Tracker in allen 9 großen KI-Chatbots: Was ChatGPT, Gemini und Grok aus deinen Chats weitergeben

Ein Chat mit einer KI fühlt sich wie eine geschlossene Tür an: kein Publisher, keine Kommentare, keine Öffentlichkeit. Eine Studie des IMDEA Networks Institute zeichnet ein anderes Bild. Untersucht wurden neun der bekanntesten KI-Dienste, und alle neun standen in Verbindungen zu Werbe- oder Tracking-Diensten, insgesamt fanden die Forschenden 44 Drittorganisationen. Bei mehreren Diensten gingen dabei Informationen weiter, die direkt aus dem Gespräch stammen, vom Permalink bis zum automatisch erzeugten Chat-Titel. Den Anstoß zu diesem Beitrag gab der Short von c't 3003 vom 08.10.2026 mit dem Thema Tracker in allen 9 großen KI-Chatbots. Was genau übertragen wird, wer es bekommt und ob ein Bezahl-Abo davor schützt, klärt dieser Beitrag auf Basis des Studien-Preprints und der Berichterstattung von heise online.

Das IMDEA Networks Institute in Madrid hat den Netzwerkverkehr aufgezeichnet, der beim Umgang mit neun KI-Diensten entsteht: ChatGPT, Claude, Gemini, Grok, DeepSeek, Perplexity, Le Chat, Meta AI und Microsoft Copilot. Gemessen wurde im Mai 2026 in Spanien, im Browser und bei acht der neun Anbieter zusätzlich als Android-App. Die Szenarien deckten bewusst die Bandbreite realer Nutzung ab: als Gast, mit Gratis-Konto und mit Bezahl-Abo, jeweils mit und ohne akzeptierte Cookies. Als Testgespräche dienten ausgedachte Gesundheitsfragen, zum Beispiel nach Symptomen einer früh beginnenden Parkinson-Erkrankung. Genau solche Fragen legen Nutzer real vor, und genau sie tauchen später in den Datenwegen wieder auf. Wichtig für die Einordnung: Die Studie liegt als ungeprüfter Preprint vom 16.09.2026 vor, die Zahlen stammen aus einer Messkampagne, nicht aus einer begutachteten Arbeit. Die Methodik ist trotzdem nachvollziehbar, denn sie zeichnet nach, was ein ganz normaler Browseraufruf an Netzwerkverkehr hinterlässt. Diese Art Messung lässt sich leicht wiederholen, und die Richtung des Befunds passt zu unabhängigen Beobachtungen, unter anderem zur LiveRamp-Partnerschaft, über die ChatGPT-Interaktionen für Werbe-Targeting aufbereitet werden, über die heise online separat berichtet hat.

Das Kernergebnis klingt nüchtern und ist trotzdem ein harter Satz für die Selbstvermarktung der KI-Branche: Jeder der neun Dienste kommunizierte in den Tests mit mindestens einem Drittanbieter, den die Forschenden als Werbe- oder Trackingdienst einordnen. Insgesamt waren es 44 Organisationen über alle Dienste hinweg, wobei die genaue Menge von Testlauf zu Testlauf variiert. Am weitesten verbreitet waren Google-Tracker, sie tauchen bei allen untersuchten Anbietern auf. Dahinter folgen Sentry, Meta, Datadog und Intercom, also eine Mischung aus Werbe-Ökosystem und klassischer Produkt-Telemetrie. Auffällig ist die Liste der Überraschungskandidaten: Bei einzelnen Diensten fanden sich auch Tracker von TikTok, Apple und X, Firmen, mit denen man Werbe-Tracking bei einem KI-Dienst nicht ohne Weiteres assoziiert. Für die Anbieter bedeutet das, dass ihr Datenschutzversprechen nicht am Chat-Ende hängt, sondern an der gesamten Lieferkette aus Analyse-, Fehler- und Werbe-Tools, die im Hintergrund mitläuft. Der Chat wird als Privatraum verkauft, läuft aber über dieselbe Verkehrsinfrastruktur wie jede andere Website auch.

