Auf die Schnelle

Am 25. Juli 2026 zeigte ein Nutzer auf Reddit, dass sich über die Suchabfrage site:claude.ai/share öffentlich geteilte Claude-Konversationen finden lassen. Berichtet wurden mehr als 200 Konversationen über mindestens 25 Ergebnisseiten, darunter laut Medienberichten medizinische Unterlagen, interne Firmendokumente und Lebensläufe. Technische Ursache war laut Berichterstattung ein fehlendes noindex-Tag: Ein Eintrag in der robots.txt allein verhindert keine Indexierung, wenn ein Link anderswo öffentlich auftaucht. Anthropic erklärte gegenüber TechCrunch, Share-Links seien nicht erratbar und erschienen nur in Suchergebnissen, wenn Nutzer sie an für Crawler erreichbaren Orten posteten. Google begann am 26. Juli, die Treffer zu entfernen, nachdem noindex ergänzt worden war.

Es war kein Einbruch und kein Hackerangriff. Es waren Links, die Nutzer selbst erzeugt hatten, und die dann für Suchmaschinen auffindbar waren. Genau deshalb ist der Vorfall Ende Juli für Betriebe lehrreicher als jede Meldung über einen echten Angriff.

Was passiert ist

Am 25. Juli 2026 postete ein Reddit-Nutzer, dass die Google-Abfrage site:claude.ai/share zahlreiche öffentlich lesbare Claude-Konversationen zutage fördert. Berichtet wurde von mehr als 200 geteilten Konversationen über mindestens 25 Ergebnisseiten. Betroffen waren geteilte Chats und Artifacts, also die Ergebnisdokumente, die Claude erzeugt.

Was in diesen Konversationen stand, haben mehrere Medien beschrieben. Genannt wurden ein medizinischer Befund einer realen Person, Studiendaten mit Patientennamen, Mitarbeiterbewertungen, als intern gekennzeichnete Firmenunterlagen, Lebensläufe sowie in Einzelfällen Zugangsdaten zu Krypto-Wallets und persönliche Kontaktdaten.

Anthropic äußerte sich gegenüber TechCrunch: Die Share-Links seien nicht erratbar oder auffindbar, solange Nutzer sie nicht selbst weitergeben, und sie tauchten in Suchergebnissen nur auf, wenn sie an Orten gepostet würden, die für Crawler erreichbar sind. Nach Berichten begann Google am 26. Juli damit, die Treffer zu entfernen, nachdem Anthropic die Konfiguration angepasst und noindex ergänzt hatte. Über das Wochenende verschwanden die Einträge.

Der technische Kern: Disallow ist nicht Noindex

Dieser Punkt lohnt sich für jeden, der eine Website betreibt. Ein Eintrag in der robots.txt sagt einem Crawler, er möge eine Adresse nicht abrufen. Er sagt nicht, die Adresse dürfe nicht im Index auftauchen.

Wenn ein Link irgendwo öffentlich steht, etwa in einem Forum, einem Blogbeitrag oder einem öffentlichen Chat, kann eine Suchmaschine die Adresse trotzdem in den Index aufnehmen. Verhindern lässt sich das nur mit einem noindex-Meta-Tag im Dokument selbst oder einem entsprechenden HTTP-Header, und dafür muss die Seite abrufbar sein.

Das ist ein alter Klassiker aus der Suchmaschinenoptimierung, der hier ein prominentes Beispiel bekommen hat. Wer Inhalte hat, die nicht in Suchergebnissen erscheinen sollen, arbeitet mit noindex oder mit echtem Zugriffsschutz, nicht mit robots.txt.

Warum Betriebe das besonders angeht

Der Teilen-Knopf in KI-Werkzeugen sieht aus wie das Weiterleiten einer E-Mail. Er verhält sich anders. Ein Freigabe-Link erzeugt eine öffentlich abrufbare Seite. Wer den Link hat, kommt hinein, ohne Anmeldung, ohne Nachweis, ohne Ablauf.

In der Praxis passiert Folgendes: Jemand lässt sich einen Vertragstext zusammenfassen, ein Angebot formulieren oder eine Kündigung entwerfen, findet das Ergebnis gut und schickt den Link an einen Kollegen. Vielleicht in eine WhatsApp-Gruppe, vielleicht in ein öffentliches Forum, weil er stolz auf das Ergebnis ist. Ab diesem Moment ist der Inhalt außerhalb der Kontrolle des Betriebs, und in dem Chat steht möglicherweise der volle Name des Kunden, die Vertragssumme und die interne Einschätzung dazu.

Das ist der eigentliche Befund dieses Vorfalls, unabhängig davon, wie man die Rolle des Anbieters bewertet. Die Funktion hat getan, was sie tun sollte. Die Nutzer haben verstanden, sie würden etwas weitergeben, und tatsächlich veröffentlicht.

Was ihr jetzt im Betrieb regeln solltet

Der erste Schritt kostet fünf Minuten: Prüft, ob in eurem Betrieb jemand Freigabe-Links aus KI-Werkzeugen erzeugt hat. Die meisten Anbieter zeigen in den Einstellungen eine Liste aller aktiven geteilten Links, und die lassen sich einzeln zurückziehen.

