Lucas Flores
Welche Daten ChatGPT, Gemini, Claude und Co. an Dritte geben
Alle neun untersuchten KI-Chatbots binden Werbe- oder Trackingdienste ein, bei sechs von neun Web-Versionen gingen auch Gesprächsdaten an Dritte. Was die Studie wirklich belegt, was für Kanzleien und Praxen daraus folgt und welche Alternativen es gibt, ohne auf eine starke KI zu verzichten.
ChatGPT, Gemini, Claude und sechs weitere verbreitete KI-Chatbots binden allesamt Werbe- oder Trackingdienste ein, und bei sechs von neun untersuchten Web-Versionen gingen auch Chat-Adressen, KI-erzeugte Chattitel oder Prompts an Dritte. Das zeigt ein Preprint von Forschenden um das Institut IMDEA Networks, über das heise online am 6. Oktober 2026 berichtet hat. Für Kanzleien, Steuerberatung, Notariate und Praxen berührt das eine einfache Frage: Wer außer dem KI-Anbieter kann von einem Mandat erfahren? Wir haben die Studie im Original gelesen und trennen, was sie belegt und was nicht.
Welche Daten geben KI-Chatbots an Dritte weiter?
Laut dem Preprint von Forschenden um IMDEA Networks, gemessen im Mai 2026, gaben sechs von neun Web-Versionen und drei von acht Android-Apps Gesprächsdaten wie Chat-Adresse, KI-erzeugten Titel oder Prompt an Dritte, oft zusammen mit Konto-ID oder E-Mail-Adresse (S. 2, 7). Mindestens einen Werbe- oder Trackingdienst sprechen alle neun untersuchten Dienste an: ChatGPT, Claude, Grok, DeepSeek, Perplexity, Gemini, Microsoft Copilot, Mistral Le Chat und Meta AI (S. 5). Am weitesten ging Grok; bei Copilot, DeepSeek und Meta AI beobachteten die Forschenden keine Weitergabe von Gesprächsdaten. Für Berufsgeheimnisträger bestätigt das die Grundregel: Mandats- und Patientendaten gehören nicht in Verbraucher-Chatbots.
Was die Studie gemessen hat
Die Arbeit „Prompt like a Butterfly, Sting like a Tracker" stammt von Guilherme Oliveira, Miguel Sanchez, Juan Manuel De Santa Olalla Gómez und sechs weiteren Forschenden, die meisten von IMDEA Networks, und steht unter der Lizenz CC BY 4.0. Sie ist ein noch nicht begutachtetes Preprint, gemessen wurde im Mai 2026 in Spanien, die gelesene Fassung ist vom September 2026 (S. 3, 14). Untersucht wurden die Web-Versionen aller neun Dienste und acht Android-Apps; iPhone-Apps sowie Firmen- und Behördentarife waren nicht Teil der Studie (S. 2, 12). Die Forschenden chatteten von Hand mit eigenen Testkonten, unter anderem mit einer Gesundheitsfrage, zeichneten den Datenverkehr auf und verglichen Cookie-Wahl, Kontoart und den Chat ohne Verlauf.
Als Tracker zählt die Studie jeden fremden Dienst für Werbung, Analyse oder Überwachung, ausdrücklich auch Betriebs- und Supportdienste wie Datadog und Intercom und die Werbe- und Analysedienste der Anbieter selbst, etwa Google Analytics bei Gemini (S. 4). Gemessen wurde, welche Daten wohin fließen, nicht, wofür die Empfänger sie nutzen (S. 12). Die Autoren nennen ihre Ergebnisse „a point-in-time lower bound", eine Untergrenze zu einem Zeitpunkt (S. 12).
Was dabei herauskam
Zusammen sprachen die neun Dienste 124 fremde Domains von 44 Organisationen an, 34 davon Werbe- oder Trackingdienste. Google ist bei allen neun vertreten, es folgen Sentry, Meta, Datadog und Intercom (S. 5). Neu ist, was über das übliche Tracking hinausgeht: Ein KI-Chat erzeugt Spuren, die auf seinen Inhalt schließen lassen, etwa die Chat-Adresse, einen KI-erzeugten Titel, den letzten Prompt oder ein Vorschaubild.
