ChatGPT Lockdown-Modus umgangen: Wie komplette Chats unbemerkt abfließen konnten

Die Fakten in 30 Sekunden

• Was: Check Point Research hat den Lockdown-Modus von ChatGPT umgangen, die Schutzeinstellung gegen Datenabfluss durch Prompt Injection.
• Wie: Über die HTML-Vorschau in Codeblöcken ließ sich ein Popup-Fenster öffnen, das die Sandbox verlässt. Dort lief beliebiger Code, ohne Rückfrage.
• Folgen: kompletter Chatverlauf samt hochgeladener Dateien an einen fremden Server, gefälschte Update-Fenster mit Malware, Diebstahl von Zugangsdaten über eine erzwungene Abmeldung.
• Ohne Klick: In der Desktop-App ChatGPT Classic reichte ein Gespräch mit einem präparierten GPT, eine Nutzeraktion war nicht nötig.
• Einfallstor: ein bösartiger Prompt, ein bösartiges Custom GPT oder ein geteilter Chat. Im Browser brauchte das Opfer nicht einmal ein Konto.
• Behoben: OpenAI hat die Lücke am 18. September 2026 geschlossen, Check Point hat das per Retest bestätigt und am 5. November 2026 veröffentlicht.
• Ausnutzung: Hinweise auf Angriffe in freier Wildbahn wurden nicht veröffentlicht.
• Ihre Aufgabe: für diesen Fehler keine. Die Lehre für Unternehmen reicht aber weiter: Ein Sicherheitsschalter ist keine Sicherheitsarchitektur.

Was der Lockdown-Modus eigentlich leisten soll

OpenAI hat den Lockdown-Modus am 13. Februar 2026 eingeführt, zuerst für ChatGPT Enterprise, Edu, Healthcare und Teachers. Seit dem 4. Juni 2026 steht er auch persönlichen Konten und Self-Serve-Business-Konten offen. OpenAI beschreibt ihn als optionale, fortgeschrittene Einstellung für besonders gefährdete Nutzer wie Führungskräfte und Sicherheitsteams. Für die meisten Menschen sei er nicht nötig.

Das Ziel ist eng gefasst. Der Modus soll nicht verhindern, dass ChatGPT manipulierte Inhalte liest. Er soll den letzten Schritt eines Angriffs blockieren: dass Daten den Chat verlassen. Ein typischer Prompt-Injection-Angriff versteckt im Text eine Anweisung, die das Modell eine Adresse wie angreifer.example/collect?data=... aufrufen lässt, mit privaten Daten im Anhang. Im Chat sieht alles normal aus, die Daten liegen danach in den Serverprotokollen des Angreifers.

Laut OpenAI-Hilfe schaltet der Lockdown-Modus deshalb ab oder begrenzt, was nach außen funken kann:

• Web-Browsing nur noch aus dem Zwischenspeicher, keine Live-Anfragen.
• Bilder in Antworten und aus dem Web werden nicht geladen.
• Deep Research und Agent Mode sind deaktiviert.
• Canvas-Code darf nicht ins Netz.
• Datei-Downloads für die Datenanalyse sind gesperrt.

Ein Satz aus derselben Hilfeseite ist für die Einordnung wichtig: Der Lockdown-Modus verhindert nicht, dass Prompt Injections in den Inhalten auftauchen, die ChatGPT verarbeitet. Er schließt Ausgänge. Genau dort setzt der Fund von Check Point an: ein Ausgang, den niemand auf der Liste hatte.

So funktionierte der Trick: ein Fenster, das die Sandbox verlässt

Im Februar 2026 hat OpenAI eine Vorschau für HTML in Codeblöcken eingeführt. Wer sich eine Webseite generieren lässt, sieht sie direkt im Chat. Damit diese Seite keinen Schaden anrichtet, läuft sie in einer Sandbox aus zwei ineinander verschachtelten iframes, also kleinen, abgeschotteten Webseiten innerhalb der ChatGPT-Oberfläche. Externe Bilder, Skripte und Links werden abgefangen, jeder Versuch, Daten nach außen zu schicken, erzeugt eine Rückfrage.

Ein Detail passte nicht ins Bild. Die Sandbox erlaubte zwei Dinge ausdrücklich: das Öffnen von Popups (allow-popups) und dass diese Popups die Sandbox verlassen dürfen (allow-popups-to-escape-sandbox). Geschützt wurde nicht über die Sandbox selbst, sondern über ein Skript, das die Funktion window.open ersetzte und jedes Popup erst nach Zustimmung durchließ.

