Mit dem „Build“-Modus von Grok, das zu SpaceXSI (vormals xAI) gehört, lässt sich aus einer Chat-Beschreibung direkt eine Web-App schreiben; ein Klick auf „Publish“ weist ihr eine eigene Adresse unter grok.me zu. Laut dem neuesten Bericht des Sicherheitsunternehmens Claroc waren von 37.571 geprüften, noch online befindlichen Apps dieser Art 35.578 ohne Anmeldung zugänglich, also 94,7 Prozent.
Unter den offengelegten Inhalten finden sich Laborwerte von Patienten, Mitarbeiterlisten von Krankenhäusern und auch interne Dokumente, die Beschäftigte von SpaceXSI und X selbst erstellt haben.
Zwei Voreinstellungen, die sich addieren
Claroc führt die Ursache auf den Veröffentlichungsschritt zurück. Auf dem kostenpflichtigen Testkonto war im Veröffentlichungsdialog „Anyone with the link“ (jeder mit dem Link) bereits vorausgewählt.
Auch die Adressen sind leicht zu finden. Jede App hat eine eigene Subdomain; nach dem ersten Aufruf landet deren Name in kommerziellen Passive-DNS-Datenbanken (Datenbanken, die den Verlauf von Domain-Auflösungen speichern), die sich per Regel massenhaft durchsuchen lassen. Standardmäßig öffentlich und dazu enumerierbare Adressen: Der Schutz nach dem Motto „nur mit Link sichtbar“ läuft damit praktisch ins Leere.
Was alles herausgekommen ist
Laut Claroc sind die meisten öffentlichen Apps kleine Spiele, Landingpages und Rechner; rund ein Zehntel enthalte sensibles Material, interne Geschäftsdaten oder personenbezogene Informationen, etwa 2 Prozent seien besonders schwerwiegende Fälle.
Zu den bestätigten Fällen zählen: eine ICU-Übergabe mit Laborwerten von Patienten; eine Liste von mehr als 3.500 Beschäftigten einer Krankenhausgruppe; ein Dienstplan einer Feuerwehr; und der Quellcode einer Zeiterfassungs-App, in dem die Passwörter von 18 Konten im Klartext standen. Neben SpaceXSI und X sind 30 Organisationen betroffen, davon 6 aus der Fortune 500; Claroc nennt keine Namen.
Unter den 24 Mitarbeiter-Apps findet sich ein vertraulicher Schulungsplan für neu eingestellte Unternehmensvertriebler, der Adressen interner Systeme und 19 interne Chatgruppen auflistet; eine Karte, die 594 strategische Kunden auf sechs Vertriebsregionen verteilt und nach Priorität sortiert; sowie 8 Werbeangebote von X, von denen eines an eine US-Bundesbehörde gerichtet und als vertraulich gekennzeichnet ist.
Auch Grok-Code für Berechtigungen hat Lücken
An zwei selbst gebauten Test-Apps stieß Claroc auf eine andere Art von Problem. Bei einer Kontaktlisten-App hatte die erzeugte Datenbank keine Anmeldung, sodass anonyme Besucher direkt Einträge hineinschreiben konnten.
Die andere war eine Kundenliste für ein Vertriebsteam. Grok fügte selbst eine Anmeldung über Google und X hinzu, doch der Code nimmt jeden erfolgreich angemeldeten Nutzer zuerst ins Team auf und prüft erst danach die Mitgliedschaft. Die Folge: Schon ein fremdes Google-Konto konnte Datensätze lesen, ändern und löschen. Die Schreib- und Löschtests habe man nur an den eigenen Apps durchgeführt, so Claroc.
Wo sich die Voreinstellungen vergleichbarer Produkte unterscheiden
Im Vergleich entscheidet die Voreinstellung der „Teilen“-Schaltfläche den größten Teil des Ergebnisses. Claroc zog ChatGPT als Gegenprobe heran: Eine neu erstellte App ist beim Teilen standardmäßig auf „Only me“ gesetzt; die Adresse taucht zwar ebenfalls in DNS-Daten auf, beim Öffnen kann sie aber nur der Eigentümer nutzen. Auch Grok kennt die Option „Only you“; im Test blockierte der Wechsel darauf den Zugriff von außen, sie ist nur nicht die Voreinstellung.
Probleme mit Teilen-Funktionen gibt es nicht nur bei Grok. Mit derselben Passive-DNS-Methode fand Claroc im Oktober rund 6.800 geteilte Unterhaltungen des Meta-Agenten Muse; im Juli dieses Jahres tauchten auch geteilte Unterhaltungen und Artifacts von Claude (Anthropic) in Suchmaschinen auf, darunter von Nutzern gebaute Apps. Für Grok selbst ist es mindestens der dritte Datenschutzvorfall: Im August 2025 fand Forbes in der Google-Suche mehr als 370.000 geteilte Grok-Unterhaltungen; im Juli 2026 wurde bekannt, dass das Terminal-Tool Grok Build Nutzerdateien ohne Rückfrage hochlädt, darunter SSH-Schlüssel und Passwort-Tresore.
Was das Unternehmen sagt
Die Antwort von SpaceXSI umfasst nur wenige Sätze: Apps seien privat, bis der Ersteller sie teile, die Veröffentlichung durchlaufe mehrere Schritte einschließlich eines rechtlichen Hinweises, und Mitarbeiterkonten stünden standardmäßig auf „Only you“. Claroc hält dagegen: Solange im letzten Schritt „Anyone with the link“ vorausgewählt bleibe, halte auch ein paar zusätzliche Klicks niemanden auf; und die 24 Mitarbeiter-Apps zeigten, dass die Voreinstellung bei Mitarbeiterkonten kaum Wirkung entfaltet habe.
SpaceXSI hat diese 24 Mitarbeiter-Apps offline genommen; die öffentlichen Apps anderer Nutzer und Organisationen sind weiterhin online. Das Unternehmen hat nicht zugesagt, alle betroffenen Eigentümer zu kontaktieren; derzeit benachrichtigt Claroc sie einzeln selbst. Das Unternehmen schlägt drei Änderungen vor: die Voreinstellung auf „Only you“ ändern und vor der Veröffentlichung anzeigen, wer Zugriff hat; eine Warnung ausgeben, wenn eine App eine Datenbank, aber keine Anmeldung hat; und statt eigener Subdomains schwer zu erratende Pfade auf einem gemeinsamen Host verwenden.
Claroc verkauft selbst Sicherheitsprodukte für KI-generierte Apps; die genannten Anteile und Fälle stammen bislang allein von dem Unternehmen und wurden von Dritten noch nicht überprüft.
Quellen: Sicherheitsbericht von Claroc, The Decoder, CocoLoop; der Anteil von 94,7 Prozent, die Zahl der betroffenen Organisationen und die Zahl der Mitarbeiter-Apps beruhen auf Angaben von Claroc, die Stellungnahme von SpaceXSI folgt deren Antwort an die Forscher.