Geteilte Chats mit Meta Muse haben Geschäftsgeheimnisse offengelegt. Was kleine Unternehmen daraus lernen sollten
Forscher der Sicherheitsfirma Claroc haben mit einer einzigen Suche in öffentlichen DNS-Daten mehr als 6.800 Unterhaltungen gefunden, die Nutzer von Metas KI-Agent Muse per Link geteilt hatten. Unter den einigen Hundert geöffneten waren ein Kreditantrag eines Kleinunternehmens mit dem beantragten Betrag, eine interne Umsatzübersicht für den CEO und ein Jahresurlaubsplan mit Dutzenden Mitarbeitenden. Nach Anfragen von Ars Technica hat Meta die Freigabefunktion pausiert. Die Lehre gilt für jedes KI-Tool: Ein Freigabelink ist nicht privat.
Was passiert ist
Muse ist Metas neuer KI-Agent. Er füllt selbstständig Formulare aus, bucht Termine, kauft ein und erstellt Dokumente und braucht deshalb Zugriff auf die meisten Konten seiner Nutzer. Wie viele KI-Assistenten kann er eine Unterhaltung per Link teilen. Laut Ars Technica schrieb Muse den Titel der Unterhaltung direkt in die Webadresse, in die Subdomain (vereinfachtes Beispiel: loan-application-draft-a4c9e2.cf.metaaiusercontent.com).
Sobald jemand einen solchen Link öffnet, kann die Adresse in Passive-DNS-Datenbanken landen, kommerziellen Diensten, die aufgerufene Domainnamen speichern. Claroc durchsuchte eine solche Datenbank nach Metas Freigabedomain und erhielt nach dem Herausfiltern von Störungen mehr als 6.800 Adressen. Neben dem Kreditantrag und der Umsatzübersicht nennen die Forscher den Bericht eines Immobilieninvestors mit zwei Objektadressen und Hypothekenzahlen sowie eine Aufgabenliste mit einer Betrugswarnung der Bank und einer teilweisen Kontonummer. „Es brauchte eine einzige Abfrage“, schrieben sie.
Claroc hat das Problem nach eigenen Angaben am 8. Oktober über Metas Bug-Bounty-Programm gemeldet. Meta teilte Ars Technica mit, die Freigabe sei pausiert, während man den Bericht prüfe und Änderungen erwäge. Am 20. Oktober meldete Claroc, dass sich 40 zuvor geprüfte Freigaben nicht mehr öffnen lassen; die Adressen samt Titeln stehen aber weiter in der Passive-DNS-Historie.
Was bedeutet das für Sie
- Behandeln Sie jeden KI-Freigabelink als öffentlich. Was Sie nicht auf Ihrer Website veröffentlichen würden, gehört nicht in eine KI-Unterhaltung, die Sie teilen wollen. Das gilt für jedes KI-Tool mit einer „Teilen“-Schaltfläche, nicht nur für Muse.
- Führen Sie eine einfache KI-Regel für Ihr Team ein. Kundendaten, Verträge, Kredit- und Steuerunterlagen, Gehälter und Mitarbeiterlisten gehören nicht in KI-Chats, die geteilt werden. Dafür gibt es interne Dateien mit Zugriffskontrolle.
- Prüfen Sie, was bereits draußen ist. Sehen Sie alte Freigabelinks in den KI-Tools Ihres Teams durch und löschen Sie sie. Einem KI-Agenten mit Zugriff auf E-Mail und Konten begegnen Sie mit derselben Vorsicht wie einem neuen Mitarbeiter, dem Sie alle Schlüssel geben.
2-Punkte-Auswertung
Sie wissen nicht, wie angreifbar Ihre Website ist oder was KI-Assistenten und Suchmaschinen dort sehen? Schicken Sie mir Ihren Link. Innerhalb von 24 Stunden erhalten Sie einen Befund zu Ihrer Website, einen zu Ihrer Sichtbarkeit bei Google und in der KI-Suche sowie einen empfohlenen nächsten Schritt. Für kleine Unternehmen und Selbstständige, unverbindlich.
Wöchentlicher KI-Überblick für kleine Unternehmen
Einmal pro Woche: KI-News und was sie für Ihr Unternehmen bedeuten.
Meldung teilen
Quellen
- Ars Technica (Dan Goodin), 20.10.2026: Meta Muse exposes users’ personal and business secrets when they share conversations (auf Englisch)
- Claroc Research, 18.10.2026: GhostShares: A Shared Muse Chat Exposed Prep for a Confidential Call With a Frontier AI Lab Leader (auf Englisch)
Claroc ist ein Sicherheitsunternehmen, das ein Tool zur Überwachung von Freigaben in KI-Apps verkauft.