Geteilte KI-Chats: Wie Metas Muse Firmeninterna offenlegte
20. Oktober 2026
KI-generiert, redaktionell von 8thsense ausgewählt, geprüft und freigegeben. EU AI Act, Art. 50
Wer im neuen KI-Assistenten Muse von Meta eine Unterhaltung per Link teilte, hat sie faktisch veröffentlicht. Die Sicherheitsfirma Claroc fand mit einer einzigen Abfrage in öffentlichen DNS-Daten mehr als 6.800 solcher Links, darunter einen Kreditantrag eines Kleinunternehmers und eine interne Umsatzauswertung für einen Geschäftsführer. Meta hat die Teilen-Funktion nach einer Presseanfrage pausiert. Für Unternehmen ist der Fall eine gute Gelegenheit, eine Frage zu klären, die im Alltag kaum jemand stellt: Was passiert eigentlich mit einem Chat, sobald jemand auf „Teilen” klickt?
Was bei Muse passiert ist
Meta hat Muse am 8. September 2026 gestartet. Der Assistent füllt Formulare aus, bucht Termine und erstellt Dokumente, und er braucht dafür Zugriff auf viele Konten seiner Nutzer. Wie bei vielen KI-Tools lassen sich Unterhaltungen über einen Link mit anderen teilen. Laut Claroc baute Muse die Adresse jeder geteilten Seite aus dem Titel der Unterhaltung plus einer zufälligen Kennung, und zwar als Subdomain unter einer gemeinsamen Domain von Meta (Quelle: claroc.io). Ars Technica nennt vereinfachte Beispiele nach dem Muster „q3-revenue-review-7b1e42f0″ oder „loan-application-draft-a4c9e2″, jeweils gefolgt von der Meta-Domain (Quelle: arstechnica.com). Schon der Titel verrät also, worum es geht.
Warum eine DNS-Suche genügte
Sobald jemand einen solchen Link öffnet, wird der Name der Subdomain im Internet aufgelöst. Kommerzielle Passive-DNS-Dienste zeichnen diese Auflösungen auf und machen sie durchsuchbar. Claroc betont, nichts erraten oder durchprobiert zu haben: Alle Adressen stammten aus der Datenbank eines solchen Anbieters. „Hätte man uns vorher gefragt, hätten wir geschätzt, dass das echte Arbeit macht. Es war eine einzige Abfrage”, zitiert Ars Technica die Forscher. Von den gefundenen Links öffnete Claroc nur einige hundert, nahezu jede noch aktive Seite lud ohne Anmeldung. Eine Sperre für Suchmaschinen per robots.txt half nicht, denn sie regelt nur das Crawlen, nicht den Zugriff. Claroc nennt das Muster „GhostShares”: Seiten, die auch Menschen finden und öffnen können, die den Link nie bekommen haben.
Welche Daten offenlagen
Claroc beschreibt die gefundenen Inhalte bewusst ohne Namen. Die Beispiele lesen sich wie eine Liste dessen, was Beschäftigte in Unternehmen täglich mit KI-Assistenten bearbeiten:
der Kreditantrag eines Kleinunternehmers inklusive beantragter Summe
eine interne Umsatzauswertung einer Marketingfirma, adressiert an den CEO
der Leistungsbericht eines Immobilieninvestors mit zwei Objektadressen sowie Rendite-, Einnahmen- und Hypothekenzahlen
ein Urlaubskalender für ein ganzes Jahr mit Dutzenden Beschäftigten
eine Aufgabenliste mit einer Betrugswarnung der Bank, Teilen einer Kontonummer, Betrag und Uhrzeit
Notizen zu einem vertraulichen Bewerbungsgespräch mit Kontaktperson und Termin
Engadget nennt in seiner Berichterstattung mehrere dieser Fälle ebenfalls (Quelle: engadget.com).
Wie Meta reagiert hat
Claroc meldete das Problem nach eigenen Angaben am 8. Oktober über Metas Bug-Bounty-Programm und erhielt keine Antwort. Nach einer Anfrage von Ars Technica teilte Meta am 20. Oktober mit, man habe die Funktion pausiert, während man den Bericht prüfe und überlege, wie sich die Auffindbarkeit der Links ändern lasse. Ob und in welcher Form das Teilen zurückkommt, ist offen. Claroc prüfte am selben Tag 40 Links, die vorher frei abrufbar waren: Keiner ließ sich mehr öffnen. Das ist eine Stichprobe, keine vollständige Bestätigung. Bemerkenswert ist zudem Metas allgemeine Hilfeseite zu Meta AI, aus der Claroc zitiert: Jeder mit dem Link könne die Unterhaltung sehen, der Link laufe nicht ab und könne weitergegeben werden.
Das eigentliche Muster: Teilen heißt veröffentlichen
Wichtig ist die Unterscheidung. Die Auffindbarkeit über DNS ist eine Besonderheit von Muse, weil der Titel in der Subdomain steckte. Claroc weist ausdrücklich darauf hin, dass viele KI-Assistenten Inhalte per öffentlichem Link teilen, ohne dass diese so leicht zu finden sind. Der Grundsatz gilt trotzdem für jedes Tool mit Teilen-Knopf: Ein öffentlicher Link ist keine vertrauliche Übergabe, sondern eine Veröffentlichung, deren Sicherheit allein davon abhängt, dass niemand die Adresse kennt. Wird sie weitergeleitet, in einem Chat gepostet oder wie hier technisch sichtbar, ist der Inhalt draußen. Einmal geteilt, lässt sich kaum nachvollziehen, wer ihn gesehen hat.
Was das für Unternehmen bedeutet
In einem Pflegedienst, einer Tanzschule oder einem Handwerksbetrieb landen in KI-Chats schnell Dienstpläne, Kundendaten oder Angebotskalkulationen. Ein vollständiges Monitoring wie in Konzernen ist für Betriebe mit 20 oder 80 Beschäftigten selten realistisch. Wirksam und günstig sind dagegen vier Schritte, die die Geschäftsführung gemeinsam mit der Person umsetzen kann, die im Haus die IT betreut:
Bestandsaufnahme: Welche KI-Tools nutzen die Beschäftigten tatsächlich, auch privat installierte Apps? Eine strukturierte Bestandsaufnahme der KI-Nutzung ist meist der schnellste Einstieg.
Eine Seite Regeln: Teilen-Links nur für Inhalte ohne Personen-, Kunden- oder Finanzdaten. Interne Inhalte werden als Datei über die eigenen Systeme weitergegeben.
Selbsttest: In jedem genutzten Tool einen harmlosen Test-Chat teilen und prüfen, was die Adresse verrät und ob die Seite ohne Anmeldung lädt.
Technische Bremse: Wo nötig, einzelne Dienste auf Firmengeräten per DNS-Filter sperren, wie es Claroc für Muse empfiehlt.
Der Aufwand liegt bei wenigen Stunden. Wer zusätzlich alte Teilen-Links in den genutzten Tools löscht, schließt die Lücken, die bereits entstanden sind. Für die Prozessautomatisierung mit Künstlicher Intelligenz im Mittelstand gilt damit dasselbe wie für jedes andere Werkzeug: Nützlich ist sie dann, wenn klar ist, wohin die Daten fließen.
