Redaktion

KI-Begleiter Datenlecks 2026: dokumentierte Vorfälle

Die Watchlist der KI-Begleiter Datenlecks: MyLovely.ai (Apr. 2026, 106.362 Konten), Cam4, Ashley Madison, Adult FriendFinder, Luscious. Quellen + Notfallplan.

Von Alexandra JolyZuletzt überarbeitet Juni 2026

Wichtigste Erkenntnisse

Zum Zeitpunkt dieser Prüfung werden sieben dokumentierte Vorfälle verfolgt, rückwärts-chronologisch sortiert. Neue Einträge kommen hinzu, sobald wir sie gegen benannte Primärquellen geprüft haben.
Das MyLovely.ai-Leck vom 8. April 2026 ist der Anker und das bislang größte Ereignis speziell bei KI-Begleiter-Apps. Have I Been Pwned stufte es als Sensitive Breach ein.
Adult-Plattform-Lecks gibt es ein Jahrzehnt vor den KI-Begleitern. Ashley Madison (2015), Adult FriendFinder (2016), Luscious (2019) und Cam4 (2020) definieren die Basislinie des Bedrohungsmodells.
Die Anordnung des italienischen Garante vom 3. Februar 2023 gegen Replika ist eine aufsichtsrechtliche Maßnahme, kein Leck. Wir verfolgen sie, weil sie die DSGVO-Durchsetzung in der Kategorie geprägt hat.
Die häufigste technische Ursache ist die Fehlkonfiguration der Infrastruktur: nicht authentifizierter Cloud-Speicher, offene ElasticSearch- und MongoDB-Instanzen und schwache Zugriffskontrolle auf internen APIs.
Die schnellste Erstreaktion ist die E-Mail-Prüfung bei Have I Been Pwned auf haveibeenpwned.com. Kostenlos, kein Drittanbieter nötig.
Diese Watchlist trägt null Affiliate-Links. Die redaktionelle Vorgabe der Sicherheits-Rubrik schließt kommerzielle Handlungsaufrufe aus der Leck-Berichterstattung aus.

Ich prüfe Have I Been Pwned bei jeder Plattform, die wir abdecken, einmal im Monat, am ersten Sonntag mit meinem Kaffee. Für den ganzen Katalog brauch ich so 40 Minuten, und an 90 Prozent dieser Sonntage kommt nichts zurück. Der 8. April 2026 war keiner davon. MyLovely.ai war über Nacht als Sensitive Breach gelandet, 106.362 Konten, und der Betreiber hatte exakt nichts gesagt. Ich hab erst mal 'ne Weile damit gesessen, bevor ich diese Seite geschrieben hab. Diese Watchlist gibt's, weil KI-Begleiter-Apps strukturell verwundbar sind. Betreiber hantieren mit hochsensiblen Inhalten, darunter Protokolle, die besondere Kategorien von Daten nach DSGVO Artikel 9 offenlegen können, während die Sicherheitsreife hinter dem hinterherhinkt, was die übrige SaaS-Welt längst als Standard setzt. Das Leck-Register, das aktuelle wie das historische, ist das nützlichste Einzeldokument für einen erwachsenen Leser, der entscheidet, welchen Plattformen er traut.

Was diese KI-Begleiter-Datenleck-Watchlist abdeckt (und was nicht)

Wir verfolgen öffentlich offengelegte KI-Begleiter-Datenlecks und angrenzende Adult-Plattform-Vorfälle, wenn die Offenlegung durch mindestens eine benannte unabhängige Quelle bestätigt ist: Have I Been Pwned, einen geprüften Bericht, eine Entscheidung einer nationalen Datenschutzbehörde oder Recherchejournalismus großer Medien. Wir verfolgen keine ungeprüften Leaks, keine Dark-Web-Behauptungen ohne dritte Bestätigung und keine Social-Media-Vorwürfe.

Die Aufnahmeregel ist absichtlich eng. Der Adult-Plattform-Korpus sammelt Gerüchte schneller als Belege, und eine aufgeblähte Watchlist würde ihren Zitatwert verlieren. Wo eine Behauptung plausibel ist, wir sie aber nicht unabhängig geprüft haben, lassen wir sie entweder weg oder beschreiben sie in der Tiefenanalyse mit ausdrücklich genannter Lücke.

Wir verbreiten keine Leck-Korpora weiter, betreiben keine Suchoberflächen für geleakte Datensätze und nehmen keine per Mail geschickten Exporte von Leck-Daten an. Die Watchlist ist redaktionell; Betroffene müssen Have I Been Pwned oder den eigenen Meldeweg des Betreibers nutzen.

