Chatbots und Tracker: Was Werbefirmen aus KI-Gesprächen erfahren

Wer einem Chatbot eine Frage stellt, spricht nicht nur mit dem Chatbot. Forschende des Madrider Instituts IMDEA Networks haben neun der bekanntesten KI-Assistenten auf Datenflüsse an Dritte untersucht und bei sechs Webversionen Gesprächsinformationen gefunden, die an fremde Dienste gehen, darunter Werbe- und Analysefirmen wie Google, Meta und TikTok. Die Studie liegt seit Ende September vollständig vor, Stiftung Warentest hat sie am 17. Oktober mit konkreten Schutztipps aufgegriffen. Für Nutzer ist das vor allem eine praktische Frage: Was verrät ein Chat über sie, und was lässt sich dagegen tun?

Das Wichtigste in Kürze

• Untersucht wurden ChatGPT, Claude, Copilot, DeepSeek, Gemini, Grok, Le Chat von Mistral, Meta AI und Perplexity, jeweils im Browser und als Android-App.
• Sechs von neun Webversionen und drei von acht Android-Apps übermittelten Gesprächsinformationen an Dritte, etwa Chat-Links, automatisch erzeugte Chat-Titel, Prompts oder Screenshots.
• Am weitesten ging Grok: Bei geteilten Chats erhielten Meta und TikTok laut Studie den letzten Prompt, TikTok zusätzlich einen Screenshot.
• Cookies abzulehnen hilft nur begrenzt, in den Android-Apps gibt es diese Wahl gar nicht.
• Einen Beleg, dass Werbefirmen die Gespräche tatsächlich lesen, haben die Forschenden nicht. Das Risiko liegt in der Möglichkeit.

Was die Forschenden gemessen haben

Die Arbeit stammt aus der Gruppe um Aniketh Girish, Guillermo Suárez-Tangil und Narseo Vallina-Rodríguez. Eine erste Fassung unter dem Projektnamen LeakyLM erschien am 4. Mai 2026 und betraf vier Dienste. Die erweiterte Studie deckt neun Anbieter ab und ist ein Vorabdruck, also noch nicht im üblichen Gutachterverfahren geprüft. Methodisch zeichneten die Forschenden auf, welche Netzwerkanfragen Browser und Apps während echter Gespräche verschicken und welche Inhalte darin stecken. Insgesamt zählten sie laut Studie 124 Domains von 44 Organisationen, die Daten von den Chatbot-Seiten und -Apps erhielten.

Wichtig für die Einordnung: Die Tracker sitzen auf den Webseiten und in den Apps der KI-Anbieter selbst. Nicht jeder Drittanbieter ist eine Werbefirma. Dienste wie Datadog oder Intercom überwachen die Technik oder betreiben den Kundensupport. Die Forschenden betonen selbst, dass die bloße Anwesenheit eines Dritten noch nicht beweist, dass Daten zu Werbezwecken genutzt werden.

Welche Daten wohin gehen

Der heikelste Datentyp ist unscheinbar: die Adresse eines Gesprächs. Ist ein Chat öffentlich abrufbar, etwa weil er geteilt wurde, ist der Link gleichbedeutend mit dem Gespräch selbst. Ähnlich aufschlussreich sind die Chat-Titel, die die Assistenten automatisch aus der ersten Frage erzeugen. Ein Titel wie „Hautausschlag beim Kleinkind“ verrät das Thema, ohne dass ein einziger Prompt mitgeschickt wird.

Laut Studie gingen Chat-Titel bei Gemini, Grok und Mistral an Dritte, bei Gemini über Google Analytics. Google erklärte gegenüber netzpolitik.org, der Dienst diene der technischen Überwachung von Gemini, man halte sich an die europäischen Datenschutzregeln. Chat-Links übermittelten ChatGPT, Claude, Grok, Mistral und Perplexity. Bei ChatGPT und Claude ging die Gesprächskennung unter anderem an den Überwachungsdienst Datadog.

Bei Claude fanden die Forschenden bereits in der Mai-Fassung eine Besonderheit: Wer Cookies akzeptiert, dessen Daten leitet Anthropic serverseitig an elf Plattformen weiter, darunter Meta, Google, LinkedIn, TikTok und Reddit. Weil das über die eigenen Server läuft, kann ein Werbeblocker im Browser diese Übertragung nicht abfangen. Zugleich ist Claude laut Stiftung Warentest der einzige Dienst, bei dem sich kostenpflichtige und kostenlose Konten im Datenfluss unterschieden.

