Mitarbeiter des US-israelischen Unternehmens Radware fanden einen Weg, ChatGPTs „Deep Research Agent“ zum unfreiwilligen Verräter personenbezogener Daten zu machen. Die Sicherheitslücke lässt sich immer dann ausnutzen, wenn das Opfer dem LLM den Zugriff auf externe Konten gestattet und diese durch die KI durchsuchen oder zusammenfassen lässt. OpenAI-Chef Altman warnte bereits im Juli vor der Lücke, verschwieg jedoch eine wichtige Information.
Die Sicherheitslücke namens ShadowLeak macht sich die Tatsache zunutze, dass der LLM-Agent Aufgaben in großen Datenbeständen seiner Nutzer erledigen kann, wie etwa E-Mails nach bestimmten Kriterien zu durchsuchen. Dass große Sprachmodelle zudem Probleme haben, Daten und Befehle voneinander zu unterscheiden, führt zum ersten Schritt des Angriffs.
In diesem senden die Angreifer zunächst ihrem Opfer eine unschuldig wirkende (HTML-)Mail. Darin ist neben einem nichtssagenden sichtbaren Inhalt auch ein unsichtbares Prompt versteckt. Es enthält die böswilligen Instruktionen, an denen Radware lange feilen musste. Mit einer Kombination verschiedener Techniken zur Prompt Injection und Verschleierung gelang es den Forschern, ChatGPT zu folgenden Handlungen zu überreden:
Überzeugungsarbeit war, erklären die Entdecker von „ShadowLeak“, an jeder Stelle notwendig, um interne Sperren von ChatGPT zu überwinden. So verhindert die Base64-Kodierung, dass dem Modell die personenbezogenen Daten als solche auffallen. Dem Modell machten die Sicherheitsexperten weis, die Kodierung sei eine notwendige Sicherheitsmaßnahme. Regeln, die ChatGPT an der Exfiltration von Daten an externe URLs hindern, umgingen die Forscher mittels Instruktionen, das LLM möge „kreativ sein, um die URLs aufzurufen“.
Meldet sich das Opfer irgendwann nach Erhalt der präparierten E-Mail bei ChatGPT an, erlaubt den Zugriff auf sein Mailkonto und weist das LLM etwa an, alle Mails der vergangenen Tage zusammenzufassen, schnappt die Falle zu. Beim Durchforsten des Posteingangs liest der ChatGPT-Agent das sorgfältig vorbereitete Prompt und – unfähig, Daten und Kommandos zu unterscheiden – führt es aus. Der Agent wendet sich gleichsam gegen seinen Kommandeur und schleust sensible Daten aus dem Netzwerk.
Wie die Radware-Forscher schreiben, meldeten sie ihren Fund mittels des Portals BugCrowd am 18. Juni an OpenAI. Erst etwa sechs Wochen später war die Lücke behoben – und OpenAI geizte mit Rückmeldungen an die Entdecker. Erst am 3. September 2025 markierte der ChatGPT-Betreiber das Sicherheitsproblem offiziell als behoben.
OpenAI-CEO Sam Altman hatte bereits Mitte Juli ausdrücklich vor einem solchen Bedrohungsszenario gewarnt, dabei aber unterschlagen, dass seinem Unternehmen bereits konkrete Informationen über die „ShadowLeak“-Lücke vorlagen. Altman schrieb damals anlässlich der Produkteinführung des ChatGPT Agent auf X über die Risiken des E-Mail-Zugriffs: „Das könnte dazu führen, dass nicht vertrauenswürdige Inhalte aus einer bösartigen E-Mail das Modell dazu bringen, Daten auszuplaudern.“
Was im Juli noch recht vage, nahezu sybillinisch anmutete, ist nun offenkundig: Dem OpenAI-Team war die Sicherheitslücke bereits seit Wochen bekannt, und es arbeitete an deren Behebung. Die Produkteinführung des ChatGPT Agent verschoben die Kalifornier jedoch nicht und auch den Hinweis, dass ein konkreter Exploit vorlag, unterließen sie.
