Was bleibt, wenn Sie ein Passwort oder einen API-Schlüssel in ChatGPT einfügen

Einfügen ins Feld ist keine Frage. Es übergibt Klartext an das nächste System

Ein Verbraucher-Chat lässt sich leicht wie ein lokaler Notizblock behandeln: Die Wörter stehen noch auf dem Bildschirm, also „schaut“ das Modell nur. Nach dem Senden hat der Text diesen Tab verlassen. Er ist Eingabe, die der Anbieter verarbeiten muss. Passwörter, Datenbank-URLs, Cloud-Zugangsschlüssel, GitHub Personal Access Tokens und Stripe-Live-Keys gehören in dieselbe Gruppe, die das OWASP Logging Cheat Sheet üblicherweise aus Klartext-Logs heraushält: Authentifizierungsgeheimnisse, Zugriffstoken, Verschlüsselungsschlüssel und andere Hauptschlüssel. In einer Firma werden Chatfenster, ein Gesprächsexport und ein Freigabelink oft zu informellen Logs: leicht durchsuchbar, lockerer als ein Produktionstresor, länger aufbewahrt.

HTTPS deckt nur das Abhören auf der Leitung ab. Es entscheidet nicht, wie lange das andere System die Eingabe speichert, ob es damit trainiert oder wer sie lesen kann. Eine frühere Notiz behandelte Tickettexte: Ist eine Nummer eingefügt, landet sie im Verlauf und in nachgelagerten Exporten. Ein Schlüssel in einer Modelsitzung ist dieselbe Klasse von Offenlegung. Nur der Empfänger hat gewechselt – von „Kollegin und Ticketsystem“ zu „Modellanbieter plus Sicherheits-, Trainings- und Freigabepfade“. Vor dem Senden ist nicht die Frage „ist das Modell schlau“. Die Frage ist: „Steht in diesem Absatz ein Geheimnis, das diesen Tab nicht verlassen darf.“

Diese Notiz nimmt die öffentlichen Kontrollen von ChatGPT, weil die Namen klar geschrieben und leicht nachzuprüfen sind. Claude, Gemini und Copilot in Office-Suiten führen ebenfalls Chatverläufe und eigene Aufbewahrungsregeln. Wechseln Sie das Produkt, gehen Sie die Datenkontrollseite dieses Anbieters erneut durch. Kopieren Sie das 30-Tage-Fenster und den Trainingsschalter nicht einfach auf einen anderen Dienst.

Chatverlauf, Training und Sicherheitsaufbewahrung sind drei verschiedene Kopien

„Merkt sich ChatGPT meinen Schlüssel?“ als Ja oder Nein zu hören, übersieht mindestens drei Kopien. Die erste ist der Chatverlauf, den Sie noch öffnen können. Die Hilfe zu Chat- und Dateiaufbewahrung von OpenAI sagt: Gewöhnliche Gespräche bleiben auf dem Konto, bis Sie sie von Hand löschen. Die Titelliste in der Seitenleiste ist der Beleg, dass diese Kopie noch da ist.

Die zweite ist das Modelltraining. Dienste für Einzelpersonen – die Richtlinie nennt ChatGPT – dürfen Inhalte standardmäßig zum Trainieren nutzen, sofern Sie nicht widersprechen. Die Seite, aktualisiert am 13. März 2026, zieht eine weitere Linie: ChatGPT Team, Enterprise und die API trainieren standardmäßig nicht mit Ein- und Ausgaben; eine Organisation muss das Teilen aktiv wählen. Ein Verbraucherkonto und ein Firmenarbeitsbereich sind nicht dieselbe Voreinstellung. Ein Schlüssel, den Sie in Free oder Plus einfügen, fällt nicht unter „die Firma hat Enterprise gekauft“.