Der Forscher bei Check Point fand den Umweg: Die Seite legt einfach ein weiteres iframe an und ruft dessen eigenes, unverändertes window.open auf. Das Popup öffnet sich ohne Rückfrage, auch im Lockdown-Modus. Und weil es die Sandbox verlassen darf, läuft der Code darin ohne Einschränkungen.

Bildlich gesprochen: Die Wache am Haupttor war aufmerksam. Aber die Hausordnung erlaubte Fenster nach draußen, und durch das Fenster im Nebenzimmer ging niemand an der Wache vorbei.

Drei Angriffe, die damit möglich wurden

1. Stiller Datenabfluss ohne Klick. In ChatGPT Classic, der Desktop-App auf Basis von Electron, funktionierte window.open auch ohne jede Nutzeraktion. Ein bösartiges Custom GPT, ein präparierter Prompt oder ein geteilter Chat konnte so den gesamten Gesprächsverlauf und hochgeladene Dateien an einen Server des Angreifers senden. Check Point demonstriert das in einem Video: Das Gespräch läuft normal weiter, im Hintergrund fließt der Chat ab.
2. Malware im Gewand eines Updates. Das Popup trug das ChatGPT-Symbol, den Fenstertitel bestimmte der Angreifer. Ein „Update für ChatGPT“ mit Download-Knopf wirkte damit wie ein Teil der Anwendung. Im Browser war das noch einfacher, weil Downloads dort nicht blockiert werden: Ein geteilter Chat-Link genügte, das Opfer brauchte nicht einmal ein ChatGPT-Konto. In der Desktop-App musste der Nutzer den Download noch anklicken.
3. Gestohlene Zugangsdaten. Check Point konnte außerdem das Hauptfenster von ChatGPT neu laden und Aktionen im Namen des Nutzers auslösen, etwa eine erzwungene Abmeldung. Wer sich danach auf einer täuschend echten Seite neu anmeldet, gibt sein Passwort dem Angreifer.

Wer war betroffen, und muss ich jetzt etwas tun?

Betroffen war die HTML-Vorschau in ChatGPT, im Browser wie in der Desktop-App. Den Weg ohne jeden Klick gab es nur in ChatGPT Classic. Ausgerechnet Nutzer mit eingeschaltetem Lockdown-Modus, also die Gruppe, die OpenAI als besonders gefährdet beschreibt, waren nicht so geschützt, wie sie annehmen durften.

OpenAI hat die beiden Popup-Rechte am äußeren iframe der Vorschau entfernt. Die Korrektur wirkt auf OpenAI-Seite, eine Nutzeraktion ist für diesen Fehler nicht nötig. Check Point hat nach dem Fix erneut getestet und bestätigt, dass die Technik nicht mehr funktioniert. Veröffentlichte Hinweise auf eine Ausnutzung gibt es nicht. Halten Sie die Desktop-App trotzdem aktuell.

Der Zeitstrahl

• Februar 2026: OpenAI führt die HTML-Vorschau in Codeblöcken ein.
• 13. Februar 2026: Lockdown-Modus für Enterprise, Edu, Healthcare und Teachers.
• März 2026: Check Point zeigt einen anderen versteckten Ausgang: DNS-Tunneling aus der Code-Laufzeitumgebung von ChatGPT. OpenAI behebt ihn.
• 4. Juni 2026: Lockdown-Modus für persönliche Konten und Self-Serve Business.
• 18. September 2026: OpenAI meldet die Behebung des Lockdown-Bypass an Check Point.
• 5. November 2026: Check Point veröffentlicht den vollständigen Bericht.

Die eigentliche Lehre: ein Schalter ist keine Sicherheitsarchitektur

Der Fehler selbst ist behoben. Interessant ist das Muster. Dieselbe Plattform hatte innerhalb eines Jahres zwei verschiedene versteckte Ausgänge, erst über DNS in der Code-Umgebung, dann über die HTML-Vorschau. Beide Male wurde eine Komfortfunktion zum Fluchtweg. Check Point formuliert es im Fazit so: Jede neue Fähigkeit vergrößert die Angriffsfläche, auch Funktionen, die nur der Bequemlichkeit dienen.

