnisse von Nutzern aus der Analyse des Codes, Anthropic hat sie nicht bestätigt. Aber sie erklären den Mechanismus: Claude Code hängt die Adresse nicht fest an Anfragen an, sondern das Modell entscheidet selbst, sie zu verwenden.

Warum schreibt das Modell die Adresse in den Header?

Weil manche Dienste darum bitten. Die User-Agent-Richtlinie der Wikimedia Foundation verlangt einen Header mit Kontaktdaten: E-Mail-Adresse, Website oder Wiki-Konto. Ein Agent, der sich gegenüber der API höflich verhalten will, greift also zur einzigen Adresse, die er zur Hand hat.

Und es ist nicht die erste Meldung dieser Art:

1. #101659 vom 13. Oktober: Ein Research-Subagent, gestartet von einem anderen Subagenten, schickte die Adresse im Header an liquipedia.net, obwohl der Sitzungskontext das verbot. Das geschah mit Claude Code 2.1.285 und dem Modell Opus 5.5, und der Server antwortete ohnehin mit einem 403-Fehler.
2. #102577 vom 15. Oktober: Die Adresse ging in vier Anfragen an Wikipedia, die folgenden liefen schon mit einem allgemeinen Header.

Alle drei Meldungen sind offen, keine hat einen Kommentar von einem Anthropic-Mitarbeiter.

Warum ist das so ein großes Thema?

Weil es um personenbezogene Daten zahlender Kunden geht und sich die Anweisung „Sende die Adresse nicht“ als Bitte an das Modell entpuppt, nicht als Sperre. In den HN-Kommentaren schreiben die einen über Spam, der nach dem Umstieg auf Claude Code begann, andere sehen auf ihren eindeutigen Adressen keinen (was darauf hindeutet, dass nicht jeder Spam dieselbe Quelle hat). Eine Person hat ihren Header geprüft und die Adresse dort nicht gefunden, also ist nicht jeder betroffen.

Über ähnliche Streitfragen, was im Kontext eines Agenten landet, habe ich beim Postman-Plugin für Claude Code geschrieben.

Worauf man künftig achten sollte

1. Prüfen wir curl-Befehle und Netzwerkanfragen, bevor wir sie freigeben, besonders das Flag -A oder den Header User-Agent.
2. Ein PreToolUse-Hook kann einen Tool-Aufruf blockieren, bevor er ausgeführt wird (das beschreibt die Hooks-Dokumentation). Nutzer in #81138 lehnen damit Befehle ab, die die Adresse enthalten, räumen aber ein, dass diese Lösung nicht alles erwischt.
3. Ein Verbot in CLAUDE.md hilft, bleibt aber nur eine Anweisung an das Modell.

Mehr zur Absicherung von Agenten schreibe ich im Leitfaden zur Sicherheit von KI-Agenten.

FAQ

Sendet Claude Code immer meine E-Mail-Adresse?

Dafür gibt es keine Belege. Die Meldungen beschreiben Einzelfälle, in denen das Modell die Adresse selbst in den Header geschrieben hat, meist für Dienste, die nach Kontaktdaten fragen. Laut Nutzern gelangt die Adresse bei der Anmeldung mit einem API-Schlüssel gar nicht erst in den Kontext.

Hat Anthropic auf die Meldungen reagiert?

Zum Zeitpunkt des Schreibens (am Abend des 5. November) gibt es in keinem der vier GitHub-Threads einen Kommentar von Anthropic. Bei #101659 ist nur ein Label zu sehen, das ein Mitarbeiter des Unternehmens hinzugefügt hat.

Lässt sich die Weitergabe der E-Mail-Adresse an das Modell abschalten?

Laut Issue #81138 gibt es dafür keine offizielle Einstellung. Nutzer umgehen das mit der Anmeldung per API-Schlüssel oder mit Hooks, aber das sind ihre eigenen Lösungen, keine Funktion von Claude Code.