ChatGPT will Vollzugriff auf die Festplatte, um Ihre iMessages zu lesen

Am 20. August 2026 hat OpenAI ein Apple-Messages-Plugin für die ChatGPT-Desktop-App auf macOS ausgeliefert. Es kann Ihre iMessage-, SMS- und RCS-Unterhaltungen lesen und durchsuchen und in Ihrem Namen Nachrichten entwerfen und versenden. Es läuft lokal auf Ihrem Mac und nutzt AppleScript sowie die Bedienungshilfen-APIs von macOS, statt Ihre Nachrichtendatenbank irgendwohin hochzuladen.

Um es zu aktivieren, müssen Sie ChatGPT drei macOS-Datenschutzberechtigungen erteilen: Vollzugriff auf die Festplatte (Full Disk Access), Kontakte und Automation für die App Nachrichten.

Die zweite und dritte davon sind eng begrenzt. Die erste nicht – und genau darum geht es in diesem Artikel. Vollzugriff auf die Festplatte ist keine Nachrichten-Berechtigung. Es ist die Berechtigung, die für diese eine App fast jede dateibasierte Datenschutzgrenze von macOS aufhebt, dauerhaft, bis Sie sie widerrufen. Sobald ChatGPT sie hat, erlaubt derselbe Grant, der chat.db lesbar macht, auch das Lesen Ihres Mail-Speichers, Ihres Safari-Verlaufs samt Cookies, Ihrer Time-Machine-Backups und der privaten Datenordner jeder anderen App auf dem Rechner.

Das ist kein Fehler in OpenAIs Umsetzung und keine Kritik an der Funktion. So hat Apple die Berechtigung konzipiert. Aber der Einrichtungsdialog präsentiert sie als „damit ChatGPT Ihre Nachrichten lesen kann“, und die Lücke zwischen dem, was Sie zu genehmigen glauben, und dem, was Sie tatsächlich genehmigen, lohnt sich zu verstehen, bevor Sie klicken.

Das Wichtigste in Kürze

• Vollzugriff auf die Festplatte ist nicht auf Nachrichten beschränkt. Es ist ein einziger Schalter, der eine App auf einen Schlag von den meisten TCC-Dateischutzmaßnahmen befreit. Mail, Safari, Time-Machine-Backups und die Container-Daten anderer Apps werden alle lesbar.
• ChatGPT.app ist nicht sandboxed. Wir haben die Entitlements des ausgelieferten Builds geprüft: com.apple.security.app-sandbox steht auf false. Eine nicht sandboxed App mit Vollzugriff auf die Festplatte hat kaum noch dateibasierte Einschränkungen.
• Die Bundle-ID lautet com.openai.codex, nicht com.openai.chat. Wenn Sie ihre Berechtigungen per Terminal zurücksetzen wollen, ist das die ID, die Sie brauchen – und sie falsch anzugeben setzt stillschweigend nichts zurück, oder schlimmer, setzt die Berechtigung für jede App auf Ihrem Mac zurück.
• Automation ist die Sende-Berechtigung. ChatGPTs eigener Nutzungshinweis lautet: „ChatGPT uses Apple Events to control Mac apps on your behalf.“ Das ist es, was Nachrichten tatsächlich steuert.
• Das reale Risiko ist die Kombination, nicht das Plugin allein. Der Praxistest von PCWorld zeigte, dass ChatGPT auf eine zuvor aktivierte Computer-Use-Fähigkeit zurückgriff und Löschen-Schaltflächen im Nachrichten-Fenster anklickte, als das Plugin die Aufgabe nicht erledigen konnte. Es wurde nichts kompromittiert; zwei separat genehmigte Funktionen haben sich einfach kombiniert.
• Sie können das alles in rund zwei Minuten prüfen und widerrufen. Die genauen Schritte folgen unten, inklusive der Verifizierung per Terminal, dass der Widerruf funktioniert hat.

Was OpenAI ausgeliefert hat

Das Plugin erscheint im Tab „Plugins“ der ChatGPT-Desktop-App. Laut OpenAIs Beschreibung und der Berichterstattung rund um den Launch ist es in allen ChatGPT-Plänen der macOS-App verfügbar und funktioniert in ChatGPT-Work- und Codex-Kontexten. Es läuft nur auf Apple Silicon – Intel-Macs erhalten es nicht.

Funktional erledigt es vier Dinge:

1. Liest Ihre Nachrichten-Unterhaltungen.
2. Durchsucht sie.
3. Entwirft eine Nachricht für einen Empfänger.
4. Versendet diese Nachricht über Nachrichten.

OpenAIs erklärte Datenschutzhaltung, laut einer beim Launch zitierten Sprecherin bzw. einem Sprecher, ist, dass das Plugin keinen Index Ihrer Texte aufbaut und dass Sie ChatGPT explizit auffordern müssen, Nachrichtenkontext heranzuziehen, bevor es einen Thread liest. Das Senden ist standardmäßig durch einen Bestätigungsschritt abgesichert: ChatGPT zeigt Ihnen die Nachricht und den Empfänger, und Sie bestätigen.

