hintergrund
KI-Chats sind kein abgeschlossener Vertrauensraum: Wer Gespräche einsehen kann – und was die Forschung tatsächlich belegt
Wer einem KI-Chatbot persönliche Probleme schildert, vertrauliche Unterlagen übergibt oder eine rechtliche Auseinandersetzung vorbereitet, kommuniziert mit einem technischen Dienst und dessen Infrastruktur. Dass im Chatfenster nur eine Maschine antwortet, bedeutet keine Garantie, dass ausschließlich diese Maschine die Eingaben verarbeitet.
Redaktion PresseTeam Austria ·
Wie die Untersuchung durchgeführt wurde
Die Arbeit „Prompt like a Butterfly, Sting like a Tracker: A Privacy Analysis of Web and Mobile Conversational AI Agents“ untersuchte im Mai 2026 in Spanien neun Dienste. Das Team analysierte Netzwerkverkehr und prüfte Gesprächslinks ohne Anmeldung. Diese Verfahren liefern technische Befunde statt bloßer Vermutungen.
IMDEA Networks führt die Arbeit für das Privacy Enhancing Technologies Symposium im Juli 2027. Mitautor Jorge García Herrero berichtet von einer Annahme für PoPETs 2027. Die zugängliche Manuskriptfassung enthält noch Platzhalter für endgültige Veröffentlichungsangaben. Der Forschungsstatus sollte daher präzise bezeichnet werden.
Welche Unterschiede die Tests zeigten
Die folgende Übersicht verdichtet beobachtete Gesprächsdatenflüsse; sie ist keine Sicherheitsrangliste.
- ChatGPT – Web: Kennungen/Links → Datadog. Android: Kennungen → Datadog.
- Claude – Web: Kennungen/Links → Datadog, Intercom. Android: Kennungen → Datadog.
- Gemini – Web: Titel → Google Analytics. Android: Nicht auswertbar.
- Grok – Web: Links/Titel; bei Freigaben auch Inhalte → Trackingdienste. Android: Keine entsprechenden Befunde.
- Perplexity – Web: Kennungen/Links → Datadog. Android: Eingabe → Wingify.
- Mistral/Le Chat – Web: Links/Titel → Intercom. Android: Keine entsprechenden Befunde.
- DeepSeek, Copilot, Meta AI – Web: Keine entsprechenden Befunde. Android: Keine entsprechenden Befunde.
Warum Grok besonders auffällt
Mitautor García Herrero erläutert, dass die untersuchten Grok-Gesprächslinks standardmäßig öffentlich erreichbar waren. Wer einen solchen Link erhielt, konnte dadurch den Gesprächsinhalt aufrufen. Bei geteilten Grok-Unterhaltungen wurden außerdem Gesprächsinformationen an Werbesysteme weitergegeben; TikTok erhielt eine Bilddarstellung mit Chatinhalt.
Weiterlesen: Warum Grok besonders auffällt
Einordnung, Quellenangaben und Grenzen der Aussage aufklappen.
Damit geht es in diesen Fällen um mehr als eine technische Kennung. Allerdings darf aus diesen Beobachtungen nicht abgeleitet werden, dass sämtliche Grok-Chats heute unter allen Einstellungen öffentlich wären.
Zusätzlich registrierte das Forschungsteam bei Grok 70 Aktivierungen eingebauter Kontrolllinks aus 14 Ländern. Diese Zugriffe identifizieren weder konkrete Leser noch beweisen sie menschliches Mitlesen.
Ein solcher Kontrolllink kann eine registrierbare Anfrage auslösen, sobald ein System ihn abruft. Dahinter können unterschiedliche technische Abläufe stehen. Die Identität und Absicht eines Menschen lassen sich aus einer IP-Adresse oder einem Linkabruf allein nicht zuverlässig feststellen. PresseTeam Austria bewertet deshalb den Nachweis eines Abrufs getrennt von der Behauptung, ein bestimmtes Unternehmen oder eine bestimmte Person habe bewusst den gesamten Inhalt gelesen.
