Anthropic schlägt Alarm: Das Geheimnis der billigen KI – Zahlen US-Konkurrenten den wahren Preis für Chinas Tech-Wunder?

Heimliche Datenweiterleitung: Wie billige KI-Dienste ihre Kunden täuschen und Konkurrenten ausbeuten

KI-Krieg der Supermächte: Wenn der günstigste Herausforderer heimlich beim teuersten Rivalen rechnen lässt

Der globale Wettlauf um die Vorherrschaft im Bereich der Künstlichen Intelligenz wird zunehmend mit harten Bandagen im Hintergrund ausgetragen. Im Zentrum der jüngsten Kontroverse stehen schwere Vorwürfe des US-Unternehmens Anthropic gegen aufstrebende chinesische KI-Entwickler wie DeepSeek, Alibaba und Moonshot AI. Statt ausschließlich durch eigene Innovationen zu glänzen, sollen diese massenhaft und verdeckt auf das US-Spitzenmodell Claude zugegriffen haben, um wertvolle Trainingsdaten, Denkprozesse und Fähigkeiten zu extrahieren. Besonders brisant: In einigen Fällen sollen sogar echte, teils hochsensible Kundenanfragen heimlich an die amerikanische Konkurrenz umgeleitet worden sein.

Diese Anschuldigungen stellen das viel beachtete chinesische „KI-Preiswunder“ fundamental infrage. Handelt es sich bei den extrem günstigen Angeboten aus Fernost wirklich um das Resultat überlegener Softwarearchitektur und Effizienz – oder beruhen sie zumindest teilweise auf einer dreisten Kostenverlagerung? Aus einem reinen Technikstreit erwächst eine hochkomplexe Wirtschafts- und Sicherheitsfrage. Sie zeigt auf, warum Unternehmen bei der Beschaffung von KI-Modellen künftig weitaus kritischer hinsehen müssen: Denn wer seine Daten in undurchsichtige und verborgene Lieferketten einspeist, riskiert weitaus mehr, als er durch günstige Tokenpreise jemals einsparen könnte.

Der verborgene Preis der billigen KI: Aus einem Technikvorwurf wird eine Wirtschaftsfrage

Anthropics Vorwürfe gegen mehrere chinesische KI-Unternehmen reichen weit über einen gewöhnlichen Streit zwischen Wettbewerbern hinaus. Im Kern geht es nicht nur darum, ob einzelne Anbieter gegen Nutzungsbedingungen verstoßen oder fremde Modelle unerlaubt als Lehrer eingesetzt haben. Entscheidend ist vielmehr, ob ein Teil des überraschend günstigen chinesischen KI-Angebots auf einer Kostenstruktur beruht, in der teure Forschung, Modelltraining, Sicherheitsarbeit und Rechenleistung teilweise von amerikanischen Konkurrenten getragen werden. Sollte sich dieser Verdacht bestätigen, wäre der beobachtete Preiswettbewerb nicht ausschließlich das Ergebnis höherer Effizienz. Er wäre zumindest teilweise eine Form der Kostenverlagerung.

Nach Darstellung von Anthropic wurden seit Februar 2026 sieben in China ansässige KI-Labore bei groß angelegten Versuchen identifiziert, Fähigkeiten des Claude-Modells zu extrahieren. Genannt werden Alibaba, Moonshot AI, DeepSeek, Zhipu beziehungsweise Z.ai, Xiaomi, SenseTime und MiniMax. Die Aktivitäten sollen sich deutlich voneinander unterschieden haben. In einigen Fällen wurden massenhaft künstliche Aufgaben an Claude gesendet, um hochwertige Denk- und Lösungsmuster zu sammeln. In anderen Fällen sollen chinesische Dienste reale Anfragen ihrer eigenen Kunden ohne erkennbare Information an Claude weitergeleitet und dessen Antworten als eigene Leistung ausgegeben haben. Diese zweite Variante ist wirtschaftlich und datenschutzrechtlich besonders brisant, weil sie Modelltraining, verdeckten Fremdbezug und die Verarbeitung realer Kundendaten miteinander verbindet.

Die bisher öffentlich zugängliche Beweislage stammt allerdings überwiegend von Anthropic selbst. Das Unternehmen verfügt über interne Protokolle, Kontomuster, Zahlungsinformationen, technische Signaturen und Netzwerkdaten, die Außenstehende nicht vollständig überprüfen können. Zugleich ist Anthropic Partei in einem intensiven globalen Wettbewerb und hat ein erhebliches wirtschaftliches Interesse daran, die Nutzung seiner Modelle durch Konkurrenten zu begrenzen. Eine nüchterne Analyse muss deshalb zwei Fehler vermeiden: Sie darf die Vorwürfe weder vorschnell als bewiesenen Technologiediebstahl behandeln noch sie allein wegen des Eigeninteresses des Absenders verwerfen. Relevant ist, welche technischen Beobachtungen plausibel dokumentiert sind, welche Schlussfolgerungen daraus gezogen werden und wo Attribution, Absicht und tatsächliche Nutzung der gewonnenen Daten offenbleiben.

Die Größenordnung verändert die Bewertung

Die von Anthropic genannten Mengen sprechen nicht für vereinzelte Experimente. Der größte Komplex wird Betreibern aus dem Umfeld von Alibaba zugerechnet. Zwischen Mai und Juli 2026 sollen mehr als 151 Millionen Interaktionen mit Claude stattgefunden haben, zeitweise nahezu drei Millionen pro Tag. Mehr als 3.500 als betrügerisch eingestufte Konten seien dabei eingesetzt worden. Ziel sei vor allem die Gewinnung detaillierter Lösungs- und Denkspuren für anspruchsvolle Aufgaben aus Softwareentwicklung, logischem Schlussfolgern, Systemprogrammierung und länger laufenden agentischen Prozessen gewesen. Wenn diese Zuordnung stimmt, handelt es sich um eine industrielle Datenbeschaffung und nicht um normale Produktnutzung.

