ChatGPT-Lockdown-Modus: Die Einstellung, die OpenAI entwickelt hat, um Prompt-Injection auszuhungern

Am 13. Februar 2026 kündigte OpenAI den Lockdown-Modus an, eine optionale ChatGPT-Einstellung, die einschränkt, was der Assistent an das Netzwerk senden darf, sodass ein Prompt-Injection-Angriff keine Möglichkeit hat, gestohlene Daten nach außen zu tragen. Das Surfen wird auf zwischengespeicherte Inhalte reduziert, keine Live-Anfrage verlässt OpenAIs kontrolliertes Netzwerk, und jede Funktion, für die sich keine deterministische Sicherheitsgarantie geben lässt, wird abgeschaltet statt gefiltert. Eingeführt wurde er zuerst für ChatGPT Enterprise, ChatGPT Edu, ChatGPT for Healthcare und ChatGPT for Teachers, aktiviert von Workspace-Administratoren, während Verbrauchern der Zugang „in den kommenden Monaten“ versprochen wurde — ein Versprechen, das dieselbe OpenAI-Seite als am 4. Juni 2026 eingelöst verzeichnet. Es sind weder eine Sicherheitsverletzung noch ein Opfer oder ein Datenverlust damit verbunden: Das AI Incident Archive führt dies als Richtlinieneintrag mit Schweregrad „Information“ und Konfidenzstufe A. Die Zitationsliste des Eintrags und die unmittelbar davor und danach erfassten Governance-Einträge sind im Orca AI Incident Archive hinterlegt, das auch die ursprüngliche OpenAI-Ankündigung verlinkt.

Was der Lockdown-Modus deaktiviert

OpenAI beschreibt Lockdown Mode als eine Einstellung für „eine kleine Gruppe von Nutzern mit starkem Sicherheitsbewusstsein – etwa Führungskräfte oder Sicherheitsteams bei prominenten Organisationen –, die einen erhöhten Schutz gegen fortgeschrittene Bedrohungen benötigen“, und erklärt unmissverständlich, dass er „für die meisten Nutzer nicht erforderlich“ ist. Was er bewirkt, ist eine Reduktion von Fähigkeiten. Die folgende Liste stammt von OpenAI selbst und wurde der Ankündigung sowie dem Hilfezentrum-Artikel zu Lockdown Mode entnommen, auf den die Ankündigung verlinkt.

• Live-Webbrowsing. Das Browsing ist auf zwischengespeicherte Inhalte beschränkt, sodass keine Live-Netzwerkanfragen das von OpenAI kontrollierte Netzwerk verlassen. Suchergebnisse „können eingeschränkt, nicht verfügbar oder veraltet sein“.

• Bildunterstützung. ChatGPT kann in regulären Antworten möglicherweise keine Bilder anzeigen oder keine Bilder aus dem Web abrufen. Das Hochladen von Bilddateien funktioniert weiterhin, und die Bildgenerierung bleibt dort verfügbar, wo sie es andernfalls wäre.

• Deep Research. Deaktiviert. Das Update von OpenAI vom 4. Juni legt fest, dass dies Shopping-Recherche einschließt.

• Agent-Modus. Deaktiviert.

• Canvas-Netzwerk. Benutzer können nicht genehmigen, dass von Canvas generierter Code auf das Netzwerk zugreift.

• Dateidownloads. ChatGPT kann keine Dateien für die Datenanalyse herunterladen. Es kann jedoch weiterhin mit Dateien arbeiten, die der Benutzer manuell hochlädt.

• Live-Konnektoren und Schreibaktionen in Apps. In persönlichen und Self-Serve-Business-Konten heißt es in dem Hilfeartikel, dass Live-Zugriff auf externe Dienste und Schreibaktionen in Apps blockiert werden, wenn sie mit den Schutzvorkehrungen des Modus in Konflikt geraten, und dass „Finanzen in ChatGPT und Shopping-Agent-Erfahrungen“ nicht verfügbar sind.