Der Betreiber beschreibt aktuell die Erstellung öffentlicher Freigabelinks und deren Widerruf. Diese Beschreibung bestätigt die Bedeutung der Freigabefunktion, beantwortet aber nicht abschließend, ob alle im Mai beobachteten Zugriffsmöglichkeiten inzwischen verändert wurden.
Was bei ChatGPT belegt ist
Die Übermittlung einer Gesprächskennung oder einer URL ist nicht automatisch eine Übermittlung des vollständigen Gesprächs. Entscheidend ist, ob der Empfänger damit Zugriff auf Inhalte erhält und ob eine wirksame Zugangskontrolle besteht.
Weiterlesen: Was bei ChatGPT belegt ist
Einordnung, Quellenangaben und Grenzen der Aussage aufklappen.
OpenAI führt Datadog in seiner Cookie-Richtlinie als Dienst für Fehlermeldungen an. Die Einbindung eines solchen technischen Dienstleisters ist daher zunächst von einer Weitergabe privater Texte an Werbeunternehmen zu unterscheiden.
OpenAI erklärt für seine Verbraucherdienste ausdrücklich, dass eine begrenzte Zahl befugter Mitarbeiter und vertrauenswürdiger Dienstleister auf Inhalte zugreifen darf, wenn dies erforderlich ist: zur Untersuchung von Missbrauch oder Sicherheitsvorfällen, für Unterstützung beziehungsweise Fehlerbehebung, zur Behandlung rechtlicher Angelegenheiten oder zur Verbesserung der Modelle, soweit dafür kein Opt-out besteht.
Nach Unternehmensangaben gelten Zugangskontrollen, Vertraulichkeits- und Sicherheitsverpflichtungen; Zugriffe werden überwacht und protokolliert. OpenAI erklärt außerdem, Chat-Inhalte nicht für Marketing oder Werbung weiterzugeben und Gespräche nicht mit Werbetreibenden zu teilen.
Diese Angaben sind Aussagen des Anbieters und keine unabhängige Vollprüfung seiner internen Systeme. Sie zeigen jedoch eindeutig: Auch ein privater ChatGPT-Chat kann unter definierten Bedingungen von befugten Menschen eingesehen werden. Das ist etwas anderes als ein öffentlich zugänglicher Verlauf.
Andere Anbieter beschreiben ebenfalls menschliche Prüfung
Google erläutert im Privacy Hub für Gemini, dass ein Teil der erhobenen Daten von menschlichen Prüfern einschließlich Dienstleistern überprüft wird. Das Unternehmen warnt ausdrücklich davor, vertrauliche Informationen einzugeben, die ein Prüfer nicht sehen soll. Geprüfte Chats können laut Google bis zu drei Jahre aufbewahrt werden.
Weiterlesen: Andere Anbieter beschreiben ebenfalls menschliche Prüfung
Einordnung, Quellenangaben und Grenzen der Aussage aufklappen.
Anthropic beschreibt für Claude-Verbraucherprodukte begrenzte Einsichtsmöglichkeiten, insbesondere bei freiwillig übermitteltem Feedback und zur Durchsetzung seiner Nutzungsrichtlinien. Dafür seien strenge Zugriffsbeschränkungen vorgesehen.
Auch der Grok-Betreiber erklärt, dass eine begrenzte Zahl autorisierter Mitarbeiter Gespräche für bestimmte Zwecke prüfen kann, darunter Modellverbesserung, Sicherheitsuntersuchungen und die Erfüllung rechtlicher Verpflichtungen.
Diese Erklärungen erlauben keinen Schluss über die Häufigkeit konkreter Prüfungen. Sie widerlegen aber die Vorstellung, menschliche Einsicht sei bei KI-Chats grundsätzlich ausgeschlossen.
