Von Analysen zur Identität von Satoshi Nakamoto (Bitcoin Erfinder) über Aktienmarkt Crash Vorhersagen bis hin zu SEO-Artikel – die Varianz der offengelegten Konversationen ist groß. Und bietet einen intimen Einblick in die Nutzung von KI. Insbesondere kritisch sehe ich die politische Nutzung. Mehr dazu hier.
Mal wieder war Reddit die Quelle, auf der ich davon erfahren habe. Vor 13 Stunden berichtete der Nutzer „-void1“ von der Panne mit den Worten „simple google dork request lets you find a LOT of them. ive already found some college student going insane„.
Hier der mitgelieferte Screenshot:
Kernaussage: Die Funktion von Claude Konversationen mit anderen zu teilen erzeugt einen Link, der zum Teilen an Freunde und Kollegen gedacht ist – vermeintlich vertraulich. Eine Vielzahl dieser Links sind nun in den Google und Bing Index gelangt und so öffentlich zugängig geworden. Das führt dazu, dass Fremde Einblick auf die Konversationen erhalten.
Ein einzeiliger Suchbefehl reichte aus, um massenhaft geteilte Claude-Unterhaltungen aufzulisten – darunter Krypto-Wallet-Schlüssel, namentlich identifizierbare Berufstätige und sehr viel, was niemand freiwillig unter seinem Vornamen veröffentlichen würde. Bei Google waren die Treffer binnen Stunden verschwunden. Das eigentliche Problem bleibt trotzdem bestehen.
Datenleck bei geteilten Chats
Ein Suchoperator, 320 Kommentare, eine Nacht
Angefangen hat es am 25. Juli 2026 mit einem Zweizeiler im Subreddit r/ClaudeAI. Nutzer „-void1“ schrieb, ein simpler Google-Dork liste massenhaft geteilte Claude-Chats auf; er habe bereits „some college student going insane“ gefunden. Den Suchbefehl reichten Kommentatoren nach, und er war denkbar unspektakulär: site:claude.ai/share. Der Befehl „site:“ weist Google und Bing an, nur Suchergebnisse einer bestimmten Domain zu zeigen. „site:google.de agb“ würde beispielsweise nur Suchergebnisse auflisten, bei denen „agb“ vorkommt und dabei nur Seiten zeigen, welche die Domain „google.de“ haben.
Der Thread hatte nach sechs Stunden 320 Kommentare. Was die Community fand, reicht von komisch bis unangenehm: ein Solana-Wallet samt Schlüsseln (Kontostand: 2,73 Dollar), ein ehemaliger Security-Engineer von Intel, dessen voller Name im Projektdokument stand, eine Finanzanalystin, die ein Kommentator über LinkedIn identifizierte, ein Chat über die Frage, ob ein Anwalt in Kentucky einen Berufsrechtsverstoß selbst anzeigen muss – ob der Fragende selbst der Anwalt war, blieb im Thread umstritten. Dazu psychische Krisen, sehr viel Erotik und eine Verschwörungstheorie, nach der Vögel heimlich Jay-Zs Texte schreiben.
Ein Detail machte die Sache persönlicher: Geteilte Chats zeigen den Vornamen der Person an, die sie freigegeben hat.
Die Reaktion kam schnell. Noch in derselben Nacht meldeten Nutzer, dass Google keine Treffer mehr liefert – gegen 23:05 Uhr Ostküstenzeit war dort Schluss. Bing und Brave lieferten länger Ergebnisse; „still works on bing“, schrieb ein Nutzer, als der Thread bei Google längst ins Leere lief. Bei Bing dauerte es am längsten, bis die Einträge verschwanden. Einige Einträge konnte ich auch 13h später noch finden.
Warum das technisch kein Hack war
Der Punkt, der in vielen Meldungen untergeht: Es wurde nichts kompromittiert. Betroffen waren ausschließlich aktiv freigegebene Inhalte. Anthropic beschreibt das in der eigenen Dokumentation korrekt, wenn auch unvollständig: „anyone with the link can view the chat snapshot“. Private Chats waren nie erreichbar, hochgeladene Dateien ebenfalls nicht. Von Suchmaschinen ist in der Hilfeseite allerdings nirgends die Rede.