Die dritte ist die Aufbewahrung für Sicherheit und Missbrauchsüberwachung. Auch nachdem ein Chat Ihre Seitenleiste verlassen hat, kann die Systemseite ihn noch eine Weile halten. Der offizielle Wortlaut für gewöhnliches Löschen und für temporäre Chats hat dieselbe Form: geplante dauerhafte Löschung aus den Systemen von OpenAI innerhalb von 30 Tagen, sofern der Chat nicht bereits de-identifiziert wurde oder aus Sicherheits- oder Rechtspflichten länger bleiben muss. Nach dem 26. September 2025 sagt OpenAI, es stehe nicht mehr unter einer Anordnung, gelöschte Verbrauchergespräche unbegrenzt zu behalten. Die öffentliche Linie ist wieder dieses Fenster von rund 30 Tagen – nicht „einmal tippen und jede Kopie verdampft“.

Training aus heißt nicht, dass dieser Schlüssel weg ist

Die FAQ zu Datenkontrollen fasst den Schalter in einem konkreten Satz: Nach dem Ausschalten von „Modell für alle verbessern“ (englisch: Improve the model for everyone) erscheinen Gespräche weiter im Chatverlauf; sie werden nur nicht zum Trainieren von ChatGPT verwendet. Angemeldet führt der Weg über Profil → Einstellungen → Datenkontrollen. Abgemeldet können Sie denselben Punkt ebenfalls ausschalten, verlieren aber angemeldete Extras wie Export und Kontolöschung. Die Einstellung folgt dem Konto. Sie wird nicht pro Gerät einmal gezählt.

Die Trainingsrichtlinie hat einen weiteren Satz, den viele überlesen: Sobald Sie widersprechen, werden neue Gespräche nicht mehr zum Trainieren genutzt. Sie schreibt nicht: „Inhalt, der schon in eine Trainingspipeline ging, wird herausgeholt und gelöscht.“ „Ich habe das Training später ausgeschaltet“ beantwortet also nur Chats von jetzt an. Es beantwortet nicht, ob die sk_live_-Zeichenkette von letzter Woche noch in irgendeiner Trainingskopie steht. Dieselbe Richtlinie sagt, sie reduziere personenbezogene Informationen in Trainingsdaten. Das ist ein Verarbeitungsschritt, kein Beweis, dass ein Schlüssel erkannt und entfernt wurde.

Archivieren ist nicht löschen. Die Aufbewahrungshilfe schreibt Archiv so: aus der Seitenleiste verbergen; der Inhalt bleibt auf dem Konto und folgt denselben Regeln wie ein nicht archivierter Chat. Damit die Oberflächenlöschung und das spätere Systemlöschfenster beginnen, brauchen Sie Löschen, nicht Archivieren.

Temporärer Chat: die Seitenleiste ist leer; das System kann ~30 Tage behalten

Temporärer Chat wird oft wie ein Inkognito-Modus gelesen. Die FAQ zum Temporary Chat von OpenAI ist enger. Standardmäßig erscheint ein temporärer Chat nicht im Verlauf, legt keine neuen Erinnerungen an und wird nicht zur Modellverbesserung genutzt. Vor dem Start können Sie Personalisieren wählen: Ein personalisierter temporärer Chat kann vorhandene Erinnerungen, benutzerdefinierte Anweisungen und Plugins lesen, legt aber keine neuen Erinnerungen an. Ein nicht personalisierter liest keines der drei. Nach der Wahl können Sie mitten im Chat nicht umschalten.

Selbst bei leerer Seitenleiste steht offiziell weiter: aus Sicherheitsgründen können sie eine Kopie bis etwa 30 Tage behalten. Das ist nicht dasselbe wie „es hat Ihren Browser nie verlassen“. Tippen Sie auf Speichern, wird der temporäre Chat zu einem normalen Chat und folgt dann der Personalisierung und „fürs Training genutzt“ auf Kontoebene. Speichern und danach das Training auszuschalten bindet nur das Training, nachdem er ein normaler Chat wurde. Es macht das bereits erfolgte Senden nicht ungeschehen.

Hat ein Custom GPT Aktionen, folgen Daten, die über diese Aktionen an Dritte gehen, der Datenschutzerklärung der Empfängerseite. Die FAQ ist deutlich: Die Empfängerseite darf diese Daten länger als 30 Tage behalten und für andere Zwecke nutzen. Sobald ein Modell ein externes Werkzeug mit Ihrem Schlüssel aufruft, bestimmt nicht mehr nur die Uhr des temporären Chats bei OpenAI die Aufbewahrungsgrenze.