Bereits Titel und Kennungen können sensible Informationen enthalten
Ein Gesprächstitel kann das Thema einer Unterhaltung offenlegen, ohne dass der gesamte Text übertragen wird. Beispielsweise kann ein Titel auf ein Gesundheitsthema, finanzielle Schwierigkeiten oder einen familiären Konflikt hinweisen. Das bedeutet nicht automatisch, dass der Nutzer tatsächlich erkrankt oder verschuldet ist: Die Frage könnte auch allgemein oder im Auftrag einer anderen Person gestellt worden sein.
Weiterlesen: Bereits Titel und Kennungen können sensible Informationen enthalten
Einordnung, Quellenangaben und Grenzen der Aussage aufklappen.
Werden solche Angaben mit wiedererkennbaren Nutzerkennungen verknüpft, entsteht dennoch ein Risiko für Profilbildung und falsche Zuschreibungen. Auch eine gehashte E-Mail-Adresse ist nicht schon deshalb anonym, weil sie nicht im Klartext sichtbar ist.
Zudem muss zwischen technisch externen Diensten und fremden Konzernen unterschieden werden. Google Analytics und Gemini gehören beide zum Google-Umfeld. Der konkrete Verarbeitungszweck und die organisatorischen Zugriffsrechte bleiben auch bei einer gemeinsamen Konzernzugehörigkeit relevant.
Freigabelinks sind eine eigenständige Entscheidung
Für ChatGPT erklärt OpenAI aktuell: Gesprächslinks aus persönlichen Konten können von jedem aufgerufen werden, der den Link besitzt. Freigaben aus verwalteten Arbeitsbereichen unterliegen anderen Zugriffsregeln. Nutzer sollten deshalb vor dem Teilen prüfen, welche Inhalte tatsächlich in der Vorschau enthalten sind.
Weiterlesen: Freigabelinks sind eine eigenständige Entscheidung
Einordnung, Quellenangaben und Grenzen der Aussage aufklappen.
Ein Link kann weitergeleitet werden. Eine nicht für Suchmaschinen vorgesehene Seite ist dadurch nicht automatisch vertraulich. Das Löschen eines Freigabelinks beendet künftigen Zugriff über diesen Link; bereits von Empfängern gespeicherte Kopien werden dadurch nicht entfernt.
Das Abschalten der Modellverbesserung löscht bestehende Freigaben nicht und verändert deren Zugriffsberechtigungen nicht. Trainingseinstellungen und Veröffentlichungseinstellungen müssen getrennt kontrolliert werden.
Warum Cookie-Ablehnung und ein Bezahlabo nicht alles lösen
García Herrero nennt für die untersuchten Konfigurationen einen Anteil von 80,8 Prozent weiterhin aktiver Tracker trotz Ablehnung nicht notwendiger Cookies. Diese Zahl betrifft Tracker, nicht den Anteil öffentlich zugänglicher Chats oder übermittelter Gesprächsinhalte. Auch zwischen kostenlosen und kostenpflichtigen Verbraucherangeboten ergab sich keine allgemeine Abschirmung durch Bezahlung.
Österreichisches Recht und Unionsrecht
Die DSGVO verlangt eine Rechtsgrundlage für personenbezogene Datenverarbeitung, Zweckbindung, Datenminimierung und Transparenz. Gesundheitsdaten und andere besondere Datenkategorien benötigen zusätzlich eine Ausnahme vom Verarbeitungsverbot des Artikels 9. Artikel 13 verlangt Informationen unter anderem über Zwecke, Rechtsgrundlagen und Empfänger.
Weiterlesen: Österreichisches Recht und Unionsrecht
Einordnung, Quellenangaben und Grenzen der Aussage aufklappen.
