OpenAIs Werbe-Cookie __obi folgt dir auf fremde Websites
Ein Sicherheitsforscher zeigt, wie OpenAIs Werbepixel ein Cookie namens __obi von ChatGPT auf fremde Shops mitnimmt. OpenAI selbst führt es als Analytics-Cookie — und beantwortet die Fragen dazu nicht.
Pascal Eugster
GRÜNDER & ENTWICKLER
21. SEPTEMBER 2026
3 MIN. LESEZEIT
INHALT
INHALT
in
PARTNER · INOO GMBH
Wie viel KI verträgt dein Betrieb? In 30 Minuten Klartext.
Kostenloses Erstgespräch — herstellerneutral, direkt aus dem Rheintal.
Gespräch buchen →
DAS WICHTIGSTE IN KÜRZE
Wer Marketing-Cookies ablehnt, aber Analytics erlaubt, schaltet __obi nicht ab — zuverlässig hilft nur, Drittanbieter-Cookies im Browser zu blockieren.
OpenAI setzt auf ChatGPT ein Cookie namens __obi, das ein Jahr gültig ist und an dein ChatGPT-Konto gebunden sein soll. Besuchst du danach eine Website, die Werbung in ChatGPT bucht, schickt dein Browser diesen Identifier samt Seitendaten zurück an OpenAI. Dokumentiert hat das am 20. September 2026 der unabhängige Sicherheitsforscher hinter Buchodi's Threat Intel — OpenAI beantwortet die Fragen dazu bis heute nicht.
Ein Cookie, das als einziges reisen darf
Nachprüfen lässt sich vieles bei OpenAI selbst. In der Cookie-Policy vom 10. September steht __obi mit einem Jahr Laufzeit für chatgpt.com und openai.com — als einziger Eintrag der gesamten Rubrik «Analytics». Die Marketing-Rubrik daneben listet Dutzende Cookies von LinkedIn, Google, Meta und TikTok.
Werbetreibende binden dafür OpenAIs Measurement Pixel ein, ein kleines Stück JavaScript ähnlich dem Meta- oder Google-Tag. Laut OpenAIs Entwicklerdoku lädt es von bzrcdn.openai.com und meldet Ereignisse an bzr.openai.com — standardmässig eingeschaltet. Abschalten kann die Messung der Werbekunde, nicht du.
Postleitzahl im Klartext
Das Pixel liest zudem Kundendaten von der Seite, auf der es sitzt. OpenAI nennt das «automatic advanced matching»: E-Mail, Telefon und Namen würden noch im Browser gehasht. Land, Region, Stadt und Postleitzahl stehen in derselben Feldtabelle jedoch als Klartextfelder. Laut Buchodis Analyse war die Postleitzahl das meistabgegriffene Formularfeld — 100 Ereignisse auf 28 Seiten, bei 936 beobachteten Werbepixeln auf 1'029 Hostnames.
