ChatGPT-Verlauf als Zugangsdaten: Schützen Sie ihn wie Ihr E-Mail-Konto

Würden Sie Ihr E-Mail-Postfach mit einem schwachen Passwort und ohne zweiten Faktor schützen? Natürlich nicht. Dennoch füttern viele von uns ChatGPT mit genau dem Material, das früher nur dort lag: Arbeitspläne, Kundendaten, Gesundheitssorgen, halbfertige Entscheidungen. Das Konto, das all das enthält, ist inzwischen ein Ziel – und die Forschung der vergangenen Wochen deutet darauf hin, dass es ein erreichbares ist.

Am 28. Oktober veröffentlichte das Forschungsteam von Parameter einen Bericht, in dem es angibt, durch Umgehung der Sandbox und der Content Security Policy von ChatGPT jedes Konto übernehmen zu können, indem es dem Opfer lediglich einen Link schickt. Ein Beitrag auf dev.to über eine MathLive-postMessage-Kette besagt, OpenAI habe die Korrektur binnen acht Tagen ausgeliefert, und nennt eine Prämie von 5.000 US-Dollar für eine vollständige Kontoübernahme beim Flaggschiffprodukt. Davon unabhängig haben Forscher von Hacktron Berichten zufolge eine Schwachstelle bei der Bildverarbeitung im Community-Forum von OpenAI mit einer Single-Sign-on-Schwachstelle verknüpft, um ChatGPT- und Codex-Konten von Mitarbeitern zu übernehmen. The Hacker News berichtet, sie hätten dafür Claude Opus 5 von Anthropic eingesetzt, um beide Lücken zu verketten und ein internes Code-Repository von OpenAI zu erreichen.

Das Passwort war nie die einzige Schwachstelle

Auffällig ist, was diese Angriffe gemeinsam haben: Soweit beschrieben, schien keiner ein erratenes Passwort zu benötigen. Ein Link, ein Forum-Login, eine Agentenfunktion. Aus unserer Sicht ist das für den üblichen Rat entscheidend. Multifaktor-Authentifizierung (MFA) bleibt das Minimum, und Sicherheitsexperten, die im Zusammenhang mit einer ESET-Warnung zitiert werden, empfehlen sie zusammen mit individuellen Zugangsdaten und der Prüfung der Berechtigungen von Drittanbieter-Apps. Übernimmt ein Angreifer jedoch eine Sitzung oder einen Identitätsablauf, kommt ein zweiter Faktor am Anmeldebildschirm womöglich gar nicht ins Spiel. Aus der Dokumentation können wir nicht genau ablesen, wie jeder Exploit mit MFA zusammenspielt; das ist daher unsere Interpretation, kein Befund.

Klar scheint uns dagegen die Lehre zum Umfang. ESET weist darauf hin, dass der Schaden davon abhängt, was man geteilt hat und welche Dienste verbunden sind. Wer nach Rezeptideen fragt, verliert wenig. Wer Kundendatenbanken oder Unternehmensstrategie hochgeladen und Konnektoren verknüpft hat, hat eine Landkarte seines Lebens aus der Hand gegeben.

Gedächtnis und Konnektoren machten den Verlauf zur Angriffsfläche

Der frühere Fall ZombieAgent ist aus unserer Sicht der am meisten unterschätzte Teil. Forscher von Radware beschrieben eine Zero-Click-Schwachstelle in ChatGPT und seinen Deep-Research-Agenten, die Gedächtnis und Konnektoren missbrauchte, um unbemerkt Daten abzuziehen und dauerhaften Zugriff zu behalten. Laut dem Vorfallseintrag der OECD behob OpenAI die Lücke im Dezember 2025, doch der Datendiebstahl hatte bereits stattgefunden.

Dieses Muster ist es, das Sorgen bereiten sollte. Die Funktionen, die einen Assistenten nützlich machen – sich an Sie zu erinnern und auf Ihre anderen Dienste zuzugreifen –, machen ein kompromittiertes Konto so wertvoll. Ein Chatverlauf war früher ein Protokoll. Heute ähnelt er eher einem Profil samt Schlüsselbund. Deshalb würden wir ihn als Zugangsdaten bezeichnen: Wer ihn besitzt, kann erfahren, was Sie wissen, und mitunter in Ihrem Namen handeln.

Nutzer sollten das Unspektakuläre tun, Anbieter für die schweren Lücken zahlen

Für Nutzer ist die praktische Liste kurz und ein wenig langweilig. MFA aktivieren. Ein individuelles Passwort verwenden. Prüfen, was verbunden ist, und trennen, was nicht genutzt wird. Und ehrlich sein bei dem, was man einfügt: Was man nicht in eine E-Mail an einen Fremden schreiben würde, sollte man auch einem Chatbot nicht ohne Weiteres anvertrauen. Auch das Löschen betrachten wir als Hygiene. Alte Unterhaltungen, die Sie nicht mehr brauchen, sind ein Risiko ohne Nutzen; sie zu löschen ist deshalb eine vernünftige Gewohnheit, auch wenn Sie in den eigenen Einstellungen prüfen sollten, wie viel Kontrolle ein bestimmter Tarif bietet.

Von den Anbietern ist mehr zu verlangen. Eine Korrektur binnen acht Tagen, wie sie der dev.to-Beitrag beschreibt, ist respektabel, und das wollen wir nicht kleinreden. Doch eine Prämie von 5.000 US-Dollar für die vollständige Übernahme eines derart zentralen Produkts wirkt wie ein merkwürdiges Preissignal, und der Autor auf dev.to deutet das ebenfalls an. Unternehmen sollten solche Lücken danach bepreisen, was sie schützen. Außerdem sollten sie klare Steuerungsmöglichkeiten zur Datenspeicherung anbieten und Konnektoren per Opt-in und sichtbar machen. Funktionen wie der Kontowechsel, den OpenAI auf Mobilgeräten ausrollt und der Chats, Einstellungen und Abonnements für bis zu zwei angemeldete Konten getrennt hält, sind ein Komfort. Sie helfen auch, berufliche und private Nutzung zu trennen, was wir an sich schon für gute Sicherheitshygiene halten.

Behandeln Sie Ihr KI-Konto wie ein Postfach mit Gedächtnis

Betrachten Sie ein KI-Konto nicht mehr als App, sondern als Postfach mit Gedächtnis. Sichern Sie es entsprechend ab, speichern Sie weniger darin und verbinden Sie weniger damit. Das Passwort ist nicht die einzige Tür – verringern Sie also, was hinter allen liegt.