Artikel 25 und 32 betreffen Datenschutz durch Gestaltung und angemessene Sicherheit. Dienstleister dürfen im Rahmen einer Auftragsverarbeitung eingesetzt werden; dabei gelten die Voraussetzungen des Artikels 28. Internationale Übermittlungen sind zusätzlich nach Kapitel V zu beurteilen. Eine außerhalb der EU ansässige Firma ist nicht automatisch von der DSGVO ausgenommen; Artikel 3 kann bei Angeboten an Personen in der Union oder entsprechender Verhaltensbeobachtung greifen.
In Österreich ist bei Cookies und vergleichbaren Endgerätezugriffen insbesondere § 165 Absatz 3 TKG 2021 zu berücksichtigen. Er verlangt grundsätzlich aktive, informierte Einwilligung und enthält Ausnahmen für Übertragungszwecke beziehungsweise unbedingt erforderliche Funktionen des ausdrücklich gewünschten Dienstes. Die unionsrechtliche Grundlage liegt in Artikel 5 Absatz 3 der ePrivacy-Richtlinie.
Aus Sicht von PresseTeam Austria verdienen nicht erforderliche Datenweitergaben trotz Ablehnung und öffentlich erreichbare vertrauliche Inhalte besonders gründliche Prüfung. Ob ein konkreter Vorgang rechtswidrig ist, hängt jedoch von Daten, Zweck, Rechtsgrundlage, technischen Einstellungen und tatsächlichen Vertragsverhältnissen ab. Die untersuchte Technik ersetzt keine behördliche oder gerichtliche Einzelfallentscheidung.
Was Nutzer und Organisationen jetzt prüfen sollten
Sechs konkrete Schritte, um Eingaben, Freigaben und Zugriffsbedingungen bewusst zu kontrollieren.
- Eingaben reduzieren: Für allgemeine Auskünfte reichen häufig anonymisierte Sachverhalte. Namen, Adressen, Aktenzeichen und andere Identifikatoren sollten nur übermittelt werden, wenn sie tatsächlich erforderlich sind.
- Freigaben kontrollieren: Öffentliche Gesprächslinks prüfen und nicht mehr benötigte Links deaktivieren. Vor jeder Weitergabe den gesamten freigegebenen Inhalt einschließlich möglicher Dateien kontrollieren.
- Trainingseinstellungen prüfen: In ChatGPT kann „Improve the model for everyone“ in den Datenkontrollen deaktiviert werden. Nach OpenAI-Angaben werden neue Gespräche dann nicht zum Modelltraining verwendet. Freiwilliges Feedback kann eine gesonderte Nutzung des zugehörigen Gesprächs auslösen.
- Temporäre Chats richtig einordnen: Solange ein Chat temporär bleibt, wird er laut OpenAI nicht zur Modellverbesserung verwendet. Eine Kopie kann jedoch bis zu 30 Tage für Sicherheitszwecke aufbewahrt werden. Bei externen Aktionen gelten zusätzlich die Regeln des Empfängers.
- Berufliche Vertraulichkeit gesondert bewerten: Für Mandantendaten, medizinische Unterlagen, interne Untersuchungen und journalistische Quellen müssen geeignete Vertrags-, Berechtigungs- und Sicherheitsbedingungen vorliegen. Ein privates Bezahlabo allein beantwortet diese Fragen nicht.
- Auskunft und Rechtsschutz nutzen: Betroffene können unter den Voraussetzungen der DSGVO Auskunft unter anderem über verarbeitete Daten und Empfänger verlangen. Bei einem vermuteten Verstoß ist eine Beschwerde bei der österreichischen Datenschutzbehörde möglich; diese bietet auch ein Onlineformular an.
Bewertung von PresseTeam Austria
Die Vorstellung eines vollständig abgeschlossenen Gesprächs zwischen Mensch und Maschine ist bei einem cloudbasierten KI-Dienst keine belastbare Vertraulichkeitszusage. Wer sensible Informationen übermittelt, muss wissen können, welche Stellen sie verarbeiten und wann Menschen darauf zugreifen dürfen.
