Ausgabe vom 9. August 2026

Der Satz, der die Woche über durch die Fachpresse lief, fiel im Quartalsgespräch von Cloudflare am Donnerstag. Er stammt nicht von CEO Matthew Prince, dem er vielerorts zugeschrieben wurde, sondern von Finanzchef Thomas Seifert: Wenn die gegenwärtigen Trends anhielten, werde nicht-menschlicher Datenverkehr in fünf Jahren bis zum Tausendfachen des menschlichen erreichen. Menschen würden dann „a rounding error on the internet“ sein — und zwar, wie Seifert ausdrücklich hinzufügte, nicht weil menschlicher Verkehr zurückgehe, sondern weil der maschinelle so schnell wachse.

Was die Aussage über die Zuspitzung hinaus interessant macht, ist der Vergleich mit der eigenen Prognose des Hauses. Matthew Prince hatte öffentlich damit gerechnet, dass automatisierter Verkehr den menschlichen Ende 2027 überholen würde. Nach Cloudflares eigener Messung war es bereits im Mai 2026 so weit: rund 57,5 Prozent automatisierte gegenüber 42,5 Prozent menschlichen HTTP-Anfragen. Anderthalb Jahre Fehleinschätzung bei einem Unternehmen, das diesen Verkehr täglich misst — das ist der eigentliche Befund. Seifert räumte selbst ein, mit früheren Prognosen mehrfach danebengelegen zu haben.

Eine Einschränkung gehört dazu: Gemessen wird crawlbarer HTML-Verkehr. Video-Streaming, E-Mail und Gaming sind nicht enthalten, und die machen den Löwenanteil der tatsächlich bewegten Bytes im Internet aus. Die Zahl beschreibt also die Seite des Netzes, die aus Dokumenten besteht — jene, um die es beim Thema Inhalte und Urheberrecht geht.

Die Wachstumsraten dahinter sind entsprechend steil. Tägliche Anfragen von KI-Agenten haben sich nach Cloudflare-Zahlen binnen eines Jahres um rund 1.700 Prozent erhöht; im Juni 2026 war gut die Hälfte des gesamten Crawler-Verkehrs auf maschinelles Lernen zurückzuführen. Das anschauliche Bild, das Cloudflare dazu liefert: Ein Mensch prüft für einen Kameravergleich vielleicht fünf Shops. Ein Agent durchsucht in derselben Zeit mehrere tausend.

Dass ausgerechnet Cloudflare diese Botschaft sendet, ist kein Zufall, und es lohnt sich, das mitzudenken. Das Unternehmen richtet sein Geschäftsmodell gerade auf diese Verschiebung aus: Seit dem 1. Juli 2025 blockiert es KI-Crawler bei Neukunden standardmäßig, ab dem 15. September 2026 werden Trainings- und Agenten-Crawler auf neu angebundenen werbefinanzierten Domains grundsätzlich gesperrt, während Such-Crawler durchgelassen werden. Der Marktplatz, der ursprünglich Pay Per Crawl hieß, wurde zu Pay Per Use umbenannt — vergütet wird jetzt, wenn Inhalte in einer KI-Antwort auftauchen, nicht mehr bloß beim Abruf.

Genau daran setzt die Kritik an. Cloudflare bedient nach Analysen von Tech Policy Press rund 20 Prozent aller Websites und hält etwa 82 Prozent des Marktes für Bot-Schutz. Ein einzelner Infrastrukturanbieter entscheidet damit faktisch, welche Maschinen welche Teile des Webs lesen dürfen — eine Grundsatzentscheidung, die bisher der dezentrale, freiwillige Standard robots.txt abgebildet hat, wenn auch schlecht. Wer den Verfall dieses Standards beklagt, sollte im Blick behalten, wer davon profitiert.

Was die Zahlen betriebswirtschaftlich für die andere Seite bedeuten — für alle, die Inhalte ausliefern, statt sie zu schützen —, ist die Frage, der wir die Reportage dieser Ausgabe gewidmet haben.

