ChatGPT ist jetzt offiziell eine Suchmaschine: Was die DSA-Einstufung für Website-Betreiber bedeutet

Was die EU-Kommission konkret entschieden hat

Am 31. August 2026 hat die Europäische Kommission drei Dienste unter dem Digital Services Act (DSA) benannt. ChatGPT gilt seitdem als „Very Large Online Search Engine”, kurz VLOSE. Die beiden großen Portale „Reddit“ und „Roblox“ wurden parallel dazu als „Very Large Online Plattform” (VLOP) eingestuft. Damit gelten nun für ChatGPT dieselben verschärften Regeln, die bisher für Google Search, YouTube oder Instagram galten und weiterhin gelten. Aber wie man sieht, wird die Kommission hier wohl weitere Dienste unter spezielle Aufsicht und Pflichten stellen in Zukunft.

Für die Einstufung ist maßgeblich, um welche Reichweite es sich beim entsprechenden Portal oder Suchanbieter handelt. Der DSA zieht die Schwelle bei durchschnittlich 45 Millionen monatlich aktiven Nutzern in der EU. ChatGPT liegt nach der Übersicht der Kommission bei über 159 Millionen und überschreitet die Grenze zur Einordnung damit um mehr als das Dreifache!

Die Benennung erfolgt hier durch die EU-Kommission. Für die zusätzlichen Pflichten sehr „großer Online Dienste“ liegt in diesem Fall auch die zentrale Aufsicht bei der Kommission. Ab der offiziellen Kenntnis, Benennung und neuen Einordnung nach der Prüfung bleiben den betroffenen Diensten lediglich 4 Monate, um die zusätzlichen Vorgaben pflichtgemäß umzusetzen.

Für die Betreiber von ChatGPT beginnt mit der offiziellen Einstufung in diese Kategorie eine konkrete Umsetzungsfrist, also bis Januar 2027. Dazu gehören dann unter anderem die Bewertung und Begrenzung systemischer Risiken.

Die Frist richtet sich daher an OpenAI als Anbieter des KI-Dienstes. Unternehmen, die ChatGPT lediglich einsetzen, werden durch die VLOSE Einstufung nicht selbst zum Adressaten dieser zusätzlichen Pflichten. 

Bei Verstößen kann die EU Kommission gegen den betroffenen Anbieter derartig großer Onlinedienste entsprechende Geldbußen von bis zu sechs Prozent des weltweit erzielten Jahresumsatzes verhängen.

Entscheidend ist der Webzugriff, nicht der Chatbot

Der interessanteste Teil der Entscheidung steht nicht in den Zahlen, sondern in der Begründung. Die Kommission stuft ChatGPT nicht deshalb ein, weil es ein leistungsfähiges und viel genutztes Sprachmodell (LLM) ist. Sie stuft es ein, weil der Dienst bei der Beantwortung von Anfragen auf Informationen aus dem Internet zugreift und diese wiedergibt.

Damit erfüllt ChatGPT nach Auffassung der Kommission die Merkmale einer Online-Suchmaschine im Sinne des DSA. Es ist ein hybrider Dienst, der beides gleichzeitig ist, Assistent und Suchmaschine. Ein Sprachmodell ohne Webzugriff wäre von der Einstufung nicht betroffen. Die Retrieval-Komponente macht den Unterschied, was an dieser Stelle bedeutet:

„ChatGPT beantwortet eine Frage nicht nur aus dem Wissen des Sprachmodells, sondern kann zusätzlich Informationen aus dem Web suchen, abrufen und in die Antwort einbeziehen.“

Für die Praxis ist diese Begründung wichtiger als das Ergebnis, das von der „Suchmaschine“ zurückgegeben wird. Sie bestätigt aus regulatorischer Perspektive, was wir in den Zugriffszahlen vieler Websites unserer Kunden seit zwei Jahren herauslesen und analysieren können. Somit sind KI-Antworten kein separates Phänomen neben der Suche, sondern eine neue Form von Suche an sich. Dass Google diese Entwicklung ebenfalls längst bewertet, haben wir beim Core Update vom Dezember 2025 ausführlich beschrieben. Wer seine Sichtbarkeitsstrategie noch entlang der Trennlinie „klassisches SEO hier und extra  KI-Experimente dort” umsetzt, arbeitet mit einer Einteilung, die die EU-Aufsichtsbehörde durch ihren Schritt gerade offiziell angepasst hat.