Drei Dinge, die der Lockdown Mode ausdrücklich nicht berührt: Memory, Datei-Uploads und die Frage, ob ein Gespräch zur Verbesserung von Modellen verwendet werden darf. Er wirkt sich auch nicht auf den Netzwerkzugriff in Codex aus, OpenAIs Programmierassistent – ein Punkt, den man im Hinterkopf behalten sollte, denn Codex ist eines der Produkte, um die es in der zweiten Hälfte dieser Ankündigung geht.

Der Angriff ist darauf ausgelegt, es auszuhungern.

Prompt-Injection ist die Angriffsklasse. Ein Dritter versteckt Anweisungen in Inhalten, die das Modell lesen wird – eine Webseite, ein PDF, ein gemeinsam genutztes Dokument – und das Modell behandelt diese Anweisungen als legitim, handelt danach oder gibt preis, was in der Konversation enthalten ist. OpenAIs eigene Beschreibung des Risikos lautet, dass ein Angreifer „versucht, ein konversationelles KI-System dazu zu verleiten, bösartigen Anweisungen zu folgen oder sensible Informationen preiszugeben“. Bei einem vernetzten Assistenten muss die Nutzlast nicht ausgeklügelt sein; sie braucht einen Weg nach außen. Ein präparierter Link wie attacker.example/collect?data=, gefolgt von privaten Daten, reicht aus, denn die Daten landen in den Server-Logs des Angreifers und im Chat erscheint nichts Verdächtiges.

Die meisten Schutzmechanismen versuchen, das Modell daran zu hindern, Anweisungen zu befolgen. Lockdown Mode nicht. Er entfernt stattdessen die ausgehenden Pfade, weshalb OpenAI immer wieder das Wort „deterministisch“ verwendet: Die Beschränkung wird durch die internen Mechanismen des Produkts durchgesetzt, nicht durch das Urteilsvermögen des Modells, sodass eine Payload, die den Streit für sich entscheidet, trotzdem keinen Ort hat, an den sie die Beute senden kann. Mit den Worten der Ankündigung selbst deaktiviert Lockdown Mode „bestimmte Tools und Funktionen in ChatGPT deterministisch, die ein Angreifer auszunutzen versuchen könnte, um sensible Daten zu exfiltrieren.“

Was OpenAI nicht für sich beansprucht

Die Grenzen werden von OpenAI genannt und nicht daraus abgeleitet, und sie sind wichtiger als die Funktionsliste. Der Hilfe-Center-Artikel besagt, dass der Lockdown Mode „nicht verhindert, dass Prompt-Injections im Inhalt erscheinen, den ChatGPT verarbeitet“, und nennt direkt das Beispiel: Eine Injection in zwischengespeicherten Webinhalten oder in einer hochgeladenen Datei „könnte immer noch das Verhalten oder die Genauigkeit einer Antwort beeinflussen“. Die Injection landet weiterhin. Nur der Ausgang ist geschlossen.

Auf die Frage nach Garantien teilte OpenAI der Fachpresse mit, was es nicht verspricht. „Lockdown Mode ist darauf ausgelegt, das Risiko einer Datenexfiltration auf Basis von Prompt-Injection erheblich zu verringern, garantiert aber nicht, dass keine Datenexfiltration stattfinden kann“, erklärte das Unternehmen und fügte hinzu: „Das Risiko kann durch aktivierte Apps, unvorhergesehene Kombinationen von Funktionen oder neu entdeckte Techniken bestehen bleiben“ (zitiert nach The Next Web, 7. Juni 2026). Apps sind die offensichtliche Lücke: In verwalteten Workspaces „deaktiviert der Lockdown Mode nicht automatisch jede App“, und das Hilfezentrum rät Administratoren, dass Lese- oder Schreibaktionen für nicht vertrauenswürdige Apps „nicht empfohlen“ werden und dass Schreibaktionen selbst bei vertrauenswürdigen Apps vermieden werden sollten, deren Nebenwirkungen nicht nachweislich vor einem böswilligen Akteur verborgen werden können.

