Claude AI-Chats in der Google-Suche

Rubrik: Technologie & KI
Format: Spezialbericht
Autor: Sinisa Brkic (sb)

Claude-Chats bei Google: Was Nutzer über geteilte Gespräche wissen müssen. Geteilte Claude-Chats erschienen in Suchmaschinen. Der Spezialbericht erklärt Ursache, Datenschutzrisiken, Verantwortung und notwendige Schritte für Nutzer.

Geteilte Unterhaltungen mit Anthropics KI-System Claude waren über Suchmaschinen auffindbar. Betroffen waren nach bisherigem Kenntnisstand keine gewöhnlichen privaten Chats, sondern Gespräche, für die Nutzer zuvor einen öffentlich erreichbaren Freigabelink erstellt hatten. Der Vorfall legt dennoch ein grundlegendes Problem offen: Zwischen „jeder mit dem Link“ und „in der öffentlichen Suche auffindbar“ liegt für Nutzer ein erheblicher Unterschied, den Plattformen technisch und sprachlich absichern

Kein Hack, aber ein realer Kontrollverlust

Der Vorfall war nach dem derzeitigen Stand kein Einbruch in die Systeme von Anthropic. Es gibt keine belastbaren Hinweise darauf, dass Angreifer auf private Nutzerkonten oder auf die Gesamtheit der bei Claude gespeicherten Gespräche zugegriffen hätten. Öffentlich sichtbar wurden Unterhaltungen, deren Nutzer selbst eine Freigabefunktion aktiviert und damit eine über das Internet erreichbare Adresse erzeugt hatten.

Diese Abgrenzung ist wichtig, darf aber nicht zur Verharmlosung führen. Eine Unterhaltung muss nicht aus einer Datenbank gestohlen werden, um ihre Vertraulichkeit zu verlieren. Sobald ein sensibler Chat über eine Suchmaschine gefunden, kopiert oder weiterverbreitet werden kann, ist der Kontrollverlust für Betroffene praktisch derselbe.

Internationale Medien dokumentierten mehrere öffentlich auffindbare Claude-Seiten. Darunter befanden sich nach ihren Prüfungen persönliche Gespräche, berufliche Informationen, Bewerbungsunterlagen, interne Arbeitsinhalte und weitere sensible Angaben. Wie viele Unterhaltungen insgesamt indexiert wurden, über welchen Zeitraum sie auffindbar waren und wie viele Personen tatsächlich betroffen sind, ist weiterhin nicht abschließend geklärt.

Die entscheidende Grenze lag im Freigabelink

Claude-Unterhaltungen sind grundsätzlich privat. Erst durch die Teilen-Funktion entsteht ein Schnappschuss des bisherigen Gesprächs, der von jeder Person geöffnet werden kann, die über den entsprechenden Link verfügt. Nachrichten, die nach der Freigabe hinzukommen, werden nicht automatisch Teil dieses Schnappschusses.

Für viele Nutzer dürfte genau hier das Missverständnis entstanden sein. Die Formulierung „jeder mit dem Link“ wird im Alltag häufig wie eine begrenzte Weitergabe verstanden, ähnlich einem Dokument, das an Kollegen oder Familienmitglieder geschickt wird. Technisch handelt es sich jedoch um eine öffentlich erreichbare Webseite, sofern weder eine Anmeldung noch ein Passwort oder eine andere Zugangskontrolle verlangt wird.

Ein schwer zu erratender Link ist kein Zugriffsschutz. Er reduziert lediglich die Wahrscheinlichkeit, dass jemand die Adresse zufällig eingibt. Wird der Link auf einer Webseite, in einem Forum, in sozialen Netzwerken, in einem öffentlichen Dokument oder durch andere technische Wege bekannt, können Suchmaschinen und Archivdienste auf ihn aufmerksam werden.