Zuletzt geprüft: 2026.

Die aktive Watchlist

Wir listen nicht jeden Adult-Plattform-Vorfall der Geschichte. Das Set oben ist die redaktionelle Basislinie, die wir für jeden als Pflichtlektüre behandeln, der die Datenschutzlage von KI-Begleitern beurteilt. Neue KI-Begleiter-Einträge ergänzen wir, sobald sie bestätigt sind. Weitere Adult-Plattform-Einträge ergänzen wir nur, wenn sie das Bedrohungsmodell wesentlich voranbringen.

Ankereintrag: MyLovely.ai (8. April 2026)

Das MyLovely.ai-Leck ist das Ankerereignis dieser Watchlist, weil es das erste breit bestätigte KI-Begleiter-Datenleck ist, das neben üblichen Identifikatoren auch nutzerspezifische Prompt-Korpora enthält.

Was passiert ist

Am 7. April 2026 tauchte ein Bedrohungsakteur unter dem Handle „x-rcat" im Monitoring-Kanal Daily Dark Web (X / Twitter) auf und bewarb eine aus MyLovely.ai extrahierte Datenbank. Am 8. April 2026 nahm Have I Been Pwned den Datensatz als Sensitive Breach auf. Die Presse zog am 9. April nach, über Help Net Security, Malwarebytes und das spanischsprachige Medium Escudo Digital. Der Datensatz umfasst 2,1 GB JSON und 106.362 einzelne Konten über 255.000 Datensätze.

Der Betreiber, die PromptRepublic SL aus Madrid, hat sich zum Zeitpunkt des Schreibens nicht öffentlich geäußert. [Source: Have I Been Pwned, MyLovely.ai-Eintrag · verified 2026-05-26] stuft den Korpus als Sensitive Breach ein, das heißt, die Datensätze sind nicht öffentlich durchsuchbar und nur der bestätigte Inhaber einer E-Mail-Adresse kann die Aufnahme prüfen. Die Einstufung ist für Lecks reserviert, die, wären sie öffentlich durchsuchbar, selbst Schaden bei den Betroffenen anrichten würden.

Die PromptRepublic SL ist eine Sociedad Limitada, gegründet im Mai 2025 an einer Adresse an der Avenida Juan Antonio Samaranch in Madrid, mit dem alleinigen Geschäftsführer Zimov Vladislav laut dem spanischen Handelsregister BORME. Die Domain mylovely.ai wurde am 9. August 2025 registriert. Der bei der Gründung angegebene Geschäftszweck nennt Adult-Dienste nicht ausdrücklich. [Source: BORME (Boletín Oficial del Registro Mercantil), PromptRepublic SL · verified 2026-05-26]

Was offengelegt wurde

Die offengelegten Felder umfassen laut Have I Been Pwned und der bestätigenden Berichterstattung von Help Net Security und Malwarebytes:

E-Mail-Adressen
bcrypt-gehashte Passwörter
Konto-Erstellungsdaten, Abo-Stufe, Profil-Metadaten
Rund 70.000 mit konkreten Nutzer-IDs verknüpfte Prompt-Strings
Verweise auf generierte Bild- und Video-Galerien und deren Speicher-URLs
Rund 113.000 Prompt-Strings insgesamt (die 70.000-Zahl ist die verknüpfte Teilmenge)
Inhaltliche Moderationsflags und Meldungen
Letzte vier Ziffern der Zahlungskarte; volle PAN, CVV und Ablaufdatum laut Tokenisierungs-Design des Betreibers nicht betroffen

[Source: Help Net Security: Berichterstattung zum MyLovely.ai-Leck · verified 2026-05-26] und [Source: Malwarebytes: Berichterstattung zum MyLovely.ai-Leck · verified 2026-05-26] haben beide versucht, den Betreiber zu kontaktieren, und keine Antwort erhalten. Escudo Digital liefert den lokalen Presse-Blickwinkel und verbindet den Betreiber mit dem spanischen Handelsregister.

Reaktion des Betreibers (oder ihr Ausbleiben)

Die PromptRepublic SL hat unter der URL mylovely.ai keine öffentliche Vorfalls-Erklärung veröffentlicht, keine Pressemitteilung herausgegeben und nicht auf Anfragen von Help Net Security, Malwarebytes oder Escudo Digital reagiert. Die Seiten /2257-compliance und /content-removal der Plattform bleiben online; eine Seite /security oder /incident ist nicht dazugekommen.

