Grok-Apps legen Firmengeheimnisse offen, auch von Musks eigener Firma

Worum es geht

Die Sicherheitsfirma Claroc hat am 10. November 2026 eine Untersuchung namens „GhostShares“ veröffentlicht. Es geht um den Build-Modus von Grok, dem KI-Chatbot von SpaceXSI. So heißt das Unternehmen seit dem Zusammenschluss von SpaceX und Elon Musks KI-Firma xAI. Im Build-Modus beschreibt man im Chat, welche App man haben möchte. Grok erzeugt daraus eine funktionierende Web-Anwendung, und man kann sie im selben Chatfenster veröffentlichen. Fachleute nennen das „Vibe Coding“: Software entsteht aus Anweisungen in normaler Sprache, ohne dass man selbst programmiert.

Claroc hat zehntausende dieser veröffentlichten Apps aufgespürt. Die allermeisten ließen sich ohne jede Anmeldung öffnen. Ein Teil davon enthielt vertrauliche Firmendaten, Personaldaten und sogar Gesundheitsdaten. Zu den Betroffenen gehört auch SpaceXSI selbst: 24 offene Apps hatten Mitarbeiter von SpaceXSI und X gebaut.

So kam der Build-Modus zustande

SpaceXSI hatte den Build-Modus im Juli 2026 als frühe Beta vorgestellt. Laut androidheadlines.com war er zunächst nur für Abonnenten von SuperGrok Heavy verfügbar, auf grok.com und in den Apps für iOS und Android. Grok zeigt dabei eine lauffähige Vorschau direkt im Chat. Nutzer können Layout, Funktionen und Logik per Texteingabe anpassen. Möglich sind Websites, Rechner, Aufgabenplaner, Spiele und Live-Dashboards, die über Konnektoren echte Daten abrufen. Fertige Projekte lassen sich unter einer grok.me-Adresse oder einer eigenen Domain veröffentlichen. Grok tritt damit gegen Werkzeuge wie Google AI Studio, Claude Artifacts von Anthropic und ChatGPT Codex von OpenAI an. Sein Hauptargument ist, dass man nichts installieren oder einrichten muss.

Wie die Forscher die Apps gefunden haben

Der Kern des Problems liegt in der Adressvergabe. Jede veröffentlichte App bekommt einen eigenen Hostnamen nach dem Muster name.grok.me. Wer eine solche Adresse aufruft, löst eine DNS-Abfrage aus. Das DNS ist das „Telefonbuch“ des Internets, das Namen in Server-Adressen übersetzt. Sogenannte Passive-DNS-Datenbanken sammeln solche Abfragen und machen sie durchsuchbar. Auch Adressen aus vier zufälligen Wörtern tauchen deshalb früher oder später in diesen Verzeichnissen auf, sobald jemand sie benutzt.

Laut Ars Technica versucht Grok zwar, die Adressen zufällig zu gestalten, damit nur Eingeweihte sie kennen. Diese Designentscheidung mache den Schutz aber vollständig zunichte. Stünde die zufällige Kennung im Pfad der URL, also hinter dem Schrägstrich, würde sie nicht über DNS sichtbar. Suchmaschinen und Link-Scanner könnten sie aber trotzdem verraten, schränkt Claroc ein.

Mit üblichen Methoden zur Suche nach Subdomains fand Claroc 43.601 Namen unter grok.me. Davon waren beim Test noch 37.571 Apps online. Die Forscher riefen jeweils nur die erste Seite einmal ohne Anmeldung auf und werteten gespeicherte Kopien offline aus. Das Ergebnis:

Die meisten offenen Apps waren harmlos: Spiele, Landingpages, Rechner. Um die heiklen Fälle zu finden, ließ Claroc ein KI-Modell verdächtige Seiten markieren, prüfte die Treffer von Hand und kontrollierte das Modell an einer Zufallsstichprobe.