Das ist kein OpenAI-Sonderfall. In den letzten Wochen haben wir über CoSnitch in Microsoft Copilot berichtet, bei dem ein präparierter Link Daten aus verknüpften Diensten auslesen konnte, und über den Claude Code Leak, bei dem eine Komfort-Voreinstellung tausende Passwörter auf GitHub brachte. Drei Anbieter, drei Mechanismen, ein gemeinsamer Kern: KI-Assistenten werden zu vollständigen Ausführungsumgebungen, und jede Funktion ist ein möglicher Ausgang.

Für Unternehmen folgt daraus eine nüchterne Bewertung. Der Lockdown-Modus ist eine sinnvolle Schicht, OpenAI selbst gibt aber keine Garantie, und dieser Fall zeigt, warum. Wer sensible Daten in einen externen KI-Assistenten gibt, verlässt sich auf eine Architektur, deren Ausgänge er weder sieht noch prüfen kann.

Was Unternehmen jetzt tun sollten

Für diesen konkreten Fehler ist nichts zu tun. Für die nächste Lücke dieser Art schon, und die Maßnahmen kosten wenig:

1. Geteilte Chats und Custom GPTs regeln. Keine Custom GPTs unbekannter Herkunft, keine Klicks auf Vorschauen, Knöpfe oder „Updates“ in geteilten Chats. Wo möglich, Custom GPTs im Workspace auf geprüfte Ersteller beschränken.
2. Lockdown-Modus gezielt einsetzen. Für Rollen mit erhöhtem Risiko (Geschäftsführung, Finanzen, Recht, Sicherheitsteams) als Workspace-Rolle aktivieren, im Wissen, dass er eine Schicht ist und keine Garantie.
3. Apps und Konnektoren minimieren. Nur die Verbindungen und Schreibrechte freigeben, die ein Team wirklich braucht. Das empfiehlt auch OpenAI.
4. Awareness aktualisieren. Mitarbeitende sollten wissen: Eine unerwartete Abmeldung oder ein Update-Fenster innerhalb eines KI-Tools ist ein Warnsignal. Adresszeile prüfen, bevor ein Passwort eingegeben wird.
5. Desktop-Apps inventarisieren und aktuell halten. Welche KI-Clients laufen auf welchen Rechnern, in welcher Version?
6. Daten klassifizieren. Festlegen, welche Datenklassen in externe KI-Assistenten dürfen und welche nicht. Gesundheits-, Finanz-, Personal- und Kundendaten gehören in der Regel nicht dazu.
7. Bewertung dokumentieren. Externe KI-Assistenten gehören in die Risikobewertung nach Art. 32 DSGVO und, bei sensiblen Daten, in eine Datenschutz-Folgenabschätzung nach Art. 35.

DSGVO: wann aus einer Lücke eine Datenpanne wird

Eine geschlossene Lücke ohne Hinweis auf Ausnutzung ist keine meldepflichtige Datenpanne. Die Frage stellt sich anders: Wäre im Ernstfall ein Gespräch mit personenbezogenen Daten abgeflossen, hätte ein Unternehmen nach Art. 33 DSGVO binnen 72 Stunden prüfen und gegebenenfalls melden müssen, ohne selbst sehen zu können, was beim Anbieter passiert ist. Genau diese Abhängigkeit gehört in jede Bewertung externer KI-Werkzeuge. Grundlagen dazu stehen in unserem Leitfaden DSGVO-konforme KI.

Wenn sensible Daten im Spiel sind: KI auf eigener Infrastruktur

Für viele Aufgaben ist ein externer Assistent mit sauberen Regeln vertretbar. Für vertrauliche Verträge, Kundendaten, Quellcode oder regulierte Daten ist die Frage eine andere: Wer kontrolliert die Ausgänge? Unser lokaler LLM-Service betreibt leistungsfähige offene Modelle in eigenen europäischen Rechenzentren, gemeinsam mit unserem Infrastrukturpartner Yorizon, einem Gemeinschaftsunternehmen von HOCHTIEF und Thomas-Krenn. Jeder Aufruf läuft durch Fugi Guardrails: Prüfung auf Prompt-Injection, Maskierung personenbezogener Daten, Protokollierung. Kein US-Anbieter im Datenpfad, kein CLOUD Act.