Ebenso erforderlich ist eine sachliche Berichterstattung: Eine technische Kennung ist kein vollständiger Chat. Eine mögliche Einsicht ist kein Beweis für tatsächliches menschliches Lesen. Und ein Befund aus einer bestimmten Testphase beschreibt nicht automatisch den aktuellen Zustand jedes Kontos.
PresseTeam Austria sieht deshalb einen klaren Handlungsbedarf bei Transparenz, sicheren Voreinstellungen und nachvollziehbaren Zugriffsbeschränkungen. Belegt sind unterschiedliche Zugriffs- und Übermittlungswege. Nicht belegt ist ein universelles Mitlesen aller privaten KI-Gespräche.
Quellenstand und Grenzen der Prüfung
Der Pressetext ist eigenständig formuliert. Er beruht auf einer Prüfung veröffentlichter Forschung, aktueller Anbieterinformationen und einschlägiger Rechtsquellen. Es wurden keine eigenen Netzwerkmessungen, Zugriffsversuche auf Nutzerkonten oder Interviews mit Anbietern durchgeführt. Anbietererklärungen werden als solche wiedergegeben. Die Studienbefunde beziehen sich auf die untersuchten Konfigurationen im Mai 2026.
Weiterlesen: Was diese Prüfung nicht belegt
Keine eigenen Netzwerkmessungen, keine Einsicht in fremde Konten und keine pauschale Feststellung der Rechtswidrigkeit.
- Keine aktuelle technische Wiederholungsmessung der im Mai 2026 untersuchten Konfigurationen.
- Keine Gleichsetzung von Drittanbieter-Verbindung, Inhaltsübermittlung und menschlichem Lesen.
- Keine Identifizierung konkreter Personen hinter Kontrolllink-Abrufen.
- Keine Übertragung der Ergebnisse auf nicht geprüfte Unternehmensangebote.
- Keine pauschale gerichtliche oder behördliche Feststellung der Rechtswidrigkeit aller beobachteten Datenflüsse.
- Die Antwort eines Chatbots auf die Frage, wer mitlesen kann, ist kein Ersatz für Anbieterunterlagen oder technische Prüfung.
Quellen
- Ausgangspunkt der Recherche: Mimikama, „Wer kann deine KI-Gespräche mitlesen? Neue Studie untersucht neun Chatbots“, veröffentlicht am 10. Oktober 2026. Der Beitrag wurde als Rechercheanlass gelesen; die tragenden technischen Aussagen wurden mit dem Originalmanuskript abgeglichen.
Abruf: 2026-10-11 - Wissenschaftliche Primärquelle: Guilherme Oliveira et al., „Prompt like a Butterfly, Sting like a Tracker: A Privacy Analysis of Web and Mobile Conversational AI Agents“, zugängliches 18-seitiges Manuskript. Einschlägig: Methodik § 4; Datenflüsse Tabelle 4 auf Seite 8; Zugangskontrollen Tabelle 6 und Kontrolllinks § 6.5 auf Seite 10; Grenzen § 8.1 auf Seite 12. Lizenzhinweis im Manuskript: CC BY 4.0. Die PDF enthält Platzhalter für Jahrgang und DOI; diese werden nicht als endgültige Publikationsangaben übernommen.
Abruf: 2026-10-11 - Institutionelle Einordnung: IMDEA Networks, Publikationsverzeichnis der Internet Analytics Group. Listet die Arbeit für das Privacy Enhancing Technologies Symposium, Delft, Juli 2027.
Abruf: 2026-10-11 - Erläuterung eines Mitautors: Jorge García Herrero, „ChatGPT, Claude y estas otras IAs comparten datos de tus chats con terceros“. Ergänzende Einordnung zu Grok, öffentlich erreichbaren Links, Bildschirmdarstellungen, Cookie-Ablehnung, Bezahlangeboten und behauptetem Annahmestatus. Die pauschale Rechtswidrigkeitsbewertung des Autors wird nicht als behördlich festgestelltes Ergebnis übernommen.
