Eine am 20. September 2026 veröffentlichte Analyse des unabhängigen Forschers „Buchodi“ dokumentiert den Einsatz eines Cross-Site-Tracking-Cookies durch OpenAI. Das Cookie mit der Bezeichnung __obi verknüpft demnach Aktivitäten von Nutzern auf Websites externer Werbetreibender mit deren persönlichem ChatGPT-Konto.
Technischer Ablauf der Datenerfassung
Dem Untersuchungsbericht zufolge wird das Cookie von ChatGPT auf der Domain .openai.com mit einer Gültigkeit von einem Jahr (31.536.000 Sekunden) sowie den Konfigurationen SameSite=None und Secure gesetzt. Im technischen Ablauf generiert der ChatGPT-Client 16 Zufallsbytes.
Ein Aufruf an den Endpunkt POST /backend-api/bazaar/obi/sync-token liefert daraufhin ein RS256-JWT zurück, das eine Account-ID und einen 22 Zeichen langen obi-Code enthält und 60 Sekunden lang gültig ist. Dieses Token wird an bzr.openai.com/v1/obi/sync übermittelt und platziert das Cookie __obi.
Das zugehörige Pixel-SDK lädt Skripte über bzrcdn.openai.com/sdk/oaiq.min.js und übermittelt Daten an bzr.openai.com/v1/sdk/events. Die Erfassung geschieht über vier Kanäle: Angaben des Werbetreibenden (in), Formularfelder (fm), Seitentext (ht) und Tag-Manager (js).
In der Analyse wurden 685 automatisch ausgelesene gegenüber 255 von Werbetreibenden übermittelten Ereignissen registriert; eine automatische Erkennung war bei 638 von 881 Pixeln aktiv.
Zu den erfassten Parametern zählen gehashte E-Mail-Adressen, Telefonnummern und Namen sowie Land, Region, Stadt und Postleitzahl im Klartext. Nicht erfasst werden Passwörter, Einmalcodes, Kartennummern, Geburtsdaten, Diagnosen und Gerichtsakten.
Wer sich mit der zunehmenden Datenerfassung im Internet befasst, sollte besonders auf die Absicherung seiner mobilen Geräte achten. Dieser kostenlose PDF-Ratgeber zeigt Ihnen 5 einfache Maßnahmen, um Ihr Smartphone effektiv vor unerwünschten Zugriffen zu schützen. 5 sofort umsetzbare Schutzmaßnahmen entdecken
Reichweite und untersuchte Websites
Die Untersuchung basiert auf 936 OpenAI-Werbepixeln auf 1.029 Hostnames und 23.929 beobachteten URLs. Von 932 dekodierten Tokens entfielen 736 auf angemeldete Nutzerkonten und 196 auf anonyme Sitzungen, wobei anonyme IDs über mindestens 27 Tage stabil blieben. URL-Pfade blieben trotz entfernter Abfrage-Zeichenketten sichtbar, darunter Adressen medizinischer Angebote, von Schuldendiensten und Formularen zu Rechtsstreitigkeiten.
Auf einem Testgerät wurde derselbe Wert des Cookies von zwölf kommerziellen Websites über 13 Pixel übertragen, darunter Chewy, Wayfair, ThriftBooks, Eventbrite, HelloFresh, Coursera und SeatGeek. Am 21. September 2026 wurde das Messpixel laut Berichten zudem auf der Plattform wayfair.com nachgewiesen.
Neben Tracking-Cookies stellen oft auch herkömmliche Passwörter ein erhebliches Sicherheitsrisiko dar, da sie leicht entwendet werden können. Erfahren Sie in diesem Gratis-Report, wie Sie mit der neuen Passkey-Technologie Ihre Konten bei Amazon, WhatsApp und Co. ohne Passwort-Stress absichern. Kostenlosen Passkey-Ratgeber herunterladen
Reaktionen und technische Einschränkungen
In der am 10. September 2026 aktualisierten Cookie-Richtlinie von OpenAI ist __obi als einziges Analyse-Cookie mit einjähriger Laufzeit und der Einstellung SameSite=None verzeichnet. OpenAI erklärte dazu, dass Werbetreibende keine Chats oder Verläufe erhielten, und stufte das Cookie als Analysewerkzeug ein.
Anfragen des Forschers vom 14. September 2026 blieben unbeantwortet. Laut Analyse enthielt das Token neben der Kontoverknüpfung den Status analytics_allowed; Synchronisations-Tokens traten demnach auch bei verweigerter Marketing-Einwilligung auf.
Die Untersuchung verweist zugleich auf methodische Grenzen: Eine serverseitige Verknüpfung mit dem ChatGPT-Konto wurde nicht direkt beobachtet, und rund eine von fünf Sitzungen generierte ein entsprechendes Sync-Token. Getestet wurde ausschließlich Chrome unter Android. Browser wie Firefox, Brave und Safari blockieren derartige Drittanbieter-Cookies, während Chrome und Edge dies standardmäßig nicht tun.
Hintergrund sind die Werbeformate des Anbieters: ChatGPT-Anzeigen starteten am 9. Februar für US-Nutzer der Pläne Free und Go zu Preisen von rund 60 US-Dollar pro 1.000 Impressionen bei einem Mindestbudget von 200.000 US-Dollar. Nach einer Ausweitung bis Mai auf 31 europäische Länder laufen die Anzeigen seit dem 24. August 2026 auch in Deutschland in den Einstiegskonten, wo eine Entfernung nur über Bezahlpläne vorgesehen ist.
