Geteilte KI-Chats sind öffentliche Webseiten — prüfen Sie Ihre noch heute

Die virale Entdeckung dieser Woche: ein stark hochgevoteter Reddit-Post, auf X breit verstärkt, der zeigt, dass geteilte Claude-Unterhaltungen in öffentlichen Suchergebnissen aufgetaucht sind — geteilte Artefakte ebenso. Es folgen Überraschung, Empörung und der vertraute Einwand aus der technischen Ecke: Das ist beabsichtigtes Verhalten; wer einen Chat teilt, macht ihn öffentlich; da gibt es nichts zu patchen.

Beide Seiten haben recht, und genau das ist das Problem. Die Mechanik funktioniert wie entworfen — und das Design wird von den Menschen, die es nutzen, weithin missverstanden. Wir betreiben KI-Operations und Sicherheitsaudits für Unternehmen, deshalb interessiert uns der Empörungszyklus weniger als die operative Frage: Wie viel interner Kontext Ihres Unternehmens liegt in diesem Moment auf öffentlichen URLs, und wer wird das prüfen?

Was der Teilen-Button tatsächlich tut

Wenn Sie in Claude, ChatGPT oder den meisten KI-Tools bei einem Chat auf „Teilen“ klicken, erzeugen Sie keine private Übergabe an einen Kollegen. Sie erzeugen eine nicht authentifizierte öffentliche Webseite: Jeder mit der URL kann sie öffnen, und — sofern die Plattform es nicht aktiv verhindert — Suchmaschinen können sie wie jede andere Seite crawlen und indexieren. „Jeder mit dem Link“ und „öffentlich“ sind im offenen Web operativ dasselbe: Links lecken. Sie werden in Tickets und Wikis eingefügt, per E-Mail weitergeleitet, von Link-Vorschau-Bots aufgelöst und von Zwischenstellen protokolliert.

Drei Eigenschaften machen das schlimmer, als es sich die meisten vorstellen:

• Es ist nicht neu, und es betrifft nicht nur einen Anbieter. Varianten dieser Geschichte wiederholen sich seit Jahren über KI-Plattformen hinweg — geteilte Chats tauchen in der Suche auf, werden indexiert, per Screenshot festgehalten. Das Muster überlebt, weil das mentale Modell („das ist nur ein Link für meinen Teamkollegen“) immer wieder nicht zur Mechanik passt („das ist eine Seite im öffentlichen Web“).
• Die Bereinigung ist unvollständig. In der aktuellen Episode scheinen einige Seiten aus den Suchergebnissen zu verschwinden — aber plattformseitiges De-Indexieren ist nicht die Lösung. Die Seite selbst bleibt online, bis Sie die Freigabe aufheben, und Such-Caches wie Archiv-Crawler können beides überdauern.
• Chats sind schlimmer als Dokumente. Ein geleaktes Dokument legt offen, was drinsteht. Eine geleakte KI-Unterhaltung legt offen, wie Sie denken: die eigentliche Frage hinter dem bereinigten Foliensatz, den zum Kontext eingefügten Kundennamen, die zum Debuggen hineingekippte Konfigurationsdatei, die Verhandlungsstrategie, die Sie verbessern lassen wollten.

Die Exponierung für Unternehmen, konkret

In Audits und Incident-Arbeit sehen wir, was tatsächlich in Arbeits-Chats mit KI-Assistenten landet: Produktionskonfigurationen und Connection Strings, Kunden-PII, „nur für diese eine Zusammenfassung“ eingefügt, unveröffentlichte Finanzzahlen, Quellcode, Incident-Details, juristische Entwürfe. Legen Sie das nun über die Teilen-Mechanik:

• Datenschutz: Waren personenbezogene Daten in einem geteilten Chat, der öffentlich zugänglich wurde, haben Sie womöglich eine meldepflichtige Datenpanne nach DSGVO vor sich — mit der unangenehmen Eigenschaft, dass Sie nicht wissen, wer darauf zugegriffen hat.
• Credential-Leck: Ein auf einer öffentlichen URL eingefügter API-Key oder Connection String ist funktional dasselbe wie ein Commit in ein öffentliches Repo — unser Playbook zur AWS-Account-Kompromittierung dokumentiert, wo diese Geschichte endet.
• Kein Inventar: Die meisten Unternehmen haben keine Ahnung, welche Mitarbeitenden was geteilt haben. Share-Links sind die Lehrbuchdefinition von Schatten-IT: mit einem Klick erstellt, von niemandem nachverfolgt.

