Ausgabe vom 18. August 2026

Nvidia hat am 17. August offiziell mitgeteilt, dass der Technologiecampus PORTS-Pike in Pike County, Ohio, ausschließlich Nvidia-Rechentechnik beherbergen wird. Die Pressemitteilung nennt zwei Zusagen: Kreditunterstützung für den Bau — in der Formulierung des Unternehmens „credit support on land, power, and shell buildout“ — sowie eine Direktinvestition von 1,5 Milliarden Dollar in den Entwickler SB Energy, eine SoftBank-nahe Gesellschaft. heise berichtete am selben Tag über den entscheidenden Punkt, der in der Pressemitteilung nicht in dieser Deutlichkeit steht: Die Garantie ist gegenüber dem im Juli Verhandelten erheblich geschrumpft.

Die Zahlen dazu: CNBC hatte Ende Juli über eine Größenordnung von bis zu 250 Milliarden Dollar berichtet. Der jetzt genannte Betrag liegt bei rund 105 Milliarden Dollar. Das ist weniger als die Hälfte. Ebenso wichtig wie die Höhe ist die Verengung des Gegenstands: Die Garantie deckt nach Nvidias eigener Beschreibung definierte Anteile von Miet- und Stromzahlungen ab, nicht sämtliche Kosten. Grundstück, Energieanbindung und Gebäudehülle sind das, was übrig bleibt, wenn man das finanziell am schwersten kalkulierbare Element — den laufenden Betrieb über zwanzig Jahre — herausnimmt.

Zum Projekt selbst, weil die Dimensionen sonst abstrakt bleiben. PORTS-Pike entsteht auf dem Gelände der stillgelegten Urananreicherungsanlage Portsmouth in Süd-Ohio. Die erste Ausbaustufe ist mit 4,25 Gigawatt IT-Leistung angesetzt, mit einer Option auf weitere 3,75 Gigawatt, insgesamt also bis zu acht Gigawatt. Mieter ist OpenAI, mit einem Mietvertrag über zwanzig Jahre; die Inbetriebnahme soll ab 2028 in Stufen erfolgen. heise beziffert die Gesamtprojektkosten grob auf 500 Milliarden Dollar. SB Energy plant am Standort zusätzlich eigene Stromerzeugung im zweistelligen Gigawattbereich, darunter ein Gaskraftwerk, sowie Investitionen in das Netz in Ohio. OpenAI hat den Beitritt zum Projekt am 17. August in einem eigenen Blogbeitrag bestätigt und dabei die regionalwirtschaftliche Seite betont.

Was hier eigentlich passiert, ist ein Tausch von Haftung gegen Kontrolle — und der lohnt eine Erklärung, weil das Konstrukt ungewöhnlich ist. Eine Kreditgarantie bedeutet: Fällt der Mieter aus, zahlt der Garantiegeber. Nvidia hätte in der ursprünglich verhandelten Fassung also für einen erheblichen Teil des Ausfallrisikos eines einzelnen Kunden geradegestanden, dem es gleichzeitig Hardware verkauft. Die neue Fassung reduziert dieses Risiko und ersetzt einen Teil davon durch etwas anderes: 1,5 Milliarden Dollar Eigenkapital beim Bauherrn, wofür Nvidia die Rolle als exklusiver Lieferant der Recheninfrastruktur erhält. Statt für fremde Zahlungsströme zu bürgen, sichert man sich einen Absatzkanal.

Der Grund für die Korrektur ist in mehreren Berichten benannt und heißt Zirkelfinanzierung. Der Vorwurf lautet, Nvidia finanziere zunehmend die Nachfrage nach den eigenen Produkten selbst mit — der Umsatz von morgen entstünde dann teilweise aus dem Kapital von heute. Ob das im Einzelfall zutrifft, ist eine Bilanzierungsfrage; dass Investoren sie stellen, ist belegt, und die halbierte Garantie ist die sichtbare Antwort darauf.

Zur Abgrenzung, weil in den vergangenen Tagen mehrere Nvidia-Meldungen mit großen Zahlen liefen und sie leicht ineinanderlaufen. Das 13F-Formular vom 16. August betraf Nvidias Wertpapierdepot — Beteiligungen an Intel, SpaceX und anderen, insgesamt 63,4 Milliarden Dollar zum Stichtag 30. Juni. Damit hat die heutige Meldung nichts zu tun: Hier geht es nicht um Kapitalanlagen, sondern um Bau- und Absatzfinanzierung für ein konkretes Projekt. Näher liegt die Verbindung zum 12. August, als Nvidia mit sechs Wall-Street-Häusern das Ziel ausgab, 500 Milliarden Dollar an Drittkapital für KI-Infrastruktur zu mobilisieren. PORTS-Pike ist der erste große Einzelfall aus genau diesem Umfeld — und er zeigt, dass die Ankündigung in der Praxis mit spitzerem Bleistift gerechnet wird als in der Pressemitteilung.

