Ausgabe vom 19. August 2026

Cursor hat am 17. und 18. August Origin in eine offene Beta gebracht — eine eigene Plattform zum Hosten von Git-Repositorien, samt Pull Requests, Code-Review, Zusammenführungen und Anbindung an Build-Systeme. Die Produktseite beschreibt das Ziel in einem Satz: eine Git-Schmiede für das Zeitalter der Agenten. Der Zugang ist an keinen Aufpreis gebunden; auf der Seite steht wörtlich „Early beta now available on all paid plans“. Angekündigt war Origin bereits im Juni, der ursprünglich genannte Termin lag im Herbst.

Technisch steckt darunter eine eigens gebaute Speicherschicht namens Continuity. Der begleitende Entwicklerbeitrag nennt Zahlen, die den Zweck erklären: bis zu 120 Pushes pro Sekunde auf gewöhnlichem S3-Speicher, über 300 auf der schnelleren S3-Variante, horizontale Skalierung bis 100 Repliken getestet. Das sind Werte, die für ein Team von zwanzig Entwicklern absurd wirken — und genau darin liegt die Ansage. Der beworbene Anwendungsfall sind Unternehmen mit großen Monorepos, in denen nicht mehr Menschen committen, sondern Agenten, und zwar in einer Frequenz, an der klassische Git-Infrastruktur erstickt. Es sind Herstellerangaben; unabhängige Messungen liegen nicht vor.

Der Wechsel ist bewusst nicht als Bruch angelegt. Man verbindet sein GitHub-Konto, wählt die Organisation aus, und Cursor zieht die gewünschten Repositorien herüber; GitHub bleibt für bestehende Projekte die maßgebliche Instanz, Origin spiegelt sie. Beide Plattformen lassen sich parallel betreiben. Konnektoren zu Vercel, Depot und Buildkite sind vorbereitet, ein Marktplatz für Erweiterungen ist angekündigt, aber nicht verfügbar.

Der Zeitpunkt verdient eine eigene Betrachtung, denn er ist außergewöhnlich günstig. Am 17. August war GitHub weltweit gestört — nach übereinstimmenden Berichten von 13:40 bis 21:15 Uhr UTC, also gut sieben bis acht Stunden. GitHub selbst gab Fehlerraten von rund 20 Prozent für Weboberfläche und Schnittstellen an, bei Archiv- und Rohdaten-Downloads etwa 50 Prozent. Betroffen waren unter anderem Actions, Pull Requests, Issues, Webhooks, Copilot sowie die Anmeldung über SAML und OIDC, was Unternehmenskunden zeitweise ganz ausgesperrt haben dürfte. Eine Ursachenanalyse hat GitHub angekündigt, aber noch nicht vorgelegt.

Dass das kein Einzelfall war, lässt sich beziffern. Eine Auswertung des Fachmediums LeadDev stützt sich auf Daten des Überwachungsdienstes IncidentHub und zählt für den Zeitraum Mai 2025 bis April 2026 257 Vorfälle bei GitHub, darunter 48 größere Ausfälle; der Februar 2026 war mit 37 Vorfällen der schlechteste Monat. Auf den CI-Dienst GitHub Actions allein entfielen 57 Ausfälle. Als Gründe nennt die Auswertung den seit Ende 2025 stark gestiegenen Verkehr durch agentische Entwicklungsabläufe — GitHubs Technikchef Vlad Fedorov wird mit dem Satz zitiert, seit der zweiten Dezemberhälfte 2025 hätten sich diese Arbeitsabläufe scharf beschleunigt — sowie die Eingliederung von GitHub in Microsofts CoreAI-Organisation ohne eigenständige Leitung. Sichtbar geworden ist die Unzufriedenheit an prominenten Abgängen: Die Programmiersprache Zig wechselte im Dezember 2025 zu Codeberg, und Mitchell Hashimoto, Mitgründer von HashiCorp, kündigte den Wegzug seines Terminalprojekts Ghostty mit den Worten an, dies sei kein Ort mehr für ernsthafte Arbeit, wenn er einen täglich stundenlang blockiere.

