Wenn der Chatbot Knöpfe zeigt: Wer bestimmt, was „Bestätigen“ wirklich tut?

Darum geht es

Innerhalb weniger Tage kamen mehrere Fälle zusammen. Am 10. November 2026 hat Anthropic Claude so erweitert, dass sich Notion, Confluence, Box oder Adobe-Werkzeuge als voller Editor im Chat öffnen lassen. Am selben Tag kam mit dem Pixel-Drop „Create My Widget“ auf Pixel-10- und Pixel-11-Handys: Du beschreibst ein Widget, und Gemini baut es. Am 11. November erklärte Google das Protokoll A2UI in Version 1.0 für stabil, und Google Labs startete Tabletop, das aus einem Prompt eine interaktive Gruppenseite macht. Am 12. November folgte Vercels UI SDK.

Alle diese Dienste lassen die KI Oberflächen statt Text liefern, also Knöpfe, Formulare, Diagramme. Der Fachbegriff dafür ist Generative UI. Technisch stecken dahinter aber drei sehr verschiedene Wege. Davon hängt ab, wer am Ende bestimmt, was ein „Bestätigen“-Knopf tut.

Drei Wege zur Oberfläche im Chat

Weg 1: Fremde App im abgeschotteten Fenster. Bei MCP Apps, einer Erweiterung des Model Context Protocol (des offenen Standards, über den KI-Assistenten an fremde Dienste andocken), liefert der Server eines Anbieters fertiges HTML mit JavaScript. Der Chatdienst zeigt es in einem iframe an, einem eingebetteten Browserfenster, das laut offizieller Dokumentation „nicht auf die übergeordnete Seite zugreifen, keine Cookies stehlen und nicht aus seinem Container ausbrechen“ kann. Mit dem Chat spricht die App nur über einen Nachrichtenkanal (postMessage). Diesen Weg nutzen die neuen Claude-Konnektoren. OpenAIs Apps SDK funktioniert genauso, ChatGPT setzt laut OpenAI inzwischen den MCP-Apps-Standard um und ergänzt ihn um eigene Funktionen.

Weg 2: Bauplan statt Code. A2UI schickt keinen Code, sondern eine JSON-Beschreibung, sozusagen eine Bestellliste: „ein Datumsfeld, darunter ein Knopf mit der Aufschrift X“. Die App setzt daraus ihre eigenen, vorher registrierten Bausteine zusammen. Welche Bausteine erlaubt sind, legt ein Katalog fest. Laut Googles Blog kann der Agent nur Komponenten platzieren, die Entwickler registriert haben. Neu in 1.0 sind Funktionsaufrufe in beide Richtungen, etwa ein Flugauswähler, der sofort die Verfügbarkeit prüft, außerdem Barrierefreiheit sowie SDKs für TypeScript und Dart. Ein Detail am Rande: Der Blog nennt 1.0 „stabil“, die Spezifikationsseite führt sie bei unserer Prüfung als „Current“, einen Release-Candidate-Vermerk fanden wir dort nicht.

Weg 3: Das Modell schreibt den Code selbst. Bei Geminis „Dynamic View“ entwirft und programmiert das Modell laut Google Research für jede Anfrage eine eigene Oberfläche aus HTML, CSS und JavaScript. Claudes Grafiken im Chat, seit März 2026 verfügbar, bestehen ebenfalls aus generiertem HTML und SVG. Bei Tabletop sagt Google nicht, wie die Seiten entstehen. Securityonline ordnet das Werkzeug als „Vibe Coding“ ein, also Programmieren per Beschreibung. Create My Widget liegt dazwischen: Laut Android-Entwicklerblog ist das System-Framework RemoteCompose „die Engine hinter Create My Widget“. Welche Form Geminis Ausgabe genau hat, dokumentiert Google nicht.