Für Unternehmen ohne eigene Rechenzentrumspläne ist der praktische Gehalt indirekt, aber real. Wer 2028 Rechenkapazität einkauft, kauft sie aus Anlagen, die heute finanziert werden. Die Konditionen dieser Finanzierung — wer welches Risiko trägt und wer welche Exklusivität zugesagt hat — bestimmen mit, wie viele Anbieter es dann gibt und wie austauschbar sie sind. Ein Campus, der vertraglich auf einen einzigen Hardware-Lieferanten festgelegt ist, ist ein Stück weniger Wettbewerb in einem Markt, in dem Wettbewerb derzeit das einzige ist, was die Preise drückt.

Groq hat am 17. August eine Finanzierungsrunde über 350 Millionen Dollar bei einer Bewertung von 3,5 Milliarden Dollar bekanntgegeben. Angeführt wird sie von der Investmentgesellschaft Disruptive; Nvidia beteiligt sich nach Angaben von TechCrunch ebenfalls. Im September 2025 war dasselbe Unternehmen mit 6,9 Milliarden Dollar bewertet worden. Groq weist die Lesart einer Abwärtsrunde zurück: Bewertet werde die Version des Unternehmens nach der Nvidia-Lizenz, nicht die davor.

Dieses Argument ist ungewöhnlich, aber es trägt — man muss dazu die Vorgeschichte kennen. Groq wurde 2016 von Jonathan Ross gegründet, der zuvor bei Google an der ersten Generation der Tensor Processing Units gearbeitet hatte. Das Produkt war die LPU, ein auf Inferenz spezialisierter Chip: kein Alleskönner wie eine Grafikkarte, sondern eine Architektur, die darauf ausgelegt ist, ein bereits trainiertes Modell mit möglichst wenig Verzögerung antworten zu lassen. Am 24. Dezember 2025 zahlte Nvidia rund 20 Milliarden Dollar für eine nicht-exklusive Lizenz an dieser Technologie — keine Übernahme des Unternehmens, aber ein Personaltransfer, bei dem Ross und ein Großteil der Hardware- und Software-Ingenieure zu Nvidia wechselten.

Was zurückblieb, war eine Firma mit Rechenzentren, Kundenbeziehungen und ohne die Leute, die den Chip gebaut hatten. Über den daraus folgenden Kurswechsel — bis zu 650 Millionen Dollar von Bestandsinvestoren für den Umbau zur Inferenz-Cloud — haben wir in unserer Ausgabe vom 30. Mai berichtet. Die jetzige Runde ist die erste, die diesem Umbau einen Preis gibt, und 3,5 Milliarden Dollar sind für ein Unternehmen, das sein Kern-Patentwissen verkauft hat, keine offensichtlich schlechte Zahl. Die Formulierung, es werde ein anderes Unternehmen bewertet, ist insofern kein Ausweichmanöver, sondern zutreffend.

Kurz zum Begriff, der die neue Strategie beschreibt: „Neocloud“ bezeichnet einen unabhängigen Cloud-Anbieter, der sich auf Beschleuniger-Rechenzeit spezialisiert hat, statt ein vollständiges Cloud-Sortiment anzubieten — CoreWeave und Nebius sind die bekanntesten Vertreter. Das Geschäftsmodell ist im Kern Vermietung: Man kauft Hardware, baut Rechenzentren, verkauft Stunden. Groq betreibt nach eigenen Angaben dreizehn Rechenzentren in Nordamerika, Europa, dem Nahen Osten und dem asiatisch-pazifischen Raum und will die Kapazität von 54 auf über 200 Megawatt bis 2027 steigern. Die genannte Nutzerzahl von über sechs Millionen Entwicklern und Unternehmen sollte man mit Vorsicht lesen — im Mai war noch von gut 800.000 Entwicklern auf GroqCloud die Rede, und ein solcher Sprung deutet eher auf eine geänderte Zählweise hin als auf achtfaches Wachstum in drei Monaten.

Die Pointe liegt darin, was Groq künftig vermietet: Nvidia-Grafikkarten. Ein Unternehmen, das mit dem Versprechen angetreten war, Inferenz sei auf Spezialhardware grundsätzlich schneller und billiger als auf GPUs, verdient sein Geld nun damit, GPUs stundenweise weiterzureichen — mit Nvidia als Investor in derselben Runde.

Nebeneinandergelegt ergeben die Meldungen der vergangenen Woche zwei gegensätzliche Wetten auf dieselbe These. Am 14. August haben wir über OpenAIs Ultrafast-Angebot berichtet, das Geschwindigkeit als eigenes Produkt verkauft und dafür auf die Wafer-Scale-Chips von Cerebras setzt — Spezialhardware also, mit voller Überzeugung. Am 15. August kam Kog dazu, elf Leute in Frankreich, die handgeschriebenen GPU-Assembler gegen dasselbe Problem stellen. Groq verkörpert die dritte Antwort: Die These stimmte, das Geschäft daraus zu machen gelang nicht, also verkauft man die These und behält den Betrieb. Welcher Weg trägt, entscheidet sich nicht an der Architektur, sondern daran, wer die Auslastung seiner Anlagen finanzieren kann.

