Ein Klick auf einen geteilten ChatGPT-Link, und fremder Code lief im eingeloggten ChatGPT-Konto. Das haben Forscher der Sicherheitsfirma Parameter im Oktober 2026 gezeigt. OpenAI hat die Lücke am 26. Oktober behoben. Trotzdem lohnt sich ein genauer Blick: Der Fall zeigt, was in Chat-Verläufen steckt und warum Unternehmen wissen sollten, welche KI-Tools ihr Team nutzt.
Das Wichtigste in Kürze
- Was passiert ist: Über einen öffentlich geteilten Chat konnten die Forscher Code im Konto der Person ausführen, die den Link öffnete. Damit konnten sie deren Chat-Liste sehen und einen privaten Chat lesen, der nie geteilt worden war (Parameter).
- Der Stand heute: Gemeldet am 18. Oktober, von OpenAI als P1 eingestuft, behoben am 26. Oktober. Ein Missbrauch ausserhalb der Tests ist nicht bekannt.
- Was bleibt: Chat-Verläufe enthalten oft Kundendaten, Verträge und Zugangsdaten. Das Bundesamt für Cybersicherheit (BACS) rät, solche Daten gar nicht erst einzugeben und Firmenkonten statt privater Konten zu nutzen.
So funktionierte der Angriff
ChatGPT erlaubt es, einen Chat per Link zu teilen. Die Forscher bauten einen solchen geteilten Chat so, dass beim Öffnen eine Vorschau startete. Über eine Schwachstelle in einer Komponente für mathematische Formeln gelangte daraus Code auf die Seite chatgpt.com, und zwar im Namen der Person, die gerade eingeloggt war. In der stabilsten Variante brauchte es einen Klick auf «Vorschau», in einer späteren genügte es, den Link zu öffnen (Parameter).
Im Test zwischen zwei getrennten Konten konnten die Forscher:
- die Liste der letzten Chats des Opfers abrufen,
- einen privaten Chat öffnen, der nie geteilt worden war,
- einen kleinen Teil davon an einen eigenen Server senden.
Passwörter wurden dabei nicht gestohlen, und die Zwei-Faktor-Anmeldung wurde nicht umgangen. Der Angriff nutzte die bereits offene Sitzung. Laut den Forschern hätte der Code auch weitere Funktionen im Namen des Opfers aufrufen können, gezeigt haben sie das Lesen privater Chats.
Der Ablauf in Daten
| Datum (2026) | Was passiert ist |
|---|---|
| 13.–17. Oktober | Parameter findet die Schwachstelle und zeigt, dass ein geteilter Link zwischen zwei Konten genügt |
| 18. Oktober | Meldung an das Bug-Bounty-Programm von OpenAI |
| 21. Oktober | OpenAI bestätigt die Lücke und stuft sie von P2 auf P1 hoch, die höchste Dringlichkeit |
| 22.–23. Oktober | Erste Korrekturen, eine der beiden Web-Oberflächen ist noch offen |
| 26. Oktober | Beide Oberflächen sind korrigiert, die Lücke ist geschlossen |
| 28. Oktober | Parameter veröffentlicht den Bericht; Prämie: 5'000 US-Dollar |
Quelle: Parameter, «Do the Math: How We Took Over ChatGPT Accounts», 28.10.2026
Acht Tage von der Meldung bis zur Lösung sind schnell. Der Fall ist ein Beispiel dafür, wie Sicherheitsforschung funktionieren soll: finden, melden, beheben, dann erst veröffentlichen.
Warum Chat-Verläufe ein lohnendes Ziel sind
Die Lücke selbst ist geschlossen. Spannender für Unternehmen ist die Frage, was ein Angreifer in Ihren Chat-Verläufen gefunden hätte. Ein Chat-Verlauf ist ein Protokoll dessen, woran jemand gearbeitet hat: die eingefügte Kundenmail, der Vertragsentwurf, die Excel-Tabelle mit Löhnen, manchmal ein Passwort oder ein API-Schlüssel, damit die KI beim Programmieren hilft.
Das BACS nennt dieses Verhalten «Oversharing». Typisch sei, dass eine ganze E-Mail in den Prompt kopiert wird, mitsamt allen Personendaten (BACS, KI im Berufsalltag). Wer so arbeitet, macht aus jeder Lücke im KI-Tool eine Datenpanne.
Das Bewusstsein ist da: Laut der Studie «KMU Cybersicherheit 2026» erwarten vier von fünf Schweizer KMU, dass KI die Bedrohungslage verschärft. Gleichzeitig schult nur etwa ein Drittel die Mitarbeitenden regelmässig (BACS, cyberstudie.ch). Die Technik ist meist gut geschützt, die Lücke liegt bei Regeln und Gewohnheiten.
