ChatGPT kann jetzt Mac-Nachrichten lesen und senden – warum Datenschützer alarmiert sind

OpenAI macht die ChatGPT-Desktop-App auf dem Mac zu einer Schnittstelle für Apples Nachrichten-App. Auf kompatiblen Macs kann das Apple-Messages-Plugin Unterhaltungen durchsuchen, Informationen daraus heraussuchen, Chatverläufe analysieren oder zusammenfassen, Antworten formulieren und Nachrichten über die Nachrichten-App versenden. Die Funktion ist derzeit in ChatGPT Work und Codex verfügbar – nicht in gewöhnlichen ChatGPT-Chats und nicht auf dem iPhone. 72339

Der Komfort hat allerdings einen hohen Preis: Wer die Funktion aktiviert, kann ChatGPT Zugriff auf ein privates Kommunikationsarchiv geben. Darin stehen nicht nur eigene Nachrichten, sondern auch Texte von Freunden, Familienmitgliedern, Kollegen und Gruppenmitgliedern, die einer Verarbeitung durch ein KI-System möglicherweise nie zugestimmt haben.

Was das Plugin kann

Das Plugin arbeitet mit den drei Nachrichtenformaten, die Apples Nachrichten-App verwaltet:

• iMessage
• SMS
• RCS

In ChatGPT Work und Codex kann es diese Unterhaltungen lesen und durchsuchen, Inhalte aus älteren Nachrichten abrufen, Gesprächsverläufe zusammenfassen, Antworten vorbereiten und Nachrichten über Apple Messages verschicken. 81939

Damit geht die Funktion deutlich über eine Schreibhilfe hinaus, die lediglich einen einzelnen Textvorschlag erstellt. ChatGPT kann beispielsweise Fragen zu einem Gespräch beantworten oder Muster in einem Nachrichtenarchiv herausarbeiten – etwa, mit wem eine Person häufig kommuniziert und worüber gesprochen wird. Gerade diese Analyse ganzer Gesprächsverläufe macht die Integration besonders sensibel. 8

Nur auf dem Mac – nicht auf dem iPhone

Das Plugin ist für die ChatGPT-Desktop-App unter macOS gedacht und funktioniert derzeit auf Macs mit Apple-Chip. Genutzt wird es in ChatGPT Work und Codex, nicht in normalen ChatGPT-Unterhaltungen, über die Weboberfläche oder in mobilen Apps. 72023

Ob die Funktion tatsächlich genutzt werden kann, hängt außerdem vom ChatGPT-Tarif, dem Workspace, der Rolle des Nutzers und den jeweiligen App-Berechtigungen ab. In Business- und Enterprise/Edu-Workspaces können Administratoren die Installation und den Zugriff auf die zugrunde liegenden Apps verwalten. Für verwaltete Workspaces lässt sich Apple Messages zudem über die bestehende Einstellung für Computer Use deaktivieren. 32383940

Wichtig ist deshalb: Es handelt sich nicht um eine iPhone-Funktion. Das Plugin lässt sich nicht auf einem iPhone installieren, damit ChatGPT dort Nachrichten bedient. Das Risiko entsteht auf einem Mac, auf dem die lokale Nachrichtenhistorie verfügbar ist – gegebenenfalls einschließlich einer über iCloud synchronisierten Historie. 72022

Die entscheidende Berechtigung: „Festplattenvollzugriff“

Für die Integration ist unter macOS vor allem der Festplattenvollzugriff („Full Disk Access“) relevant. Berichten zufolge benötigt ChatGPT außerdem Zugriffsrechte auf Kontakte und Automatisierung, damit die App Empfänger erkennen und mit der Nachrichten-App interagieren kann. 1923

Der Festplattenvollzugriff ist keine eng begrenzte Berechtigung nach dem Muster „nur Nachrichten lesen“. macOS beschreibt ihn als Zugriff, der geschützte Daten anderer Anwendungen zugänglich machen kann. Berichte über die ChatGPT-Integration nennen in diesem Zusammenhang unter anderem mögliche Zugriffe auf Mail-Daten, Safari-Daten und Backups. 20

Das ist der zentrale Unterschied zwischen der sichtbaren Funktion und der technischen Berechtigung: Nutzer könnten den Eindruck gewinnen, ChatGPT lediglich zum Lesen von Textnachrichten zu autorisieren. Tatsächlich treffen sie eine deutlich umfassendere Vertrauensentscheidung auf Betriebssystemebene. Der konkrete Nachrichten-Workflow kann zwar nur für eine Anfrage relevante Inhalte abrufen – die erteilte Systemberechtigung ist jedoch weiter gefasst als der Name des Plugins vermuten lässt.

