Ausgabe vom 3. Juli 2026

Microsoft hat am 2. Juli mit der „Microsoft Frontier Company“ eine neue operative Einheit vorgestellt, die mit 2,5 Milliarden Dollar und rund 6.000 Branchen- und Engineering-Experten ausgestattet ist. Die Truppe soll — nach dem Vorbild des „Forward Deployed Engineering“ (FDE) — direkt bei Kunden vor Ort arbeiten und dort maßgeschneiderte KI-Implementierungen aufbauen, statt Software nur als Lizenz zu verkaufen. Judson Althoff, CEO von Microsoft Commercial Business und Kopf der Initiative, schreibt, man wolle über das hinausgehen, „was als Forward Deployed Engineering bezeichnet wurde“, und „die größte, fähigste, ergebnisorientierte Engineering-Organisation der Branche“ aufbauen. Als erste Partnerunternehmen nennt Microsoft die London Stock Exchange Group, Unilever, Land O'Lakes und Accenture.

Wichtig zur Einordnung ist, was die „Frontier Company“ nicht ist: kein neues Produkt, keine zusätzliche Copilot- oder Azure-Lizenz und laut einem Microsoft-Sprecher auch keine eigenständige Rechtseinheit — man spricht bewusst nur von einer „purpose-built company with its own leadership and financial accountability“, nicht von einer ausgegründeten Tochtergesellschaft. Die 6.000 Fachkräfte stammen zudem größtenteils aus bereits bestehenden Consulting-, Support- und Engineering-Teams von Microsoft und wurden neu gebündelt, nicht in relevantem Umfang neu eingestellt — ein Punkt, den mehrere Berichte explizit als Korrektiv zur „2,5-Milliarden-Dollar-Startup“-Lesart einordnen. Der eigentliche Unterschied zum bisherigen Copilot/Azure-Geschäft liegt im Modell: Statt Subscriptions zu verkaufen, integriert die Einheit KI-Werkzeuge aus Azure AI, Copilot, Dynamics 365 und der „Frontier Suite“ — laut Berichten auch Modelle von OpenAI, Anthropic und Open-Source-Anbietern — direkt in die Arbeitsabläufe der Kunden.

Damit reiht sich Microsoft in einen Wettlauf ein, über den diese Ausgabe-Reihe bereits berichtet hat: Erst am 30. Juni hatten wir gemeldet, dass Amazon eine Milliarde Dollar in eine eigene Forward-Deployed-Engineering-Truppe steckt — nur zwei Tage vor Microsofts Ankündigung. Beide Konzerne folgen damit einem Muster, das OpenAI und Anthropic bereits im Mai vorgezeichnet hatten: OpenAI hatte mit „The Deployment Company“ eine eigenständige, mit mehr als 4 Milliarden Dollar von einer TPG-geführten Investorengruppe finanzierte Einheit gegründet, Anthropic ein rund 1,5 Milliarden Dollar schweres Joint Venture mit Goldman Sachs, Blackstone und Hellman & Friedman. Microsoft ist damit nach Amazon, OpenAI und Anthropic bereits das vierte große KI-Unternehmen, das binnen weniger Wochen eine eigene Deployment-Einheit aufbaut — ein deutliches Signal, dass sich der Wettbewerb von reiner Modellqualität hin zur Fähigkeit verschiebt, KI tatsächlich produktiv in Unternehmen zu implementieren.

Für CEOs, Produktverantwortliche und Tech Leads ist die strategische Botschaft eindeutig: Die großen Anbieter wetten darauf, dass der Flaschenhals bei der KI-Adoption inzwischen weniger bei den Modellen selbst liegt als bei Integration, Change Management und unternehmensspezifischer Anpassung — der sogenannten „letzten Meile“. Wer künftig mit Microsoft, Amazon, OpenAI oder Anthropic über Enterprise-Deployments spricht, sollte davon ausgehen, dass verstärkt Personal vor Ort statt reiner Software-Lizenzen angeboten wird, mit entsprechenden Auswirkungen auf Vertragsmodelle und Abhängigkeiten. Vorsicht ist dennoch angebracht: Wie stark sich die „Frontier Company“ von Microsofts bereits sehr großem Consulting-Netzwerk tatsächlich unterscheidet, lässt sich anhand der bisherigen Ankündigungen nicht abschließend beurteilen — belastbare Zahlen zu neu geschaffenen Stellen oder zu konkreten Projektergebnissen bei den genannten Referenzkunden liegen bislang nicht vor.