Was das BACS für KI am Arbeitsplatz empfiehlt
Das Bundesamt für Cybersicherheit hat im Oktober 2026 konkrete Regeln für KI im Berufsalltag veröffentlicht (BACS). Zusammengefasst:
| Empfehlung | Was das im Alltag heisst |
|---|---|
| Keine sensiblen Daten eingeben | Keine Kunden-, Patienten- oder Personaldaten, keine Geschäftsgeheimnisse, keine Zugangsdaten. Vor dem Absenden prüfen und anonymisieren. |
| Firmenkonto statt Privatkonto | Die Business- oder Enterprise-Version nutzen, die das Unternehmen freigegeben hat, nicht das private Gratiskonto. |
| Training ausschliessen | Wissen, ob Eingaben zum Training verwendet werden. Lösungen bevorzugen, die das vertraglich ausschliessen. |
| Klare interne Regeln | Festlegen, welche Tools erlaubt sind und welche Daten nie hineingehören, und das Team darin schulen. |
| Ergebnisse prüfen | KI-Antworten kritisch lesen, bevor sie weiterverwendet werden. |
Quelle: BACS, «KI im Berufsalltag: Chancen nutzen, Daten schützen», 16.10.2026
Die erste Regel ist im Alltag am schwersten einzuhalten. Wer Verträge prüft, Kundenanfragen beantwortet oder Personaldossiers zusammenfasst, arbeitet genau mit solchen Daten. Anonymisieren hilft, kostet aber Zeit und wird im Alltag oft übersprungen. Die Alternative ist eine KI, in der diese Daten gar nicht erst ein öffentliches Tool erreichen: eine Private KI auf Schweizer Infrastruktur oder eine KI On-Premise im eigenen Rechenzentrum.
Fünf Schritte für Ihr Unternehmen
Aus dem Fall und den Empfehlungen des BACS ergeben sich fünf Schritte. Das ist unsere Empfehlung aus der Praxis:
- Inventar machen. Welche KI-Tools nutzt Ihr Team, mit Firmen- oder Privatkonto? Inoffiziell genutzte Tools («Schatten-KI») sind der blinde Fleck, weil dort niemand Einstellungen, Verläufe oder geteilte Links im Blick hat.
- Geteilte Links aufräumen. Jeder öffentlich geteilte Chat ist für alle lesbar, die den Link kennen. In ChatGPT finden Sie Ihre geteilten Links unter Einstellungen › Datenkontrollen. Prüfen Sie bei Ihren Firmen-Tools, wer überhaupt Links teilen darf.
- Keine Geheimnisse in Chats. Passwörter, API-Schlüssel und Tokens gehören nie in einen Chat. Wurde einer eingefügt: als kompromittiert behandeln und ersetzen. Das empfiehlt auch die Analyse von AICybr zum Fall.
- Regeln auf eine Seite schreiben. Welche Tools für welche Daten? Eine Vorlage liefert die Handreichung für einen KI-Kodex des Bundes, die wir letzte Woche vorgestellt haben.
- Einmal schulen, dann erinnern. Eine kurze Schulung mit echten Beispielen aus Ihrem Alltag wirkt mehr als ein langes Dokument. Gute Gelegenheit: der nächste Fall wie dieser.
Häufige Fragen
Muss ich jetzt etwas tun?
Für die Lücke selbst nicht. OpenAI hat sie auf seiner Seite behoben, es gibt nichts zu installieren oder zurückzusetzen. Sinnvoll ist es trotzdem, alte geteilte Links zu löschen, die Sie nicht mehr brauchen.
Wurde die Lücke ausgenutzt?
Nach heutigem Stand nicht. Der Bericht beschreibt nur kontrollierte Tests der Forscher zwischen eigenen Konten.
Waren auch ChatGPT Business und Enterprise betroffen?
Der Bericht nennt keine Abos. Der Angriff lief über die Web-Oberfläche von chatgpt.com und setzte voraus, dass jemand eingeloggt war und einen geteilten Link öffnete.
Ist ChatGPT jetzt unsicher?
Diese Lücke ist geschlossen, und OpenAI hat schnell reagiert. Der Fall zeigt aber, dass auch bei den grössten Anbietern Lücken auftauchen. Für Unternehmen zählt darum vor allem, welche Daten in einem KI-Tool liegen, wo sie verarbeitet werden und wer darauf Zugriff hat.
Was das für die Wahl Ihrer KI-Plattform bedeutet
Wie gross der Schaden bei einer Lücke wäre, können Sie selbst steuern: welche Daten überhaupt in die KI gelangen, wo sie verarbeitet werden und ob Ihr Team ein freigegebenes Firmen-Tool nutzt statt privater Konten.
Bei Evoya AI werden Ihre Daten in der Schweiz oder in der EU verarbeitet und nie zum KI-Training verwendet. Für besonders sensible Daten gibt es Private KI auf Schweizer Infrastruktur oder On-Premise direkt bei Ihnen.
Wie sicher nutzt Ihr Team KI heute? Kostenloses Erstgespräch buchen → oder Evoya kostenlos testen
KI-Sicherheit verständlich, direkt ins Postfach
Wenn eine Lücke wie diese bekannt wird, erklären wir im Evoya-Newsletter, was sie für Unternehmen bedeutet. Dazu praktische Tipps für KI im Arbeitsalltag.
Newsletter abonnierenQuellen: Parameter, Do the Math: How We Took Over ChatGPT Accounts (28.10.2026) · BACS, KI im Berufsalltag: Chancen nutzen, Daten schützen (16.10.2026) · BACS, KMU Cybersicherheit 2026 (22.10.2026) · cyberstudie.ch · AICybr, Analyse des Falls
Mehr zum Thema: php2shell – wie KI Angriffe billiger und Verteidiger schneller macht, und KI-Gesetz Schweiz – was der Bundesrat entschieden hat.