Auch die Indexierung selbst war kein Einbruch, sondern ein bekanntes Web-Missverständnis. Anthropic sperrt Crawler per robots.txt aus – und genau das ist die Falle. Ein Disallow weist Crawler an, eine Seite nicht abzurufen. Es verhindert nicht, dass sie indexiert wird. Taucht die URL irgendwo öffentlich auf – in einem Reddit-Post, auf X, in einem Discord, in einem GitHub-Issue –, landet sie im Index, auch ohne dass Google den Inhalt je gelesen hat. Deshalb ließen sich die Chats zwar auflisten und öffnen, aber kaum nach Textinhalten durchsuchen. Die wirksame Maßnahme wäre ein X-Robots-Tag: noindex gewesen – der aber setzt voraus, dass der Crawler die Seite überhaupt abrufen darf, der Disallow also fällt.
Neu ist das Ganze nicht. Forbes berichtete im September 2025 über knapp 600 indexierte Claude-Transkripte. OpenAI und xAI hatten dasselbe Problem – und der Operator site:grok.com/share funktionierte während des Threads noch munter weiter.
Meine Einschätzung: Die Funktion hat funktioniert
Ich halte den Begriff „Data Breach“, der jetzt kursiert, für zu hoch gegriffen. Ein Share-Link ist dazu da, weitergegeben zu werden. Das ist ein semi-öffentlicher Inhalt, kein Tresor. Wer eine Unterhaltung freigibt und den Link in einen Slack-Channel, ein Forum oder eine E-Mail kippt, hat sie faktisch veröffentlicht. Der treffendste Kommentar im Thread stammt vom Nutzer addiktion: „‚Share with anyone with the link‘ does not mean ‚share with everyone‘.“ Ein noindex hätte den Unterschied zwischen beidem gewahrt. Dass diese eine Zeile fast ein Jahr und mehrere Vorfälle lang gefehlt hat, ist der eigentliche Fehler – nicht die Share-Funktion.
Etwas anders sehe ich die Artifacts. Wer in der Claude-Desktop-App ein Artifact veröffentlicht, liest: „Anyone with the link can view, and your artifact may show up in search engine results. Your chat will stay private.“ Das ist sauber formuliert – aber im Klick-Fluss bleibt bei vielen nur „your chat will stay private“ hängen. Passend dazu: Die robots.txt von claude.ai sperrt bis heute /share/*, für /public – wo die Artifacts liegen – existiert keine Regel.
Das eigentliche Problem: Der Patch von heute rettet die Daten von gestern nicht
Und hier wird es unbequem. Die Chats sind aus den Suchindizes verschwunden – aus dem Netz sind sie nicht. Ein Entwickler zog während des Threads 25 Ergebnisseiten herunter und legte sie als Markdown-Dateien auf GitHub ab: über hundert Unterhaltungen, sauber exportiert, ohne Kommentar, ohne README. Andere sammelten Links in einer Google-Tabelle. Und schon im August 2025 hatte ein Sicherheitsforscher über die API der Wayback Machine mehr als 143.000 öffentlich erreichbare KI-Chats verschiedener Anbieter zusammengetragen; darin fanden sich unter anderem AWS-Zugangsschlüssel und ein API-Token.
Der Screenshot oben stammt aus genau so einem Archiv. Ein Nutzer fragt Claude, ob andere Menschen sehen können, was das Modell aus ihren Gesprächen gelernt hat. Claude antwortet, bezogen auf das Modell-Gedächtnis völlig zutreffend: „No — nothing from our conversations is available to other users.“ Beantwortet wird die Frage nach dem Gedächtnis. Gestellt hat der Nutzer sie erkennbar zur Vertraulichkeit. Vier Monate später liegt der komplette Verlauf als Textdatei in einem öffentlichen Repository.
Das ist die Lehre, die über diesen Vorfall hinausreicht: Vertraulichkeit ist kein Zustand, sondern eine Momentaufnahme. Ein Tool kann heute dicht sein und morgen trotzdem Rückschlüsse auf gestern zulassen – durch eine Fehlkonfiguration, eine geänderte Voreinstellung, eine Übernahme des Anbieters oder schlicht durch eine gerichtliche Anordnung. Wer Daten in ein System gibt, entscheidet nicht über den heutigen Sicherheitsstand, sondern über alle künftigen Zustände dieses Systems. Und anders als bei einem klassischen Leak gibt es hier niemanden, der die Daten wieder einsammeln könnte.