Metas KI-Assistent Muse hat Tausende freigegebene Gespräche leichter auffindbar gemacht als von den Nutzenden vermutlich beabsichtigt. Der Vorfall betrifft alle, die Künstliche Intelligenz (KI) für persönliche Fragen, berufliche Unterlagen oder Aufgaben im Browser verwenden. Neue Schutzfunktionen bei ChatGPT zeigen zwar, dass Anbieter reagieren, lösen aber nur einen Teil des Problems.
Freigabelinks als unterschätztes Risiko
Muse erlaubte es, Suchanfragen, Unterhaltungen und Bilder über einen Weblink zu teilen. Solche Links wirken privat, weil sie nicht automatisch auf einem öffentlichen Profil erscheinen. Technisch sind sie jedoch häufig für jede Person erreichbar, die die Adresse kennt oder findet.
Beim Muse-Vorfall waren die Adressen offenbar zu leicht rekonstruierbar. Das Sicherheitsunternehmen Claroc fand laut einem Bericht über die ausgesetzte Freigabefunktion mehr als 6800 Links in öffentlichen Domain Name System Records (DNS Records), also Verzeichniseinträgen, die Internetadressen mit technischen Zielen verbinden. Der Titel einer Freigabe und eine kurze Kennung waren Teil der Adresse und verrieten teilweise bereits, worum es auf der Seite ging.
Claroc konnte Hunderte Gespräche einsehen. Darunter befanden sich die Umsatzprüfung eines Marketingunternehmens, ein Kreditantrag eines Kleinunternehmens, Notizen zu einem Bewerbungsgespräch und der vollständige Personalkalender eines Betriebs. Die Leitmeldung zum Muse-Leck nennt ebenfalls einen gesamten Urlaubskalender als Beispiel für offengelegte Informationen.
Meta setzte die Funktion vorübergehend aus und erklärte, den Bericht zu prüfen sowie mögliche Änderungen zu erwägen. Der Vorgang zeigt einen entscheidenden Unterschied: Ein schwer zu erratender Link ist keine echte Zugriffskontrolle. Wer einen KI-Chat teilt, sollte deshalb davon ausgehen, dass eine Kopie ausserhalb des eigenen Kontos entsteht und weitergegeben oder auffindbar werden kann.
Muse ist dabei kein Einzelfall. Laut The Verge gelangten zuvor auch freigegebene Gespräche aus ChatGPT, Claude und Grok in die Google-Suche. Das Risiko liegt somit nicht nur bei einem bestimmten Anbieter, sondern im Grundprinzip öffentlich erreichbarer Freigabelinks.
Geräteschutz ist nicht Datenschutz
OpenAI führt für ChatGPT gesperrte Chats ein. Gespräche lassen sich mit einer vierstelligen persönlichen Identifikationsnummer (PIN), Face ID oder Touch ID schützen und erscheinen danach in einem eigenen Bereich. Die Funktion soll verhindern, dass andere Personen einen sensiblen Chat sehen, wenn du ihnen dein entsperrtes Gerät überlässt.
Das ist beispielsweise nützlich, wenn du ChatGPT für eine persönliche Angelegenheit verwendest und anschliessend einem Familienmitglied einen anderen Chat zeigen möchtest. Anders als temporäre Chats bleiben gesperrte Unterhaltungen verfügbar. Sie verschwinden jedoch aus der regulären Chat-Historie, den angehefteten Gesprächen und der Suche.
Die Beschreibung der ChatGPT-Sperrfunktion macht zugleich deutlich, was sie nicht leistet. Ein gesperrter Chat erhält keine Ende-zu-Ende-Verschlüsselung, bei der nur die beteiligten Geräte den Inhalt entschlüsseln können. Die Sperre verändert auch weder die Speicherdauer noch die Einstellung «Improve the model for everyone», über die Inhalte zur Verbesserung des Modells verwendet werden können.
Auch Informationen, die ChatGPT bereits vor der Sperre über die Erinnerungsfunktion gespeichert hat, werden nicht entfernt. Neue Inhalte aus gesperrten Chats gelangen zwar nicht in die reguläre Erinnerung, können aber eine separate Erinnerung innerhalb des geschützten Bereichs aktualisieren. Wer die PIN zurücksetzt, löscht laut OpenAI sämtliche damit geschützten Chats, Dateien und weiteren Inhalte dauerhaft.