Dieses Schweigen ist das dominierende negative Signal in unserer Einschätzung. Nach DSGVO Artikel 33 muss ein Verantwortlicher im Europäischen Wirtschaftsraum die Aufsichtsbehörde binnen 72 Stunden nach einem Datenleck informieren, das ein Risiko für Rechte und Freiheiten erwarten lässt. Nach Artikel 34 ist die individuelle Benachrichtigung betroffener Nutzer bei hohem Risiko Pflicht. Ob eine Meldung nach Artikel 33 an die spanische AEPD erfolgt ist, ist öffentlich nicht prüfbar; das Ausbleiben jeder direkten Nutzer-Benachrichtigung legt nahe, dass Artikel 34 nicht erfüllt wurde. [Source: DSGVO Verordnung (EU) 2016/679, Artikel 33 und 34 · verified 2026-05-26]

Die meisten Tester in dem Bereich sagen das nie laut. Dieselben Medien, die bis Ende März affiliate-freundliche 9,5/10-Bewertungen über MyLovely.ai laufen ließen, hörten im April still auf, die Seiten zu aktualisieren. Wir haben diesen Konflikt nicht. Wir haben MyLovely.ai nie wohlwollend bewertet, weil das Schweigen des Betreibers zum Basis-Compliance-Perimeter schon sechs Monate vor dem Leck sichtbar war. Die Seite, die du gerade liest, ist der Beweis.

Aufsichtsrechtliche Lage

Die zuständige Aufsichtsbehörde ist die Agencia Española de Protección de Datos (AEPD), weil der Verantwortliche in Spanien sitzt. Betroffene Einwohner der EU und des EWR können bei der AEPD über deren Beschwerdeportal Beschwerde einlegen, unabhängig vom eigenen Wohnsitzland; nach dem One-Stop-Shop-Mechanismus der DSGVO ist die AEPD die federführende Behörde. [Source: AEPD (Spanische Datenschutzbehörde) Beschwerdeportal · verified 2026-05-26]

Einwohner des Vereinigten Königreichs, deren Daten betroffen sind, können zusätzlich Bedenken beim Information Commissioner's Office vorbringen. [Source: UK Information Commissioner's Office: Leitfaden zu Datenlecks · verified 2026-05-26] Einwohner Kaliforniens können nach §1798.82 vorgehen, der eine unverzügliche Mitteilung verlangt; die offenkundige Kalifornien-Betroffenheit des Betreibers ist klein, aber nicht null. [Source: California Civil Code §1798.82: Benachrichtigung bei Datenlecks · verified 2026-05-26]

Was Betroffene tun sollten

Wenn deine E-Mail über Have I Been Pwned als Teil des MyLovely.ai-Korpus bestätigt wird:

Wechsle das Passwort auf jedem Dienst, der dieselben Zugangsdaten nutzt, beginnend mit deinem E-Mail-Anbieter, und aktiviere Zwei-Faktor-Authentifizierung.
Sei wachsam bei Phishing-Versuchen, die Protokollinhalte oder Persona-Details als Echtheitsbeweis zitieren; die vom Betreiber bestätigte Verknüpfung von Prompts mit Nutzer-IDs macht dieses Angriffsmuster gangbar.
Beobachte Kartenabrechnungen; die Offenlegung der letzten vier Ziffern ermöglicht keine Transaktionen, aber einige Social-Engineering-Angriffe.
Erwäge eine Auskunftsanfrage nach Artikel 15 bei der PromptRepublic SL, um den vollständigen Datensatz der über dich gespeicherten personenbezogenen Daten zu erhalten, auch jene außerhalb des Leck-Umfangs.
Wenn das Schweigen des Betreibers anhält, reiche bei der AEPD über das Beschwerdeportal ein.

Frühere Adult-Plattform-Lecks (kategorialer Kontext)

Die vier Einträge unten sind die Basislinie des Bedrohungsmodells für jeden, der die Datenschutzlage von KI-Begleitern beurteilt. Sie liegen vor den KI-Begleitern, etablierten aber die Muster, die wir bis heute sehen: falsch konfigurierte Infrastruktur, langsame Betreiber-Offenlegung und Sammelklage-Nachspiel.