Es gibt eine Option, diese Bestätigung für eine bestimmte Unterhaltung dauerhaft zu machen. OpenAI selbst rät davon ab, in Worten, die für eine Produkteinstellung ungewöhnlich offen sind – das Aktivieren „entfernt Ihre letzte Gelegenheit, eine Nachricht zu prüfen, bevor ChatGPT sie sendet“.

Nehmen Sie das ernst. Ein Anbieter, der Ihnen rät, einen von ihm selbst gebauten Komfort-Schalter nicht zu benutzen, hat sich Gedanken darüber gemacht, was passiert, wenn das Modell einen Thread falsch liest.

Die drei Berechtigungen – und was jede davon wirklich tut

macOS regelt das alles über TCC – Transparency, Consent and Control –, das Subsystem, dem jedes Datenschutz-Pane in den Systemeinstellungen gehört. Wir haben einen vollständigen Mechanismus-Leitfaden zu TCC geschrieben in warum Ihr Mac ständig nach der Bildschirmaufnahme-Berechtigung fragt, und das dort beschriebene Modell gilt direkt auch hier. Kurzfassung: TCC-Einträge sind an die Code-Signing-Identität einer App gebunden, nicht an ihren Pfad oder Namen, und jede geschützte Fähigkeit ist ein eigener Dienst mit eigenem Grant.

Kontakte: eng begrenzt und wohlerzogen

Diese Berechtigung tut, was sie verspricht. Sie erlaubt ChatGPT, „Nachricht an Sarah“ zu einer Telefonnummer oder Apple-Account aufzulösen. Apples Kontakte-Berechtigung ist auf den Kontakte-Speicher beschränkt und auf nichts sonst. Wenn Sie sich sorgen, dass Ihr Adressbuch den Rechner verlässt, ist das eine berechtigte Frage an OpenAI zu dessen Datenumgang – aber keine Frage der macOS-Berechtigungen, denn die Berechtigung selbst gewährt genau das, was sie benennt.

Automation: der Sende-Pfad

Die Automation-Berechtigung ist es, die ChatGPT überhaupt erst erlaubt, Nachrichten zu bedienen. Sie ermächtigt die App, Apple Events an eine andere App zu senden – derselbe Mechanismus, den AppleScript seit dreißig Jahren nutzt.

Wir haben den ausgelieferten ChatGPT-Build auf einem Mac untersucht (Version 26.727.40816, geprüft am 22. August 2026), und dessen Info.plist deklariert diesen Nutzungshinweis wörtlich:

NSAppleEventsUsageDescription = "ChatGPT uses Apple Events to control Mac apps on your behalf"

Seine Code-Signing-Entitlements enthalten:

com.apple.security.automation.apple-events => true

Beachten Sie die Formulierung in Apples eigenem Dialog und in OpenAIs Hinweistext: control Mac apps, Plural. Automation wird pro Ziel-App erteilt – Sie genehmigen „ChatGPT möchte Nachrichten steuern“ separat von „ChatGPT möchte Finder steuern“ –, das ist also in der Praxis begrenzt. Aber begrenzt pro App, die Sie genehmigen, und jede neue Genehmigung ist ein weiterer Dialog, den Sie versucht sein werden wegzuklicken. Schauen Sie gelegentlich in Systemeinstellungen → Datenschutz & Sicherheit → Automation und sehen Sie sich an, worauf die Liste angewachsen ist.

Vollzugriff auf die Festplatte: die eine, die nicht begrenzt ist

Hier liegt der Kern der Sache.

Apples Platform-Security-Dokumentation beschreibt die Designabsicht unverblümt: Nutzer „should have full transparency, consent, and control over what apps are doing with their data“, und der Dateizugriff ist in Kategorien aufgeteilt – Schreibtisch, Dokumente, Downloads, iCloud Drive, Wechseldatenträger und Netzwerklaufwerke –, die eine App einzeln über eine Abfrage anfordern kann. Vollzugriff auf die Festplatte ist anders. Es ist die Kategorie, für die eine App nicht abfragen kann. Sie müssen selbst in die Systemeinstellungen gehen und die App von Hand hinzufügen, genau weil sie umfassender ist als die anderen.

