Ein Forschungsteam des IMDEA Networks Institute in Madrid hat neun KI-Chatbots im Browser und acht Android-Apps untersucht und dabei gemessen, welche Daten aus einem Gespräch bei Werbe- und Analysediensten landen. Erhoben wurde im Mai 2026 in Spanien, die Arbeit ist bei der Konferenz PoPETs 2027 angenommen. Das Ergebnis: Sechs von neun Web-Clients und drei von acht Apps geben Gesprächsartefakte an Dritte weiter, alle neun kontaktieren mindestens einen Werbe- oder Tracking-Dienst, und selbst wer nicht notwendige Cookies ablehnt, wird zu 80,8 Prozent weiter getrackt. Was die Studie nicht zeigt: dass Tracker die Gespräche tatsächlich gelesen haben. Was sie zeigt: dass sie es könnten. Für Betriebe, die ChatGPT und Co. im Kundenkontakt nutzen, ist das kein Randthema – es berührt genau die Daten, die Sie täglich in ein Eingabefeld tippen.
Wir arbeiten selbst täglich mit diesen Werkzeugen, in der Beratung wie in der eigenen Content-Produktion. Deshalb interessiert uns an dieser Studie weniger die Schlagzeile als die Messung: Was genau verlässt das Gespräch, auf welchem Weg, und was davon bleibt übrig, wenn ein Betrieb die naheliegenden Gegenmaßnahmen ergreift. Dieser Text sortiert die Befunde, benennt die Grenzen der Untersuchung und leitet daraus ab, was in einem Betrieb mit acht oder achtzig Mitarbeitern tatsächlich zu tun ist. Alle Zahlen stammen aus Quellen, die am 17.10.2026 abgerufen und auf Abrufbarkeit geprüft wurden; das Datum der Messung steht überall dort dabei, wo es für die Einordnung zählt.
Was gemessen wurde
Die Untersuchung heißt „Prompt like a Butterfly, Sting like a Tracker“ und stammt von Forschenden des IMDEA Networks Institute und der Universidad Carlos III de Madrid, dazu einem unabhängigen Anwalt und Datenschutzbeauftragten [1]. Sie ist keine Umfrage und keine Stichprobe aus Nutzerbeschwerden, sondern eine Messung: Die Forscher haben die Web-Oberflächen von neun Diensten mit Chrome und den Entwicklerwerkzeugen aufgezeichnet und acht Android-Apps auf einem präparierten Google Pixel 3a mit Android 12 mitgeschnitten, ergänzt um eine statische Analyse der App-Pakete [1].
Die neun Dienste: ChatGPT, Claude, Grok, DeepSeek, Perplexity, Gemini, Microsoft Copilot, Le Chat und Meta AI [1]. Variiert wurden die Bedingungen, die im Alltag eine Rolle spielen – Cookie-Banner ignorieren, nicht notwendige Cookies ablehnen, alles akzeptieren; Gastzugang, kostenloses Konto, bezahltes Konto; Privatmodus; das Teilen eines Chats [1]. Jede Konfiguration wurde einmal gemessen, im Black-Box-Verfahren. Zusätzlich haben die Forscher Köder-Links in Prompts und in hochgeladene Dokumente gesetzt, um später nachweisen zu können, ob und von wo aus darauf zugegriffen wird [1].
Der Studienstatus ist wichtig für die Bewertung: Die Arbeit ist bei Proceedings on Privacy Enhancing Technologies (PoPETs) 2027 angenommen, also durch ein Fachgutachten gegangen [1][4]. In der deutschen Berichterstattung vom 6. Oktober 2026 stand noch „Preprint“ – das ist überholt [7].
| Punkt | Stand laut Studie |
|---|---|
| Getestete Dienste | 9 Web-Clients, 8 Android-Apps |
| Messzeitraum und Ort | Mai 2026, Spanien |
| Variablen | Cookie-Zustand, Kontostufe, Privatmodus, geteilter Chat |
| Nicht abgedeckt | Enterprise- und Behördentarife, iOS-Apps |
| Status | angenommen bei PoPETs 2027 (peer-reviewed) |
Die Zahlen, die den Ausschlag geben
Vier Befunde tragen die ganze Diskussion, und sie haben unterschiedliche Nenner – das wird in Kurzmeldungen gern vermischt.
