Kurzfassung: Ende Juli 2026 standen geteilte Claude-Gespräche in der Google-Suche. Gefunden wurden darin eine detaillierte Patientenakte, Studienergebnisse mit Patientennamen, Namen und Telefonnummern von Grundschulkindern, Mitarbeiterbeurteilungen, interne Firmenunterlagen, API-Schlüssel und Krypto-Wallet-Daten. Kein Hackerangriff. Ein Knopf, der Teilen heißt und Veröffentlichen tut. Anthropic sagt, das System habe funktioniert wie vorgesehen. Genau das ist das Problem.

Wer auf Teilen drückt, veröffentlicht. Das steht nirgends drauf, und es hat gerade eine Patientenakte in die Google-Suche gespült.

Ich schreibe seit Wochen dieselbe Geschichte in immer neuen Kostümen. Ein Crawler von OpenAI nimmt bei einem Versicherer Kundendaten samt IBAN mit, weil eine Tür für Stunden offen stand. Ein präparierter Link startet einen fremden KI-Agenten mit den Rechten des Opfers. Ein Testlauf von OpenAI greift fremde Produktionsserver an. Immer dieselbe Bauweise: Der Anbieter baut für die Vorführung, das Risiko landet bei den Leuten, die das Werkzeug benutzen. Und jedes Mal sagt mir jemand, ich sähe das zu düster.

Diese Woche also Anthropic.

Was passiert ist

Am 25. Juli 2026 fiel Nutzerinnen und Nutzern auf Reddit auf, dass eine simple Suchabfrage nach der Adresse claude.ai/share lange Listen geteilter Gespräche ausspuckte. Am 26. Juli lief das über X mit Millionenreichweite, 404 Media berichtete am Montag. Google entfernte im Lauf des 26. und 27. Juli die Treffer, andere Suchmaschinen zeigten sie länger.

Der Inhalt ist das eigentliche Thema. Gefunden wurden nach Berichten von Futurism und TechCrunch unter anderem eine detaillierte Krankenakte eines echten Patienten, Ergebnisse einer klinischen Studie mit Patientennamen, ein Dokument mit Namen und Telefonnummern von Grundschulkindern, als vertraulich markierte Firmenunterlagen und Mitarbeiterbeurteilungen mit persönlichen Angaben. Dazu API-Schlüssel, Lebensläufe, Gehaltslisten, CRM-Exporte und Zugangsdaten zu Krypto-Wallets.

Das ist kein Datenleck im technischen Sinn. Niemand hat eine Datenbank abgeräumt. Menschen haben auf einen Knopf gedrückt, der Teilen heißt.

Der Knopf ist die Lücke

Claude warnt beim Teilen, dass jede Person mit dem Link das Gespräch sehen kann. Was dort nicht steht: dass Suchmaschinen den Link finden und in ihren Index aufnehmen können. Bei Artifacts, also den kleinen Anwendungen, die Claude baut, wird ausdrücklich vor Suchmaschinen gewarnt. Beim Chat nicht. Diese Lücke zwischen zwei Warnhinweisen im selben Produkt hat den Schaden erzeugt.

Ich habe heute die robots.txt von claude.ai selbst abgerufen. Dort steht inzwischen ein Ausschluss für alle Adressen unter /share/. Für die Artifacts unter /public/ steht dort nichts. Die Berichte gehen auseinander, ob vorher der Ausschluss fehlte oder die noindex-Kennzeichnung in den Seiten. Fachlich läuft es aufs Gleiche hinaus, und es lohnt zu verstehen, warum: Ein Ausschluss in der robots.txt ist eine Bitte an Suchmaschinen, nicht hinzusehen. Er entfernt nichts, was schon im Index steht, und er hindert niemanden am Zugriff. Schlimmer noch, wer das Krabbeln verbietet, sorgt dafür, dass Google eine noindex-Anweisung in der Seite nie zu Gesicht bekommt. Die beiden Werkzeuge heben sich gegenseitig auf, wenn man sie falsch kombiniert.

Und selbst wenn alles sauber gesetzt ist, ändert das an der Sache nichts. Jede geteilte Seite bleibt für jeden erreichbar, der die Adresse hat. Archivdienste, Scraper und die Betreiber von Linksammlungen haben längst kopiert. Löschen ist Schadensbegrenzung, keine Rückholung.