Was sie abdeckt, ist die Menge der Orte, die macOS unabhängig von den Unix-Dateiberechtigungen vor gewöhnlichen Apps schützt. Dazu gehören unter anderem:

• ~/Library/Messages/ — die Nachrichten-Datenbank chat.db und der Ordner Attachments
• ~/Library/Mail/ — der Mail-Speicher
• Safaris Cookie- und Verlaufsdaten
• Der Inhalt von Time-Machine-Backups
• Geschützte Container-Daten anderer Anwendungen
• Die TCC-Datenbanken selbst (nur lesbar; dazu unten mehr)

Sie können die Grenze auf Ihrem eigenen Mac mit einem einzigen Befehl belegen. Aus einem Terminal, dem kein Vollzugriff auf die Festplatte erteilt wurde:

ls -la ~/Library/Messages/

Auf einem unveränderten Mac liefert das:

ls: /Users/you/Library/Messages/: Operation not permitted

Nicht „Permission denied“ – Operation not permitted. Das ist TCC, das die Anfrage verweigert, nicht das Dateisystem. Wir haben genau das auf macOS 26.5.2 (Build 25F84) beim Verfassen dieses Artikels ausgeführt und dieses Ergebnis erhalten. Erteilen Sie nun dem Terminal Vollzugriff auf die Festplatte und führen Sie den Befehl erneut aus: Das Verzeichnis wird aufgelistet. Am Besitzer oder an den Rechten der Datei hat sich nichts geändert. Das Einzige, was sich geändert hat, ist, dass ein Prozess jetzt von dem Schutz ausgenommen ist.

Das ist es, was Sie ChatGPT übergeben. Nicht „Nachrichten lesen“. Von dem Schutz ausgenommen.

Und sie ist nicht sandboxed

Es gibt eine zweite Schicht, die eine Mac-App normalerweise selbst bei einem umfassenden TCC-Grant einschränken würde: die App Sandbox. Eine sandboxed App ist auf ihren eigenen Container und die spezifischen Ressourcen beschränkt, die ihre Entitlements benennen, und die Sandbox wird vom Kernel unabhängig von TCC durchgesetzt.

Wir haben nachgesehen. Im von uns geprüften Build enthalten die Entitlements von ChatGPT.app:

com.apple.security.app-sandbox => false

Daneben:

com.apple.security.cs.allow-jit => true
com.apple.security.cs.allow-unsigned-executable-memory => true
com.apple.security.network.client => true

Die App ist mit einer Developer ID signiert (Developer ID Application: OpenAI OpCo, LLC, Team-ID 2DC432GLL2) und wird außerhalb des Mac App Store vertrieben, wo Sandboxing nicht verpflichtend ist. Das ist für eine Desktop-App mit Automations-Ambitionen völlig normal – aus einer strikten Sandbox heraus können Sie keine anderen Apps steuern. Es ist außerdem üblich, dass Electron-artige und JIT-nutzende Laufzeitumgebungen die Ausnahmen allow-jit und allow-unsigned-executable-memory mitführen.

Aber die Kombination zählt. Eine nicht sandboxed App plus Vollzugriff auf die Festplatte kommt der maximalen dateibasierten Leseberechtigung, die ein Nicht-Root-Prozess unter macOS haben kann, sehr nahe. Würden Sie das Dienstprogramm eines anderen Anbieters mit diesem Profil bewerten, wollten Sie wissen, warum es das braucht. Legen Sie hier denselben Maßstab an.

Sie können das alles selbst überprüfen:

codesign -dv --verbose=2 /Applications/ChatGPT.app
codesign -d --entitlements - --xml /Applications/ChatGPT.app | plutil -p -

Entitlements ändern sich zwischen Versionen. Unsere wurden am 22. August 2026 aus Version 26.727.40816 ausgelesen; prüfen Sie Ihren eigenen Build, statt einer Zahl in einem Artikel zu vertrauen.

Die Bundle-ID-Falle

Das ist das praktisch nützlichste in diesem Text, und es ist ein Detail, das wir noch nirgendwo veröffentlicht gesehen haben.

Die Bundle-ID der ChatGPT-Desktop-App lautet com.openai.codex. Nicht com.openai.chat, nicht com.openai.chatgpt. Ihr Application-Identifier-Entitlement lautet 2DC432GLL2.com.openai.codex, und ihre App-Gruppen heißen 2DC432GLL2.com.openai.codex.notifications und 2DC432GLL2.com.openai.sky.CUAService.

Bestätigen Sie das auf Ihrem eigenen Rechner:

osascript -e 'id of app "ChatGPT"'

Oder:

mdls -name kMDItemCFBundleIdentifier /Applications/ChatGPT.app

Warum das wichtig ist: tccutil ist das einzige Kommandozeilen-Werkzeug für TCC, sein einziges Verb ist reset, und seine Syntax lautet:

tccutil reset SERVICE [BUNDLE_ID]

Wenn Sie die Bundle-ID weglassen, wird der Dienst für jede App auf Ihrem Mac zurückgesetzt. tccutil reset SystemPolicyAllFiles ohne ID auszuführen, entzieht Ihrer Backup-Software, Ihrem Festplatten-Dienstprogramm, Ihrem Antivirenprogramm und allem anderen, das den Vollzugriff hatte, diese Berechtigung. Das ist ein wirklich schlechter Nachmittag.