Sechs von neun Web-Clients und drei von acht Android-Apps geben Gesprächsartefakte weiter. Das Paper nennt als Beispiele Gesprächs-URLs, Titel, Prompts und Screenshots [1]. Namentlich zuordnen lässt sich die Gruppe der sechs über die Berichterstattung: ChatGPT, Claude, Gemini, Grok, Le Chat (Mistral AI) und Perplexity [8]. Bei Android sind es zwei Fälle mit Gesprächs-Kennung und ein Fall mit dem Prompt des Nutzers [1].
Alle neun Dienste kontaktieren mindestens einen Werbe- oder Analysedienst. Insgesamt haben die Forscher 124 verschiedene Drittanbieter-Domains aus 44 Organisationen beobachtet, 34 davon als Werbe- oder Tracking-Dienste klassifiziert [1]. Kontakt heißt nicht, dass in jedem Fall Gesprächsinhalt fließt. Es heißt, dass die technische Verbindung besteht.
Der Cookie-Banner ist keine Kontrolle. Nach Ablehnung nicht notwendiger Cookies blieben 80,8 Prozent der beobachteten Drittanbieter-Tracker aktiv [1]. In 4 von 9 Diensten sammelten Dritte auch nach der Ablehnung weiter Daten [1]. Das ist die Zahl, an der sich zeigt, dass die übliche Antwort „dann klicken wir da eben auf Ablehnen“ nicht trägt.
Der größte Teil der Weitergabe passiert erst nach Zustimmung. 77,3 Prozent der beobachteten Übermittlungen von Web-Kennungen an Dritte erfolgten erst, nachdem Cookies akzeptiert wurden; bei den automatisch erzeugten Chat-Titeln sind es 8 von 9 Beziehungen [1]. Der Banner ist also nicht wirkungslos – er ist nur kein Schalter, der auf „aus“ schaltet.
Für Betriebe heißt das: Es gibt keinen bequemen Weg, das Thema mit einem Klick zu erledigen. Es gibt nur die Entscheidung, welche Daten überhaupt in ein Eingabefeld gehören.
Die vier Wege, auf denen Inhalte das Gespräch verlassen
Die Mechanismen sind unterschiedlich, und sie brauchen unterschiedliche Antworten. Deshalb hier getrennt, was zusammengehört.
Erstens die Gesprächs-URL und die globale Chat-Kennung. Fünf der neun Web-Clients geben Gesprächs-URLs oder eine globale Chat-Kennung an neun Dienste weiter; in drei von fünf Fällen standardmäßig, in den übrigen erst nach Cookie-Zustimmung [1]. Bei ChatGPT und Claude geht die global eindeutige Gesprächs-Kennung als eigener Parameter an Datadog – daraus lässt sich die öffentliche URL des Gesprächs rekonstruieren [1]. Die Kennung selbst enthält keinen Gesprächsinhalt. Sie ist der Schlüssel, der einen Inhalt aufschließt, sobald jemand anders ihn hat.
Zweitens die automatisch erzeugten Titel. Drei der neun Clients übermitteln die vom Dienst selbst erzeugte Chat-Überschrift an neun Drittanbieter – Gemini, Grok und Le Chat [1][8]. Diese Titel entstehen aus dem Prompt: Aus der Frage nach einer Hypothek bei 85.000 Dollar Gehalt machte Grok den Titel „85.000-Dollar-Gehalt in NYC: 280.000 bis 350.000 Dollar Hypothek“, und dieser Titel ging an Werbedienste [1][8]. Das ist der unangenehmste Punkt der ganzen Studie, weil hier Inhalt in einem Feld steht, das niemand als Inhalt wahrnimmt. Titel sind Zusammenfassungen, und Zusammenfassungen tragen die heikelsten Stichworte.