Noch im März feierte Nvidia-CEO Jensen Huang ein „Inference Budget“ als neuen Mitarbeiter-Benefit — Token-Zuteilungen im Wert von rund der Hälfte des Grundgehalts (siehe unsere Ausgabe vom 23. März). Vier Monate später ist die Stimmung gekippt. Wie heise online unter Berufung auf eine Recherche von 404 Media berichtet, sperrte der Finanzkonzern Citi seinen Beschäftigten für mehrere Tage komplett den Zugang zu den neuesten Modellen von Anthropic und OpenAI und verschickte per E-Mail Empfehlungen, welches — meist ältere, günstigere — Modell für welche Aufgabe zu verwenden sei. Atlassian beendete die unbegrenzte KI-Nutzung seiner Angestellten und schaltete ein internes Dashboard frei, auf dem jeder einzelne Mitarbeitende sehen kann, wie viel die eigene KI-Nutzung das Unternehmen kostet. Bei Amazon wurde ein internes Ranking abgeschaltet, das Mitarbeitende nach ihrer KI-Nutzung sortierte — kurz danach tauchten in Belegschafts-Screenshots plötzlich Token-Limits auf. Laut 404 Media, das sich auf geleakte Slack-Chats, interne Dashboards und E-Mails stützt, drosseln mindestens sechs große Unternehmen branchenübergreifend den KI-Zugang, darunter auch Adobe, das den unbegrenzten Claude-Zugang beendete.

Die Zahlen dahinter sind drastisch: Atlassians KI-Ausgaben für Cloud- und Modell-Infrastruktur stiegen laut 404 Media von rund 5 Millionen US-Dollar im August 2025 auf mehr als 15 Millionen US-Dollar im Mai 2026 — eine Verdreifachung binnen neun Monaten, die aufs Jahr hochgerechnet über 120 Millionen Dollar ergäbe. Atlassian selbst bestritt gegenüber 404 Media, dass die Zahlen die tatsächliche Nutzung „akkurat“ widerspiegelten, wollte aber nicht sagen, welche Angaben falsch seien. Ein zentraler Kostentreiber ist laut einer parallelen Analyse von Tom's Hardware der Wechsel von klassischen Chat-Anfragen zu agentischer KI: Autonome Agenten, die mehrere Schritte selbstständig planen und ausführen, können demnach bis zum 1000-Fachen an Tokens verbrauchen wie eine einzelne Standardanfrage. Dieselbe Publikation nennt neben Amazon auch Microsoft und Meta als Konzerne, die intern bereits gegensteuern; unabhängig bestätigt sind diese beiden Fälle bislang allerdings nur über eine Quelle.

Die Kostenfrage ist nicht der einzige Grund für die Kehrtwende. Wie t3n berichtet, ziehen manche CEOs den Stecker nicht wegen der Rechnung, sondern wegen der Ergebnisse: Ein Geschäftsführer soll laut Bericht ein komplettes, zeitlich unbefristetes KI-Verbot für sein gesamtes Unternehmen ohne Ausnahmen verhängt haben. Andere Führungskräfte berichten von KI-generierten Kunden-E-Mails, die zwar schnell, aber sprachlich unbeholfen und inhaltlich falsch waren. Eine von t3n zitierte Section-Umfrage zeigt zudem eine deutliche Wahrnehmungslücke zwischen Hierarchieebenen: Während 19 Prozent der Führungskräfte angeben, durch KI mehr als zwölf Stunden pro Woche zu sparen, berichten 40 Prozent der einfachen Mitarbeitenden von gar keiner Zeitersparnis, nur zwei Prozent kommen überhaupt auf zwölf Stunden. Diese Ergebnis-Skepsis knüpft an eine Reportage vom 21. März an, in der Deloitte nur elf Prozent produktiv eingesetzter KI-Agenten-Projekte zählte und Gartner ein Scheitern von über 40 Prozent aller Agenten-Initiativen bis 2027 prognostizierte.

Bemerkenswert ist der Kontrast zu einer anderen aktuellen Entwicklung: Erst gestern berichteten wir, dass OpenAI seine Inferenzkosten softwareseitig mehr als halbiert habe — Modelle werden pro Token also eher günstiger, nicht teurer. Dass Unternehmensrechnungen trotzdem explodieren, deutet darauf hin, dass nicht die Preise pro Token das Problem sind, sondern das schiere Volumen: Agentische Workflows, die in Schleifen planen, Zwischenschritte verwerfen und neu ansetzen, fressen Tokens unabhängig vom Stückpreis. Ein Vorläufer dieser Entwicklung war bereits im März sichtbar, als Firmen wie Zapier begannen, den Token-Verbrauch einzelner Mitarbeitender systematisch zu messen (Artikel vom 23. März) — was damals als Kontrollinstrument für einzelne Vielnutzer galt, ist inzwischen bei mehreren Großkonzernen zum harten Limit geworden.