Moonshot AI soll im selben Zeitraum mehr als 23 Millionen Interaktionen erzeugt haben. Besonders schwer wiegt der Vorwurf, Kimi habe innerhalb von zehn Tagen fast 300.000 echte Kundenanfragen an Claude weitergereicht. Dafür sei ein Netz aus 5.380 künstlichen Konten verwendet worden, das überwiegend über Singapur und Japan operierte. DeepSeek werden mehr als 12,1 Millionen Interaktionen innerhalb von 14 Tagen zugerechnet. Zhipu soll Hunderttausende Denkspuren bereinigt und insgesamt mehrere Millionen Interaktionen in eine Aufbereitungs- und Trainingspipeline eingebunden haben. Xiaomi wird mit mehr als 400.000 Anfragen über mehr als 1.500 Konten in Verbindung gebracht. Für SenseTime und MiniMax sind öffentlich weniger präzise Volumina bekannt, doch auch dort beschreibt Anthropic den Einsatz von Zwischenhändlern, Proxy-Diensten oder eigens geschaffenen Zugangsstrukturen.

Ökonomisch ist nicht nur die absolute Zahl wichtig, sondern die Zusammensetzung der Anfragen. Millionen beliebiger Antworten besitzen für das Training nur begrenzten Wert. Hochwertig werden die Daten, wenn Aufgaben gezielt konstruiert, Lösungen bewertet, Fehler korrigiert und komplexe Denkwege rekonstruiert werden. Ein leistungsfähiges Lehrermodell kann damit einen erheblichen Teil jener Arbeit übernehmen, für die ein Entwickler sonst eigene Experten, aufwendige Datenpipelines und umfangreiche Rechenversuche benötigt. Der Grenzwert einer einzelnen Antwort mag niedrig erscheinen. In einer systematisch kuratierten Sammlung kann sich daraus jedoch ein strategischer Datensatz ergeben, der die Qualität eines Konkurrenzmodells bei ausgewählten Fähigkeiten sichtbar erhöht.

Die Größenordnung liefert trotzdem noch keinen vollständigen Beweis für den späteren Einsatz in einem bestimmten Modell. Serverprotokolle können zeigen, dass Konten in auffälliger Weise auf Claude zugriffen, Antworten abgriffen oder reale Konversationen weiterleiteten. Schwieriger ist der Nachweis, welche Organisation die letzte Kontrolle ausübte, welches konkrete Modell mit den Daten trainiert wurde und wie groß der messbare Leistungsgewinn ausfiel. Gerade bei verschachtelten Dienstleistern, Wiederverkäufern, gestohlenen Zugangsdaten und internationalen Proxy-Netzen bleibt Attribution eine Wahrscheinlichkeitsaussage. Die Volumina erhärten den Verdacht einer organisierten Aktivität, ersetzen aber keine unabhängige technische oder gerichtliche Prüfung.

Destillation ist nicht automatisch Betrug

Modelldestillation ist zunächst eine etablierte Methode des maschinellen Lernens. Ein großes, leistungsfähiges Lehrermodell erzeugt Antworten, Bewertungen oder Wahrscheinlichkeitsverteilungen, mit deren Hilfe ein kleineres Schülermodell trainiert wird. Das Schülermodell soll einen möglichst großen Teil der Fähigkeiten übernehmen, benötigt im Betrieb aber weniger Speicher, Energie und Rechenzeit. Innerhalb eines Unternehmens ist dieser Prozess alltäglich. Auch zwischen verschiedenen Unternehmen kann er legitim sein, wenn Lizenzen, Verträge oder ausdrückliche Genehmigungen vorliegen.

Problematisch wird die Methode durch die Art der Beschaffung. Werden Zugangsregeln durch Scheinkonten, gestohlene Kreditkarten, kompromittierte Programmierschlüssel, falsche Identitäten oder technische Umgehungssysteme ausgehebelt, geht es nicht mehr um eine neutrale Trainingsmethode. Dann verbindet sich Destillation mit Täuschung und möglicherweise mit Vertragsbruch, Betrug, unlauterem Wettbewerb oder dem Missbrauch fremder Zugangsdaten. Noch gravierender ist eine verdeckte Weiterleitung realer Kundengespräche. In diesem Fall nutzt der Anbieter nicht nur einen Konkurrenten als Lehrermodell, sondern bezieht dessen Rechenleistung faktisch als unsichtbaren Unterauftragnehmer und setzt seine Kunden einem unbekannten Datenempfänger aus.

Diese Unterscheidung ist wichtig, weil der pauschale Begriff des Diebstahls juristisch zu grob sein kann. Ein Modell wird bei einer typischen Destillation nicht wie eine Datei kopiert. Seine Gewichte werden nicht zwangsläufig entwendet. Stattdessen beobachtet der Angreifer systematisch das Verhalten eines über eine Schnittstelle erreichbaren Systems und trainiert daraus ein anderes Modell. Wirtschaftlich kann dies einer Aneignung teuer entwickelter Fähigkeiten nahekommen. Rechtlich greifen jedoch unterschiedliche Instrumente: Vertragsrecht, Schutz von Geschäftsgeheimnissen, Computerstrafrecht, Datenschutz, Wettbewerbsrecht und möglicherweise Patentrecht. Das Urheberrecht allein bietet häufig keine eindeutige Antwort, weil rein maschinell erzeugte Ausgaben nicht ohne Weiteres als geschützte menschliche Werke gelten und das Schülermodell eine andere technische Architektur besitzen kann.

Die sachgerechte Trennlinie verläuft daher nicht zwischen Destillation und Nichtdestillation, sondern zwischen autorisierter und verdeckter Nutzung. Ebenso entscheidend sind Umfang, Täuschungsabsicht, Sicherheitsumgehung, kommerzieller Zweck und die Herkunft der verwendeten Daten. Wer diese Unterschiede verwischt, riskiert eine Regulierung, die legitime Forschung und effiziente Modellkompression behindert, ohne gezielten industriellen Missbrauch wirksam zu stoppen.

Das Geschäftsmodell hinter dem Preiswunder

Der Wettbewerb zwischen amerikanischen und chinesischen KI-Anbietern wird häufig auf die Frage reduziert, wer ein ähnlich leistungsfähiges Modell billiger trainieren kann. Diese Betrachtung greift zu kurz. Die Gesamtkosten eines Frontiermodells bestehen aus Forschung, Personal, Datenerwerb, Bereinigung, Experimenten, fehlgeschlagenen Trainingsläufen, Hardware, Rechenzentren, Energie, Finanzierung, Sicherheitsprüfungen, Produktentwicklung, Vertrieb und laufender Inferenz. Eine veröffentlichte Zahl zu einem finalen Trainingslauf bildet nur einen Ausschnitt dieses Systems ab.