Abruf: 2026-10-11 - Technische Erläuterung des Mitautors aus der früheren Recherchephase: „Tu IA favorita filtra datos de tus conversaciones a Google y Meta“. Erläutert Kennungen, Gesprächslinks und serverseitige Weitergabe. Frühere anbieterspezifische Befunde werden nur verwendet, soweit sie mit der späteren Studie vereinbar sind.
Abruf: 2026-10-11 - OpenAI – Verbraucherdaten: „How OpenAI handles data in consumer services“. Belegt die Anbieterangaben über autorisierten menschlichen Zugriff, Dienstleister, Zugangskontrollen und die erklärte Nichtweitergabe von Gesprächsinhalten an Werbetreibende.
Abruf: 2026-10-11 - OpenAI – Cookies: „Cookie policy“. Führt Datadog und den Cookie _dd_s unter „Error reporting“ an.
Abruf: 2026-10-11 - OpenAI – Freigaben: „Sharing conversations and scheduled tasks in ChatGPT“. Unterscheidet persönliche Konten und verwaltete Arbeitsbereiche; erläutert Zugriff, Vorschau, Widerruf und gespeicherte Kopien.
Abruf: 2026-10-11 - OpenAI – Datenkontrollen: „Data controls in ChatGPT“. Erläutert den Trainings-Opt-out und die gesonderte Verwendung freiwilligen Feedbacks.
Abruf: 2026-10-11 - OpenAI – Temporäre Chats: „Temporary chat in ChatGPT“. Erläutert Trainingsausschluss während des temporären Zustands, mögliche Sicherheitsaufbewahrung und Datenweitergabe durch externe Aktionen.
Abruf: 2026-10-11 - Google – Gemini: „Privacy Hub für Gemini-Apps“. Beschreibt menschliche Prüfung einschließlich Dienstleistern und Aufbewahrung geprüfter Chats.
Abruf: 2026-10-11 - Anthropic – Claude: „How does Anthropic protect the personal data of Claude users?“, Datumsangabe 16. März 2026. Beschreibt Verbraucherprodukte, beschränkten Zugriff und Sicherheitsvorkehrungen.
Abruf: 2026-10-11 - Grok – Betreiberangaben: Consumer FAQs. Beschreibt menschliche Prüfung, öffentliche Freigabelinks und Widerruf. Diese Angaben sind keine unabhängige aktuelle Überprüfung der in der Studie untersuchten Standard-Gesprächslinks.
Abruf: 2026-10-11 - DSGVO: Verordnung (EU) 2016/679. Einschlägig insbesondere Artikel 3, 5, 6, 9, 13, 15, 25, 28, 32, 44 ff. und 77.
Abruf: 2026-10-11 - Österreichisches Telekommunikationsrecht: § 165 Absatz 3 TKG 2021, RIS. Der zitierte Normtext enthält die Einwilligungsregel und die Ausnahmen für Übertragungszwecke beziehungsweise unbedingt erforderliche Funktionen.
Abruf: 2026-10-11 - ePrivacy-Grundlage: Richtlinie 2002/58/EG, Artikel 5 Absatz 3. Amtlicher konsolidierter Richtlinientext: Einwilligung und Ausnahmen für die Speicherung von Informationen oder den Zugriff auf Endgeräte. Der ergänzend in der Textvorlage genannte Planet49-Urteilslink war beim Abruf nicht auswertbar; auf ihn wird keine zusätzliche Aussage gestützt.
Abruf: 2026-10-11 - Österreichische Datenschutzbehörde: Offizielle Information zum Beschwerdeverfahren einschließlich Onlineformular. sterreichische Datenschutzbehörde: Offizielle Information zum Beschwerdeverfahren einschließlich Onlineformular.
Abruf: 2026-10-11
Noch keine veröffentlichten Kommentare. Schreiben Sie den ersten Kommentar.