Anwendungen per Prompt bauen, in Minuten statt in Wochen: Genau dieses Versprechen steht hinter den App-Funktionen moderner KI-Assistenten. Dass die Geschwindigkeit ihren Preis hat, zeigt ein aktueller Fund der Sicherheitsfirma Claroc. Sie stieß auf mehr als 35.000 mit Grok erstellte Apps, die ohne Anmeldung für jede Person im Netz abrufbar waren.

Unter den offen zugänglichen Anwendungen fanden sich nach dem Bericht auch Patientendaten sowie vertrauliche interne Unterlagen des Anbieters selbst. Es handelt sich also nicht um einen Randfall mit Spielprojekten, sondern um Inhalte, die unter keinen Umständen öffentlich stehen dürfen.

Die Ursache war kein Angriff, sondern eine Voreinstellung

Bemerkenswert ist, wie banal der Auslöser war. Beim Veröffentlichen einer App war die Zugriffsoption Anyone with the link – also Zugriff für alle, die den Link kennen – standardmäßig vorausgewählt. Wer die Einstellung nicht aktiv änderte, stellte seine Anwendung damit faktisch ins offene Netz.

Das ist ein klassischer Fall von unsicheren Defaults. Voreinstellungen sind keine neutrale technische Nebensache, sondern eine Entscheidung des Herstellers darüber, was im Zweifel passiert. Und im Zweifel passiert bei den meisten Nutzerinnen und Nutzern genau das, was voreingestellt ist. Wer eine App in wenigen Minuten zusammenprompten kann, liest das Freigabemenü erfahrungsgemäß nicht besonders aufmerksam.

Hinzu kommt eine falsche Sicherheitsannahme: Ein zufällig wirkender, langer Link fühlt sich geheim an. Tatsächlich ist "nicht verlinkt" kein Schutzmechanismus. Solche URLs tauchen in Suchmaschinen, Referrer-Headern, Chatverläufen, Ticketsystemen und automatisierten Scans auf – und genau solche Scans haben die Apps offenbar gefunden.

Aufräumen ist schwieriger als Veröffentlichen

Der Umgang mit dem Fund verdeutlicht ein zweites Problem. Laut dem Bericht nahm der Anbieter die 24 Apps seiner eigenen Mitarbeitenden offline; die übrigen Anwendungen blieben zugänglich. Das ist nachvollziehbar, weil die Inhalte fremden Accounts gehören – und trotzdem ein Dilemma: Verantwortlich für die Daten sind formal die Personen und Organisationen, die sie hochgeladen haben. Viele von ihnen wissen vermutlich bis heute nicht, dass ihre App öffentlich steht.

Für Unternehmen heißt das: Niemand räumt hinter Ihnen auf. Wenn Beschäftigte in einem Fachbereich eigenständig KI-Apps erstellen und dort Kundendaten, Angebote oder Personalunterlagen hinterlegen, entsteht Schatten-IT mit direkter Außenwirkung – ohne dass die IT-Abteilung davon erfährt.

Warum Prototypen besonders gefährdet sind

Prototypen entstehen schnell, informell und oft am Rande offizieller Prozesse. Genau das macht sie nützlich. Riskant wird es an der Stelle, an der ein Prototyp still und leise in den Alltagsbetrieb rutscht: Jemand teilt den Link mit einer Kollegin, die Kollegin mit einer Kundin, und plötzlich fließen echte personenbezogene Daten durch eine Anwendung, die nie ein Review gesehen hat.

Bei per Prompt erzeugten Apps verschärft sich das. Der Code wird oft nicht gelesen, die Datenhaltung nicht hinterfragt, und es gibt keinen Zeitpunkt, an dem jemand bewusst entscheidet: Das geht jetzt produktiv. Der Übergang vom Experiment zum Produktivsystem findet unbemerkt statt.

Vier Punkte vor dem Produktivbetrieb

Für den Schritt vom KI-Prototypen zur eingesetzten Anwendung reicht ein überschaubares Set an Prüfungen – wichtig ist, dass es überhaupt stattfindet:

  • Zugriffskonzept: Wer darf die Anwendung sehen, wer darf Daten ändern? Öffentlich erreichbar ist eine bewusste Entscheidung, kein Standardzustand. Freigaben über reine Link-Kenntnis gehören für interne Daten ausgeschlossen.
  • Datenschutzprüfung: Welche personenbezogenen Daten werden verarbeitet, wo liegen sie, wie lange? Gesundheitsdaten und vergleichbar sensible Kategorien haben in einem Prototyp grundsätzlich nichts verloren – Testdaten genügen.
  • Code- und Architektur-Review: Generierter Code ist Code wie jeder andere und braucht ein Vier-Augen-Prinzip: Authentifizierung, Schnittstellen, Umgang mit Zugangsdaten, Protokollierung.
  • Inventar und Ablaufdatum: Jede KI-App gehört in eine Liste mit verantwortlicher Person. Prototypen ohne Besitzer werden nach einer festgelegten Frist abgeschaltet statt vergessen.

Governance statt Verbot

Die naheliegende Reaktion – KI-Werkzeuge im Unternehmen untersagen – löst das Problem nicht, sondern verlagert es auf private Accounts und damit vollständig aus dem Blickfeld. Sinnvoller ist ein klar beschriebener Weg: freigegebene Werkzeuge, Regeln dazu, welche Datenklassen darin verarbeitet werden dürfen, und eine einfache Möglichkeit, einen Prototypen ins reguläre Entwicklungs- und Betriebsmodell zu überführen.

Dazu gehört auch eine regelmäßige Kontrolle der Freigaben. Standardeinstellungen von Plattformen ändern sich mit Produktupdates; was gestern intern war, kann nach einem Release anders konfiguriert sein. Eine wiederkehrende Prüfung der eigenen veröffentlichten Anwendungen kostet wenig und verhindert genau den Zustand, den Claroc dokumentiert hat.

Einordnung

Für Web- und Softwareprojekte verschiebt sich die Aufgabe: Nicht das Erstellen einer Anwendung ist künftig der Engpass, sondern die Entscheidung, ob und unter welchen Bedingungen sie betrieben werden darf. Review, Rechtekonzept und Datenschutzprüfung sind damit kein bürokratischer Anhang, sondern der eigentliche Mehrwert professioneller Umsetzung. Wer KI-Prototypen zulässt, sollte gleichzeitig definieren, wo sie enden – und wer sie abschaltet, wenn niemand mehr zuständig ist.

Quellen