Das bekannteste Beispiel ist DeepSeek-V3. Für den offiziellen Trainingslauf wurden 2,788 Millionen Stunden auf Nvidia-H800-Prozessoren und daraus abgeleitete Rechenkosten von rund 5,576 Millionen US-Dollar angegeben. Diese Zahl war spektakulär niedrig und trug wesentlich zur Erzählung bei, chinesische Labore könnten amerikanische Spitzenmodelle mit einem Bruchteil der Mittel nachbauen. Sie schließt jedoch frühere Architekturversuche, Datenarbeit, Personal, Infrastruktur, Hardwarekäufe und fehlgeschlagene Experimente ausdrücklich nicht ein. Die Zahl kann für den erfolgreichen finalen Lauf korrekt und technologisch beeindruckend sein, ohne die gesamten Entwicklungskosten abzubilden.

Daraus folgt nicht, dass chinesische Effizienz nur eine Illusion wäre. DeepSeek, Alibaba, Moonshot und andere Anbieter haben echte Fortschritte bei sparsamen Architekturen, Aktivierung einzelner Modellteile, Verstärkungslernen, Datenaufbereitung und der effizienten Nutzung eingeschränkter Hardware gezeigt. Wettbewerbsdruck, ein großer Pool gut ausgebildeter Ingenieure, geringere Personalkosten in bestimmten Funktionen, staatlich unterstützte Infrastruktur und eine konsequente Ausrichtung auf offene Modellgewichte können die Kosten tatsächlich senken. Auch amerikanische Anbieter nutzen synthetische Trainingsdaten, lernen von verfügbaren Forschungsarbeiten und destillieren ihre eigenen Modelle. Die relevante Frage lautet deshalb nicht, ob chinesische Modelle innovativ sind, sondern welcher Anteil ihres Kostenvorteils aus eigener Innovation, strukturellen Standortvorteilen, aggressiver Preisstrategie und möglicherweise fremdfinanzierter Fähigkeitsextraktion stammt.

Wenn ein Anbieter teure Antworten eines Konkurrenten über betrügerische Konten bezieht, entstehen mehrere Verzerrungen. Der Lehreranbieter trägt Forschung und Infrastruktur, während der Schülermodellentwickler nur die Kosten des Zugriffs oder der Umgehung übernimmt. Werden zusätzlich reale Kundenanfragen an das fremde Modell geleitet, kann der chinesische Anbieter seine eigenen Inferenzkosten zeitweise vermeiden und gleichzeitig Daten für das Training sammeln. Ein niedriger Endkundenpreis wäre dann kein reiner Produktivitätsindikator, sondern teilweise das Ergebnis einer nicht ausgewiesenen Vorleistung des Rivalen. Ökonomisch ähnelt dies einem Hersteller, der ein günstiges Produkt anbietet, weil Entwicklung, Qualitätsprüfung und ein Teil der Produktion unbemerkt von einem Wettbewerber getragen werden.

Der eigentliche Engpass sind hochwertige Lerndaten

In der öffentlichen Debatte dominiert die Rechenleistung. Moderne KI benötigt leistungsfähige Chips, große Speicher, schnelle Netzwerke und enorme Mengen Energie. Doch mit zunehmender Verfügbarkeit effizienter Architekturen verschiebt sich der Engpass. Hochwertige Daten für komplexes Schlussfolgern, Programmieren, Werkzeugnutzung und mehrstufige Aufgaben werden strategisch wertvoller. Das offene Internet liefert zwar riesige Textmengen, aber nicht automatisch verlässliche Lösungswege für anspruchsvolle Probleme.

Frontiermodelle sind deshalb nicht nur Produkte, sondern auch Maschinen zur Erzeugung neuer Trainingsdaten. Sie können Aufgaben entwerfen, Lösungen formulieren, alternative Wege vergleichen, Fehler erkennen, Bewertungen abgeben und Daten in standardisierte Formate überführen. Wer massenhaft auf ein solches Modell zugreift, kauft nicht bloß Textausgabe. Er erhält Zugang zu einer verdichteten Form fremder Forschungs- und Trainingsleistung. Besonders wertvoll sind Denkspuren, weil sie dem Schülermodell nicht nur das Ergebnis, sondern eine reproduzierbare Struktur des Lösens vermitteln können.

Die von Anthropic beschriebenen Verfahren zielen deshalb offenbar auf mehr als gewöhnliche Antworten. Genannt werden feste Extraktionsanweisungen, die detaillierte interne Lösungsmuster sichtbar machen sollen, sowie Verfahren, mit denen Denkspuren über mehrere Sitzungen rekonstruiert, bereinigt und bewertet werden. Claude soll teilweise sogar eingesetzt worden sein, um zuvor gewonnene Claude-Daten für das Training eines anderen Modells aufzubereiten. Das Lehrermodell hätte dann gleichzeitig als Datenquelle, Redakteur, Qualitätsprüfer und Werkzeugentwickler gedient.

Für die Industrie hat das eine weitreichende Konsequenz. Der Schutz eines KI-Modells kann sich nicht auf Modellgewichte und Rechenzentren beschränken. Auch die Programmierschnittstelle ist ein strategischer Vermögenswert und eine mögliche Abflussstelle für Fähigkeiten. Klassische Mengenbegrenzungen reichen kaum aus, wenn tausende Konten niedrige Einzelvolumina erzeugen und ihre Anfragen über Länder, Zahlungswege und Zwischenhändler verteilen. Anbieter müssen Verhaltensmuster, Aufgabenähnlichkeiten, zeitliche Koordination und technische Fingerabdrücke erkennen. Gleichzeitig dürfen sie legitime Großkunden nicht durch übermäßige Kontrollen abschrecken.