Das Rechercheportal 404 Media hat am 17. August beschrieben, wie es einen Peilsender in eine Sendung antiquarischer Bücher legte und deren Weg verfolgte. Sie endete in einer Amazon-Einrichtung in Las Vegas mit der internen Kennung VGT3. Mitarbeiter dort schilderten dem Portal, dass Buchbindungen abgetrennt werden, um die Seiten schneller einzeln scannen zu können — ein Verfahren, das das gedruckte Original zerstört. TechCrunch und der deutschsprachige Dienst The Decoder griffen die Recherche auf.

Was Amazon bestätigt hat und was nicht, ist hier wichtig. Das Unternehmen erklärte gegenüber 404 Media, man kaufe Bücher „through commercial channels to improve the products and services customers use“. Damit ist der Ankauf von Büchern zu KI-Zwecken eingeräumt. Das Zerschneiden selbst hat Amazon weder bestätigt noch bestritten; es beruht auf Aussagen von Mitarbeitern gegenüber dem Portal. Dass die Scans in die hauseigene Modellfamilie Nova fließen, ist ebenfalls berichtet, nicht bestätigt. Und der Umfang — wie viele Bücher, seit wann, mit welchem Budget — ist in keiner Quelle beziffert. Wer eine Zahl liest, sollte sie sich zeigen lassen.

Interessanter als die Empörung ist die Frage, warum ein Konzern mit Amazons Rechtsabteilung so vorgeht. Die Antwort steht in einem Urteil, über das wir bereits berichtet haben. Richter William Alsup entschied im Verfahren Bartz gegen Anthropic, dass das Training an rechtmäßig erworbenen Büchern fair use ist — und dass das destruktive Einscannen gekaufter Exemplare dabei unproblematisch bleibt, weil keine zusätzliche Kopie entsteht: Das digitale Exemplar ersetzt das gedruckte, das vernichtet wird. Rechtswidrig war ausschließlich der andere Strang, das Herunterladen von Millionen Büchern aus Schattenbibliotheken. Genau dafür zahlte Anthropic 1,5 Milliarden Dollar Vergleichssumme, deren endgültige Genehmigung wir in der Ausgabe vom 21. Juli ausgewertet haben — rund 3.000 Dollar je Titel bei etwa 500.000 Werken.

Damit ist die Kalkulation für jeden Nachahmer offengelegt. Ein antiquarisches Buch kostet wenige Dollar. Ein raubkopiertes Buch kostet im Ergebnis 3.000. Ein lizenziertes Buch kostet — soweit überhaupt öffentlich bekannt — 5.000 Dollar: Das ist der Satz aus dem Vertrag zwischen Microsoft und HarperCollins vom November 2024, von dem die Hälfte an die Autorin oder den Autor geht, und der nur für ausdrücklich zustimmende Rechteinhaber, nur für ältere Sachbuchtitel und mit einer Ausgabebegrenzung von 200 Wörtern beziehungsweise fünf Prozent des Textes gilt. Der günstigste legale Weg zu einem Buch führt in dieser Rechnung über die Papierschneidemaschine. Aus den Anthropic-Verfahrensunterlagen ist dafür sogar der interne Projektname überliefert, den heise zitiert: „Project Panama ist unser Vorhaben, alle Bücher der Welt destruktiv zu scannen.“

Am selben Tag berichtete heise über die andere Hälfte des Bildes: eine Konsultation mit 432 eingereichten Stellungnahmen, in der sich die Fronten zur europäischen Lizenzfrage sortieren. Der Börsenverein des Deutschen Buchhandels wirft KI-Entwicklern vor, sich „systematisch der Lizenzierung zu entziehen und Raubkopien als wertvollste Trainingsdaten zu verwenden“. Die Initiative Urheberrecht hält die geltende Widerspruchslösung für praxisfern und fordert eine Zustimmungslösung. Die GEMA will ein neues Verwertungsrecht für die kommerzielle Weiterverwendung von KI-Ausgaben. Anthropic hält dagegen, das Erlernen urheberrechtsfreier Fakten und Muster aus bestehenden Werken solle „nicht rechtswidrig werden oder eine Vergütung erfordern“.

Der Streitpunkt dahinter ist eine technische Klausel mit großer Wirkung. Artikel 4 der EU-Urheberrechtsrichtlinie erlaubt Text- und Data-Mining, sofern der Rechteinhaber nicht widerspricht — und dieser Widerspruch muss „maschinenlesbar“ erklärt werden. Wie streng das gemeint ist, hat das Oberlandesgericht Hamburg am 10. Dezember 2025 im Verfahren des Fotografen Robert Kneschke gegen LAION entschieden: Ein in normalem Deutsch formulierter Nutzungsvorbehalt genügt nicht. Wer nicht in einem Format widerspricht, das eine Maschine auswerten kann, hat praktisch nicht widersprochen.