Grok schneidet am schlechtesten ab. Titel und Links gingen an Meta, TikTok, Google und den Analysedienst von X. Um zu prüfen, ob jemand geteilte Links tatsächlich aufruft, legten die Forschenden präparierte Köder-Links in Grok-Chats an. Diese wurden 70-mal von 70 verschiedenen IP-Adressen aus 14 Ländern abgerufen, teils Tage nach dem Erstellen. Wer genau dahintersteckt, lässt sich daraus nicht ablesen.

Warum der Cookie-Banner wenig schützt

Ein Teil der Übertragungen hängt tatsächlich an der Cookie-Wahl: 77,3 Prozent der Kennungsübertragungen im Web fanden laut Studie erst statt, nachdem nicht notwendige Cookies akzeptiert wurden. Ablehnen lohnt sich also. Ein Freifahrtschein ist es aber nicht. Nach dem Ablehnen blieben laut netzpolitik.org 80,8 Prozent der beobachteten Drittanbieter-Tracker aktiv, und laut Stiftung Warentest verbanden sich Perplexity, DeepSeek, Gemini, Copilot, ChatGPT und Claude weiterhin mit Google Ads. In den Android-Apps gibt es keine Cookie-Abfrage, wer die App installiert, akzeptiert die Bedingungen.

Die Forschenden informierten am 13. April 2026 die Datenschutzbehörden in der EU und Großbritannien. Die spanische Datenschutzbehörde AEPD beantragte Ende Mai, den Fall im Europäischen Datenschutzausschuss zu beraten. Ein Ergebnis ist nicht bekannt. Perplexity entfernte das Meta-Pixel bereits am 3. April, xAI antwortete den Forschenden bis zur Veröffentlichung nicht. Rechtlich knüpft das an eine Linie an, die das Landgericht Köln gerade gezogen hat: Wie im Snapchat-Urteil zu My AI geht es um die Frage, ob Gesprächsinhalte ohne ausdrückliche Einwilligung in Werbesysteme fließen dürfen.

Was Nutzer konkret tun können

Die gute Nachricht: Mit wenigen Handgriffen lässt sich ein Großteil der Datenflüsse unterbinden. Stiftung Warentest empfiehlt, im Cookie-Banner nur notwendige Cookies zu erlauben und Chatbots in einem privaten Browserfenster zu öffnen. Browser mit eingebautem Tracking-Schutz wie Brave oder Firefox sowie Erweiterungen wie uBlock Origin fangen zusätzlich viele Anfragen ab, die serverseitige Weitergabe allerdings nicht.

• Für Chatbots eine eigene E-Mail-Adresse statt der Hauptadresse verwenden.
• Den temporären oder Inkognito-Modus nutzen, wenn der Dienst ihn anbietet.
• Chats nur dann per Link teilen, wenn es nötig ist, und den Link danach löschen.
• Gesundheitsdaten, Finanzangaben und Vertragsnummern nicht oder nur geschwärzt eingeben.
• Auf dem iPhone unter „Datenschutz & Sicherheit“ das Tracking abschalten, unter Android die Werbe-ID regelmäßig zurücksetzen oder löschen.

Wer sensible Fragen stellen will, hat zudem eine Alternative ohne Dritte: Lokale Modelle, etwa über Ollama auf dem eigenen Rechner, schicken keine Gesprächsdaten an fremde Server. Sie sind nicht in jeder Disziplin so stark wie die großen Cloud-Dienste, für viele Alltagsfragen aber ausreichend.

Einordnung: Der Chatverlauf wird zum Werbesignal

Die Studie zeigt weniger einen Skandal einzelner Anbieter als ein Strukturproblem. KI-Assistenten werden mit denselben Marketing- und Analysewerkzeugen gebaut wie jede andere Website, nur dass ihre Seiten intimere Inhalte tragen als ein Onlineshop. Ein Chat-Titel ist ein präziseres Interessensignal als jeder Suchbegriff. Solange Anbieter ihre Tracker nicht gezielt von Gesprächsdaten trennen, bleibt es an den Nutzern, ihre Chats abzuschirmen. Mehr Klarheit dürfte erst von den Datenschutzbehörden kommen, die den Fall seit dem Frühjahr kennen.