Eine Einordnung, die in der Berichterstattung zu kurz kommt: Cursor ist seit vier Tagen kein unabhängiges Startup mehr. SpaceX hat die Übernahme am 15. August abgeschlossen, vollständig in Aktien, bewertet mit rund 60 Milliarden Dollar — wir haben das in unserer Ausgabe vom 16. August aufgearbeitet. TechCrunch hält das in seinem Bericht zum Origin-Start ausdrücklich fest: Cursor sei nunmehr offiziell Teil von SpaceX. Die Wahl zwischen Origin und GitHub ist damit keine Wahl zwischen Startup und Konzern, sondern zwischen zwei Konzernen: Der eine gehört Microsoft, der andere seit vier Tagen SpaceX.

Das ist mehr als eine Fußnote, weil Code-Hosting ein Vertrauensgeschäft ist. Wer seine Repositorien verlagert, übergibt einem Anbieter den vollständigen Quellbestand, die Historie jeder Änderung und — bei einer agentennahen Plattform — auch die Spuren dessen, woran gerade gearbeitet wird. Bei einem drei Jahre alten Werkzeughersteller wäre die relevante Frage gewesen, ob er in fünf Jahren noch existiert. Bei einer Tochter eines Konzerns, der gerade eine KI-Sparte aufbaut, ist die relevante Frage eine andere: Welche Zusagen zur Verwendung dieser Daten gelten, und wo stehen sie schriftlich? Zum Zeitpunkt des Beta-Starts war das öffentlich nicht sauber geklärt. Wer Origin ausprobiert, sollte das mit einem Projekt tun, dessen Verlust oder Offenlegung verkraftbar wäre — und die vertraglichen Bedingungen abwarten, bevor der Hauptbestand umzieht.

Für die Marktstruktur ist die Bewegung trotzdem bemerkenswert. GitHubs Position beruhte nie primär auf Technik, sondern auf Netzwerkeffekten: Dort sind die Konten, die Sterne, die Issues, die Historie. Diese Effekte erodieren nicht durch ein besseres Produkt, sondern durch wiederholte Unerreichbarkeit — weil ein Werkzeug, das an einem Arbeitstag im Monat stillsteht, seinen Netzwerkvorteil selbst entwertet. Zwei Anbieter, die um Verfügbarkeit konkurrieren, sind für Entwickler in jedem Fall besser als einer, der sie voraussetzt.

Am selben Tag hat übrigens Warp, bekannt für sein KI-gestütztes Terminal, ein System namens Warp Factories vorgestellt: eine vorkonfigurierte Fabrik für Softwareentwicklung mit Agenten, gegliedert entlang der klassischen Phasen von der Aufgabenaufnahme über Spezifikation und Umsetzung bis zu Review und Prüfung, angebunden an Linear, Jira, Slack und Teams und kompatibel mit mehreren Coding-Modellen. Zielgruppe sind laut Firmenchef Zach Lloyd Unternehmen, die sich eine solche Struktur nicht selbst bauen können. Preise nennt Warp nicht, der Zugang läuft über eine Anfrage. Einen eigenen Ankündigungsbeitrag im Firmenblog gibt es nicht — belegt ist das Produkt bislang über die Berichterstattung und die Anmeldeseite.

OpenAI hat am 18. August ChatGPT for Teens weltweit ausgerollt. Es handelt sich nicht um eine eigene App und auch nicht um einen eigenen Tarif, sondern um einen veränderten Betriebszustand desselben Produkts: gedacht für 13- bis 17-Jährige, enthalten in den kostenlosen wie in den bezahlten Privatkundentarifen. Australien folgt laut OpenAIs Hilfebereich vollständig erst am 8. September.

Der entscheidende Mechanismus ist die Zuweisung. Der Jugendmodus greift, wenn das Konto ein Alter zwischen 13 und 17 angibt — oder wenn OpenAIs sogenannte Altersschätzung anhand von Verhaltenssignalen wie Kontoalter, Nutzungszeiten und Nutzungsmustern zu dem Schluss kommt, dass hier eine minderjährige Person schreibt. Eine harte Ausweisprüfung findet nicht statt. Wer fälschlich eingestuft wurde, kann sein Alter nachträglich verifizieren und die Einschränkungen aufheben lassen. OpenAI beschreibt das Verfahren selbst als Schätzung, nicht als Feststellung; Angaben zur Fehlerquote in beide Richtungen macht das Unternehmen nicht.