Und wenn Sie die ID falsch raten, erhalten Sie einen Fehler statt eines stillen No-Op – tccutil validiert die Bundle-ID, bevor es den Dienstnamen validiert –, aber der Fehler, in den Menschen tatsächlich hineinlaufen, ist eine falsche ID aus einem Blogbeitrag zu kopieren und daraus zu schließen, der Reset habe „nicht funktioniert“. Holen Sie sie von Ihrem eigenen Rechner.

Das reale Risiko ist die Kombination

Der lehrreichste Bericht aus der Launch-Woche handelt gar nicht von den Berechtigungen des Plugins.

In PCWorld schrieb ein Rezensent am 21. August 2026, dass er das Plugin testete, indem er ChatGPT bat, Unterhaltungen zusammenzufassen, Nachrichten zu entwerfen und dann einige Spam-Threads zu löschen. Nachrichten zu löschen ist nichts, was das Nachrichten-Plugin kann. Statt abzulehnen, griff ChatGPT auf eine Computer-Use-Fähigkeit zurück, die der Autor zuvor aktiviert und vergessen hatte. Der Autor sah Screenshots des tatsächlichen Nachrichten-Fensters in der ChatGPT-Oberfläche erscheinen, während der Assistent den Zeiger bewegte und auf Löschen bei den Spam-Unterhaltungen klickte.

Die eigene Einordnung des Autors ist die richtige: ChatGPT „didn't break out of its bounds“ – es hat seine Grenzen nicht überschritten. Nichts wurde kompromittiert. Jede beteiligte Fähigkeit war genehmigt worden. Das Problem ist, dass zwei für sich genommen vernünftige Genehmigungen – „du darfst meine Nachrichten lesen“ und „du darfst meinen Bildschirm steuern“ – sich zu einem Verhalten verbanden, das keine der beiden Genehmigungen beschrieb.

Das Entitlement, das wir zuvor entdeckt haben, die App-Gruppe namens 2DC432GLL2.com.openai.sky.CUAService, passt zu einem Computer-Use-Agent-Dienst, der im selben App-Bundle ausgeliefert wird. Wir behaupten nicht, dass genau diese Gruppe die Klicks ausgelöst hat; wir weisen darauf hin, dass die Fähigkeit im selben Prozess lebt, dem Sie Vollzugriff auf die Festplatte gewähren.

Jonny Evans machte am selben Tag in Computerworld den ergänzenden Punkt: Die ChatGPT-App selbst wird zum Ziel. Eine App mit Vollzugriff auf die Festplatte ist ein hochwertiges Angriffsziel, weil eine Kompromittierung den Grant erbt. Und sein weiterreichendes Argument ist eines, dem wir zustimmen würden: technisch eingeholte Zustimmung ist nicht dasselbe wie informierte Zustimmung. Eine Checkbox, die „Vollzugriff auf die Festplatte“ sagt, neben einer Erklärung über Nachrichten, ist technisch korrekt und praktisch irreführend.

Wenn Sie den breiteren Blick darauf wollen, lokal laufende KI-Tools mit einem Auge darauf zu betreiben, worauf sie zugreifen können, siehe unseren Datenschutz-Leitfaden zu lokalen KI-Apps auf dem Mac.

„Läuft lokal“ bedeutet nicht das, was die meisten hineinlesen

Diese Formulierung leistet in der Launch-Berichterstattung viel Arbeit, und es lohnt sich, sie auseinanderzunehmen, denn sie ist gleichzeitig wahr und leicht misszuverstehen.

Was lokal läuft: der Dateizugriff. Das Plugin liest chat.db auf Ihrem Mac. Es nutzt AppleScript und die Bedienungshilfen-APIs auf Ihrem Mac. Ihre gesamte Nachrichtendatenbank wird nicht als Massen-Export zu OpenAI hochgeladen, und OpenAI erklärt, es werde kein Index davon aufgebaut oder gespeichert.

Was nicht lokal läuft: das Modell. ChatGPT ist ein Cloud-Dienst. Wenn Sie es bitten, einen Thread zusammenzufassen, wird der Inhalt dieses Threads an OpenAIs Server gesendet, um dort zusammengefasst zu werden, denn nur dort kann die Zusammenfassung stattfinden. Es gibt kein auf dem Gerät laufendes Modell, das diese Arbeit erledigt.

Das zutreffende mentale Modell ist also nicht „Ihre Nachrichten bleiben auf Ihrem Mac“. Es ist: „Ihre Nachrichten bleiben auf Ihrem Mac, bis Sie eine Frage dazu stellen – dann reisen die relevanten.“ Das ist eine deutlich bessere Datenschutzhaltung als ein Hintergrunddienst, der fortlaufend alles hochlädt und indiziert – wirklich, und OpenAI verdient dafür Anerkennung, es so gebaut zu haben. Es ist nicht dasselbe wie On-Device-Verarbeitung.