Die Entscheidung betrifft aktuell zunächst nur ChatGPT. Andere KI Assistenten mit Webzugriff wie beispielsweise Gemini (Alphabet / Google) oder Claude (Anthropic), werden dadurch nicht automatisch ebenfalls zu einer VLOSE gestuft. Dafür wäre eine eigene Prüfung und formelle Benennung durch die EU Kommission erforderlich, die aber natürlich noch kommen kann.

Welche Pflichten für sehr große Suchmaschinen gelten

Für die Einordnung der kommenden Monate hilft ein Blick darauf, was OpenAI nun tatsächlich leisten muss. Der Digital Services Act verlangt von sehr großen Plattformen und Suchmaschinen im Kern Folgendes.

Den Anfang macht Artikel 34 mit der Risikobewertung. Sie ist mindestens einmal im Jahr fällig und zusätzlich immer dann, wenn eine neue Funktion kritisch in den Dienst eingreift. Zu bewerten sind die systemischen Risiken aus Konzeption, Betrieb und Nutzung des Dienstes, ausdrücklich auch die der algorithmischen Systeme. 

Daran schließt Artikel 35 an: Auf die gefundenen Risiken müssen Maßnahmen folgen, die zu ihnen passen und die tatsächlich wirken. Dazu kommen ein öffentlich zugängliches Werbearchiv (Artikel 39) und ein Bericht über Bewertung, Maßnahmen und Prüfergebnisse (Artikel 42).

Die Kommission hat in ihrer Mitteilung besonders den Schutz Minderjähriger, die Integrität von Wahlprozessen, den Schutz der Grundrechte und die öffentliche Sicherheit hervorgehoben. Einen abschließenden Katalog der Gefahren nennt sie bewusst nicht. Bewerten muss also zuerst der Anbieter selbst, geprüft und überprüft wird danach.

Aber das betrifft doch nur OpenAI und nicht meine Website, oder?

Rechtlich gesehen ja. Keine dieser Pflichten geht auf einen Webseiten-Betreiber über. Niemand muss wegen dieser Entscheidung aktiv werden, eine Risikobewertung erstellen, ein Meldeverfahren einrichten oder einen Transparenzbericht abgeben. Wer das Thema nur unter Compliance-Gesichtspunkten betrachtet, kann die Meldung getrost ablegen.

Praktisch ändert sich trotzdem etwas, unter Umständen auch für die eigene Website.

Am wichtigsten ist die entstehende Planungssicherheit. Ein als VLOSE benannter Dienst unterliegt jährlichen Risikobewertungen, unabhängigen Audits und einer Aufsichtsgebühr. Wir gehen davon aus, dass solche Strukturen niemand für ein Produkt aufbaut, das in 1-2 Jahren nicht mehr gibt. Wer intern um Budget für diesen Kanal ringt, hat damit ein Argument in der Hand: Der Kanal bleibt und ChatGPT „wird nicht einfach weg gehen“.

Dazu kommt Transparenz nach außen. Einige der Pflichten erzeugen Informationen, die öffentlich einsehbar sind und die es vorher so nicht gab. Was heute aus Drittanbieter-Studien als Schätzung angegeben wird, lässt sich künftig zumindest teilweise real belegen.