Verdeckte Weiterleitung zerstört das Vertrauensmodell

Die brisanteste Dimension der Vorwürfe betrifft nicht geistiges Eigentum, sondern Kundendaten. Nach Anthropics Darstellung gelangten unter anderem Aufnahmen aus der Umgebung chinesischer Militärstandorte, interner Programmcode großer chinesischer Unternehmen, Angaben zu Überwachungssystemen, strategische Projektinformationen sowie gültige Zugangsdaten einer russischen Regierungsdatenbank in Claude. Die betroffenen Nutzer sollen angenommen haben, mit Kimi, DeepSeek oder einem darauf aufbauenden Dienst zu arbeiten. Falls diese Darstellung stimmt, kannten sie weder den tatsächlichen technischen Dienstleister noch den Ort und die Regeln der Verarbeitung.

Damit wird ein grundlegendes Prinzip digitaler Beschaffung verletzt. Unternehmen und Behörden wählen einen KI-Anbieter nicht nur nach Antwortqualität und Preis aus. Sie bewerten Rechtsraum, Speicherort, Unterauftragnehmer, Löschfristen, Verschlüsselung, Trainingsnutzung, behördliche Zugriffsmöglichkeiten und Haftung. Eine heimliche Weiterleitung macht diese Prüfung wertlos. Selbst ein formal lokaler oder nationaler Anbieter kann dann sensible Daten in eine ausländische Plattform übertragen, die der Kunde gerade vermeiden wollte.

Der Fall zeigt außerdem, dass Datenresidenz und Modellsouveränität nicht allein durch die Oberfläche eines Produkts gewährleistet werden. Ein chinesischer Name, eine lokale Benutzeroberfläche oder ein Vertrag mit einem regionalen Wiederverkäufer beweisen nicht, dass die Inferenz im zugesagten System stattfindet. Dasselbe Risiko besteht grundsätzlich auch außerhalb Chinas. Jeder KI-Vermittler kann Anfragen dynamisch an wechselnde Modelle senden, sofern technische und vertragliche Kontrollen fehlen. Für Kunden entsteht eine mehrstufige Lieferkette, deren tatsächliche Struktur oft unsichtbar bleibt.

Ökonomisch verwandelt sich ein scheinbar günstiger Dienst dadurch in ein Produkt mit erheblichem verborgenem Risiko. Ein einzelner Abfluss von Zugangsdaten, Quellcode oder vertraulichen Projektinformationen kann den gesamten Preisvorteil vieler Jahre zunichtemachen. Besonders bei Industrieunternehmen, Rüstungszulieferern, Energieversorgern, Logistiknetzwerken und öffentlichen Einrichtungen muss daher der erwartete Schaden in die Gesamtkosten einbezogen werden. Der relevante Vergleich ist nicht der Preis je Million Token, sondern der Preis je zuverlässig gelöster Aufgabe zuzüglich Integrations-, Kontroll-, Datenschutz- und Risikokosten.

Hier erfahren Sie, wie Ihr Unternehmen maßgeschneiderte KI-Lösungen schnell, sicher und ohne hohe Einstiegshürden realisieren kann.

Eine Managed AI Platform ist Ihr Rundum-Sorglos-Paket für künstliche Intelligenz. Anstatt sich mit komplexer Technik, teurer Infrastruktur und langwierigen Entwicklungsprozessen zu befassen, erhalten Sie von einem spezialisierten Partner eine fertige, auf Ihre Bedürfnisse zugeschnittene Lösung – oft innerhalb weniger Tage.

Die zentralen Vorteile auf einen Blick:

⚡ Schnelle Umsetzung: Von der Idee zur einsatzbereiten Anwendung in Tagen, nicht Monaten. Wir liefern praxisnahe Lösungen, die sofort Mehrwert schaffen.

🔒 Maximale Datensicherheit: Ihre sensiblen Daten bleiben bei Ihnen. Wir garantieren eine sichere und konforme Verarbeitung ohne Datenweitergabe an Dritte.

💸 Kein finanzielles Risiko: Sie zahlen nur für Ergebnisse. Hohe Vorabinvestitionen in Hardware, Software oder Personal entfallen komplett.

🎯 Fokus auf Ihr Kerngeschäft: Konzentrieren Sie sich auf das, was Sie am besten können. Wir übernehmen die gesamte technische Umsetzung, den Betrieb und die Wartung Ihrer KI-Lösung.

📈 Zukunftssicher & Skalierbar: Ihre KI wächst mit Ihnen. Wir sorgen für die laufende Optimierung, Skalierbarkeit und passen die Modelle flexibel an neue Anforderungen an.

Mehr dazu hier:

• Managed-AI Platform

Billige Token sind nicht automatisch billige Ergebnisse

Der Listenpreis eines Modells ist leicht vergleichbar und deshalb marktwirksam. Er sagt jedoch wenig über die Wirtschaftlichkeit eines vollständigen Arbeitsablaufs aus. Ein günstiges Modell kann mehr Ausgaben erzeugen, häufiger Werkzeuge falsch einsetzen, zusätzliche Prüfungen benötigen oder eine Aufgabe erst nach mehreren Versuchen lösen. Ein teureres Modell kann bei komplexen Aufgaben insgesamt billiger sein, wenn es mit weniger Token, weniger Wiederholungen und weniger menschlicher Nacharbeit auskommt.

Für Unternehmen sollte deshalb die Kostenrechnung auf der Ebene der gelösten Aufgabe erfolgen. Bei einem Programmierassistenten zählen unter anderem Fehlerquote, Testabdeckung, Zeit bis zur akzeptierten Änderung und Aufwand der Codeprüfung. Bei einem Recherchemodell sind Quellenqualität, Vollständigkeit, Halluzinationsrate und redaktionelle Nacharbeit entscheidend. In einem Kundenservice müssen Lösungsquote, Gesprächsdauer, Eskalationen und regulatorische Fehler berücksichtigt werden. Der Tokenpreis ist nur ein Einsatzfaktor unter mehreren.

Diese Perspektive relativiert sowohl den chinesischen Preisvorteil als auch die Verteidigung amerikanischer Premiumanbieter. Günstige chinesische Modelle können bei hohen Volumina und ausreichend standardisierten Aufgaben tatsächlich überlegen sein. Offene Modellgewichte ermöglichen zudem den Betrieb auf eigener Infrastruktur, eine feinere Anpassung und die Vermeidung dauerhafter Nutzungsgebühren. Umgekehrt können leistungsfähigere geschlossene Modelle bei schwierigen Aufgaben eine höhere Erfolgsquote erzielen und dadurch geringere Gesamtkosten verursachen. Es gibt deshalb keinen allgemeinen Sieger, sondern unterschiedliche Wirtschaftlichkeiten je nach Arbeitslast, Qualitätsanforderung und Risikoprofil.