Das Label „Elevated Risk“ – und was es nicht ist.

Die zweite Hälfte der Ankündigung vom 13. Februar ist eine Änderung der Kennzeichnung, keine Kontrollmaßnahme. OpenAI hat die Formulierung für eine „kurze Liste“ vorhandener Funktionen vereinheitlicht, die ein ungelöstes Netzwerkrisiko bergen, sodass dieselbe Kennzeichnung „Elevated Risk“ in ChatGPT, ChatGPT Atlas und Codex erscheint – das Argument des Unternehmens ist, dass Nutzer überall identische Hinweise erhalten sollten, wo ihnen dieselbe Funktion begegnet. Das konkrete Beispiel ist Codex: Ein Entwickler, der dem Programmierassistenten Netzwerkzugriff gewährt, um Dokumentation nachzuschlagen, sieht die Kennzeichnung nun auf dem Einstellungsbildschirm, neben der Domain-Allowlist und den zulässigen HTTP-Methoden, zusammen mit einer Erklärung, was sich ändert und wann der Zugriff angemessen ist.

Das Label ist eine Warnung, keine Sperre. Die Funktion wird weiterhin ausgeführt, sobald der Nutzer sie akzeptiert. OpenAI hat außerdem eine eigene Ablaufbedingung festgelegt: Das Unternehmen „wird das Label ‚Elevated Risk‘ entfernen, sobald wir feststellen, dass Fortschritte bei der Sicherheit diese Risiken für die allgemeine Nutzung ausreichend gemindert haben“, und wird weiterhin ändern, welche Funktionen damit versehen werden. Das ist ein ungewöhnlich ausdrückliches Eingeständnis, dass die Liste eine Momentaufnahme dessen ist, was das Unternehmen derzeit standardmäßig als unsicher erachtet.

Von einer Unternehmensrolle zu einem Schalter in den Einstellungen

Die Februar-Version war ausschließlich für Enterprise-Kunden verfügbar und wurde administrativ verwaltet statt von den Nutzern gewählt. Admins in ChatGPT Enterprise, Edu, for Healthcare und for Teachers aktivierten sie in den Workspace-Einstellungen, indem sie eine neue Rolle erstellten, die die zusätzlichen Einschränkungen zusätzlich zu allem auferlegte, was der Workspace bereits durchsetzte. Admins behielten die granulare Kontrolle und legten genau fest, welche Apps und welche konkreten Aktionen innerhalb dieser Apps verfügbar blieben – ein Zugeständnis, das OpenAI damit erklärte, dass „einige kritische Workflows auf Apps angewiesen sind“. Unabhängig vom Modus bietet die Compliance API Logs Platform Administratoren Einblick in App-Nutzung, gemeinsam genutzte Daten und verbundene Quellen.

Das Verbraucherversprechen wurde am 4. Juni 2026 eingelöst, als OpenAI oben auf derselben Ankündigungsseite einen Aktualisierungshinweis hinzufügte: Lockdown Mode werde „für persönliche ChatGPT-Konten sowie Self-Serve-ChatGPT-Business-Konten“ eingeführt, verfügbar über die Einstellungen, wobei die Liste der Einschränkungen erneut aufgeführt wurde und Live-Webzugriff, Bildunterstützung in Antworten, Deep Research einschließlich Shopping-Recherche, Agent Mode, Canvas-Vernetzung, Live-Connectors und Dateidownloads umfasste. PCMag berichtete am 6. Juni 2026 über die Einführung, The Next Web am 7. Juni 2026; The Cyber Express, das am 18. Februar über die Februar-Ankündigung berichtet hatte, merkte in seinem Follow-up im Juni an, dass die Einstellung Free-, Go-, Plus- und Pro-Konten erreicht habe. Der Bericht von The Next Web ergänzt zwei operative Details, die in OpenAIs Beitrag fehlen: Lockdown Mode und Developer Mode können nicht gleichzeitig aktiviert werden, und OpenAI hat daneben eine separate Sitzungsverwaltungsfunktion eingeführt, mit der Nutzer aktive Sitzungen überprüfen und einzelne Geräte abmelden können.