Warum Kritiker von „Spyware“ sprechen

Der Begriff „Spyware“ ist in diesem Zusammenhang eine Kritik am Design und am Risikomodell – kein erwiesener rechtlicher oder technischer Befund, dass OpenAI Nutzer heimlich überwacht. Der Datenschutzforscher Paul Walsh und der Entwickler Steve Moraco kritisieren vor allem die Kombination aus weitreichendem Festplattenzugriff, Automatisierungsrechten und einem besonders privaten Kommunikationsarchiv. 3031

Die Kritik konzentriert sich auf drei Punkte:

1. Die Berechtigung reicht weit

Der Festplattenvollzugriff kann potenziell geschützte Informationen aus mehr als einer Anwendung zugänglich machen. Kritiker halten es deshalb für problematisch, dass ein KI-Assistent, der Nachrichten durchsuchen und Aktionen ausführen kann, eine Berechtigung mit einer derart breiten Reichweite benötigt. 2031

2. In einem Chat geht es selten nur um eine Person

Der Besitzer eines Macs kann das Plugin aktivieren. Die Inhalte einer Unterhaltung stammen aber normalerweise von mehreren Personen. Diese Gesprächspartner nutzen möglicherweise kein ChatGPT, wissen nichts von der aktivierten Integration und erhalten keine vergleichbare Möglichkeit, ihre Nachrichten aus diesem Ablauf herauszuhalten.

Das schafft ein Einwilligungsproblem: Wer den Zugriff auf das Gerät gewährt, kontrolliert zwar den Mac, aber nicht automatisch alle Informationen, die darauf gespeichert sind. Die Berichterstattung hebt hervor, dass das Plugin umfangreiche Gesprächsverläufe erreichen kann – auch private und Ende-zu-Ende-verschlüsselte Nachrichten, die nie für eine KI-Analyse gedacht waren. 2231

3. Lokale Verarbeitung beantwortet nicht jede Frage zum Datenfluss

OpenAI beschreibt, dass die Integration lokale macOS-Werkzeuge nutzt, um auf Messages zuzugreifen. Das beantwortet jedoch nicht automatisch, welche ausgewählten Inhalte bei einer Anfrage an ChatGPT übertragen werden – etwa für eine Zusammenfassung, ein Suchergebnis oder einen Antwortentwurf – und wie diese Inhalte unter jeder Konfiguration verarbeitet werden.

Deshalb lösen die Aussagen „Das Plugin läuft lokal“ und „Es gibt kein serverseitiges Nachrichtenarchiv“ die Datenschutzdebatte nicht vollständig. Sie können die Risiken gegenüber dem dauerhaften Hochladen einer kompletten Nachrichten-Datenbank reduzieren. Sie bedeuten aber nicht zwangsläufig, dass während einer KI-Anfrage keinerlei Nachrichteninhalt das Gerät verlassen kann.

Welche Schutzmaßnahmen OpenAI nennt

OpenAI und die Berichte zum Start nennen mehrere Schutzmechanismen. Sie setzen allerdings an unterschiedlichen Stellen an:

• Lokale Verarbeitung: Die Integration nutzt laut OpenAI lokale macOS-Werkzeuge für die Interaktion mit Messages. Relevante Inhalte sollen bei Bedarf abgerufen werden, statt ein vollständiges Nachrichtenarchiv als zentralen Index zu speichern. 625
• Bestätigung vor dem Senden: Standardmäßig muss der Nutzer sowohl den vorgeschlagenen Text als auch die Empfänger bestätigen, bevor eine Nachricht verschickt wird. 1939
• Optionales automatisches Senden: Es gibt einen freizügigeren Modus für automatisches Senden. OpenAI rät jedoch davon ab, die dauerhafte Genehmigung zu aktivieren. Dadurch entfällt eine wichtige Kontrollstufe – und ein falscher Empfänger, eine missverstandene Anweisung oder ein ungeeigneter Entwurf kann unmittelbare Folgen haben. 619
• Kontrollen für Workspaces: Administratoren von Business- und Enterprise/Edu-Workspaces können den Zugriff über Plugin-, App-, Rollen- und Computer-Use-Einstellungen steuern. 32383940