Für Unternehmen, die auf fremden Modellen aufbauen, ist die Konsequenz weniger dramatisch als die Bilder von zerschnittenen Büchern, aber konkreter. Die Herkunft der Trainingsdaten Ihres Anbieters ist ein Vertragsrisiko, das Sie nicht selbst prüfen können — und das Sie deshalb vertraglich abbilden müssen. Die relevante Frage an jeden Modellanbieter lautet nicht „woher stammen Ihre Daten“, sondern „was passiert, wenn ein Gericht die Antwort darauf eines Tages nicht akzeptiert, und wer trägt dann die Kosten“. Wie dieser Markt tatsächlich rechnet, nehmen wir in der Reportage dieser Ausgabe auseinander.

Golem berichtete am 17. August über eine Bestandsaufnahme, die Hugging Face unter dem Titel „State of Open Models: Summer 2026“ veröffentlicht hat. Der Kernsatz der deutschen Zusammenfassung lautet: „In fast jedem Monat des Jahres 2026 waren die leistungsfähigsten Modelle aus China größer als jedes von einem US-Unternehmen veröffentlichte Modell.“ Die chinesische Obergrenze bewegte sich monatlich zwischen 754 Milliarden und 2,78 Billionen Parametern, während US-Veröffentlichungen in fünf von sieben Monaten unter 130 Milliarden blieben — Ausnahmen waren Nvidias Nemotron 3 Ultra mit 561 Milliarden und Thinking Machines' Inkling mit 952 Milliarden.

Aussagekräftiger als die Parameterzahlen ist die Verbreitungsstatistik, weil sie misst, womit tatsächlich gearbeitet wird. Auf Alibabas Qwen bauen auf der Hugging-Face-Plattform 151.448 abgeleitete Modelle auf, gegenüber 82.506 bei Google und 32.286 bei Meta. Täglich kommen 180 bis 210 neue Qwen-Ableitungen hinzu. Bei den Downloads im GGUF-Format, dem üblichen Paketformat für lokal ausgeführte Modelle, stehen 39,6 Millionen monatliche Abrufe für Qwen gegen 20,8 Millionen für Googles Gemma und 7,5 Millionen für Llama.

Kurz zur Erklärung, was ein „abgeleitetes Modell“ ist, weil daran die eigentliche Aussage hängt. Die wenigsten Organisationen trainieren ein Sprachmodell von Grund auf — das kostet zu viel. Stattdessen nimmt man ein veröffentlichtes Modell und passt es an: mit eigenen Daten nachtrainiert, verkleinert, quantisiert, auf eine Aufgabe zugeschnitten. Das Ausgangsmodell ist damit so etwas wie das Fundament, auf dem gebaut wird. Wer dieses Fundament stellt, bestimmt Architektur, Lizenzbedingungen und Werkzeugkette für alles, was darauf entsteht. Genau diese Rolle hatte bis vor kurzem Llama, und sie ist heute bei Qwen.

Zwei Einschränkungen gehören unmittelbar dazu, weil die Schlagzeile sonst mehr behauptet, als die Daten hergeben. Erstens ist die Downloadverteilung stark zu den kleinen Modellen hin verschoben: Modelle unter einer Milliarde Parametern machen 83 Prozent aller jemals gezählten Abrufe aus, Modelle über 100 Milliarden gerade einmal ein Prozent. Die Dominanz betrifft also vor allem das Fundament für kleine und mittlere Anpassungen, nicht den Einsatz der Riesenmodelle. Zweitens misst die Statistik eine Plattform. Modelle, die über Cloud-Schnittstellen laufen statt heruntergeladen zu werden, kommen darin nicht vor — und das ist der größere Teil des kommerziellen Marktes.

Die US-Seite ist in dieser Auswertung nicht abwesend, aber anders gelagert: Die aktivsten amerikanischen Veröffentlicher offener Gewichte sind mit jeweils über 200 Repositorien AMD und Nvidia — Hardwarehersteller, die die Kompatibilität ihrer Chips demonstrieren, nicht Labore, die um Spitzenfähigkeiten konkurrieren. Auf chinesischer Seite nennt der Bericht neben Alibaba/Qwen auch DeepSeek, Moonshot mit Kimi, Z.ai mit GLM und MiniMax sowie Tencent, Xiaomi, Ant Group und Meituan.

Damit fügt sich zusammen, was wir in den vergangenen Tagen als Einzelmeldungen hatten. Am 15. August berichteten wir, dass mit GLM-5.3 von Z.ai das stärkste offene Modell zur Schwachstellensuche aus Peking kommt; im selben Beitrag ging es darum, dass Mistral ein chinesisches Modell ausliefert und das europäische Souveränität nennt. Die Hugging-Face-Zahlen sind der Aggregatbefund hinter diesen Einzelfällen: Westliche Anbieter spezialisieren sich zunehmend auf Betrieb, Hosting und Hardwareanpassung, während die Basismodelle, auf denen aufgebaut wird, überwiegend aus China kommen.