Erinnerung und Bibliothek sind eine weitere Kopie. Das Löschen des Chats nimmt sie nicht mit

Die FAQ zu Memory beschreibt die Erinnerungszusammenfassung als Notizblock, der getrennt vom Chatverlauf liegt. Löschen Sie ein Gespräch, kann eine Erinnerung, die aus diesem Chat schon geschrieben wurde, später weiter zitiert werden. Offizielles Beispiel: Das Modell merkt sich, dass Sie in einer Stadt wohnen; selbst nach dem Löschen dieses Chats kann es die Stadt in einem Wochenendplan erwähnen. Um die Tatsache zu entfernen, müssen Sie den Eintrag in der Erinnerungszusammenfassung und alte Chats behandeln, die noch im Verlauf stehen und erneut destilliert werden können. Schalten Sie Erinnerung aus und wieder ein, kann das Modell Erinnerungen aus dem Verlauf neu aufbauen, den Sie noch behalten.

Dateien sind ebenfalls getrennt. Die Aufbewahrungshilfe sagt: Dokumente oder Bilder, die in einem Gespräch hochgeladen werden, gehen in die Bibliothek, wenn das Konto oder der Arbeitsbereich eine Bibliothek anbietet. Chats und Bibliotheksdateien werden getrennt verwaltet: Das Löschen eines Chats löscht keine Dateien, die schon in der Bibliothek gespeichert sind. Dateien an einem Custom GPT oder in einem Projekt (einschließlich geteilter Projekte) warten, bis dieses GPT oder Projekt gelöscht wird, bevor sie ins Löschfenster von rund 30 Tagen eintreten. Ziehen Sie eine .env oder einen Schlüssel-Screenshot ins Feld und löschen danach nur diesen Chattitel, kann die Dateiseite noch da sein.

Enterprise-Arbeitsbereiche legen eine Compliance-Schicht dazu: Bibliotheksdateien folgen der Arbeitsbereichsrichtlinie; kurzlebige Uploads, die nie in die Bibliothek gingen, können nach einer anderen Uhr ablaufen (das offizielle Beispiel ist 48 Stunden, sofern die Richtlinie nichts anderes sagt). Ein Verbraucherkonto hat diese Arbeitsbereichsknöpfe nicht. Trösten Sie eine Free-Sitzung nicht mit einer Zahl aus einem Enterprise-Dokument.

Freigabelinks, GPT-Aktionen und die Zwischenablage machen noch eine Kopie

Solange der Chat auf Ihrem Konto liegt, erzeugt ein Teilen eine Momentaufnahme, die andere öffnen können. Die Hilfe zu geteilten Links sagt: Ein Gesprächslink eines persönlichen Kontos kann von jeder Person mit der URL angesehen werden. Es gibt keine Freigabe pro Empfänger und kein Ablaufdatum. Links beginnen mit https://chatgpt.com/share/. Offiziell sind geteilte Seiten „nicht dafür vorgesehen“, von Suchmaschinen indexiert zu werden – und im selben Atemzug: Das macht den Link nicht privat. Wer ihn hat, kann ihn weiterleiten.

Eine Freigabe eines persönlichen Kontos ist eine Momentaufnahme vom Erstell- oder Aktualisierungszeitpunkt; spätere Nachrichten kommen nicht automatisch dazu. Ein Arbeitsbereichslink kann Nachrichten nach der Freigabe aufnehmen. Das Löschen des Freigabelinks blockiert nur, dass diese URL später noch öffnet. Es löscht weder den Originalchat noch eine Kopie, die die andere Person schon als eigenes Gespräch gespeichert hat. Löschen Sie den Originalchat, geht der passende Gesprächs-Freigabelink mit; hängt eine Freigabe einer geplanten Aufgabe daran, diese Aufgaben-URL extra löschen. „Modell für alle verbessern“ aus löscht keine bestehenden Freigabelinks und ändert nicht, wer sie öffnen kann.