Diese Unterscheidung ist wichtig, weil macOS für manche vergleichbaren Aufgaben tatsächlich On-Device-Verarbeitung bietet. Apple Intelligences Zusammenfassungsfunktionen laufen für einen definierten Satz von Operationen auf der Neural Engine, mit Private Cloud Compute für den Rest. Wenn Ihre Anforderung ist, dass Nachrichteninhalte unter keinen Umständen das Gerät verlassen, ist das eine andere Produktkategorie, und unser Leitfaden zum lokalen Betrieb von KI auf einem Mac beschreibt, wie echte On-Device-Optionen heute aussehen. Wenn Ihre Anforderung lautet „baut keine dauerhafte durchsuchbare Kopie meines Lebens auf einem Server auf“, erfüllt das Design des Plugins das bereits.

Die verwandte Frage, die Leute stellen – ob Nachrichteninhalte fürs Training genutzt werden – ist eine Frage der ChatGPT-Kontoeinstellungen, keine macOS-Frage, und sie wird von den Datenkontrollen geregelt, die für Ihren Plan gelten. Prüfen Sie diese Einstellungen direkt, statt sie aus der Plugin-Beschreibung abzuleiten.

Wenn Sie Macs für eine Organisation verwalten

Alles bisher Gesagte ist eine persönliche Entscheidung. Auf verwalteten Macs ist es eine Policy-Entscheidung, und macOS gibt Ihnen einen Weg, sie zu treffen, bevor irgendjemand irgendwo klickt.

Vollzugriff auf die Festplatte kann per MDM gesteuert werden. Das Privacy-Preferences-Policy-Control-Payload (PPPC) erlaubt es, bestimmte TCC-Dienste für bestimmte, per Bundle-ID und Code-Anforderung identifizierte Anwendungen vorab zu genehmigen oder explizit zu verweigern. Der relevante Dienst für Vollzugriff auf die Festplatte ist SystemPolicyAllFiles; Apple-Events-Automation ist AppleEvents; Bedienungshilfen ist Accessibility; Bildschirmaufnahme ist ScreenCapture.

Drei Punkte, die es sich zu kennen lohnt, bevor Sie das Profil schreiben:

1. Verweigern ist hier zuverlässiger als Erlauben. Ein PPPC-Payload, das einen Dienst verweigert, hindert den Nutzer daran, ihn in den Systemeinstellungen zu erteilen. Das ist die Kontrolle, die Sie wollen, wenn die Antwort „nein“ lautet.
2. Identifizieren Sie die App korrekt. Die Bundle-ID ist com.openai.codex und die Team-ID ist 2DC432GLL2 beim von uns geprüften Build. Ihre Code-Anforderung sollte beide festlegen – ein auf den Anzeigenamen gestütztes Payload tut nicht, was Sie wollen.
3. Bildschirmaufnahme und Bedienungshilfen sind die Computer-Use-Angriffsfläche. Wenn Ihre Sorge ein KI-Agent ist, der einen verwalteten Mac steuert, adressiert das alleinige Verweigern von SystemPolicyAllFiles das nicht. Accessibility und ScreenCapture sind eigenständige Dienste und brauchen eigene Einträge.

Es gibt außerdem eine Data-Governance-Frage, die ganz außerhalb von macOS liegt: Eine genehmigte Unternehmens-ChatGPT-Bereitstellung, die die Nachrichtendatenbank eines Nutzers liest, zieht persönliche Unterhaltungen zusammen mit dienstlichen mit ein, weil chat.db nicht unterscheidet. Das ist es wert, mit wem auch immer Ihre Acceptable-Use-Policy verantwortet, angesprochen zu werden, bevor daraus ein Vorfall wird. Unser macOS-Enterprise-Deployment-Leitfaden behandelt die Profil-Mechanik im Allgemeinen.

So prüfen Sie, was Sie bereits erteilt haben

Machen Sie das unabhängig davon, ob Sie das Plugin nutzen. Es dauert zwei Minuten und gilt für jede App, nicht nur für diese eine.

1. Vollzugriff auf die Festplatte

Systemeinstellungen → Datenschutz & Sicherheit → Vollzugriff auf die Festplatte.

Lesen Sie die ganze Liste. Stellen Sie sich für jeden Eintrag eine Frage: Muss diese App jede geschützte Datei auf meinem Mac lesen können, um ihre Aufgabe zu erledigen? Backup-Tools tun das wirklich. Disk-Analyse-Tools tun das wirklich. Terminal, wenn Sie es zur Administration nutzen, tut das wirklich. Die meisten anderen Dinge nicht, und Apps, denen das vor Jahren aus einem einmaligen Grund erteilt wurde, halten es immer noch.

Schalten Sie alles aus, was Sie nicht rechtfertigen können. Nichts geht dauerhaft kaputt – die App fragt erneut, wenn sie es braucht.

2. Automation

Systemeinstellungen → Datenschutz & Sicherheit → Automation.

Dieses Pane ist organisiert als steuernde App → Liste der Apps, die sie steuern darf. Klappen Sie ChatGPT auf und sehen Sie, was darunter steht. Steht dort Nachrichten, ist das das Plugin. Stehen dort Finder, System Events, Terminal oder Safari, ist das eine breitere Automations-Angriffsfläche, und Sie sollten wissen, warum sie da ist.

