Deine Daten sind längst geleakt. Mit KI wird das gefährlicher

Im Februar 2026 wurde bekannt, dass eine Datenbank des Identitätsprüfers IDMerit ohne Passwort im Netz stand. Sie enthielt rund eine Milliarde Datensätze aus 26 Ländern, darunter etwa 60 Millionen aus Deutschland: Namen, Adressen, Geburtsdaten, Ausweisnummern, Telefonnummern und E-Mail-Adressen. Laut den Berichten gibt es keine Hinweise, dass Kriminelle darauf zugegriffen haben, aber offen lag sie trotzdem (Born City).

Teuer wird so etwas sowieso. Laut dem aktuellen IBM-Report kostet ein Datenleck ein Unternehmen in Deutschland im Schnitt 4,25 Millionen Euro, deutlich mehr als im Vorjahr (Security-Insider).

Und es trifft nicht nur Deutschland. In Frankreich hat eine Software für Arztpraxen Daten von 11 bis 15 Millionen Patienten preisgegeben, einschließlich Notizen, die Ärzte über sie geschrieben hatten (Journal du Geek). In den USA wurden Gesundheitsdaten von 15 Millionen Kunden des Zahnversicherers DentaQuest gestohlen (TechCrunch).

Neu ist, was sich heute mit solchen Daten anfangen lässt.

Wie KI geleakte Daten wertvoller macht

Früher war es Arbeit, aus einer geleakten Tabelle einen Betrug zu machen. Jemand musste sie lesen, Daten abgleichen und jedem Opfer eine glaubwürdige Nachricht schreiben. KI erledigt das in Sekunden, in fehlerfreiem Deutsch, und klont inzwischen auch Stimmen und Gesichter.

Laut IBM wird inzwischen jeder vierte böswillige Angriff von KI angetrieben (IBM).

Manchmal ist die KI selbst die Schwachstelle. Anfang des Jahres kaperten Angreifer Tausende Instagram-Konten, indem sie den Support-Chatbot von Meta baten, Codes zum Zurücksetzen des Passworts an E-Mail-Adressen ihrer Wahl zu schicken (TechCrunch).

Und manchmal handelt sie auf eigene Faust. Im Juli berichtete OpenAI, dass KI-Agenten bei einem Cybersicherheitstest aus ihrer Sandbox ausgebrochen sind, ins offene Internet gelangten und in die Systeme von Hugging Face eindrangen, um die Lösungen des Tests zu stehlen. Niemand hatte sie dazu aufgefordert. Die Agenten kamen selbst zu dem Schluss, dass Schummeln der einfachste Weg war (Malwarebytes).

Selbst KI-Firmen halten ihre Daten nicht dicht

Im Juli 2025 tauchten per Link geteilte ChatGPT-Unterhaltungen in den Google-Suchergebnissen auf. Darin ging es um Sucht, psychische Krisen und Probleme im Job, manchmal mit genug Details, um die Person zu identifizieren. OpenAI schaltete die Funktion ab und ließ die Links entfernen (Cybersecurity News).

Im November 2025 wurden Namen, E-Mail-Adressen und ungefähre Standorte von OpenAI-Nutzern geleakt. Der Angriff fand nicht bei OpenAI statt, sondern bei Mixpanel, einem Analyse-Tool, mit dem das Unternehmen die Nutzung seines Produkts maß (OpenAI).

Genau dieser zweite Fall zeigt das Problem. Deine Daten bleiben nicht bei der App, die du installiert hast. Sie wandern durch das Analyse-Tool, das Werbe-SDK, den Login-Dienst und den Sync-Server. Jeder dieser Partner ist eine weitere Tür, die jemand aufbrechen kann.

Die sichersten Daten verlassen nie dein Handy

Ein Leak lässt sich nicht rückgängig machen. Aber du kannst aufhören, neue Daten herzugeben.

Viele Apps wollen Internetzugriff, obwohl sie ihn nicht brauchen. Eine Medikamenten-Erinnerung oder eine Trink-Erinnerung funktioniert auch ohne Server. Trotzdem verlangen solche Apps oft ein Konto, zeigen Werbung und schicken Nutzungsdaten nach außen.

Manche dieser Daten sind heikel. Welches Medikament du nimmst und wann, verrät viel über deine Gesundheit. Die DSGVO zählt Gesundheitsdaten deshalb zu den besonderen Kategorien personenbezogener Daten.

Gota und Kapsu: Apps, die ohne Internet funktionieren

Unsere beiden Apps bei Google Play folgen derselben Regel: Alles bleibt auf dem Gerät.

• Kapsu – Medikamenten-Wecker klingelt zu jeder Dosis und speichert deinen Einnahmeverlauf. Mehr auf der Kapsu-Seite.
• Gota erinnert dich ans Trinken und zählt deine Gläser, bis du dein Tagesziel erreichst.

Keine der beiden Apps hat Konten, Werbung oder Analyse-Tools. Und ein technisches Detail zählt mehr als jedes Versprechen: Unter Android kann eine App nur ins Internet, wenn sie die Berechtigung INTERNET anmeldet. Gota und Kapsu tun das nicht. Selbst wenn jemand wollte, hätte die App keinen Weg, deine Daten irgendwohin zu schicken. Sie fragen nur nach Benachrichtigungen und Weckern, damit sie dich pünktlich erinnern können.

Das kannst du selbst prüfen: im Play-Store-Eintrag der App, in der Liste der Berechtigungen unter „Über diese App“.

Was weiterhin an dir liegt

Daten auf dem Handy sind nur so sicher wie das Handy selbst. Ein paar Punkte gelten für jede App:

• Nutze eine Bildschirmsperre. Wer dein entsperrtes Handy in der Hand hat, hat alles, was darauf ist.
• Wisse, was das Backup macht. Ist das Android-Backup aktiv, kann das System eine verschlüsselte Kopie deiner App-Daten in deinem Google-Konto speichern. Das entscheidest du, und du kannst es in den Einstellungen abschalten.
• Prüf die Berechtigungen vor der Installation. Eine Taschenlampen-App, die deine Kontakte will, ist ein Warnsignal.
• Misstraue Nachrichten, die zu viel wissen. Wenn ein Fremder deine Adresse, deine Bank oder dein Geburtsdatum kennt, macht ihn das nicht vertrauenswürdig. Es beweist nur, dass deine Daten im Umlauf sind.