Chat-Adressen oder Chat-Kennungen gaben fünf Web-Versionen weiter, drei davon schon voreingestellt, also auch bei abgelehnten Cookies (S. 7): ChatGPT und Perplexity an den Telemetriedienst Datadog, Claude an den Supportdienst Intercom, bei Claude und Perplexity samt E-Mail-Adresse des Kontos (Tab. 4, S. 8). Werbenetze sind das nicht, und außer bei Grok und bei Gastchats von Perplexity öffnet eine Chat-Adresse allein den Chat nicht, denn sie ist voreingestellt nur für den Eigentümer abrufbar (Tab. 6, S. 9).
KI-erzeugte Chattitel gingen bei Gemini, Mistral und Grok an Dritte, meist erst nach angenommenen Cookies (S. 7). Wie viel ein Titel verrät, zeigt das Beispiel der Studie: Aus der Frage nach Symptomen einer frühen Parkinson-Erkrankung machten ChatGPT, Claude und Grok einen Titel mit dem Namen der Krankheit, aus einer Hypothekenfrage Claude und Grok einen mit dem Gehalt (S. 16). Weitergegeben hat einen solchen Titel von diesen dreien nur Grok.
Grok ist der mit Abstand schwerste Fall. Nach angenommenen Cookies gingen Chat-Adresse und Titel unter anderem an Meta, TikTok, X, Google Ads und DoubleClick, teils von Server zu Server und damit für Werbeblocker unsichtbar (S. 8 f.). Grok-Chats sind voreingestellt für jeden lesbar, der die Adresse kennt. Köder-Adressen in Grok-Gesprächen wurden über Stunden bis Tage 70-mal aufgerufen, von 70 IP-Adressen in 14 Ländern, obwohl die Gespräche in der EU stattfanden; wer sie abrief, ermittelt die Studie nicht (S. 10). Als von außen ausnutzbares Sicherheitsproblem stufen die Autoren nur Grok ein (S. 14).
Warum das für Berufsgeheimnisträger ein § 203-Problem ist
Die Studie prüft europäisches Datenschutzrecht, die folgende Einordnung zu § 203 StGB ist unsere eigene. § 203 StGB stellt unter Strafe, ein anvertrautes fremdes Geheimnis unbefugt zu offenbaren, und offenbart ist es schon, wenn es einem Dritten zugänglich gemacht wird. Ohne Einwilligung des Mandanten oder Patienten ist das gegenüber Dienstleistern nur zulässig, soweit sie an der Berufsausübung mitwirken, es dafür erforderlich ist und sie zur Geheimhaltung verpflichtet sind (§ 203 Abs. 3 und 4 StGB; für Anwälte § 43e BRAO, für Steuerberater § 62a StBerG, für Notare § 26a BNotO). Daran scheitert die Eingabe von Mandatsdaten in einen Verbraucher-Chatbot in aller Regel schon, wie wir in Darf ich ChatGPT in der Kanzlei nutzen? ausführen.
Die Messungen verschärfen das. Der Kreis der Empfänger endet nicht beim KI-Anbieter, und keinen dieser Telemetrie-, Support- oder Werbedienste haben Sie zur Verschwiegenheit verpflichtet. Dabei genügt wenig Text: Ein KI-Titel wie „Selbstanzeige Umsatzsteuer Bäckerei Krämer", ein erdachtes Beispiel, verrät Mandant und Anlass in vier Wörtern, und § 203 schützt schon die Tatsache des Mandats. Was abfließt, hängt zudem von Dienst, Cookie-Wahl und Gerät ab und kann sich mit jedem Update ändern.
Ein KI-Titel ist nur eine Zeile. Für ein Mandat kann diese Zeile genügen.
Datenschutzrechtlich sehen die Autoren Spannungen mit der ePrivacy-Richtlinie und der DSGVO, ausdrücklich ohne abschließende Rechtsbewertung (S. 10 f.); in Deutschland setzt § 25 TDDDG die Einwilligungspflicht für Cookies und Kennungen um. Die spanische Datenschutzbehörde AEPD hat sich am 27. Mai 2026 auf die Arbeit berufen und eine Befassung im Europäischen Datenschutzausschuss angeregt (S. 14). Für Praxen kommt hinzu, dass Gesundheitsdaten nach Art. 9 DSGVO besonders geschützt sind.
Zensieren, schwärzen oder ausweichen: Welche Alternativen gibt es?