Zwei Ankündigungen sind kein eigener Weg. Vercels UI SDK (Beta 0.1.0, Apache-2.0) liefert über 50 Verhaltensbausteine wie Tastaturnavigation oder Auswahllisten für React, Vue, Svelte, Solid und Web Components. Gedacht ist es für Coding-Agenten, die Oberflächen beim Entwickeln bauen, nicht zur Laufzeit. Laut Diario Bitcoin enthält es eine Agentenbrücke, über die Agenten den Zustand einer Oberfläche auslesen und Aktionen ausführen. Eine allow-Funktion der App kann jede dieser Aktionen erlauben oder ablehnen. Vercels eigener Test zeigt 69 Prozent weniger Werkzeugaufrufe und 61 Prozent weniger Zeit, beruht aber auf nur einer Aufgabe mit drei Durchläufen. AG-UI wiederum ist laut CopilotKit eine Transportschicht: Sie leitet die Anweisungen weiter, egal ob sie im A2UI-Format kommen oder auf MCP Apps verweisen. Beide Protokolle lassen sich auch kombinieren: Ein A2UI-Renderer kann in einer MCP App laufen und so in Claude oder ChatGPT erscheinen.

Wie die Abschottung funktioniert und wo sie endet

Frédéric Barthelet, Technikchef der Firma Alpic, hat auf der Konferenz AI Engineer erklärt, warum ChatGPT und Claude doppelte iframes nutzen. Ein einfaches iframe hat ein Dilemma: Entweder es teilt die Herkunft (Origin) des Chats, dann könnte der fremde Code an dessen Speicher. Oder es bekommt eine anonyme Herkunft, dann funktioniert kein lokaler Speicher. Die Lösung ist ein äußeres iframe auf einer eigenen Subdomain je App und darin ein inneres iframe mit dem eigentlichen App-HTML. Microsoft macht das sichtbar: Microsoft 365 Copilot zeigt Widgets unter {hash}.widget-renderer.usercontent.microsoft.com. Zusätzlich deklariert jede App, welche Domains sie kontaktieren darf. Diese Regel heißt Content Security Policy (CSP), eine Liste erlaubter Server.

Barthelet nennt auch Grenzen. Subdomains trennen den lokalen Speicher, Cookies brauchen aber eine eigene Absicherung. Und ChatGPTs Entwicklermodus hat die CSP früher nicht durchgesetzt. Das Wichtigste: Der Sandkasten schützt den Chat vor der App, nicht dich vor dem, was die App anzeigt. Ein Sicherheitsleitfaden zu MCP Apps auf nhimg.org hält fest, dass eine Oberfläche trotz Sandbox „irreführende Inhalte anzeigen“ kann.

Die Frage, die fehlt: Was tut „Bestätigen“ wirklich?

Bei MCP Apps malt der App-Anbieter den Knopf. Ein Klick löst eine Anfrage an den Host aus, also an den Chatdienst. Der Host „darf“ solche Anfragen laut Spezifikation blockieren oder dir zur Freigabe vorlegen, er muss es aber nicht. Ob vorher nachgefragt wird, entscheidet also jeder Chatdienst selbst. ChatGPT richtet sich nach Hinweisen, die der Server-Betreiber selbst setzt (etwa „verändert Daten“). OpenAI betont, diese Hinweise ersetzten keine Prüfung auf dem Server. In Microsofts Tabelle zu Microsoft 365 Copilot steht der Hinweis destructiveHint als nicht unterstützt. Anthropic schreibt, dass du Änderungen durch Claude freigeben musst, wie bei normalen Konnektoren. Was Claude von einer geöffneten App liest, sagt die Ankündigung nicht.

Die Sicherheitsfirma Backslash beschreibt als konkretes Risiko UI-Mimikry: Ein Server liefert HTML, das wie die Anmeldeabfrage von VS Code aussieht, und fängt so Zugangsdaten ab. Ein VentureBeat-Gastbeitrag skizziert, wie per Prompt-Injection (versteckte Anweisungen in Daten, etwa in einem Jira-Ticket) Schadcode in einer MCP-App-Ansicht landen kann. Beide beschreiben das als Konzept, ohne Exploit und ohne CVE.