Inhaltlich sperrt der Modus, was man erwartet: Selbstverletzung, Suizid, Gewalt, Essstörungen, gefährliche Handlungen, explizite sexuelle und grafische Darstellungen. Bemerkenswerter ist eine zweite Kategorie von Beschränkungen, die nicht auf Inhalte zielt, sondern auf Beziehung: Das Modell soll gegenüber Minderjährigen kein romantisches Vokabular verwenden und keine eigenen Gefühle oder ein eigenes Bewusstsein suggerieren. Das ist eine ausdrückliche Maßnahme gegen emotionale Bindung an ein Programm — und damit die Anerkennung eines Schadensbilds, das bislang vor allem von Aufsichtsbehörden und Klägeranwälten beschrieben wurde, nicht von den Anbietern selbst.

Dazu kommen Lernfunktionen: ein Lernmodus, der mit Rückfragen arbeitet statt mit fertigen Lösungen, Hinweise bei erkennbaren Abkürzungsversuchen bei Hausaufgaben, Quizfragen, Visualisierungen und feste Lernzeiten. Die Elternkontrollen erlauben es, Konten zu verknüpfen, Ruhezeiten und Lernzeiten zu setzen und ausgewählte Einstellungen zu verwalten. In begrenzten Hochrisikolagen — neuerdings auch bei Anzeichen einer Essstörung — erhalten Eltern eine Sicherheitsbenachrichtigung. Was Eltern ausdrücklich nicht können: die Chats ihrer Kinder mitlesen. Das ist eine bewusste Abwägung zugunsten der Vertraulichkeit, und sie wird in der Praxis die meiste Diskussion auslösen, weil sie beide Erwartungen enttäuscht: die an vollständige Aufsicht und die an vollständige Privatheit.

Flankiert wird der Start von einer auf ein Jahr angelegten Partnerschaft mit CodeAI — der Organisation, die bis Juni 2026 Code.org hieß und nach eigenen Angaben über 150 Millionen Schülerinnen und Schüler in 190 Ländern erreicht hat. Vereinbart sind ein gemeinsamer Beirat mit Fachleuten für Kindesentwicklung und Lernwissenschaft, ein Einführungsprogramm namens Hour of AI, ein Wettbewerb für Oberstufenschüler mit Mentoring durch OpenAI-Beschäftigte sowie fachliche Unterstützung für einen kostenlosen einjährigen Kurs. Eine Summe nennt keine der beiden Seiten. Das ist der Punkt, an dem man genau hinsehen sollte: Eine Bildungspartnerschaft ohne bezifferten Beitrag ist zunächst eine Vertriebspartnerschaft mit pädagogischer Rahmung.

Die Kritik, die TechCrunch schon in der Überschrift formuliert, betrifft nicht die Maßnahmen, sondern deren Zeitpunkt: Sie kommen Jahre, nachdem Jugendliche begonnen haben, das Produkt zu nutzen — ChatGPT gibt es seit Ende 2022. Und sie kommen in eine Rechtslage hinein, die sich unabhängig davon verschärft hat. Die US-Handelsaufsicht FTC hat am 11. September 2025 eine Untersuchung gegen sieben Anbieter von KI-Begleit-Chatbots eingeleitet — darunter OpenAI, Meta, Alphabet, Snap, x.AI und Character Technologies —, mit ausdrücklichem Fokus auf Sicherheitsbewertung und Nutzungsbeschränkungen für Minderjährige. Parallel läuft am Superior Court von San Francisco das Verfahren Raine gegen OpenAI, in dem Eltern nach dem Suizid ihres 16-jährigen Sohnes im April 2025 klagen; OpenAI hat die Vorwürfe im November 2025 zurückgewiesen, eine Entscheidung steht aus. Weitere Klagen sind seither hinzugekommen.