Am Samstagmorgen um 6:31 Uhr UTC schrieb der Gentoo-Entwickler Michał Górny auf Mastodon: „I've taken #Gentoo Bugzilla down, because it was unusable anyway. No point in feeding the #LLM scrapers that are using thousands of different IPv4 addresses, with no obvious patterns I can see.“ Zweieinhalb Stunden später ergänzte er den Beitrag um einen Satz, der die Sache besser beschreibt als jede Statistik: „I'm not a sysadmin, and I don't have time to deal with this shit. I'm just trying to get some useful job done. I'm not supposed to have to be dealing with this.“

Bevor daraus eine Meldung über eine Distribution wird, die kapituliert, gehören drei Einordnungen dazu. Erstens: Es gibt keine offizielle Gentoo-Ankündigung — weder auf gentoo.org noch auf der Entwickler-Mailingliste. Zweitens: Bei unserer Prüfung am Sonntag war bugs.gentoo.org wieder erreichbar. Drittens ist damit unklar, wie weit die Maßnahme technisch reichte — kompletter Shutdown oder Sperre für nicht angemeldete Zugriffe. Was hier passiert ist, war die Kurzschlusshandlung eines einzelnen entnervten Freiwilligen, kein Beschluss eines Projekts. Und genau das macht den Vorgang aussagekräftiger, nicht weniger aussagekräftig.

Denn es war keine spontane Überraschung. Bereits im Oktober 2025 hatte Gentoo die Suche im Bugzilla hinter einen Anmeldezwang gelegt; ein Entwickler begründete das im Projektforum damit, dass Suchanfragen die Datenbank stark belasteten und Bots sie unaufhörlich abfeuerten. Ein Administrator bestätigte im selben Zusammenhang, dass das Proof-of-Work-Gate Anubis — das bei GNOME, den Kernel-Servern, FFmpeg und Wine im Einsatz ist — auf bugs.gentoo.org nicht implementiert war. Der Samstag war die nächste Eskalationsstufe eines seit fast einem Jahr laufenden Abwehrkampfs.

Górnys technische Beschreibung ist dabei der interessanteste Teil: tausende verschiedene IPv4-Adressen ohne erkennbares Muster. Das ist die Signatur von Residential-Proxy-Netzen — Zugriffe über Wohnanschlüsse echter Privatpersonen, die sich technisch nicht von normalen Besuchern unterscheiden lassen. Gegen sie helfen weder Ratenbegrenzung pro IP noch Sperrlisten noch robots.txt. Offizielle Lastzahlen für den Vorfall hat Gentoo nicht veröffentlicht.

Die Diskussion auf Hacker News, die es auf 152 Punkte und über 100 Kommentare brachte, vermutete die Herkunft des Verkehrs in Südostasien und bei chinesischen KI-Projekten. Das ist ausdrücklich Spekulation der Community und keine belegte Zuordnung — bei rotierenden Wohnanschluss-IPs ist Attribution technisch kaum möglich.

Was der Fall zeigt, ist ein strukturelles Missverhältnis. Auf der einen Seite Modellanbieter mit zweistelligen Milliardenbewertungen, für die Bandbreite praktisch nichts kostet. Auf der anderen Seite eine Linux-Distribution, deren Bugtracker von Menschen betreut wird, die das nebenher machen. Gentoo steht in einer Reihe, die seit 2025 immer länger wird: SourceHut, dessen Gründer zeitweise bis zu 100 Prozent seiner Wochenarbeitszeit mit Crawler-Abwehr verbrachte; das GitLab von KDE, das für die eigenen Entwickler unerreichbar wurde; Fedoras Pagure, das in der Spitze den IP-Raum eines ganzen Landes sperrte. Der Unterschied bei Gentoo ist nur, dass diesmal nicht die Infrastruktur zuerst nachgab, sondern der Mensch davor.