3. Bedienungshilfen

Systemeinstellungen → Datenschutz & Sicherheit → Bedienungshilfen.

Das ist die Berechtigung hinter synthetischen Klicks und Tastenanschlägen – der Mechanismus, den eine Computer-Use-Funktion braucht. Steht eine App in dieser Liste, kann sie die Oberfläche Ihres Macs steuern. Prüfen Sie, ob ChatGPT dort steht, und entfernen Sie es, wenn Sie diese Fähigkeit nicht scharfgeschaltet haben wollen.

4. Bildschirm- und Systemaudio-Aufnahme

Systemeinstellungen → Datenschutz & Sicherheit → Bildschirm- und Systemaudio-Aufnahme.

Ein Computer-Use-Agent muss den Bildschirm sehen, um darauf zu agieren. Steht ChatGPT in dieser Liste, ist das die Quelle der Screenshots im PCWorld-Bericht.

5. Per Terminal verifizieren

Berechtigungs-Panes können Sie belügen – eine App kann in den Systemeinstellungen als erteilt erscheinen, während der Grant defekt ist, meist weil sich die Code-Signatur der App geändert hat. Die zuverlässige Prüfung ist verhaltensbasiert. Nachdem Sie einer App den Vollzugriff auf die Festplatte entzogen haben, beenden Sie die App vollständig, starten Sie sie neu und bitten Sie sie, das zu tun, was die Berechtigung braucht. Fragt sie erneut, hat der Widerruf funktioniert.

Sie können die Grenze auch generisch aus einem Terminal ohne Vollzugriff auf die Festplatte bestätigen:

ls ~/Library/Messages/ 2>&1

Operation not permitted bedeutet, dass TCC für diesen Prozess seine Arbeit macht.

Wenn Sie das Plugin trotzdem nutzen wollen

Das ist eine legitime Entscheidung, und es gibt eine Mittelposition zwischen „alles erteilen“ und „nie anfassen“.

Lassen Sie die Sende-Bestätigung an. Aktivieren Sie die dauerhafte Bestätigung nicht für eine Unterhaltung, auch nicht für eine, die Sie ständig nutzen. OpenAI hat Ihnen gesagt, warum.

Prüfen Sie getrennt, ob Computer Use aktiviert ist. Das ist eine andere Funktion mit einem anderen Schalter. Wenn Sie keine KI brauchen, die Ihren Zeiger bewegt, schalten Sie es aus und entfernen Sie die App aus Bedienungshilfen und Bildschirmaufnahme.

Behandeln Sie Vollzugriff auf die Festplatte als widerrufbar, nicht als dauerhaft. Wenn Sie das Nachrichten-Plugin nur gelegentlich nutzen, hindert Sie nichts daran, den Vollzugriff zwischen den Sitzungen ein- und auszuschalten. Es ist ein einziger Schalter. Das Plugin hört auf zu funktionieren und funktioniert wieder, wenn Sie ihn zurückschalten.

Überlegen Sie, welcher Mac. Wenn Sie mehr als einen haben, muss das Plugin nicht auf demjenigen leben, der Ihren dienstlichen Mail-Speicher, das Backup Ihres Passwort-Tresors und acht Jahre Time-Machine-Schnappschüsse trägt.

Denken Sie an die andere Seite der Unterhaltung. Jeder, der Ihnen jemals eine Nachricht geschickt hat, steckt in dieser Datenbank, und niemand von ihnen hat irgendetwas zugestimmt. Das ist kein macOS-Problem, und keine Berechtigungseinstellung adressiert es. Trotzdem ist es einen Moment des Nachdenkens wert.

Erteilen Sie Vollzugriff auf die Festplatte keiner App, die Sie nicht selbst und aus einer vertrauenswürdigen Quelle heruntergeladen haben. Ein Installer, der mit unklarer Begründung um Vollzugriff auf die Festplatte bittet, ist die wirkungsvollste Forderung, die Malware unter macOS stellen kann, und genau das Muster hinter den Credential-stehlenden Familien, die wir in dem gefälschten Absturzbericht-Passwortfeld behandelt haben.

Fehlerbehebung bei häufigen Problemen

Das Plugin erscheint nicht im Tab „Plugins“

Prüfen Sie drei Dinge der Reihe nach. Erstens: Sie sind auf einem Apple-Silicon-Mac – das Plugin wird auf Intel nicht angeboten. Zweitens: Die ChatGPT-Desktop-App ist aktuell; Funktionen, die in einem August-Build erscheinen, tauchen nicht in einem Build vom Frühjahr auf. Drittens: Sie sind in der ChatGPT-Desktop-App, nicht in der Web-App im Browser – ein Browser-Tab kann keine macOS-Datenschutzberechtigungen halten.