Warum robots.txt nicht genügte

Anthropic hatte Suchmaschinen über die Datei robots.txt angewiesen, bestimmte Claude-Freigabeseiten nicht zu durchsuchen. Diese Methode steuert in erster Linie, welche Bereiche einer Webseite ein Suchmaschinenprogramm abrufen soll. Sie ist jedoch kein verlässlicher Schutz davor, dass eine bereits bekannte Internetadresse trotzdem in einem Suchindex erscheint.

Suchmaschinen können eine Adresse auch dann kennen, wenn sie den eigentlichen Seiteninhalt nicht vollständig durchsuchen dürfen. Dazu reicht unter Umständen bereits ein externer Verweis. Der Suchtreffer kann dann mit eingeschränkten Informationen oder ohne aussagekräftige Beschreibung erscheinen, bleibt aber anklickbar.

Für einen wirksameren Ausschluss aus Suchergebnissen wird üblicherweise eine zusätzliche noindex-Anweisung auf der jeweiligen Seite verwendet. Bei den von Medien überprüften Claude-Freigabeseiten soll eine solche Kennzeichnung zum Zeitpunkt der Prüfung gefehlt haben. Genau diese Kombination aus öffentlicher Erreichbarkeit, fehlender Zugriffsbeschränkung und unvollständiger Indexierungskontrolle machte aus einer Komfortfunktion ein Datenschutzrisiko.

Besonders problematisch ist der Widerspruch zwischen der erkennbaren Nutzererwartung und der technischen Realität. Wer einen Gesprächslink gezielt an eine einzelne Person sendet, erwartet nicht automatisch, dass derselbe Inhalt später über eine Namenssuche oder eine gezielte Suchabfrage auffindbar wird. Eine Plattform, die Freigabelinks für potenziell sensible Kommunikation anbietet, muss diesen Unterschied berücksichtigen.

Betroffen war der sichtbare Gesprächsstand

Nach den offiziellen Erläuterungen von Anthropic enthält ein geteilter Chat sämtliche Nachrichten, die bis zum Zeitpunkt der Freigabe Teil der Unterhaltung waren. Dazu gehören sowohl die Eingaben des Nutzers als auch die Antworten von Claude und darin eingebettete Artefakte. Erst später hinzugefügte Nachrichten bleiben privat, solange die Freigabe nicht aktualisiert wird.

Hochgeladene Dateien werden bei gewöhnlichen Chatfreigaben laut Anthropic nicht als eigenständige Dateien weitergegeben. Das schützt jedoch nicht jene Informationen, die aus einem Dokument bereits in der Unterhaltung zitiert, zusammengefasst oder verarbeitet wurden. Stehen Namen, Diagnosen, Vertragsinhalte, Geschäftszahlen oder andere vertrauliche Angaben im sichtbaren Gesprächsverlauf, können sie Teil des veröffentlichten Schnappschusses sein.

Für Nutzer von Team- und Enterprise-Angeboten gelten restriktivere Freigabemöglichkeiten innerhalb der jeweiligen Organisation. Der aktuelle Vorfall betrifft nach der verfügbaren Quellenlage vor allem öffentlich erreichbare Freigaben und veröffentlichte Inhalte aus den für Einzelpersonen angebotenen Claude-Versionen. Eine vollständige technische und mengenmäßige Aufschlüsselung hat Anthropic bislang nicht öffentlich vorgelegt.

Warum die Verantwortung nicht beim Nutzerklick endet

Nutzer haben die Freigabefunktion selbst aktiviert. Wer einen öffentlich erreichbaren Link erzeugt und diesen anschließend auf einer frei zugänglichen Seite veröffentlicht, trägt einen Teil der Verantwortung für die entstandene Sichtbarkeit. Diese Feststellung beantwortet jedoch nicht die entscheidende Frage, ob die mögliche Reichweite der Freigabe verständlich und unmissverständlich erklärt wurde.

Eine Schaltfläche mit der Bezeichnung „Teilen“ wird von Menschen nach ihrem üblichen digitalen Erfahrungswissen interpretiert. Viele Dienste verwenden ähnliche Links für eine gezielte Weitergabe, ohne dass die Inhalte deshalb über Suchmaschinen auffindbar sind. Plattformanbieter wissen um diese Erwartung und müssen ihre technischen Schutzvorkehrungen entsprechend gestalten.