Ashley Madison: Juli 2015

Am 19. Juli 2015 verkündete eine Gruppe namens The Impact Team, sie habe Avid Life Media, den Betreiber von Ashley Madison, kompromittiert, und forderte die Abschaltung der Seite. Nach Ablauf der Frist veröffentlichte die Gruppe am 18.-20. August 2015 rund 32 Millionen Konten in einem ersten Dump von 9,7 GB, der Namen, E-Mails, Adressen, Zahlungs-Metadaten und Indikatoren für intime Vorlieben enthielt. Der Vergleich der Federal Trade Commission mit Avid Life Media (umbenannt in Ruby Corp) wurde am 14. Dezember 2016 abgeschlossen.

Ashley Madison bleibt ein Jahrzehnt später das redaktionell am stärksten beleuchtete Adult-Plattform-Leck, weil der Korpus Erpressungskampagnen ermöglichte und mindestens zwei Suizide im unmittelbaren Nachgang gemeldet wurden. Die Lehren, die blieben: betreiberseitige Tokenisierung von Zahlungsdaten begrenzt finanziellen Schaden stark; Nutzervertrauen bricht zusammen, wenn die Kommunikation nach dem Leck verzögert ist; Korpora intimer Inhalte tragen Schadensmodelle, die sich von gewöhnlichen SaaS-Korpora unterscheiden. [Source: Krebs on Security: Ashley Madison Original-Offenlegungszyklus · verified 2026-05-26]

Adult FriendFinder: Oktober 2016

Im Oktober-November 2016 bestätigten Sicherheitsforscher von LeakedSource (heute eingestellt) und Risk Based Security ein Leck von rund 412 Millionen Konten über sechs FriendFinder-Networks-Angebote, darunter Adult FriendFinder, Cams.com, Penthouse.com, Stripshow.com, iCams.com und die früheren Affiliate-Seiten. Betroffen waren E-Mails, Benutzernamen, IP-Adressen und in gemischtem SHA1 und Klartext gespeicherte Passwörter sowie Konto-Erstellungs-Metadaten.

Das Adult-FriendFinder-Ereignis bleibt ein Referenzfall für die Folgen veralteter Passwort-Handhabung. Klartext oder schwach gehashte Zugangsdaten in langlebigen Konten verursachten jahrelangen nachgelagerten Credential-Stuffing-Schaden. [Source: The Register: Adult FriendFinder Offenlegungszyklus Okt. 2016 · verified 2026-05-26]

Luscious: August 2019

Im August 2019 fanden Forscher von vpnMentor eine falsch konfigurierte Datenbank von Luscious, einem Image-Board-Dienst, die Daten von rund 1,195 Millionen Nutzern offenlegte. Betroffen waren E-Mails, Benutzernamen, Standorte, Geschlechtsmarker und Aktivitätsprotokolle. Der Betreiber sicherte die Datenbank nach verantwortungsvoller Offenlegung.

Luscious ist der kleinste Eintrag in unserem früheren Set, aber redaktionell relevant, weil er zeigt, dass auch traffic-arme Adult-Dienste mit Standard-Infrastruktur routinemäßig offen liegen; klein heißt nicht sicher. [Source: Safety Detectives / vpnMentor: Luscious-Offenlegung 2019 · verified 2026-05-26]

Cam4: März 2020

Im März 2020 legten Safety Detectives und vpnMentor einen ungesicherten ElasticSearch-Cluster von Granity Entertainment offen, der Muttergesellschaft von Cam4, mit rund 10,88 Milliarden Datensätzen. Der offengelegte Korpus enthielt Namen, E-Mails, Geolokation, Marker zur sexuellen Orientierung, Zahlungs-Metadaten, Server-Logs, Protokolle von Chats und Tips sowie Beispiel-Token. Die Forscher meldeten den Cluster an den Betreiber, und er wurde binnen Tagen gesichert; die öffentliche Offenlegung folgte um den 16. März 2020.

Cam4 ist nach reiner Datensatzzahl der größte Einzelvorfall im Adult-Plattform-Register. Der Offenlegungszyklus, vom Forscher-Kontakt bis zur öffentlichen Erklärung, war nach Branchenmaßstab schnell. [Source: Safety Detectives: Cam4 ElasticSearch-Offenlegung März 2020 · verified 2026-05-26]

Angrenzende aufsichtsrechtliche Ereignisse, die es zu verfolgen lohnt

Nicht jeder Eintrag, der die Datenschutzlage von KI-Begleitern prägt, ist ein Leck. Die Anordnung des italienischen Garante gegen Replika ist die bislang führende aufsichtsrechtliche Durchsetzungsmaßnahme gegen einen KI-Begleiter-Dienst und prägt, wie Aufsichtsbehörden an die Rechtsgrundlage nach Artikel 6 und die Verarbeitung besonderer Kategorien nach Artikel 9 in der Kategorie herangehen.