Das Audit für denselben Tag (vor dem Richtlinien-Meeting erledigen)

• 1. Suchen Sie nach sich selbst. Fragen Sie Suchmaschinen nach Ihrem Firmennamen, Produktnamen und Domains in Kombination mit den Share-URL-Mustern der großen KI-Plattformen ab (site:-Abfragen gegen die Share-Pfade der Plattformen). Zehn Minuten, gelegentlich erschreckend.
• 2. Bitten Sie Mitarbeitende, ihre Freigabelisten durchzusehen. Claude und ChatGPT haben beide in den Einstellungen eine Verwaltungsseite für „geteilte Links“. Alles, was nicht öffentlich sein muss: Freigabe aufheben. Sensibel und bereits indexiert: zusätzlich einen Entfernungsantrag für die URL bei der Suchmaschine stellen.
• 3. Behandeln Sie exponierte Secrets als geleakt. Alles, was wie ein Credential aussieht und je in einem geteilten Chat stand, wird rotiert — die gecachte Kopie, die Sie nicht sehen können, ist die, auf die es ankommt.
• 4. Klären Sie die Exponierung personenbezogener Daten mit der Rechtsabteilung. Waren personenbezogene Daten von Kunden oder Mitarbeitenden auf einer öffentlichen Share-URL, bewerten Sie Meldepflichten jetzt — nicht nach dem nächsten viralen Thread.

Die dauerhafte Lösung: Richtlinie plus Perimeter

Die nachhaltige Antwort lautet nicht „nie teilen“ — Share-Seiten sind wirklich nützlich. Sie lautet: die Veröffentlichungssemantik explizit machen und sensible Arbeit hinter eine Grenze verlegen:

• Richtlinie: ein Satz in Ihrer KI-Nutzungsrichtlinie — „Share-Links sind öffentliche Seiten; teilen Sie nur, was Sie auch auf den Unternehmensblog stellen würden“ — plus die stehende Regel, dass Credentials und personenbezogene Daten überhaupt nicht in Prompts gehören, geteilt oder nicht.
• Enterprise-Kontrollen: Die Business-Stufen der großen Assistenten bieten Admin-Sichtbarkeit und Freigabekontrollen; wenn Ihre Teams KI täglich nutzen (und das tun sie), wollen Sie die Stufe, in der ein Admin Share-Links sehen und widerrufen kann.
• Perimeter für sensible Workloads: Für KI-Arbeit auf Produktionsdaten betreiben Sie Modelle innerhalb Ihrer eigenen Cloud-Grenze — Setups nach Art von Amazon Bedrock, in denen der Traffic in Ihrem Account bleibt, unter Ihrem IAM und Logging, ohne öffentliche Teilen-Mechanik, die man missbrauchen könnte. Genau dieses Perimeter-Design bauen wir in unseren Managed AI Operations, und das Sicherheitsaudit prüft die umgebenden Kontrollen.

Häufige Fragen

Sind geteilte Claude- oder ChatGPT-Unterhaltungen wirklich öffentlich?
Ja — ein Share-Link erzeugt eine nicht authentifizierte öffentliche Seite. Ob sie in Suchergebnissen auftaucht, variiert je nach Plattform und Zeitpunkt, aber die öffentliche Zugänglichkeit ist das Design, kein Bug.

Entfernt das Löschen des Chats die geteilte Seite?
Erst das Aufheben der Freigabe (Löschen des Share-Links) nimmt die Seite vom Netz. Suchmaschinen-Caches und Archive können danach fortbestehen — stellen Sie Entfernungsanträge für alles Sensible, das indexiert wurde.

Ist das eine Datenpanne nach DSGVO?
Waren personenbezogene Daten auf einer öffentlichen URL zugänglich, kann es sich um eine handeln — klären Sie das mit der Rechtsabteilung. Das Unangenehme ist der Nachweis, wer worauf zugegriffen hat, und genau deshalb schlägt Prävention (keine personenbezogenen Daten in Prompts) die Reaktion.

Wie verhindern Unternehmen das, ohne KI-Tools zu verbieten?
Drei Ebenen: eine explizite „Teilen = Veröffentlichen“-Richtlinie, Enterprise-Stufen mit admin-kontrollierter Freigabe und ein privater Perimeter (z. B. Bedrock im eigenen AWS-Account) für alles, was Produktions- oder Kundendaten berührt.

Fazit

Der Teilen-Button ist ein Veröffentlichen-Button — das war er immer. Der virale Zyklus geht vorbei, einige Seiten werden de-indexiert, und in ein paar Monaten liefert eine andere Plattform dieselbe Schlagzeile. Die Unternehmen, die darin nicht vorkommen, sind die, die diese Woche ihre Share-Links geprüft, die Ein-Satz-Richtlinie geschrieben und sensible KI-Arbeit hinter einen echten Perimeter verlegt haben.

Möchten Sie Ihre KI-Nutzungsoberfläche gründlich prüfen lassen? Unser Sicherheitsaudit (Festpreis €8.000) deckt Datenexpositionspfade einschließlich KI-Tooling ab, und wir entwerfen und betreiben private KI-Perimeter — Bedrock in Ihrem eigenen Account — als Teil unserer Managed Services. Starten Sie das Gespräch.