Für CEOs, PMs und Tech Leads bedeutet das: Die Phase der ungebremsten KI-Adoption geht in eine Phase der Kostengovernance über. Wer heute noch unbegrenzten Modellzugang gewährt, sollte Nutzungstransparenz, Modell-Routing nach Aufgabentyp und klare Eskalationsschwellen für agentische Workflows einziehen, bevor ein CFO das per Rundum-Sperre erledigt. Einschränkend gilt: Die genaue Zahl betroffener Unternehmen sowie einzelne Detailangaben zu Microsoft und Meta sind bislang nur über eine Quelle belegt und nicht unabhängig gegenrecherchiert; Atlassians Dementi zu den eigenen Kostenzahlen bleibt zudem unaufgelöst.

Anthropic verhandelt einem Bericht von „The Information“ zufolge mit Samsung Electronics über einen eigenen, kundenspezifischen KI-Chip. Im Fokus steht dabei nicht nur Samsungs 2-Nanometer-Fertigungsprozess, sondern auch die Advanced-Packaging-Kapazitäten des Konzerns — jene Technik, mit der Speicher- und Logik-Chips zu leistungsfähigen KI-Beschleunigern zusammengefügt werden. Die Gespräche befinden sich laut übereinstimmenden Berichten von TechCrunch und The Information in einem sehr frühen Stadium: Weder ist entschieden, wofür der Chip konkret eingesetzt werden soll, noch wie leistungsfähig er wird oder wie er sich in bestehende Server-Architekturen einfügt. Auf Anfrage von TechCrunch erklärte Anthropic lediglich, ein diversifizierter Hardware-Stack aus Google-TPUs, Amazon-Trainium und Nvidia-GPUs bleibe zentral für die Compute-Strategie des Unternehmens — eine bewusst zurückhaltende Formulierung, die weder Dementi noch Bestätigung ist.

Dass es Anthropic mit eigener Silizium-Kompetenz ernst meint, deutet eine Personalie an: Das Unternehmen hat kürzlich Clive Chan angeheuert, ein früheres Mitglied von OpenAIs eigenem Custom-Chip-Team. Das liest sich als gezielter Aufbau einer internen Hardware-Engineering-Truppe — ein Muster, das die gesamte Branche seit rund einem Jahr durchläuft. OpenAI hatte erst Ende Juni mit Broadcom seinen ersten eigenen Inferenz-Chip „Jalapeño“ vorgestellt, nachdem bereits Google (TPU/Ironwood), Amazon (Trainium) und Meta (MTIA) eigene ASICs im Feld haben. Die Verschiebung weg vom Nvidia-Quasi-Monopol hin zu kundenspezifischen Inferenz-Chips großer KI-Labore hatte die Reportage „Das Ende des Nvidia-Monopols?“ bereits ausführlich eingeordnet. Anthropic selbst ist über Amazon bereits tiefer Trainium-Kunde: Der im April vereinbarte Deal sieht bis zu 5 Gigawatt neue Trainium-Kapazität und über eine Million Trainium2-Chips bis Ende 2026 vor. Ein Samsung-Projekt wäre also kein Ersatz, sondern eine weitere Diversifizierungs-Spur neben Google und Amazon.

Auffällig ist die Rolle, die Samsung dabei einnimmt — nicht nur als möglicher Fertigungspartner, sondern auch als Kapitalgeber: Samsung, SK Hynix und Micron sollen sich an einer von Anthropics jüngsten Milliarden-Finanzierungsrunden beteiligt haben (Quellenangaben zur genauen Rundengröße variieren, dies ist noch nicht abschließend verifiziert). Das passt zum größeren Bild der vergangenen Woche: Erst am 29. Juni hatten Samsung und SK Hynix eine gemeinsame Investition von über 550 Milliarden Dollar in neue HBM- und DRAM-Fabriken angekündigt, um die als „RAMageddon“ bezeichnete globale Speicherchip-Knappheit zu lindern. Die HBM-Kapazität soll bis 2028 verdoppelt werden — bis dahin bleibt Speicher der Flaschenhals jedes KI-Rechenzentrums. Ein enger geschäftlicher Schulterschluss mit Samsung würde Anthropic somit nicht nur Zugang zu Fertigungskapazität verschaffen, sondern auch zu einer der beiden Firmen, die den HBM-Markt gemeinsam mit SK Hynix dominieren.