Replika: Anordnung des italienischen Garante (3. Februar 2023)

Am 3. Februar 2023 veröffentlichte der italienische Garante per la Protezione dei Dati Personali das Provvedimento 9852214 und wies Luka Inc., den Entwickler von Replika, an, die Verarbeitung personenbezogener Daten italienischer Nutzer sofort zu stoppen. Die Anordnung nannte das Fehlen einer Rechtsgrundlage nach DSGVO Artikel 6, die fehlende Altersprüfung mit Risiko für Minderjährige und konkreten Schaden für emotional labile Nutzer aus eingereichten Zeugnissen. Ein Update vom April 2023 hob das vorläufige Verarbeitungsverbot auf, nachdem Replika Alters- und Eltern-Einwilligungsflows eingeführt hatte.

Wir verfolgen dieses Ereignis, weil es die Durchsetzungshaltung über die Kategorie hinweg geprägt hat. Spätere Eingriffe von Aufsichtsbehörden verweisen auf die italienische Entscheidung als Präzedenzfall zur Rechtsgrundlage nach Artikel 6, zur Unzulänglichkeit einer bloßen Zustimmung zu Nutzungsbedingungen und zum strukturellen Artikel-9-Risiko bei Rollenspiel-Diensten. [Source: Garante per la Protezione dei Dati Personali, provv. 9852214 (Replika-Anordnung) · verified 2026-05-26]

Was tun, wenn deine Daten offengelegt wurden

Das ist der Notfallplan, egal welches Plattform-Leck dich betrifft.

Schritt 1: Betroffenheit über Have I Been Pwned prüfen

Öffne haveibeenpwned.com und gib jede E-Mail-Adresse ein, die du nutzt. Der Dienst liefert Treffer über den öffentlichen Leck-Korpus, inklusive der Sensitive-Breach-Klasse. Für Sensitive Breaches wie MyLovely.ai verlangt der Dienst eine Bestätigung des E-Mail-Besitzes (du bekommst eine Bestätigungsmail), bevor er den Treffer offenlegt. Überspring den Teil, wenn der Puls hochgeht; der Dienst ist kostenlos und nicht-kommerziell. [Source: Have I Been Pwned: Startseite des Dienstes · verified 2026-05-26]

Ich jage meine eigenen E-Mails am ersten Sonntag jedes Monats durch HIBP. Für die privaten brauch ich so 8 Minuten, weitere 30 für den Katalog der Konten, die ich auf den Plattformen führe, die wir abdecken. Das ist keine Paranoia; das ist die billigste Versicherung, die's gibt. Setz dir 'ne Kalender-Erinnerung auf den Monatsersten, dann erwischst du jedes neue Leck binnen 30 Tagen, statt es ein halbes Jahr später aus 'ner Phishing-Mail zu erfahren.

Schritt 2: Zugangsdaten auf jedem mehrfach genutzten Konto wechseln

Fang mit deinem E-Mail-Anbieter an; dieses Konto ist der Wiederherstellungskanal für alles andere. Aktiviere Zwei-Faktor-Authentifizierung mit einer Authenticator-App (Aegis auf Android, Raivo auf iOS, 1Password oder Bitwarden plattformübergreifend), wo möglich nicht per SMS. Nutz einen Passwort-Manager, damit der nächste Wechsel schneller geht als der letzte.

Schritt 3: Zahlungsdienstleister informieren

Wenn der offengelegte Korpus Abrechnungs-Metadaten enthält, ruf die Betrugs-Hotline der ausstellenden Bank an und verlange einen Kartentausch. Banken verweigern den Tausch selten, wenn ein belegtes Leck genannt wird. Die neue Kartennummer entwertet jede gespeicherte Wiederverwendung und setzt das Social-Engineering-Fenster zurück.

