Metas KI-Agent Muse legte beim Teilen von Chats private und geschäftliche Geheimnisse offen

Michael Dobler

Autor Dr. Web

21. Okt. 2026

3 Min. Lesezeit

Mehr als 6.800 geteilte Chats aus Metas KI-Agent Muse fand die Sicherheitsfirma Claroc mit einer einzigen Abfrage, darunter einen Kreditantrag und einen internen Umsatzbericht. Muse schrieb den Titel jedes geteilten Gesprächs in die Webadresse. Öffentlich durchsuchbare DNS-Datenbanken speicherten diese Adressen mit, Meta hat das Teilen inzwischen ausgesetzt.

Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügen

Notizen für ein vertrauliches Gespräch mit einem großen KI-Unternehmen, samt Namen des Ansprechpartners und Uhrzeit: Ein Muse-Nutzer hatte sie per Link verschickt. Lesen konnte sie am Ende jeder, der eine Passive-DNS-Datenbank, ein Archiv aufgerufener Webadressen, nach der Muse-Domain durchsuchte.^[1]

Das Wichtigste in Kürze

Muse baute die Adresse jedes geteilten Chats aus dem Gesprächstitel und einer Zufallskennung.
Beim ersten Aufruf landete der vollständige Hostname in Passive-DNS-Datenbanken kommerzieller Anbieter.
Unter den geöffneten Seiten waren ein Kreditantrag, ein Umsatzbericht und ein Urlaubsplan mit Dutzenden Namen.
Meta stoppte das Teilen am 20. Oktober, Muse gibt es bislang nur in den USA.

Wie gerieten die Gesprächstitel in öffentliche Verzeichnisse?

Briefumschlag „Kreditantrag“, Siegel „Vertraulich“, Anhänger „Abgewiesen“ — Muse teilt Gespräche als Webseiten unter cf.metaaiusercontent.com aus, wobei der Hostname aus Gesprächstitel und Zufallskennung besteht

Muse liefert geteilte Gespräche als eigene Webseite unter der Domain cf.metaaiusercontent.com aus. Den Hostnamen setzt der Agent aus dem Gesprächstitel und einer langen Zufallskennung zusammen, etwa loan-application-draft-a4c9e2.cf.metaaiusercontent.com (Beispiel von Claroc).^[1]

Beim ersten Aufruf fragt der Browser des Empfängers einen DNS-Server nach der IP-Adresse dieses Hostnamens. Passive-DNS-Dienste zeichnen solche Antworten bei den DNS-Servern von Providern und Netzbetreibern auf und machen sie durchsuchbar, Titel und Kennung im Klartext. Claroc fand mehr als 6.800 Hostnamen, einige Hundert Seiten öffnete das Team in einem privaten Browserfenster ohne Konto.^[1] Muse sperrte Suchmaschinen-Crawler zwar per robots.txt aus, die DNS-Datenbanken sind aber keine Suchmaschinen.

Warum schützte die Zufallskennung die Chats nicht?

Ein Link mit Zufallskennung schützt nur, solange ihn außer dem Empfänger niemand kennt. Steht die Kennung im Pfad einer Adresse, sehen sie bei HTTPS nur Browser und Server. Im Hostnamen sieht sie jeder DNS-Server, der die Anfrage beantwortet, und mit ihm jede Datenbank, die solche Antworten sammelt.

Öffentlich gewordene KI-Chats gab es schon 2025: Damals erschienen geteilte ChatGPT-Gespräche in Googles Suchergebnissen, weil Nutzer beim Teilen ein Häkchen zur Auffindbarkeit gesetzt hatten. OpenAI-Sicherheitschef Dane Stuckey strich die Option, weil damit zu leicht versehentlich Privates öffentlich wurde.^[4] Bei Muse brauchte es kein Häkchen, die Bauart der Adresse genügte. Über geteilte Claude-Chats verteilten Angreifer zuletzt sogar Schadsoftware.

Ein vertraulicher Titel im Hostnamen ist so geheim wie ein Aushang am Schwarzen Brett.
Markus Seyfferth, Chefredakteur Dr. Web

Geteilte Muse-Chats in Zahlen

Wie viele Adressen auffindbar waren und wie lange die Lücke offen blieb

6.800

Hostnamen geteilter Chats fand Claroc mit einer Abfrage in einer Passive-DNS-Datenbank

neue Hostnamen kamen an Clarocs letztem Prüftag hinzu

Scans zur Muse-Domain speichert urlscan.io, öffentlich abrufbar (eigene Abfrage)

12 Tage

lagen zwischen Clarocs Meldung an Meta und dem Stopp der Funktion

Vom Start bis zum Stopp

Start von Musenur in den USA

Datum8. September

StandTeilen per Link möglich

Abfrage und Stichprobeeinige Hundert Seiten geöffnet

Datum7. und 8. Oktober

StandSeiten ohne Anmeldung lesbar

Meldung an MetaBug-Bounty-Programm

Datum8. Oktober

Standkeine Antwort laut Claroc

Meta stoppt das Teilennach Anfrage von Ars Technica

Datum20. Oktober

Stand40 geprüfte Seiten nicht mehr erreichbar

Passive-DNS-DatenbankenHostnamen samt Titel

Datum21. Oktober

Standweiter gespeichert

Was sollten Unternehmen jetzt prüfen?

Meta bietet Muse bisher nur in den USA an.^[3] Die Lehre gilt trotzdem für jedes KI-Werkzeug: Ein geteilter Chat ist veröffentlicht. Stehen darin personenbezogene Daten von Kunden oder Beschäftigten, liegt eine Datenschutzverletzung vor. Der Verantwortliche muss sie nach Artikel 33 DSGVO binnen 72 Stunden der Aufsichtsbehörde melden, außer sie führt voraussichtlich zu keinem Risiko für die Betroffenen.^[5] Wie weit ein KI-Agent im Unternehmen sehen darf, gehört deshalb in jede KI-Richtlinie.

Teilen regeln: Halten Sie fest, dass geteilte Chats als öffentlich gelten und keine Kunden- oder Personaldaten enthalten dürfen.
Spuren suchen: Prüfen Sie bei urlscan.io, einem öffentlichen Prüfdienst für Webadressen, die Domains der KI-Werkzeuge, die Ihre Teams nutzen.^[6] Claroc rät, muse.ai und metaaiusercontent.com notfalls im DNS-Filter zu sperren.^[1]
Eigene Anwendungen prüfen: Entwickelt Ihr Team eine eigene Teilen-Funktion, gehören Titel und Kennung in den Pfad der Adresse, nie in die Subdomain.

Gegenüber Ars Technica erklärte Meta: „Wir haben diese Funktion pausiert, während wir den Bericht prüfen und überlegen, wie sich die Auffindbarkeit dieser Links ändern lässt.“^[2] Zum Start am 8. September hatte der Konzern Muse als von Grund auf sicher und datenschutzfreundlich beschrieben.^[3] Die geteilten Seiten öffnen sich nicht mehr, die Hostnamen samt Titeln stehen aber weiter in den DNS-Datenbanken.