Der zum Meta-Konzern gehörende Messenger-Dienst WhatsApp hat am 18. Oktober 2026 versteckte Anweisungsblöcke für seinen Support-Chatbot aus dem Quellcode seiner Hilfeseiten entfernt. Nach Angaben des Unternehmens handelte es sich bei der Veröffentlichung der internen Vorgaben um einen technischen Fehler.
Zuvor war bekannt geworden, dass im Code der Webseiten detaillierte Instruktionen enthalten waren, die die Antworten des automatisierten Kundendienstes bei sensiblen Datenschutzthemen gezielt einschränken sollten.
Interne Vorgaben im Quellcode entdeckt
Entdeckt wurden die Textpassagen am 8. Oktober 2026 durch das Unternehmen Redact, dessen Analyse am 19. Oktober 2026 publiziert wurde. Demnach befanden sich insgesamt 102 versteckte Anweisungsblöcke auf 80 von 545 untersuchten englischsprachigen Seiten des WhatsApp-Hilfebereichs.
Die Instruktionen waren in der HTML-Komponente mit der Bezeichnung HelpContentGalaxyLLMInclude hinterlegt. Während eine Archivkopie vom 12. Juli 2026 die entsprechenden Hinweise noch nicht aufwies, ließen sich diese in einer Version vom 4. September 2026 bereits nachweisen.
Noch am 15. Oktober 2026 um 21:40 UTC waren die Textblöcke auf den betroffenen Seiten abrufbar. Die vollständige Entfernung aller 102 Blöcke erfolgte bis zum 18. Oktober 2026 um 02:08 UTC, nachdem Medienanfragen an den Konzern gerichtet worden waren.
Bei einer Untersuchung von rund 300 Hilfeseiten der Schwesterplattformen Facebook und Instagram fand Redact-Gründer Dan Saltman nach Unternehmensangaben keine vergleichbaren Einträge. Nach Feststellung von Redact wurden die Texte zwar an Crawler von Google und Bing ausgeliefert, jedoch nicht an simulierte Crawler von OpenAI, Anthropic oder Perplexity.
Wer sich angesichts solcher Berichte Sorgen um seine Privatsphäre macht, kann mit diesem kostenlosen Ratgeber in nur fünf Minuten auf eine datenschutzfreundliche Alternative umsteigen. In 5 Minuten weg von WhatsApp: So chatten Sie ab sofort völlig anonym
Restriktionen rund um Datenschutz und Behördenkontakte
Die im Quellcode verborgenen Passagen formulierten strikte Vorgaben dafür, wie der automatisierte Assistent auf Nutzeranfragen reagieren sollte. Auf einer Hilfeseite zum Thema Kontolöschung war dem Chatbot unter anderem untersagt worden, Betroffenen die Kontaktaufnahme zu Datenschutzbehörden, Regulierern oder Aufsichtsstellen zu empfehlen. Zudem sollte das System keine manuelle Kontolöschung andeuten.
Auf Seiten zu Meldungen und Blockierungen wiesen die Instruktionen das System an, im Falle von Erwähnungen von Rechtsthemen, Anwälten oder Klagen keine Datenschutzgesetze wie die europäische Datenschutz-Grundverordnung, das brasilianische Datenschutzgesetz LGPD oder den kalifornischen CCPA zu zitieren.
Das System sollte weder Rechtsberatung leisten noch laufende Klagen thematisieren. Diese Vorgaben stehen in einem Spannungsverhältnis zur offiziellen Datenschutzerklärung von WhatsApp, die Nutzern ausdrücklich Beschwerden bei zuständigen Aufsichtsbehörden zugesteht.
Dass große Messenger-Dienste im Hintergrund Daten verarbeiten, verunsichert viele Nutzer – dieser kostenlose Report zeigt, wie Sie ohne neugierige Mitleser sicher und komfortabel mit Ihren Liebsten chatten. Sichere Alternative zu WhatsApp: Jetzt kostenlosen Report anfordern
Technische Einordnung und Reaktionen
Gegenüber dem Magazin WIRED bestätigte WhatsApp-Sprecher Joshua Breckman, dass die betroffenen Anweisungen für das System WhatsApp Support with AI bestimmt gewesen seien und der Vermeidung unerwünschter Rechtsberatung dienen sollten.
Der Sprecher erklärte, dass die Instruktionen ausschließlich an das System und nicht an die Endnutzer gerichtet gewesen seien. Das Vorhandensein der Texte im frei einsehbaren Code der Hilfeseiten sei auf einen Bug zurückzuführen, der inzwischen behoben worden sei.
Ob und in welchem Umfang das KI-System diese Vorgaben in den tatsächlichen Konversationen mit Nutzern befolgte oder ob zeitgleich die private Systemkonfiguration modifiziert wurde, prüfte Redact im Rahmen der Untersuchung nicht. Auch bleibt ungeklärt, über welchen Zeitraum die Anweisungen öffentlich einsehbar waren und ob Drittparteien Zugriff darauf nahmen. Die Textfragmente bleiben derweil in Webarchiven weiterhin abrufbar.