Wir kennzeichnen das ausdrücklich als laufende Verfahren ohne festgestellten Sachverhalt. Für die Einordnung der Produktankündigung ist trotzdem relevant, dass sie in genau dieses Umfeld fällt. Ein Anbieter, der vor Gericht und vor einer Aufsichtsbehörde erklären muss, welche Vorkehrungen er für Minderjährige getroffen hat, hat einen zusätzlichen Grund, solche Vorkehrungen zu treffen und zu dokumentieren. Das macht sie nicht wertlos — es erklärt nur die Terminierung besser als die Produktlogik.

Im Wettbewerbsvergleich steht OpenAI damit weder vorn noch hinten. Google bietet für Bildungskonten ab 13 eine eingeschränkte Gemini-Variante ohne Bildgenerierung. Meta hat im Januar 2026 nach einer Recherche des Wall Street Journal den Zugang Minderjähriger zu KI-Charakteren weltweit ausgesetzt und im Juli 2026 Elternbenachrichtigungen bei Suizid- und Selbstverletzungssignalen eingeführt. Character.AI hat Ende 2025 Elternkontrollen und eine Selfie-Altersverifikation nachgerüstet. Anthropic geht den umgekehrten Weg und lässt Minderjährige gar nicht erst zu: Mindestalter 18, keine Ausnahme mit Elterneinwilligung, Reaktivierung gesperrter Konten nur über eine Ausweisprüfung.

Für Unternehmen, die KI-Angebote mit jugendlicher Nutzerschaft betreiben, ist die praktische Lehre die Trennung zweier Fragen, die gern vermischt werden. Die eine ist inhaltlich: Was darf das System sagen? Die andere ist beziehungsbezogen: Wie stellt es sich selbst dar? OpenAI beantwortet beide getrennt, und das ist der eigentlich übertragbare Teil. Wer nur Inhaltsfilter baut und dem Modell weiterhin erlaubt, sich als Freund zu inszenieren, hat den kleineren Teil des Problems gelöst.

Etched hat am 18. August eine Serie-D-Runde über 700 Millionen Dollar bei einer Bewertung von 21 Milliarden Dollar bekanntgegeben. Angeführt wird sie von der Handelsfirma Jane Street; beteiligt sind unter anderem Kleiner Perkins, Sequoia, Andreessen Horowitz, Tiger Global, Bain Capital Ventures und Peter Thiel. Damit hat das Unternehmen bislang 1,9 Milliarden Dollar eingesammelt und weist nach eigenen Angaben Kundenverträge im Volumen von über einer Milliarde Dollar aus.

Die Zahl, die diese Meldung interessant macht, ist nicht die Bewertung, sondern ihr Tempo. Im Juli 2026 lag sie bei 10,3 Milliarden Dollar, im Januar 2026 bei 5 Milliarden, davor bei einer Serie A über 120 Millionen Dollar im Juni 2024. Eine Verdopplung innerhalb von etwa vier Wochen ist auch im gegenwärtigen Marktumfeld ungewöhnlich. Gegründet wurde Etched 2022 von den Harvard-Abbrechern Gavin Uberti, Chris Zhu und Robert Wachen.

Zum Produkt, weil die technische Wette den ganzen Fall erklärt. Der Chip heißt Sohu und ist ein ASIC — eine Schaltung, die für genau einen Zweck in Silizium gegossen wird. In diesem Fall: die Transformer-Architektur, das Rechenmuster hinter praktisch allen heutigen Sprachmodellen. Eine GPU ist ein Universalrechenwerk; sie kann Transformer ausführen, aber auch Bildverarbeitung, Diffusionsmodelle, Simulationen, Grafik. Diese Flexibilität kostet Fläche und Energie: Ein erheblicher Teil des Chips verwaltet die Möglichkeit, etwas anderes zu tun. Ein ASIC lässt diesen Teil weg. Er kann dafür buchstäblich nichts anderes — ändert sich die vorherrschende Architektur, ist die Hardware Elektroschrott.