Sandra Joyce leitet die Google Threat Intelligence Group (GTIG), jene Einheit, die aus der 2022 übernommenen Sicherheitsfirma Mandiant hervorgegangen ist. Im Interview mit heise online sagt sie den Satz, der die Meldung trägt: Es gebe reichlich Belege dafür, dass mehr Zero-Days gefunden würden als je zuvor. Zero-Days sind Schwachstellen, für die es noch keinen Patch gibt — Angreifer nutzen sie, bevor der Hersteller überhaupt weiß, dass es sie gibt.

Die Zahlen dazu liefert der GTIG-Jahresbericht vom März 2026. Er zählt für 2025 90 Zero-Days, die tatsächlich in freier Wildbahn ausgenutzt wurden. Das ist mehr als 2024 mit 78 — aber weniger als der bisherige Höchststand von 100 im Jahr 2023. Wer die Aussage „mehr als je zuvor“ streng nimmt, findet sie in der reinen Jahreszahl also nicht bestätigt; der Trend über mehrere Jahre und die Zahl der überhaupt gefundenen Lücken sind die belastbarere Lesart.

Aussagekräftiger als die Gesamtzahl ist ihre Zusammensetzung. 43 der 90 Zero-Days zielten auf Unternehmenstechnik — Sicherheitsprodukte, Netzwerkgeräte, Verwaltungssoftware — statt auf Endnutzerprogramme. Bei den Herstellern führt Microsoft mit 25, gefolgt von Google mit 11, Apple mit 8 sowie Cisco und Fortinet mit je 4. Und zum ersten Mal überhaupt liegen kommerzielle Überwachungsanbieter vor staatlichen Akteuren, wenn man die Zero-Days ihren Urhebern zuordnet. Der Markt für Einbruchswerkzeuge ist erwachsen geworden.

Was den KI-Anteil daran angeht, ist Vorsicht geboten: GTIG beziffert nicht, wie viele der 90 Lücken mit KI-Unterstützung gefunden oder ausgenutzt wurden. Belegt ist ein Einzelfall, den die Gruppe im Mai 2026 dokumentierte — die erste bekannte kriminelle Gruppe, die ein Sprachmodell einsetzte, um eigenständig eine Schwachstelle zu identifizieren und einen funktionierenden Exploit dafür zu schreiben, konkret einen Bypass für Zwei-Faktor-Authentifizierung. GTIG-Chefanalyst John Hultquist formulierte damals: „There's a misconception that the AI vulnerability race is imminent. The reality is that it's already begun.“

Joyce selbst argumentiert bewusst symmetrisch. Ihre Gruppe beobachte den KI-Einsatz von Bedrohungsakteuren seit rund acht Jahren; anfangs sei es überwiegend um Social Engineering gegangen, inzwischen auch um technische Angriffsanleitungen. Agentische Systeme nennt sie eine ernsthafte autonome Bedrohung — warnt aber im selben Atemzug vor Überreaktion. Genauso wie Kriminelle und Nachrichtendienste ihre Möglichkeiten mit KI skalierten, könnten das auch jene tun, die die Systeme abdichten.

Die unbequeme Pointe liegt woanders, und Joyce spricht sie im Interview an: Während die Angriffsseite skaliert, verstopft ausgerechnet der Kanal, über den unabhängige Forscher früher Lücken meldeten. Apple hat im Juni 2026 die Zahl offener Einreichungen pro Person gedeckelt und eine Wartezeit von 30 Tagen eingeführt, weil KI-generierte, plausibel klingende, aber falsche Berichte die eigenen Ingenieure banden — wir haben am 4. August darüber berichtet. Noch drastischer war der Fall curl: Daniel Stenberg beendete sein Bug-Bounty-Programm zum 31. Januar 2026, nachdem in den ersten 21 Tagen des Jahres 20 Einreichungen eingegangen waren, von denen keine einzige eine echte Schwachstelle beschrieb. Die Trefferquote lag früher über 15 Prozent, 2025 unter 5. Im März kehrte curl mit verschärften Kriterien zurück.