Anthropic erklärte, keine Verzeichnisse oder Sitemaps geteilter Chats an Suchmaschinen zu übermitteln. Das ist relevant, reicht als Schutzargument aber nicht aus. Auch ohne ein aktiv bereitgestelltes Verzeichnis können öffentliche Internetadressen durch externe Links, automatisierte Systeme oder Weiterverbreitung entdeckt werden.

Die Verantwortung verteilt sich deshalb auf mehrere Ebenen. Nutzer müssen vertrauliche Inhalte sorgfältig behandeln und öffentliche Freigaben vermeiden. Anthropic muss eine Funktion, die sensible Kommunikation veröffentlicht, technisch absichern und ihre Konsequenzen klar erklären. Suchmaschinen wiederum müssen vorhandene Ausschlussanweisungen korrekt umsetzen, können aber nicht erraten, welche frei zugängliche Seite vom Betreiber eigentlich als vertraulich gedacht war.

Die DSGVO fragt nicht nach einem klassischen Hackerangriff

Aus europäischer Perspektive ist entscheidend, ob personenbezogene Daten unbefugt offengelegt oder zugänglich wurden. Eine Datenschutzverletzung setzt nicht zwingend einen externen Angriff voraus. Auch eine Fehlkonfiguration, eine irrtümliche Veröffentlichung oder eine unzureichend geschützte Freigabefunktion kann eine Verletzung der Vertraulichkeit darstellen.

Ob im konkreten Fall eine meldepflichtige Datenschutzverletzung vorliegt, hängt von Inhalt, Verantwortlichkeit und Risiko ab. Unternehmen, Behörden, Vereine oder andere Organisationen müssen prüfen, ob Mitarbeiter über geteilte Claude-Chats personenbezogene Daten von Kunden, Patienten, Beschäftigten oder Geschäftspartnern veröffentlicht haben. Entscheidend ist nicht nur, wer den Freigabelink erzeugt hat, sondern wer für die betreffende Datenverarbeitung datenschutzrechtlich verantwortlich ist.

Besteht voraussichtlich ein Risiko für die Rechte und Freiheiten betroffener Personen, sieht die Datenschutz-Grundverordnung eine Meldung an die zuständige Aufsichtsbehörde grundsätzlich innerhalb von 72 Stunden nach Bekanntwerden vor. Bei einem hohen Risiko können zusätzlich die betroffenen Personen zu informieren sein. Gesundheitsdaten, Zugangsdaten, finanzielle Informationen, private Adressen und umfangreiche berufliche Profile erhöhen die Dringlichkeit einer solchen Prüfung erheblich.

Für Privatpersonen bedeutet dies nicht automatisch, dass jede versehentliche Chatfreigabe ein formelles Verfahren auslöst. Unternehmen sollten einen entsprechenden Fund jedoch nicht als bloßes Bedienungsproblem behandeln. Sobald betriebliche oder personenbezogene Daten betroffen sind, gehören Datenschutzbeauftragte, Informationssicherheit und gegebenenfalls die Rechtsabteilung unverzüglich in die Bewertung.

So prüfen Claude-Nutzer ihre Freigaben

Claude bietet eine zentrale Übersicht über zuvor geteilte Unterhaltungen. Nutzer der Angebote Free, Pro und Max können in den Einstellungen den Bereich „Privacy“ öffnen und dort unter „Shared chats“ die Verwaltungsansicht aufrufen. Diese Übersicht zeigt nach Angaben von Anthropic den Titel, das Freigabedatum und den jeweiligen Link.

Jeder nicht mehr benötigte Freigabelink sollte deaktiviert werden. Dazu lässt sich die Sichtbarkeit des betroffenen Chats von öffentlich auf privat zurücksetzen oder der Eintrag direkt in der Übersicht aufheben. Nutzer sollten sich nicht auf ihre Erinnerung verlassen, sondern sämtliche aufgeführten Freigaben einzeln prüfen.