Dass LLMs Schwierigkeiten haben, Eingabedaten von Befehlsprompts zu unterscheiden, ist keine neue Erkenntnis. So gelang es einem Sicherheitsforscher, Modelle mit verwirrenden Zeitangaben zur Erstellung von Anleitungen zum Bombenbau zu verleiten.
(cku)
Mit Paypal kann man jetzt auch in Geschäften zahlen – und sogar auf dem Flohmarkt, wie Schauspieler Will Ferrell in einer Werbekampagne zeigt. In der deutschen Version sagt er zu einem kleinen Jungen, der ihn beim Kauf einer Actionfigur über den Tisch zieht: „Wenigstens meine Daten sind sicher vor euch Abzockern.“ Doch die Aussage ist nicht wahr.
Die Finanztransaktionsplattform PayPal positioniert sich in einer Werbekampagne als Alternative zum Bargeld. Dabei gibt es einen drastischen Unterschied zwischen beiden Zahlungsmitteln. Bargeld wird zwar auch getrackt, aber die Daten, die Paypal erhebt – und an Werbetreibende verkauft – sind viel umfassender als nur die Info, welche Summe von wo nach wo wandert.
Das Netzwerk Datenschutzexpertise hat die Datenschutzpraxis von Paypal im Rahmen eines juristischen Gutachtens untersucht und kommt zu einem vernichtenden Ergebnis. Das Unternehmen erfasst, was du zu welchem Preis kaufst, von welchem Unternehmen du es erwirbst, und wohin du es liefern lässt. Es speichert Standortdaten, die Liste der Apps auf deinem Telefon, welches Gerät und welchen Browser du benutzt und welche Websites du besuchst.
Das Unternehmen erlaubt sich laut Datenschutzerklärung auch, deinen Fingerabdruck zu erfassen, dein Einkommen, deine Telefon- und Steuernummer, deinen Beruf, dein Alter, dein Geschlecht, deine Kreditwürdigkeit und deine finanzielle Situation. In dem Datensatz, den der Konzern über dich anlegt, sind – so die Datenschutzerklärung – womöglich auch religiöse Überzeugungen, politische oder philosophische Ansichten, Behinderungen und die sexuelle Orientierung vermerkt, sowie „Daten aus den von Ihnen verknüpften Drittkonten“.
PayPal kann laut dem Gutachten extrem sensible Informationen sammeln, weil auch Zahlungen an Gesundheitseinrichtungen oder Anwält*innen, sowie Spenden an politische Parteien und religiöse Institutionen über die Plattform abgewickelt werden. PayPal speichert die Daten, so lange das Konto existiert und zehn Jahre darüber hinaus.
Paypal ist im Internet das populärste Zahlungsmittel. Im Frühjahr 2025 – kurz vor dem Start der Webekampagne mit Will Ferrell – ist der Konzern auch ins Werbegeschäft eingestiegen. Er nutzt dabei Zahlungsdaten, um Werbung zu personalisieren.
Das Netzwerk Datenschutzexpertise schreibt in seinem Gutachten: „Die hohe Aussagekraft der Finanztransaktionsdaten begründet ein hohes Nutzungs- und auch ein hohes Missbrauchspotenzial“. So sei damit beispielsweise manipulative Werbung möglich und auch eine diskriminierende Preisgestaltung.
Dabei muss Zahlungsverkehr in Deutschland und Europa eigentlich anonym ablaufen. Ausnahmen von der Regel sind nur erlaubt, wenn sie eindeutig nötig und gut begründet sind.
Laut des Gutachtens informiert PayPal seine Kund*innen nicht hinreichend darüber, wofür, an wen und auf welcher Rechtsgrundlage Daten weitergegeben werden und speichert die Daten unerlaubt lange. Zudem geht das Unternehmen davon aus, dass Menschen mit der Nutzung des Dienstes in die Datenverarbeitung einwilligen. Dabei muss diese Einwilligung – spätestens, wenn es um sensitive Daten, Marketing- und Werbezwecke oder die Weitergabe von Daten geht – tatsächlich bewusst, informiert, genau definiert und unabhängig von der Verfügbarkeit des Dienstes gegeben werden, um rechtmäßig zu sein. Die Kund*innen müssen wissen, wozu sie da eigentlich zustimmen.