Für Sicherheitsverantwortliche in Unternehmen ergibt das eine unangenehme Gleichzeitigkeit: mehr Angriffsfläche in genau der Software, die im eigenen Rechenzentrum läuft, kürzere Fristen zwischen Offenlegung und Ausnutzung — und ein Frühwarnsystem, das gerade an der Masse maschinell erzeugter Fehlmeldungen erstickt. Wer sich bislang darauf verlassen hat, dass irgendjemand da draußen die Lücke schon meldet, sollte diese Annahme prüfen.

OpenAI hat die Übernahme von NextSlide bestätigt, einem Werkzeug, das aus Prompts, Notizen, Dokumenten und Rechercheergebnissen fertige, bearbeitbare Präsentationen erzeugt. Gegründet wurde es erst Mitte 2025 von Ahmed Beshry, der zuvor Mitgründer des Checkout-Startups Caper AI war — jenes Unternehmens, das Instacart 2021 übernommen hatte. Der Kaufpreis wurde nicht offengelegt. Nach Angaben des Gründers war der Deal bereits früher im Jahr abgeschlossen und wurde erst jetzt kommuniziert.

Die entscheidende Information steht in der Formulierung, mit der OpenAI die Übernahme beschreibt: Die Teammitglieder arbeiten nun an ChatGPT. Nach Berichten soll das Produkt NextSlide in den kommenden Wochen eingestellt werden. Es handelt sich also nicht um eine Technologieübernahme, sondern um einen Acqui-Hire — gekauft werden die Menschen, nicht die Software. Eine explizite Aussage von OpenAI, dass daraus eine Präsentationsfunktion in ChatGPT wird, gibt es nicht; das ist eine naheliegende Vermutung, mehr nicht.

Bemerkenswert ist weniger der einzelne Deal als seine Serie. Neben den großen Zukäufen — Jony Ives Hardware-Firma io für 6,5 Milliarden Dollar im Mai 2025, Statsig für 1,1 Milliarden — hat OpenAI eine Kette kleiner Team-Übernahmen aufgereiht: Software Applications mit dem macOS-Interface Sky, die Finanz-App Roi im Oktober 2025 (Produkt zwei Wochen später abgeschaltet), Context.ai, Crossing Minds, Alex; 2026 dann Convogo, Torch Health, Crixet, Astral und Promptfoo. Nach Auswertung von Crunchbase News hat OpenAI im laufenden Jahr fast so viele Abschlüsse getätigt wie in ganz 2025. Der einzige große gescheiterte Versuch bleibt der Drei-Milliarden-Deal für Windsurf im Sommer 2025.

Für Gründer im Produktivitätsbereich ist das eine ambivalente Botschaft, und sie lohnt eine nüchterne Lesart. Ein Team, das ein Jahr an einer gut gemachten Anwendung auf einem Fremdmodell arbeitet, wird nicht wegen seines Produkts gekauft, sondern trotz des Produkts — und die Kunden verlieren das Werkzeug. Wer eine Anwendung auf eine Fähigkeit baut, die das Basismodell demnächst selbst mitbringt, verkauft am Ende Personal, nicht Software. Das Konkurrenzfeld für NextSlide — Gamma, Pitch, Beautiful.ai, dazu Microsofts Copilot in PowerPoint — bekommt einen Wettbewerber weniger und einen sehr großen dazu.

Zur Sorgfalt gehört, was sich nicht verifizieren ließ: Sitz, Teamgröße und Finanzierung von NextSlide sind in keiner der geprüften Quellen genannt. Die Meldung selbst ist knapp, und ein Teil dessen, was darüber kursiert, stammt aus einem LinkedIn-Beitrag des Gründers, nicht aus einer Unternehmensmitteilung.

Was Ende Juli in Ceuta geschah, ist auch ohne Technologiebezug außergewöhnlich: Am 30. und 31. Juli gelangten nach Behördenangaben rund 72.000 Menschen von Marokko in die spanische Exklave, die selbst nur gut 80.000 Einwohner hat. Dutzende Menschen starben; spanische Behörden nennen 80 Todesopfer. Bis zum darauffolgenden Dienstag waren bis auf etwa 2.000 die meisten wieder zurückgekehrt.