Auch eigene Infrastruktur ist nicht unverwundbar, das gehört zur Ehrlichkeit. Der Unterschied liegt in der Sichtbarkeit: Sie sehen jeden Ausgang, legen die Leitplanken selbst fest und können der Revision die Kette zeigen. Wie wir KI-Systeme gegen Prompt Injection und Datenabfluss absichern, beschreibt unsere Seite zur Absicherung von KI-Systemen.

Aktualisierungen

• 11. November 2026: Erstveröffentlichung auf Basis des Check-Point-Berichts vom 5. November und der OpenAI-Dokumentation. Wir aktualisieren diesen Beitrag bei neuen Erkenntnissen.

Häufig gestellte Fragen

Was ist der ChatGPT Lockdown-Modus?

Eine optionale Sicherheitseinstellung von OpenAI, eingeführt am 13. Februar 2026, seit dem 4. Juni 2026 auch für persönliche Konten. Sie soll verhindern, dass Daten durch Prompt Injection den Chat verlassen, und schaltet dafür Live-Browsing, Bilder aus dem Web, Deep Research, Agent Mode, Netzwerkzugriff aus Canvas und Datei-Downloads ab oder begrenzt sie.

Wie wurde der Lockdown-Modus umgangen?

Die HTML-Vorschau in Codeblöcken lief in einer Sandbox, die Popups erlaubte. ChatGPT schützte nur die Funktion window.open. Check Point legte ein zusätzliches iframe an und nutzte dessen unveränderte window.open-Funktion. Das Popup öffnete sich ohne Rückfrage und durfte die Sandbox verlassen.

Welche Daten konnten abfließen?

Laut Check Point der gesamte Chatverlauf einschließlich hochgeladener Dateien. Zusätzlich waren gefälschte Update-Fenster zur Malware-Verteilung und der Diebstahl von Zugangsdaten über eine erzwungene Abmeldung möglich.

Brauchte der Angriff einen Klick des Nutzers?

In der Desktop-App ChatGPT Classic nicht, dort reichte ein Gespräch mit einem präparierten GPT oder Prompt. Im Browser musste das Opfer auf die Vorschau klicken, brauchte für die Malware-Variante über einen geteilten Chat aber kein eigenes Konto.

Ist die Lücke geschlossen?

Ja. OpenAI hat am 18. September 2026 die beiden Popup-Rechte am äußeren iframe der HTML-Vorschau entfernt. Check Point hat per Retest bestätigt, dass die Technik nicht mehr funktioniert, und den Bericht am 5. November 2026 veröffentlicht.

Muss ich als Nutzer etwas tun?

Für diesen Fehler nicht, die Korrektur wirkt auf OpenAI-Seite. Sinnvoll bleiben: die Desktop-App aktuell halten, keine Custom GPTs unbekannter Herkunft, keine Klicks auf Vorschauen oder Update-Hinweise in geteilten Chats, und nach einer unerwarteten Abmeldung die Adresszeile prüfen.

Wurde die Lücke ausgenutzt?

Check Point und OpenAI haben keine Hinweise auf eine Ausnutzung in freier Wildbahn veröffentlicht.

Schützt der Lockdown-Modus zuverlässig vor Prompt Injection?

Nein, und das sagt OpenAI selbst. Der Modus verhindert nicht, dass Prompt Injections in verarbeiteten Inhalten auftauchen, er soll nur Ausgänge für Daten schließen. Er ist eine Schicht in einer Sicherheitsarchitektur, keine Garantie.

Ist ChatGPT nach diesem Fall noch für Unternehmen nutzbar?

Ja, mit klaren Regeln: Datenklassen festlegen, Custom GPTs und geteilte Chats regeln, Apps und Konnektoren minimieren, den Lockdown-Modus für Risikorollen aktivieren und die Nutzung in der Risikobewertung nach Art. 32 DSGVO dokumentieren. Für besonders sensible Daten empfiehlt sich KI auf kontrollierter Infrastruktur.

Welche Alternative gibt es für sensible Unternehmensdaten?

Leistungsfähige offene Sprachmodelle auf eigener oder europäischer Infrastruktur, abgesichert durch eine Guardrail-Schicht. ADVISORI betreibt solche Modelle in eigenen europäischen Rechenzentren mit Partner Yorizon und prüft jeden Aufruf mit Fugi Guardrails, ohne US-Anbieter im Datenpfad.