Notion-Leck: „Zero Data Retention“ war ein Vertragssatz, kein Zustand

Auf der Notion-Rechnung steht Notion. Auf keiner Rechnung steht Fireworks AI. Und trotzdem lagen bei Fireworks Chat-Protokolle aus Notion AI, die dort laut Vertrag gar nicht mehr hätten liegen dürfen. Kennst du alle Firmen, die deine KI-Tools im Hintergrund selbst einsetzen? Ich auch nicht.

Was passiert ist

Fireworks AI ist eine Plattform, über die Entwickler offene KI-Modelle betreiben, laut TechCrunch mit Zehntausenden Kunden, darunter Harvey und Cursor. Angreifer sind laut TechCrunch über den Cloud-Anbieter des Unternehmens in ein Entwicklungssystem gelangt; erbeutet wurden laut Fireworks Rechnungsdaten und einige Datensätze. Es ist der zweite Vorfall bei Fireworks binnen zwei Monaten. Am 12. November bestätigte Notion gegenüber TechCrunch, dass darunter Chat-Protokolle aus Notion AI waren.

Notion selbst nennt in seiner Sicherheitsmitteilung weniger als 1 % der Workspaces als betroffen. Es geht um Chat-Verläufe, die an Fireworks gingen: alles, was in den Chat ein- und ausgegeben wurde. Dazu kommen Daten aus Notions Testprogramm LEAP, in dem Kunden freiwillig Daten für neue KI-Funktionen bereitstellen. Am 3. November hat Notion die Verbindung gekappt und die Daten dort gelöscht. Die Funktion „Insights“ ist abgeschaltet.

Das Leck war nicht die KI. Es war das Dashboard über die KI.

Was ich daran spannend finde: Insights ist eine Admin-Funktion, die zeigt, wie die Mitglieder eines Workspace KI nutzen. Fireworks hat dafür die Chats klassifiziert. Das Risiko saß also nicht im Kernprodukt, sondern in der Auswertung daneben und in einem Testprogramm. Genau dort, wo Teams selten hinschauen, weil es ja „nur“ Analytics ist.

Und dann der Satz, der aus meiner Sicht hängen bleibt. Fireworks hatte sich laut Notion vertraglich zu Zero Data Retention verpflichtet, also dazu, nichts zu speichern. In der Untersuchung stellte Notion fest, dass trotzdem Daten aufbewahrt wurden. Heißt: Zero Data Retention war ein Vertragssatz, kein technischer Zustand. Notion schreibt außerdem selbst, dass die Zusage für Enterprise nur API-Anfragen an Modellanbieter abdeckt, nicht gespeicherte Funktionen wie Chat-Verlauf und Insights.

Der Haken für Marketing-Teams

Aus meiner Sicht kippt kaum ein Team so viel in KI-Chats wie Marketing: Kundenlisten, Kampagnenzahlen, Briefings, Entwürfe für Pressemitteilungen. Meine Faustregel war schon vorher: Kundendaten und finale Entscheidungen bleiben intern, extern geht, was sich standardisieren lässt. Der Fall zeigt, warum. „Extern“ heißt nicht ein Anbieter, sondern eine Kette, deren Glieder du nicht kennst. KI repariert keine kaputten Arbeitsweisen, sie vergrößert die Risse. Wer nie geklärt hat, was in einen Chat darf, merkt das nicht beim Tool-Kauf, sondern bei der Mitteilung des Anbieters.

Was ich jetzt tun würde

• Notion-Admins: im Desktop-Browser in der Seitenleiste über „?“ den Punkt „Security incident review“ öffnen, wie Notion es beschreibt. Wer keine Nachricht von Notion bekommen hat, ist laut Notion nicht als betroffen erkannt.
• Passwörter, API-Schlüssel oder Zugangsdaten, die jemand in Notion AI eingefügt hat, sofort erneuern. Das empfiehlt Notion selbst, und es gilt für jedes KI-Tool.
• Eine Zeile Teamregel diese Woche: Was nie in einen KI-Chat gehört (Zugangsdaten, Kundenlisten, unveröffentlichte Zahlen). Dann bei den drei wichtigsten KI-Tools fragen: Welche Funktionen schicken Inhalte an welche weiteren Anbieter, und welche Funktionen fallen nicht unter die Speicher-Zusage?

FazitEine Zusage im Vertrag ist ein Versprechen, kein Löschprotokoll, und dein KI-Tool hat seine eigenen KI-Tools.