Drittens die serverseitige Weitergabe. Claude übermittelt nach den Messungen an elf Werbeplattformen, darunter Facebook, LinkedIn, TikTok, Reddit und Google Enhanced Conversions – und zwar über eine First-Party-Domain des Anbieters selbst (a-cdn.anthropic.com) [1]. Für eine Firewall oder eine Blockliste, die auf fremde Domains achtet, ist das unsichtbar. Zusätzlich erhält Intercom bei Claude Seiten-URL und E-Mail-Adresse jeder authentifizierten Sitzung; Hash-Kennungen gehen von Claude und Mistral an Intercom [2]. Eine Intercom-Übermittlung bei ChatGPT ist nicht belegt – in einigen Berichten steht sie trotzdem, sie gehört dort gestrichen [1].
Viertens der geteilte Chat und der offene Link. Grok erzeugt für jede Unterhaltung einen Permalink, der in der kostenlosen und in der bezahlten Version standardmäßig ohne Anmeldung funktioniert; abschalten ist möglich, aber es ist ein Opt-out [1]. Eine einzelne Grok-Unterhaltung erreicht sieben Werbe- und Tracking-Dienste, darunter Meta Pixel, TikTok, Google Ads und DoubleClick [1]. Wer einen geteilten Grok-Chat öffnet, löst dabei Übermittlungen aus: Meta und TikTok erhielten den letzten Prompt, TikTok zusätzlich einen Screenshot [1].
Dazu kommt die mobile Seite: Android-Apps übermitteln Werbe-IDs an Attribution-Dienste – Copilot an Adjust, Grok an AppsFlyer, Perplexity an Singular [1]. Auf dem Diensthandy ist das die Kennung, die eine Nutzung über Apps hinweg zusammenführt.
Der Köderversuch: 70 Zugriffe aus 14 Ländern
Der aufschlussreichste Teil der Studie ist ein Experiment, das ohne Personendaten auskommt. Die Forscher setzten eindeutige Köder-Links in Prompts und in hochgeladene Dokumente und beobachteten, wer sie später abruft. Ergebnis: 70 Aktivierungen von 70 verschiedenen IP-Adressen über 48 Autonome Systeme in 14 Ländern und vier Kontinenten, 65,7 Prozent der Verbindungen aus den USA [1].
Was das belegt: Die Links wurden abgerufen, nachdem das Gespräch beendet war, aus vielen verschiedenen Netzen. Was es nicht belegt: wer dahinter saß und ob der abgerufene Inhalt gelesen wurde. Ein Abruf ist ein technischer Vorgang, keine Lesehandlung. Genau an dieser Stelle kippt die Berichterstattung regelmäßig ins Dramatische, und genau dort verliert sie ihre belastbare Grundlage [2].
Free oder bezahlt macht kaum einen Unterschied
Wer für ein KI-Abo zahlt, erwirbt Rechenzeit und Grenzen, nicht automatisch Datenschutz. Die Forscher schreiben, kostenlose und bezahlte Konten zeigten nahezu identische Tracking-Infrastrukturen; die einzige gefundene Ausnahme war die Claude-App auf Android, wo Intercom und Sentry nur im kostenlosen Tarif auftraten [1].
Für die Praxis ist das eine unangenehme Nachricht, weil sie eine verbreitete Annahme entwertet. Die Kontostufe ist kein Datenschutzmerkmal. Wenn Sie in Ihrem Betrieb über Tarife entscheiden, entscheiden Sie über Nutzungsrechte, Geschwindigkeit und Datenverarbeitungsbedingungen – nicht über die Frage, ob Tracker im Spiel sind.
Was die Studie nicht sagt
Zu einer Messung gehört, was sie nicht erfasst hat. Diese sechs Punkte gehören deshalb mit in jede Weitergabe der Ergebnisse.
- Kein Nachweis des Mitlesens. Die Projektseite der Forscher sagt ausdrücklich, es gebe noch keine Belege dafür, dass Tracker Gespräche lesen [2]. Belegt sind Übermittlungen und die technische Zugriffsmöglichkeit auf öffentliche Links.
