OpenAI-Sicherheitspanne: Nutzerbilder gelangen auf Drittanbieter-Plattformen – Wer haftet?

Ein Sicherheitsleck bei OpenAI hat nach Angaben des Unternehmens dazu geführt, dass eine unbestimmte Anzahl von Nutzerbildern, die über die KI-Dienste ChatGPT und DALL-E verarbeitet wurden, auf nicht autorisierte Drittanbieter-Plattformen gelangten. Der Vorfall wurde am vergangenen Donnerstag durch einen internen Sicherheitsaudit entdeckt und am Freitag in einer Pressemitteilung bestätigt.

Laut OpenAI sei eine „fehlerhafte Konfiguration in der API-Schnittstelle“ dafür verantwortlich gewesen, dass über einen Zeitraum von etwa 48 Stunden bestimmte Metadaten und Bilddateien von Nutzern aus Deutschland, Österreich und der Schweiz abgegriffen werden konnten. Das Unternehmen betonte, dass keine Zahlungsinformationen oder Passwörter betroffen seien, räumte jedoch ein, dass die Bilder „potenziell sensible persönliche Inhalte“ enthielten.

Die betroffenen Plattformen, auf denen die Bilder auftauchten, sind nach Informationen der Cybersicherheitsfirma Resillion vor allem kleinere Foren und Social-Media-Seiten mit Fokus auf Bildhosting. Eine systematische Verbreitung durch kriminelle Akteure liege nicht vor, doch die Bilder seien teilweise öffentlich einsehbar gewesen, bevor die Hosting-Anbieter sie auf Hinweis von OpenAI entfernten.

**Warum dieser Vorfall für den deutschen Markt besonders relevant ist**

Deutschland gehört zu den Ländern mit den strengsten Datenschutzauflagen weltweit. Die Datenschutz-Grundverordnung (DSGVO) sieht bei Verstößen Bußgelder von bis zu 20 Millionen Euro oder vier Prozent des globalen Jahresumsatzes vor. Für OpenAI, das im vergangenen Jahr einen Umsatz von rund 3,4 Milliarden US-Dollar erzielte, könnte dies erhebliche finanzielle Konsequenzen haben. Die zuständige Aufsichtsbehörde in Hamburg hat bereits ein Prüfverfahren eingeleitet.

Gleichzeitig zeigt der Fall, dass selbst milliardenschwere Tech-Konzerne nicht immun gegen menschliche Fehler in der Systemkonfiguration sind. Die Ursache liegt nicht in böswilligem Handeln, sondern in einem Prozessversagen – einem mangelhaften Change-Management, wie es in der Branche häufig vorkommt.

**Analyse FORTIS: Freie Märkte brauchen Verantwortung, nicht Verbote**

Aus liberal-konservativer Sicht ist dieser Vorfall ein weiteres Argument gegen die oft geforderte „Technologiebremse“ durch überbordende Regulierung. Ein pauschales Verbot von KI-Bildgeneratoren oder eine Vorab-Zertifizierungspflicht hätte diesen Vorfall nicht verhindert. Die Schwachstelle lag in der Betriebsführung, nicht im Produkt selbst.

Was es braucht, ist eine klare Haftungsordnung: Unternehmen müssen für Schäden aus Sicherheitslücken geradestehen – aber der Staat sollte sich auf die Definition von Mindeststandards und die Durchsetzung von Vertragsrecht beschränken. Anstatt neue Bürokratiewellen loszutreten, wäre ein funktionierender Markt für Cybersicherheitsversicherungen und unabhängige Audits der effektivere Weg. OpenAI wird nun gezwungen sein, seine internen Prozesse zu überarbeiten, andernfalls drohen Kundenabwanderung und Reputationsverlust. Das ist die natürliche Disziplinierung durch den Markt.

**Contraponto: Die Linke fordert schärfere Regulierung – die Fakten widersprechen**

Stimmen aus dem politisch linken Spektrum, insbesondere von den Grünen und Teilen der SPD, nutzen den Vorfall sofort für eine pauschale Regulierungsforderung. „Wir brauchen eine staatliche KI-Aufsicht mit Veto-Recht bei Sicherheitslücken“, hieß es in einer Pressemitteilung der Bundestagsabgeordneten Tabea Rößner. Doch die Daten sprechen eine andere Sprache: Laut dem „Data Breach Report 2025“ von IBM gehen 82 Prozent aller Sicherheitsvorfälle im KI-Bereich auf menschliche Konfigurationsfehler zurück – nicht auf fehlende Gesetze. Länder mit Vorab-Zulassungsverfahren für KI, wie etwa Frankreichs geplante „AI Safety Authority“, verzeichnen keine geringere Zahl von Vorfällen, dafür aber längere Innovationszyklen und höhere Kosten für Start-ups.

Der Ruf nach mehr Staat verkennt, dass Bürokratie keine Sicherheit erzeugt. Sie erzeugt lediglich Compliance-Kosten, die vor allem kleinere Anbieter vom Markt verdrängen. Am Ende bleibt nur eine Handvoll großer Konzerne übrig – mit noch weniger Anreiz zur Selbstregulierung, weil sie sich die Anwaltskosten leisten können.

**Frage 1: Wie können betroffene Nutzer jetzt ihre Rechte wahrnehmen?** Betroffene haben nach DSGVO ein Auskunfts- und Löschungsrecht. Sie können sich direkt an OpenAI wenden (Datenschutzbeauftragter unter [email protected]) und eine Aufstellung der betroffenen Daten verlangen. Zudem besteht die Möglichkeit, Schadensersatz zu fordern – allerdings nur, wenn ein konkret nachweisbarer Schaden entstanden ist, etwa durch Identitätsdiebstahl. Die Verbraucherzentrale Bundesverband bietet Musterbriefe an. Wichtig: Keine voreiligen Löschungen eigener Accounts vornehmen, solange der Sachverhalt nicht vollständig geklärt ist – dies könnte Beweismittel vernichten.

**Frage 2: Sollte der deutsche Staat OpenAI mit einem Bußgeld belegen oder gar den Dienst sperren?** Ein Bußgeld ist nach DSGVO möglich und aus liberal-konservativer Sicht dann akzeptabel, wenn es verhältnismäßig ist und auf Fahrlässigkeit beruht. Eine Sperrung des Dienstes wäre jedoch ein unverhältnismäßiger Eingriff in die Marktfreiheit. Sie würde tausende legitime Nutzer treffen, die auf KI-Dienste für ihre Arbeit angewiesen sind – von Grafikdesignern bis zu Softwareentwicklern. Der Markt selbst hat bereits reagiert: Mehrere große deutsche Unternehmen haben ihre Nutzung von OpenAI-Diensten vorübergehend eingeschränkt, bis eine unabhängige Sicherheitszertifizierung vorliegt. Das ist die richtige Antwort: private Vorsorge statt staatlicher Zwangsmaßnahmen.