ChatGPT-Lücke: Hacker konnten trotz Lockdown-Modus private Chats abgreifen

Worum es geht

Der Lockdown Mode von ChatGPT soll verhindern, dass vertrauliche Daten aus einem Gespräch nach außen gelangen, selbst wenn ein Angreifer die KI manipuliert hat. Genau dieser Schutz ließ sich umgehen. Das zeigt eine Untersuchung des israelischen Sicherheitsunternehmens Check Point Research, die Forscher Alexey Bukhteyev am 5. November 2026 veröffentlicht hat. Über einen Trick mit Popup-Fenstern konnten Angreifer komplette Chatverläufe abgreifen, Schadsoftware unterschieben und Zugangsdaten abfischen. In der Desktop-App ChatGPT Classic reichte es sogar, ganz normal zu chatten. Ein Klick war nicht nötig.

Die gute Nachricht: Check Point hatte die Lücke vorab vertraulich an OpenAI gemeldet. Am 18. September 2026 hat OpenAI sie geschlossen. Du musst also nichts tun. Die Geschichte zeigt aber, wie verletzlich KI-Plattformen an Stellen sind, an die kaum jemand denkt.

Was der Lockdown Mode eigentlich leisten soll

Die Funktion richtet sich gegen Prompt Injection. Dabei verstecken Angreifer Anweisungen in Inhalten, die die KI verarbeitet, etwa in einer Webseite, einem Dokument oder einem geteilten Chat. Die KI befolgt diese Anweisungen dann, als kämen sie vom Nutzer. Ein typisches Ziel ist die Exfiltration, also das heimliche Hinausschleusen von Daten. Ein bekannter Trick: Die KI wird dazu gebracht, einen Link wie attacker.example/collect?data= aufzurufen und private Informationen anzuhängen. Die Daten landen dann in den Server-Protokollen des Angreifers, während der Chat völlig normal aussieht.

Der Lockdown Mode macht deshalb möglichst viele Ausgänge dicht. Das Surfen beschränkt sich auf zwischengespeicherte Seiten, Bilder aus dem Netz werden blockiert. Deep Research, Agent Mode, die Netzwerkfunktionen von Canvas, Live-Connectors zu anderen Diensten und Datei-Downloads sind abgeschaltet. Laut cybersecuritynews.com startete die Funktion am 13. Februar 2026 zunächst für Business-Kunden. Seit dem 4. Juni gibt es sie auch für private Konten, einschaltbar unter Einstellungen > Sicherheit. Andere Quellen nennen nur Juni als Einführungsdatum. OpenAI selbst bezeichnet den Modus als Angebot für besonders gefährdete Nutzer wie Führungskräfte und Sicherheitsteams, die meisten Menschen bräuchten ihn nicht.

Der Trick: ein Fenster im Fenster im Fenster

Im Februar 2026 hat OpenAI eine HTML-Vorschau für Codeblöcke eingeführt. Erzeugt ChatGPT eine Webseite, kann man sie direkt im Chat ansehen. Weil dabei fremder HTML- und JavaScript-Code läuft, hat OpenAI die Vorschau in zwei ineinander verschachtelte iframes gesperrt. Das sind eingebettete Mini-Webseiten innerhalb einer Seite. Diese Sandbox, also ein abgeschotteter Sandkasten für unsicheren Code, sollte den Zugriff auf Cookies, den lokalen Speicher und die eigentliche ChatGPT-Oberfläche verhindern. Externe Anfragen, Bilder, Links und Popups wurden abgefangen, vorher erschien jeweils ein Bestätigungsdialog.

Die Schwachstelle steckte in den Berechtigungen. Das äußere iframe erlaubte sowohl allow-popups als auch allow-popups-to-escape-sandbox. Popups durften sich also öffnen und mussten sich nicht an die Sandbox-Regeln halten. Als Ausgleich hatte OpenAI die Funktion window.open, mit der Webseiten neue Fenster öffnen, durch eine eigene Version ersetzt, die erst um Erlaubnis fragt. Diese Ersetzung galt aber nur für die oberste Ebene. Der Code konnte einfach ein weiteres iframe anlegen und dessen unveränderte window.open-Funktion aufrufen. Ergebnis: ein echtes Popup, in dem beliebiger Code außerhalb der Sandbox lief, auch bei aktivem Lockdown Mode.

„Durch das Anlegen eines weiteren verschachtelten Frames innerhalb der gerenderten Seite ließ sich eine unveränderte Popup-Funktion erreichen und die Beschränkungen der ursprünglichen HTML-Vorschau umgehen“, erklärt Check-Point-Forschungsleiter Eli Smadja gegenüber The Hacker News.

