Im Juli 2026 wurde bekannt, dass geteilte Konversationen mit Anthropic Claude über Google auffindbar waren. Es ging nicht um einen klassischen Einbruch in Nutzerkonten. Betroffen waren Chats, die über Claudes Teilen-Funktion freigegeben worden waren. Diese Funktion erzeugt einen öffentlichen Link zu einem Schnappschuss der Unterhaltung oder zu sogenannten Artifacts, also von Claude erstellten Inhalten wie Dokumenten, kleinen Apps oder interaktiven Seiten.
Das Datenschutz- und Sicherheitsrisiko liegt genau in dieser Zwischenzone. Für viele Nutzer fühlt sich ein geteilter KI-Chat wie ein halbprivater Link an: Man gibt ihn an Kollegen, Freunde oder in einem Arbeitskontext weiter. Technisch ist er aber öffentlicher Webinhalt, sobald keine Authentifizierung davorliegt und Suchmaschinen ihn erreichen können. In den auffindbaren Gesprächen sollen unter anderem Krypto-Wallet-Schlüssel, Namen, Adressen, interne Arbeitsnotizen, medizinische Berichte, klinische Studiendaten und API-Schlüssel gestanden haben. Damit wird aus einer Komfortfunktion eine Angriffsfläche.
Der Teilen-Button erzeugt eine öffentliche Oberfläche
Anthropic beschreibt Claude-Chats im Normalbetrieb als privat. Das ist wichtig, löst aber nicht das Problem der freigegebenen Inhalte. Wer eine Unterhaltung teilt, erzeugt keinen geschützten Gastzugang, sondern eine öffentlich abrufbare URL. Den Berichten zufolge werden keine Verzeichnisse oder Sitemaps dieser Chat-Seiten an Suchmaschinen übergeben. Auffindbar werden die Links demnach, wenn Nutzer sie selbst weitergeben, etwa auf Webseiten, in Foren, sozialen Netzwerken oder anderen öffentlich crawlbaren Orten.
Wie ein geteilter Claude-Chat auffindbar werden kann
Die Grafik zeigt die Sicherheitskette von der Freigabe eines Claude-Chats bis zur möglichen Auffindbarkeit über eine Suchmaschine.
Für die Sicherheitsbewertung ist das keine Randnotiz. Öffentliche Links sind kein Datenschutzkonzept. Sie reduzieren nur die Wahrscheinlichkeit, dass jemand zufällig auf eine Ressource stößt. Sobald ein Link kopiert, weitergeleitet, eingebettet oder veröffentlicht wird, verliert der ursprüngliche Nutzer die Kontrolle darüber, wer ihn sieht. Bei KI-Chats kommt hinzu, dass Nutzer dort häufig Rohmaterial ablegen: Entwürfe, Verträge, Debugging-Ausgaben, medizinische Beschreibungen, Kundendaten oder Zugangsdaten, die eigentlich nie in eine öffentliche Webumgebung gehören.
robots.txt reicht nicht als Schutzschicht
Ein technischer Kern des Vorfalls ist die Indexierung. Viele der öffentlich geteilten Claude-Seiten enthielten offenbar keine noindex-Metadaten. Eine robots.txt-Datei war vorhanden, sie ersetzt aber keinen Vertraulichkeitsschutz. robots.txt steuert, welche Bereiche eine Suchmaschine crawlen soll oder nicht. noindex ist dagegen das klare Signal, dass eine konkrete Seite nicht in den Suchindex aufgenommen werden soll. Auch noindex ist kein Zugriffsschutz, aber es ist bei öffentlich erreichbaren Teilen-URLs eine naheliegende Mindestmaßnahme.
Der Unterschied ist praktisch relevant. Ein öffentlich erreichbarer Link ohne Authentifizierung kann von jedem geöffnet werden, der ihn besitzt. Wird er zusätzlich indexiert, sinkt die Hürde noch einmal deutlich. Dann reicht eine passende Suchanfrage, um Inhalte zu finden, die nie für ein breites Publikum gedacht waren. Auffindbar waren solche Seiten unter anderem über Suchanfragen wie 'site:claude.ai/share'.
Nach bekanntem Stand hat Anthropic das Indexierungsproblem später behoben oder zumindest Maßnahmen dagegen ergriffen. Das ändert jedoch nicht automatisch den Status bereits geteilter Links. Wenn ein Link weiterhin aktiv ist, bleibt der Inhalt für Personen erreichbar, die ihn gespeichert, weitergeleitet oder anderweitig erhalten haben. Für Betroffene ist deshalb nicht nur entscheidend, ob Google die Seite noch anzeigt. Entscheidend ist, ob der Link selbst widerrufen oder gelöscht wurde.
Betroffen sind vor allem Nutzer mit sensiblen Arbeitsdaten
Das Risiko trifft nicht alle Claude-Nutzer gleich. Wer einen harmlosen Prompt geteilt hat, muss daraus keinen Sicherheitsvorfall machen. Anders sieht es bei Inhalten aus, die Zugangsdaten, personenbezogene Daten oder Geschäftsgeheimnisse enthalten. Ein API-Schlüssel in einem geteilten Chat ist wie ein veröffentlichter Schlüssel in einem Code-Repository zu behandeln: sofort widerrufen, ersetzen, Nutzung prüfen. Das gilt auch für Wallet-Keys oder andere Geheimnisse, bei denen eine nachträgliche Zugriffsbeschränkung nicht ausreicht.