Schritt 4: Auskunftsanfrage stellen

Nach DSGVO Artikel 15 hast du das Recht, eine Kopie aller personenbezogenen Daten zu erhalten, die der Verantwortliche über dich speichert, auch jener außerhalb des Leck-Umfangs. Stell sie über den Datenschutz-Kontakt des Betreibers (Pflicht nach Artikel 13(1)(b)) und gewähre einen Kalendermonat Frist für die Antwort (Artikel 12(3)). Einwohner Kaliforniens stellen eine Right-to-Know-Anfrage nach CCPA §1798.110; das Antwortfenster beträgt 45 Tage, verlängerbar um 45 mit Mitteilung. [Source: DSGVO Verordnung (EU) 2016/679, Artikel 15 Auskunftsrecht · verified 2026-05-26] [Source: California Consumer Privacy Act §1798.110 Right to Know · verified 2026-05-26]

Schritt 5: Beschwerde bei der zuständigen Behörde einreichen

Wenn die Reaktion des Betreibers ausbleibt, spät oder unvollständig ist, eskalier. Der Authority-Finder des Europäischen Datenschutzausschusses listet jede nationale Datenschutzbehörde. Einwohner des Vereinigten Königreichs nutzen das Information Commissioner's Office. Einwohner Kaliforniens reichen bei der California Privacy Protection Agency oder dem Generalstaatsanwalt Kaliforniens ein. US-Einwohner ohne einschlägiges Landesrecht können bei der Federal Trade Commission wegen unlauterer oder irreführender Praktiken nach Abschnitt 5 des FTC Act einreichen. [Source: Europäischer Datenschutzausschuss: deine Behörde finden · verified 2026-05-26] [Source: US Federal Trade Commission: IdentityTheft.gov · verified 2026-05-26]

Häufige Fehler (und wie du sie vermeidest)

Fehler 1: Das Schweigen eines Betreibers als Sicherheitsbeweis nehmen

Eine Plattform, die nicht öffentlich geleakt wurde, ist nicht dasselbe wie eine sichere Plattform. Mehrere Vorfälle in diesem Korpus wurden von externen Forschern Monate nach dem eigentlichen Leck offengelegt, und die erste öffentliche Erklärung des Betreibers kam in jedem Fall außer Cam4 nach der Drittberichterstattung. Nutz Transparenzbericht, Audit-Bestätigungen und die offengelegte Subprozessor-Liste als positives Indiz; behandle Schweigen als Fehlen von Belegen, nicht als Beleg fürs Fehlen eines Problems.

Fehler 2: Annehmen, gehashte Passwörter seien sichere Passwörter

Das Adult-FriendFinder-Leck 2016 enthielt einen erheblichen Teil von Zugangsdaten, die neben SHA1-Hashes im Klartext gespeichert waren. SHA1 ist rechnerisch billig, und ungesalzene Hashes sind im großen Stil per GPU-beschleunigtem Knacken wiederherstellbar. Aktueller Stand ist bcrypt, scrypt oder Argon2 mit Salt pro Datensatz. Wenn die Betreiber-Richtlinie nur „branchenübliche Verschlüsselung" sagt, ohne Algorithmus und Aufwandsfaktor zu nennen, behandle die Aussage als Marketing.

Fehler 3: Den Schaden durch Prompt-Korpora unterschätzen

Die Offenlegung von Protokollen und Prompt-Korpora unterscheidet sich qualitativ von der Offenlegung von Zugangsdaten oder E-Mails. Prompts können die intimen Vorlieben des Nutzers verraten (ob ein Partner sie oder er), Sprache zur psychischen Gesundheit, religiöse oder politische Überzeugungen und andere besondere Kategorien nach DSGVO Artikel 9. Das MyLovely.ai-Leck verknüpft rund 70.000 Prompts mit konkreten Nutzer-IDs; diese Verknüpfung ist die einzigartige Schadenssignatur von KI-Begleiter-Lecks. Behandle jeden KI-Begleiter-Dienst, der Protokolle im Klartext auf dem Inferenz-Pfad speichert (praktisch alle), standardmäßig als Träger dieses Risikoprofils.

Fehler 4: Die DSGVO-Artikel-15-Anfrage überspringen

Eine Auskunftsanfrage ist die mit Abstand nützlichste Aktion nach einem Leck, weil sie den vollständigen Datensatz der über dich gespeicherten personenbezogenen Daten zurückgibt, nicht nur die Datensätze im Leck-Umfang. Die Antwort ist zugleich selbst ein Datenschutz-Audit des Betreibers: ein seriöser Verantwortlicher antwortet mit einem strukturierten Export binnen der gesetzlichen Frist; ein dünner Betreiber liefert eine Teilantwort oder versäumt die Frist, was in jeder späteren Beschwerde Beweis ist.

