Inhalt5
Am 16. Oktober 2026 beschrieb die Fachpresse die neue Chrome-Erweiterung von ChatGPT im Detail: Es genügt, den Browser in einem Gespräch zu erwähnen, damit der Assistent die offenen Tabs liest und in seinem Arbeitsmodus selbst darin handelt, vom ausgefüllten Formular bis zur gesendeten Nachricht. Zwei Wochen zuvor hatte Apple angekündigt, den vollen Festplattenzugriff auf Macs zu verschärfen, und dabei KI-Agenten genannt. Für ein Unternehmen ist die Frage nicht, ob diese Werkzeuge nützlich sind, sondern was sie sehen, wenn ein Mitarbeiter sein CRM im Tab daneben geöffnet hat.
Dieser Beitrag unserer Rubrik KI im Unternehmen geht von diesem Beispiel aus, aber die Regel gilt für jeden Assistenten, der den Browser oder den Bildschirm liest, gleich von welchem Anbieter. Die beschriebenen Berechtigungen sind die der am 20. Oktober 2026 eingesehenen Dokumentation und ändern sich mit den Updates; dies ist keine Rechtsberatung: Bei personenbezogenen oder regulierten Daten hat Ihr Datenschutzbeauftragter das letzte Wort.
Kurz gesagt
- Ein Browser-Assistent liest die Tabs, die man ihm nennt, und kann auf Websites handeln, auf denen Sie bereits angemeldet sind, mit Ihren Rechten.
- Das Hauptrisiko ist nicht die Seite, die man ihm zeigt, sondern der Tab daneben: CRM, E-Mail, Bank, HR-Werkzeug.
- Der Inhalt einer Seite kann einen Agenten umlenken; der Anbieter selbst verlangt, ihn als nicht vertrauenswürdig zu behandeln.
- Die Regel passt in drei Stufen: öffentliche Websites erlaubt, interne Werkzeuge zu vermeiden, personenbezogene oder regulierte Daten verboten.
Was der Assistent sieht und was er tun kann
Im Gesprächsmodus zieht die Erweiterung Informationen aus mehreren Tabs gleichzeitig, um zu vergleichen oder zusammenzufassen; im Arbeitsmodus kann sie Nachrichten senden, Formulare ausfüllen, Dateien herunterladen und Tabs ordnen, berichtet The Decoder und stellt klar, dass das Update alle ChatGPT-Tarife betrifft.
Die Dokumentation von OpenAI beschreibt die Berechtigungen im Einzelnen. Bei der Installation verlangt die Erweiterung unter anderem das Recht, alle Ihre Daten auf allen Websites zu lesen und zu ändern, sowie den Browserverlauf aller Ihrer angemeldeten Geräte. Anschließend kann sie die Websites nutzen, auf denen Sie bereits angemeldet sind. Bevor sie auf einer neuen Website handelt, fragt sie um Erlaubnis: einmalig, für diese Website, für alle Websites, oder Ablehnung; die Option für alle Websites ist als hohes Risiko gekennzeichnet, und der Zugriff auf den Verlauf wird jedes Mal neu erfragt.
Behandeln Sie Seiteninhalte als nicht vertrauenswürdigen Kontext, und prüfen Sie die Website, bevor Sie ChatGPT weitermachen lassen.
Dieselbe Dokumentation empfiehlt, keine Geheimnisse oder hochsensiblen Daten durch diese Aufgaben laufen zu lassen, außer wenn es nötig ist, und dabei anwesend zu bleiben, um jede Anfrage freizugeben. Das sagt der Anbieter selbst: Das Werkzeug ist darauf ausgelegt, mächtig zu sein, die Vorsicht liegt beim Nutzer.
Das Risiko ist der Tab daneben
Ein Mitarbeiter, der drei Lieferantenangebote vergleicht, gibt nichts preis. Derselbe Mitarbeiter, der in seinem Fenster sein E-Mail-Programm, den Datensatz eines Kunden im CRM und die Administrationskonsole der Website geöffnet hat, gibt dem Assistenten eine Sicht und Rechte, die ihm niemand bewusst eingeräumt hat. Zwei Mechanismen erklären das:
- Die offene Sitzung gilt als Identität: Ein Agent, der in einem Tab handelt, in dem Sie angemeldet sind, handelt mit Ihren Rechten, ohne erneut ein Passwort einzugeben.