Wer vertrauliche Arbeit nicht in einen Verbraucher-Chatbot geben darf, hat im Kern vier Möglichkeiten: jede Frage selbst zensieren, Unterlagen von Hand schwärzen, auf ein Werkzeug ausweichen, das den Fall gar nicht sieht, oder in eine KI-Umgebung wechseln, die keine Tracker einbindet und deren Betreiber zur Verschwiegenheit verpflichtet ist. Nur der letzte Weg lässt die KI mit dem konkreten Fall arbeiten. Gerade wer sich an ChatGPT und seine starken Modelle gewöhnt hat, spürt bei den ersten drei schnell, was fehlt.
Selbstzensur, also jede Frage ohne Mandatsbezug zu stellen, ist zulässig, nimmt der KI aber genau das, wofür sie gebraucht wird: Einen Schriftsatz prüfen, eine Akte zusammenfassen, einen Bescheid erklären, das geht nur mit dem konkreten Fall. Schwärzen oder Anonymisieren kostet bei jedem Dokument Zeit und lässt ein Restrisiko, weil Ort, Betrag und Konstellation einen Fall wiedererkennbar machen und § 203 StGB mehr schützt als Namen; ausführlich dazu Anonymisierung oder Souveränität. Die Studie zeigt eine weitere Lücke, die kein Schwärzen schließt: Gesprächsdaten gingen oft zusammen mit Konto-ID oder E-Mail-Adresse an Dritte (S. 2, 8).
Wer schwärzt, schwärzt den Text. Das Konto, an dem er hängt, bleibt sichtbar.
Das Ausweichen auf Vorlagen, eine Datenbanksuche oder eine schwächere KI nur für Allgemeines ist ebenfalls zulässig, lässt die Arbeit am Fall aber ganz bei Ihnen. In der Eile endet es leicht doch wieder beim gewohnten Chatbot, womöglich mit dem privaten Konto. So entsteht Schatten-IT, und mit ihr genau die Datenflüsse, die die Studie misst.
Bleibt der vierte Weg: eine KI-Umgebung ohne Tracker, deren Betreiber Sie sorgfältig auswählen, nach § 203 Abs. 4 StGB zur Verschwiegenheit verpflichten und per Auftragsverarbeitungsvertrag binden. Dort dürfen Sie der KI den echten Fall geben, soweit die Arbeit es erfordert. Fragen Sie dabei auch, wie der Betreiber seine eigenen Dienstleister, etwa das Rechenzentrum, verpflichtet. Offene Sprachmodelle, wie PRIKI sie einsetzt, sind nicht in jeder Disziplin so stark wie die größten Modelle von OpenAI, Google oder Anthropic; das sagen wir offen. Für den Alltag in Kanzlei und Praxis, etwa Fragen an die eigenen Dokumente, Zusammenfassungen, Briefe und Schreiben, leistet ein Modell, das den Fall kennen darf, aber mehr als ein stärkeres, dem man nur eine entkernte Frage stellen darf.
Hilft es, Cookies abzulehnen?
Laut dem IMDEA-Preprint (Messung Mai 2026) ja, aber nur teilweise. Insgesamt geschahen 77,3 Prozent der Übermittlungen von Web-Kennungen erst nach einer Zustimmung (S. 8), und bei Claude etwa verhinderte die Ablehnung Meta Pixel und eine serverseitige Weiterleitung an elf Werbeplattformen (S. 7). Trotzdem blieben nach der Ablehnung 80,8 Prozent der Tracker aktiv, und im kostenlosen Tarif von vier der neun Dienste sammelten Tracker auch nach der Ablehnung weiter Daten (S. 7, 12). In den Android-Apps gibt es keine vergleichbare Wahl (S. 12).
Sind bezahlte Konten besser geschützt als kostenlose?
Laut dem IMDEA-Preprint (Messung Mai 2026) kaum. Kostenlose und bezahlte Konten zeigten eine nahezu identische Tracking-Infrastruktur, klare Unterschiede bei der Datenerfassung fanden die Forschenden nicht (S. 6, 7, 12). Gast- und Bezahlkonten wurden allerdings nur mit angenommenen Cookies gemessen (S. 5).
Gilt das auch für Business- und Enterprise-Tarife?
Das hat das IMDEA-Preprint nicht untersucht, Firmen- und Behördentarife haben die Forschenden ausgeschlossen (S. 12). Für Berufsgeheimnisträger genügt ein Auftragsverarbeitungsvertrag allein ohnehin nicht; nötig ist zusätzlich die Verpflichtung zur Verschwiegenheit nach § 203 Abs. 4 StGB und der Berufsordnungen. Erbringt der Anbieter seine Leistung im Ausland, verlangt etwa § 43e Abs. 4 BRAO dort einen vergleichbaren Schutz der Geheimnisse, und ein US-Anbieter bleibt Anordnungen von US-Behörden unterworfen; davon handelt ein Behördenbrief aus den USA.