Die Zwischenablage ist eine Kopie, die vor dem Senden existiert. Die Verlaufsfunktion des Betriebssystems, Handoff, Browsererweiterungen und Session Replay können Klartext behalten, bevor das Modell überhaupt getroffen wird. Nach dem Senden, wenn die Antwort den Schlüssel wiederholt, kopieren Screenshot, Export und das nächste „dieses geteilte Gespräch fortsetzen“ ihn erneut. Die richtige Reihenfolge: bekannte Formen zuerst auf diesem Gerät zu Sternen maskieren und nur den mit Sternen versehenen Text ins Feld schicken. Muss ein echter Wert eine Person erreichen, ändern Sie den Versandweg. Hoffen Sie nicht, das Modell werde „sehen und stillhalten“.

Welche Schlüsselregeln Sie zuerst stoppen können – und welche Geheimnisse einen anderen Kanal brauchen

Regelbasierte Schwärzung trifft öffentliche Präfixe und stabile Formen. Sie fragt nicht „sieht das vertraulich aus“. GitHub-Token mit ghp_ oder github_pat_, AWS-Zugangsschlüssel-IDs in der Form AKIA, Stripe sk_live_ / sk_test_, Slack-artige xoxb-, Google-API-Keys in der Form AIza und ein Token hinter Bearer sind auffindbar, weil der Aussteller das Präfix zum Marker gemacht hat. Ein Login-Passwort ohne Präfix, eine mit Leerzeichen zerlegte Passphrase, ein selbst gebautes token=, ein dreiteiliges JWT oder das Passwortstück in einer Datenbank-URL gehen als gewöhnlicher Text durch.

Das ist dieselbe Grenze wie bei der Ticketschwärzung, mit einem anderen Auftrag. Die Ticketnotiz beantwortet, welche Telefon- und Ausweisnummern eine Regel verbergen kann. Diese Notiz fragt nur: Steht in dem Absatz, den Sie ins Modell einfügen wollen, ein ganzes Geheimnis. Maskierter Text eignet sich für „was ist dieses Präfix“ oder „welche Fehlerzeile zählt“. Er eignet sich nicht für „mit Prod verbinden“ oder „mit diesem Schlüssel eine Anfrage senden“. Dieser Schritt braucht den echten Wert, also gehört er nicht in einen Verbraucher-Chat.

Ist ein echter Schlüssel schon raus, sind Training aus und Chat löschen Aufräumen, kein Rückgängig. Ändern Sie das Passwort auf eine neue Zeichenkette und verwenden Sie die alte nicht wieder. Widerrufen Sie Cloud- und Hosting-Token in der Konsole des Ausstellers und stellen Sie neue aus. GitHub und ähnliche Hosts scannen öffentliche Repos zusätzlich nach Schlüsseln. Das ist eine andere Leak-Fläche. Klartext in einer Modelsitzung und Klartext, der später ins Repo committet wird, müssen getrennt behandelt werden. Keines von beiden beweist, dass das andere sauber ist.

Sofort prüfen: der Canary bleibt im Feld dieses Tabs, dann Network durchsuchen

Ein Slogan „lokale Schwärzung, nichts hochgeladen“ kann sich nicht selbst beweisen. Was Sie in einer Sitzung sehen können, sind vier Dinge: welche Schlüsselformen genannt wurden, ob das Präfix nach der Maske noch lesbar ist, ob ein gewöhnlicher Satz, den Sie absichtlich stehen ließen, noch da ist, und ob der Ausgangstext als Geschäftsdaten wegging. Dieser Schritt beweist nur: „Hat dieses lokale Werkzeug den Canary geschickt.“ Er beweist nicht, dass ChatGPT zu Ihren Bedingungen vergisst. Diese Seite lässt sich nur gegen die offiziellen Kontrollen prüfen. Network kann sie nicht ersetzen.

Bauen Sie zuerst einen Canary ohne echte Identität. Für einen Schlüssel: ein Fake-Token mit öffentlichem Präfix – ghp_ plus 36 Zeichen, die Sie erfinden, oder sk_test_ plus wegwerfbare Zeichen. Für ein Passwort: eine offensichtlich erfundene Passphrase, etwa canary-not-a-real-secret-2026. Dann eine gewöhnliche Bitte: „Erklären Sie, warum diese Config unauthorized liefert. Wiederholen Sie das volle Token nicht.“ Nach dem Lauf sollte das präfigierte Token in den Trefferzählungen erscheinen und zur Maske werden. Die erfundene Passphrase sollte unverändert stehen. Das ist kein Fehler. Es ist die Regelgrenze: Sie trifft Präfixe, nicht selbst gebaute Passwörter.

