ChatGPT, Claude, Grok: Deine Chats landen bei Trackern

Wer mit einem KI-Assistenten chattet, rechnet mit einem Gespräch zu zweit. Tatsächlich hören bei den meisten Diensten Dritte mit, zumindest am Rand. Forscher des IMDEA Networks Institute in Madrid haben neun Assistenten im Browser und acht davon als Android-App untersucht, darunter ChatGPT, Claude, Gemini, Grok und Perplexity. Jeder Dienst nahm Kontakt zu mindestens einem Werbe- oder Analysedienst auf, insgesamt zählte das Team 44 Firmen als Empfänger. Bei sechs der neun Weboberflächen und drei der acht Apps gingen dabei Teile der Gespräche mit raus, etwa der Link zum Chat, sein Titel oder sogar der eingegebene Text. Die Messungen liefen im Mai 2026 in Spanien. Die Arbeit ist von der Fachkonferenz Privacy Enhancing Technologies Symposium angenommen und erscheint offiziell im Juli 2027.

Was genau bei den Trackern ankommt

Am häufigsten fließt der Link zum Gespräch ab, bei fünf Weboberflächen, darunter ChatGPT, Claude und Grok. Das klingt harmlos, ist es aber nicht immer. Wer einen solchen Link kennt, kann je nach Dienst das ganze Gespräch öffnen. Den Titel eines Chats, den die KI aus deiner ersten Frage baut, gaben drei Dienste weiter, nämlich Grok, Gemini und Mistrals Le Chat. Am weitesten ging Grok. Hier landeten auf geteilten Seiten neben Link und Titel auch ein Bildschirmfoto und der letzte Prompt bei Google, Meta und TikTok. Perplexity schickte in der Android-App den eingegebenen Text an einen Testdienst namens Wingify.

Warum schon ein Titel heikel sein kann, zeigt ein einfaches Beispiel. Fragst du nach deinem Gehalt und der passenden Baufinanzierung, steht genau das hinterher als Überschrift über dem Chat. In der Studie reisten solche Daten meist zusammen mit Kennungen, die an dein Konto gebunden sind, etwa einer gehashten E-Mail-Adresse. Damit lässt sich ein Profil über mehrere Dienste hinweg verknüpfen. „Die meisten Nutzer haben keine Chance, das zu bemerken“, sagt Aniketh Girish vom IMDEA-Team, in der Oberfläche deute nichts darauf hin.

Die Forscher betonen, dass sie keinen Beleg dafür haben, dass die Empfänger die Gespräche tatsächlich lesen. Ein Test mit präparierten Links zeigt aber, wie weit Daten wandern können. Bei Grok wurden diese Links 70-mal abgerufen, von Rechnern in 14 Ländern, teils noch Tage später. Bei Claude, Copilot, DeepSeek und Le Chat gab es jeweils nur einen Abruf direkt nach dem Absenden. Dass geteilte Chats nicht privat bleiben müssen, zeigten im Juli schon Claude-Gespräche, die bei Google auftauchten.

Cookies ablehnen hilft, aber nur teilweise

Der Cookie-Banner ist der erste Hebel, und er wirkt durchaus. Rund drei Viertel der Kennungen gingen in der Studie erst nach einem Klick auf „Alle akzeptieren“ an Dritte. Bei Claude etwa stoppte die Ablehnung den Meta-Pixel und eine Weiterleitung an rund elf Dienste, die über Anthropics eigene Server lief. Gegen solche Weiterleitungen hilft übrigens kein Werbeblocker im Browser, weil sie gar nicht über deinen Rechner gehen. Vollständig schützt die Ablehnung trotzdem nicht. Nach dem Klick auf „Ablehnen“ blieben 80,8 Prozent der Tracker aktiv, und vier von neun Gratisdiensten sammelten weiter. Google Ads wurde bei sechs der neun Dienste trotzdem angesprochen. An den Trackern selbst ändert ein Abo wenig. Die stärksten Datenschutzschalter fanden die Forscher allerdings eher in den bezahlten Tarifen als in den kostenlosen, die die meisten Menschen nutzen.

Auf dem Handy kommt die Werbe-ID dazu. Drei Apps schickten sie an Dritte, nämlich Perplexity, Grok und Microsoft Copilot. Mit dieser Kennung verknüpfen Werbenetzwerke dein Verhalten über viele Apps hinweg. Ab Android 12 lässt sie sich löschen, unter Einstellungen, Datenschutz, Werbung und dort über „Werbe-ID löschen“. Apps bekommen danach nur noch eine Folge aus Nullen. DeepSeek und Meta AI gaben in der Studie keine Gesprächsinhalte an fremde Tracker weiter. DeepSeek nutzt allerdings chinesische Fingerprinting-Dienste, und Meta AI schickt die Android-ID an die eigenen Server.

Geteilte Chats gehören aufgeräumt

Den größten Hebel hast du bei geteilten Gesprächen, denn wer den Link hat, kann bei allen großen Diensten den Inhalt lesen. ChatGPT sammelt alle geteilten Links unter Einstellungen, Datenkontrollen, geteilte Links, dort lassen sich einzelne oder alle löschen. Bei Claude steht die Liste in den Datenschutzeinstellungen unter „Geteilte Chats“, alternativ stellst du einen Chat über das Teilen-Menü wieder auf privat. Google führt deine Gemini-Links unter gemini.google.com/sharing, xAI die Grok-Links unter grok.com/share-links. Für Perplexity raten die Forscher, Threads in den Freigabeeinstellungen auf privat zu stellen. Ein gelöschter Link schützt allerdings nur vor neuen Aufrufen, Kopien und Screenshots, die andere schon gemacht haben, bleiben bestehen.

Bei den Anbietern hat die Studie bisher wenig bewegt. Die Forscher haben ihre Ergebnisse im April an europäische Datenschutzbehörden geschickt, die spanische Behörde AEPD brachte das Thema im Juni in den Europäischen Datenschutzausschuss. Sie sehen gleich zwei Probleme mit der DSGVO. Die Datenschutzerklärungen nennen zwar Werbepartner, sagen aber nicht klar, dass Gesprächsdaten mitreisen, und eine Rechtsgrundlage für diese Weitergabe ist für sie nicht erkennbar. Eine offizielle Antwort der Anbieter blieb laut den Autoren aus. Perplexity entfernte schon im April den Meta-Pixel, vermutlich wegen einer Sammelklage in den USA. OpenAI erwähnt Tracker von Dritten seit Mitte August in seiner Datenschutzerklärung. Grok vergab im September weiterhin öffentlich abrufbare Links. Stellst du sensible Fragen, etwa zu Gesundheit oder Geld, reicht es also nicht, nur auf das KI-Training zu achten, gegen das du dich bei den großen Anbietern wehren kannst. Mindestens genauso wichtig ist, wohin der Chat selbst wandert, und das gilt erst recht, seit OpenAI Werbung in ChatGPT einführt.