Was in den offenen Apps stand

Bei den Apps von SpaceXSI- und X-Mitarbeitern fand Claroc unter anderem:

• einen als vertraulich markierten Onboarding-Plan für ein neues Mitglied des Enterprise-Vertriebs,
• eine Vertriebsgebietskarte mit 594 strategischen Kundenkonten samt Verkaufs-Pipeline,
• acht Werbeangebote, Mediapläne und Präsentationen von X, eines davon an eine US-Bundesbehörde adressiert und als vertraulich gekennzeichnet,
• eine Übersicht über Werbekunden, die den Fortschritt zu einem Verkaufsziel von 1,6 Millionen Dollar verfolgte.

Laut Ars Technica waren außerdem interne Systemadressen von Vertriebswerkzeugen zu sehen. Claroc schrieb dazu:

„Wir waren schockiert. Die Firma, die Grok herstellt, hatte ihr eigenes internes Material für jeden mit dem Link offen – und uns hatte nie jemand diesen Link gegeben. Hätte das Vertriebsteam dafür ein Tool gekauft, läge es hinter der Firmenanmeldung, nur für das Team zugänglich. Mit KI gebaut, ging es offen für jeden mit dem Link online.“

Dazu kamen interne Daten von 30 weiteren Organisationen. 26 davon haben mehr als 1.000 Beschäftigte, sechs gehören zu den Fortune-500-Unternehmen. Von Hand bestätigt hat Claroc unter anderem:

• ein durchsuchbares Verzeichnis mit mehr als 3.500 Beschäftigten einer Krankenhausgruppe,
• ein Briefing einer Intensivstation mit Laborwerten, Bildgebung und Beatmungsstatus eines Patienten,
• eine Live-Schichttafel einer Feuerwehr mit Namen und Dienstnummern von Feuerwehrleuten,
• die Stundenzettel-App eines Dienstleisters mit 18 Benutzerkonten und deren Passwörtern im Klartext, darunter Administratorkonten. Die Passwörter standen im Skriptcode, den jeder Browser beim Aufruf herunterlädt.

Als weitere Beispiele nennt Ars Technica medizinische Untersuchungsergebnisse und Checklisten aus der Bordküche einer Kreuzfahrtlinie.

Die Tests: Wenn KI-generierter Anmeldecode versagt

Um Schreibzugriffe und Berechtigungen zu prüfen, baute Claroc zwei eigene Apps mit erfundenen Daten. Im bezahlten Konto wurde nichts öffentlich, bevor man auf „Publish“ klickte. Im anschließenden Freigabedialog war aber „Jeder mit dem Link“ vorausgewählt. Die Alternativen „Eingeladene Nutzer“ und „Nur du“ musste man selbst anklicken.

Test 1: eine Kontaktliste mit Datenbank und ohne Anmeldung. Ein Eintrag, den die Forscher aus einem abgemeldeten Inkognito-Fenster hinzufügten, war für den nächsten Besucher sichtbar. Fremde konnten also nicht nur lesen, sondern auch schreiben.

Test 2: eine Kundenliste für ein vierköpfiges Vertriebsteam. Grok baute dafür Anmelde-Buttons für Google und X ein. Der erzeugte Code trug aber jeden, der sich anmeldete, zuerst als Teammitglied ein und prüfte erst danach die Mitgliedschaft. Die Prüfung war damit immer erfolgreich. Ein nicht eingeladenes Google-Konto konnte alle Kunden sehen, einen Eintrag ändern und einen anderen löschen. Im Fachjargon heißt das: Die Authentifizierung (wer bist du?) funktionierte, die Autorisierung (darfst du das?) nicht.

Claroc betont, dass es diese Schreib- und Berechtigungsfehler nur an den eigenen Apps nachgewiesen hat. In fremden Apps hat sich die Firma nicht angemeldet, keine Formulare abgeschickt und nichts verändert. Die eingebauten Schutzfunktionen funktionierten, wenn man sie einschaltete: Mit „Nur du“ bekam ein Fremder für Seite und Datenfunktion den Fehler HTTP 401 („nicht autorisiert“). Nach dem Zurückziehen der Veröffentlichung war die zweite App innerhalb von Sekunden offline.