Der Auslöser für den Andrang waren nach übereinstimmender Darstellung Gerüchte, die sich über soziale Netzwerke verbreiteten: Videos und Nachrichten legten nahe, die sonst streng kontrollierte Grenze sei offen, Migranten könnten bleiben oder aufs spanische Festland weiterreisen. Teilweise beruhte das auf einer irreführenden Auslegung eines Urteils des spanischen Obersten Gerichtshofs. Wichtig für die Bewertung, und in der Berichterstattung ausdrücklich vermerkt: Belege für eine zentral gesteuerte Desinformationskampagne gibt es bislang nicht. Es geht um organisch entstandene, algorithmisch beschleunigte Gerüchte.

Am Freitag traf sich die für Technologiesouveränität zuständige EU-Kommissarin Henna Virkkunen mit Vertretern von Meta und TikTok und äußerte sich anschließend auf X: Plattformen müssten gerade in Krisensituationen entschlossen handeln. Sie forderte mehr Überwachung und engere Zusammenarbeit mit Faktenprüfern und kündigte einen Folgetermin an.

Hier ist Genauigkeit wichtig, weil viele Überschriften anderes nahelegen: Es handelt sich nicht um ein förmliches Verfahren nach dem Digital Services Act. Kein neues Auskunftsersuchen, keine eröffnete Untersuchung, keine Vorabmaßnahme — ein politisches Statement nach einem Gespräch. Was es davon zu unterscheiden gilt, sind die tatsächlich laufenden DSA-Verfahren: Bereits am 24. Oktober 2025 hatte die Kommission vorläufig festgestellt, dass TikTok und Meta gegen Transparenzpflichten verstoßen, konkret beim Datenzugang für Forschende und bei Meta zusätzlich bei den Melde- und Beschwerdewegen für illegale Inhalte. Diese Verfahren haben mit Ceuta nichts zu tun. Der Bußgeldrahmen des DSA von bis zu sechs Prozent des weltweiten Jahresumsatzes gehört zu ihnen, nicht zu Virkkunens Appell.

Eine Stellungnahme von Meta oder TikTok zu den Ceuta-Vorwürfen liegt bis heute nicht vor — das haben mehrere Redaktionen unabhängig voneinander festgehalten.

Das methodische Problem hinter der ganzen Debatte wird selten ausgesprochen, ist für jeden Betreiber eines Empfehlungssystems aber der Kern der Sache: Der Kausalitätsnachweis fehlt. Dass Gerüchte über soziale Netzwerke liefen, ist unstrittig. Dass die Empfehlungsalgorithmen sie ursächlich beschleunigt haben — und dass ohne sie weniger Menschen an die Grenze gekommen wären — ist eine Annahme, die sich empirisch kaum belegen lässt. Zwischen „das Ereignis fand auf der Plattform statt“ und „die Plattform hat es verursacht“ liegt eine Lücke, die auch die Kommission nicht schließt.

Für Unternehmen, die Empfehlungs- oder Ranking-Systeme betreiben, ist die praktische Konsequenz trotzdem klar, und sie ist unabhängig von dieser Lücke: Die Erwartung, in einer Krise binnen Stunden reagieren zu können — virale, potenziell gefährliche Behauptungen erkennen, herunterstufen, prüfen lassen —, wird als regulatorische Selbstverständlichkeit behandelt, lange bevor ein Verfahren eröffnet ist. Ein Post einer Kommissarin entfaltet Wirkung, ohne dass irgendein Beweismaßstab erfüllt sein muss. Die EU baut zudem eigene Beobachtungskapazitäten für soziale Medien aus.

Zur Einordnung: Diese Ankündigung datiert vom 30. Juli. Wir holen sie nach, weil sie in der Nachrichtenlage der vergangenen Wochen zwischen Sicherheitsvorfällen und Rechenzentrumsmeldungen untergegangen ist — und weil sie die für Unternehmen relevanteste Robotik-Meldung des Sommers ist.