Und die eigene Serverkonfiguration bekommt Gewicht. Wenn ChatGPT eine Suchmaschine ist, dann ist die Frage, ob der zugehörige Crawler auf die Website darf, keine technische Detailfrage mehr. Dahingehend ändert sich dann auch die interne Bewertung wie man mit der Listung in KI-Agenten umgehen soll. Bisher hatten viele unserer Kunden berechtigte Sorgen, dass ihr Wissen und Knowhow aus der Webseite abfließt, aber keine neue Kundengewinnung stattfindet. Dies insbesondere dadurch, dass durch die KIs die Antworten direkt geliefert werden. Wenn die LLMs nun als Suchmaschinen verwendet werden, so Pointen sie dann auch auf die Produkte und stellen die betroffene Produktseite im internen Browsersystem dar. Das lässt sich teilweise auch über unsere Trackings und Analysen belegen mit „ChatGPT-User” anfragen. Von daher ist es dann doch wieder interessant, entsprechend Performance im SEO an den Tag zu legen. Das ist damit generell eine Kanalentscheidung, so grundsätzlich wie die Frage, ob eine Website bei Google im Index stehen soll.

Werbung in ChatGPT macht Artikel 39 interessant

Ein Punkt geht in der Berichterstattung bisher fast unter, obwohl er für Marketing-Verantwortliche der greifbarste ist. ChatGPT ist inzwischen ein Werbekanal, auch in Deutschland. Am 24. August 2026 hat OpenAI die Anzeigenauslieferung in 31 europäischen Märkten aktiviert, neben Deutschland unter anderem in Österreich, der Schweiz, Frankreich, Spanien, Italien und Polen. Die Anzeigen erscheinen unterhalb der Antwort und sind durch eine graue Linie von ihr getrennt. Nach Angaben des Unternehmens erhalten Werbetreibende keinen Zugriff auf die Chatverläufe der Nutzer. Wirtschaftlich ist der Kanal ernst zu nehmen. Erst nun Mitte September wurde in Deutschland begonnen, Kunden aktiv anzusprechen und damit Marketing-Accounts zu bewerben. Ende August lag ChatGPT Ads bei einem auf das Jahr hochgerechneten Umsatz von einer Milliarde US-Dollar. Zum Start schon mal nicht so schlecht…

Genau deshalb wird das Werbearchiv aus Artikel 39 interessant. Sobald es veröffentlicht ist, lassen sich Anzeigenformate und die Aktivität der Konkurrenz zum ersten Mal nachvollziehen, ohne sich allein auf die Angaben des Anbieters verlassen zu müssen. Wer über ein Testbudget nachdenkt, wartet deshalb besser ab, bis das Archiv da ist. Dann entscheiden Zahlen und nicht das Bauchgefühl. Aktiv wird von Seiten ChatGPT aber gerade ein Einsteigerbonus von bis zu 500 EURO geboten, wer in gleicher Höhe Budget investiert und wirbt. Hier sieht es danach aus, als würde man schon mal eine große Anzahl an Kunden an den Chatbot binden, damit spätere Gleichstellungen von Konkurrenten wie Google Gemini & Co. es schwerer haben den Markt zu durchdringen.

Was diese Einstufung nicht bedeutet

Nach solchen Meldungen kursieren regelmäßig Fehlschlüsse, insbesondere von KMUs die sich verpflichtet fühlen, etwas zu machen. Die können teuer werden.

Die Einstufung verpflichtet Website-Betreiber zu nichts. Es gibt keine neue Kennzeichnungspflicht, kein neues Meldeverfahren und keine neue Dokumentation, die aus dieser Entscheidung folgt. Wer jetzt Beratungsangebote zum Thema im Postfach hat, sollte genau nachfragen und hinsehen, um was es eigentlich geht.

Sie verbessert auch keine Rankings. Der DSA adressiert Verantwortung und Transparenz, nicht Ergebnisqualität. Aus der Benennung entsteht kein Hebel oder eine Optimierung, mit der sich die eigene Position in ChatGPT-Antworten verschieben ließe.

Und sie öffnet Unternehmen auch nicht den Datenzugang nach Artikel 40. Dieser richtet sich an zugelassene Forschende und an die Aufsicht, nicht an Unternehmen, die ihre eigene Sichtbarkeit auswerten wollen. Dass die Kommission diesen Anspruch durchsetzt, zeigt ihr Verfahren gegen X. Dort hat sie festgestellt, dass Plattformen das gesetzlich verankerte Recht auf Datenzugang nicht in ein von ihnen kontrolliertes Privileg umdeuten dürfen. Eine Bearbeitungszeit von mehr als zwei Monaten hat sie ausdrücklich als unerlaubte Verzögerung gewertet.