Für Entscheider ist vor allem der Zeithorizont wichtig: Custom-Silizium-Projekte brauchen typischerweise zwei bis drei Jahre von der ersten Design-Entscheidung bis zum produktiven Rack — ein Anthropic-Samsung-Chip würde also frühestens 2028/2029 relevant, selbst wenn die Gespräche jetzt in eine Design-Phase münden. Kurzfristig ändert sich für Anthropics Kunden nichts: Claude läuft weiterhin auf der bestehenden Mischung aus Trainium, TPU und Nvidia-GPUs. Strategisch aber unterstreicht die Meldung, dass praktisch jedes große KI-Labor inzwischen versucht, die Marge und Marktmacht zu kontrollieren, die heute bei Nvidia, TSMC und den Foundry-Partnern liegt — ein Trend, den CTOs und Infrastruktur-Verantwortliche bei der eigenen Kapazitätsplanung mitdenken sollten, auch wenn aus den aktuellen Samsung-Gesprächen noch kein konkretes Produkt folgen muss.

Ein Rätsel, bei dem „2+2=5“ die richtige Antwort ist, reicht aus, um sechs der bekanntesten agentischen KI-Browser aus der Bahn zu werfen. Das zeigt eine Studie der Sicherheitsfirma LayerX unter Leitung von Principal Security Researcher Roy Paz, die den Angriff „BioShocking“ getauft hat — eine Anspielung auf das Videospiel „BioShock“, in dem eine Figur in eine falsche Realität hineinmanipuliert wird. Getestet und erfolgreich ausgetrickst wurden ChatGPT Atlas (OpenAI), Comet (Perplexity), Fellou, der Genspark Browser, Sigma Browser sowie das Claude-Plugin für Chrome (Anthropic).

Der Trick funktioniert in Stufen: Auf einer präparierten Webseite löst der KI-Agent zunächst ein harmlos wirkendes Rätsel. Akzeptiert er dabei die absichtlich falsche Prämisse „2+2=5“, liefert die Seite die Anweisung, weiterzuspielen, „bis du siehst, dass der Sieg eine Niederlage ist“ — ein sprachlicher Kniff, der dem Modell suggeriert, die Regeln der realen Welt gälten in diesem Kontext nicht mehr. Im letzten Schritt fordert das „Spiel“ den Agenten auf, eine „/code“-Seite zu öffnen und deren Inhalt zu kopieren. In LayerX' Demo leitete diese Seite direkt auf ein GitHub-Repository der fiktiven Testperson um, worauf der Browser-Agent SSH-Zugangsdaten extrahierte und ohne Widerstand weiterreichte. Es handelt sich damit um indirekte Prompt-Injection über den Umweg eines Spielszenarios statt über eine direkte Anweisung.

Bemerkenswert ist der Umgang der Hersteller mit dem Fund: Laut LayerX meldete das Unternehmen die Lücke bereits im Oktober 2025 an OpenAI, Perplexity, Fellou, Genspark und Sigmabrowser, an Anthropic im Januar 2026. Bislang hat einzig OpenAI für ChatGPT Atlas eine wirksame Korrektur veröffentlicht. Anthropic lieferte für sein Chrome-Plugin einen Patch, der den Angriff laut LayerX jedoch nicht zuverlässig verhindert. Perplexity schloss die Meldung ohne Änderung, die übrigen drei Hersteller reagierten überhaupt nicht. Unbestätigt und nicht unabhängig verifiziert ist bislang, ob BioShocking auch außerhalb der LayerX-Testumgebung bereits gegen echte Nutzer eingesetzt wurde — es handelt sich um einen kontrolliert offengelegten Proof-of-Concept, keinen bekannten Vorfall in freier Wildbahn.

Der Fund reiht sich in eine Serie von Berichten ein, die diese Ausgabe-Reihe in den vergangenen Wochen behandelt hat. In der Reportage „Agentjacking: Wenn ein gefälschter Bug-Report zur Hintertür für KI-Agenten wird“ zeigte die Tenet-Security-Studie mit 85 Prozent Erfolgsquote gegen über 100 Organisationen, wie leicht sich Agenten über manipulierte Kontexte kapern lassen — dort über einen gefälschten Sentry-Bugreport statt über ein Spiel, aber mit demselben Grundmuster: Simon Willisons „lethal trifecta“ aus Zugriff auf sensible Daten, Kontakt mit nicht vertrauenswürdigem Content und der Fähigkeit zur Exfiltration. BioShocking ist im Grunde eine neue Eintrittstür in dieselbe Falle, diesmal direkt im Browser statt über MCP-Server.