- Keine Aussage über Verkauf. Das Paper beschreibt Datenflüsse an Werbe- und Analysedienste. „Verkauft Gespräche“ ist eine Bewertung, keine Messung, und steht dort nicht.
- Keine Compliance-Feststellung. Die Autoren ordnen die Befunde entlang der DSGVO und von Artikel 5 Absatz 3 der ePrivacy-Richtlinie ein und stellen ausdrücklich fest, dass sie keine Rechtmäßigkeit feststellen [1]. Wer aus dem Paper ein Urteil über einzelne Anbieter ableitet, leitet mehr ab, als drinsteht.
- Zeitbindung. Alle Zahlen gelten für die Testkonfigurationen im Mai 2026. Anbieter ändern Datenflüsse – Perplexity hat die Übermittlung an Meta Pixel am 3. April 2026 eingestellt, nach einer US-Sammelklage vom 31. März 2026 [1].
- Geltungsbereich. Enterprise- und Behördentarife waren ausgeschlossen, iOS-Apps nicht Teil der Untersuchung [1]. Für einen Betrieb mit Microsoft-365- oder Google-Workspace-Vertrag sagt die Studie also nichts über die dort vereinbarte Konfiguration.
- Einzelmessung. Jede Konfiguration wurde einmal erhoben, im Black-Box-Verfahren [1]. Das reicht für die Aussage „diese Übermittlung findet statt“, nicht für Häufigkeiten im Tagesverlauf.
Was das für Ihren Betrieb heißt
Die naheliegende Reaktion ist ein Verbot. Die ist selten die richtige Antwort, weil die Werkzeuge dann ohne Regel im Betrieb weiterlaufen – auf privaten Geräten, ohne Dokumentation, ohne Kontrolle. Sinnvoller ist eine Reihenfolge, die mit der Frage beginnt, was überhaupt in ein Eingabefeld darf.
Erstens: Prompt-Hygiene als Regel, nicht als Ermahnung. Der Titel-Befund zeigt, wo das Problem konkret wird. Wer Kundennamen, Adressen, Gehaltsangaben, Krankheitsdaten oder Vertragsdetails in ein Eingabefeld tippt, produziert daraus eine Zusammenfassung, die der Dienst als Titel weiterreichen kann. Eine kurze Liste im Betrieb – welche Angaben dürfen in ein Prompt, welche nicht – erledigt mehr als jede technische Maßnahme. Bewährt hat sich die Übung, personenbezogene Angaben durch Platzhalter zu ersetzen und den Fall abstrakt zu beschreiben. Die Antwortqualität leidet kaum, der Datenfluss ändert sich grundlegend.
Zweitens: Freigabe statt Schattenbetrieb. Wenn Sie nicht wissen, welche KI-Dienste Ihre Mitarbeiter nutzen, wissen Sie auch nicht, welche Daten das Haus verlassen. Eine kurze Freigabeliste – diese Dienste ja, jene nein, für diese Zwecke – ist der kleinste sinnvolle Schritt. Sie ist auch die Voraussetzung dafür, dass Sie gegenüber Kunden und Prüfern überhaupt auskunftsfähig sind.
Drittens: die Einstellungen prüfen, die es gibt. Bei Grok ist der öffentliche Permalink der Punkt, an dem eine Fehleinstellung unmittelbar Wirkung hat; das Abschalten ist dokumentiert, aber es ist ein Opt-out [1]. Geteilte Chats sind in jedem Dienst eine bewusste Handlung – in einem Betrieb mit Kundenbezug sollte klar sein, wer teilen darf.
Viertens: den Banner nicht als Kontrolle verbuchen. 80,8 Prozent der Tracker blieben nach der Ablehnung aktiv [1]. Ein Cookie-Banner auf der eigenen Website ist kein Ersatz für eine Regel, die den Umgang mit Werkzeugen beschreibt.
