Postman Claude Code Plugin ohne Zustimmung installiert? Der Aufruhr

Am 25. Oktober hat ein GitHub-Nutzer mit dem Namen indicava im Repository von Postman gemeldet, dass die Desktop-App von Postman das Postman Claude Code Plugin und ein Codex-Plugin selbstständig installiert hat. Der Installer habe dabei auch seinen eigenen Start-Hook freigegeben. Am 3. November landete die Meldung ganz oben auf Hacker News und sammelte über 400 Punkte.

Was ist eigentlich passiert?

Die Meldung trägt den Titel „[SEVERE] Desktop auto-installs Codex/Claude plugins; installer attempts to trust its own startup hook“. Der Autor beschreibt Postman Desktop in Version 12.33.4 auf einem Mac und zählt auf, was er auf seinem Rechner gefunden hat:

1. Das Postman-Plugin in Claude Code (postman@claude-plugins-official, Version 2.0.1), aktiviert für den gesamten Benutzer.
2. Das Postman-Plugin in Codex (Version 1.1.0) samt einem Marketplace von GitHub und einem SessionStart-Hook, der bereits als vertrauenswürdig markiert war.
3. Die Postman CLI in ~/.local/bin mit Änderungsdaten, die zum Installationszeitraum passen.
4. Einen Eintrag für einen MCP-Server unter mcp.postman.com, der mit dem Fehler „Auth required“ nicht startete.

Der wichtigste Beleg ist das App-Log: Am 24. Oktober um 9:34 UTC hat Postman ein Ereignis auto-existing-upgrade protokolliert, in dem Claude Code und Codex den Status „installed“ haben. Der Autor schreibt, er habe keine Installation bewusst gestartet, und fordert eine Opt-in-Zustimmung, das Ende der Selbstfreigabe des Hooks, den Namen des Flags, das das Ganze ausgelöst hat, sowie einen vollständigen Weg, die Änderungen rückgängig zu machen.

Was macht der Postman-Hook in Claude Code und Codex?

Der Inhalt des Hooks ist öffentlich im Repository postman-plugin einsehbar. Die Datei hooks/session-start-context.md landet zu Beginn jeder Sitzung im Kontext des Agenten und ist in ein <EXTREMELY_IMPORTANT>-Tag verpackt. Sie weist den Agenten an, vor der Antwort auf „jede nicht-triviale API-Engineering-Aufgabe“ (im Original „any non-trivial API engineering task“) den Skill postman:api-engineer zu laden, also nicht nur dann, wenn wir etwas in Postman wollen. Interessant: Am Ende der Datei steht der Hinweis, dass Anweisungen des Nutzers, auch in CLAUDE.md und AGENTS.md, Vorrang haben.

Der zweite Punkt ist das Vertrauen. Einen neuen Hook in Codex muss man freigeben, doch die README des Plugins sagt klar, dass die Installation in Codex den Postman-Hook selbst freigibt und es keine eigene Rückfrage gibt. Im Code des Installers erledigt das die Funktion approvePostmanHook, die über codex app-server den vertrauenswürdigen Hash des Hooks speichert.

Ist hier etwas faul?

Der Installer selbst ist kein Geheimnis. Laut Postman-Dokumentation installiert npx @postman/postman-plugin das Plugin in allen erkannten Agenten (u. a. Claude Code, Codex, Cursor, GitHub Copilot CLI, OpenCode) und fragt nach einer Bestätigung, außer wir setzen das Flag --yes. Das Problem: Laut Meldung hat die Desktop-App ihn bei einem Update ohne jede Rückfrage ausgeführt.

Hier braucht es einen Realitätscheck. Der Titel auf Hacker News sagt, Postman „versuche, alle API-Daten zu teilen“, doch die Meldung selbst behauptet ausdrücklich keinen Datenabfluss. Der Autor betont auch, dass er den Ablauf noch nicht vollständig auf einem sauberen Mac nachgestellt hat. Zum Zeitpunkt des Schreibens gibt es im GitHub-Thread keine Antwort von Postman, die übrigen Kommentare sind vor allem Reaktionen anderer Nutzer (einer schreibt, dass das Skript bei ihm nach einem Update automatisch lief). Wir sollten die Details also mit Vorsicht behandeln, bis sich das Unternehmen äußert.

Warum sorgt das für so viel Aufsehen?

Weil es etwas berührt, auf das wir immer genauer schauen: wer was in den Kontext unserer Agenten schreibt. Ein Plugin mit Start-Hook ist eine Anweisung, die der Agent in jeder Sitzung liest, und ein selbst freigegebener Hook umgeht die einzige Stelle, an der Codex einen Menschen um Zustimmung bittet. In den HN-Kommentaren ergänzen einige Leute eigene Vorwürfe gegen Postman, aber das sind Meinungen, keine Erkenntnisse aus der Meldung.

Wie man die eigene Umgebung schützt, habe ich im Ratgeber zur Sicherheit von KI-Agenten beschrieben, und was ein Agent und sein Harness überhaupt sind, erkläre ich im Text Was ist ein KI-Agent.

Worauf sollten wir künftig achten?

Wer Postman Desktop installiert hat, sollte ein paar Stellen prüfen (dieselben Dateien nennt der Autor der Meldung):

1. In Claude Code die Plugin-Liste in ~/.claude/plugins/installed_plugins.json und ~/.claude/settings.json.
2. In Codex die Datei ~/.codex/config.toml, inklusive der vertrauenswürdigen Hooks.
3. Das Verzeichnis ~/.local/bin, ob dort die Postman CLI aufgetaucht ist.

Der Installer kennt außerdem die Befehle status (was installiert ist) und remove (Deinstallation aus allen erkannten Agenten), beschrieben in der README. (Laut Dokumentation zeigt das Flag --dry-run, was remove ändern wird, bevor etwas gelöscht wird.) Als allgemeine Regel gilt: Ab und zu prüfen, welche Plugins, Hooks und MCP-Server an unserem Agenten hängen.

FAQ

Schickt Postman über das Plugin meine API-Daten in die Cloud?

Die GitHub-Meldung behauptet das nicht. Der Autor betont, dass er keinen Datenabfluss festgestellt hat. Die einzigen externen Adressen, die er nennt, sind das Plugin-Repository auf GitHub und der MCP-Server mcp.postman.com, der bei ihm nicht startete.

Ist das Postman-Plugin für Claude Code offiziell?

Ja. Postman ist im offiziellen Marketplace von Anthropic als postman@claude-plugins-official verfügbar. Der Streit dreht sich nicht um das Plugin selbst, sondern darum, dass es laut Meldung ohne Zustimmung des Nutzers auf den Rechner kam.

Wie entferne ich das Postman-Plugin aus Claude Code und Codex?

Laut README genügt npx @postman/postman-plugin remove, und das Flag --agent <id> beschränkt die Änderung auf einen Agenten. Der Autor der Meldung bittet Postman trotzdem um eine vollständige Anleitung zum Zurücksetzen, inklusive vertrauenswürdiger Hooks und Cache, denn die gibt es bisher nicht.