Am 11. November 2026 um 14:02 Uhr berichtete heise online: Mehr als 35.000 Web-Apps, die mit dem Vibe-Coding-Werkzeug Grok Build erstellt wurden, waren für Fremde ohne Anmeldung erreichbar^[1]. Vibe-Coding heißt: Man beschreibt eine App im Chat, die KI schreibt den Code^[2]. Die Zahlen stammen aus einer Untersuchung der Sicherheitsfirma Claroc vom 10. November, über die am selben Abend auch Ars Technica berichtete^[2][3].

Betroffen war auch der Anbieter SpaceXSI selbst; er entfernte seine eigenen Apps, andere blieben zunächst öffentlich^[1]. Was steckt dahinter, und was sollten Unternehmen prüfen, die mit KI-Baukästen Tools bauen (Stand: 11. November 2026)?

Grok Build ist der Bau-Modus von Grok, dem KI-Assistenten von SpaceXSI, dem fusionierten Unternehmen aus SpaceX und xAI^[2][3]. Claroc rief nach eigenen Angaben 43.551 Adressen veröffentlichter Grok-Apps auf: 37.571 waren noch online, 35.578 davon öffneten sich ohne Anmeldung, nur 1.993 wiesen Fremde ab^[2].

Meist waren es Spiele, Landingpages und Rechner; per Stichprobe schätzt Claroc, dass 650 bis 800 private Daten enthielten^[2]. In 24 Apps von SpaceXSI- und X-Beschäftigten lagen etwa ein vertraulicher Einarbeitungsplan und eine Vertriebsübersicht zu 594 Kundenkonten. Bei 30 weiteren Organisationen, darunter sechs Fortune-500-Unternehmen, fanden sich Mitarbeiterlisten und medizinische Daten eines Intensivpatienten^[1].

Einordnung: Das ist Clarocs eigene Erhebung, eine unabhängige Nachmessung ist nicht bekannt. Claroc verkauft selbst Prüfungen für KI-gebaute Apps^[2].

Die Voreinstellung. Wer in Clarocs bezahltem Testkonto auf „Publish“ klickte, bekam als Zugriff „Anyone with the link“ vorgeschlagen, also jeder mit dem Link. „Invited users“ oder „Only you“ musste man selbst wählen^[2].

Die Adresse. Jede App bekommt eine eigene Subdomain, also einen Namen vor „.grok.me“, für den Grok zufällige Wörter vorschlägt. Beim Aufruf fragt der Browser per DNS, dem Adressbuch des Internets, wo dieser Name liegt. Sogenannte Passive-DNS-Dienste speichern solche Abfragen in durchsuchbaren Datenbanken, der Zufallsname bleibt so nicht geheim^[1][2].

Bei geteilten ChatGPT-Chats, Claude-Artifacts und Gemini-Inhalten steckt die geheime Kennung dagegen im Pfad hinter dem Domainnamen, den DNS nicht überträgt^[1]. Ganz privat ist auch das nicht: Im August 2025 landeten mehr als 370.000 geteilte Grok-Chats in der Google-Suche^[2].

Der Code. Claroc testete zwei eigene Apps mit erfundenen Daten, fremde Apps nicht. In einer Kontaktliste mit Datenbank, aber ohne Login, konnte ein Fremder Einträge hinzufügen. Die zweite App bot Anmeldung per Google und X, nahm aber jedes angemeldete Konto ins Team auf: Ein nie eingeladenes Google-Konto sah alle Kunden, änderte einen Datensatz und löschte einen anderen^[2].

Die Lehre: Eine Anmeldung klärt, wer jemand ist, nicht, ob er die Daten sehen darf. Diese Prüfung gehört auf den Server, Prüfungen im Browser lassen sich laut der Sicherheitsinitiative OWASP oft leicht umgehen^[4]. Dazu kommen Passwörter im Code, wie bei der Zeiterfassungs-App. Wie Zugangsdaten bei Mobil-Apps nach außen gelangen, zeigt unser Beitrag Vibecoding vor dem Store-Release.

Ein Sprecher von Cursor, dem von SpaceXSI übernommenen KI-Programmierdienst, schrieb Ars Technica, Grok-Build-Apps seien standardmäßig privat, öffentlich werde nichts, solange der Ersteller es nicht teile^[3]. Laut Claroc verwies der Anbieter auf mehrere Schritte bis zur Veröffentlichung und darauf, dass Mitarbeiterkonten standardmäßig auf „Only you“ stehen^[2].

Claroc bestätigt, dass vor dem Klick auf „Publish“ nichts online geht. Die Kritik zielt auf den Zugriffsschritt danach, der bei regulären Konten „Anyone with the link“ vorauswählt^[2].

Wenige Stunden nach der Anfrage von Ars Technica begann SpaceXSI, seine 24 Apps zu entfernen^[3]. Andere blieben zunächst öffentlich; ob der Anbieter deren Betreiber informiert, ließ er offen^[1]. Eine Änderung der Voreinstellung hat SpaceXSI laut Claroc nicht angekündigt^[2].

Der Cursor-Sprecher verwies darauf, dass auch ChatGPT, Lovable und Bolt teilbare Links erzeugen^[3]. Laut Claroc bekommen veröffentlichte Apps auch bei ChatGPT, Lovable, Replit, Base44 und Google AI Studio eigene Hostnamen, also eigene Subdomains wie bei Grok; v0 und Bolt veröffentlichen ebenfalls unter Hostnamen^[2]. Auffindbar sind sie also ebenso^[3]. Ob Fremde etwas sehen, entscheidet die Freigabe:

Offen bleibt, wie viele Apps bei anderen Baukästen sensible Daten ungeschützt zeigen; die vorliegenden Berichte enthalten dazu keine Zählung. Clarocs Technikchef sagte Ars Technica, bei Grok habe man mit Abstand die meisten sensiblen Firmendaten gefunden^[3].

Lagen Daten von Beschäftigten oder Kunden offen, kann das eine Datenschutzverletzung sein. Die DSGVO zählt dazu ausdrücklich die unbefugte Offenlegung von und den unbefugten Zugang zu personenbezogenen Daten (Art. 4 Nr. 12)^[11].

Nach Art. 33 Abs. 1 meldet der Verantwortliche eine solche Verletzung unverzüglich und möglichst binnen 72 Stunden, nachdem sie ihm bekannt wurde, der zuständigen Aufsichtsbehörde. Das entfällt nur, wenn sie voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt^[11]. Bei voraussichtlich hohem Risiko sind nach Art. 34 auch die Betroffenen unverzüglich zu benachrichtigen, Abs. 3 nennt Ausnahmen^[11].

Dokumentieren muss er jede Verletzung, auch eine nicht meldepflichtige (Art. 33 Abs. 5)^[11][12]. Der Europäische Datenschutzausschuss, das Gremium der EU-Datenschutzbehörden, rät, Vorfälle zügig zu untersuchen^[12].