Das eigentliche Gewicht der Studie liegt nicht in der Zahl 44, sondern in den Inhalten. Bei sechs der neun Webclients fanden die Forschenden Daten, die unmittelbar mit einer Unterhaltung zusammenhängen: die URL eines Chats, dessen Kennung oder der automatisch erzeugte Titel. Fünf der neun Anbieter teilen bei Browserzugriff sogar Permalinks zu den Chatverläufen mit Datentrackern. Sofern ein Chat wie bei vielen Anbietern ohne Zugangsbeschränkung abrufbar ist, kann ein Dritter so an die komplette Konversation gelangen. Ein automatisch erzeugter Titel klingt harmlos, bis man sich klarmacht, was er verrät: Ein Beispiel aus der Studie ist die Frage nach den Symptomen einer früh beginnenden Parkinson-Erkrankung, ein anderes die Auskunft über ein Gehalt von 85.000 Dollar und die daraus ableitbare Hypothek in New York. Rund ein Drittel der untersuchten Anbieter, genauer 33,3 Prozent, übermitteln zusätzlich Zusammenfassungen der Gespräche an Werbepartner, in Einzelfällen auch den Standort der Nutzer. Am weitesten ging es laut der Auswertung von c't 3003 bei Grok: Dort landeten unter anderem der letzte Prompt und sogar ein Screenshot der Unterhaltung bei TikTok. Die Canary-URLs der Forschenden, also fingierte Verweise, die Alarm schlagen, wenn ein Dritter sie abruft, lösten bei mehreren Anbietern genau in dem Moment aus, in dem der Chat nach außen geteilt wurde. Bei Grok sprang der Alarm auch danach noch mehrfach an, was darauf hindeutet, dass Externe den Chat anschließend mehrmals abgerufen haben. Verknüpft wird all das mit Kennungen: Meta- und TikTok-Cookies, bei Perplexity gehashte E-Mail-Adressen, dauerhafte Benutzerkennungen, die auch im Inkognito-Modus mitlaufen. Über Datenhändler wie LiveRamp mit der RampID werden solche Kennungen plattformübergreifend zu Identitäten verschmolzen, und OpenAI nutzt die Partnerschaft mit LiveRamp laut heise-Berichten zur Identifikation von ChatGPT-Nutzern für Werbe-Targeting.

Die gute Nachricht zuerst: Ein Teil der Datenwege ließe sich abstellen. Die Studie hält fest, dass bei 40 Prozent der Permalink-Weitergaben die Ablehnung nicht notwendiger Cookies genügt, um sie zu verhindern. Die schlechte Nachricht ist die Restrechnung. Bei 60 Prozent der Fälle half auch die Cookie-Ablehnung nicht, und selbst im Ablehnungsfall blieben laut Studie 80,8 Prozent der Tracker von Drittanbietern aktiv. Wer umgekehrt alle Cookies akzeptiert, schaltet bei manchen Anbietern sogar zusätzliche Tracker frei. Die verbreitete Idee, ein Bezahl-Abo kaufe Datenschutz, hält der Messung nicht stand: Kostenlose und Premium-Kunden wurden von weitgehend identischen Drittanbieter-Mengen getrackt. Das macht den Befund für private und für geschäftliche Nutzer gleich unangenehm, denn Datensparsamkeit lässt sich weder über Geld noch über die Cookie-Banner-Einstellung zuverlässig einkaufen. Was bleibt, ist eine nüchterne Bestandsaufnahme: Die Kontrolle über diese Datenwege liegt strukturell beim Anbieter, nicht beim Nutzer, und der Cookie-Banner regelt bestenfalls einen kleinen Teil der Datenströme, die beim Laden einer KI-Seite entstehen.

