Zhipus Coding-Tool ZCode verschickt im angemeldeten Zustand die komplette Git-Historie eines Projekts an einen Cloud-Speicher von Alibaba, verschlüsselt und ohne Nachfrage. Ein Reverse-Engineering-Bericht dokumentiert einen Schnappschuss von 313 Megabyte pro Projekt, zu fast 87 Prozent aus dem verborgenen .git-Verzeichnis. Zwei Schalter in den Einstellungen versprechen Kontrolle, keiner stoppt den Upload.
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen
ZCode, das KI-Coding-Tool des chinesischen Anbieters Zhipu, bündelt beim Login den gesamten Arbeitsbereich und lädt ihn in die Cloud. Der Entwickler ferstar hat diesen Mechanismus per Reverse Engineering offengelegt und am 18. September dokumentiert.[1] Mitgesendet wird nicht nur der aktuelle Code, sondern die gesamte Versionsgeschichte samt längst gelöschter Zugangsdaten.
Das Wichtigste in Kürze
- ZCode bündelt beim Login den kompletten Arbeitsbereich, darunter .git-Historie, reflog und LFS-Cache, und lädt ihn verschlüsselt in einen Aliyun-OSS-Speicher.
- Der private Schlüssel liegt allein in der Cloud, der lokale Schnappschuss lässt sich auf dem eigenen Rechner nicht mehr entschlüsseln.
- Zwei Einstellungen regeln nur das Modelltraining und die Server-Indexierung, nicht den Upload selbst.
- Zhipus Datenschutzerklärung erwähnt das Hochladen ganzer Repositorien nicht; ein Bug-Report im offiziellen Feedback-Tracker blieb bis heute ohne Antwort.
Was lädt ZCode wirklich hoch?
Den Kern bildet das .git-Verzeichnis. In einem dokumentierten Fall umfasste der verschlüsselte Schnappschuss eines kommerziellen Projekts 313 Megabyte und 42.411 Dateien, davon 86,6 Prozent aus Git-Objekten, Commit-Historie und LFS-Cache.[1] Der Client fordert bei jeder Sitzung frische Zugangsdaten für einen Alibaba-Speicher an und schiebt das Paket per Direkt-Upload dorthin, am eigenen Server des Anbieters vorbei.
Der eigentliche Sprengstoff steckt in der Historie. Eine vollständige Git-Historie bewahrt gelöschte API-Schlüssel aus früheren Commits, interne GitLab-Adressen aus der Konfiguration und die E-Mail-Adressen aller Beteiligten. Zhipu treibt sein Coding-Geschäft derzeit aggressiv voran und verkauft KI-Tokens wie Handyguthaben, was den Zulauf zu ZCode erklärt.
Warum greifen die Schalter nicht?
ZCode startet den Upload-Dienst bedingungslos, ein gültiges Login genügt.[1] Die beiden sichtbaren Optionen versprechen eine Kontrolle, die sie nicht haben: Der Optimierungsplan regelt allein, ob die Daten fürs Modelltraining freigegeben werden, die zweite Option nur, ob der Server die Schnappschüsse indexiert. Das Einpacken und Hochladen läuft unabhängig davon weiter. Ein Fehlerbericht im offiziellen Feedback-Tracker von Z.ai blieb bislang ohne Antwort.[2]
Das Muster ist nicht neu. Erst kürzlich übertrug GitHub Copilot Zugangsdaten aus .env-Dateien in die Cloud, ein Autofix desselben Tools öffnete den Weg in Snowflakes internes Jira. Auch Cursor hostet den Quellcode seiner Nutzer inzwischen selbst. Die ganze Klasse der KI-Assistenten verlagert Kontext in die Cloud, und die Telemetrie reicht oft weiter, als die Bedienoberfläche vermuten lässt.
Ein Coding-Assistent, der die halbe Firmengeschichte mitschickt, ist kein Komfort-Feature, sondern ein Datenabfluss. Jedes Team sollte wissen, was sein Werkzeug im Hintergrund in fremde Clouds lädt.
— Michael Dobler, Herausgeber Dr. Web
Was im Paket steckt
- Vollständige Commit-Historie mit gelöschten API-Schlüsseln aus alten Commits
- reflog und LFS-Cache samt lokaler Pfade und interner GitLab-Adressen
- E-Mail-Adressen aller Commit-Autoren des Projekts
Was bedeutet das für Teams im DACH-Raum?
Für europäische Unternehmen ist der Vorgang ein Datenschutzfall. Die E-Mail-Adressen aller Commit-Autoren zählen als personenbezogene Daten, der Zielspeicher steht in China, und eine Rechtsgrundlage oder Einwilligung für diesen Drittlandtransfer fehlt. Quellcode gilt zudem als Geschäftsgeheimnis, dessen Schutz das Gesetz an angemessene Maßnahmen knüpft. Italiens Datenschutzbehörde sperrte bereits die DeepSeek-App wegen ungeklärter Datenflüsse nach China, ein Vorgang mit klarer Parallele.
Handeln lässt sich trotzdem. Vor dem Einsatz eines KI-Coding-Tools klärt ein kurzer Test, welche Telemetrie das Werkzeug sendet und ob ein reiner Lokalmodus bereitsteht. Das Schnappschuss-Verzeichnis lässt sich unter macOS mit chflags und unter Linux mit chattr schreibgeschützt sperren. Zugangsdaten, die je in einem Repository lagen, gehören ohnehin rotiert, weil eine Git-Historie sie über Jahre konserviert.
Quellen
[1] ferstar: „Inside ZCode: Silently Uploading Your Entire Git History to the Cloud“ (18.09.2026).
[2] Z.ai Feedback-Tracker: „Silent upload of full .git history to the cloud, cannot be disabled“ (Issue #707).
Mehr Newshunger?
- GitHub Copilot überträgt Zugangsdaten aus .env-Dateien in die Cloud
- Ein Autofix von GitHub Copilot öffnete den Zugang zu Snowflakes internem Jira
- Cursor hostet jetzt Quellcode: Origin startet drei Tage nach dem Verkauf an SpaceX
- GitLab-Lücke CVE-2026-85706: Eine Anfrage liest jede Datei vom Server
- KI-Würmer in Word-Dokumenten verbreiten sich über Copilot von selbst