Die Antwort ist der eigentliche Skandal

Anthropic teilte mit, man gebe Menschen die Kontrolle darüber, ihre Gespräche öffentlich zu teilen, und man liefere keine Verzeichnisse oder Sitemaps an Suchmaschinen. Wer teile, mache diesen Inhalt öffentlich, und wie anderer öffentlicher Inhalt könne er von Dritten archiviert werden.

Übersetzt: selbst schuld. Das Unternehmen hat einen Knopf gebaut, dessen Wirkung nicht draufsteht, und schiebt die Folgen an die Nutzerinnen und Nutzer weiter. Dieselbe Branche, die auf jeder Bühne erklärt, sie trage besondere Verantwortung, weil ihre Technologie so mächtig sei, kennt bei der Zuweisung von Schuld plötzlich nur noch den Menschen vor dem Bildschirm.

Es ist auch nicht das erste Mal. Forbes berichtete schon 2025 von hunderten indexierten Claude-Gesprächen. OpenAI erlebte im August 2025 dasselbe mit ChatGPT, fand tausende Gespräche bei Google und schaffte die Funktion daraufhin ab, mit der Begründung, sie habe zu viele Gelegenheiten geschaffen, versehentlich Dinge zu teilen. Grok von xAI hatte den gleichen Vorfall. Drei Anbieter, dieselbe Fehlkonstruktion, mehrfach wiederholt. Wer das noch für einen Ausrutscher hält, hat die Muster nicht gezählt.

Bemerkenswert ist der Zeitpunkt. Anthropic hat sich am 27. Juli öffentlich zu Wort gemeldet, um über die Risiken offener Modellgewichte zu sprechen und verpflichtende Sicherheitstests zu fordern. Am selben Wochenende standen Patientendaten aus dem eigenen Produkt in der Google-Suche. Das ist kein Zufall, sondern die Arbeitsteilung der Branche: Man redet ausführlich über die Gefahren der anderen und über die eigenen erst, wenn Reddit sie findet.

Was das für Organisationen in Deutschland bedeutet

Hier hört die amerikanische Debatte auf und die deutsche Haftung fängt an.

Wenn eine Mitarbeiterin in einer Klinik ein Gespräch mit Patientendaten teilt, ist das eine Verletzung des Schutzes personenbezogener Daten nach Artikel 33 der Datenschutz-Grundverordnung. Meldepflicht an die Aufsichtsbehörde binnen 72 Stunden, und bei Gesundheitsdaten nach Artikel 9 mit einem Risikoprofil, das eine Benachrichtigung der Betroffenen wahrscheinlich macht. Verantwortlich ist die Klinik, nicht Anthropic. Ein Auftragsverarbeitungsvertrag rettet niemanden, wenn ein Beschäftigter freiwillig auf Veröffentlichen drückt.

Dasselbe gilt für die Schule mit der Telefonliste und für den Betrieb mit den Mitarbeiterbeurteilungen. Das sind keine exotischen Fälle. Es sind genau die Dokumente, mit denen Menschen ihre Arbeit machen.

Der Ratschlag der Anbieter lautet jetzt, man möge seine geteilten Chats in den Einstellungen durchsehen. Das ist richtig und sollte heute passieren, in den Datenschutzeinstellungen unter den geteilten Chats. Nur beschreibt es das Problem als Aufräumarbeit der Nutzerinnen und Nutzer. Der Konstruktionsfehler bleibt im Produkt.

Was daraus folgt

Behandle jede Teilen-Funktion in einem KI-Werkzeug als Veröffentlichung. Nicht als Weitergabe an eine Person, sondern als Ablage im offenen Netz. Wer einen Link verschicken will, verschickt eine Datei oder einen Screenshot.

Kläre vorher, welche Daten überhaupt in welches Werkzeug dürfen. Der Vorfall wäre für die meisten Betroffenen harmlos gewesen, wenn in dem Gespräch keine Klarnamen, keine Befunde und keine Schlüssel gestanden hätten. Genau dafür habe ich den kostenlosen Kurs Datenklassen im KI-Alltag gebaut, vier Klassen, keine Anmeldung, eine Stunde.

Und nimm die Reihenfolge ernst, in der diese Vorfälle kommen. Erst der Crawler beim Versicherer, dann der Agent im Firmennetz, dann der Testlauf, der fremde Server angreift, jetzt der Teilen-Knopf. Vier verschiedene Anbieter, ein einziges Muster. Der Schutz, den diese Konzerne verkaufen, ist ihr Marketing. Der Schutz, der wirkt, ist das Urteilsvermögen der Menschen, die das Werkzeug bedienen. Deshalb ist Bildung hier keine Kür.

Quellen