Vier Crawler, vier Entscheidungen

OpenAI betreibt vier dokumentierte User-Agents mit klar getrennten Aufgaben. Diese Trennung ist der praktische Kern des Themas. Erst sie macht eine Entscheidung mit Augenmaß möglich.

Wichtig ist vor allem die Trennung von Sichtbarkeit und Training. Eine Sperrung von GPTBot hat keinen Einfluss darauf, ob die Website in ChatGPT-Suchergebnissen zitiert wird. Umgekehrt gilt das genauso. Wer die Trainingsnutzung ausschließen, aber als Quelle sichtbar bleiben möchte, kann genau das konfigurieren. Wer pauschal alle OpenAI-Bots sperrt, steigt dagegen aus dem ganzen Kanal aus, ohne es zu wollen.

Wer Anzeigen schaltet, braucht zusätzlich OAI-AdsBot, denn dieser Crawler prüft die Landingpages. Bei strengen Firewall- oder Bot-Management-Regeln geht das regelmäßig unter.

Die robots.txt gehört in die TYPO3-Site-Konfiguration

Für die Umsetzung braucht es in TYPO3 keine Zusatzentwicklung. Die robots.txt gehört als statische Route in die Site-Konfiguration und nicht als Datei ins Document-Root. So bleibt sie versioniert, pro Site steuerbar und über die Deployment-Kette nachvollziehbar. Bei Mehrdomain-Installationen sollten Sie prüfen, ob jede Site eine eigene Route besitzt. Ein häufiger Fehler ist eine einzige Datei, die nur für die Hauptdomain gilt. Bei übernommenen Installationen finden wir solche Altlasten regelmäßig vor und korrigieren das. Wie wir dabei vorgehen, beschreibt unser Beitrag zur Übernahme von Bestands-Webseiten.

Genauso wichtig sind die Ebenen davor. Bot-Management und CDN-Regeln können die Direktiven in der Praxis überstimmen. Dann sagt die Konfiguration etwas anderes, als der Server tatsächlich tut.

Zwei Details aus der Dokumentation sind beim Testen wichtig. Änderungen wirken erst mit einer Verzögerung von bis zu 24 Stunden, Geduld gehört also dazu, wie so häufig beim Thema SEO oder AIO. Außerdem veröffentlicht OpenAI die IP-Bereiche seiner Crawler, damit lassen sich dann Zugriffe in Server- und WAF-Logs herausfinden und verifizieren. Vertrauen ist gut, das Server-Log ist besser: Den User-Agent kann jeder frei setzen, die IP-Adresse der Anfrage nicht.

Dass Websites das Verhältnis zu Crawlern aktiv gestalten, ist übrigens kein neues Thema. Bing geht mit IndexNow einen vergleichbaren Weg: Websites melden Änderungen dort aktiv, statt auf den nächsten Crawl zu warten. Warum das die Arbeit an der Indexierung verändert, haben wir in einem eigenen Beitrag bereits beschrieben und beleuchtet.

Wenn Sie nur bestimmte Passagen aus Antwortvorschauen heraushalten wollen, statt ganze Pfade zu sperren, hilft ein Blick in unseren Artikel zur Google Search Console und zu den Bing Webmaster Tools. Dort ordnen wir das Attribut data-nosnippet ein, mit dem Microsoft einzelne Bereiche ausschließt, ohne die Seite zu deindexieren. Für OpenAI ist eine Unterstützung dieses Attributs bislang nicht dokumentiert. Hier bleibt daher die robots.txt das wichtigste Steuerinstrument als Basis. Für Abrufe auf direkte Nutzeranfrage gilt allerdings die Einschränkung aus der Tabelle oben, dort greift sie laut OpenAI möglicherweise nicht.

