Meta Muse: 6.800 geteilte Chats über DNS auffindbar, Teilen pausiert

Metas KI-Agent Muse hat ein weiteres Datenschutzproblem: Geteilte Unterhaltungen ließen sich ohne Link finden und öffnen. Die Sicherheitsfirma Claroc stieß in öffentlich abfragbaren DNS-Archiven auf mehr als 6.800 Adressen geteilter Muse-Chats, jeweils mit dem Titel des Gesprächs im Klartext. Meta hat die Teilen-Funktion am 20. Oktober 2026 vorerst abgeschaltet.

Claroc nennt das Phänomen „GhostShares“: geteilte Seiten, die auch Menschen öffnen können, denen niemand den Link geschickt hat. Für Nutzer in Deutschland ist der Fall vor allem als Lehrstück interessant, denn Muse ist hierzulande noch nicht erhältlich. Er zeigt aber, wie schnell ein vermeintlich privater Link zum öffentlichen Inhaltsverzeichnis werden kann.

Wie konnten Fremde die geteilten Chats finden?

Wer in Muse eine Unterhaltung teilen wollte, bekam eine eigene Web-Adresse. Das Problem lag im Aufbau dieser Adresse: Muse setzte den Gesprächstitel und eine zufällige Kennung direkt in den Hostnamen, also in den Teil vor der Domain cf.metaaiusercontent.com. Jede geteilte Unterhaltung bekam damit eine eigene Subdomain.

Hostnamen sind aber nicht privat. Damit ein Browser eine Seite laden kann, muss er den Namen per DNS auflösen. Sogenannte passive DNS-Dienste zeichnen solche Anfragen auf und bewahren die Namen in durchsuchbaren Archiven auf, oft für Jahre. Claroc musste deshalb weder raten noch systematisch Adressen durchprobieren. Eine Suche nach der Muse-Domain lieferte nach dem Herausfiltern von Störeinträgen mehr als 6.800 Hostnamen. Eine Indexierung durch Suchmaschinen war dafür nicht nötig.

Der zufällige Teil der Adresse sollte eigentlich verhindern, dass jemand einen Link errät. Weil er aber zusammen mit dem Titel in den Hostnamen wanderte, nützte er nichts mehr: Wer den Hostnamen aus dem Archiv kannte, kannte auch die komplette Adresse. Zusätzlich fanden die Forscher über 75 gespeicherte Analysen von Muse-Seiten beim Dienst urlscan.io.

Welche Inhalte waren einsehbar?

Claroc öffnete nach eigenen Angaben nur einige Hundert der gefundenen Seiten, also einen Bruchteil. Schon darunter waren Inhalte, die eindeutig nicht für die Öffentlichkeit bestimmt waren. Die Forscher beschreiben sie nur nach Kategorien und haben konkrete Namen und Kennungen zurückgehalten:

Bemerkenswert ist, dass schon der Titel allein Informationen preisgibt. Muse benennt Gespräche automatisch nach ihrem Inhalt. Ein ausgedachter Titel wie „Kreditantrag für unsere Bäckerei“ würde bereits einiges verraten, auch wenn die Seite selbst nicht mehr erreichbar ist.

Wie hat Meta reagiert?

Claroc meldete das Problem am 8. Oktober 2026 über Metas Bug-Bounty-Programm und veröffentlichte die Analyse am 18. Oktober. Gehandelt hat Meta erst, nachdem das US-Magazin Ars Technica nachgefragt hatte. Gegenüber Ars Technica erklärte das Unternehmen: „We've paused this functionality while we review this report and consider changes to how these links can be discovered.“

Meta spricht also von einer Pause, nicht von einer endgültigen Abschaltung. Ob und in welcher Form das Teilen zurückkehrt, ist offen. Als Claroc am 20. Oktober rund 40 zuvor erreichbare Links erneut prüfte, öffnete sich keiner mehr. Ob Meta die betroffenen Nutzer informiert hat, geht aus den bisherigen Berichten nicht hervor.

Ein Problem bleibt ungelöst: Die Hostnamen samt Gesprächstiteln stehen weiterhin in den DNS-Archiven. Meta kann die Seiten abschalten, die Einträge in Datenbanken Dritter aber nicht zurückholen. Laut Claroc entstanden selbst am letzten Beobachtungstag noch 27 neue Muse-Hostnamen.

