KIberblick

Meta Muse: Der Share-Link verriet den Chat

Bei Meta Muse stand der Titel geteilter Chats im Hostnamen. Über DNS-Archive ließen sich so 6.800 Freigaben finden. Was dahintersteckt, was Teams prüfen.

21. Oktober 20267 Min. Lesezeit

Meta hat die Teilen-Funktion seines KI-Agenten Muse vorerst abgeschaltet. Auslöser ist eine Untersuchung der Sicherheitsfirma Claroc: Sie fand über 6.800 geteilte Muse-Gespräche, ohne einen einzigen Link erraten zu müssen. Gereicht hat eine Abfrage in einem kommerziellen DNS-Archiv. Unter den Funden waren ein Kreditantrag, eine interne Umsatzauswertung für einen Geschäftsführer und der Urlaubsplan einer Belegschaft mit Namen.

Muse ist offiziell nur in den USA und in Kanada verfügbar. Das Problem dahinter betrifft aber jedes Werkzeug mit Teilen-Knopf, auch für die, die ihr selbst baut.

Was passiert ist

Wer in Muse ein Gespräch teilt, bekommt einen Link auf eine eigene Subdomain unter cf.metaaiusercontent.com. Diese Subdomain setzt sich aus dem Titel des Gesprächs und einer zufälligen Kennung zusammen. Claroc nennt als erfundenes Beispiel home-sale-budget-9f21c8a3.cf.metaaiusercontent.com.

Sobald jemand so einen Link öffnet, fragt der Browser per DNS nach, zu welcher Adresse der Name gehört. Diese Anfragen landen bei Passive-DNS-Diensten. Das sind Archive, die beobachtete DNS-Auflösungen sammeln und durchsuchbar machen, eigentlich gedacht für die Analyse von Angriffen und Phishing. Wer dort nach der Muse-Domain sucht, bekommt eine Liste aller Freigaben, die je geöffnet wurden. Titel inklusive.

Claroc formuliert den Kern so: "An ID only works as a secret while it stays secret, and a hostname is not a secret." Die Zufallskennung mag lang genug sein, um nicht erraten zu werden. Sie schützt nur nichts, wenn sie beim ersten Aufruf in einem öffentlichen Archiv landet.

Auch die robots.txt von Muse half nicht. Sie bittet Suchmaschinen, die Freigaben nicht zu crawlen, regelt aber keinen Zugriff. Zusätzlich fand Claroc über 75 gespeicherte Muse-Seiten beim öffentlichen Scanner urlscan.io.

Was in den Freigaben stand

Die meisten der einige hundert geöffneten Seiten waren harmlos: Angebote kleiner Firmen, Veranstaltungskalender. Ein Teil war es nicht. Claroc beschreibt die Funde nur nach Kategorie, ohne Namen:

  • die Vorbereitung eines vertraulichen Gesprächs mit einem Headhunter, samt interner Kontaktperson und Uhrzeit
  • eine interne Umsatzauswertung einer Marketingfirma für den CEO
  • der Kreditantrag eines Kleinunternehmers mit Betrag
  • eine To-do-Liste mit einer Betrugswarnung der Bank, Teilen der Kontonummer und Transaktionsdetails
  • ein Performance-Protokoll eines Immobilieninvestors mit Adressen und Finanzkennzahlen
  • der Jahresurlaubsplan einer Firma mit den Namen der Mitarbeitenden

Laut Claroc gibt es keine Hinweise darauf, dass jemand die Freigaben missbraucht hat. Niemand ist eingebrochen. Das Werkzeug hat genau so funktioniert, wie es gebaut wurde.

Wie Meta reagiert hat

Claroc hat das Problem am 08.10.2026 über Metas Bug-Bounty-Programm gemeldet und die Ergebnisse am 18.10. veröffentlicht. Am 20.10. berichtete Ars Technica, auf Anfrage kündigte Meta an, die Funktion auszusetzen und die Auffindbarkeit der Links zu überprüfen. Bei einer Nachprüfung am selben Tag ließ sich keine von 40 zuvor offenen Freigaben mehr aufrufen.

Weg sind die Daten trotzdem nicht ganz. Die Hostnamen und damit die Gesprächstitel bleiben in der Historie der DNS-Archive stehen. Und ein Titel kann schon allein genug verraten, man denke an einen erfundenen Fall wie "Kreditantrag Bäckerei Müller".

Warum das auch hierzulande zählt

Muse ist in Deutschland nicht offiziell zu haben. Meta nennt keinen Termin für Europa. Laut einem Test von Notebookcheck lässt sich Muse aber mit VPN, einem neuen US-Konto und einem US-App-Store-Account einrichten und läuft danach auch ohne VPN weiter. Wer in einem Team mit Kolleginnen und Kollegen in Nordamerika arbeitet oder Leute hat, die neue Tools gerne früh ausprobieren, sollte nicht davon ausgehen, dass Muse im Unternehmen keine Rolle spielt.

Der wichtigere Punkt ist die Mechanik. Ende Juli standen geteilte Claude-Chats in der Google-Suche, damals über Links, die irgendwo öffentlich verlinkt waren. Bei Muse brauchte es nicht einmal das. Ein einziger Aufruf durch den Empfänger reichte, damit der Link in einem Archiv landete.

Was ihr tun könnt

Share-Links bleiben öffentlich. Die Regel aus dem Claude-Fall gilt weiter: Ein geteilter KI-Chat ist eine öffentliche Seite, kein interner Dokumentlink. Wer Inhalte mit Kunden, Zahlen oder Personaldaten weitergeben will, kopiert den relevanten Teil ins interne System.

Eigene Exponierung prüfen. Claroc empfiehlt, Passive-DNS-Dienste und urlscan.io nach den Content-Domains der KI-Werkzeuge zu durchsuchen, die im Team im Einsatz sind. Bei Tools mit Pfad-basierten Share-Links (/share/...) hilft das wenig, bei Subdomain-Schemata wie bei Muse sofort.

Schatten-Nutzung klären. Wo unklar ist, ob Muse im Unternehmen genutzt wird, rät Claroc, muse.ai und metaaiusercontent.com auf verwalteten Geräten zu sperren. Das ist eine Entscheidung für die IT und den Datenschutz, keine Einzelmaßnahme.

Den DSGVO-Fall mitdenken. Enthielt eine öffentliche Freigabe personenbezogene Daten, etwa Namen aus einem Urlaubsplan, kann das eine meldepflichtige Datenschutzverletzung nach Artikel 33 DSGVO sein. Die Frist beträgt 72 Stunden ab Kenntnis. Im Zweifel den Datenschutzbeauftragten fragen.

Wenn ihr selbst eine Teilen-Funktion baut

Einordnung

Der Fall ist kein klassischer Hack, sondern ein Designfehler mit Ansage. Meta hat die Funktion nach der Presseanfrage schnell abgestellt. Die Titel in den DNS-Archiven lassen sich allerdings nicht zurückholen. Für alle, die KI-Werkzeuge nutzen oder bauen, bleibt die Erkenntnis: Wer etwas per Link teilt, sollte davon ausgehen, dass es öffentlich ist. Für den sauberen Rahmen im Team gibt es DSGVO und KI: Was Teams beachten müssen.

Quellen5