- Die Seite kann Befehle erteilen: Ein in einer besuchten Seite versteckter Text kann den Agenten dazu bringen, das Gesehene anderswohin zu kopieren, wie die Dokumentation von OpenAI für den Verlauf in Erinnerung ruft. Der Mechanismus ist in unserem Überblick über KI-Agenten und die Cyberangriffe vom Oktober 2026 beschrieben.
Apple stellt für den Mac dieselbe Diagnose, wo der volle Festplattenzugriff eine Anwendung Dateien, E-Mails und Nachrichten lesen lässt.
Je leistungsfähiger und autonomer KI-Agenten werden, desto stärker werden die Risiken wachsen, die mit dieser Zugriffsstufe verbunden sind.
Die Regel, Tab für Tab
Erlaubt mit einem Browser-Assistenten
Öffentliche Seiten: Artikel, Dokumentation, Produktseiten
Vergleich von Angeboten von Lieferanten oder Wettbewerbern
Ihre eigenen, bereits veröffentlichten Inhalte
Entwürfe ohne Kundendaten und ohne interne Zahlen
Außerhalb seiner Reichweite halten
CRM, Kundendatensätze und laufende Angebote
Geschäftliche E-Mails und Kalender
Bank, Zahlungen, Lohnabrechnung und HR-Werkzeuge
Administrationskonsolen und Passwortmanager
Drei Einstellungen ergänzen die Liste: niemals den Zugriff auf alle Websites gewähren, den Verlauf standardmäßig ablehnen und den Modus, in dem der Assistent allein handelt, öffentlichen Websites vorbehalten, mit jemandem vor dem Bildschirm. Sensible Werkzeuge leben am besten in einem separaten Browserprofil ohne KI-Erweiterung: Das ist der einfachste Weg, sicherzustellen, dass der Tab daneben unsichtbar bleibt.
Aus der Praxis
Diese Regel übernimmt das Raster nach Sensibilität, das wir seit August 2026 auf unsere eigenen KI-Nutzungen anwenden (interne Regel, in ihrer Fassung vom 20. Oktober 2026), festgehalten in unserem Referenzdokument zu Kosten und Daten: Öffentliches darf durch jedes Werkzeug gehen, Internes ohne Personenbezug nur durch Werkzeuge, die die Daten nicht speichern, Personenbezogenes oder Reguliertes nur auf unseren Servern oder bei einem europäischen Anbieter unter Vertrag, niemals über ein ohne Vertrag angebotenes Modell. Ein Tab wird wie ein Dokument eingestuft.
Was das für ein Team von 20 bis 500 Personen ändert
Diese Erweiterungen installieren sich mit einem Klick, oft unter einem persönlichen Konto: Wenn die Richtlinie nichts sagt, entscheidet die Standardeinstellung. Drei Entscheidungen genügen, um die Kontrolle zurückzugewinnen:
- Welche Browser-Assistenten erlaubt sind, mit welchem Konto (geschäftlich, verwaltet) und auf welchen Rechnern.
- Welche Websites erlaubt oder ausgeschlossen sind, ausgehend von der obigen Liste; die Erweiterung von OpenAI bietet selbst eine Liste erlaubter und gesperrter Websites.
- Wer den Assistenten handeln lassen darf, und wobei.
Den Platz dieser Entscheidungen in einer Gesamtrichtlinie beschreibt unser Leitfaden zur KI-Governance im Unternehmen; die Alternative eines Assistenten, der bei Ihnen läuft, private KI in vier Stufen; und den Schutz der Schlüssel und Passwörter, denen diese Werkzeuge begegnen könnten, der Tresor für Geheimnisse in der KI. Um diese Regel in ein vollständiges Projekt einzuordnen, lesen Sie unseren Leitfaden zur Einführung von KI im Unternehmen.
