Claude-Chats bei Google & dessen Datenschutzrisiken

Geteilte Chatverläufe der KI Claude tauchten zuletzt ungewollt in der Google-Suche auf und legten dabei zum Teil hochsensible Daten offen, was zeigt, wie schnell aus einer bequemen Teilen-Funktion ein handfestes Datenschutzproblem wird. Rechtsanwalt Dr. Marc Maisch ordnet den Fall aus Sicht des Datenschutzrechts und der IT-Sicherheit ein. Er ist auf IT-Recht, Künstliche Intelligenz, Datenschutz und Cybercrime spezialisiert und arbeitet selbst als Datenschutzbeauftragter.

Was ist bei Claude passiert?

Claude bietet eine Funktion zum Teilen von Chats. Ein Klick auf Teilen erzeugt einen öffentlichen Link. Jeder, der diesen Link kennt, kann die Unterhaltung lesen.

Ein Reddit-Thread machte am Wochenende auf ein Problem aufmerksam. Die einfache Google-Suche site:claude.ai/share lieferte Seite um Seite mit geteilten Claude-Chats. Nutzer mussten den Link also gar nicht kennen. Google zeigte ihn von selbst an.

Die gefundenen Inhalte waren zum Teil alarmierend. Ein Beispiel: Ein Anwalt bearbeitete in seinem Chat einen möglichen Verstoß gegen die Berufsethik eines Kollegen. Ein anderes Beispiel: Ein Ingenieur besprach interne Projektdetails seines Arbeitgebers. Dritte fanden außerdem Lebensläufe mit echten Namen, Adressen und Telefonnummern, Zugangsdaten und API-Schlüssel sowie Daten, die wie Sozialversicherungsnummern aussahen.

Besonders kritisch war ein Chat aus dem Kryptobereich. Eine Person richtete darin ein Krypto-Wallet ein. Die Seed-Phrase und der private Schlüssel standen frei lesbar im geteilten Verlauf. Wer eine Seed-Phrase kennt, kann das gesamte Wallet leeren. Anders als ein Passwort lässt sich eine Seed-Phrase nicht einfach ändern.

Nicht jeder bewertete den Vorfall gleich. Mehrere Entwickler wiesen darauf hin, dass die Nutzer den Link selbst erzeugt hätten. Wer eine Unterhaltung bewusst teilt, veröffentlicht sie damit im offenen Web, so das Argument. Diese Sichtweise greift aus datenschutzrechtlicher Sicht jedoch zu kurz. Dazu unten mehr.

Was war die technische Ursache?

Die robots.txt-Datei von Anthropic untersagt Suchmaschinen das Crawlen der Freigabeseiten. Trotzdem tauchten die Seiten bei Google auf. Der Grund liegt in einem technischen Unterschied, den viele Nutzer nicht kennen.

Eine robots.txt-Sperre verhindert nur, dass Google eine Seite öffnet und ihren Inhalt liest. Verlinkt jedoch eine andere Webseite auf die gesperrte Seite, kennt Google trotzdem deren Adresse. Google listet die Adresse dann im Suchindex, allerdings ohne Beschreibungstext. Genau das erklärt, warum unter den Treffern oft der Hinweis „Für diese Seite sind keine Informationen verfügbar“ stand.

Nur ein zusätzliches Noindex-Tag auf der Seite selbst verhindert die Listung zuverlässig. Dieses Tag fehlte den Freigabeseiten zunächst. Eine einzige Zeile Code hätte das Problem verhindert.

Der Fall ist kein Einzelfall. Bereits im September 2025 erfasste Google laut Forbes rund 600 geteilte Claude-Chats. OpenAI hatte kurz zuvor ein vergleichbares Problem bei ChatGPT festgestellt und die öffentliche Teilen-Funktion daraufhin ganz entfernt. Gegen OpenAI läuft inzwischen eine Klage wegen der Datenweitergabe. Anthropic hat nach dem aktuellen Vorfall nachgebessert und die Freigabeseiten mit einem Noindex-Tag versehen. Über andere Suchmaschinen oder gespeicherte Links bleiben einzelne Seiten dennoch erreichbar.