Öffnen Sie danach DevTools Network, aktivieren Sie Preserve log und suchen Sie nach den eindeutigen Canary-Ketten. Sie sollten weder in einer XHR- oder Fetch-Anfragezeile, Query oder Body erscheinen noch in Analytics-Query oder -Body. Ein statischer Skriptname mit „privacy“ oder „redact“ ist erwartet. Ausgangstext, der als Geschäftsfeld rausgeht, ist ein Fehlschlag.

1. Schreiben Sie einen Absatz „bitte diesen Fehler ansehen“ aus einem Fake-ghp_- oder sk_test_-Token plus einer erfundenen Passphrase. Nutzen Sie keinen echten Schlüssel.
2. Prüfen Sie nach dem Lauf die Treffertypen: das präfigierte Token sollte genannt sein; die selbst gebaute Passphrase sollte im Ergebnis stehen.
3. Durchsuchen Sie Network nach dem Canary-Ausgangstext. Jede Geschäfts-Anfrage mit Treffer heißt: die Eingabe hat diesen Tab verlassen.
4. Nur maskierter Text darf in ein Modellfeld. Muss ein echter Schlüssel eine Person erreichen, auf Einmal-Link wechseln.

Der Beweis ist eng. In diesem einen Lauf wurden bekannte Präfixe zu Masken, die selbst gebaute Passphrase wurde nicht als Schlüssel behandelt, und der Ausgangstext hat diesen Tab nicht als beobachtetes HTTP-Feld verlassen. Das beweist nicht, dass eine Erweiterung das Feld nie gelesen hat. Das beweist nicht, was die Modellseite speichert, nachdem Sie das maskierte Ergebnis in ChatGPT einfügen. Nach einem Browserwechsel oder dem Umschalten einer Regel den Canary erneut laufen lassen.

Die Grenze auf einer Schwärzungsseite üben, die ohne Konto öffnet

Wenn Sie eine Seite wollen, die Typ-Schalter und Trefferzählungen offen hinlegt, beginnen Sie bei MakePwd mit der Datenschwärzung unter UTM entfernen. Sie öffnet ohne Konto und ohne Anmeldung. Scan und Maskierung laufen in diesem Tab. Laut Produktbeschreibung geht der Ausgangstext nicht als Anfrage raus und wird nicht in Analytics geschrieben. Die prüfbaren Typen umfassen Telefon, Ausweisnummer, Bankkarte, E-Mail, API Key und IP. API-Key-Treffer sind die oben genannten öffentlichen Präfixe plus die Form Bearer. Intelligente Maskierung ist die Voreinstellung; Sie können auf vollständige Maske wechseln. Ein Einfügen ist auf 512 KB begrenzt. Die Seite schreibt die Grenzen klar: Sie erkennt nicht jedes Schlüsselformat, sie beweist nicht, dass der Text ein Compliance-Regime erfüllt, und wichtiger Versand braucht weiter einen menschlichen Durchgang.

Üben Sie nur mit Canaries. Schauen Sie nach einem Lauf drei Stellen gleichzeitig an: die Treffertyp-Zählungen, ob die erfundene Passphrase im Ergebnis steht, und ob Network den Ausgangstext enthält. Zählungen beantworten „hat es das Präfix genannt“. Die Passphrase beantwortet „wo hört die Regel auf“. Network beantwortet „wurde hochgeladen“. Bestehen alle drei, können Sie einer Kollegin sagen: Ich habe diese Formen maskiert, ich weiß, dass das selbst gebaute Passwort noch da ist, und ich habe den Canary auf der Leitung gesucht.

Bleibt nach der Schwärzung ein Geheimnis, das unversehrt ankommen muss, einmalig per Einmal-Link schicken und den Schlüssel im URL-#-Fragment lassen. Erstellen und Lesen öffnen beide ohne Konto; der Server speichert nur kurz Chiffretext. Eine ganze Datei mit Schlüsseln lokal in Datei verschlüsseln zu .lock / .enc machen (eine Datei, höchstens 5 GB) und dann über Laufwerk oder Mail schicken. Nachdem Sie ein geleaktes Login-Passwort beim Aussteller widerrufen haben, mit dem Passwortgenerator auf diesem Gerät eine neue Zeichenkette von 6–128 Zeichen erzeugen (Standard 16; unter 8 wird als schwächer gekennzeichnet). Die alte Zeichenkette in kein Modell einfügen. Keiner dieser Schritte verlangt eine Anmeldung.

