ChatGPT: Der Lockdown-Modus ließ deine Chats trotzdem abfließen

Seit Februar bietet ChatGPT einen Lockdown-Modus. Die freiwillige Sicherheitsstufe kappt die Wege, über die Daten aus einer Unterhaltung nach draußen gelangen könnten, etwa wenn ein untergeschobener Befehl die KI dazu bringt, private Informationen an eine fremde Adresse zu schicken. Ausgerechnet diese Sperre ließ sich umgehen. Das zeigt ein Bericht von Check Point Research vom 5. November. Über den Fehler konnten Angreifer den kompletten Chatverlauf abziehen, gefälschte Anmeldefenster einblenden und Schadsoftware verteilen. OpenAI hat die Lücke schon am 18. September geschlossen, Check Point hat danach erneut getestet und bestätigt, dass der Angriff nicht mehr funktioniert.

Die HTML-Vorschau öffnete ein Fenster nach draußen

Einfallstor war die HTML-Vorschau, die OpenAI im Februar 2026 in die Codeblöcke eingebaut hat. Sie zeigt generierten Webcode direkt als Seite an und schottet ihn in einer Sandbox ab. Diese Sandbox erlaubte allerdings Popups. Aus einem verschachtelten Rahmen heraus ließ sich so ein neues Fenster öffnen, für das die Regeln des Lockdown-Modus nicht mehr galten, und über dieses Fenster flossen Daten an einen Server des Angreifers. Den Anstoß konnte laut Check Point ein präparierter Prompt geben, ein manipulierter GPT oder ein geteilter Chat. Auch beim geteilten ChatGPT-Link, der private Chats auslesen konnte, war die HTML-Vorschau Teil der Angriffskette.

In ChatGPT Classic reichte ein normales Gespräch

Im Browser musste das Opfer noch auf eine Vorschau klicken, die der Angreifer als harmlosen Köder gestalten konnte. Gefährlicher war die Desktop-App ChatGPT Classic. Sie basiert auf dem Framework Electron, und dort öffneten sich neue Fenster auch ohne jedes Zutun. Laut Check Point genügte es, eine Unterhaltung zu führen, damit der Verlauf unbemerkt abfloss. ChatGPT Classic ist die bisherige Desktop-App, die OpenAI laut seiner Hilfeseite zum Umstieg neben der neuen ChatGPT-App mit Chat, Work und Codex weiter mit Sicherheitsupdates versorgt. Im selben Fenster sah ein Phishing-Formular aus wie ein Teil von ChatGPT, was den Köder noch glaubwürdiger machte.

Für wen sich der Lockdown-Modus trotzdem lohnt

Wegen dieser Lücke musst du nichts unternehmen, der Fix sitzt auf OpenAIs Seite. Der Modus selbst bleibt sinnvoll, ist laut OpenAI aber ausdrücklich nicht für alle gedacht. Er richtet sich an Menschen, die mit sensiblen Daten arbeiten, und kostet spürbar Komfort. ChatGPT greift dann nur noch auf zwischengespeicherte Webinhalte zu und lädt keine Bilder aus dem Netz. Deep Research, der Agentenmodus, Live-Connectors und Datei-Downloads sind abgeschaltet, Bilder erzeugen kannst du weiterhin. Am Training mit deinen Chats ändert der Modus nichts, das regelst du getrennt in den Datenkontrollen, wie unser Ratgeber zum KI-Training zeigt.

Laut der OpenAI-Hilfe zum Lockdown-Modus findest du den Schalter unter Einstellungen, Sicherheit und dort unter Erweiterte Sicherheit. Verfügbar ist er für berechtigte Privatkonten und Self-Service-Konten von ChatGPT Business, je nach Tarif und Stand der Verteilung. Für einen einzelnen Chat lässt er sich über das Drei-Punkte-Menü wieder abschalten. Geteilte Chats aus unbekannten Quellen öffnest du am besten in einem privaten Browserfenster ohne Anmeldung. Die PIN-Sperre für einzelne Chats schützt nur vor neugierigen Blicken am Gerät und bremst solche Angriffe nicht aus.