Die Leistungsversprechen sind entsprechend groß: rund die zwanzigfache Token-Rate gegenüber einer Nvidia H100, etwa das Zehnfache gegenüber einer B200, eine Auslastung der Recheneinheiten von 90 statt der bei GPUs üblichen 30 bis 40 Prozent. Sämtliche dieser Zahlen sind Herstellerangaben. Wir haben gezielt nach unabhängigen Messungen gesucht und keine gefunden — weder eine MLPerf-Einreichung noch Werte bei Artificial Analysis. Das ist bei einem Unternehmen dieser Bewertung bemerkenswert und sollte bei der Lektüre der Vergleichszahlen mitgelesen werden.

Der Realitätsgehalt hat sich mit dieser Runde trotzdem verschoben, und zwar in einem konkreten Punkt: Etched hat das erste Rack tatsächlich ausgeliefert — an Jane Street, das es im eigenen Rechenzentrum betreibt. Die Aussage von dort lautet, man habe den Chip getestet und sei mit den frühen Ergebnissen zufrieden. Das ist der Unterschied zwischen einem angekündigten und einem existierenden Produkt. Es ist aber auch, mit aller Nüchternheit, genau ein Rack bei genau einem Kunden — und dieser Kunde führt zugleich die Finanzierungsrunde an. Eine Serienfertigung, ein zweiter Referenzkunde oder eine Messung durch eine dritte Partei sind nicht belegt.

Die folgende Gegenüberstellung ist unsere eigene; in der Berichterstattung wird sie nirgends gezogen. Am 17. August, einen Tag vor dieser Meldung, hat Groq 350 Millionen Dollar bei 3,5 Milliarden Dollar Bewertung aufgenommen — gegenüber 6,9 Milliarden im September 2025 eine Halbierung, verbunden mit dem Schwenk vom Chiphersteller zum Rechenkapazitätsvermieter. Wir haben das in unserer Ausgabe vom 18. August beschrieben. Zwei Spezialisten für Inferenz-Hardware, zwei Tage, zwei entgegengesetzte Kurven. Der Markt bewertet hier offenkundig nicht die Kategorie, sondern die Position darin — und die Zahlungsbereitschaft folgt derzeit dem, was noch nicht gemessen wurde, eher als dem, was schon läuft.

Zum Umfeld gehören außerdem: Cerebras, seit dem Börsengang am 14. Mai 2026 börsennotiert und mit 5,55 Milliarden Dollar Emissionserlös der größte US-Technologiebörsengang seit Uber; SambaNova mit 350 Millionen Dollar bei rund 2,2 Milliarden Bewertung im Februar 2026 nach Stellenabbau; d-Matrix mit 275 Millionen bei 2 Milliarden im November 2025 und Produktionsstart des Corsair-Chips im Juni 2026; Positron mit 230 Millionen bei über einer Milliarde im Februar 2026. Die Spanne zwischen dem Höchst- und dem Tiefstbewerteten in dieser Gruppe ist innerhalb eines Jahres deutlich größer geworden.

Was folgt daraus für Unternehmen, die Inferenz einkaufen? Vorerst wenig Unmittelbares: Kein einziges dieser Systeme ist in einer Form verfügbar, in der man es ohne Weiteres in eine Beschaffung aufnehmen könnte. Mittelfristig ist der relevante Punkt die Architekturbindung. Ein Anbieter, dessen Kostenvorteil auf einem Transformer-ASIC beruht, hat ein Interesse daran, dass Transformer die dominante Architektur bleiben. Solange das so ist, ist das für Kunden gut, weil es die Preise drückt. Wenn sich die Architektur verschiebt — und diffusionsbasierte Sprachmodelle sind kein rein akademisches Thema mehr —, verschwindet der Vorteil nicht allmählich, sondern auf einen Schlag. Wer langfristige Kapazitätsverträge mit spezialisierten Anbietern schließt, sollte prüfen, was im Vertrag steht, wenn das passiert.

Die Sicherheitsfirma Varonis hat am 18. August eine Schwachstelle in Microsoft Copilot offengelegt, die unter dem Namen CoSnitch geführt wird und in der CVE-Datenbank als CVE-2026-24301 verzeichnet ist — eingestuft als kritisch mit einem CVSS-Wert von 8,8. Betroffen war Copilot Personal, die Verbraucherversion unter copilot.microsoft.com; nicht die Unternehmensvariante in Microsoft 365. Gemeldet wurde die Lücke im Dezember 2025, eine erste Teilabhilfe kam im Februar 2026, vollständig geschlossen wurde sie am 18. August — serverseitig, ohne dass Kunden etwas tun mussten.