Anschließend empfiehlt sich eine gezielte Suche nach eigenen Daten. Sinnvoll sind Kombinationen aus dem eigenen Namen, der E-Mail-Adresse, einer Telefonnummer, einem Firmennamen oder einer markanten Formulierung aus dem betreffenden Gespräch. Dabei sollten ausschließlich die eigenen Inhalte geprüft werden, nicht fremde Claude-Chats, deren erneuter Aufruf oder Weitergabe den Schaden vergrößern könnte.

Auch veröffentlichte Claude-Artefakte verdienen eine gesonderte Kontrolle. Solche Inhalte können Dokumente, Anwendungen, Tabellen oder Visualisierungen enthalten und werden bei Verbraucherangeboten ausdrücklich öffentlich bereitgestellt. Wer Claude beruflich nutzt, sollte deshalb nicht nur die Liste geteilter Chats, sondern auch veröffentlichte Artefakte und sonstige öffentliche Inhalte überprüfen.

Wenn vertrauliche Daten sichtbar waren

Das bloße Deaktivieren des Links ist nur der erste Schritt. Enthielt die Unterhaltung Passwörter, Zugangsschlüssel, Wiederherstellungscodes, Programmierschlüssel oder andere Authentifizierungsdaten, müssen diese als kompromittiert gelten und sofort ersetzt werden. Bei Bank-, Zahlungs- oder Identitätsdaten können zusätzliche Schutzmaßnahmen und eine Information der jeweils zuständigen Stelle erforderlich sein.

Bei geschäftlichen Inhalten sollte der Vorfall dokumentiert werden. Dazu gehören der betroffene Link, der Zeitpunkt der Entdeckung, die Art der sichtbaren Daten, mögliche Suchtreffer und bereits eingeleitete Maßnahmen. Beweissicherung bedeutet dabei nicht, sensible Inhalte unnötig zu vervielfältigen, sondern den Vorfall so knapp und geschützt festzuhalten, dass eine rechtliche und technische Bewertung möglich bleibt.

Sind Daten anderer Personen betroffen, sollten diese nicht eigenmächtig über ungesicherte Kanäle weitergeschickt werden. Verantwortliche Stellen müssen zunächst klären, welche Personen identifizierbar waren, welche Risiken bestehen und welche Benachrichtigung erforderlich ist. Gerade bei Gesundheitsdaten, Beschäftigtendaten oder vertraulichen Mandatsinformationen können vorschnelle und unkoordinierte Mitteilungen zusätzlichen Schaden verursachen.

Löschen ist kein sofortiger Radiergummi

Wird eine Claude-Freigabe aufgehoben, ist der ursprüngliche Link nicht mehr regulär erreichbar. Ein Suchmaschineneintrag verschwindet dadurch jedoch nicht zwingend im selben Moment. Suchdienste müssen die Änderung zunächst erkennen oder auf einen Löschantrag reagieren.

Die Entfernung an der Quelle bleibt trotzdem der wichtigste Schritt. Solange eine Seite weiterhin öffentlich abrufbar ist, kann sie auch nach einer Ausblendung aus einzelnen Suchergebnissen direkt besucht, erneut verlinkt oder von anderen Diensten erfasst werden. Erst danach sollten Nutzer gegebenenfalls die Entfernung veralteter Suchtreffer bei Google, Bing und weiteren betroffenen Suchdiensten beantragen.

Vollständige Rückholung lässt sich nicht garantieren. Screenshots, lokale Kopien, weitergeleitete Links und Inhalte in externen Archiven können erhalten bleiben. Je sensibler die offengelegten Daten waren, desto weniger darf sich die Reaktion auf das Löschen des ursprünglichen Chats beschränken.

Claude ist kein Sonderfall

Das Grundproblem betrifft nicht nur Anthropic. Auch ChatGPT und Gemini ermöglichen das Erstellen von Links, über die Unterhaltungen außerhalb des ursprünglichen Kontos angesehen werden können. OpenAI weist darauf hin, dass jeder mit einem ChatGPT-Freigabelink den verknüpften Inhalt aufrufen und den Link weitergeben kann.