Das Messproblem: ChatGPT hat keine Search Console

Google und Microsoft haben ihre Webmaster-Werkzeuge im Laufe des Jahres 2026 um Berichte zur Sichtbarkeit in KI-Antworten erweitert. Wenn Sie mit diesen Werkzeugen noch nicht vertraut sind, führt unser erster Teil der Artikelreihe in die Grundlagen ein. OpenAI bietet bis heute leider nichts Vergleichbares an. Es gibt keine Property-Verwaltung, keinen Leistungsbericht und keine Zitierungsstatistik.

Messbar sind derzeit ausschließlich Klicks, nicht Zitierungen. In den Zugriffsdaten erscheinen Verweise aus ChatGPT mit dem Parameter utm_source=chatgpt.com, sodass sich Sitzungen zuordnen lassen. Verlassen sollten Sie sich darauf allerdings nicht dauerhaft, denn OpenAI dokumentiert dieses Verhalten in seinen Publisher-Angaben nicht (immer) und kann es jederzeit ändern. Für eine erste Einschätzung reicht das. Für einen verlässlichen Bericht reicht es nicht. Externe Tool wie beispielsweise „Sistrix“ oder „ahrefs“ können hier mehr Licht ins Dunkel bringen. Sie bieten seit geraumer Zeit eine Übersicht der „Nennungen“ in KI-Antworten zu Keywords. Damit ist man dann wenigstens nicht mehr komplett im Blindflug unterwegs als Marketingverantwortlicher.

Wichtig ist, Klicks und Zitierungen getrennt zu betrachten, auch wenn Sie nur die Klicks vor sich haben. Am Ende sind wir dann jetzt da, wo wir 2007 schon waren, und vergleichen selbst die Menge an Enblendungen in Suchmaschinen (Impressions) mit den tatsächlichen Seitenbesuchen (Pageviews/Visits). Eine häufig genannte Seite kann gleichzeitig sinkende Klickzahlen haben, weil die Antwort die Suchintention bereits bedient. Ein guter Teil der Wirkung passiert ohne Klick, reine Klickzahlen unterschätzen den Kanal deshalb. Die Marke wird genannt, eine Aussage übernommen, eine Kaufentscheidung vorgeprägt. Klassisches „Brandmarketing“ hätte man früher gesagt. Wer beide Kennzahlen zu einer Zahl zusammenzieht, liest die Entwicklung falsch. Daher ist auch an dieser Stelle mal wieder die Expertise des Betrachters und vor allem auch die Erfahrung des SEO-Verantwortlichen gefragt, um die Zahlen korrekt deuten zu können.

Bei der Größenordnung bleiben wir trotzdem realistisch und versuchen die Zahlen stets konservativ zu interpretieren. Der Kanal wächst und ist strategisch relevant, ein Ersatz für die organische Suche ist er dennoch nicht. Und schon sind wir zurück beim Thema von oben: Weil die Wirkung wächst, aber schwer zu messen ist, sind die Transparenzpflichten aus dem DSA mehr als eine Pflichtübung.

AI Act und DSA greifen ineinander, aber an unterschiedlichen Stellen

Weil beide Regelwerke KI betreffen und beide im Jahr 2026 relevant geworden sind, werden sie häufig vermischt. Die Trennung ist aber eindeutig und muss auch als solche betrachtet werden.

Der AI Act regelt in Artikel 50 die Transparenz KI-erzeugter Inhalte. Er betrifft Sie als Website-Betreiber unmittelbar, sobald Sie KI-generierte Texte, Bilder oder Videos veröffentlichen. Auch hier haben wir diesen Aspekt in der Praxis beleuchtet, und haben es in unserem Beitrag zur KI-Kennzeichnung nach Artikel 50 und zu den offiziellen EU-Icons beschrieben. Zusätzlich finden Sie eine kurze Begriffsklärung in unserem Glossareintrag zum AI-Act hier.