Der Konzern bietet Unternehmen die personenbezogenen Informationen laut dem Gutachten in aggregierter Form an. Die Firmen können dann über PayPal auf Webseiten, Apps und Smart-TVs Werbung platzieren, die angeblich die Zielgruppe sehr genau erreicht. Auch der direkte Verkauf der Daten an Werbefirmen war zumindest mal geplant. Über die aktuelle Umsetzung dieses Projekts in Europa ist dem Netzwerk Datenschutzexpertise nichts bekannt.
Einen Teil der Informationen sammelt PayPal angeblich, um betrügerische Kontozugriffe zu verhindern. Im August 2025 waren die Anmeldedaten zu 15 Millionen PayPal-Konten im Darknet aufgetaucht, woraufhin die Zahl der Betrugsversuche massiv in die Höhe ging.
PayPal behält sich vor, die erfassten Daten weiterzugeben, beispielsweise an Behörden, andere Finanzinstitute, Inkassobüros, Auftragsverarbeiter und Partnerunternehmen. Eine Liste mit möglichen Datenempfängern umfasst 600 Firmen aus vielen Staaten der Welt.
Die Datenschutzerklärung, die 7.000 Wörter umfasst, lässt „nicht erkennen, mit welchen Daten auf welcher Rechtsgrundlage welche Zwecke verfolgt werden“, so das Netzwerk Datenschutzanalyse. Problematisch sei, dass sowohl die Kategorien der Daten als auch die Arten der Verarbeitung nur beispielhaft und nicht abschließend aufgeführt werden.
Auch die AGB seien ausgesprochen nutzerunfreundlich. Sie umfassen 17 Dokumente, wobei für Kund*innen nicht ersichtlich sei, welche für sie relevant sind. Hinzu kommen 20.000 Wörter Nutzungsbedingungen ohne Inhaltsverzeichnis. Mit der Eröffnung eines Kontos erklären sich Nutzer*innen mit all diesen Bedingungen einverstanden.
Die Nutzung der Daten zu Werbezwecken ist in PayPal-Konten voreingestellt. Wer das abschalten möchte, muss auf der Website erst auf „Daten und Datenschutz“ und dann auf „personalisierte Angebote und Werbung“ klicken. Dort lässt sich ein Regler zwischen einem grauen und einem schwarzen Feld hin- und herbewegen. Dass die rechte, schwarz hinterlegte Option die datenschutzfreundliche ist, wird nicht erklärt. Der mögliche Opt-Out steht im Widerspruch zur Datenschutzgrundverordnung, wonach die Voreinstellung eine möglichst geringe Datenverarbeitung („Privacy by Default“) vorsehen muss.
Als besonders problematisch sieht das Netzwerk Datenschutzexpertise, dass die personenbezogenen Daten auch nach außerhalb der EU übermittelt werden. Der Hauptsitz von PayPal ist in den USA, dort sind die Daten deutlich schlechter geschützt als in Europa. Zudem ist das Unternehmen gezwungen, Daten an US-Behörden herauszugeben, wenn diese sie anfordern.
Die Datenschutzexpert*innen sehen ihre Analyse der Datenschutzpraxis von PayPal nur als exemplarischen Fall. „Es ist zu vermuten, dass die bei PayPal festgestellten Mängel in ähnlicher Form bei anderen Unternehmen in diesem Bereich bestehen“, schreiben sie. BigTech-Unternehmen würden zunehmend versuchen, auf Finanztransaktionsdaten zuzugreifen, um diese mit Daten aus anderen Anwendungen zu kombinieren und kommerziell zu nutzen. Deshalb fordern die Datenschutz-Expert*innen, die Nutzung von Finanzdaten für Werbezwecke generell zu verbieten.
