OpenAI: Datenleck bei Mixpanel zwingt KI-Riesen zum Handeln
OpenAI informiert die User seiner API-Plattform über einen Sicherheitsvorfall beim Analytics-Anbieter Mixpanel. Das Datenleck bezieht sich laut OpenAI ausschließlich auf Nutzer:innen der Entwickler-Plattform – ChatGPT-User seien nicht betroffen.
Das Unternehmen betont in einer Mitteilung: „Dies war kein Einbruch in OpenAI-Systeme. Keine Chats, API-Anfragen, API-Nutzungsdaten, Passwörter, Zugangsdaten, API-Keys, Zahlungsdetails oder Ausweisdokumente wurden kompromittiert oder offengelegt.“
Am 9. November 2025 hat Mixpanel einen unauthorisierten Zugriff auf Teile seiner Systeme entdeckt. Angreifer exportierten ein Dataset mit limitierten Kundeninformationen und Analytics-Daten. Mixpanel benachrichtigte OpenAI über die laufende Untersuchung und teilte am 25. November 2025 das betroffene Dataset.
Begrenzte Nutzerdaten exponiert
Die exponierten Informationen beschränken sich laut Mitteilung auf Frontend-Analytics der API-Plattform: Namen auf API-Accounts, E-Mail-Adressen, grobe Standortdaten basierend auf Browser-Informationen (Stadt, Bundesland, Land), verwendete Betriebssysteme und Browser, Referrer-Websites sowie Organisation- und User-IDs. API-Requests, Prompts, Outputs oder Zahlungsinformationen waren nicht Teil des Datenlecks. Betroffene Organisationen, Admins und User wurden im Anschluss direkt per E-Mail kontaktiert.
OpenAI beendet Partnerschaft mit Mixpanel
OpenAI zieht klare Konsequenzen: Das Unternehmen hat die Zusammenarbeit mit Mixpanel beendet und die Integration aus allen Production Services entfernt. „Vertrauen, Sicherheit und Privatsphäre sind fundamental für unsere Produkte, unsere Organisation und unsere Mission“, erklärt OpenAI.
Über Mixpanel hinaus führt das Unternehmen erweiterte Security-Reviews im gesamten Vendor-Ecosystem durch und will die Sicherheitsanforderungen für alle Partner und Anbieter anheben, wird dabei allerdings nicht konkret. Obwohl keine Account-Credentials kompromittiert wurden, empfiehlt OpenAI erhöhte Wachsamkeit. Das Unternehmen hat keine Hinweise auf Auswirkungen außerhalb der Mixpanel-Umgebung gefunden, prüft aber weitere Anzeichen von Missbrauch.
Mixpanel selbst berichtet in einem Blogpost, eine Smishing-Attacke (SMS-Phishing) entdeckt zu haben. Mitarbeitende erhielten also SMS-Nachrichten, die auf die Abfrage von Zugangsdaten abzielten. Als Reaktion wurde der unbefugte Zugriff gestoppt und betroffene Accounts gesichert. Externe Cybersicherheitspartner unterstützten laut Mixpanel die Analyse des Vorfalls. Alle betroffenen Kunden seien informiert worden; ohne entsprechende Nachricht sei man nicht involviert. Zu den Kunden zählen neben OpenAI auch Joyn, LG, Pinterest, Workday und Yelp.