Bei A2UI kommt kein fremder Code an, das ist ein echter Vorteil. Die Spezifikation verlangt außerdem, dass bestimmte Funktionen nur nach einem echten Nutzerklick laufen (requiresUserActivation). Der nhimg-Leitfaden dreht das Argument aber um: Ein manipuliertes Formular übernimmt das Design der Host-App und sei damit „überzeugender, als ein iframe es wäre“. Auch ein zerstörerischer Befehl kann eine harmlose Aufschrift tragen. Bilder, die beim Anzeigen automatisch von einer URL geladen werden, könnten Daten nach außen tragen, und laut dem Leitfaden fehlen in der Spezifikation Regeln zur URL-Prüfung.

Beim generierten Code stammen Aufschrift und Funktion aus derselben Quelle: dem Modell. Unsere Einschätzung: Wurde es über eingelesene Daten manipuliert, etwa über E-Mails, aus denen ein Widget Flugdaten zieht, kann beides falsch sein. Google rät selbst, die Angaben generierter Widgets auf Richtigkeit zu prüfen.

Dass Bestätigungsdialoge schwach sein können, ist belegt, wenn auch bisher nicht speziell für Generative UI. Forschende der Seoul National University zeigten im Juli 2026, dass Claude in Chrome vor Klicks nur meldete, es wolle „ein Element“ anklicken. Ihre Angriffe, bei denen Daten als vertrauenswürdige Metadaten getarnt werden, erreichten selbst gegen Schutzmaßnahmen bis zu 50 Prozent Erfolg. Die Sicherheitsfirma Straiker dokumentierte bei Googles Antigravity eine Freigabeabfrage, die nur den Skriptnamen gmail.py zeigte, während das Skript SSH-Schlüssel hochlud. Ihr Fazit:

„Die Prüfung durch einen Menschen funktioniert nicht mehr als echte Sicherheitsgrenze“, sobald die KI ihre eigene Erklärung kontrolliert.

Welche Daten sieht das Modell?

Auch das ist je nach Weg unterschiedlich geregelt. Google wirbt bei A2UI damit, dass sensible Werte „nie das Modell erreichen“, weil die Daten auf dem Server eingesetzt werden. Laut Spezifikation gehen beim Tippen keine Daten raus, mit einem Klick nur die ausdrücklich genannten Felder. Schaltet ein Entwickler aber sendDataModel ein, geht das gesamte Datenmodell an den Agenten. Bei MCP Apps kann eine App über ui/update-model-context Inhalte für spätere Antworten ins Modell schreiben. Laut nhimg ist das ein Haupteinfallstor für Prompt-Injection. ChatGPT lässt Entwickler zwischen Inhalten für das Modell und rein privaten UI-Daten trennen. Gemini warnt in seiner Hilfe, Google „kontrolliert, überwacht oder sichert keine MCP-Server Dritter“ und Gemini könne Informationen aus Chats mit eigenen Apps teilen.

Wer unterstützt heute was?

Für die Verbraucher-App von Microsoft Copilot fanden wir keinen Beleg für MCP Apps.

Einordnung

Generative UI wird gerade vom Entwicklerexperiment zum Alltag, und die drei Wege verteilen die Verantwortung unterschiedlich. Beim iframe vertraust du dem App-Anbieter und hoffst, dass der Chatdienst kritische Klicks mit einem eigenen Dialog absichert. A2UI verhindert fremden Code, macht Fälschungen aber optisch unauffälliger. Beim generierten Code gibt es keinen Dritten, dafür ist das Modell selbst die Schwachstelle.

Unsere Einschätzung: Der entscheidende Schutz liegt bei keinem der drei Wege im Protokoll. Er liegt in einer vom Host gezeichneten Bestätigung, die die genaue Aktion samt Parametern zeigt, und in einer Prüfung auf dem Server. Genau das schreiben die Spezifikationen bisher nicht vor. Öffentliche Proof-of-Concepts für gefälschte Dialoge in MCP Apps oder A2UI haben wir nicht gefunden. Die Risiken sind beschrieben, aber nicht vorgeführt. Bis dahin gilt als Faustregel: Passwörter, PINs und Kartendaten gehören nicht in Formulare, die im Chat auftauchen.