Die Vorwürfe gegen chinesische Anbieter ändern an dieser Logik nichts, erhöhen aber die Prüfanforderungen. Ein günstiges Modell muss nicht nur zeigen, dass es billig und leistungsfähig ist. Der Anbieter muss plausibel erklären können, wie das Modell trainiert wurde, welche Fremdmodelle oder Datendienstleister beteiligt waren, wie Kundenanfragen verarbeitet werden und ob Antworten dynamisch von Dritten bezogen werden. Fehlende Transparenz ist kein abstraktes Reputationsproblem, sondern ein Kostenfaktor, weil Unternehmen zusätzliche Tests, isolierte Umgebungen und vertragliche Absicherungen benötigen.

Der Rechtsrahmen hinkt dem Markt hinterher

Die juristische Bewertung unerlaubter Destillation ist weniger eindeutig als die moralische Sprache des Technologiewettbewerbs vermuten lässt. Nutzungsbedingungen amerikanischer KI-Anbieter verbieten gewöhnlich den Einsatz ihrer Ausgaben zum Aufbau konkurrierender Modelle. Wer über eigene Konten auf die Schnittstelle zugreift und diesen Regeln zugestimmt hat, kann bei einer Verletzung grundsätzlich vertraglich belangt werden. Schwieriger wird es, wenn Scheinfirmen, Zwischenhändler, gestohlene Konten oder mehrstufige Proxy-Netze eingesetzt werden. Dann muss geklärt werden, welche Partei welchem Vertrag unterlag und in welchem Staat Ansprüche durchsetzbar sind.

Das Urheberrecht bietet nur begrenzten Schutz. Modellgewichte bestehen aus numerischen Parametern, und maschinell erzeugte Antworten sind ohne ausreichenden menschlichen Schöpfungsanteil nicht automatisch urheberrechtlich geschützt. Auch die Übernahme einer Fähigkeit wie Programmieren oder logisches Schlussfolgern ist nicht dasselbe wie das Kopieren eines geschützten Textes. Geschäftsgeheimnisrecht kann stärker greifen, wenn vertrauliche technische Informationen durch unlautere Mittel gewonnen werden. Doch eine öffentlich erreichbare Schnittstelle erschwert die Abgrenzung zwischen erlaubter Beobachtung, Reverse Engineering und unzulässiger Umgehung.

Betrügerische Zahlungsmittel, gestohlene Schlüssel, falsche Identitäten und die Umgehung technischer Sperren können eigenständige Rechtsverstöße darstellen. Datenschutzrecht wird relevant, sobald reale Kundenkonversationen ohne ausreichende Information oder Rechtsgrundlage an Dritte fließen. Bei Militär-, Behörden- oder Infrastrukturdaten kommen Exportkontrollen, Geheimschutz und nationale Sicherheitsvorschriften hinzu. Ein einziger Vorgang kann damit mehrere Rechtsgebiete und Rechtsordnungen gleichzeitig berühren.

Die politische Versuchung besteht darin, diese Lücken durch weitreichende Verbote zu schließen. Das birgt Risiken. Zu breite Regeln könnten Forschung, Interoperabilität, Sicherheitsprüfungen und den Wettbewerb kleiner Anbieter beeinträchtigen. Zu enge Regeln würden industrielle Extraktion kaum erfassen. Sinnvoller wäre eine abgestufte Ordnung, die autorisierte interne Destillation, wissenschaftliche Forschung, kommerzielle Nutzung und täuschungsbasierte Massenextraktion klar unterscheidet. Entscheidend sollten Einwilligung, Umfang, Umgehungsmethoden, Zweck und Gefährdung betroffener Daten sein.

Exportkontrollen erzeugen neue Umgehungsmärkte

Der Konflikt ist eng mit amerikanischen Beschränkungen für Hochleistungschips verbunden. Washington versucht seit Jahren, Chinas Zugang zu besonders leistungsfähiger KI-Hardware zu begrenzen. Im Jahr 2026 wurde die Politik teilweise neu justiert. Bestimmte Chips können unter strengen Bedingungen im Einzelfall genehmigt werden, während besonders leistungsfähige Systeme und verschiedene Weiterlieferungen weiterhin stark beschränkt bleiben. Zugleich wurden Regeln präzisiert, die auch chinesisch kontrollierte Unternehmen außerhalb Chinas erfassen sollen.

Solche Kontrollen erhöhen die Kosten direkter Rechenleistung, beseitigen den Bedarf aber nicht. Sie schaffen Anreize, Rechenkapazität über ausländische Rechenzentren, Zwischenhändler, Cloud-Dienste, gestohlene Schlüssel oder Zugriffe auf fertige Modelle zu beziehen. Der wirtschaftliche Druck verlagert sich damit von der Hardwarebeschaffung zur Zugangsarbitrage. Ein Unternehmen, das nicht genügend Spitzenchips erhält, kann versuchen, die auf diesen Chips erzeugten Fähigkeiten über eine amerikanische Programmierschnittstelle einzukaufen oder unerlaubt abzugreifen.

Darin liegt ein strategisches Paradox. Je stärker die Vereinigten Staaten ihre Hardware und Spitzenmodelle abschirmen, desto wertvoller werden Umgehungsnetzwerke. Gleichzeitig kann ein völliger Ausschluss chinesischer Nutzer die Sicht amerikanischer Anbieter auf die tatsächliche Nachfrage verringern und einen grauen Markt für Wiederverkäufer fördern. Zu offene Zugänge wiederum erleichtern großflächige Destillation und können sensible Fähigkeiten verfügbar machen. Eine wirksame Politik muss daher Hardware, Cloud-Rechenleistung, Modellzugänge, Identitätsprüfung und internationale Partner gemeinsam betrachten.