Was beschreibt die ClaudeFix-Masche?

Parallel zu dem Indexierungsproblem entdeckten Sicherheitsforscher von Zscaler eine neue Angriffskampagne. Die Angreifer kombinieren die bekannte Social-Engineering-Technik ClickFix mit der Teilen-Funktion von Claude. Sicherheitsexperten nennen die Masche ClaudeFix.

Der Ablauf funktioniert so: Die Angreifer erstellen einen präparierten, öffentlich teilbaren Chat, der auf den ersten Blick echt wirkt. Über Werbeanzeigen gelangen Opfer auf diesen Chat. Dort erhalten sie eine Anleitung, angeblich zur Installation eines Updates oder zur Einrichtung einer Entwicklungsumgebung. Die Anleitung enthält einen fertigen Befehl zum Kopieren.

Ein Beispiel aus der Praxis: Ein Softwareentwickler sucht online nach einer Lösung für ein technisches Problem. Eine Werbeanzeige führt ihn zu einem geteilten Claude-Chat, der die Lösung angeblich bereits enthält. Der Chat weist ihn an, einen Befehl in das Terminal einzufügen. Der Entwickler kopiert den Befehl und führt ihn aus, weil der Chat vertrauenswürdig wirkt. Damit startet er selbst eine mehrstufige Infektionskette.

Diese Methode umgeht klassische Sicherheitsmechanismen, weil der Nutzer den Schadcode selbst ausführt. Im Hintergrund lädt die Malware weitere Programme nach und liest Browser-Zugangsdaten, Session-Cookies, gespeicherte Krypto-Wallets und Systeminformationen aus. Gestohlene Zugangsdaten und Sitzungstoken erlauben es Angreifern, sich innerhalb von Unternehmensnetzwerken weiterzubewegen. Die Kampagne richtet sich gezielt gegen Softwareentwickler und IT-Fachkräfte, weil diese regelmäßig mit Terminal-Befehlen arbeiten.

Die Datenschutzdogmatik: Wer trägt die Verantwortung?

Der Fall wirft eine grundlegende datenschutzrechtliche Frage auf. Trägt allein der Nutzer die Verantwortung, weil er den Link selbst erzeugt hat? Oder trifft auch Anthropic eine Pflicht? Die Antwort liegt in der Datenschutzdogmatik der DSGVO.

Ein Nutzer, der einen Chat teilt, willigt in eine bestimmte Reichweite ein. Er stellt sich vor, dass Personen mit dem Link den Chat lesen können. Er willigt nicht darin ein, dass jeder Internetnutzer den Chat über eine einfache Google-Suche findet. Zwischen „Teilen mit Linkinhabern“ und „auffindbar für die gesamte Weltöffentlichkeit“ liegt ein erheblicher Unterschied. Dieser Unterschied berührt den Grundsatz der Transparenz und der Zweckbindung aus Artikel 5 der DSGVO. Verarbeitet werden dürfen personenbezogene Daten nur in dem Umfang, den die betroffene Person tatsächlich erwartet und überblickt.

Für Anthropic als Anbieter gilt zusätzlich Artikel 25 der DSGVO. Diese Vorschrift verlangt Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen. Eine Teilen-Funktion, die ohne Noindex-Tag startet, entspricht diesem Grundsatz nicht. Die datenschutzfreundlichste Voreinstellung wäre gewesen, Suchmaschinen von Anfang an zuverlässig auszuschließen.

Artikel 32 der DSGVO verlangt außerdem angemessene technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten. Ein fehlendes Noindex-Tag lässt sich als Lücke bei genau diesen Maßnahmen einordnen, wenn Chats personenbezogene Daten enthalten.