Der zweite Schritt ist eine schriftliche Regel, und die muss kurz sein, sonst liest sie niemand. Drei Sätze reichen. Erstens: Freigabe-Links aus KI-Werkzeugen sind eine Veröffentlichung und werden für Inhalte mit Kunden- oder Personalbezug nicht verwendet. Zweitens: Zum Weitergeben von Ergebnissen wird kopierter Text in die üblichen internen Kanäle genutzt. Drittens: Wer trotzdem einen Link braucht, holt vorher eine Freigabe ein und zieht ihn danach zurück.

Der dritte Schritt betrifft die Technik. Wenn eure Firma einen Business- oder Enterprise-Plan nutzt, lässt sich das Teilen in vielen Werkzeugen zentral abschalten. Das ist zuverlässiger als jede Anweisung, die von guter Erinnerung abhängt.

Artikel 32 DSGVO verlangt technische und organisatorische Maßnahmen, die zum Risiko passen. Eine Regel zum Umgang mit Freigabefunktionen und, wo möglich, deren Abschaltung fällt genau darunter. Wie das in eurem Fall konkret zu bewerten ist, klärt der Datenschutzbeauftragte, hier steht keine Rechtsberatung.

Der Punkt, an dem Schatten-KI teuer wird

Wir sehen bei Betrieben immer wieder dasselbe Muster. Es gibt keine Regel für KI-Werkzeuge, also nutzt jeder das, was er privat kennt, mit dem privaten Konto. Wenn dann etwas schiefgeht, weiß niemand, welche Daten wo gelandet sind, und die Aufarbeitung dauert Wochen.

Das Gegenmittel ist unspektakulär. Ein bis zwei freigegebene Werkzeuge mit Firmenkonten, eine kurze Regel dazu, eine benannte Person, die Fragen beantwortet. Damit ist mehr gewonnen als mit jeder Technikdiskussion.

Firmenkonten haben dabei einen Vorteil, der oft übersehen wird. Sie geben dem Betrieb überhaupt erst einen Überblick darüber, wer welche Werkzeuge nutzt, und sie erlauben zentrale Einstellungen wie das Abschalten von Freigabefunktionen. Bei privaten Konten der Mitarbeiter existiert dieser Hebel schlicht nicht, und im Zweifel weiß niemand, wo etwas hochgeladen wurde. Der Aufpreis für einen Geschäftstarif ist gegenüber diesem Kontrollgewinn meistens die kleinere Zahl.

Die Pflicht zur KI-Kompetenz nach Artikel 4 der EU-KI-Verordnung, in Kraft seit dem 2. Februar 2025, meint im Kern genau das. Beschäftigte müssen wissen, wie die Werkzeuge funktionieren, die sie einsetzen. Ein Teilen-Knopf, den die halbe Belegschaft für eine Weiterleitung hält, ist ein Lehrbuchbeispiel für fehlende Kompetenz, und zwar auf beiden Seiten, beim Nutzer wie beim Anbieter. Wer den Unterschied zwischen Weitergeben und Veröffentlichen einmal in einer Schulung erklärt bekommen hat, klickt danach anders.

Quellen

Die genannten Angaben stützen sich auf folgende öffentlich zugängliche Quellen (Stand der Recherche: 3. August 2026):

Häufige Fragen

Was ist genau passiert?

Am 25. Juli 2026 zeigte ein Reddit-Nutzer, dass sich über die Suchabfrage site:claude.ai/share öffentlich geteilte Claude-Konversationen finden lassen. Berichtet wurden mehr als 200 Konversationen über mindestens 25 Ergebnisseiten. Betroffen waren vom Nutzer selbst erzeugte Freigabe-Links, es handelte sich weder um einen Einbruch noch um einen Angriff.

Warum hat die robots.txt das nicht verhindert?

Ein Eintrag in der robots.txt sagt einem Crawler nur, er möge eine Adresse nicht abrufen. Er verhindert nicht, dass die Adresse im Index landet, wenn der Link anderswo öffentlich auftaucht. Dafür braucht es ein noindex-Meta-Tag im Dokument oder einen entsprechenden HTTP-Header. Genau dieses Tag fehlte laut Berichten.

Was hat Anthropic dazu gesagt?

Anthropic erklärte gegenüber TechCrunch, die Share-Links seien nicht erratbar oder auffindbar, solange Nutzer sie nicht selbst weitergeben. Sie erschienen in Suchergebnissen nur, wenn sie an für Crawler erreichbaren Orten gepostet würden. Google begann laut Berichten am 26. Juli, die Treffer zu entfernen, nachdem noindex ergänzt worden war.

Was sollte ich jetzt im Betrieb tun?

Prüfe in den Einstellungen eurer KI-Werkzeuge, ob aktive Freigabe-Links bestehen, und zieh sie zurück. Halte schriftlich fest, dass Freigabe-Links eine Veröffentlichung sind und für Inhalte mit Kunden- oder Personalbezug nicht verwendet werden. In Business- und Enterprise-Plänen lässt sich das Teilen oft zentral abschalten, was zuverlässiger ist als jede Anweisung.

Klare Regeln für KI-Werkzeuge im Betrieb aufsetzen?

Im kostenlosen KI-Schnupperkurs zeigen wir in fünf Lektionen, wie kleine und mittlere Firmen KI im Alltag nutzen. Tiefer und praxisnah geht es im Vollkurs Digitalisierungsmanager, DEKRA-zertifiziert und förderfähig über den Bildungsgutschein.

Zuletzt aktualisiert: 3. August 2026. Stand der Recherche: 3. August 2026.