Diese Maßnahmen verringern bestimmte Risiken, vor allem das versehentliche Versenden von Nachrichten. Sie ändern aber nichts an der grundlegenden Frage: Sollte eine einzelne Person ein gemeinsames Gesprächsarchiv für einen KI-Assistenten zugänglich machen können, ohne dass die übrigen Beteiligten davon erfahren oder separat zustimmen?

Ist das dasselbe wie Facebooks „Schattenprofile“?

Der Vergleich mit Facebooks sogenannten „Shadow Profiles“ oder Schattenprofilen ist nur eingeschränkt sinnvoll.

In beiden Fällen geht es um Informationen über Menschen, die sich nicht selbst bei einem Dienst angemeldet oder einer Nutzung ihrer Daten zugestimmt haben. Beim Apple-Messages-Plugin besteht das unmittelbare Problem jedoch darin, dass die Nachrichten anderer Personen über den Mac eines ChatGPT-Nutzers in einen KI-Workflow gelangen können. Es gibt nach der vorliegenden Berichterstattung keinen Beleg dafür, dass OpenAI dadurch automatisch für jeden erwähnten Nichtnutzer ein dauerhaftes Facebook-ähnliches Profil anlegt.

Treffender ist daher der Begriff indirekte Offenlegung: Die Entscheidung einer Person kann ein gemeinsames Archiv durchsuchbar und zusammenfassbar machen und es für das Formulieren neuer Nachrichten nutzbar machen. Das ist ein ernstes Datenschutz- und Einwilligungsproblem – aber nicht derselbe Mechanismus wie bei einer Plattform, die eigenständige Profile über Nichtnutzer zusammenstellt.

Was Apples Klage gegen OpenAI damit zu tun hat

Das Plugin setzt Apples Datenschutzversprechen unter Druck. Denn eine Drittanbieter-KI kann auf Nachrichteninhalte zugreifen, wenn der Mac-Besitzer die erforderlichen Berechtigungen erteilt. Das ist für Apples Markenimage unangenehm, steht aber getrennt von Apples Klage gegen OpenAI. 15

In dem Verfahren geht es um den Vorwurf, OpenAI habe im Zusammenhang mit seinen Plänen für Verbraucher-Hardware Geschäftsgeheimnisse von Apple unrechtmäßig verwendet. OpenAI hat die Abweisung der Klage beantragt und erklärt, das Unternehmen besitze Apples Geschäftsgeheimnisse weder noch habe es Interesse daran. Die Klage betrifft nach der vorliegenden Berichterstattung nicht das Apple-Messages-Plugin und stellt auch nicht direkt die Verschlüsselung von iMessage infrage. 416

Der zeitliche Zusammenhang macht die Integration dennoch politisch und geschäftlich heikel: Apple positioniert Datenschutz als zentralen Produktwert, während das Plugin zeigt, wie eine vom Nutzer autorisierte Drittanbieter-App auf einem Mac mit geschützten Nachrichteninhalten arbeiten kann.

Das sollten Mac-Nutzer wissen

Das Apple-Messages-Plugin ist keine versteckte Spionagesoftware im üblichen Sinn. Es ist eine freiwillig aktivierbare Funktion mit sichtbaren Berechtigungen, einer standardmäßigen Bestätigung vor dem Versand und Steuerungsmöglichkeiten für Arbeitsbereiche.

Die Kritik am Begriff „Spyware“ weist trotzdem auf einen realen Zielkonflikt hin: Hier treffen ein KI-System, eine weitreichende macOS-Berechtigung und ein langfristiges Kommunikationsarchiv aufeinander, in dem die Worte vieler anderer Menschen gespeichert sind.

Wer die Funktion aktiviert, gibt daher nicht nur die eigenen Nachrichten frei. Je nach verfügbarer Historie können auch Unterhaltungen mit Freunden, Familie, Kollegen und Gruppenmitgliedern in einen KI-Workflow gelangen – ohne dass diese Personen eine eigene Berechtigungsabfrage erhalten.