Können Tracker geteilte Chats lesen?
Laut dem IMDEA-Preprint (Messung Mai 2026) bei fünf von neun Diensten ja. Alle neun machen geteilte Gespräche ohne Anmeldung für jeden abrufbar, der den Link hat, und auf den Freigabeseiten von Claude, Gemini, Grok, Mistral und Perplexity waren zusammen neun Drittdienste eingebunden, die das Gespräch damit sehen konnten, teils erst, wenn der Besucher Cookies annahm (S. 10). Es zählt dabei die Cookie-Wahl dessen, der den Link öffnet, nicht die des Verfassers. Wie schnell geteilte KI-Chats sogar in Suchmaschinen landen, zeigt der Fall der bei Google auffindbaren KI-Gespräche.
Fazit: Das Problem ist die Bauweise, nicht der einzelne Klick
Die untersuchten Verbraucher-Chatbots haben die Tracking-Technik des übrigen Netzes übernommen, und bei sechs von neun Web-Versionen gelangten dabei Gesprächsspuren an Dritte. Die Ergebnisse stellen, so die Autoren, die Vorstellung von KI-Chats als „confidential exchanges between users and AI providers" infrage (S. 2). Fair bleibt: Die Dienste unterscheiden sich stark, und es ist eine Momentaufnahme aus einem noch nicht begutachteten Preprint. An der Folgerung für Berufsgeheimnisträger ändert das nichts: Was dem Berufsgeheimnis unterliegt, gehört in ein Werkzeug, das keine Tracker einbindet und dessen Betreiber Sie zur Verschwiegenheit verpflichten können.
PRIKI ist als souveräne KI für Kanzleien, Steuerberatung, Notariate und Praxen gebaut, und zwar auf das Gegenteil dessen, was die Studie misst. In der Anwendung läuft keine Bibliothek Dritter für Analyse, Werbung, Fehlerüberwachung oder Support-Chat, also weder Datadog noch Sentry, Intercom, Segment oder Google Analytics, und ihre Content-Security-Policy erlaubt Verbindungen, Bilder und eingebettete Seiten nur zur eigenen Adresse. Öffentliche Gesprächslinks gibt es nicht: Jeder Chat verlangt eine Anmeldung, und einen Chat sehen nur sein Verfasser, die Mitglieder eines Kanals oder, lesend, die Mitglieder des Projekts, in das er gelegt wurde; Ihren Verlauf mit dem PRIKI-Support kann unser auf das Berufsgeheimnis verpflichtetes Team einsehen. Die offenen Sprachmodelle laufen auf einem dedizierten Rechenknoten, der keine Kundendaten hält. Inhalte werden weder protokolliert noch zum Training verwendet, und die Verpflichtung zur Verschwiegenheit nach § 203 StGB sowie ein Auftragsverarbeitungsvertrag gehören zu jedem Tarif. Ihre Inhalte verarbeitet PRIKI bei Hetzner in Deutschland. Die einzige Ausnahme ist die Websuche, und die lässt sich für die ganze Organisation abschalten. Ist sie erlaubt, schalten Sie sie im Chat je Nachricht selbst ein, den Suchbegriff eines Priki Bots geben Sie vorher frei, und über die API sucht Priki nur mit dem Feld web_search. Dann geht der Wortlaut Ihrer Nachricht, beim Bot der freigegebene Suchbegriff, auf höchstens 300 Zeichen gekürzt an Suchmaschinen, teils außerhalb der EU. Wie Sie das alles in der Netzwerkansicht Ihres Browsers selbst nachprüfen, zeigt unsere Sicherheitsseite.
Ihre Mandanten vertrauen Ihnen. Ihr KI-Werkzeug sollte dieses Vertrauen nicht an Tracker weiterreichen. Machen Sie jetzt den § 203-Selbsttest: fünf Fragen, zwei Minuten, ohne Anmeldung, und Sie wissen, wo Ihre heutige KI-Nutzung an die Verschwiegenheitspflicht stößt. Oder arbeiten Sie gleich mit Ihren echten Unterlagen und testen Sie PRIKI sieben Tage kostenlos, ohne Zahlungsdaten und ohne Tracker in der Anwendung.