„Offen“ heißt dabei nicht mehr automatisch „frei nutzbar“, und das ist der Teil, den man vor der Architekturentscheidung lesen sollte. Kleine Modelle stehen weiterhin meist unter Apache-2.0- oder MIT-Lizenz. Bei den größten chinesischen Veröffentlichungen setzen sich dagegen Einschränkungen durch: Die Kimi-Modelle etwa verlangen laut dem Bericht eine ausdrückliche Genehmigung für Unternehmen mit mehr als 20 Millionen Dollar Jahresumsatz. Wer heute ein Produkt auf einem offenen Modell aufsetzt, trifft damit keine rein technische Entscheidung, sondern bindet sich an ein Lizenzregime, dessen Bedingungen sich mit der nächsten Modellgeneration ändern können — und dessen Gerichtsstand nicht in Europa liegt.

Zur Einordnung: Das Release liegt eine Woche zurück — Mojo 1.0 erschien am 11. August 2026. heise hat das Thema am 17. August aufgegriffen, was uns Anlass gibt, es hier einzuordnen.

Modular hat mit dem Plattform-Release 26.5 die Version 1.0 seiner Programmiersprache Mojo veröffentlicht. Die Eins vor dem Punkt ist dabei die eigentliche Nachricht: Sie bedeutet den Übergang zu semantischer Versionierung und damit ein Stabilitätsversprechen. Änderungen innerhalb der 1.x-Reihe sollen überwiegend additiv ausfallen; das Unternehmen vergleicht seine Entwicklungsstrategie ausdrücklich mit der von C++. Brüche bleiben möglich, sollen aber die Ausnahme sein. Für eine Sprache, die bislang vor allem dadurch auffiel, dass sich ihre Syntax zwischen den Versionen änderte, ist das die Voraussetzung dafür, überhaupt in Erwägung gezogen zu werden.

Wofür Mojo gedacht ist, erklärt sich am besten über das Problem, das es lösen soll. KI-Systeme werden in Python geschrieben, weil Python bequem ist — aber Python ist für die eigentliche Rechenarbeit zu langsam. Die rechenintensiven Teile, die sogenannten Kernel, sind deshalb in C++ oder CUDA geschrieben, der Programmierumgebung für Nvidia-Grafikkarten. Wer an diesen Kernen arbeitet, wechselt also ständig zwischen zwei Welten. Mojo will beides zusammenbringen: Python-ähnliche Syntax an der Oberfläche, darunter aber statische Typprüfung und ein Ownership-Modell, das ohne automatische Speicherbereinigung auskommt. Das ist im Kern das Konzept von Rust — daher die Zuspitzung in der heise-Überschrift.

Der Ansatz ist nicht zufällig ambitioniert. Modular wurde im Januar 2022 von Chris Lattner und Tim Davis gegründet. Lattner hat bei Apple LLVM und Clang geschaffen, die Entwicklung von Swift geleitet und war später an MLIR beteiligt, der Compiler-Infrastruktur, auf der Mojo aufbaut. Wenn jemand die Erfahrung hat, eine Sprache in ein bestehendes Ökosystem zu bringen, dann er.

Zum Stand der Offenheit, weil das regelmäßig verwechselt wird: Die Standardbibliothek ist seit 2024 unter Apache 2.0 mit LLVM-Ausnahmen quelloffen und hat nach Unternehmensangaben rund 200 Mitwirkende. Compiler und Werkzeugkette sind es nicht. Modular stellt deren Offenlegung „in 2026“ in Aussicht, ohne ein Datum zu nennen. Wer Infrastruktur auf Mojo aufsetzt, setzt sie damit vorerst auf eine geschlossene Übersetzungskette.

Diese Abhängigkeit hat seit kurzem einen neuen Eigentümer: Seit dem 29. Juli 2026 gehört Modular zu Qualcomm. Mojo, der Inferenz-Stack MAX und die Modular Cloud sollen laut heise eigenständige Produkte bleiben. Was eine solche Zusage wert ist, lässt sich von außen nicht beurteilen — die Frage, wie man mit einer Werkzeugkette umgeht, deren Anbieter den Besitzer wechselt, haben wir in der Reportage vom 16. August ausführlicher behandelt.

Belastbare Leistungsvergleiche zum 1.0-Release enthalten weder die Ankündigung noch die Berichterstattung. Die derzeit beste unabhängige Datenlage stammt aus einer Workshop-Veröffentlichung der Supercomputing-Konferenz 2025, in der vier wissenschaftliche Rechenkerne nach Mojo portiert wurden: konkurrenzfähig zu CUDA und HIP bei speicherbandbreitenlimitierten Aufgaben, mit Lücken bei atomaren Operationen auf AMD-Hardware und bei rechenlastigen Kernen. Das ist ein achtbares Ergebnis, aber kein Beleg für Produktionsreife.

Praktisch gelesen heißt das: Als Ersatz für CUDA C++ und CUTLASS in produktionskritischen Kernen ist Mojo noch nicht die naheliegende Wahl, und Triton ist im Umfeld von PyTorch und vLLM deutlich besser etabliert. Interessant wird es für Teams, die dasselbe Rechenkern-Repertoire auf Nvidia- und AMD-Hardware betreiben wollen, ohne es zweimal zu schreiben — das ist der eigentliche Verkaufspunkt, nicht Spitzenleistung. Dem steht der geschlossene Compiler gegenüber. Version 1.0 macht diese Abwägung erstmals sinnvoll führbar; entschieden ist sie damit nicht.

