Wer Docker Desktop zum Entwickeln oder für sein Homelab nutzt, hat am 5. Oktober 2026 mit Version 4.94.0 ein Update bekommen, das man sich genauer ansehen sollte. Hinter den trockenen Release-Notes steckt ein handfestes Datenschutzproblem: Gespeicherte API-Keys landeten im Klartext in den Docker-Desktop-Logs — und damit auch in den Diagnose-Bundles, die viele Nutzer bei Support-Anfragen klaglos hochladen.
WAS GENAU PASSIERT IST
In den offiziellen Release-Notes zu 4.94.0 beschreibt Docker gleich zwei verwandte Probleme, die beide mit diesem Update behoben wurden:
- Gespeicherte API-Keys wurden im Klartext in die Docker-Desktop-Logs geschrieben — und waren damit auch Teil der Diagnose-Bundles, die man zum Support schickt.
- IPC-Payloads, die als JSON-Arrays oder reine Strings vorlagen, wurden ebenfalls unverschleiert protokolliert statt wie vorgesehen maskiert.
Zusätzlich hat Docker eine weitere Sicherheitslücke geschlossen: Code auf der VM-Seite konnte zuvor Unix-Socket-Port-Forwards anfordern, wodurch sich beliebige Pfade auf dem Host-System offenlegen ließen. Auch dieser Fehler ist mit 4.94.0 behoben.
WARUM LOGS UND DIAGNOSE-BUNDLES EIN UNTERSCHÄTZTES RISIKO SIND
Das eigentliche Problem an diesem Leck ist nicht nur, dass die Daten lokal auf der eigenen Festplatte liegen — es ist, wohin diese Logs reisen. Diagnose-Bundles sind genau dafür gemacht, geteilt zu werden: Man exportiert sie und schickt sie an den Docker-Support, hängt sie an ein GitHub-Issue oder lädt sie in ein Ticket-System hoch. Wer das in den letzten Monaten getan hat, könnte unwissentlich eigene API-Schlüssel mitgeschickt haben — an Dritte, die diese Keys theoretisch missbrauchen könnten, falls sie noch gültig sind.
Auch automatisierte Backups von Log-Verzeichnissen oder zentrale Log-Aggregation (etwa in größeren Teams mit gemeinsamer Docker-Desktop-Verwaltung) sind betroffen, wenn dort ungefiltert alte Logs landen.
WEITERE ÄNDERUNGEN IN 4.94.0
Neben den Sicherheitsfixes bringt das Update auch funktionale Anpassungen: Der Standard-Logging-Treiber für neue Linux-Container wurde auf local umgestellt, was automatische Log-Rotation mitbringt und damit ebenfalls das Risiko unbegrenzt wachsender, sensibler Log-Dateien reduziert. Dazu kommen Verbesserungen bei der VM-Disk-Erstellung und der Speichereffizienz. Unter der Haube wurden außerdem mehrere Komponenten angehoben: Docker Offload auf v0.6.53, containerd auf v2.3.6, der Docker Agent auf v1.144.0 und die Docker Engine auf v29.8.2.
SO SCHÜTZT DU DICH JETZT
- Update einspielen: Docker Desktop auf Version 4.94.0 oder neuer aktualisieren — über die integrierte Update-Funktion oder die offizielle Download-Seite.
- Alte Diagnose-Bundles prüfen und löschen: Wer in der Vergangenheit Diagnose-Bundles exportiert und weitergegeben hat, sollte diese lokal entfernen und betroffene API-Keys im Zweifel rotieren.
- Betroffene Keys rotieren: Gerade bei Cloud-Provider- oder Registry-Zugangsdaten lohnt sich im Zweifelsfall ein Austausch der Schlüssel, wenn Logs geteilt wurden.
- Log-Hygiene einführen: Mit dem neuen `local`-Logging-Treiber und automatischer Rotation sammeln sich weniger alte, potenziell sensible Logdaten an.
FAZIT: DIAGNOSE-DATEN SIND KEIN HARMLOSES BEIWERK
Der Fall erinnert daran, dass Debug- und Diagnosefunktionen oft genauso viel Aufmerksamkeit brauchen wie die eigentliche Kernfunktion einer Software — gerade weil sie dafür gebaut sind, Daten nach außen zu geben. Wer Docker Desktop im Alltag nutzt, sollte das Update nicht aufschieben und einen kurzen Blick auf alte, bereits geteilte Logs werfen.