OpenAI setzt in ChatGPT ein Cookie namens „__obi“ ein, das Konten mit Aktivität auf externen Werbepartner-Seiten verknüpft. Das zeigt eine am 20. September 2026 veröffentlichte Analyse des unabhängigen Sicherheitsforschers Buchodi. Die Kennung bleibt bis zu 365 Tage im Browser gespeichert und ist als „Analyse“-Cookie eingestuft, nicht als Marketing-Cookie.
Cookie-Tausch verknüpft ChatGPT-Konto mit Kaufseiten
Der Mechanismus läuft in mehreren Schritten ab: Der ChatGPT-Client erzeugt 16 zufällige Byte und schickt sie an die Adresse /backend-api/bazaar/obi/sync-token. Der Server antwortet mit einem signierten JWT-Token, das die Kontokennung enthält und nur 60 Sekunden gültig ist. Der Client reicht dieses Token anschließend bei bzr.openai.com/v1/obi/sync ein; die Antwort setzt das Cookie __obi auf der Domain .openai.com – mit den Attributen SameSite=None, Secure und einer Gültigkeit von 31.536.000 Sekunden, also einem Jahr. Besucht eine Person danach eine Partnerseite mit OpenAIs Tracking-Skript, sendet der Browser das Cookie automatisch mit. Buchodis Auswertung des Datenverkehrs fand das zugehörige Skript auf 936 verschiedenen Werbe-Pixeln über 1.029 Domains, darunter die Online-Händler Wayfair und Chewy sowie Anbieter wie HelloFresh, Coursera, Eventbrite, ThriftBooks und SeatGeek – unabhängig nicht verifiziert. In einem eigenen Test verband sich ein und dieselbe __obi-Kennung mit zwölf kommerziellen Websites unter 13 unterschiedlichen Pixel-Kennungen. Getestet wurde der Mechanismus bislang nur auf Chrome für Android; auf iOS-Geräten mit Safari verhindert dessen eingebauter Tracking-Schutz nach bisherigem Kenntnisstand die Cross-Site-Übertragung des Cookies.
OpenAI führt Tracking-Cookie als Analyse-Werkzeug
OpenAI ordnet __obi in der eigenen Cookie-Richtlinie der Kategorie „Analyse“ zu und beschreibt solche Cookies als Hilfsmittel, um zu verstehen, „wie unsere Dienste funktionieren und genutzt werden“. Buchodi wertete 932 abgefangene Sync-Token aus; alle enthielten das Feld consent_decision mit dem Wert analytics_allowed – unabhängig davon, ob Nutzerinnen und Nutzer Werbe-Tracking zuvor ausdrücklich abgelehnt hatten. 736 der Token trugen den Kontotyp „account_user“, 196 galten als „anonymous“ und liefen damit auch bei abgemeldeten Personen. Bei 638 von 881 geprüften Werbe-Pixeln war zudem der automatische Kennungsabgleich aktiviert. Nach Buchodis Zählung stammten in den beobachteten Formularen 685 automatisch abgegriffene Datenpunkte gegenüber 255 von Werbetreibenden selbst übermittelten Angaben; am häufigsten erfasst wurde die Postleitzahl, in 100 Fällen über 28 verschiedene Websites hinweg. Buchodi habe OpenAIs Presse- und Datenschutzteam am 14. September 2026 kontaktiert und nach der Einstufung sowie dem Umgang mit einer verweigerten Einwilligung gefragt. Der Support bestätigte laut Buchodi den Eingang der Anfrage, beantwortete die inhaltlichen Fragen aber nicht; einem weiteren Bericht zufolge habe OpenAI lediglich eine interne Prüfung der Befunde angekündigt.
Werbeprogramm läuft seit August in Europa
Das betroffene Werbeprogramm ist in Deutschland und 30 weiteren europäischen Ländern seit dem 24. August 2026 aktiv und gilt für die kostenlosen Tarife Free und Go; Plus-, Pro- und Firmenkonten bleiben werbefrei. OpenAI hatte beim Start zugesichert, Nutzungsdaten für die Anzeigenauswahl spätestens nach 30 Tagen zu löschen – eine deutlich kürzere Frist als die einjährige Laufzeit des __obi-Cookies, wobei unklar bleibt, ob beide Mechanismen dieselben Daten betreffen. In der EU verlangt die Datenschutz-Grundverordnung für personalisierte Werbung eine gesonderte Einwilligung, während sich Analyse-Zwecke unter Umständen auf ein berechtigtes Interesse stützen lassen – die Einstufung als Analyse-Cookie ist damit keine Formsache, sondern entscheidet mit, ob eine Werbe-Ablehnung überhaupt greift.
Offen bleibt, ob eine europäische Datenschutzbehörde die Analyse-Einstufung des __obi-Cookies prüft und ob sie mit den strengeren Einwilligungsregeln der DSGVO für Werbe-Tracking vereinbar ist. Für OpenAI Ireland, das für ChatGPT in der EU zuständig ist, wäre eine förmliche Untersuchung ein weiterer Prüfpunkt neben der laufenden Einstufung als große Online-Suchmaschine.