Der eigentliche Befund ist die Entdeckungsgeschichte, und sie ist ungewöhnlich genug, um sie im Detail zu erzählen. Copilot nimmt Eingaben über den URL-Parameter ?q= entgegen. Normalerweise füllt das nur das Eingabefeld; abgeschickt wird erst, wenn der Mensch die Eingabetaste drückt. Genau dieser Handgriff ist die Sicherheitsgrenze — er stellt sicher, dass ein Klick auf einen fremden Link nicht schon eine Anweisung ausführt.

Die Forscher von Varonis wollten wissen, ob sich das umgehen lässt, und wählten einen Weg, der nichts mit klassischer Sicherheitsforschung zu tun hat: Sie fragten Copilot direkt, warum eine automatische Ausführung nicht möglich sei. Das Modell verweigerte die Auskunft — aber es begründete jede Verweigerung. Und die Begründungen enthielten Stück für Stück die Architektur des Schutzmechanismus. Nach einer Reihe solcher Nachfragen nannte Copilot von sich aus den undokumentierten Parameter autorun=1, der in Kombination mit ?q= die Eingabe schon beim Laden der Seite ausführt. Ohne Klick, ohne Tastendruck. Der leitende Forscher Lior Adar beschreibt das Vorgehen als eine Art Zwanzig-Fragen-Spiel gegen das Modell.

Der Angriff, der sich daraus bauen lässt, ist unspektakulär und deshalb wirksam. Das Opfer klickt einen präparierten Link — in einer E-Mail, einem Chat, einem QR-Code. Der Browser lädt Copilot in der bereits angemeldeten Sitzung. Der eingebettete Auftrag läuft sofort los, durchsucht mit den Rechten des angemeldeten Nutzers Postfach und verbundene Anwendungen, kodiert die Fundstücke und ruft eine vom Angreifer kontrollierte Adresse auf, an die das Ergebnis angehängt ist. Der Datenabfluss findet auch dann statt, wenn der Tab sofort wieder geschlossen wird. Varonis fand zusätzlich einen Weg, über eine präparierte Webseite den dauerhaften Copilot-Speicher zu vergiften — mit Wirkung über Passwortwechsel und neue Geräteanmeldungen hinweg.

Microsoft hat die Lücke anerkannt, den Forschern gedankt und erklärt: „We continuously update our guardrails to strengthen our protections against similar techniques.“ Eine Abwehr im Sinne von „so gedacht“ gab es nicht. Anhaltspunkte für eine Ausnutzung in freier Wildbahn nennt Varonis nicht. Es ist die dritte Copilot-Schwachstelle, die dasselbe Team in diesem Jahr veröffentlicht hat, nach Reprompt und SearchLeak; vergleichbar gelagert war EchoLeak im Juni 2025, der erste bekannte Angriff auf einen KI-Assistenten ganz ohne Nutzerinteraktion.

Die folgende Einordnung ist unsere eigene. Neu ist an CoSnitch nicht der Abflussweg — Datenexfiltration über einen vom Modell aufgerufenen Link ist seit EchoLeak bekannt. Neu ist die Angriffsfläche, die das Modell selbst darstellt. Es gehört zum erklärten Zweck heutiger Assistenten, hilfsbereit und erklärend zu sein; genau diese Eigenschaft hat hier die Schutzarchitektur ausgeplaudert. Man kann das nicht durch einen Filter beheben, ohne die Erklärfähigkeit zu beschädigen, die das Produkt ausmacht. Damit rückt eine Annahme ins Wanken, auf der viele Sicherheitskonzepte für Agentensysteme still beruhen: dass das System interne Details nur preisgibt, wenn es dazu einen Weg gibt, den man vorher kennt.