Wer mit Agenten und langen Chat-Workflows arbeitet, schreibt laufend Inhalte in solche Konversationen hinein: Rechercheergebnisse, Kundennamen, Entwürfe, manchmal Zugangsdaten in Klartext-Notizen. Die Studie zeigt, dass hinter der Chat-Oberfläche eine Werbe- und Tracking-Schicht mitläuft und dass Inhalte aus Gesprächen in Form von Titeln, Zusammenfassungen und Permalinks dorthin gelangen können. Besonders das Teilen von Chats wird damit zum Risikokanal, denn genau Permalinks sind es, die fünf der neun Dienste an Tracker übergeben. Ein von einem Agenten erzeugter Report-Link, der zum Abstimmen ans Team geschickt wird, ist technisch derselbe Mechanismus. Die Befunde zur Identifizierung treffen Agenten-Nutzer doppelt: Dauerhafte Kennungen, die im Inkognito-Modus weiterlaufen, verbinden Arbeitssessions mit Werbeprofilen, unabhängig davon, in welchem Browser-Fenster gerade recherchiert wird. Der Wert dieses Befunds liegt nicht im einzelnen Skandal, sondern in der Auflösung einer Arbeitshypothese, die viele mitführen: dass ein KI-Chat ein geschlossener Raum ist. Für die alltägliche Agenten-Arbeit bedeutet das, den Chat als Kanal zu behandeln, dessen Datenflüsse man nicht selbst kontrolliert.

Die Studie ist ein Preprint, also nicht begutachtet, und sie kommt mit typischen Grenzen einer Messkampagne. Die 44 Drittorganisationen variieren von Testlauf zu Testlauf, die Menge sagt deshalb weniger über ein einzelnes Produkt als über die Bauweise der Branche. Die Messung fand in Spanien statt, und Netzwerkverkehr hängt von der Region ab: Werbetools werden je nach Markt eingeblendet, ein Nutzer in Deutschland sieht deshalb nicht exakt dieselben Tracker wie die Testumgebung. Gemessen wurde der Webzugriff und bei acht Anbietern die Android-App, nicht die API, also genau der Zugang, über den die überwiegende Mehrheit der Nutzer chattet, aber nicht der, über den Agenten-Infrastruktur typischerweise angebunden ist. Eine Messung, die Datenflüsse zeigt, ist keine Messung, die wirtschaftlichen Schaden nachweist, zwischen beidem liegt die Bewertung. Genau deshalb ist die Kombination aus Netzwerkmitschnitt, Canary-URLs und den wiederholten Fremdzugriffen bei Grok stärker als die bloße Zahl 44, weil sie zeigt, dass es bei der Übergabe nicht bleibt.

Der ehrliche Umgang mit dieser Studie beginnt mit ihrer Grenze: unbegutachteter Preprint, eine Messkampagne im Mai 2026, Provider-Mengen, die zwischen Testläufen schwanken. Nichts davon entwertet den Befund, denn die Richtung deckt sich mit den LiveRamp-Meldungen und mit dem, was jede Browserkonsole beim Öffnen eines KI-Dienstes zeigt. Für den Alltag ziehe ich drei Konsequenzen. Erstens: Kein Chatverlauf ist privat, solange er über einen Webclient läuft, der Werbe-Tracker lädt, also gehören Zugangsdaten, Kundendaten und Gesundheitsangaben nicht dorthin. Zweitens: Permalinks mit sensiblen Inhalten nicht teilen und bestehende Freigaben prüfen, denn das ist der Weg, über den Dritte tatsächlich an vollständige Gespräche gelangen. Drittens: Cookie-Ablehnung nutzen, wo sie angeboten wird, aber ohne Illusion, denn 80,8 Prozent der Tracker bleiben aktiv und ein Abo schützt nachweislich nicht. Für Agenten-Workflows mit echtem Geschäftswert bleibt als Weg nur eine Umgebung ohne Werbe-Tracking, etwa lokale Modelle oder Verträge mit geprüften Datenschutzgarantien. Die Studie misst solche Zugänge nicht, das ist also keine Studienlage, sondern eine Vorsichtsregel. Wenn eine Branche den Chat als Privatraum verkauft, während der Verkehr durch dieselben Werbenetze läuft wie der Rest des Webs, dann ist dieser Befund keine Panikmache, sondern die Quittung.

Über den Autor: Marcel betreibt das HUNTER-Cyberdeck auf einem gebrauchten Google Pixel 6a und schreibt über KI-Werkzeuge, Datenschutz und den Feldbetrieb mit Agenten. Dieser Beitrag beruht auf dem c't-3003-Short vom 08.10.2026, dem IMDEA-Preprint vom 16.09.2026 und der heise-Berichterstattung. Zuletzt fachlich geprüft am 08.10.2026.