Fünftens: die Rechtsfragen dorthin geben, wo sie hingehören. Ob und in welcher Rolle ein Betrieb verantwortlich ist, wenn Mitarbeiter Kundendaten in einen Chatbot eingeben, ob eine Vereinbarung zur Auftragsverarbeitung greift und wie Artikel 5 Absatz 3 der ePrivacy-Richtlinie auf den konkreten Dienst anzuwenden ist – das sind Rechtsfragen, und das Paper beantwortet sie ausdrücklich nicht [1]. Unsere Aufgabe in solchen Projekten ist die technische und organisatorische Seite: welche Werkzeuge, welche Daten, welche Einstellungen, welche Nachweise. Die rechtliche Bewertung gehört zur Rechtsberatung, und wir sagen das auch dann, wenn es dem Verkaufsgespräch nicht hilft.
Ein Hinweis zum Regelwerk, weil er in Diskussionen regelmäßig durcheinandergeht: Der EU AI Act ist bei diesem Thema nicht der Hebel. Er regelt Risikoklassen, Transparenz- und Pflichten für KI-Systeme; die Frage, welche Daten ein Chat-Client an einen Werbedienst übermittelt, hängt an der DSGVO und an der ePrivacy-Richtlinie. Beides ist wichtig, aber es sind zwei verschiedene Baustellen.
Ob der Fall politisch Folgen hat, lässt sich derzeit nicht sagen. Die Forscher haben ihre Befunde am 13. April 2026 den Datenschutzbehörden in der EU und im Vereinigten Königreich gemeldet [1]. Die spanische Behörde AEPD hat am 27. Mai 2026 den Europäischen Datenschutzausschuss gebeten, den Fall zu prüfen, mit Vortrag für die Plenarsitzung am 8. und 9. Juni 2026 [6]. Ein öffentlich dokumentiertes Ergebnis dieser Beratung ist nicht auffindbar; wer eines nennt, hat eine Quelle, die wir nicht haben. Google erklärte gegenüber netzpolitik.org, Google Analytics diene dem technischen Zweck, die Leistung von Gemini zu überwachen und Störungen zu erkennen, und man halte sich an die geltenden europäischen Datenschutzbestimmungen – auf die konkreten Befunde ging das Unternehmen nicht ein [8]. xAI hat bis zum 10. September 2026 nicht auf die Meldung der Forscher reagiert, und die Grok-Permalinks waren zu diesem Zeitpunkt weiterhin ohne Anmeldung abrufbar [1]. OpenAI hat am 15. August 2026 die eigene Datenschutzerklärung um Drittanbieter-Tracker ergänzt; ob das eine Reaktion auf die Studie war, lässt sich nicht belegen [1].
Wie wir selbst damit umgehen
Wir setzen dieselben Dienste ein, und wir haben daraus drei Regeln gemacht, die ohne Technik funktionieren. Sensible Kundendaten gehen nicht in einen Cloud-Chat, sondern in ein lokales Modell oder in ein Skript, das die Daten vorher ersetzt. Jedes Werkzeug, das im Betrieb genutzt wird, steht auf einer Liste mit einem Zweck und einer Grenze. Und bei jedem neuen Werkzeug wird vor dem ersten Einsatz geprüft, was es an Dritte weitergibt – nicht nach dem ersten Vorfall.
Das klingt unspektakulärer als ein Verbot und hält länger. Ein Betrieb, der weiß, was in seine Prompts gehört, braucht keine Angst vor der nächsten Studie. Er braucht nur eine Antwort auf die Frage, was er in ein Eingabefeld tippt.
Was nicht belegt ist
- Die Zuordnung der sechs betroffenen Web-Clients stammt aus der Berichterstattung, nicht aus einer Tabelle, die wir im Paper selbst Zeile für Zeile geprüft haben. Die Zahl 6 von 9 steht im Paper, die Namensliste stützt sich auf netzpolitik.org [1][8].
- Die 80,8 Prozent beziehen sich auf einzelne beobachtete Tracker, nicht auf Dienste. Die Angabe „4 von 9 Diensten“ hat einen anderen Nenner und ist ebenfalls korrekt – beide Zahlen gehören nicht in denselben Satz [1].
- Ob der Europäische Datenschutzausschuss im Juni 2026 beraten hat und mit welchem Ergebnis, ist öffentlich nicht dokumentiert [6].