Golem berichtete am 17. August über einen Vorgang am Superior Court von Connecticut, Bezirk Ansonia/Milford, im Verfahren Elliott gegen New York Bariatric Group. Der Kläger Matthew Elliott, der sich selbst vertritt, hatte in einen am 24. Juli eingereichten Antrag Text in weißer Schrift auf weißem Grund und in drei Punkt Schriftgröße eingefügt — zwischen die sichtbaren Zeilen gestreut, für das Auge unsichtbar, für jede Software, die Text aus dem Dokument extrahiert, jedoch vollständig lesbar. Sinngemäß wies der versteckte Text ein Sprachmodell an, seine Ausgabe mit dem vorgelegten Schriftsatz in Übereinstimmung zu bringen.

Aufgefallen ist es auf die denkbar analogste Weise: Einem Mitarbeiter der Geschäftsstelle fielen beim Ausdrucken ungewöhnlich große Leerräume im Textfluss auf. Sichtbar gemacht, stand dort die Anweisung. Bemerkenswert ist, was danach geschah. Elliott erklärte den Vorgang zunächst als „Audit“ der Gerichtssysteme — und versteckte in drei weiteren Eingaben erneut Botschaften, darunter die Zeile „hi i hope you cant see me“ und einen Link zu einem Video. Richter Walter M. Spader Jr. hielt die Audit-Erklärung angesichts dieses Musters für nicht glaubhaft.

Die Sanktion fiel ungewöhnlich aus und ist gerade deshalb interessant: kein Bußgeld, sondern der Entzug der elektronischen Einreichungsrechte. Elliott muss seine Schriftsätze künftig persönlich in Papierform bei der Geschäftsstelle abgeben. Die Maßnahme trifft den Angriffsvektor statt der Geldbörse — ein Papierdokument lässt sich nicht mit unsichtbarem Text versehen, der maschinell ausgelesen wird.

Nach Einschätzung mehrerer juristischer Beobachter ist dies der erste dokumentierte Fall vor einem US-Gericht. Ein Vorläufer existiert allerdings: Der Richter verwies auf ein brasilianisches Arbeitsgerichtsverfahren vom Mai 2026 mit derselben Technik, in dem ein Justiz-KI-Werkzeug den Versuch selbst erkannte und blockierte. Dort folgten Geldstrafen und eine aufsichtsrechtliche Meldung.

Eine Einschränkung, die in mancher Berichterstattung untergeht: Ob Gericht oder Gegenseite tatsächlich ein Sprachmodell zur Auswertung der Schriftsätze einsetzten, ist in keiner der geprüften Quellen belegt. Der Kläger nahm es offenbar an. Ob seine Annahme zutraf, ist offen — der Angriff wäre andernfalls ins Leere gelaufen.

Der technische Kern des Vorgangs verdient eine Erklärung, weil er verallgemeinerbar ist und weit über Gerichte hinausreicht. Ein Sprachmodell unterscheidet nicht zwischen der Anweisung, die der Betreiber ihm gegeben hat, und dem Inhalt, den es zur Bearbeitung vorgelegt bekommt. Beides erreicht das Modell als ein einziger Textstrom. Es gibt keine strukturelle Trennwand wie zwischen Programmcode und Daten in einer Datenbankabfrage. Wer ein Modell ein fremdes Dokument zusammenfassen, bewerten oder einsortieren lässt, übergibt ihm damit potenziell auch Anweisungen aus diesem Dokument. Genau das ist Prompt Injection, und es ist bis heute kein gelöstes Problem, sondern eines, das durch Eingrenzung gemildert wird.

Für Unternehmen ist der Fall deshalb weniger eine Justizkuriosität als eine Fallstudie mit direkter Übertragbarkeit. Überall dort, wo eingehende Dokumente automatisch verarbeitet werden — Bewerbungen, Rechnungen, Angebote, Support-Anfragen, Verträge —, gilt dieselbe Mechanik. Drei Konsequenzen sind praktisch umsetzbar: Text aus fremden Dokumenten sollte vor der Übergabe an ein Modell normalisiert werden, sodass unsichtbare Formatierung verloren geht; die Ausgabe eines Modells über Fremdinhalte sollte nie unmittelbar eine Entscheidung auslösen, sondern eine Empfehlung sein; und wer prüfen will, ob er betroffen ist, kopiert ein eingegangenes Dokument testweise in einen Texteditor und sieht sich an, was dabei sichtbar wird. Der Gerichtsmitarbeiter in Connecticut hat mit dem Drucker im Grunde nichts anderes getan.