Google bezeichnet geteilte Gemini-Unterhaltungen ausdrücklich als öffentliche Links. Jeder, der einen solchen Link erhält oder anderweitig findet, kann den Chat lesen und erneut teilen. Je nach Funktion können Empfänger eine geteilte Unterhaltung außerdem in ihrem eigenen Konto fortsetzen, wodurch zusätzliche Kopien entstehen.

Bei Grok war bis zum Redaktionsschluss kein in Umfang und Ursache vergleichbarer aktueller Indexierungsvorfall belastbar dokumentiert. X und xAI warnen Nutzer jedoch grundsätzlich davor, persönliche, sensible oder vertrauliche Informationen in Gespräche mit Grok einzugeben. Die Sicherheitsregel bleibt daher über alle Anbieter hinweg gleich: Ein Freigabelink ist keine vertrauliche Kommunikationsform.

Die Unterschiede liegen vor allem in der Klarheit der Warnungen, den verfügbaren Verwaltungsfunktionen und der technischen Behandlung öffentlicher Seiten. Nutzer sollten bei jedem KI-Dienst prüfen können, welche Links sie erstellt haben, wer darauf zugreifen kann, ob eine Anmeldung erforderlich ist und wie die Freigabe vollständig widerrufen wird.

Was Anbieter jetzt ändern müssen

Öffentlich geteilte KI-Unterhaltungen benötigen standardmäßig einen eindeutigen Ausschluss aus Suchmaschinen. Zusätzlich sollten Plattformen die öffentliche Erreichbarkeit nicht hinter einer allgemein gehaltenen Teilen-Schaltfläche verbergen. Vor der Veröffentlichung sensibler Gesprächsverläufe braucht es eine klare Warnung, die Suchmaschinen, Archive und unkontrollierte Weitergabe ausdrücklich nennt.

Sinnvoll wären zeitlich begrenzte Links, optionale Passwörter, Zugriff nur für eingeladene Konten und eine zentrale Übersicht über alle externen Freigaben. Unternehmen benötigen darüber hinaus administrierbare Richtlinien, mit denen öffentliche Freigaben vollständig deaktiviert oder auf bestimmte Nutzergruppen beschränkt werden können. Ein Freigabelink ohne Ablaufdatum und ohne Zugriffskontrolle passt nicht zu Systemen, die für medizinische, juristische, wissenschaftliche und betriebliche Aufgaben beworben werden.

Auch die Benutzeroberfläche muss präziser werden. „Öffentlich im Internet“ ist eine andere Information als „jeder mit dem Link“. Anbieter, die diesen Unterschied verwischen, übertragen das technische Risiko auf Nutzer, obwohl diese die Architektur und das Indexierungsverhalten der Plattform nicht beurteilen können.

Die neue Vertraulichkeitsregel für KI

KI-Chats werden zunehmend wie private Arbeitsräume genutzt. Menschen besprechen dort Krankheiten, Verträge, Bewerbungen, Unternehmensstrategien und persönliche Konflikte. Die technische Oberfläche vermittelt Nähe und Abgeschlossenheit, obwohl im Hintergrund Cloudspeicher, Freigabelinks, Suchmaschinen und externe Dienste beteiligt sein können.

Der Claude-Vorfall zeigt deshalb mehr als eine fehlerhafte Indexierungskontrolle. Er zeigt, wie schnell eine scheinbar begrenzte Weitergabe zur öffentlichen Veröffentlichung werden kann, wenn Produktgestaltung, Nutzererwartung und Webtechnik nicht zusammenpassen. Verantwortung beginnt beim sorgfältigen Nutzer, endet aber nicht dort.

Für vertrauliche Inhalte gilt künftig eine einfache Regel: Was als öffentlicher Link erzeugt werden kann, muss wie eine mögliche Veröffentlichung behandelt werden. Plattformen wiederum müssen dafür sorgen, dass Nutzer diese Tragweite nicht erst verstehen, nachdem ihre Gespräche in einer Suchmaschine erschienen sind.