Für Entscheider bedeutet das: Agentische Browser, die mit echten Zugangsdaten und angemeldeten Sessions arbeiten, sollten in Unternehmen aktuell mit größter Zurückhaltung eingesetzt werden. LayerX empfiehlt Herstellern explizite Nutzerbestätigung vor sensiblen Aktionen, Kontextprüfungen bei plötzlichen „Realitätswechseln“ im Gesprächsverlauf und harte Scope-Grenzen für agentische Sessions. Unternehmen selbst sollten, bis solche Schutzmechanismen verlässlich greifen, den Zugriff von KI-Browsern auf authentifizierte Systeme aktiv widerrufen oder zumindest auf separate, rechtebeschränkte Konten begrenzen — ganz im Sinne des Least-Privilege-Prinzips, das gegen Agentjacking und Prompt-Injection als zentrale Gegenmaßnahme gilt.

Es klingt nach einem trivialen Unterschied: Nennt man ein KI-Tool „Chatbot“ oder gibt man ihm einen Namen wie „Alex“ und eine Rolle im Team? Laut einer neuen Studie von Emma Wiles, Wirtschaftsprofessorin an der Boston University Questrom School of Business und Digital Fellow am MIT Initiative on the Digital Economy, ist dieser Unterschied alles andere als kosmetisch. In einem kontrollierten Experiment erhielten Testpersonen identischen KI-Output — einmal deklariert als Ergebnis eines gewöhnlichen Chatbots, einmal als Arbeit eines agentischen „KI-Mitarbeiters“ mit Namen und definierter Rolle. Der Output war in beiden Fällen exakt derselbe. Verändert wurde nur die Bezeichnung.

Das Ergebnis: Wurde die Arbeit als die eines „KI-Mitarbeiters“ präsentiert, entdeckten die Testpersonen 18 Prozent weniger Fehler als bei identischem Chatbot-Output. Zusätzlich waren sie 44 Prozent häufiger bereit, fragwürdige Ergebnisse ungeprüft an eine vorgesetzte Person weiterzureichen, statt sie selbst zu korrigieren — was den eigentlichen Zeitgewinn durch den KI-Einsatz zunichtemacht. Wiles und ihre Co-Autor:innen (unter anderem Megan Hsu, Julie Bedard und Matthew Kropp) führen das auf einen psychologischen Mechanismus zurück: Die „Kollegen“-Bezeichnung aktiviert soziale Erwartungen an Kompetenz und Verantwortlichkeit, wie man sie sonst gegenüber Menschen hegt — und verschiebt gleichzeitig die gefühlte Verantwortung für Fehler weg von der prüfenden Person.

Dass dieses Framing längst gängige Praxis ist, zeigt die begleitende Befragung von 1.261 HR- und Finance-Manager:innen: 31 Prozent gaben an, KI in ihrem Unternehmen bereits als „Teammitglied“ oder „Mitarbeiter“ zu bezeichnen, 23 Prozent führen KI-Agenten sogar im offiziellen Organigramm. Je stärker Unternehmen KI-Agenten also anthropomorphisieren — mit Namen, Rolle, Position im Organigramm —, desto größer offenbar das Risiko einer trügerischen Scheinsicherheit bei jenen Menschen, die eigentlich als Kontrollinstanz fungieren sollen.

Kritik an der Vermenschlichung von KI-Systemen kommt auch von prominenter Stelle: Der MIT-Ökonom und Wirtschaftsnobelpreisträger Daron Acemoğlu warnt, KI-Agenten würden derzeit gezielt so vermarktet, als könnten sie Menschen ersetzen — ein Ansatz, den er für aussichtslos hält. Eine ergänzend zitierte Stanford-Studie zeigt zudem, dass Beschäftigte Automatisierung oft ablehnen, selbst wenn Tech-Expert:innen die jeweilige Aufgabe für KI-geeignet halten — ein Hinweis darauf, wie stark Einbindung und Sprache bei der KI-Einführung tatsächlich zählen.

Für Führungskräfte und Produktteams ergibt sich daraus eine konkrete Handlungsempfehlung, die über reine Wortklauberei hinausgeht: Wer KI-Agenten in Workflows integriert, sollte bewusst auf Bezeichnungen verzichten, die Verantwortlichkeit und Kompetenz suggerieren, welche das System faktisch nicht trägt — und Kontrollprozesse so gestalten, dass sie nicht von der sozialen Etikettierung des Tools abhängen. Der Befund ist bislang eine einzelne Studie, wenn auch mit klarem Experimentaldesign und ergänzender Großbefragung; wie robust der Effekt in anderen Branchen und Aufgabenfeldern ausfällt, bleibt eine offene Frage für weitere Forschung.