Laut Heise Online prüft Paypal das Gutachten derzeit. Es lässt sich wie folgt zitieren: „Die Einhaltung der EU-Datenschutzanforderungen ist für uns sowohl für die Entwicklung als auch den Betrieb unserer Produkte von zentraler Bedeutung, um ein qualitativ hochwertiges Erlebnis und Sicherheit im Zahlungsverkehr für unsere Kund:innen sicherzustellen.“
In der letzten Episode des Jahres 2025 blicken c’t-Redakteur Holger Bleich und heise-Verlagsjustiziar Joerg Heidrich im c’t-Datenschutz-Podcast auf zwölf turbulente Monate zurück. Mit dabei ist wieder einmal Rechtsanwältin Anna Cardillo. Cardillo ist Partnerin in der Berliner Kanzlei MYLE. Sie berät Unternehmen und Behörden im Bereich Datenschutz und Informationssicherheit.
Weiterlesen nach der Anzeige
(Bild: Rechtsanwältin Anna Cardillo diskutiert, zugeschaltet aus Berlin, in der Auslegungssache mit.)
Zu Beginn diskutieren die drei einen aktuellen „Paukenschlag“: Der gemeinsame Beschluss von Bundeskanzler und Länderchefs zur Staatsmodernisierung enthält weitreichende Pläne zur Verschlankung der Datenschutz-Durchsetzung. So soll etwa die Pflicht zur Benennung betrieblicher Datenschutzbeauftragter wegfallen. Cardillo kritisiert das scharf: Die Anforderungen der DSGVO blieben ja bestehen, nur fehle dann die Person, die sich darum kümmert. Von Entbürokratisierung zu sprechen, sei irreführend.
Beim Blick auf das Datenschutzabkommen mit den USA sind sich die drei einig: Die Lage bleibt brisant. Zwar hat ein US-Gericht im Mai entschieden, dass zwei Mitglieder der US-Datenschutz- und Freiheitsrechtekommission PCLOB (Privacy and Civil Liberties Oversight Board) rechtswidrig durch den amtierenden Präsidenten Donald Trump entlassen wurden. Doch die Ankündigung Trumps, dem Datenschutzabkommen de facto komplett die Grundlage zu entziehen, schwebt wie ein Damoklesschwert über den EU-US-Datentransfers. Cardillo rät Unternehmen dringend, sich auf Alternativen vorzubereiten.
Das Jahr brachte auch saftige Bußgelder: TikTok kassierte in Irland 530 Millionen Euro wegen Datentransfers nach China, Vodafone in Deutschland 45 Millionen Euro wegen Sicherheitslücken und mangelnder Kontrolle von Vertriebspartnern. Die Runde sieht darin ein wichtiges Signal, dass Unternehmen ihre Dienstleister sorgfältiger überwachen müssen.
Große Sorgen bereitet den Diskutanten die aktuelle Rechtsprechung zur Haftung von Plattformen. Das EuGH-Urteil im Fall „Russmedia“ deutet darauf hin, dass Forenbetreiber und Social-Media-Plattformen künftig Inhalte schon vor der Veröffentlichung prüfen müssen, um nicht sofort für Datenschutzverstöße haftbar zu sein. Dies könnte das Ende des bewährten „Providerprivilegs“ bedeuten, bei dem Plattformen erst ab Kenntnis einer Rechtsverletzung haften, und faktisch zu einer umfassenden Überwachungspflicht durch Upload-Filter führen.
Zum Abschluss diskutiert das Trio das sogenannte „Omnibus-Paket“ der EU, das weitreichende Änderungen an der DSGVO und anderen Digitalgesetzen vorsieht. Während Heidrich durchaus pragmatische Erleichterungen erkennt, befürchtet Bleich eine Aufweichung des Datenschutzes zugunsten der Industrie, etwa beim Training von KI-Modellen mit Nutzerdaten. Am Ende fällt das Fazit der Runde fällt eher pessimistisch aus: Der Datenschutz stehe vor schwierigen Zeiten.