Bei personenbezogenen Daten wird der Fall schwieriger. Namen, Adressen, Gesundheitsinformationen oder klinische Studiendaten lassen sich nicht einfach rotieren. Unternehmen müssen hier prüfen, ob eine meldepflichtige Datenpanne vorliegt, wer Zugriff hatte und welche internen Regeln verletzt wurden. Besonders heikel ist, dass KI-Chats oft als Arbeitsnotiz genutzt werden. Sie enthalten Zwischenstände, unredigierte Kundendaten, Screenshots aus Systemen oder Protokolle, die in klassischen Dokumentenablagen stärker kontrolliert würden.
Die operative Folge: Teilen muss wie Veröffentlichung behandelt werden
Für Nutzer ist die wichtigste Gegenmaßnahme simpel, aber unbequem: Ein geteilter KI-Chat muss wie eine öffentliche Webseite behandelt werden. Wer nicht möchte, dass der Inhalt außerhalb eines kleinen Empfängerkreises auftaucht, sollte ihn nicht über einen öffentlichen Teilen-Link verbreiten. Bereits geteilte Chats sollten überprüft und gelöscht werden, soweit die Plattform das erlaubt. Enthalten sie Schlüssel, Tokens oder Passwörter, müssen diese als kompromittiert behandelt werden. Enthalten sie interne Dokumente, Kundendaten oder Gesundheitsinformationen, reicht das Entfernen aus der Suche nicht als Sicherheitsmaßnahme.
Für Unternehmen folgt daraus eine klare Policy-Frage. KI-Nutzung darf nicht nur beim Prompting geregelt werden, sondern auch bei Export, Teilen und Veröffentlichung. Viele Organisationen haben inzwischen Regeln dafür, welche Daten in KI-Systeme eingegeben werden dürfen. Deutlich seltener ist präzise geregelt, ob Mitarbeiter KI-Gespräche teilen dürfen, wer solche Links auditieren kann und wie lange sie aktiv bleiben. Genau dort entsteht die Lücke zwischen produktiver Nutzung und unkontrollierter Offenlegung.
Plattformanbieter haben ebenfalls konkrete Hebel. Öffentliche Share-Seiten sollten standardmäßig noindex erhalten, solange der Nutzer nicht ausdrücklich eine indexierbare Veröffentlichung auswählt. Zusätzlich helfen klare Warnungen im Teilen-Dialog, Ablaufdaten, Widerrufsfunktionen, Zugriffsbeschränkungen und administrative Kontrollen für Organisationen. Bei besonders sensiblen Umgebungen wäre ein Modell sinnvoll, in dem geteilte Chats nur für authentifizierte Empfänger sichtbar sind. Ein öffentlicher Link ist bequem, aber sicherheitstechnisch die schwächste Variante.
Ein wiederkehrendes Muster bei KI-Chatbots
Der Claude-Fall steht nicht allein. Vergleichbare Indexierungsfälle wurden bereits bei anderen KI-Chatbots wie ChatGPT und Grok bekannt. Das Muster ist ähnlich: Eine Funktion, die für schnelles Teilen gebaut wurde, kollidiert mit der Erwartung, dass KI-Gespräche privat bleiben. Die technische Ursache ist meist nicht besonders exotisch. Öffentliche URL, fehlende oder unzureichende Indexierungsbremse, unklare Nutzerkommunikation, sensible Inhalte im Chat.
Gerade deshalb ist der Vorfall sicherheitsrelevant. Er zeigt keine komplizierte Angriffstechnik, sondern eine alltägliche Fehlannahme. Nutzer verwechseln schwer auffindbar mit privat. Anbieter behandeln geteilte Inhalte wie normale Webobjekte, während viele Anwender sie als Erweiterung ihres privaten Chatverlaufs wahrnehmen. Diese Differenz kann ausreichen, um Schlüssel, Gesundheitsdaten und interne Dokumente in Suchergebnissen auftauchen zu lassen.
Die Lehre ist nüchtern: KI-Chatverläufe sind nicht automatisch dort sicher, wo sie sich privat anfühlen. Sobald eine Teilen-Funktion einen öffentlichen Link erzeugt, verschiebt sich das Risiko. Dann zählen Web-Sicherheitsmechanismen, Indexierungsregeln, Link-Lebenszyklen und klare Warnungen. Ohne diese Schutzschichten wird der bequemste Weg zum Teilen zugleich der einfachste Weg zur Offenlegung.
Jens analysiert seit Jahren digitale Märkte, Preisbewegungen und Plattform-Strategien. Als Betreiber mehrerer datengetriebener Systeme wertet er täglich große Mengen an Produkt- und Trenddaten aus. Sein Fokus liegt auf Einordnung statt Hype: Was bedeutet eine Entwicklung wirklich für Nutzer, Preise und Märkte?