Praktisch ergeben sich daraus drei Punkte für jeden, der einen Assistenten mit Zugriff auf Unternehmensdaten betreibt. Erstens: Undokumentierte Aufrufparameter sind keine Kuriosität, sondern Angriffsfläche — wer eine eigene Assistenzoberfläche baut, sollte Eingabewege über die Adresszeile ausdrücklich auf eine Freigabeliste setzen, statt sie zu dulden. Zweitens: Eine Ausführung ohne bestätigende Handlung des Nutzers darf es bei Systemen mit Datenzugriff nicht geben, auch nicht als Komfortfunktion. Drittens: Dauerhafte Modellspeicher brauchen dieselbe Behandlung wie ein Datenbestand — Herkunftsnachweis, Prüfbarkeit, Löschbarkeit. Ein Gedächtnis, das eine Passwortänderung überlebt, ist kein Komfortmerkmal, sondern ein persistenter Zustand mit Sicherheitsrelevanz.

Über den Start von GLM-5.3 aus dem Haus Zhipu, international als Z.ai auftretend, haben wir am 15. August berichtet. Seither liegen unabhängige Messungen vor, und sie verschieben das Bild deutlich genug, um darauf zurückzukommen.

Die Zahl, mit der das Modell in Umlauf gebracht wurde, lautet: 84,5 Prozent auf dem Benchmark CyberGym — gegenüber 83,8 Prozent für Anthropics Mythos 5 und 83,6 Prozent für OpenAIs GPT-5.6 Sol. Ein chinesisches Modell mit offenen Gewichten schlägt die geschlossene US-Konkurrenz beim Auffinden von Sicherheitslücken: Das ist die Meldung, die um die Welt ging, und sie ist als Zahl korrekt.

Sie trägt nur nicht, was ihr aufgeladen wird. Erstens beträgt der Abstand 0,7 Prozentpunkte in einem Einzeldurchlauf, zu dem keine Streuung angegeben ist — bei Benchmarks dieser Art liegt die Schwankung zwischen zwei Läufen desselben Modells regelmäßig in derselben Größenordnung. Zweitens misst CyberGym nur den ersten Schritt einer Kette: das Identifizieren einer Schwachstelle. Wer weiter die Kette entlang misst, sieht ein anderes Modell. Auf ExploitBench, wo es um das tatsächliche Ausnutzen geht, erreicht GLM-5.3 54,4 Prozent gegenüber 78,0 Prozent bei Mythos 5. Auf ExploitGym mit einem Zeitbudget von zwei Stunden löst GLM-5.3 105 Aufgaben, Mythos 5 löst 181. Die Formulierung des Fachdienstes AI News trifft es: Je weiter hinten in dieser Kette ein Test ansetzt, desto weiter liegt das Modell zurück. Diese drei Vergleichswerte stammen aus der Auswertung von AI News, deren Seite automatisierte Zugriffe abweist — wir führen sie deshalb nicht als klickbare Quelle, benennen sie aber als Herkunft.

Der zweite unabhängige Datensatz stammt von Artificial Analysis, das Modelle nach einheitlicher Methodik über eine breite Aufgabenmenge misst. Dort erreicht GLM-5.3 einen Intelligence-Index von 59,5 — knapp hinter Kimi K3 mit 59,7 und mit deutlichem Abstand hinter Claude Opus 5 (63,1), Claude Fable 5 (62,1), GPT-5.6 Sol (60,9) und Grok 4.6 (60,9). Das Modell ist also nicht führend, sondern solides oberes Mittelfeld. Dazu kommen zwei praktische Kennwerte: Mit 74 ausgegebenen Token pro Sekunde stuft Artificial Analysis es ausdrücklich als langsamer als der Durchschnitt ein, und für die Auswertung des Index verbrauchte es 170 Millionen Token gegenüber einem Median von 72 Millionen. GLM-5.3 redet also mehr als doppelt so viel wie das Mittelfeld, um zum Ergebnis zu kommen.

