Geteilte Claude-Chats tauchten bei Google auf, und warum Disallow kein Noindex ist

Ende Juli 2026 tauchten Hunderte Unterhaltungen, die Menschen aus Claude geteilt hatten, in den Google-Ergebnissen auf. Darunter fanden sich Seed-Phrasen von Kryptowallets, offenbar echte Sozialversicherungsnummern, Gehaltstabellen mit Mitarbeiternamen, Exporte aus internen CRM-Systemen und Dateien mit Namen und Telefonnummern von Schulkindern. Anthropic hat die Lücke geschlossen und Google die Treffer entfernt, doch eine Kopie des Offengelegten war zu diesem Zeitpunkt bereits bei Dritten gelandet. Der Fall lohnt eine genaue Betrachtung, denn der Fehler dahinter gehört zu den häufigsten im Web und ist selbst für erfahrene Teams nicht offensichtlich.

Wie es ans Licht kam

Am 25. Juli tippte ein Reddit-Nutzer eine einzige Suchanfrage bei Google ein, site:claude.ai/share, und bekam seitenweise fremde Unterhaltungen. Der Thread erreichte rund 4.000 Upvotes. Der unabhängige Berater Daniel J. Glover meldete die zugrunde liegende Fehlkonfiguration einen Tag später, und 404 Media berichtete am Montag darüber.

Gehackt wurde nichts. Jede dieser Seiten hatte der Eigentümer der Unterhaltung selbst veröffentlicht, per Teilen-Schaltfläche. Womit niemand rechnete: dass "schick den Link einem Kollegen" zugleich "trag das in eine öffentliche Suchmaschine ein" bedeutet.

Der technische Fehler und warum er so leicht passiert

Diesen Teil sollte man aufmerksam lesen, denn ausgerechnet die Maßnahme, die alle für richtig halten, hat das Problem verursacht.

Die robots.txt von Anthropic sperrte die Share-Seiten tatsächlich. Man kann sie bis heute unter claude.ai/robots.txt aufrufen, die Zeile steht dort: Disallow: /share/*. Die Seiten selbst lieferten zusätzlich den Header x-robots-tag: none, also genau jene Anweisung, die eine Seite wirklich aus den Ergebnissen nimmt.

Beide Maßnahmen waren vorhanden und hoben einander auf.

In einem Satz: Die Anweisung, nicht im Index zu erscheinen, stand an einer Tür, die von außen abgeschlossen war. Googles eigene Dokumentation sagt es unmissverständlich: Eine noindex-Regel wirkt nur, wenn die Seite nicht vom Crawling ausgeschlossen ist. Zusätzlich war der Pfad, über den Claude Artifacts ausgeliefert wurden, in der robots.txt gar nicht aufgeführt.

Die Lehre reicht weit über ein Unternehmen hinaus. Soll eine Seite gecrawlt, aber nicht gelistet werden, muss man den Crawler hereinlassen und ihm ein noindex geben. Soll sie weder gecrawlt noch gelistet werden, genügt robots.txt nicht, dafür braucht es echte Zugriffskontrolle.

Warum das Entfernen der Links nichts beendete

Anthropic passte die Konfiguration an und ergänzte noindex-Tags, Google begann am 26. Juli mit dem Entfernen. Bing lieferte danach noch eine Weile geteilte Links aus. Das Endgültigere war da aber schon geschehen: Jemand hatte ein GitHub-Repository angelegt mit 11.241 Nachrichten aus 453 Unterhaltungen im Klartext.

Suchmaschinen vergessen. Archive nicht. Wer heute die Freigabe eines Chats zurückzieht, verschließt den Link für künftige Besucher und ändert nichts an einer Kopie, die entstand, solange er offen war. Stand in der Unterhaltung eine Seed-Phrase oder eine Ausweisnummer, lautet die richtige Reaktion nicht "Freigabe aufheben", sondern das Geheimnis als kompromittiert behandeln und ersetzen.

Unternehmenssprecherin Amie Rotherham erklärte, die Links seien "nicht erratbar oder auffindbar, sofern Menschen sie nicht selbst teilen". Über die Erzeugung der Links stimmt das, mit dem Vorfall hat es nichts zu tun: Hat eine Suchmaschine eine Adresse erst gelistet, muss sie niemand mehr erraten.

Was tun, wenn Sie je einen Share-Link genutzt haben

1. Öffnen Sie Einstellungen, dann Datenschutz, dann "Geteilte Chats", und gehen Sie die Liste durch. Ziehen Sie zurück, was nicht öffentlich sein soll.
2. Betrachten Sie alles Sensible aus einer geteilten Unterhaltung als offengelegt. Wechseln Sie API-Schlüssel, Passwörter und Wiederherstellungsphrasen, statt darauf zu setzen, dass niemand den Link geöffnet hat.
3. Prüfen Sie dieselbe Einstellung in jedem anderen Assistenten, den Sie nutzen. Das ist ein Muster im Produktdesign, keine Eigenart eines einzelnen Anbieters.
4. Denken Sie daran: Eine Freigabe zurückzuziehen ist keine Löschung. Es schließt die Tür nur für die Zukunft.

Was ein VPN hier nicht löst

Hier sollte man deutlich werden, denn genau an solchen Stellen werden Datenschutz-Ratschläge unehrlich verkauft. Ein VPN hätte nichts davon verhindert. Es wurde nichts auf dem Transportweg abgefangen, und niemand brauchte Ihre IP-Adresse. Die Daten gingen durch die Vordertür, veröffentlicht vom Kontoinhaber, und wurden anschließend von einer Suchmaschine erfasst, die genau das tat, wofür sie gebaut ist. Verschlüsselung schützt den Weg; über ein Dokument, das Sie am Ziel selbst veröffentlichen, sagt sie nichts. Die relevante Angriffsfläche ist das, was Sie ins Eingabefeld tippen, dieselbe Lehre wie bei der Weitergabe von Anfragezusammenfassungen aus ChatGPT an Meta und bei der Lücke, durch die eine Webseite einen Assistenten in ein Phishing-Werkzeug verwandeln konnte.

Fazit