Was hier feststeht und was nicht

Alles oben zum Verhalten des Modus ist OpenAIs eigene Darstellung, wiedergegeben von Medien, die von demselben Beitrag ausgingen. Die Berichterstattung im Februar – eWeek am 17. Februar 2026, The Cyber Express am 18. Februar 2026 und eine Gruppe regionaler Technikredaktionen, darunter ZDNet Japan und Techlusive – beschreibt die Funktion zutreffend, fügt aber keine unabhängigen Tests hinzu: Keine der für diesen Artikel gesichteten Berichte gibt an, versucht zu haben, den Lockdown Mode auszuhebeln, und die Ankündigung selbst nennt keine externe Sicherheitsbewertung. Das begrenzt, was der Quellenbestand aussagen kann. Der Vertrauensgrad A des Archivs beschreibt, wie gut das Ereignis dokumentiert ist und wie weit seine Primärquellen übereinstimmen, nicht wie gut die Schutzmaßnahme funktioniert.

Der Eintrag weist auch keinen tatsächlichen Schaden auf. Dies ist ein Richtlinieneintrag, kein Vorfall: Keine Organisation wird als Opfer genannt, es wird keine Exfiltration gezählt, und nichts hier belegt, dass ein bestimmter Angriff die Veröffentlichung veranlasst hat. OpenAI präsentiert den Lockdown-Modus als Ergänzung zu bestehenden Schutzmaßnahmen – Sandboxing, URL-basierte Abwehrmaßnahmen gegen Datenexfiltration, Überwachung und Durchsetzung, rollenbasierter Zugriff und Audit-Protokolle – und nicht als Reaktion auf eine offengelegte Sicherheitsverletzung.

Es gibt eine aktuelle Debatte darüber, was die Funktion bedeutet, und sie sollte als Debatte gekennzeichnet werden. The Cyber Express warf in einem Analysebeitrag vom Juni die Frage auf, ob die Existenz des Lockdown Mode damit einräumt, dass ChatGPT in seinen Standardeinstellungen „keinen robusten Schutz gegen hinreichend entschlossene Datenexfiltrationsangriffe bietet“, und antwortete, OpenAI „scheine dies nicht zu bestreiten“ – und deutete den Modus als „eine Kontrolle der letzten Verteidigungslinie“ statt als Anti-Injection-Kontrolle. Das ist die Interpretation eines Kolumnisten, und OpenAIs eigener Text stützt die faktische Hälfte davon, ohne ein solches Eingeständnis zu machen. Das Archiv kennzeichnet diesen Eintrag nicht als umstritten, und den Fakten nach ist er es auch nicht: Die Uneinigkeit betrifft das Framing, nicht das, was die Einstellung bewirkt.

Was ein Leser überprüfen kann, ohne irgendwem vertrauen zu müssen, ist wenig, aber real. Die Einstellung erscheint entweder in den Sicherheitskontrollen eines Kontos oder nicht, und die Beschränkungsliste stimmt entweder mit OpenAIs Beschreibung überein oder nicht. Die Teile, die von außen nicht überprüft werden können, sind die wichtigsten: ob die deterministischen Einschränkungen einem Angreifer standhalten, der es tatsächlich versucht, und ob die Apps und Aktionen, die ein Administrator aktiviert lässt, den Weg wieder öffnen, den der Modus schließen sollte. OpenAIs eigener Vorbehalt – Risiken können durch aktivierte Apps, unvorhergesehene Kombinationen von Fähigkeiten oder neu entdeckte Techniken fortbestehen – ist die ehrliche Zusammenfassung des aktuellen Stands.