Damit jeder weiß, was er der KI anvertraut und was er für sich behält, mit für Ihr Unternehmen aufgeschriebenen Nutzungsregeln und Workshops nach Berufsbild, sehen Sie sich unsere KI-Schulung für Teams an.
Häufige Fragen
Kann ein KI-Assistent die offenen Tabs meines Browsers lesen?
Ja, wenn er als Erweiterung installiert ist und Sie ihn darum bitten. Die Chrome-Erweiterung von ChatGPT liest die Tabs, die der Nutzer im Gespräch nennt, und kann in ihrem Arbeitsmodus darin handeln. Sie fragt um Erlaubnis, bevor sie auf einer neuen Website handelt, und bei jedem Zugriff auf den Verlauf. Was sie sieht, hängt also davon ab, was geöffnet ist und was Sie erlauben.
Sollte man KI-Erweiterungen im Browser im Unternehmen verbieten?
Nicht unbedingt. Ein Verbot treibt Mitarbeiter oft zu ihren persönlichen Konten, außerhalb jeder Kontrolle. Besser ist es, ein bestimmtes Werkzeug zu erlauben, unter einem Geschäftskonto, mit einer Liste erlaubter und ausgeschlossener Websites und einem separaten Browserprofil für sensible Werkzeuge. Die Regel passt auf eine Seite der KI-Richtlinie.
Kann ein Browser-Assistent an meiner Stelle auf einer Website handeln, auf der ich angemeldet bin?
Ja. Eine Erweiterung, die in einem Tab handelt, in dem Ihre Sitzung offen ist, nutzt Ihre Rechte, ohne erneut nach einem Passwort zu fragen. Deshalb zählen die Berechtigungen pro Website: Behalten Sie das automatische Handeln öffentlichen Websites vor, lehnen Sie die Option ab, die alle Websites öffnet, und bleiben Sie vor dem Bildschirm, wenn der Assistent ein Formular ausfüllt oder eine Nachricht sendet.
Warum beschränkt Apple den vollen Festplattenzugriff wegen KI-Agenten?
Weil dieser Zugriff einen großen Teil der Schutzmechanismen des Mac umgeht: Eine Anwendung, die ihn erhält, kann Dateien, E-Mails, Nachrichten und den Browserverlauf lesen. Apple hat am 2. Oktober 2026 zusätzliche Kontrollen angekündigt, damit nur eine ausdrückliche Handlung des Nutzers ihn gewährt, mit der Begründung, dass das Risiko mit der Autonomie der Agenten wächst.
Quellen
- Berichtet The Decoder (neuer Tab)the-decoder.com
- Die Dokumentation von OpenAI (neuer Tab)learn.chatgpt.com
Jim · Gründer von Brain Plus AI
Ebenfalls lesenswert zu ki im unternehmen
Praxisleitfaden12 Min.
KI-Governance im Unternehmen: Wer hat Zugriff auf was?
Ein KI-Assistent liest, was Ihre Zugriffsrechte ihn lesen lassen, Freigabefehler eingeschlossen. So teilen Sie Ihre Wissensbasen nach Abteilungen auf, behalten eine gemeinsame Grundlage und entscheiden, wer in das gemeinsame Gedächtnis schreibt.
Auswählen und kalkulieren9 Min.
Private KI im Unternehmen: die vier Stufen der Kontrolle
Eine „private“ KI ist kein Produkt, sondern ein Grad an Kontrolle über Ihre Daten. Wir unterscheiden vier Stufen, von der unveränderten API bis zum Modell in Ihren eigenen Räumen, und eine einfache Methode, Aufgabe für Aufgabe zu wählen.
Verstehen11 Min.
Tresor für Geheimnisse: Ihre KI nutzt Schlüssel, ohne sie zu sehen
Passwörter per E-Mail, im Code vergessene API-Schlüssel, KI-Agenten, die alles kopieren könnten: Das sind die Lecks, denen wir am häufigsten begegnen. Und so lässt ein Tresor auf Ihren Namen Ihre KI Ihre Schlüssel nutzen, ohne sie je zu lesen.