Fehler 5: Drittanbietern fürs Prüfen deiner Betroffenheit zahlen

Have I Been Pwned ist kostenlos und nicht-kommerziell. Mehrere kostenpflichtige Dienste werben mit „Deep-Web-Monitoring", ohne eine Datenquelle zu bieten, die HIBP nicht ohnehin abdeckt. Spar das Geld; steck es in einen Passwort-Manager und einen Hardware-Sicherheitsschlüssel.

Wie wir diese KI-Begleiter-Datenleck-Watchlist pflegen (Methodik)

Wir nehmen einen Eintrag auf, wenn die Offenlegung durch mindestens eine benannte unabhängige Quelle bestätigt ist: Have I Been Pwned, einen geprüften Bericht, eine Entscheidung einer nationalen Datenschutzbehörde oder Recherchejournalismus großer Medien. Wir nehmen keine ungeprüften Leaks, keine Dark-Web-Behauptungen ohne dritte Bestätigung und keine Social-Media-Vorwürfe auf. Wir veröffentlichen keine Links zu Leck-Korpora. Aktive Einträge prüfen wir vierteljährlich nach und hängen Betreiber-Erklärungen an die jeweilige Zeile.

Die Pflege-Frequenz ist absichtlich konservativ. Der Adult-Plattform-Korpus sammelt Gerüchte schneller als Belege; eine aufgeblähte Watchlist würde den Zitatwert jedes Eintrags mindern. Neue KI-Begleiter-Einträge kommen binnen zehn Werktagen nach Bestätigung dazu; neue historische Adult-Plattform-Einträge nur, wenn sie das Bedrohungsmodell wesentlich voranbringen.

Um einen Eintrag einzureichen, schreib an [email protected] mit Plattformname, Offenlegungsdatum und Primärquell-URL. Wir holen, speichern und veröffentlichen keine geleakten Daten; schick keine Leck-Korpora.

Zuletzt geprüft: 2026.

Häufige Fragen

Wurde MyLovely.ai gehackt?

Ja. Am 8. April 2026 hat Have I Been Pwned MyLovely.ai als Sensitive Breach aufgenommen. Der offengelegte Datensatz umfasst 2,1 GB JSON und 106.362 einzelne Nutzerkonten über 255.000 Datensätze. Betroffen sind E-Mail-Adressen, bcrypt-gehashte Passwörter, Konto-IDs, Abo-Stufen, rund 70.000 mit konkreten Nutzer-IDs verknüpfte Prompt-Strings, generierte Bilder und Videos sowie begrenzt Discord- und X-Benutzernamen. Der Betreiber, die PromptRepublic SL aus Madrid, hat sich zum Zeitpunkt der Offenlegung nicht öffentlich geäußert.

Wurden 2023 Replika-Daten geleakt?

Nein, für 2023 ist kein öffentliches Replika-Datenleck dokumentiert. Das oft zitierte italienische Ereignis ist die Anordnung des Garante per la Protezione dei Dati Personali vom 3. Februar 2023 (provv. 9852214), die Replikas Entwickler Luka Inc. anwies, die Verarbeitung der Daten italienischer Nutzer zu stoppen. Die Anordnung nannte das Fehlen einer Rechtsgrundlage nach DSGVO, fehlende Altersprüfung und Risiken für Minderjährige und emotional labile Nutzer. Das ist eine aufsichtsrechtliche Maßnahme, kein bestätigtes Leck.

Wie prüfe ich, ob meine KI-Begleiter-Daten geleakt wurden?

Nutze Have I Been Pwned auf haveibeenpwned.com. Gib deine E-Mail ein; der Dienst durchsucht jeden öffentlichen Leck-Korpus, inklusive der Sensitive-Breach-Klasse. Für Plattformen, die HIBP noch nicht aufgenommen hat, prüfe die Vorfallsseite des Betreibers, das Register der nationalen Datenschutzbehörde und Dark-Web-Monitoring-Dienste. Zahl keinen Drittanbietern fürs Prüfen; HIBP ist kostenlos und die Branchenreferenz.

Was war das größte Adult-Plattform-Datenleck?

Nach reiner Datensatzzahl ist die Cam4-Offenlegung vom März 2020 das größte, mit rund 10,88 Milliarden Datensätzen auf einem ungesicherten ElasticSearch-Cluster (Befunde von vpnMentor und Safety Detectives). Nach Anzahl einzelner Nutzer erreichte der Vorfall bei Adult FriendFinder im Oktober 2016 rund 412 Millionen Konten über mehrere FriendFinder-Networks-Angebote. Ashley Madison (Juli 2015) bleibt mit rund 32 Millionen Konten das redaktionell am stärksten beleuchtete, wegen der Sensibilität des Korpus.