Weiterlesen nach der Anzeige
Episode 149:
Hier geht es zu allen bisherigen Folgen:
(hob)
IT-Forscher von Flare haben Images auf Docker Hub untersucht, ob darin geheime Zugangsdaten enthalten und extrahierbar sind. Sie konnten aus mehr als 10.000 Images solcher Secrets auslesen.
Weiterlesen nach der Anzeige
In einer Analyse geben die IT-Sicherheitsforscher einen Überblick und geben Hinweise, wie sich Organisationen besser vor solchem unbeabsichtigtem Datenabfluss schützen können. Die IT-Analysten haben untersucht, wem die Zugangsdaten gehören, auf welche Umgebungen sie Zugriff ermöglichen und wie groß die potenziellen Auswirkungen auf betroffene Einrichtungen und deren Umfeld sind.
Der Docker Hub ist eine zentrale Stelle in der Cloud zur Registrierung, Ablage und zum Teilen von Images. Diese können öffentlich oder privat sein und lassen sich etwa zur automatisierten Bereitstellung von Software nutzen. Nach einem Monat sind die Flare-Mitarbeiter auf mehr als 10.000 Abbilder gestoßen, die Secrets geleakt haben – einschließlich Zugangsdaten zu Produktivsystemen. Davon betroffen sind mehr als 100 Organisationen, eine davon sogar in den Fortune-500 gelistet und eine große Bank. Vielen war der Datenabfluss gar nicht bewusst.
Ganze 42 Prozent der Images enthielten sogar fünf oder mehr Secrets, sodass mit ihnen in einem Rutsch Zugang zu ganzen Cloud-Umgebungen, Softwareverteilung und Datenbanken der Organisation möglich wurde. Den größten Anteil an den abgeflossenen Secrets hatten API-Keys zu KI-LLM-Modellen, alleine dafür kamen rund 4000 zusammen. Für die IT-Forscher ist das ein Hinweis, wie sehr die KI-Nutzung die Anpassung der Sicherheitskontrollen bereits überholt hat. Ein weiterer großer Posten entfällt auf sogenannte Schatten-IT-Zugänge – persönliche Zugangsdaten von Mitarbeitern oder Vertragspartnern. Die sind für unternehmensweite Monitoring-Systeme unsichtbar, erklären die Forscher.
Zwar hätten Entwickler oftmals abgeflossene Secrets aus Containern entfernt, jedoch haben etwa drei Viertel von ihnen die betroffenen Keys nicht zurückgezogen und erneuert, was die Organisationen für Monate oder Jahre exponiert lässt. Flare führt das zur Schlussfolgerung, dass Angreifer sich nicht in die Systeme reinhacken, sondern dort hinein authentifizieren. Als Beispiel dafür nennen die IT-Forscher den Shai-Hulud-2-Wurm, der sich im npm-Ökosystem ausbreitet. Die Analyse liefert Interessierten noch detailliertere Einblicke.
Eine Artikelreihe auf heise online widmet sich der Docker Image Security und gibt konkrete Hinweise, wie man etwa minimale, sichere Container-Images selbst baut. Da nicht nur in Docker-Images häufig vertrauliche Zugangsdaten enthalten sind, sondern auch allgemein in (öffentlichen) Repositories aus der Softwareentwicklung vielfach Credentials zu finden sind, gibt es sogar Tools, die beim Aufspüren von geleakten Secrets auf GitHub helfen.
Weiterlesen nach der Anzeige
(dmk)
Illustrierte Reise nach New York City › PAGE online
Aus Softwarefehlern lernen – Teil 3: Eine Marssonde gerät außer Kontrolle
Top 10: Die beste kabellose Überwachungskamera im Test
Fake It Untlil You Make It? Trifft diese Kampagne den Nerv der Zeit? › PAGE online
SK Rapid Wien erneuert visuelle Identität
Kommandozeile adé: Praktische, grafische Git-Verwaltung für den Mac
Neue PC-Spiele im November 2025: „Anno 117: Pax Romana“
Schluss mit FOMO im Social Media Marketing – Welche Trends und Features sind für Social Media Manager*innen wirklich relevant?