Die Verantwortung liegt aber nicht allein bei Anthropic. Wer im beruflichen Kontext einen Chat mit personenbezogenen Daten Dritter teilt, wird selbst zum datenschutzrechtlich Verantwortlichen für diese Verarbeitung. Ein Beispiel: Eine Kanzlei-Mitarbeiterin bespricht in Claude einen Mandantenfall und teilt den Chat-Link mit einem Kollegen zur Rücksprache. Landet dieser Link versehentlich im Google-Index, verstößt das gleichzeitig gegen die anwaltliche Verschwiegenheitspflicht aus Paragraf 43a der Bundesrechtsanwaltsordnung und gegen die DSGVO.

Enthält ein solcher Chat personenbezogene Daten von Kunden, Mandanten oder Mitarbeitern, kann die ungewollte Veröffentlichung eine meldepflichtige Datenschutzverletzung nach Artikel 33 der DSGVO auslösen. Das Unternehmen als Verantwortlicher muss die Verletzung dann binnen 72 Stunden der zuständigen Aufsichtsbehörde melden. Besteht für die Betroffenen ein hohes Risiko, kommt nach Artikel 34 der DSGVO zusätzlich eine Benachrichtigungspflicht gegenüber den Betroffenen selbst hinzu. Ob tatsächlich eine Meldepflicht besteht, hängt immer vom Einzelfall ab, insbesondere davon, welche Daten betroffen waren und wie hoch das Risiko für die betroffenen Personen tatsächlich war.

Unternehmen, die Claude oder vergleichbare KI-Tools einsetzen, sollten deshalb prüfen, ob ein Auftragsverarbeitungsvertrag mit dem Anbieter besteht und welche internen Regeln für den Umgang mit der Teilen-Funktion gelten. Ohne klare Regeln entscheidet am Ende jeder einzelne Mitarbeiter selbst, wie er mit sensiblen Daten in einem KI-Chat umgeht.

Was können Unternehmen und Privatpersonen jetzt tun?

Privatpersonen sollten ihre bisherigen Freigaben regelmäßig prüfen. Der Weg dorthin führt über die Einstellungen, den Bereich Datenschutz und den Punkt Geteilte Chats. Nicht mehr benötigte Freigaben lassen sich dort mit einem Klick widerrufen. Wichtig ist außerdem, Zugangsdaten, Seed-Phrasen oder private Schlüssel grundsätzlich nicht in Chats einzugeben, die später geteilt werden könnten, und Freigabelinks nicht in öffentlichen Kanälen zu posten.

Ebenso wichtig ist Vorsicht bei Befehlen aus fremden Chats. Wer eine Anleitung aus einem geteilten Chat erhält, sollte niemals ungeprüft Befehle in das Terminal oder die Kommandozeile kopieren, selbst wenn die Quelle vertrauenswürdig wirkt.

Unternehmen sollten den Einsatz von KI-Tools über eine interne Richtlinie regeln. Diese Richtlinie sollte festlegen, welche Daten in KI-Chats überhaupt eingegeben werden dürfen und wer Chats teilen darf. Mitarbeiter brauchen zudem eine gezielte Schulung zur ClaudeFix-Masche, damit sie Anweisungen aus vermeintlich hilfreichen KI-Chats kritisch hinterfragen. Wer als Unternehmen personenbezogene Daten über ein KI-Tool verarbeitet, sollte außerdem den Auftragsverarbeitungsvertrag mit dem Anbieter prüfen und im Ernstfall die Meldefristen nach Artikel 33 der DSGVO im Blick behalten.

Fazit

Der Fall rund um Claude zeigt ein wiederkehrendes Muster. Bequeme Funktionen und ein hohes Nutzervertrauen in KI-Systeme treffen auf unzureichende technische Schutzmaßnahmen. Das Ergebnis sind offengelegte Daten und neue Angriffsflächen für Cyberkriminelle. Datenschutzrecht und IT-Sicherheit lassen sich in solchen Fällen nicht getrennt betrachten. Wer beides zusammen denkt, schützt sich und andere deutlich wirksamer.