Ich habe Vollzugriff auf die Festplatte erteilt, aber ChatGPT kann Nachrichten trotzdem nicht lesen

Beenden Sie ChatGPT vollständig – Command-Q, nicht nur das Fenster schließen – und starten Sie es neu. TCC-Grants werden beim Start eines Prozesses ausgewertet. Ein laufender Prozess, dem verweigert wurde, bleibt für die Dauer seines Lebens verweigert.

Hilft das nicht, stoßen Sie möglicherweise auf das Code-Signing-Identitätsproblem: Wurde die App nach der Erteilung aktualisiert oder verschoben, kann der Eintrag in den Systemeinstellungen korrekt aussehen, während er auf eine andere Signatur zeigt. Schalten Sie die App im Vollzugriff auf die Festplatte aus, entfernen Sie sie mit der Minus-Schaltfläche, beenden Sie sie, starten Sie sie neu und fügen Sie sie erneut hinzu. Unser TCC-Fehlerbehebungsleitfaden behandelt die fünf unterschiedlichen Ursachen einer Berechtigung, die als erteilt erscheint, aber nicht funktioniert.

ChatGPT fragt jedes Mal wieder, ob es Nachrichten steuern darf

Das ist die Automation-Berechtigung, die nicht hält, und die Ursache ist fast immer dasselbe Code-Signing-Identitätsproblem. Prüfen Sie Systemeinstellungen → Datenschutz & Sicherheit → Automation, klappen Sie ChatGPT auf und bestätigen Sie, dass Nachrichten eingeschaltet ist. Ist es eingeschaltet und fragt trotzdem weiter, setzen Sie nur diese Paarung zurück:

tccutil reset AppleEvents com.openai.codex

Bestätigen Sie dann den Dialog noch einmal. Beachten Sie die Bundle-ID – siehe den Abschnitt oben dazu, warum sie zu erraten eine schlechte Idee ist.

Ich möchte jede Berechtigung entfernen, die ich erteilt habe

Der vollständige Reset, mit der korrekten Bundle-ID:

tccutil reset All com.openai.codex

Das löscht jeden TCC-Grant für diese eine App. Beenden und starten Sie ChatGPT danach neu. Bestätigen Sie anschließend in den Systemeinstellungen, dass Vollzugriff auf die Festplatte, Automation, Bedienungshilfen und Bildschirmaufnahme die App nicht mehr auflisten. tccutil kann nichts erteilen, nur zurücksetzen, es gibt also keinen Weg, das per Terminal rückgängig zu machen – Sie genehmigen erneut über die normalen Dialoge.

Es wurden Nachrichten gesendet, die ich nicht genehmigt habe

Prüfen Sie, ob die dauerhafte Bestätigung für diese Unterhaltung aktiviert war. In der ChatGPT-Oberfläche ist die pro Unterhaltung geltende Einstellung, die die Bestätigung überspringt, das, wonach Sie suchen sollten. Schalten Sie sie aus. Finden Sie keine Einstellung, die es erklärt, widerrufen Sie Automation für Nachrichten – das entfernt den Sende-Pfad vollständig, während das Lesen erhalten bleibt, was eine vernünftige Konfiguration ist, wenn Sie nur Zusammenfassungen wollen.

FAQ

Lädt ChatGPT meine Nachrichten auf OpenAIs Server hoch?

OpenAI erklärt, das Plugin laufe lokal auf Ihrem Mac und baue keinen Index Ihrer Texte auf. Was an das Modell gesendet wird, ist der Kontext, zu dessen Nutzung Sie es auffordern – bitten Sie es, einen Thread zusammenzufassen, geht der Inhalt dieses Threads an das Modell, um zusammengefasst zu werden, denn so funktioniert ein Cloud-Modell. „Läuft lokal“ beschreibt, wo der Dateizugriff stattfindet, nicht wo das Schlussfolgern stattfindet. Wenn Sie brauchen, dass Nachrichteninhalte niemals den Rechner verlassen, ist diese Funktion nicht das.

Ist Vollzugriff auf die Festplatte wirklich nötig, nur um Nachrichten zu lesen?

Ja, so wie Apple es gebaut hat. ~/Library/Messages/ liegt hinter dem Vollzugriff-auf-die-Festplatte-Tor, und es gibt keine engere „Nachrichtenzugriff“-Berechtigung, die Apps von Drittanbietern anfordern könnten. Apple bietet begrenzte Abfragen für Schreibtisch, Dokumente, Downloads, iCloud Drive und Wechseldatenträger, aber nicht für den Nachrichten-Speicher. Eine App, die Ihre Nachrichten lesen will, muss also um die breite Berechtigung bitten. Die Design-Einschränkung liegt bei Apple; die Konsequenz liegt bei Ihnen.

Wie lautet die Bundle-ID der ChatGPT-App?

com.openai.codex, beim von uns geprüften Build (Version 26.727.40816, 22. August 2026), signiert von OpenAI OpCo, LLC mit Team-ID 2DC432GLL2. Verifizieren Sie das auf Ihrem eigenen Mac mit osascript -e 'id of app "ChatGPT"', bevor Sie es in einem tccutil-Befehl verwenden.