Der DSA richtet sich dagegen an Vermittlungsdienste, also an Plattformen, Marktplätze und Suchmaschinen. In der hier besprochenen Einstufung als Suchmaschine adressiert er allein OpenAI und setzt damit neue Pflichten fest.

Der gemeinsame Nenner liegt woanders. Beide Regelwerke verlagern die Anforderung von der Technik auf den Prozess. Weder ein Icon noch eine Crawler-Direktive stellt für sich Konformität her, da gehört schon noch mehr dazu. Entscheidend ist eine dokumentierte, nachvollziehbare Zuständigkeit. Dieselbe Logik gilt beispielsweise in automatisierten Übersetzungen in TYPO3. Das Werkzeug erzeugt also einen gewünschten Textstand, die Verantwortung zur Prüfung auf Inhalt und Korrektheit, bleibt aber in der Redaktion erhalten.

Individuelle Umsetzung durch NEW.EGO

Bei TYPO3-Installationen fangen wir bei der Messung an, nicht bei der Konfiguration.

Am Anfang steht die Bestandsaufnahme. Wir werten Server- und WAF-Logs auf die OpenAI-User-Agents aus und verifizieren die Treffer über die veröffentlichten IP-Bereiche. Wir haben eigene Tools zur Messung entwickelt und verwenden diverse Systeme, die ebenfalls Übersicht und Einsicht geben. Beim zusammenführen der Daten und einer Betrachtung mit entsprechender Expertise steht dann erst fest, was wirklich passiert und nicht nur, was in der Konfiguration steht. Das eine ist „Nice to Have“ und das andere das Abbild der „Realität“.  Beides weicht häufiger und teilweise weiter voneinander ab, als man denkt.

Auf dieser Grundlage machen wir konkrete Vorschläge und legen gemeinsam mit Ihnen fest, welche Zugriffsarten erlaubt sein sollen, setzen die Entscheidung in der Site-Konfiguration um und prüfen die vorgelagerten Bot- und CDN-Regeln gegen. Damit der Kanal danach auch sichtbar wird, bekommen Verweise aus ChatGPT eine eigene Kanalgruppe. So verschwinden sie nicht in der Sammelkategorie für Direktzugriffe. Anschließend gleichen wir sie mit den Berichten aus Search Console und Bing Webmaster Tools ab.

Fazit: Aus einem Nebenkanal wird ein Pflichtkanal

Die Benennung von ChatGPT als sehr große Online-Suchmaschine verändert für Website-Betreiber natürlich keine Rechtslage. Sie verändert die Einordnung der Betrachtung dieses Kanals grundlegend. Mehr noch, durch diese neue Art der Informationsverarbeitung ist der neue Kanal erst entstanden. Ein Dienst mit über 159 Millionen monatlich aktiven Nutzern in der EU, der dauerhafte Aufsichtsstrukturen aufbaut und seit August 2026 in Deutschland Werbung ausliefert, ist in unseren Augen kein Experiment mehr, das man von der Seitenlinie beobachtet.

Die konkrete Aufgabe der nächsten Wochen ist entsprechend unspektakulär. Prüfen Sie bewusst und getrennt nach Suche und Training, welche OpenAI-Crawler auf Ihre Website zugreifen dürfen, bilden Sie das Ergebnis in der TYPO3-Site-Konfiguration ab und sorgen Sie dafür, dass der Kanal in der Auswertung überhaupt auftaucht. Das ist an einem Vormittag zu klären. Auf vielen Websites entscheidet das derzeit stattdessen eine pauschale Bot-Sperre. Gewollt ist das meist nicht.

Sichtbarkeit in KI-Antworten ist damit endgültig kein Sonderthema mehr, sondern Teil der Suchstrategie. Wer sie steuern will, muss sie zuerst bewusst zulassen und sich einen Überblick verschaffen.

Ein letzter Punkt wie immer: Wir ordnen hier ein, ersetzen aber keine Rechtsberatung. Bei verbindlichen Fragen zum DSA oder zum AI Act sprechen Sie am besten direkt mit Ihrer Rechtsabteilung oder einer spezialisierten Kanzlei.