Dein geteilter KI-Chat ist eine öffentliche Webseite

Hunderte Claude-Unterhaltungen sind diese Woche in Google-Ergebnissen aufgetaucht: Krankenakten, Lebensläufe, funktionierende API-Schlüssel. Der Mechanismus dahinter ist alltäglich. Interessant ist, was er darüber verrät, wo dein Chatverlauf tatsächlich liegt.

Ewan JonesGründer, Cognos 5 Min. Lesezeit
Eine geteilte Unterhaltung im Browser, deren Text gut lesbar ist, wird von einer Suchmaschine in eine Ergebnisliste aufgenommen.

Was passiert ist

Am Wochenende des 25./26. Juli 2026 fanden Menschen, die bei Google nach site:claude.ai/share suchten, Seite um Seite mit fremden Claude-Unterhaltungen. 404 Media berichtete zuerst darüber; TechCrunch, Fortune und Futurism folgten innerhalb eines Tages.

Die Unterhaltungen waren nichts Exotisches. Darunter: Daten aus klinischen Studien und Krankenakten, Namen und Telefonnummern von Kindern, interne Firmenunterlagen, Lebensläufe, Quellcode und funktionierende API-Schlüssel.

Anthropic steht auf dem Standpunkt, dass eine geteilte Unterhaltung per Definition öffentlich ist. «Wenn jemand eine Unterhaltung teilt, macht er diesen Inhalt öffentlich zugänglich», so das Unternehmen, «und wie andere öffentliche Webinhalte kann er von Dritten archiviert werden.» Man übergebe Suchmaschinen weder Chat-Verzeichnisse noch Sitemaps - die Seiten seien aufgetaucht, weil die Links anderswo öffentlich gepostet worden waren.

Teilen veröffentlicht eine Seite - es verschickt keine Kopie

Das Wort «teilen» leistet hier viel stille Arbeit. In den meisten Apps schickt Teilen etwas an jemanden. In einer KI-Chat-App bedeutet es meist etwas anderes: Es erzeugt eine URL und veröffentlicht deine Unterhaltung dort - als gewöhnliche Webseite, die jede Person mit der Adresse lesen kann.

Von diesem Moment an verhält sich die Unterhaltung wie jede andere Seite im Web. Sie kann weitergeleitet, in ein Support-Ticket kopiert, in ein öffentliches Repository eingecheckt, aus einem Beitrag verlinkt, gecrawlt, zwischengespeichert und archiviert werden. Niemand muss die Adresse erraten - es genügt, ihr einmal zu begegnen.

Der Crawler ist also nicht die eigentliche Geschichte. Die Geschichte ist, dass die Seite überhaupt etwas Lesbares ausliefern konnte. Das ist nur möglich, weil der Anbieter eine lesbare Kopie deiner Unterhaltung vorhält, bereit zur Anzeige für jeden, der fragt.

Wo der Schlüssel liegt

Zuerst in aller Offenheit zu unserem eigenen Produkt: Auch Cognos hat Freigabelinks, und ein Cognos-Freigabelink ist eine öffentliche Seite. Jede Person mit dem Link kann sie ohne Anmeldung öffnen. Wir behaupten nicht, dass Teilen bei uns unmöglich oder auf magische Weise sicher wäre.

Der Unterschied liegt darin, woraus der Link besteht. Ein Cognos-Freigabelink hat zwei Hälften, getrennt durch ein #:

  • Vor dem # - die Adresse. Sie erreicht unsere Server, landet in unseren Logs und wird von einem Crawler oder einem Webarchiv festgehalten.
  • Nach dem # - der Schlüssel, der die Unterhaltung aufschliesst. Browser nehmen diesen Teil nie in eine Anfrage auf. Er bleibt im Browser der lesenden Person, und unsere Server sehen ihn nie.
Wie eine Unterhaltung zum Suchergebnis wird: teilen, veröffentlichen, indexieren.
Die Adresse erreicht unsere Server. Der Schlüssel nach dem # nie - Browser senden ihn nicht mit.
Ein Crawler, der die Adresse findet, erhält eine Seite ohne alles Lesbare. Freigabe beenden - und die Adresse löst nicht mehr auf.

Praktisch bedeutet das: Wir können eine geteilte Unterhaltung nicht lesen, nicht einmal während jemand anderes sie liest. Eine Suchmaschine, die die Adresse findet, erhält eine Seite ohne alles Lesbare - weil die Hälfte des Links, die sie aufschliesst, nie Teil der gecrawlten Adresse war. Und weil wir von keiner Unterhaltung eine lesbare Kopie vorhalten, geteilt oder nicht, gibt es überhaupt keinen Bestand lesbarer Chats, der indexiert werden, auslaufen oder herausgegeben werden könnte.

Zwei weitere Unterschiede folgen aus derselben Bauweise. Eine Cognos-Freigabe verbirgt erkannte sensible Werte standardmässig - Namen, Nummern und Schlüssel bleiben hinter Platzhaltern, sofern du sie nicht bewusst mitgibst. Und eine Freigabe zu beenden löscht sie vollständig: Die Adresse löst sofort nicht mehr auf, statt darauf zu warten, ausgelistet zu werden.

Was das nicht löst

Ein Link bleibt ein Link. Wenn du einen Cognos-Freigabelink irgendwo öffentlich einfügst - vollständig, samt dem Teil nach dem # -, dann kann jede Person, die ihm folgt, diese Unterhaltung lesen. Der Schlüssel reist nie in einer Anfrage mit, in kopiertem Text aber bestens.

Auch die Vergangenheit macht das nicht rückgängig. War eine Seite einmal öffentlich, liegen Kopien möglicherweise längst in Such-Caches und Archiven Dritter. Den Link zu entfernen hält neue Leser fern; die bereits gezogenen Kopien holt es nicht zurück.

Was jetzt zu tun ist

  1. Prüfe, was du schon geteilt hast

    Öffne in Claude Einstellungen → Datenschutz → Geteilte Chats und sieh jeden öffentlichen Link durch. Lösche, was du nicht veröffentlichen wolltest. Mach dasselbe in jedem anderen KI-Werkzeug, das du nutzt.

  2. Suche nach dir selbst

    Probiere deinen Namen, Arbeitgeber oder Projektnamen zusammen mit einem Freigabepfad in mehr als einer Suchmaschine. Bing lieferte noch Ergebnisse, nachdem Google mit dem Auslisten begonnen hatte.

  3. Betrachte eine frühere Freigabe als endgültig

    Wo der Inhalt wirklich sensibel ist - Gesundheit, Recht, Zugangsdaten -, handle so, als wäre er öffentlich, und wechsle alles, was gewechselt werden kann. Jeder API-Schlüssel, der in einem geteilten Chat aufgetaucht ist, gilt als kompromittiert.

  4. Teile bevorzugt mit verborgenen Werten

    Wo ein Werkzeug es anbietet, teile mit verborgenen statt mitgegebenen sensiblen Werten. In Cognos ist das die Voreinstellung.

Weiterlesen