Ist die ChatGPT-Mac-App sandboxed?

Nein. Ihre Entitlements setzen com.apple.security.app-sandbox auf false. Es ist eine mit Developer ID signierte App, die außerhalb des Mac App Store vertrieben wird, wo Sandboxing nicht erforderlich ist. In Kombination mit Vollzugriff auf die Festplatte bedeutet das, dass kaum noch dateibasierte Einschränkungen übrig bleiben.

Kann ChatGPT meine Nachrichten löschen?

Die dokumentierten Fähigkeiten des Nachrichten-Plugins sind Lesen, Suchen, Entwerfen und Senden. Löschen gehört nicht dazu. Der PCWorld-Praxistest fand jedoch, dass ChatGPT, als es gebeten wurde zu löschen, stattdessen eine separat aktivierte Computer-Use-Fähigkeit nutzte, um die Löschen-Schaltflächen in der Nachrichten-Oberfläche anzuklicken. Haben Sie Computer Use nicht aktiviert, existiert dieser Pfad nicht. Haben Sie es, existiert er.

Funktioniert das auf einem Intel-Mac?

Nein. Das Plugin läuft nur auf Apple Silicon. Wenn Sie noch auf Intel sind und Ihre Optionen abwägen, behandelt unser Leitfaden zum Ende der Intel-Mac-Ära das größere Bild.

Sollte ich es nutzen?

Das hängt davon ab, was auf Ihrem Mac liegt und was es Ihnen bringt. Die ehrliche Formulierung ist: Sie gewähren einer nicht sandboxed, netzwerkverbundenen, Cloud-gestützten Anwendung dauerhaften Lesezugriff auf jede geschützte Datei des Rechners, im Austausch für Nachrichten-Zusammenfassungen und -Entwürfe. Ist Ihnen dieser Tausch das wert, wenden Sie die Maßnahmen aus diesem Artikel an – lassen Sie die Sende-Bestätigung an, lassen Sie Computer Use aus, sofern Sie es nicht wollen, und widerrufen Sie die Berechtigung, wenn Sie die Funktion nicht nutzen. Ist er es nicht, verlieren Sie nichts als eine Annehmlichkeit.

Fazit

Es gibt eine Version dieses Artikels, die eine Angstmacherei ist, und das ist nicht diese. OpenAI hat die Funktion vertretbar gebaut: Sie läuft für den Dateizugriff on-device, sie speichert keinen Index dauerhaft, sie sichert das Senden standardmäßig hinter expliziter Bestätigung ab, und sie sagt Ihnen, dieses Tor nicht abzuschalten. Das sind bessere Entscheidungen als die Alternativen.

Das Problem liegt vor OpenAI. macOS hat keine Berechtigung, die „du darfst Nachrichten lesen“ bedeutet. Es hat eine, die „du darfst alles lesen“ bedeutet, und jede App, die die erste will, muss um die zweite bitten. Nutzer genehmigen dann die breite Berechtigung, während sie eine Erklärung über die enge lesen – genau die Lücke bei der informierten Zustimmung, die Computerworld identifiziert hat, und genau die Lücke, die Apple schließen könnte, indem es TCC um einen eng begrenzten Nachrichten-Dienst erweitert, so wie es das für Kontakte, Kalender und Fotos getan hat.

Bis das passiert, liegt die Last bei Ihnen, zu wissen, was der Schalter tut. Jetzt wissen Sie es. Schauen Sie sich Ihre Liste unter Vollzugriff auf die Festplatte an – nicht wegen ChatGPT, sondern weil Sie dort mit ziemlicher Sicherheit etwas finden, das Sie 2023 erteilt und seither vergessen haben.

Verwandte Artikel: Warum Ihr Mac ständig um Berechtigung bittet: wie TCC wirklich funktioniert · Lokale KI-Apps auf dem Mac: ein Datenschutz-Leitfaden · Mac-Sicherheits- und Datenschutzleitfaden 2026 · ChatGPT-Integration in macOS Tahoe · iCloud Private Relay gibt Ihre echte IP-Adresse preis

Quellen: 9to5Mac, „ChatGPT update adds Apple Messages integration on Mac“, 20. August 2026 · Computerworld, Jonny Evans, „ChatGPT wants Full Disk Access to your Mac and Messages“, 21. August 2026 · PCWorld, „I gave ChatGPT access to Apple Messages. Then it took control of my Mac“, 21. August 2026 · Engadget, „ChatGPT on Mac can now read and respond to Apple iMessages“, August 2026 · Apple, „Controlling app access to files in macOS“, Apple Platform Security · Eigene Verifizierung auf macOS 26.5.2 (Build 25F84) und ChatGPT.app 26.727.40816, 22. August 2026, mit codesign, plutil und ls.