Am 9. November 2026 veröffentlichte das Sicherheitsunternehmen GitGuardian eine Auswertung zu Zugangsdaten, die über Konfigurationsdateien des KI-Coding-Agenten Claude Code in öffentliche Repositories gelangten, also in frei einsehbare Code-Ablagen^[1]. Um 13:23 Uhr meldete auch heise online, gestützt auf eine Analyse von Apiiro, dass KI-Coding-Agenten Zugangsdaten in öffentliche Repositories verfrachten^[2]. Im heise-Forum diskutieren Leser zugleich einen Ratgeber vom 6. November, der zeigt, wie man ohne Programmierkenntnisse eine Android-App per Vibecoding baut: Man beschreibt der KI in Alltagssprache, was die App können soll, und sie schreibt den Code^[3][4].

Wir zeigen, was Unternehmen und Gründer vor dem Store-Release einer KI-gebauten App prüfen müssen (Stand: 9. November 2026).

Auslöser ist eine Komfortfunktion von Claude Code, dem Agenten von Anthropic. Wählt man bei einer Rückfrage „Ja, nicht mehr fragen“, landet der freigegebene Befehl samt darin enthaltener Zugangsdaten in der Datei .claude/settings.local.json^[2]. Beim ersten Schreiben in einem Repository trägt Claude Code die Datei zwar in die globale Ausschlussliste der Versionsverwaltung Git ein, damit sie nicht in Commits landet, also in gespeicherten Änderungsständen^[5]. Das greift laut heise aber nicht, wenn der Ordner erst später zum Repository wird, auf einen anderen Rechner ohne diese Regel geklont wurde oder die Datei schon im Repository liegt^[2].

Apiiro zählte 2.539 Secrets, also Passwörter, Schlüssel und Zugangstoken, in 1.994 öffentlichen Repositories, nicht nur in dieser Datei, sondern etwa auch in Git-Historien, also früheren Versionsständen, und in Chat-Protokollen^[6]. Ob sie noch funktionierten, testete Apiiro nicht^[1]. In 539 von 1.105 betroffenen Repositories fand Apiiro einen Commit, der die Datei veränderte und Claude als Mitautor auswies; ein Beleg dafür, dass der Agent sie selbstständig veröffentlicht hat, ist das allein nicht^[6].

GitGuardian wertete öffentliche GitHub-Uploads von Januar 2025 bis 7. November 2026 aus, fand die Secrets in 23.276 Repositories und prüfte ihre Gültigkeit beim Fund^[1]. Wegen unterschiedlicher Methoden sind beide Analysen nicht direkt vergleichbar.

Boris Cherny, Leiter von Claude Code bei Anthropic, schrieb am 7. November auf Hacker News, man prüfe Gegenmaßnahmen, und riet zu Secret Scanning, also automatischer Geheimnissuche im Code^[2][7].

Bei Apps kommt ein zweites Leck hinzu: das App-Paket selbst. Enthält der Quellcode API-Schlüssel, also Zugangsschlüssel für externe Dienste, kann ein Angreifer die App zerlegen und die Schlüssel finden, warnt Google^[8]. Bei bezahlten KI-Schnittstellen kann ein gestohlener Schlüssel laut Google Kosten auf dem Konto des Entwicklers verursachen. Als Ausweg nennt Google unter anderem, Anfragen über einen eigenen Server zu leiten, auf dem der Schlüssel bleibt^[9].

Ein heise-Leser fragte am 9. November, wie man sicher sein könne, dass die KI keine fragwürdigen SDKs oder Bibliotheken mit „Zusatzfunktionen“ einbaut^[4]. SDKs sind fertige Software-Bausteine von Drittanbietern. Laut Apple sind Entwickler dafür verantwortlich, dass alles in ihrer App den Richtlinien entspricht, ausdrücklich auch Werbenetzwerke, Analysedienste und Drittanbieter-SDKs^[10]. Beide Stores verlangen zudem Datenschutzangaben:

Für KI-Funktionen wichtig: Gehen personenbezogene Daten an Dritte, ausdrücklich auch an KI-Dienste, verlangt Apple Offenlegung und vorher eine ausdrückliche Einwilligung^[10].

Rechtlich gilt die DSGVO, unter anderem mit Datenschutz durch Technikgestaltung (Art. 25) und risikogerechten Schutzmaßnahmen (Art. 32)^[14]. Speichert oder liest die App Informationen auf dem Gerät, braucht es nach § 25 TDDDG grundsätzlich eine Einwilligung. Ausnahmen gelten für Vorgänge, die allein der Nachrichtenübertragung dienen oder für einen ausdrücklich gewünschten Dienst unbedingt erforderlich sind^[15]. Kein Rechtsrat: Dieser Abschnitt ersetzt keine Rechtsberatung im Einzelfall.

Apple verlangt fertige, auf echten Geräten getestete Apps. Bei Login-Funktion gehört ein Demo-Zugang zur Einreichung, und der Server hinter der App muss laufen. Abstürzende Apps lehnt Apple ab^[10], Google ebenso wie Apps mit nur begrenzter Funktion^[16]. Nach Apples Richtlinie 4.2 muss eine App zudem mehr bieten als eine neu verpackte Website^[10].

Dazu kommen technische Vorgaben, die unser Überblick zu den App-Store-Fristen zusammenfasst: Bei Google Play brauchen neue Smartphone- und Tablet-Apps sowie Updates seit 31. August 2026 mindestens Zielversion Android 16 (API-Level 36)^[17], private Konten, die nach dem 13. November 2023 erstellt wurden, zudem vor dem Antrag auf Produktionszugang einen geschlossenen Test mit mindestens zwölf Testern, die 14 Tage durchgehend angemeldet sind^[18].

KI-generierter Code ist nicht pauschal ausgeschlossen. Für Apps aus kommerziellen Vorlagen- oder App-Generator-Diensten gilt aber Richtlinie 4.2.6: Apple lehnt sie ab, sofern nicht der Anbieter der App-Inhalte sie direkt einreicht^[10].

In Veracodes Herbst-Update vom 29. Oktober 2026 erzeugten 18 KI-Modelle im Schnitt in rund 38 Prozent der Testaufgaben Code mit einer bekannten Schwachstelle. Die besten Modelle, Claude Opus 5.5 und GPT-6-Sol, bestanden 73 Prozent der Sicherheitstests^[19]. Das sind Testaufgaben, kein Anteil unsicherer Apps.

In einer Stanford-Studie mit einem älteren KI-Modell schrieben Teilnehmende mit KI-Assistent zudem weniger sicheren Code, hielten ihn aber häufiger für sicher^[20].

Nach der Freigabe beginnt die eigentliche Arbeit: Apple entfernt Apps, die nicht mehr wie vorgesehen funktionieren oder nicht mehr aktiv gepflegt werden^[10].

Unsere Haltung: Wer den Code nicht lesen kann, kann ihn nicht sicher pflegen. Eine Store-App braucht eine durchdachte Architektur, dokumentierte Abhängigkeiten und einen Menschen, der den Code versteht.