Die Funktion soll für Free, Go, Plus, Pro, Business, Enterprise und Edu ausgerollt werden, ist aber nicht für ChatGPT for Healthcare vorgesehen. Zum Zeitpunkt der Meldung war sie noch nicht für alle Konten verfügbar. Angaben zur Verfügbarkeit speziell in der Schweiz, zu Schweizer Datenstandorten oder zu zusätzlichen Sprachbeschränkungen enthält die Quelle nicht.
Mehr Browserzugriff, mehr Verantwortung
ChatGPT kann über eine Chrome-Erweiterung, also eine Zusatzsoftware für den Browser, Inhalte aus mehreren geöffneten Tabs auswerten. Im Chat-Modus lassen sich etwa Produkte anhand von Abmessungen, Materialien, Lieferzeiten und Rückgabebedingungen vergleichen. Auch Artikel oder mehrere Preisseiten können gemeinsam ausgewertet werden.
Im Work-Modus geht der Zugriff weiter. Laut dem Bericht über ChatGPT in Chrome kann der Assistent Nachrichten senden, Formulare ausfüllen, Dateien herunterladen sowie Tabs ordnen und gruppieren. Damit wird aus einem Chatwerkzeug ein KI-Agent, also ein System, das nicht nur antwortet, sondern selbstständig Schritte in verbundenen Anwendungen ausführt.
Der praktische Nutzen ist greifbar: Du kannst mehrere Angebote vergleichen, ohne jede Seite einzeln zusammenzufassen. Im Beruf könnte der Assistent Angaben aus verschiedenen geöffneten Seiten in ein Formular übertragen oder eine Nachricht vorbereiten. Gleichzeitig können zwischen den Tabs private E-Mails, interne Dokumente, Kundenangaben oder bereits ausgefüllte Formulare liegen.
Je mehr ein Assistent sehen und bedienen darf, desto wichtiger werden klar begrenzte Freigaben. Ein Leserecht ist weniger weitreichend als die Befugnis, Nachrichten abzuschicken oder Dateien herunterzuladen. Aus den Quellen geht nicht hervor, welche Chrome-Berechtigungen Nutzende im Detail einzeln beschränken können oder ob die Funktionen in der Schweiz bereits vollständig verfügbar sind.
Dass Einwilligung nicht nur beim Browserzugriff zählt, zeigt der Fall Velvet Vale. Der als KI gekennzeichnete Agent trat einer Mailingliste mit rund 7500 Internetforschenden bei und erklärte, bereits seit mehreren Wochen mitzulesen. Zahlreiche Mitglieder widersprachen einer Auswertung ihrer Nachrichten zur Datengewinnung, einige verliessen die Liste, und die Organisation schloss den Agenten nach ungefähr einer Stunde aus. Der Vorfall in der Forschungsgemeinschaft verdeutlicht, dass die Zustimmung einer Person nicht automatisch die Zustimmung aller Beteiligten ersetzt.
Pro und Kontra vernetzter KI-Chats
Pro:
- Bequemlichkeit – Mehrere Tabs, Dokumente oder Angebote lassen sich gemeinsam auswerten, ohne Inhalte manuell zu kopieren.
- Geräteschutz – Gesperrte Chats erschweren neugierigen Personen den Zugriff auf einem bereits entsperrten Gerät.
- Getrennte Bereiche – Eine separate Erinnerung für gesperrte Chats reduziert das Risiko, dass neue private Angaben in gewöhnlichen Gesprächen auftauchen.
- Automatisierung – Der Work-Modus kann wiederkehrende Browseraufgaben wie Formulare, Downloads und Nachrichten übernehmen.
Kontra:
- Scheinbare Privatheit – Ein Freigabelink kann öffentlich erreichbar und technisch leichter auffindbar sein, als seine Darstellung vermuten lässt.
- Begrenzter Sperrschutz – Eine PIN schützt vor Blicken auf dem Gerät, ändert aber nichts an Speicherung, Trainingseinstellungen oder Verschlüsselung.
- Weitreichende Rechte – Browserzugriff kann sensible Informationen aus mehreren geöffneten Seiten zusammenführen und im Work-Modus Aktionen auslösen.
- Unklare Einwilligung – In Gruppen, Unternehmen und Gemeinschaften können Daten von Menschen verarbeitet werden, die dem KI-Einsatz nie zugestimmt haben.
Auch die Formulierung von Nutzungsbedingungen verdient Aufmerksamkeit. Meta entfernte nach Kritik das Wort «train» aus neuen kommerziellen Bedingungen, die laut Bericht am 30. Oktober in Kraft treten sollten. Meta erklärte, die zusammengefassten Regeln beträfen Werbe- und Geschäftsprodukte und gäben dem Unternehmen keine neuen Rechte zum Sammeln von Nachrichtenseiten.
