ChatGPT für Mac: Ungeschützte Chatlogs werfen Sicherheitsfragen auf (App ist gefixed!)

Die kürzlich entdeckte Speicherung unverschlüsselter Chatprotokolle durch die ChatGPT-App für macOS hat in der Tech-Welt für Aufsehen gesorgt. Zunächst schien mir das Problem weniger gravierend, da man ja für das Auslesen der Logs immer noch die Zugangsdaten von einem Benutzer am Mac brauchte, aber bei der Recherche offenbarte sich, was das eigentliche Angriffsszenario hier ist.

Wie The Verge berichtet, wurde kürzlich entdeckt, dass die ChatGPT-App für macOS Chats der Benutzer in unverschlüsselten Textdateien auf der lokalen Festplatte speicherte. Anfänglich schien dies aufgrund der standardmäßigen Festplattenverschlüsselung von macOS kein großes Risiko darzustellen, da alle T2- und Apple-Silicon-Mac automatisch den internen Speicher verschlüsseln. Doch das Problem ist hier an einer anderen Stelle, auf die ein normaler Mac-Benutzer nicht direkt kommt.

Das eigentliche Sicherheitsrisiko: Ungeschützter Speicherort

Der Kern des Problems liegt nicht in der fehlenden Verschlüsselung der Dateien selbst, sondern in ihrem Speicherort. OpenAI speicherte die Chatprotokolle in einem ungeschützten Verzeichnis:

~/Library/Application\ Support/com.openai.chat/conve…{uuid}/

Dieser Pfad liegt außerhalb der von macOS geschützten Bereiche. Das bedeutet, dass andere auf dem Mac laufende Prozesse potenziell auf diese Dateien zugreifen konnten, ohne dass der Nutzer davon erfuhr oder seine Erlaubnis geben musste. Hat man also eine App installiert, die auf diese Daten aus ist, muss sie nur prüfen, ob etwas in diesem Verzeichnis liegt und diese Daten dann auslesen.

Die Bedeutung von Sicherheitsstandards

Ein Reddit-Nutzer brachte es auf den Punkt (von mir übersetzt aus dem Englischen):

„Unterschätzt nicht die Bedeutung angemessener Sicherheitspraktiken in der modernen Softwareentwicklung. Es geht hier nicht nur um theoretische Risiken, sondern um die Einhaltung von Industriestandards.“ [Quelle]

Dieser Vorfall zeigt, wie wichtig es ist, dass selbst große Tech-Unternehmen grundlegende Sicherheitsmaßnahmen implementieren, insbesondere wenn es um den Umgang mit potenziell persönlichen oder vertraulichen Informationen geht. Interessant wäre, ob GPT-4o die App direkt richtig programmiert hätte, oder ob es ebenfalls den Fehler mit dem falschen Speicherort gemacht hätte. ;-)

OpenAI lieferte schnelles Update

Erfreulicherweise hat OpenAI recht flott nach Bekanntwerden der Sicherheitslücke reagiert und ein Update der Mac-App veröffentlicht. Wenn ihr nicht sicher seid, welche Version ihr nutzt, öffnet die ChatGPT-App und klickt in der Menüleiste auf „ChatGPT“ und dann auf „Nach Updates suchen“. Bei mir wurde dann ein Update angeboten (siehe Screenshot).

Man sieht: Es ist wichtig, seine Apps regelmäßig zu aktualisieren, um solche Sicherheitslücken auszubügeln. Bei der ChatGPT-App (und bei einigen anderen auch) kann man in den Optionen einstellen, dass sie in Zukunft Updates automatisch laden und installieren soll. Damit ist man dann auf der sicheren Seite und hat immer die aktuellste Version der App auf dem Mac.

Fazit

Die Berichte über diese Sicherheitslücke bei der ChatGPT Mac-App zeigt auch mir, dass selbst scheinbar kleine Sicherheitsprobleme ernst genommen werden sollten. Es geht nicht darum, Panik zu schüren, sondern ein Bewusstsein dafür zu schaffen, wie wichtig robuste Sicherheitsmaßnahmen in der Softwareentwicklung sind. Ich habe wieder mal etwas dazu gelernt und ich denke, viele andere Mac-User wussten auch nicht, dass es bestimmte Bereiche gibt, in denen eine Mac ihre Daten sichern soll.

Ich hoffe, mit dem Beitrag wurde auch für Einsteiger klar, was das eigentliche Problem mit der Mac-App von OpenAI war. Es ging nicht nur um die Verschlüsselung, so wie ich vorher dachte.

Aber grundsätzlich muss man sich als Nutzer der ChatGPT-App auch darüber im Klaren sein, dass die App alle Daten und Chats auch zu OpenAI schickt und die Logs dann dort gesichert und zum Training von zukünftigen Modellen genutzt werden. Aus meiner Sicht ist das auch eine kleine Sicherheitslücke, deren man sich bewusst sein muss.

Jens Kleinholz( Gründer & Sir Apfelot )

Seit 2012 betreibe ich meinen Blog als Sir Apfelot und helfe meinen Lesern bei technischen Problemen. In meiner Freizeit flitze ich auf elektrischen Einrädern, fotografiere mit meinem iPhone, klettere in den hessischen Bergen oder wandere mit meiner Familie. Meine Artikel behandeln Apple-Produkte, Drohnen-News und Lösungen für aktuelle Bugs.