Eine rein nationale Lösung wird kaum genügen. Proxy-Netze nutzen Länder mit guter Infrastruktur, unkomplizierter Unternehmensgründung und internationalem Zahlungsverkehr. Werden Singapur, Japan, Südostasien oder europäische Standorte als Durchleitungsräume verwendet, benötigen Anbieter und Behörden gemeinsame Mindeststandards für Identitätsprüfung, Meldung kompromittierter Schlüssel und Untersuchung auffälliger Zugriffsmuster. Dabei muss verhindert werden, dass normale Entwickler unter pauschalen Herkunftsverdacht geraten. Risikobasierte Kontrolle ist aufwendiger als ein Länderblock, aber wirtschaftlich und rechtsstaatlich tragfähiger.

Der Marktwert amerikanischer KI-Labore steht auf dem Spiel

Amerikanische Frontieranbieter rechtfertigen hohe Bewertungen und enorme Investitionen mit technologischen Vorsprüngen, Datenvorteilen und Skaleneffekten. Diese Annahme gerät unter Druck, wenn Konkurrenten vergleichbare Fähigkeiten schnell und zu deutlich niedrigeren Preisen anbieten. Anleger müssen dann entscheiden, ob die hohen Ausgaben einen dauerhaften Schutzwall schaffen oder lediglich Forschung finanzieren, deren Ergebnisse über Veröffentlichungen, Mitarbeiterwechsel, offene Schnittstellen und Destillation rasch in den Gesamtmarkt diffundieren.

Die Anthropic-Vorwürfe sind deshalb auch eine Botschaft an Kapitalgeber. Wenn chinesische Wettbewerber einen Teil ihrer Leistungsfähigkeit durch unerlaubte Nutzung amerikanischer Modelle gewonnen haben, erscheint deren Kostenvorsprung weniger als Beweis für eine grundlegend überlegene Kapitalproduktivität. Gleichzeitig kann Anthropic erklären, warum hohe Sicherheits-, Forschungs- und Infrastrukturkosten notwendig sind. Das Unternehmen verteidigt nicht nur technische Regeln, sondern das Investitionsmodell geschlossener Frontierforschung.

Diese Kommunikation löst das ökonomische Problem jedoch nicht. Selbst erfolgreiche Abwehr verhindert nicht, dass Fähigkeiten langfristig günstiger und austauschbarer werden. Die Kosten für eine gegebene Modellqualität sind in den vergangenen Jahren drastisch gefallen. Modellarchitekturen werden effizienter, Chips leistungsfähiger, offene Forschung verbreitet sich und Kunden können Anfragen zwischen mehreren Anbietern verteilen. Ein Geschäftsmodell, das allein auf exklusiver Modellintelligenz basiert, dürfte daher unter anhaltenden Margendruck geraten.

Dauerhaftere Wettbewerbsvorteile liegen wahrscheinlich in Unternehmensintegration, zuverlässigen Agentensystemen, Sicherheit, Haftungsfähigkeit, branchenspezifischen Daten, Werkzeugketten und Vertriebszugang. Ein Modell kann kopiert oder angenähert werden; eine tief in Geschäftsprozesse integrierte Plattform mit Prüfmechanismen, Berechtigungssystemen und langjährigen Kundenbeziehungen ist schwerer zu ersetzen. Die Vorwürfe zeigen damit zugleich die Stärke und die Schwäche von Anthropic: Claude ist offenbar wertvoll genug, um in großem Stil als Lehrer genutzt zu werden, doch genau diese Nutzbarkeit macht einen Teil seines Vorsprungs übertragbar.

Chinesische Anbieter riskieren ihren größten Vorteil

Chinesische KI-Unternehmen haben international von günstigen Preisen, offenen Modellgewichten, schneller Produktentwicklung und wachsender technischer Qualität profitiert. Besonders für Entwickler, kleinere Unternehmen und Staaten, die keine vollständige Abhängigkeit von amerikanischen Plattformen wünschen, sind diese Angebote attraktiv. Die offene Verfügbarkeit verbessert zudem Anpassbarkeit und lokale Kontrolle. Daraus ist ein ernstzunehmendes Gegengewicht zum geschlossenen Plattformmodell amerikanischer Anbieter entstanden.

Die beschriebenen Praktiken könnten diesen Vorteil beschädigen. Wenn Unternehmenskunden befürchten müssen, dass Anfragen an unbekannte Drittmodelle weitergereicht werden, verliert der Anbieter nicht nur Reputation. Er verliert die Glaubwürdigkeit seiner Aussagen zu Datenresidenz, Souveränität und Sicherheit. Für regulierte Branchen ist das existenziell. Ein Modell kann technisch hervorragend sein und dennoch aus Beschaffungsprozessen ausgeschlossen werden, wenn Herkunft und Verarbeitung nicht auditierbar sind.

Auch die Open-Weight-Strategie wird durch pauschale Vorwürfe gefährdet. Offene Gewichte sind nicht gleichbedeutend mit unerlaubter Destillation. Sie können aus eigener Forschung, lizenzierten Daten und legitimen Trainingsverfahren hervorgehen. Werden jedoch offene chinesische Modelle generell als verdeckte Kopien dargestellt, wächst in westlichen Staaten der politische Druck auf Verbote und Beschränkungen. Seriöse chinesische Anbieter hätten deshalb ein eigenes Interesse an unabhängigen Audits, nachvollziehbarer Trainingsdokumentation und einer klaren Trennung von Drittanbietern, Proxy-Diensten und internen Pipelines.

Bislang fehlt in der öffentlichen Debatte häufig eine ausführliche technische Gegendarstellung der beschuldigten Unternehmen. Schweigen ist kein Beweis für Schuld, verringert aber die Möglichkeit einer ausgewogenen Bewertung. Eine belastbare Antwort müsste Kontobeziehungen, Datenflüsse, den Einsatz externer Routingdienste, Trainingsmethoden und den Umgang mit Kundeneinwilligungen erklären. Allgemeine Dementis würden angesichts der genannten Volumina kaum ausreichen.

Europa sitzt zwischen Abhängigkeit und Gelegenheit

Für Europa ist der Konflikt keine entfernte Auseinandersetzung zwischen Washington und Peking. Europäische Unternehmen nutzen amerikanische Modelle, prüfen chinesische Open-Weight-Systeme und entwickeln zugleich eigene souveräne Angebote. Sie sind damit Kunden, Integratoren, Datenlieferanten und mögliche Durchleitungsstellen. Jede Verschärfung des Konflikts kann Preise, Verfügbarkeit und regulatorische Risiken unmittelbar verändern.