Der dritte Datenschutzfall in sechs Wochen

Muse ist seit dem 8. September 2026 auf dem Markt und sorgt nicht zum ersten Mal für Schlagzeilen. Zwischen Ende September und Anfang Oktober wurde bekannt, dass der Agent einem fremden Käufer ohne Rückfrage die Wohnadresse eines Nutzers nannte und Profilseiten über Familie und Freunde anlegt. Meta sah damals keinen Verstoß gegen die eigenen Datenschutzeinstellungen.

Der neue Fall unterscheidet sich davon: Hier hat der Agent nicht eigenmächtig gehandelt, sondern eine Produktfunktion war unsicher gebaut. Neu ist das Muster in der Branche allerdings nicht. Bei ChatGPT tauchten 2025 geteilte Unterhaltungen in den Google-Ergebnissen auf, OpenAI entfernte daraufhin die Option, sie auffindbar zu machen. Bei Grok indexierte Google später mehr als 370.000 geteilte Chats. Bei Muse kam der Weg über DNS hinzu, den viele Entwickler offenbar nicht im Blick haben.

Was bedeutet das für Nutzer in Deutschland?

Muse ist weiterhin nur in den USA und Kanada verfügbar, einen EU-Termin hat Meta nicht genannt. Direkt betroffen sind deutsche Nutzer also nur, wenn sie den Dienst etwa über ein ausländisches Konto verwenden. Die Lehren gelten aber für alle KI-Assistenten mit Teilen-Funktion, die die meisten von uns täglich nutzen:

• Geteilt heißt öffentlich: Wer einen Link besitzt, kann die Unterhaltung lesen, in der Regel ohne Anmeldung. Vertrauliches gehört nicht in geteilte Chats.
• Titel prüfen: Viele Dienste vergeben Titel automatisch. Vor dem Teilen lohnt ein Blick darauf, was der Titel verrät.
• Alte Links löschen: ChatGPT, Gemini und Co. bieten in den Einstellungen eine Übersicht geteilter Links. Nicht mehr benötigte Freigaben sollten Sie dort entfernen.
• Firmendaten trennen: Umsatzzahlen oder Personalplanung gehören in die vom Arbeitgeber freigegebenen Werkzeuge, nicht in private KI-Konten.

Aus Sicht der DSGVO wäre ein solcher Fall in der EU vermutlich eine meldepflichtige Datenpanne, weil personenbezogene Daten Unbefugten zugänglich waren. Zuständig für Meta wäre die irische Datenschutzbehörde. Eine rechtliche Bewertung ersetzt diese Einordnung nicht. Wie aufmerksam die Aufsicht neue Meta-Produkte verfolgt, zeigte zuletzt die Debatte um KI-Training mit Bildern der Meta-Brillen.

Muse konnten wir selbst nicht ausprobieren. Dieser Artikel stützt sich auf die Angaben von Claroc, die Berichte der Fachpresse und Metas Statement gegenüber Ars Technica. Mehr zu den Funktionen des Agenten und den dahinterstehenden Modellen lesen Sie in unserem Überblick zu Muse Wonder und den Preisen der Meta-KI-Modelle.

Häufige Fragen

Was sind GhostShares?

So nennt die Sicherheitsfirma Claroc geteilte Muse-Chats, die auch Personen ohne Link finden und öffnen konnten. Möglich war das, weil Titel und Kennung jedes geteilten Chats im öffentlich protokollierten Hostnamen standen.

Sind die Chats noch abrufbar?

Nach Claroc-Angaben nicht: Am 20. Oktober 2026 öffnete sich keiner von rund 40 zuvor erreichbaren Links. Die Gesprächstitel stehen aber weiterhin in passiven DNS-Archiven.

Hat Meta die Teilen-Funktion endgültig abgeschaltet?

Nein, Meta spricht von einer Pause, während der Bericht geprüft wird. Ob die Funktion in veränderter Form zurückkommt, ist offen.

Kann ich Muse in Deutschland nutzen?

Nein. Stand 21. Oktober 2026 gibt es Muse nur in den USA und Kanada. Einen Termin für Deutschland oder die EU hat Meta nicht genannt.