Geteilt heißt öffentlich: Was das Muse-Datenleck über KI-Chats und Freigabelinks lehrt

Umsatzberichte, ein Kreditantrag, der Urlaubskalender einer Firma: All das war frei im Netz abrufbar, weil Nutzer ihre Unterhaltungen mit dem KI-Agenten Muse von Meta per Link geteilt hatten. Die Links waren nicht erratbar und galten als privat. Gefunden wurden sie trotzdem – über eine einzige Abfrage in einer öffentlich durchsuchbaren DNS-Datenbank.

Der Fall zeigt zweierlei: Ein Freigabelink ohne Anmeldung ist nie wirklich vertraulich. Und in KI-Diensten landen inzwischen Daten, die dort nie hätten landen dürfen.

Was passiert ist

Muse ist ein KI-Agent von Meta, der am 8. September 2026 gestartet ist. Wer eine Unterhaltung teilen wollte, erhielt eine öffentliche Seite, die sich ohne Anmeldung öffnen ließ. Die Adresse dieser Seite setzte sich aus dem Titel der Unterhaltung, einer kurzen Beschreibung und einer zufälligen Kennung zusammen – und zwar als Teil des Hostnamens, nicht nur im hinteren Pfad der Adresse.

Die zufällige Kennung war lang genug, dass niemand sie hätte erraten können. Das Problem lag woanders: Sobald jemand einen solchen Link öffnete, fragte sein Rechner den Hostnamen im DNS ab. Passive-DNS-Dienste zeichnen solche Abfragen auf und machen sie durchsuchbar. Das Sicherheitsunternehmen Claroc suchte dort nach der Domain, über die Muse geteilte Inhalte bereitstellte, und erhielt nach dem Herausfiltern von Rauschen über 6.800 Einträge – nach Titel sortiert, wie ein Inhaltsverzeichnis.

Unter den Seiten, die die Forscher stichprobenartig öffneten, fanden sich interne Umsatzberichte, ein Kreditantrag eines kleinen Unternehmens, eine Betrugswarnung einer Bank mit Teilen von Kontodaten, ein Urlaubskalender einer Firma und die Vorbereitung eines vertraulichen Gesprächs mit einem großen KI-Unternehmen samt Termin. Meta hat die Freigabefunktion am 20. Oktober ausgesetzt. Die bereits erfassten Hostnamen mit den Gesprächstiteln bleiben jedoch in der DNS-Historie gespeichert.

Die eigentliche Lehre: Geteilt heißt öffentlich

Muse ist nur das aktuelle Beispiel. Das Grundmuster betrifft jeden Dienst, der Inhalte über Links ohne Anmeldung freigibt: geteilte Unterhaltungen in KI-Diensten, OneDrive- und SharePoint-Links für „jeden mit dem Link“, Dateitransferdienste oder Online-Whiteboards. Ein solcher Link ist nur so lange vertraulich, bis ihn ein System sieht, das ihn speichert.

Schatten-KI: Das Problem hinter dem Problem

Bemerkenswert ist weniger die technische Panne als der Inhalt der geteilten Chats. Umsatzzahlen, Kreditunterlagen und Personalplanung landen in KI-Diensten, weil Mitarbeiter schnell ein Ergebnis wollen – oft mit privaten Konten und ohne dass die Firma davon weiß. Welche Daten das Unternehmen dabei verlässt, kann im Ernstfall niemand mehr sagen. Wie verbreitet solche Eigenlösungen sind, haben wir im Beitrag zur Schatten-IT beschrieben.

Was Unternehmen und Kommunen jetzt tun sollten

1. KI-Dienste festlegen: Bestimmen, welche KI-Werkzeuge dienstlich genutzt werden dürfen – mit Firmenkonto, geklärter Datenverarbeitung und passenden Einstellungen. Was erlaubt ist, wird genutzt; was verboten ist, ohne Alternative, wird heimlich genutzt.
2. Kurze KI-Richtlinie einführen: Eine Seite genügt: welche Dienste, welche Daten nie hinein dürfen, und dass Teilen-Funktionen in KI-Diensten tabu sind.
3. Freigabelinks in Microsoft 365 einschränken: Links für „jeden mit dem Link“ im SharePoint Admin Center deaktivieren oder zumindest mit kurzem Ablaufdatum versehen. Als Standard sollten Links nur für Personen in der Organisation oder für bestimmte Empfänger gelten.
4. Bestehende Freigaben prüfen: Alte anonyme Links in OneDrive und SharePoint aufspüren und entfernen. Viele davon sind vergessen, aber weiterhin gültig.
5. Berechtigungen aufräumen: Bevor Copilot oder andere KI-Assistenten auf Firmendaten zugreifen, müssen die Zugriffsrechte stimmen. Mehr dazu im Beitrag „Copilot kommt – aber erst die Berechtigungen aufräumen“.
6. Mitarbeiter sensibilisieren: Ein konkretes Beispiel wie Muse wirkt besser als jede abstrakte Regel. Es eignet sich gut für die nächste Rundmail oder Schulung.

Einordnung

Meta hat schnell reagiert, und die Kennungen waren nicht erratbar. Trotzdem waren tausende vertrauliche Unterhaltungen auffindbar, weil ein Detail der Adressgestaltung übersehen wurde. Das zeigt, wie wenig sich Nutzer auf die Vertraulichkeit eines Links verlassen können, dessen Funktionsweise sie nicht kennen. Die Konsequenz ist nicht, KI zu verbieten, sondern ihren Einsatz zu regeln: freigegebene Dienste, klare Grenzen für sensible Daten und Freigaben, die standardmäßig eine Anmeldung verlangen.

Quellen & weiterführende Links

• Unite.AI

  Meta Suspends Muse Chat Sharing After Researchers Find Links in Public DNS
• Dataconomy

  Meta pausiert das Teilen von Muse, nachdem 6.800 Links offengelegt wurden (21.10.2026)
• Connecting Experts

  Datenleck bei Meta Muse: Tausende KI-Chats öffentlich auffindbar
• all-ai.de

  Meta stoppt Muse-Freigaben nach Fund von 6.800 Chats
• Golem.de

  Meta Muse: Forscher finden Tausende geteilte KI-Chats über DNS-Datenbanken

Recherchestand: 21. Oktober 2026.