Google DeepMind hat Gemini Robotics 2 vorgestellt, und der Fortschritt gegenüber der ersten Generation aus 2025 lässt sich in einem Satz zusammenfassen: Die alte Version steuerte im Wesentlichen einen Oberkörper an einem Tisch. Die neue koordiniert Rumpf, Beine und Arme gemeinsam — Gehen, Hocken, sich drehen und dabei greifen.

Veröffentlicht wurden drei getrennte Modelle, und die Aufteilung verrät die Architektur dahinter. Gemini Robotics 2 VLA ist das Vision-Language-Action-Modell, das Kamerabilder und Sprachbefehle unmittelbar in Motorsteuerung übersetzt — die Ebene der Bewegung. Gemini Robotics ER 2 sitzt darüber und übernimmt räumliches Denken, mehrstufige Planung und die Abstimmung mehrerer Roboter — die Ebene der Absicht. Gemini Robotics On-Device 2 schließlich läuft ohne Internetverbindung auf dem Roboter selbst. Diese Dreiteilung ist das eigentlich Interessante: Sie trennt, was bislang oft in einem Modell vermischt wurde, und macht die Ebenen einzeln austauschbar.

Hauptdemonstrator ist der Humanoid Apollo 2 von Apptronik, ausgestattet mit Händen von SharpaWave und Inspire; eine der Hände hat 22 Freiheitsgrade und schafft nach Google-Angaben feinmotorische Aufgaben wie Knoten binden oder einen Ziplock-Beutel verschließen. Weitere Roboterplattformen — Boston Dynamics, Agile Robots, Franka Duo — werden genannt, wobei aus den Unterlagen nicht hervorgeht, ob es sich um Kooperationen oder lediglich um kompatible Zielsysteme handelt. Neue Roboterkörper lassen sich laut DeepMind mit weniger als 200 Beispielen in wenigen Stunden anlernen.

Bei den Leistungszahlen ist Zurückhaltung angebracht, und zwar doppelt. Erstens stammen sämtliche Werte aus internen Evaluierungen von Google DeepMind; eine unabhängige Nachprüfung existiert nicht. Zweitens ist die Streuung selbst die Nachricht: 92 Prozent Erfolgsquote beim Ausschrauben einer Glühbirne klingen beeindruckend — beim Greifen von Objekten schafft Apollo 2 mit Inspire-Händen aber 76,3 Prozent aus dem Regal, 68,4 Prozent vom Tisch und nur 45,7 Prozent vom Boden. Mit Greifern statt Händen liegen die Werte zwischen 74,2 und 89,6 Prozent.

Wer aus diesen Zahlen eine Investitionsentscheidung ableiten will, sollte sich an der Untergrenze orientieren, nicht am Spitzenwert. Ein System, das in etwas mehr als der Hälfte der Fälle vom Boden aufhebt, ist in einem Lager oder einer Fertigung nicht einsetzbar — es ist ein Forschungsergebnis, kein Produkt. Konsequenterweise gibt es Gemini Robotics 2 vorerst nur für ausgewählte Partner im Early Access.

Erwähnenswert ist ein Nebenaspekt, der zum Rest dieser Ausgabe passt: DeepMind hat gleichzeitig einen Sicherheits-Benchmark namens ASIMOV-Agentic vorgestellt, der misst, ob ein Agent unsichere Werkzeugaufrufe verweigert. Dass ein Robotik-Launch das Verweigern von Aktionen als eigene Messgröße mitliefert, war vor einem Jahr noch nicht selbstverständlich.

Zur Einordnung: Der Standard wurde am 30. Juli verabschiedet; die deutschsprachige Berichterstattung setzte erst Anfang August ein. Wir bringen die Meldung deshalb mit dem Ereignisdatum, nicht mit dem Datum der Übersetzung.