Am 17. August erschien im Community-Blog von Hugging Face ein Beitrag des Teams von Dharma-AI mit dem Titel „Same Cluster, 33 Points More Utilization: What Changed Was the Order“. Vorweg die Einordnung, ohne die die Zahl falsch gelesen wird: Das ist kein Forschungsbeitrag von Hugging Face, sondern ein Beitrag im offenen Community-Bereich der Plattform, verfasst von einem Anbieter, der genau das Produkt verkauft, dessen Wirkung er beschreibt. Redaktionell geprüft ist er nicht.

Der Gegenstand ist trotzdem relevant, weil er ein reales und teures Problem betrifft. Ein Cluster aus Grafikkarten ist kaum je vollständig ausgelastet. Trainingsläufe fordern Kapazität in Blöcken an, Inferenzdienste in unregelmäßigen Spitzen, und Jobs, die auf mehrere Karten verteilt werden müssen, brauchen diese gleichzeitig. Ein Zuteiler, der Aufträge einfach der Reihe nach abarbeitet — im Fachjargon FIFO, „first in, first out“ —, lässt dabei zwangsläufig Karten leerlaufen: Ein großer Job wartet auf acht freie Karten, während sechs freie Karten nichts tun, weil der nächste Auftrag in der Schlange eben jener große ist. Der Vorgängerbeitrag desselben Teams nennt für typische Cluster Auslastungswerte von 30 bis 50 Prozent.

Der beschriebene Ansatz ersetzt die reine Reihenfolge durch eine Zuteilung, die Randbedingungen berücksichtigt: Bedarf wird als Verlaufskurve behandelt statt als starre Obergrenze, sodass nicht dauerhaft für die Spitzenlast reserviert werden muss; Stapelverarbeitungs-Jobs werden nach Priorität über den gesamten Planungshorizont verteilt und belegen zusammenhängende Kartenblöcke; und Umverteilungen zwischen Zeitschritten werden durch Kostenschranken begrenzt, damit der Zuteiler nicht mehr Zeit mit Umziehen als mit Rechnen verbringt.

Nun zu den Zahlen, und hier ist Genauigkeit angebracht. Die 33 Punkte aus der Überschrift stammen aus einem von sieben getesteten Szenarien — dem trainingslastigen, in dem die Auslastung von 53,6 auf 87,0 Prozent stieg. Die übrigen Szenarien liegen deutlich darunter: „Mixed control“ kam von 51,6 auf 72,4 Prozent, das Szenario mit Echtzeit-Konkurrenz nur von 75,0 auf 80,2 Prozent. Ein Skalierungstest mit 64 Grafikkarten und 30 Jobs zeigte überhaupt keine Auslastungssteigerung mehr. Die Hauptexperimente liefen auf Clustern mit acht und vierzehn Karten — also in einer Größenordnung, in der ein einzelner ungeschickt platzierter Job die Statistik dominiert.

Was ebenfalls fehlt, benennen die Autoren teilweise selbst, was ihnen anzurechnen ist. Alle Ergebnisse stammen aus der eigenen Infrastruktur; unabhängig reproduziert hat sie niemand. Der Zuteiler hängt an selbst gebauten Bedarfsschätzern, und die Autoren schreiben dazu: „None of it works if the demand numbers are wrong.“ Vor allem fehlt der Vergleich, auf den es ankäme: Die Referenz ist ein einfacher FIFO-Durchlauf, nicht ein etablierter Scheduler mit Rückfüllung und Gang-Scheduling, wie ihn Slurm, Kueue oder Volcano seit Jahren bieten. Gegen eine bewusst schwache Referenz gemessen, fällt jeder Gewinn groß aus.

Warum die Größenordnung dennoch verfolgenswert ist, zeigt die Kostenseite. Eine H100-Karte kostet auf dem Markt je nach Anbieter grob zwischen 1,40 und über sieben Dollar pro Stunde. Entscheidend ist aber nicht der Listenpreis, sondern der Preis pro genutzter Stunde: Wer eine Karte bezahlt, die zur Hälfte leerläuft, zahlt effektiv das Doppelte. Auslastung ist damit keine Betriebskennzahl, sondern ein Preisfaktor — und der einzige, den man ohne Verhandlung mit einem Lieferanten verbessern kann.

Unsere Einordnung: Die konkrete Zahl sollte niemand in eine Präsentation übernehmen. Die Frage dahinter schon. Wer eigene Beschleuniger betreibt, sollte wissen, wie hoch die tatsächliche Auslastung ist — nicht die belegte Kapazität, sondern die gerechnete. Liegt sie im Bereich der genannten 30 bis 50 Prozent, ist der Zuteiler die billigste Stellschraube, die zur Verfügung steht, und der Weg dorthin führt zunächst über die Konfiguration des vorhandenen Schedulers und nicht über den Kauf eines neuen Produkts.

TechCrunch meldete am 17. August innerhalb weniger Stunden zwei gegenläufige Nachrichten aus derselben Marktschicht. Relay, ein 2021 gegründetes Startup für KI-gestützte Arbeitsabläufe, stellt den Betrieb ein: Kostenlose Konten verloren den Zugang bereits am 15. August, zahlende Kunden verlieren ihn am 14. September. Gründer Jacob Bank wechselt als Vice President of Product zum Chrome-Team von Google, mehrere Mitarbeiter folgen ihm. Wispr dagegen, Anbieter der Diktier-Anwendung Wispr Flow, hat 280 Millionen Dollar bei zwei Milliarden Dollar Bewertung eingesammelt.