Häufige Fragen

Ist der Schlüssel weg, wenn ich „Modell für alle verbessern“ ausschalte?

Nein. Er steht weiter im Chatverlauf. Die FAQ zu den Datenkontrollen von OpenAI sagt: Nach dem Abschalten des Trainings erscheinen Gespräche weiter im Verlauf; sie werden nur nicht mehr zum Trainieren von ChatGPT verwendet. Der Opt-out gilt für neue Gespräche. Die Richtlinie schreibt nicht, dass älterer Inhalt, der schon ins Training ging, wieder herausgeholt und gelöscht wird.

Verschwindet ein temporärer Chat aus den Systemen von OpenAI im Moment des Einfügens?

Nein. Ein temporärer Chat bleibt standardmäßig aus der Seitenleiste, legt keine neuen Erinnerungen an und fließt nicht ins Training, kann aber zur Sicherheitsprüfung bis etwa 30 Tage aufbewahrt werden. Tippen Sie auf Speichern, wird daraus ein normaler Chat und folgt dann den Trainings- und Personalisierungseinstellungen des Kontos.

Sind Erinnerung und hochgeladene Dateien weg, wenn ich den Chat lösche?

Sie können noch da sein. Erinnerungszusammenfassungen und Dateien in der Bibliothek liegen getrennt vom Chat. Das Löschen eines Gesprächs räumt eine bereits geschriebene Erinnerung nicht automatisch ab und löscht keine Datei, die schon in der Bibliothek liegt. Das Löschen eines Freigabelinks lässt eine Kopie stehen, die die Gegenseite schon in ihrem eigenen Konto gespeichert hat.

Darf ich nach der Maskierung den Originalschlüssel in ChatGPT einfügen?

Nein. Maskierung trifft Tokenformen mit öffentlichen Präfixen. Ein selbst gebautes Passwort oder ein mit Leerzeichen zerlegter Schlüssel rutscht durch. Bei Syntax oder einem Fehler nur die mit Sternen versehene Kopie einfügen. Muss ein echter Schlüssel eine Person erreichen, einmalig per Einmal-Link schicken – nicht über eine Modelsitzung.

Drei Dinge vor dem nächsten Einfügen

Erstens: Senden ist Kopieren. Chatverlauf, Training (falls Sie nicht widersprochen haben), rund 30 Tage Sicherheitsaufbewahrung, Erinnerung, Bibliothek und ein Freigabelink können je eine Kopie behalten. Die aktuelle Seite zu ändern holt keinen Klartext zurück, der schon weg ist. Zweitens: Training aus stoppt nur die Modellverbesserung; es löscht den Verlauf nicht. Ein temporärer Chat bleibt nur aus der Seitenleiste. Das ist keine Null-Aufbewahrung. Drittens: auf diesem Gerät maskieren, bevor etwas ins Modellfeld geht, und Network nach einem Canary durchsuchen. Ein echter Schlüssel, der unversehrt ankommen muss, geht über Einmal-Link. Ein geleaktes Passwort wird zuerst widerrufen, dann ersetzt.

Wenn die nächste Frage lautet, welche Felder eine Regel in einem Tickettext verbergen kann, lesen Sie Was regelbasierte Schwärzung in einem Ticket oder Chatprotokoll trifft – und was trotzdem stehen bleibt. Wenn Sie prüfen wollen, dass Klartext diesen Tab nicht als Geschäftsdaten verlassen hat, lesen Sie Im Browser verschlüsseln: so prüfen Sie, dass Klartext das Gerät nicht verlassen hat. Diese Notiz zieht nur eine Linie, die Sie in eine Schlussfolgerung schreiben können: was nach dem Einfügen eines Schlüssels in eine Verbrauchermodellsitzung noch übrig bleiben kann.