Die europäische Chance liegt nicht darin, den amerikanischen oder chinesischen Ansatz vollständig zu kopieren. Ein glaubwürdiges Marktsegment kann durch überprüfbare Datenflüsse, lokale Bereitstellung, Modellwahlfreiheit und vertraglich abgesicherte Nichtverwendung von Kundendaten entstehen. Gerade der Mittelstand benötigt nicht immer das weltweit leistungsfähigste Modell. Er benötigt ein ausreichend gutes System, das sich in bestehende Prozesse integrieren lässt, kalkulierbare Kosten verursacht und vertrauliche Informationen schützt.

Dafür müssen europäische Anbieter und Integratoren ihre Lieferketten transparent machen. Es sollte technisch nachweisbar sein, welches Modell eine Anfrage bearbeitet, in welchem Rechtsraum die Verarbeitung stattfindet und ob ein Fallback auf einen Drittanbieter möglich ist. Protokolle sollten Modellkennung, Region, Zeitpunkt und Richtlinie dokumentieren, ohne den Inhalt unnötig zu vervielfältigen. Verträge müssen unerlaubte Weiterleitung, Training mit Kundendaten und Wechsel des Unterauftragnehmers klar regeln.

Europa kann außerdem unabhängige Prüfstandards fördern. Ein Audit sollte nicht nur Trainingsdaten abfragen, die oft kaum vollständig offengelegt werden können. Es kann Netzwerkverhalten, Abrechnungsströme, Modellfingerabdrücke, Antwortähnlichkeiten, Zugriffskontrollen und die tatsächliche Ausführung in Testumgebungen untersuchen. Solche Nachweise könnten zu einem Wettbewerbsvorteil werden. Vertrauen wäre dann nicht bloß eine Marketingbehauptung, sondern eine messbare Produkteigenschaft.

Unternehmenskunden müssen ihre Beschaffung neu rechnen

Die wichtigste praktische Folgerung lautet, dass Modellwahl nicht mehr als einfacher Leistungsvergleich behandelt werden darf. Ein Unternehmen sollte zwischen dem Modellentwickler, dem Betreiber der Inferenz, dem Vermittler, dem Integrator und möglichen Ersatzmodellen unterscheiden. Diese Rollen können bei einem einzigen Anbieter liegen, müssen es aber nicht. Besonders günstige Dienste sollten erklären, ob sie eigene Rechenkapazität nutzen oder Anfragen an wechselnde Plattformen weiterreichen.

Verträge sollten ein ausdrückliches Verbot nicht genehmigter Weiterleitung enthalten. Unterauftragnehmer, Regionen und eingesetzte Modelle müssen benannt werden. Änderungen sollten der Zustimmung des Kunden bedürfen, zumindest bei vertraulichen oder regulierten Daten. Ebenso wichtig sind Löschfristen, Ausschluss des Trainings mit Eingaben und Ausgaben, Meldepflichten bei kompromittierten Zugangsdaten und überprüfbare technische Protokolle.

Technisch empfiehlt sich eine nach Schutzbedarf gestufte Architektur. Öffentliche Inhalte und unkritische Massenaufgaben können auf preisgünstigen Modellen laufen. Vertrauliche Entwicklungsdaten, personenbezogene Informationen und strategische Dokumente gehören in kontrollierte Umgebungen mit festem Modell, klarer Region und eingeschränkter Speicherung. Hochsensible Informationen sollten zusätzlich minimiert, pseudonymisiert oder vollständig lokal verarbeitet werden. Kein Modellpreis rechtfertigt es, Zugangsdaten, vollständige Kundendatensätze oder unersetzliches geistiges Eigentum ungefiltert in eine nicht überprüfte Schnittstelle zu senden.

Die Wirtschaftlichkeitsrechnung muss neben Tokenpreisen auch Erfolgsquote, Bearbeitungszeit, menschliche Kontrolle, Ausfallrisiko, Anbieterwechsel, Compliance und potenzielle Schäden berücksichtigen. Ein günstiger Anbieter kann bei standardisierten Aufgaben die beste Wahl sein, während ein teureres System für komplexe Agentenprozesse wirtschaftlicher arbeitet. Mehrmodellstrategien können Abhängigkeiten senken, erhöhen aber die Anforderungen an Routing, Überwachung und Datenschutz. Der niedrigste Listenpreis sollte deshalb nie allein über die Vergabe entscheiden.

Schutzmaßnahmen verändern die Produktökonomie

Anthropic reagiert nach eigenen Angaben mit gesperrten Konten, verbesserter Erkennung von Extraktionsmustern, Identitätsprüfungen und einer stärkeren Begrenzung detaillierter Denkspuren. Solche Maßnahmen können den Missbrauch verteuern, haben aber Nebenwirkungen. Strengere Prüfungen erhöhen Reibung und Kosten für legitime Entwickler. Weniger sichtbare Denkprozesse erschweren Fehlersuche, wissenschaftliche Bewertung und anspruchsvolle Unternehmensanwendungen. Aggressive Mengenbegrenzungen können große Kunden behindern oder sie zu Wettbewerbern treiben.

Damit entsteht ein klassischer Sicherheitskonflikt. Ein offenes, leicht zugängliches Modell maximiert Nutzung und Marktdurchdringung, erleichtert aber Extraktion. Ein stark abgeschottetes Modell schützt Fähigkeiten besser, verliert jedoch einen Teil seines Plattformwertes. Die wirtschaftlich optimale Lösung dürfte in abgestuften Zugängen liegen. Verifizierte Unternehmen und Forschungseinrichtungen könnten höhere Grenzen und umfangreichere Funktionen erhalten, während anonyme oder auffällige Konten stärker eingeschränkt werden.

Auch technische Wasserzeichen und Modellfingerabdrücke können helfen, sind aber kein vollständiger Schutz. Ein Schülermodell kann Antworten umformulieren, Daten mischen und mit eigenen Trainingsschritten überlagern. Je stärker es sich vom Lehrermodell entfernt, desto schwieriger wird der Nachweis. Abwehr muss deshalb während des Zugriffs ansetzen, nicht erst am fertigen Konkurrenzmodell. Identität, Zahlungswege, Netzwerkmuster, Anfrageverteilung und inhaltliche Ähnlichkeit ergeben gemeinsam ein belastbareres Bild als ein einzelnes Signal.