Zu Relay gehört eine Vorgeschichte, die den Vorgang erklärt: Bank hatte zuvor das Startup Timeful gegründet, das Google 2015 übernahm, und arbeitete danach gut sechs Jahre bei Google als Produktverantwortlicher für Gmail, Kalender und Chat. Er kehrt also zu seinem früheren Arbeitgeber zurück. Das Produkt war als Alternative zu Zapier positioniert — Automatisierung von Geschäftsabläufen, angereichert um Sprachmodelle. Die Konditionen des Übergangs sind nicht offengelegt, ebenso wenig die bislang eingesammelte Kapitalsumme oder die Zahl der wechselnden Mitarbeiter. Einen Grund für die Schließung nennen die Quellen nicht. Wir beziffern das deshalb nicht — geschätzte Zahlen wären an dieser Stelle geraten.

Bei Wispr ist die Bewertungsbewegung die eigentliche Nachricht. Im November 2025 lag sie bei 700 Millionen Dollar, jetzt bei zwei Milliarden — knapp das Dreifache in neun Monaten. Angeführt wird die Runde vom Bestandsinvestor Menlo Ventures, das insgesamt eingesammelte Kapital liegt bei 361 Millionen Dollar. „Beyond dictation“ meint konkret: eine Android-Anwendung seit Februar 2026, ein Werkzeug für Besprechungsnotizen mit Zusammenfassungen und Aufgabenlisten, eine Hardware-Partnerschaft für geräuschloses Diktieren und ein eigenes Spracherkennungsmodell namens Canto, dessen erklärtes Ziel es ist, die Fehlerrate von etwa 30 auf unter zehn Prozent zu senken. Eine anderswo zitierte Angabe von über 150 Prozent Umsatzwachstum pro Quartal stammt aus einer Sekundärquelle und ist nicht durch die Primärberichterstattung gedeckt.

Ob daraus ein Muster wird, hängt daran, ob es Einzelfälle bleiben — und das lässt sich prüfen. Im selben Monat gab es zwei weitere Vorgänge mit derselben Struktur: OpenAI machte am 8. August die Übernahme des Präsentations-Startups NextSlide öffentlich, dessen Gründer bereits seit dem Frühjahr im Unternehmen arbeitete. Klaviyo kündigte am 5. August die Übernahme des KI-Startups Agency an, dessen Produkt zum 31. August abgeschaltet wird und dessen Chef Produktvorstand beim Käufer wird. In allen drei Fällen — Relay, NextSlide, Agency — gilt dasselbe Schema: Gründer und Kernteam wechseln in eine Produktverantwortung beim Käufer, das eigenständige Produkt wird binnen Wochen abgeschaltet, die Konditionen bleiben unveröffentlicht. Das ist die Lehrbuchdefinition eines Acquihire, einer Übernahme, bei der die Mannschaft der Kaufgegenstand ist und das Produkt nicht.

Und hier die gebotene Zurückhaltung: Vier Fälle in einem Monat sind eine Beobachtung, kein statistisch belastbarer Trend. Für eine solche Aussage bräuchte es eine systematische Zählung über einen längeren Zeitraum, die uns nicht vorliegt. Auch die naheliegende Kausalität — der eine stirbt, weil der andere wächst — ist nicht belegt: Relay und Wispr bedienen unterschiedliche Märkte, Geschäftsprozess-Automatisierung und Spracheingabe, und teilen wenig außer dem Datum.

Was sich dennoch beschreiben lässt, ist die Trennlinie, entlang derer die vier Fälle auseinanderfallen. Relay, NextSlide und Agency waren im Kern Orchestrierungsschichten: Sie ordneten Aufrufe fremder Sprachmodelle zu einem nützlichen Arbeitsablauf. Genau diese Schicht bauen die Modellanbieter und Plattformbetreiber inzwischen selbst — ein Automatisierungswerkzeug für Arbeitsabläufe ist im Browser gut aufgehoben, weshalb Bank es dort weiterbaut statt daneben. Wispr dagegen besitzt etwas, das sich nicht über eine Schnittstelle nachbauen lässt: ein eigenes Erkennungsmodell, eine Hardware-Partnerschaft, ein eigenes Interaktionsmodell.

Für Unternehmen, die solche Werkzeuge einkaufen, ist das die praktisch verwertbare Frage — und sie lässt sich in einem Satz stellen: Was hätte dieser Anbieter noch, wenn sein Modellanbieter morgen dieselbe Funktion selbst ausliefert? Fällt die Antwort dünn aus, gehört in den Vertrag eine Regelung zum Datenexport und eine Frist, die länger ist als die dreißig Tage, die Relays zahlende Kunden zwischen Ankündigung und Abschaltung bekommen haben.