Drei Angriffsszenarien

1. Gefälschte Updates mit Schadsoftware: In der Desktop-App behielt das Popup das ChatGPT-Symbol, den Titel bestimmte der Angreifer. So ließ sich täuschend echt ein „ChatGPT-Update“ anbieten, das in Wahrheit Malware war. In der Desktop-App musste das Opfer noch auf den Download-Link klicken. Im Browser werden Downloads nicht blockiert. Dort reichte ein geteilter Chat-Link, das Opfer brauchte nicht einmal ein ChatGPT-Konto.

2. Datendiebstahl ohne Klick: Am gravierendsten war der Fall bei ChatGPT Classic, das auf dem Framework Electron basiert. Electron baut Desktop-Programme aus Webtechnik. Hier funktionierte window.open ganz ohne Nutzeraktion. Ein präparierter Prompt, ein bösartiges Custom GPT oder ein geteilter Chat konnten während des Gesprächs den gesamten Verlauf samt hochgeladener Dateien still an einen fremden Server schicken. Check Point demonstrierte das mit einem manipulierten GPT. Laut Check Point ist die Technik grundsätzlich nicht auf die Desktop-App beschränkt.

3. Phishing nach Zwangsabmeldung: Die Forscher konnten außerdem das Hauptfenster neu laden und den Nutzer abmelden. Eine gefälschte Login-Seite hätte dann beim erneuten Anmelden das Passwort abgreifen können.

Teil einer ganzen Serie

Die Lücke reiht sich in eine Folge von Funden ein. Im März hatte Check Point gezeigt, dass sich Chatdaten per DNS-Tunneling aus der Codeausführungsumgebung von ChatGPT schmuggeln ließen. Dabei werden Daten in scheinbar harmlosen Adressabfragen versteckt. Im September demonstrierte die Firma einen verdeckten Befehlskanal über Konten hinweg: Ein Opfer bekam eine normale Antwort, während im Hintergrund die Aufgabe eines Angreifers mit den Werkzeugen und Daten der Sitzung des Opfers ablief. Laut The Hacker News beschrieb Parameter Labs nur eine Woche vor der aktuellen Veröffentlichung eine weitere Lücke in derselben HTML-Vorschau. Damit ließ sich über einen öffentlichen Share-Link sogar ein fremdes Konto übernehmen. Check Point betont, dass es sich um zwei verschiedene Schwachstellen in derselben Komponente handelt, und kommentiert:

„Das zeigt, dass jede neue Funktion eine Chance für weitere Schwachstellen ist.“

The Hacker News listet zudem zahlreiche ähnliche Angriffe auf andere KI-Werkzeuge der vergangenen Monate auf, von eingebauten Browsern in Coding-Assistenten wie Cursor, GitHub Copilot und Claude Desktop bis zu Agenten-Frameworks wie LangGraph und CrewAI.

Was du tun kannst

Für genau diese Lücke ist nichts nötig, sie ist behoben. Sicherheitsexperten von cybersecuritynews.com empfehlen aber einige Gewohnheiten gegen ähnliche Angriffe:

• Keine Buttons, Vorschauen oder „Update“-Hinweise in geteilten Chats anklicken.
• Keine Prompts von unbekannten Webseiten kopieren und keine Custom GPTs von unbekannten Anbietern nutzen.
• Nach einer unerwarteten Abmeldung genau prüfen, ob die Login-Seite echt ist.
• Die Desktop-App aktuell halten.
• Medizinische, finanzielle oder berufliche Geheimnisse nur eingeben, wenn es wirklich nötig ist.

Einordnung

Der Fund ist vor allem deshalb pikant, weil er ausgerechnet die Funktion trifft, die Vorsichtige schützen soll. Das eigentliche Problem lag nicht im Sprachmodell. Es lag in der Anwendung drumherum, also in Browser-Technik, Sandbox-Regeln und Desktop-Laufzeit. Check Point fasst das so zusammen: KI-Sicherheitskontrollen sind nur so stark wie die Umgebung, in der sie laufen. KI-Assistenten sind längst vollwertige Ausführungsumgebungen, die Code in der Cloud starten, Inhalte auf dem Gerät darstellen und dabei sensible Daten verarbeiten. Jede Komfortfunktion vergrößert die Angriffsfläche.

Positiv ist die verantwortungsvolle Offenlegung: OpenAI reagierte, und Check Point veröffentlichte erst nach dem Fix. Hinweise darauf, dass die Lücke tatsächlich ausgenutzt wurde, enthalten die Quellen nicht. Eine Stellungnahme von OpenAI fehlt in den Berichten. Das japanische Portal TapAI fasst die Lehre treffend zusammen: Schutzmodi senken das Risiko, garantieren aber keine Sicherheit. Das räumt auch OpenAI selbst ein.