Für Anbieter steigen dadurch die laufenden Sicherheitskosten. Diese Kosten werden langfristig in API-Preise, Vertragsbedingungen oder Zugangsbeschränkungen einfließen. Unerlaubte Destillation belastet somit nicht nur den betroffenen Anbieter. Sie kann den Zugang für alle Kunden verteuern und die Offenheit des gesamten KI-Ökosystems verringern. Der scheinbar kostenlose Transfer von Fähigkeiten erzeugt gesellschaftliche Folgekosten in Form stärkerer Überwachung und geringerer Zugänglichkeit.

Eine nüchterne Bewertung der Vorwürfe

Mehrere Elemente der Darstellung sind technisch und ökonomisch plausibel. Große Netze künstlicher Konten, koordinierte Extraktionsanweisungen, hohe Interaktionsvolumina und wiederkehrende Zugriffsmuster lassen sich auf der Plattformseite grundsätzlich beobachten. Auch das Motiv ist nachvollziehbar: Hochwertige Denk- und Lösungsspuren können die Entwicklung konkurrierender Modelle beschleunigen, während Exportkontrollen und hohe Rechenkosten den Anreiz zur Umgehung erhöhen. Die geschilderte Weiterleitung realer Kundenanfragen wäre zudem eine effiziente Methode, zugleich Inferenzleistung und Trainingsdaten zu beziehen.

Offen bleiben dennoch zentrale Punkte. Die Öffentlichkeit hat keinen vollständigen Zugriff auf Anthropics Rohdaten. Die genaue Verbindung einzelner Konten zu Unternehmensleitungen kann über Mitarbeiter, Dienstleister, Wiederverkäufer oder kompromittierte Zugänge unterschiedlich stark sein. Nicht jede weitergeleitete Anfrage muss tatsächlich in ein Trainingsset gelangt sein. Aus technischer Ähnlichkeit folgt nicht automatisch organisatorische Steuerung. Ebenso ist die Höhe des ökonomischen Schadens bislang nicht unabhängig beziffert.

Anthropic besitzt außerdem einen strategischen Anreiz, den Konflikt als Frage nationaler Sicherheit und industriellen Missbrauchs zu rahmen. Das kann sachlich gerechtfertigt sein, stärkt aber zugleich die eigene Position gegenüber Regierungen, Investoren und Konkurrenten. Umgekehrt wäre es ebenso interessengeleitet, die Vorwürfe allein als amerikanischen Protektionismus abzutun. Betrügerische Konten, gestohlene Zugangsdaten und verdeckte Kundendatenweiterleitung wären unabhängig von der Nationalität der Beteiligten problematisch.

Die begründete Perspektive liegt deshalb zwischen Alarmismus und Verharmlosung. Die veröffentlichten Zahlen sind ernst genug, um unabhängige Untersuchungen, technische Gegenbeweise und strengere Unternehmensprüfungen zu verlangen. Sie rechtfertigen aber noch kein pauschales Urteil über die gesamte chinesische KI-Branche. Chinas Kostenvorteile beruhen wahrscheinlich auf einer Mischung aus tatsächlicher Innovation, geringeren Kosten, aggressiver Preissetzung, staatlicher Industriepolitik, offenen Modellen und in einzelnen Fällen möglicherweise unerlaubter Fähigkeitsextraktion. Nur eine differenzierte Betrachtung wird dieser Mischung gerecht.

Der KI-Wettbewerb wird zur Frage der Kostenwahrheit

Der entscheidende ökonomische Konflikt dreht sich nicht darum, ob chinesische oder amerikanische Modelle grundsätzlich besser sind. Er dreht sich darum, welche Kosten sichtbar gemacht und von wem sie getragen werden. Amerikanische Frontieranbieter investieren enorme Summen in Rechenzentren, Forschung und Sicherheit und versuchen, diese Ausgaben über Premiumpreise, Plattformbindung und langfristige Verträge zu refinanzieren. Chinesische Anbieter setzen häufiger auf niedrige Preise, offene Gewichte und schnelle Verbreitung. Beide Modelle können innovativ sein, aber beide erzeugen Anreize zur strategischen Darstellung ihrer Kosten.

Amerikanische Unternehmen haben ein Interesse, jeden unerlaubten Wissenstransfer als Angriff auf geistiges Eigentum zu behandeln. Chinesische Herausforderer profitieren von der Erzählung, vergleichbare Leistung durch überlegene Effizienz erreicht zu haben. Investoren wiederum neigen dazu, einzelne Trainingszahlen oder Benchmarkwerte zu überinterpretieren. Eine belastbare Bewertung verlangt vollständige Systemkosten, überprüfbare Datenherkunft, Kosten je gelöster Aufgabe und die Berücksichtigung von Sicherheitsrisiken.

Sollten die schwerwiegendsten Vorwürfe bestätigt werden, wäre ein Teil des chinesischen Preiswunders tatsächlich falsch bepreist. Nicht weil chinesische Ingenieure keine eigenständigen Fortschritte erzielt hätten, sondern weil bestimmte Anbieter Forschungs-, Inferenz- und Datenkosten auf einen Rivalen und Risiken auf ihre eigenen Kunden verlagert hätten. Der Marktpreis wäre dann niedriger als die gesellschaftlichen und betrieblichen Gesamtkosten.

Sollten sich wesentliche Zuordnungen dagegen als überzogen oder falsch erweisen, müssten amerikanische Anbieter akzeptieren, dass ihr Vorsprung schneller schmilzt als erwartet und hohe Ausgaben nicht automatisch dauerhafte Marktmacht schaffen. In beiden Fällen bleibt dieselbe Lehre: Der globale KI-Markt braucht mehr technische Nachprüfbarkeit. Nicht die lauteste nationale Erzählung, sondern die transparente Herkunft von Fähigkeiten, Daten und Rechenleistung sollte darüber entscheiden, wem Unternehmen, Behörden und Investoren vertrauen.

Gerne stehe ich Ihnen als persönlicher Berater zur Verfügung.

Sie können mit mir unter wolfenstein∂xpert.digital Kontakt aufnehmen oder

mich einfach unter +49 7348 4088 965 anrufen.

LinkedIn