Meldung und Reaktion von SpaceXSI

Claroc meldete den Onboarding-Plan und ein Werbeangebot am 8. November 2026 an SpaceXSI, zusammen mit den Zahlen, den beiden Test-Apps und vier Verbesserungsvorschlägen. Die übrigen Mitarbeiter-Apps folgten am 9. November. Laut Ars Technica kam keine Antwort. Ein Claroc-Vertreter markierte daraufhin Elon Musk und Grok-Manager Matt Palmer öffentlich auf X. Am Montagabend waren alle 24 Apps noch erreichbar. Erst wenige Stunden nach einer Presseanfrage von Ars Technica nahm SpaceXSI sie vom Netz, sie zeigen jetzt „app not found“. Die offenen Apps anderer Nutzer blieben online.

Gegenüber der Presse erklärte SpaceXSI, Apps blieben privat, bis ihre Ersteller sie teilen. Das Veröffentlichen erfordere mehrere Schritte, und Mitarbeiterkonten stünden standardmäßig auf „Nur du“. Claroc hält dagegen, dass in einem normalen bezahlten Konto „Jeder mit dem Link“ vorausgewählt war. Außerdem waren die Apps der Mitarbeiter trotz dieser angeblichen Voreinstellung öffentlich.

Claroc schlägt vier Änderungen vor:

1. Geteilte Apps auf schwer erratbaren Pfaden unter einem einzigen Host statt auf eigenen Subdomains,
2. Freigabe, die sich auf die Domain einer Organisation beschränken lässt,
3. „Nur du“ als Standard und vor dem Veröffentlichen anzeigen, wer die App öffnen kann,
4. Warnungen bei Apps mit Datenbank, aber ohne Anmeldung, und automatisch eine Einladungsliste anlegen, wenn in der Anfrage von einem Team die Rede ist.

Weil SpaceXSI nicht zusagte, die betroffenen App-Besitzer zu informieren, schreibt Claroc sie selbst an. Bis zur Veröffentlichung hatten drei Organisationen eine E-Mail bekommen. Hostnamen, App-Titel und Links nennt der Bericht nicht. Die gespeicherten Kopien will Claroc löschen, sobald alle Betroffenen benachrichtigt sind.

Einordnung

Der Fall zeigt eine typische Schwäche des Vibe Codings. Wer sich eine App per Chat bauen lässt, weiß oft nicht, wo die Daten liegen und wer sie sehen kann. Viele denken nicht darüber nach, dass ein „geheimer“ Link kein Zugriffsschutz ist. Die Verantwortung liegt aber nicht nur bei den Nutzern. Zwei Entscheidungen der Plattform haben das Problem deutlich verschärft: die öffentliche Freigabe als Voreinstellung und eine eigene Subdomain für jede App, wodurch sich die Apps massenhaft auflisten lassen. Dazu kommt ein grundsätzliches Problem: Der Test zeigt, dass KI-generierter Sicherheitscode plausibel aussehen kann und trotzdem nicht schützt. Eine Anmeldung allein hält Fremde nicht fern.

Peinlich ist der Fall für SpaceXSI, weil die eigenen Mitarbeiter betroffen waren. Die Firma reagierte erst, als die Presse nachfragte. Offen bleibt, ob SpaceXSI die Voreinstellungen und die Adressstruktur ändert und ob die übrigen Betroffenen erfahren, dass ihre Daten offen lagen. Die Zahlen zu den Apps mit privaten Daten sind eine Schätzung von Claroc. Das Ausmaß ist also nicht unabhängig bestätigt, aber die Beispiele sind von Hand überprüft. Wer Grok Build oder ähnliche Werkzeuge nutzt, sollte die Freigabe seiner veröffentlichten Apps prüfen, Apps mit sensiblen Daten auf „Nur du“ oder „Eingeladene Nutzer“ stellen und offen gewordene Passwörter sofort ändern.