WhatsApps Hilfeseiten enthielten versteckte Anweisungen, die nur eine KI lesen sollte, und zwei davon stechen heraus: Die eine wies den Support-Chatbot an, Nutzerinnen und Nutzern, die ihr Konto nicht löschen können, keine Datenschutz-Aufsichtsbehörde zu empfehlen; die andere verlangte, sobald ein Nutzer Anwälte oder Klagen erwähnt, keine Datenschutzgesetze wie die DSGVO mehr zu zitieren, selbst wenn der Nutzer sie zuerst angesprochen hat. Das Datenschutzunternehmen Redact legte die versteckten Texte in einem am 19. Oktober 2026 veröffentlichten Untersuchungsbericht offen; WIRED sichtete archivierte Kopien der Seiten unabhängig und fragte bei Meta nach. WhatsApp-Sprecher Joshua Breckman antwortete, die Offenlegung sei durch einen Programmfehler entstanden und inzwischen behoben; die Texte seien Anweisungen an den eigenen Support-Chatbot gewesen, deren Zweck korrekte und relevante Antworten seien, keine Rechtsberatung.
102 versteckte Blöcke auf 80 von 545 Seiten
Redact fiel die Anomalie am 8. Oktober 2026 zuerst auf, danach las das Team alle 545 vom Hilfezentrum verlinkten Seiten und archivierte jede einzelne: 80 Seiten enthielten insgesamt 102 Textblöcke, die nie auf dem Bildschirm erscheinen, aber im Seitencode stecken, in Blöcken namens HelpContentGalaxyLLMInclude. Die meisten waren harmlose Hausarbeit, etwa Verwechselungen ähnlicher Begriffe aufzulösen, eine Frage auf eine passendere Seite zu verweisen oder davor zu warnen, Anrufprobleme mit Neuinstallation beheben zu wollen. Zwei überschritten eine Grenze. Auf der Seite zum Löschen des Kontos, wo eine Person ohne ihr Telefon oder ihre Nummer das Konto nicht in der App löschen kann, ließ die versteckte Notiz nur das Warten von bis zu einem Jahr auf die automatische Löschung als Antwort zu und hielt ausdrücklich fest, keine Datenschutzbehörde, Regulierungs- oder Aufsichtsstelle zu empfehlen. Auf der Seite zu Melden und Blockieren wurde dem Bot, sobald ein Nutzer rechtliche Schritte, Klagen, Anwälte oder Gerichte erwähnte, verboten, WhatsApps Nutzungsbedingungen oder Datenschutzrichtlinie zu zitieren, über eine Haftung des Unternehmens zu sprechen oder Datenschutzgesetze wie DSGVO, die brasilianische LGPD oder den kalifornischen CCPA auch nur zu erwähnen oder auszulegen. Archivvergleiche zeigen: Diese Texte standen spätestens in der Seitenkopie vom 4. September 2026, in der Kopie vom 12. Juli 2026 noch nicht.
Die öffentliche Richtlinie sagte das Gegenteil
Was diese beiden Anweisungen unglaubwürdig macht, ist WhatsApps eigene veröffentlichte europäische Datenschutzrichtlinie, wirksam seit dem 2. Juli 2026: Sie hält fest, dass Nutzer jederzeit Auskunft, Berichtigung und Löschung ihrer Informationen verlangen können und das Recht haben, sich bei der irischen Datenschutzkommission oder jeder anderen zuständigen Aufsichtsbehörde zu beschweren, und sie nennt das Gesetz, das dieses Recht verleiht. Das Dokument für Menschen zeigt den Ausgang deutlich; die Anweisung an die Maschine strich diesen Ausgang aus der Antwort. Redact bleibt bei den Grenzen des eigenen Befunds vorsichtig: Gelesen wurden Anweisungen, nicht die tatsächlichen Antworten des Chatbots, also lässt sich weder beweisen, dass der Bot je gehorcht hat, noch genau sagen, wie lange die Texte online standen; eine Stichprobe von 300 Hilfe-Seiten von Facebook und Instagram, die auf demselben System laufen, fand nichts Vergleichbares. Dieses Muster, ein Gesicht für die Öffentlichkeit und ein anderes für die KI, steht im Kontrast zu Microsofts Guardian Agents, die Agenten wie interne Bedrohungen behandeln: In die eine Richtung bekommt der Agent eine engere Leine, in die andere verbirgt die Leine selbst Worte, die nicht verborgen gehören.
Zwei Dinge, die sich Nutzer merken sollten
Erstens ist Abwarten nicht der einzige Weg, wenn ein WhatsApp-Konto nicht gelöscht werden kann: Man kann förmlich einen Löschantrag stellen und sich in der EU bei unbefriedigendem Ergebnis an die nationale Datenschutzbehörde oder die irische Datenschutzkommission wenden; auch Einwohner von Kalifornien und immer mehr US-Bundesstaaten besitzen ein vergleichbares Löschrecht. Zweitens verdient der Mechanismus selbst die Aufmerksamkeit der Branche: Hilfeseiten werden sowohl an Suchmaschinen-Crawler als auch an den eigenen Chatbot ausgeliefert, sodass ein im Code vergrabenener Absatz still verschieben kann, was eine KI sagen darf, unsichtbar für Nutzer und ohne Widerspruchsmöglichkeit. Dass ein Support-Bot keine Rechtsmeinungen abgibt, ist vernünftig; ein Gesetz zu benennen, das den Nutzer schützt, ist keine Rechtsmeinung. Als Nächstes wird sich zeigen, ob Meta solche versteckten Anweisungen künftig öffentlich offenlegt und ob in den Hilfezentren anderer großer Plattformen ähnliche Texte auftauchen.
