ChatGPT merkt sich, was du am Mac tust

OpenAI hat am 13.08.2026 in der ChatGPT-App für macOS eine Funktion namens Computer History freigeschaltet. Sie zeichnet auf, was jemand an seinem Rechner tut, verdichtet das zu einem durchsuchbaren Gedächtnis und stellt es ChatGPT und Codex zur Verfügung.

Für DACH-Teams ist der Start erst einmal eine theoretische Angelegenheit: Der Europäische Wirtschaftsraum, die Schweiz und Großbritannien sind ausgenommen. Genau deshalb lohnt es sich, jetzt hinzusehen, statt später. Wer über einen US-Account arbeitet oder Kolleginnen und Kollegen an amerikanischen Standorten hat, ist schon betroffen.

Was aufgezeichnet wird

Computer History greift die Bedienungshilfen von macOS ab. Erfasst werden Interaktionsereignisse: Klicks, Tippen, Tastenkürzel und Wechsel zwischen Anwendungen, über die freigegebenen Apps und Websites hinweg.

Nicht erfasst werden laut Dokumentation Screenshots, Bildschirmaufnahmen, Mikrofon und Systemton. Privates Browsen bleibt außen vor. Die Funktion ist standardmäßig aus und muss aktiv eingeschaltet werden.

Das klingt zurückhaltender, als es ist. Wer alle Tastenanschläge und Fensterwechsel hat, braucht keine Screenshots, um zu rekonstruieren, woran jemand gearbeitet hat.

Der Weg der Daten, und wo er den Rechner verlässt

flowchart TB
  A["macOS-Bedienungshilfen:<br/>Klicks, Tippen, App-Wechsel"] --> B["Rohereignisse, bis zu 48 Stunden<br/>lokal in der ChatGPT App Group,<br/>vor anderen Apps abgeschirmt"]
  B --> C["Ephemere Codex-Sitzung<br/>auf OpenAI-Servern<br/>verdichtet sie zu Erinnerungen"]
  C --> D["Markdown-Dateien im<br/>Nutzerverzeichnis,<br/>unverschlüsselt"]
  D --> E["ChatGPT und Codex<br/>lesen sie als Gedächtnis"]
  classDef abort fill:#7F1D1D,stroke:#EF4444,color:#FCA5A5
  class D abort

Der Schritt in der Mitte wird leicht überlesen, ist aber der wichtigste. Die Ereignisse selbst werden lokal aufgezeichnet und liegen auch lokal. Die Verdichtung zu Erinnerungen findet dagegen nicht auf dem eigenen Rechner statt: OpenAI verarbeitet die temporären Ereignisdateien dafür auf den eigenen Servern, und erst die fertigen Erinnerungen werden lokal auf dem Mac abgelegt. Technisch startet die App dafür periodisch eine kurzlebige Codex-Sitzung mit Zugriff auf den Ereignisstrom.

Immerhin sagt die Dokumentation dazu klar, was danach passiert: Die Ereignisdateien werden nach der Verarbeitung nicht aufbewahrt, außer wenn das Gesetz es verlangt, und sie werden nicht fürs Training genutzt.

Trotzdem ist damit die Ausgangslage eine andere, als es die Beschreibung "lokales Gedächtnis" nahelegt. Wer die Funktion aktiviert, schickt eine Spur seiner Arbeit durch die Systeme eines Anbieters.

Geschützt ist ausgerechnet das Falsche

Die verdichteten Erinnerungen landen als reine Textdateien im Markdown-Format unter ~/.codex/memories/extensions/skysight/. Die temporären Ereignisdateien werden bis zu 48 Stunden lokal vorgehalten und dann gelöscht.

Interessant ist, wie unterschiedlich die beiden abgesichert sind. Die Rohereignisse liegen laut Dokumentation in der ChatGPT App Group, die andere Apps ohne ausdrückliche Erlaubnis fernhält. Für die daraus entstandenen Erinnerungen schreibt OpenAI dagegen:

They are not encrypted by Computer History, and other programs running as your macOS user may be able to access them.

Also: Die Dateien sind nicht verschlüsselt, und andere Programme unter demselben macOS-Benutzer können möglicherweise darauf zugreifen. Abgeschirmt sind damit die Rohdaten, offen liegt das fertige Destillat.

Das ist der Punkt, an dem die Funktion für unser Umfeld interessant wird. Auf einem Entwicklerrechner läuft in der Regel eine ganze Menge unter demselben Benutzerkonto: Editor-Erweiterungen, npm-Pakete mit Postinstall-Skripten, Homebrew-Formeln, CLI-Werkzeuge aus dem Netz. Jedes davon kann diese Dateien lesen. Und es liest darin keine rohen Tastenanschläge, sondern eine bereits aufbereitete, durchsuchbare Chronik der Arbeit.

Das passt unangenehm gut zu einem Fund, über den wir am 13.08.2026 geschrieben haben: Massenscans, die gezielt die Konfigurationsdateien von KI-Coding-Tools abklappern. Ein weiterer bekannter Pfad mit lesbarem Inhalt im Heimatverzeichnis ist genau das, wonach solche Scans suchen.

Prompt Injection benennt OpenAI selbst

Die Dokumentation warnt ausdrücklich, dass Computer History das Risiko von Prompt Injection aus Inhalten in Apps und auf Websites erhöht, mit dem Beispiel einer bösartigen Website, deren Anweisungen ChatGPT oder Codex befolgen könnten.