Ist mein Chatverlauf bei KI-Begleiter-Apps sicher?

Die meisten KI-Begleiter-Apps speichern Gesprächsprotokolle im Klartext auf dem Server, weil das Sprachmodell Klartext lesen muss, um Antworten zu erzeugen. Ende-zu-Ende-Verschlüsselung gibt es in der Kategorie praktisch nicht. Server-Personal und jeder kompromittierte Dienstleister können die Protokolle im Prinzip lesen. Das MyLovely.ai-Leck vom April 2026 enthielt rund 70.000 mit konkreten Nutzer-IDs verknüpfte Prompt-Strings, was das praktische Risiko zeigt.

Wie kommt es zu KI-Begleiter-Datenlecks?

Die häufigsten Ursachen in den Offenlegungen 2019-2026 sind nicht authentifizierter oder falsch konfigurierter Cloud-Speicher (S3-Buckets, ElasticSearch-Cluster, MongoDB-Instanzen), unzureichende Zugriffskontrolle auf internen APIs und gestohlene Entwickler-Zugangsdaten. MyLovely.ais Offenlegung nennt eine "JSON-Schwachstelle" ohne den Mechanismus zu nennen; Cam4 März 2020 war ein ungesicherter ElasticSearch-Cluster; Luscious 2019 war eine falsch konfigurierte Datenbank. Lecks auf Anwendungsebene sind seltener als Fehlkonfigurationen der Infrastruktur.

Was soll ich tun, wenn meine KI-Begleiter-Daten offengelegt wurden?

Fünf Schritte der Reihe nach. Prüfe die Betroffenheit über Have I Been Pwned. Wechsle das Passwort auf jedem Dienst, der dieselben Zugangsdaten nutzt, und aktiviere Zwei-Faktor-Authentifizierung auf deinem E-Mail-Konto. Informiere deinen Zahlungsdienstleister, falls Abrechnungsdaten betroffen waren. Stelle eine Auskunftsanfrage nach DSGVO Artikel 15 oder eine Right-to-Know-Anfrage nach CCPA, um zu erfahren, was der Betreiber sonst noch hat. Reiche eine Beschwerde bei der nationalen Datenschutzbehörde ein, falls die Offenlegung des Betreibers unvollständig war.

Werden KI-Begleiter-Lecks an Behörden gemeldet?

DSGVO Artikel 33 verpflichtet Verantwortliche im Europäischen Wirtschaftsraum, die Aufsichtsbehörde binnen 72 Stunden nach einem Leck zu informieren, das ein Risiko für Rechte und Freiheiten erwarten lässt. Artikel 34 verlangt die direkte Benachrichtigung der Nutzer bei hohem Risiko. Kaliforniens §1798.82 verlangt unverzügliche Mitteilung. Die Einhaltung ist über KI-Begleiter-Apps hinweg uneinheitlich. Zum Zeitpunkt der MyLovely.ai-Offenlegung lag keine öffentliche Erklärung der PromptRepublic SL vor, was die Einhaltung von Artikel 34 von außen nicht prüfbar macht.

Wann diese Watchlist nicht gilt

Diese Seite ist redaktionell. Sie ist keine umfassende Vorfalls-Datenbank, kein Ersatz für die eigene Leck-Benachrichtigung des Betreibers und keine Empfehlung zu irgendeinem Dienst. Sie bewertet nicht jeden Adult-Plattform-Dienst im Netz; sie verfolgt KI-Begleiter-Dienste und das kleine Set früherer Adult-Plattform-Vorfälle, die die Basislinie des Bedrohungsmodells definieren. Wenn deine Plattform hier nicht gelistet ist, ist das kein Persilschein. Es heißt nur, dass uns noch keine bestätigte öffentliche Offenlegung vorliegt.

Weiterlesen auf bestgirlfriend.ai

Hoch: Sind KI-Begleiter sicher? Themen-Pillar

Quer (Schwester-Themen-Pillars in der Sicherheits-Kategorie):

Runter (Tiefenanalyse):

Speichern KI-Freundinnen Daten?

Methodik:

Unsere Bewertungsseite, Datenschutz und Compliance ist Dimension 7 (Gewicht 14 %)

Quellen

Zuletzt geprüft 2026 · Siehe Korrekturen für nachträgliche Korrekturen · Redakteurin: Alexandra Joly · Methodik · Redaktioneller Prozess · Affiliate-Hinweis