FAQ

Wie kam es dazu, dass geteilte Claude-Chats bei Google auffindbar waren?

Geteilte Claude-Chats waren auffindbar, weil den Freigabeseiten zunächst ein Noindex-Tag fehlte. Die robots.txt-Datei von Anthropic verbot Suchmaschinen zwar das Crawlen der Seiten. Verlinkte jedoch eine andere Webseite auf einen Chat, kannte Google trotzdem dessen Adresse und listete sie im Suchindex, meist ohne Beschreibungstext. Erst ein zusätzliches Noindex-Tag verhindert eine Listung zuverlässig. Anthropic hat dieses Tag inzwischen nachgerüstet.

Welche Daten waren in den betroffenen Chats sichtbar?

Sichtbar waren unter anderem Zugangsdaten und API-Schlüssel, Lebensläufe mit echten Namen und Adressen, interne Projektdetails sowie ein Fall zu anwaltlicher Berufsethik und Daten, die wie Sozialversicherungsnummern aussahen. Besonders kritisch war ein Chat mit einer Krypto-Wallet-Seed-Phrase und einem privaten Schlüssel. Angehängte Dateien und Rohdaten aus verbundenen Tools waren laut Anthropic nicht betroffen, da diese beim Teilen grundsätzlich nicht mit veröffentlicht werden.

Ist das Teilen eines Claude-Chats ein Verstoß gegen die DSGVO?

Ein Verstoß liegt vor, wenn ein geteilter Chat personenbezogene Daten Dritter enthält und diese Daten über die vom Nutzer erwartete Reichweite hinaus öffentlich werden. Wer einen Link erzeugt, willigt nur darin ein, dass Personen mit diesem Link den Chat lesen, nicht darin, dass jeder Internetnutzer ihn über Google findet. Diese Diskrepanz berührt den Transparenz- und Zweckbindungsgrundsatz aus Artikel 5 der DSGVO.

Muss ein Unternehmen den Vorfall den Aufsichtsbehörden melden?

Eine Meldepflicht nach Artikel 33 der DSGVO entsteht, wenn personenbezogene Daten von Kunden, Mandanten oder Mitarbeitern durch einen unerwünscht öffentlichen Chat offengelegt wurden und ein Risiko für die betroffenen Personen besteht. Das Unternehmen muss die Verletzung dann binnen 72 Stunden der zuständigen Aufsichtsbehörde melden. Bei hohem Risiko kommt nach Artikel 34 der DSGVO zusätzlich eine Benachrichtigungspflicht der Betroffenen hinzu. Die Prüfung erfolgt immer im Einzelfall.

Was ist die ClaudeFix-Betrugsmasche?

ClaudeFix bezeichnet eine Angriffskampagne, bei der Kriminelle präparierte, öffentlich teilbare Claude-Chats mit der Social-Engineering-Technik ClickFix kombinieren. Opfer erhalten in einem echt wirkenden Chat eine Anleitung mit einem fertigen Befehl zum Kopieren, angeblich für ein Update oder eine Entwicklungsumgebung. Führen sie den Befehl im Terminal aus, startet eine Infektionskette, die Zugangsdaten, Session-Cookies und Krypto-Wallets ausliest. Betroffen sind vor allem Entwickler und IT-Fachkräfte.

Wie lösche ich einen geteilten Claude-Chat wieder?

Ein geteilter Chat lässt sich in den Kontoeinstellungen unter Datenschutz und dem Punkt Geteilte Chats verwalten. Dort zeigt Claude eine Liste aller jemals geteilten Unterhaltungen samt Datum und Link. Mit einem Klick auf Unshare wird die Freigabe widerrufen und der Link verliert seine Gültigkeit für neue Zugriffe. Bereits gespeicherte oder als Lesezeichen abgelegte Links können in Ausnahmefällen dennoch kurzzeitig weiter funktionieren.