- Stellungnahmen von OpenAI und Microsoft zu den Befunden kursieren in Sekundärberichten, liegen uns aber nicht im Original vor. Wir verwenden sie nicht.
- Aus der Studie folgt keine Aussage über Marktanteile, Nutzungszahlen oder die Frage, wie viele Betriebe betroffen sind..
Wenn in Ihrem Betrieb mehrere KI-Dienste im Einsatz sind und niemand genau sagen kann, welche Daten dort hineingehen: Wie viele Werkzeuge sind es, und wer hat sie freigegeben? Schreiben Sie uns zwei Sätze dazu. Sie bekommen eine ehrliche Einschätzung, welche Regeln zuerst greifen, was sich technisch abstellen lässt und was eine Rechtsberatung klären muss – und eine Absage, wenn ein Verbot bei Ihnen die einfachere Lösung ist.
Quellen
Alle Adressen wurden am 17.10.2026 abgerufen und auf Abrufbarkeit geprüft (HTTP 200). Messwerte und Anbieterverhalten sind Momentaufnahmen des Studienzeitraums Mai 2026.
- https://jorgegarciaherrero.com/wp-content/interactivos/20260916-Prompt-like-a-butterfly-sting-like-a-tracker-(clean).pdf – Oliveira et al., „Prompt like a Butterfly, Sting like a Tracker: A Privacy Analysis of Web and Mobile Conversational AI Agents“, PoPETs 2027 (PDF, CC BY 4.0), Volltext gelesen am 17.10.2026: Methodik (§4), Drittanbieter-Landschaft (§5.1), Befunde (§6.1–6.5), Tracker nach Cookie-Ablehnung (§8), Meldung an Behörden (Ethical Considerations), Abb. 7/11/12, Tab. 3
- https://leakylm.github.io/ – Projekt- und Disclosure-Seite der Forscher (Leakage-Matrix, Zugriffstabellen, Timeline, FAQ, darunter der Satz, dass noch keine Belege für ein Mitlesen durch Tracker vorliegen)
- https://networks.imdea.org/your-conversations-with-ai-may-not-be-as-private-as-you-think/ – IMDEA Networks Institute, Presseinformation vom 06.05.2026 (Einordnung des Instituts, Zitate der beteiligten Forschenden)
- https://hdl.handle.net/20.500.12761/2073 – IMDEA-DSpace-Datensatz (Status „inpress“, „refereed: TRUE“, Konferenz Delft 19.–24.07.2027, Lizenz)
- https://github.com/guinucool/pbst2027 – Artefakt-Repository der Studie (Auswertungs-Code und Labels; Roh-Traffic bewusst nicht öffentlich)
- https://www.aepd.es/prensa-y-comunicacion/notas-de-prensa/la-agencia-promueve-ante-las-autoridades-europeas-proteccion-estudie-ia – AEPD (Spanien), Pressemitteilung vom 27.05.2026 (Bitte an den Europäischen Datenschutzausschuss, Plenarsitzung 08./09.06.2026)
- https://www.heise.de/news/Diese-Daten-geben-ChatGPT-Gemini-Claude-und-Co-ueber-uns-an-Dritte-11476698.html – heise online, 06.10.2026 (deutschsprachige Einordnung; dort noch als „Preprint“ bezeichnet, inzwischen überholt)
- https://netzpolitik.org/2026/werbeindustrie-liest-mit-ki-chatbots-schicken-inhalte-aus-gespraechen-an-tracking-firmen/ – netzpolitik.org, 13.10.2026 (namentliche Zuordnung Gemini/Grok/Mistral, Titel-Beispiel, Google-Stellungnahme)
- https://ppc.land/6-of-9-ai-chatbots-pass-chat-titles-or-links-to-trackers-imdea-finds/ – ppc.land, 05.10.2026 (Detailauswertung, Auflösung der Nenner 44,4 Prozent Dienste gegen 80,8 Prozent Tracker)
Autor: Team REN-AI-SSANCE – mit KI-Unterstützung erstellt, von Menschen geprüft und freigegeben.