Das chinesische Industrieministerium MIIT hat gemeinsam mit der Marktaufsicht SAMR und der Standardisierungsverwaltung den Standard GB 44721-2026 verabschiedet — „Safety Requirements for Autonomous Driving Systems of Intelligent Connected Vehicles“. Er ersetzt die bisherige, freiwillige Empfehlung GB/T 44721-2024 und wird zum 1. Juli 2027 verbindlich. Das Präfix ist dabei kein Detail: In der chinesischen Systematik steht GB/T für eine Empfehlung, GB für eine Pflicht.

Der Standard gilt für Pkw und Nutzfahrzeuge mit Systemen der Stufen L3 und L4 — also dort, wo das Fahrzeug die Fahraufgabe zeitweise vollständig übernimmt und der Mensch nicht permanent überwachen muss. Automatisierte Parkfunktionen sind ausgenommen. Der zentrale Maßstab ist bemerkenswert formuliert: Ein System muss mindestens so sicher sein wie „a competent and attentive driver“. Das ist keine technische Schwelle, sondern eine Referenz auf menschliches Verhalten — und damit ausdrücklich anders angelegt als eine reine Funktionsprüfung.

Konkret verlangt der Standard für L3 eine Fahrerüberwachung per Sensorik und Biometrie, die erkennt, ob der Mensch schläft oder das Fahrzeug verlassen hat, eine definierte Übernahmeaufforderung und — wenn niemand reagiert — ein automatisches Minimal-Risiko-Manöver: Spurwechsel, kontrolliertes Anhalten, Warnblinker. Pflicht wird außerdem ein Datenrekorder (DSSAD), der das Geschehen vor und während eines Unfalls aufzeichnet — im Kern ein Flugschreiber fürs Auto, gestützt auf einen seit Januar 2026 geltenden nationalen Standard. Hersteller müssen vier Dimensionen nachweisen (Sicherheitsrichtlinie, Risikomanagement, Sicherheitsgarantie, kontinuierliche Verbesserung) und ein dreistufiges Prüfverfahren durchlaufen.

Der Anlass für all das lässt sich auf ein Datum zurückführen. Am 3. März 2025 starben drei Menschen, als ein Xiaomi SU7 im Assistenzmodus mit 116 km/h gegen einen Betonpfosten prallte. Am 16. April 2025 lud das MIIT rund 60 Herstellervertreter zu einem Krisentreffen. Als unmittelbare Folge — und das ist wichtig: als separate Maßnahme, nicht als Teil dieses Standards — verbot China Werbebegriffe wie „autonomes“ oder „intelligentes Fahren“ und führte eine Genehmigungspflicht für Software-Updates ein, die Assistenzfunktionen bereits ausgelieferter Fahrzeuge verändern.

Für internationale Hersteller steckt die eigentliche Nachricht im Verfahren, nicht in den Anforderungen. GB 44721-2026 nimmt zwar ausdrücklich Bezug auf die UN-Regelwerke ADS GTR und UNECE R157, geht aber in den Details darüber hinaus und verlangt eine eigene chinesische Drittprüfung. Eine europäische oder amerikanische Typgenehmigung wird nicht automatisch anerkannt. Wer L3 in China anbieten will, muss den chinesischen Weg gehen — unabhängig davon, was er anderswo schon nachgewiesen hat.

Wie hoch diese Hürde ist, zeigt die Bilanz vor dem Standard: Bis Dezember 2025 hatten nach Berichten lediglich zwei Hersteller eine L3-Genehmigung erhalten, Changan mit der Marke Deepal und BAIC mit Arcfox. Damit ordnen sich drei Regulierungswelten nebeneinander: Europa arbeitet mit UNECE R157, die USA verzichten auf einen bundeseinheitlichen Standard und setzen auf Selbstzertifizierung, China baut einen dritten, zentral gesteuerten Weg. Wer in allen drei Märkten verkaufen will, zertifiziert künftig dreimal. Wie sich der Standard auf einzelne Hersteller auswirkt, ist in den vorliegenden Quellen nicht belegt — dazu kursieren derzeit vor allem Einschätzungen.