Am 10. November 2026 berichtete Claroc, dass 35.578 von 37.571 Grok-Apps, die während der Untersuchung noch online waren, ohne Anmeldung zugänglich waren. Das entspricht 94,7 Prozent dieser Apps. Der Befund beschreibt den Zugang – nicht, dass jede erreichbare App vertrauliche Informationen enthielt. Clarocs Bericht nennt außerdem interne und persönliche Daten, die in einzelnen Apps sichtbar waren.
Was die Zahlen über Clarocs Test aussagen
Claroc identifizierte 43.601 Namen unter grok.me und prüfte 43.551 App-Adressen. Von diesen waren 37.571 noch online; 35.578 ließen sich ohne Anmeldung öffnen. Die übrigen 1.993 lieferten den Statuscode HTTP 401, den Claroc mit den Zugriffseinstellungen „Nur du“ oder „Eingeladene Nutzer“ in Verbindung brachte.
Claroc schätzte, dass etwa jede zehnte offene App sensible, interne geschäftliche oder persönliche Informationen enthielt. Rund zwei Prozent enthielten nach der Einschätzung des Unternehmens Informationen mit hohem oder kritischem Schweregrad. Zu den von Claroc beschriebenen Beispielen zählten interne Unterlagen von SpaceXSI und X, darunter eine vertrauliche Einarbeitungsplanung und eine Vertriebsgebietskarte mit 594 strategischen Kundenkonten. Claroc meldete außerdem interne Daten aus 30 weiteren Organisationen.
Warum Hostnamen über passives DNS auffindbar werden können
Passives DNS bezeichnet Sammlungen von DNS-Abfragen, über die sich aufgerufene Hostnamen später nachschlagen lassen. Claroc zufolge erhielt jede veröffentlichte Grok-App einen eigenen Hostnamen unter grok.me. Wird ein solcher Hostname per DNS abgefragt, kann er in einem passiven DNS-Index auftauchen. Zufällige Wörter im Hostnamen verhindern das nicht automatisch.
Ein nicht erratbarer Kennzeichner in einem URL-Pfad ist für DNS dagegen nicht sichtbar. Das macht den Pfad nicht unsichtbar für andere: Claroc weist darauf hin, dass Suchmaschinen oder Link-Scanner solche Adressen dennoch entdecken können.
| Linkstruktur | Was DNS sehen kann | Weitere von Claroc beschriebene Möglichkeit zur Entdeckung |
Eigener Hostname unter grok.me | Den abgefragten Hostnamen | Der Hostname kann in passiven DNS-Daten auffindbar werden. |
| Kennzeichner im URL-Pfad | Den Hostnamen, nicht den Pfad | Suchmaschinen oder Link-Scanner können die Adresse dennoch erfassen. |
Was Clarocs eigene Tests zeigten
Claroc prüfte Schreib- und Zugriffsrechte in zwei Apps, die das Unternehmen selbst mit erfundenen Daten angelegt hatte. In einem Test konnte ein Besucher ohne Anmeldung einen Kontakt hinzufügen. In einem anderen konnte sich ein nicht eingeladenes Google-Konto anmelden und Kundendatensätze ansehen, ändern und löschen.
Diese Aktionen fanden in Clarocs eigenen Test-Apps statt. Claroc erklärte, sich nicht bei Apps anderer Nutzer angemeldet, deren Formulare nicht abgeschickt und deren Daten nicht verändert zu haben.
Freigabeeinstellungen und die Reaktion von SpaceXSI
In Clarocs kostenpflichtigem Testkonto war im Veröffentlichungsfenster „Jeder mit dem Link“ vorausgewählt. Claroc berichtete zugleich, SpaceXSI habe einem Journalisten gesagt, dass Mitarbeiterkonten standardmäßig auf „Nur du“ eingestellt seien. Die Aussagen beziehen sich auf unterschiedliche Kontokontexte.
Claroc berichtete am 10. November 2026, SpaceXSI habe nach dem Hinweis des Unternehmens seine 24 von Mitarbeitern erstellten Apps entfernt. Apps anderer Nutzer seien zu diesem Zeitpunkt noch online gewesen.
Als Änderungen schlug Claroc unter anderem schwer zu erratende Pfade unter einem gemeinsamen Hostnamen, Zugriffsbeschränkungen auf Organisations-Domains und eine standardmäßige Freigabe „Nur du“ vor. Außerdem sollten Nutzer vor der Veröffentlichung sehen können, wer Zugriff hat, und einen Hinweis erhalten, wenn eine App eine Datenbank, aber keine Anmeldung verwendet.