Die von Ars Technica zitierten Fachleute widersprachen dieser Entwarnung. Sie argumentierten, dass die überarbeitete Formulierung Meta weiterhin erlaube, gesammelte Inhalte zur Entwicklung von Geschäftsprodukten zu verwenden, und dass «entwickeln» auch Training umfassen könne. Die Debatte über Metas kommerzielle Bedingungen zeigt deshalb, dass ein gestrichenes Wort nicht zwingend eine enger gefasste Datennutzung bedeutet.
Kontrolle in der Praxis
Für Einsteiger: Dein sinnvollster erster Schritt ist eine Trennung nach Sensibilität. Namen, Gesundheitsangaben, Zugangsdaten, unveröffentlichte Geschäftszahlen und vollständige interne Kalender gehören nicht in einen KI-Chat, wenn sie für die Aufgabe nicht zwingend nötig sind. Eine Chat-Sperre ist eine zusätzliche Barriere, aber kein Ersatz für sparsame Dateneingabe.
Schritt 1: Datenfluss begrenzen
- Prüfe vor dem Einfügen, ob du Namen, Kontaktdaten, Kundennummern oder andere identifizierende Angaben entfernen kannst.
- Kontrolliere die Einstellung zur Modellverbesserung und verwende temporäre Chats, wenn du keinen dauerhaften Verlauf benötigst.
- Erzeuge Freigabelinks nur für Inhalte, die auch ausserhalb deines Kontos auftauchen dürften, und entferne bestehende Links, wenn du sie nicht mehr brauchst.
- Schliesse sensible Browser-Tabs, bevor du einer Erweiterung Zugriff auf mehrere Seiten gibst.
Für Fortgeschrittene: Mehr Kontrolle entsteht durch getrennte Arbeitsbereiche und möglichst kleine Berechtigungen. Nutze unterschiedliche Browserprofile für private und berufliche Aufgaben, prüfe Erweiterungsrechte regelmässig und unterscheide zwischen Lesen und aktivem Handeln. Bei Teamkonten sollte zusätzlich geklärt sein, wer Chats teilen, Erinnerungen aktivieren oder Agenten Zugriff auf gemeinsame Anwendungen geben darf.
Schritt 2: Aktionen bewusst freigeben
- Teste einen verbundenen Assistenten zuerst mit unkritischen Seiten und Dateien.
- Prüfe Entwürfe, Formulare und Empfänger, bevor ein Agent eine Nachricht sendet oder Daten übermittelt.
- Begrenze den Zugriff auf die Tabs und Konten, die für die jeweilige Aufgabe tatsächlich erforderlich sind.
- Dokumentiere im beruflichen Einsatz, welche Datenquellen ein KI-Werkzeug sehen darf und wessen Zustimmung dafür nötig ist.
Für Nutzende in der Schweiz gelten dieselben praktischen Grundfragen: Ist die Funktion im eigenen Konto verfügbar, welche Sprache verarbeitet sie zuverlässig, wo werden Inhalte gespeichert und wer erhält Zugriff? Die vorliegenden Meldungen beantworten Verfügbarkeit und Datenstandorte für die Schweiz nicht. Gerade bei Schulen und Unternehmen bleibt deshalb eine Prüfung der jeweiligen Kontoeinstellungen und internen Regeln nötig.
Die neuen Funktionen machen KI-Chats bequemer und auf gemeinsam genutzten Geräten teilweise besser kontrollierbar. Sie verschieben Datenschutz jedoch zunehmend von einer einzelnen Chat-Einstellung zu einem Geflecht aus Freigabelinks, Erinnerungen, Trainingsoptionen, Browserrechten und Einwilligungen. Das offene Risiko bleibt, dass eine scheinbar private Unterhaltung an einer anderen Stelle des Systems zugänglich, gespeichert oder für weitere Zwecke verwendet wird.
Quellen
- Meta Muse: Tausende private KI-Gespräche waren per Suchanfrage auffindbar – t3n, 2026-10-21
- Meta pauses Muse sharing after researchers find AI chats on the web – The Verge, 2026-10-20
- ChatGPT now lets you lock your chats – TechCrunch, 2026-10-20
- Meta drops the word “train” from its commercial TOS after AI backlash – Ars Technica, 2026-10-20
- KI-Agent tritt Verteiler mit 7.500 Internetforschern bei – und löst ungewollt Chaos aus – t3n, 2026-10-21
- ChatGPT liest und steuert jetzt Chrome-Tabs – Netzwoche, 2026-10-21
Bild: Stefan Coders via Pexels