Die Mechanik dahinter ist bekannt: Was im Blickfeld des Modells landet, kann Anweisungen enthalten. Neu ist der Umfang. Bisher musste ein Angreifer den Inhalt in den aktuellen Kontext bekommen. Wenn die Arbeitschronik dauerhaft mitgelesen wird, reicht es, dass der Text irgendwann einmal auf dem Bildschirm war.

Dass Leute diese Taktik inzwischen tatsächlich anwenden, hat gerade ein Fall in den USA gezeigt. Ein Kläger versteckte in seinen Gerichtsschriftsätzen Anweisungen in winziger weißer Schrift, nach eigener Darstellung deshalb, weil er das Gericht im Verdacht hatte, die Texte von einer KI prüfen zu lassen. Der Richter hielt diese Begründung für unglaubwürdig und entzog ihm die elektronische Einreichung (Ars Technica). Zur Einordnung gehört dazu: Das zuständige Gericht setzt für die Prüfung gar keine KI ein, der Versuch lief also ins Leere, und erfolgreiche Angriffe dieser Art sind bisher nicht bekannt. Belegt ist damit die Verbreitung der Methode, noch nicht ihre Wirksamkeit. Wie so etwas in einer Pipeline aussieht, haben wir am Fall Agent ruft Agent beschrieben.

Wer sie bekommt, und wer nicht

Warum der Start hier ausbleibt, ist unsere Vermutung

OpenAI nennt keinen Grund für den Ausschluss von EWR, Schweiz und Großbritannien. Was folgt, ist deshalb unsere Lesart.

Auffällig ist, dass genau diese drei Räume ein vergleichbar strenges Datenschutzregime haben, auch wenn es nicht dasselbe ist: im EWR die DSGVO, in Großbritannien die UK GDPR, in der Schweiz das revidierte DSG. Eine Funktion, die fortlaufend Verhalten am Arbeitsplatz mitschreibt und die Daten zur Auswertung an den Anbieter schickt, wirft dort überall dieselben Fragen nach Rechtsgrundlage, Zweckbindung und Datenminimierung auf.

Dazu kommt in Deutschland und Österreich eine zweite Ebene, die international gern unterschätzt wird. Aktiviert ein Arbeitgeber so etwas auf Firmengeräten, spricht aus unserer Sicht viel dafür, dass es sich um eine technische Einrichtung handelt, die zur Überwachung von Verhalten und Leistung geeignet ist. Dann greift die Mitbestimmung des Betriebsrats nach Paragraf 87 Absatz 1 Nummer 6 BetrVG, in Österreich nach Paragraf 96 Absatz 1 Ziffer 3 ArbVG. Wo es einen Betriebsrat gibt, geht die Einführung also nicht ohne dessen Zustimmung. Das ist keine Rechtsberatung. Es ist aber genau das Gespräch, das vor der Einführung gehört.

Abschalten und löschen

Über die Menüleiste lässt sich die Erfassung pausieren, wieder aufnehmen und die zuletzt aufgezeichnete Sitzung einer App löschen. Ganz abschalten geht in den Einstellungen. Dort lässt sich auch der Verlauf löschen, abgestuft von den letzten zehn Minuten bis zur vollständigen Historie. Das Löschen entfernt sowohl die Interaktionsereignisse als auch die daraus entstandenen Erinnerungen dauerhaft.

Was jetzt zu tun ist

Für die meisten hier ist die ehrliche Antwort: nichts, außer es im Blick behalten. Die Funktion startet nicht in unserem Rechtsraum.

Drei Punkte lohnen trotzdem eine Runde im Team.

Erstens: Wer arbeitet bei euch über einen nicht-europäischen Account? Freiberufler, Kolleginnen und Kollegen an US-Standorten, gemeinsame Workspaces mit einer amerikanischen Muttergesellschaft. Dort ist die Freigabe eine Administrationsentscheidung, und die trifft im Zweifel jemand, der die Geräte in Europa nicht im Blick hat.

Zweitens: Wenn ihr Business oder Enterprise nutzt, schaut aktiv in die Workspace-Einstellungen. Aus heißt heute aus. Standardzustände verschieben sich, das haben wir gerade erst beim Auto-Mode in Claude Code gesehen.

Drittens, und das ist der Teil, der auch ohne Computer History gilt: KI-Werkzeuge sammeln inzwischen erstaunlich viel im Heimatverzeichnis an, und längst nicht alles davon ist geschützt. Wer nicht weiß, was seine Werkzeuge dort liegen lassen, sollte einmal nachsehen. Wie man das systematisch angeht, steht in unserem Artikel zu KI-Tools sicher nutzen.

Einordnung

Die Funktion ist ein logischer nächster Schritt. Ein Agent, der beim Arbeiten helfen soll, wird besser, je mehr er vom Arbeitskontext kennt. Genau deshalb steuert die Branche darauf zu, und OpenAI ist nicht der einzige Anbieter, der in diese Richtung baut.

Bemerkenswert ist eher, wie offen die Dokumentation die Kosten dieses Schritts benennt. Dass die Erinnerungen unverschlüsselt liegen, dass die Auswertung über OpenAI-Server läuft und dass das Risiko von Prompt Injection steigt, steht dort in klaren Worten. Das ist mehr Ehrlichkeit, als man bei solchen Funktionen gewohnt ist.

Nur nimmt einem diese Ehrlichkeit die Entscheidung nicht ab. Am Ende liegt auf dem Rechner eine durchsuchbare Chronik der eigenen Arbeit, lesbar für alles, was unter demselben Benutzer läuft, und erzeugt wurde sie mit einem Umweg über fremde Server. Wer das aktiviert, sollte das Gerät danach anders behandeln als vorher.