Und hier wird es interessant, weil sich die Rechnung trotzdem umdreht. Die Preise liegen bei 1,40 Dollar je Million Eingabe-Token und 4,40 Dollar je Million Ausgabe-Token — beides unter dem Median von 1,75 beziehungsweise 10,00 Dollar. Unterm Strich kostet eine Aufgabe im Intelligence-Index bei GLM-5.3 0,68 Dollar, bei Kimi K3 0,84, bei GPT-5.6 Sol 1,23, bei Claude Opus 5 2,34 und bei Claude Fable 5 3,14. Das Modell ist geschwätzig und langsam — und trotzdem das günstigste der Gruppe, weil der Preis je Token den Mehrverbrauch überkompensiert.

Wired hat dem Modell am selben Tag einen Artikel unter der Überschrift gewidmet, das mächtige chinesische Modell, vor dem Fachleute gewarnt hätten, sei nun da. Zitiert wird darin unter anderem Nathan Lambert: „This model looks exceptional, with a somewhat astounding increase in scores. This is another step towards the inevitable proliferation of very strong cyber capabilities across the economy.“ Ebenfalls zu Wort kommt Guillermo Rauch, Chef von Vercel, der GLM-5.3 zum Absuchen von Webseiten nach Fehlern eingesetzt hat und wegen der niedrigeren Kosten einen Vorteil für die Verteidigungsseite sieht: „It's the new open frontier.“ Z.ai selbst benennt die Doppelnutzbarkeit und gibt das Modell zunächst nur begrenzt an geprüfte Partner heraus; die vollständige Freigabe soll rund zwei Wochen später folgen. Begleitend hat das Unternehmen einen Dienst namens OpenVuln veröffentlicht, der Code-Bestände mit GLM-5.3 auf Schwachstellen absucht.

Die folgende Einordnung ist unsere eigene. Der Fall ist ein Lehrstück darüber, wie Modellmarketing 2026 funktioniert. Man nimmt die eine Disziplin, in der man vorn liegt, formuliert daraus die Schlagzeile und überlässt es der Fachöffentlichkeit, in den folgenden Tagen die übrigen Zahlen nachzuliefern — was sie zuverlässig tut, nur mit deutlich weniger Reichweite. Für Einkaufsentscheidungen heißt das: Die Frage ist nie, ob ein Modell irgendwo führt, sondern ob es dort führt, wo die eigene Anwendung tatsächlich arbeitet. Und für den sicherheitspolitischen Teil der Debatte gilt: Der Abstand zwischen Finden und Ausnutzen ist bei diesem Modell größer als bei der US-Konkurrenz — was die Warnungen nicht entkräftet, aber ihre Dringlichkeit anders datiert.

Zum Unternehmen: Zhipu steht seit Januar 2025 auf der Entity List des US-Handelsministeriums und ist seit dem 8. Januar 2026 an der Börse in Hongkong notiert, mit einer Bewertung von rund 6,6 Milliarden Dollar zum Ausgabezeitpunkt.

Gartner hat am 17. August eine Prognose veröffentlicht, die auf den ersten Blick der Marktentwicklung widerspricht und auf den zweiten sehr genau zu ihr passt: Die Inferenzkosten pro agentischem Arbeitsablauf werden sich bis Ende 2028 mehr als verfünffachen. Gleichzeitig geht dasselbe Haus davon aus, dass die Kosten je Token bis 2030 um 95 Prozent sinken. heise hat die Prognose am 18. August aufgegriffen.

Auf die Metrik kommt es an, deshalb zuerst die Abgrenzung: Gemessen wird nicht der Preis je Token und nicht das gesamte KI-Budget einer Volkswirtschaft, sondern was ein einzelner Agentendurchlauf kostet. Ein konkreter Ausgangswert in Dollar wird nicht genannt — die Aussage ist ein Faktor, keine Preisliste.

Die Begründung nennt Gartner das Inferenz-Paradox, und der zuständige Analyst Will Sommer erklärt sie am Vergleich zweier Systeme: „A simple chatbot must read and interpret a query and quickly respond with a probabilistic reasonable answer, an AI agent must constantly reason, negotiate, and question itself.“ Ein Chatbot liest eine Frage und antwortet einmal. Ein Agent zerlegt eine Aufgabe, ruft Werkzeuge auf, liest deren Ausgaben, prüft sein Zwischenergebnis, verwirft es womöglich und beginnt von vorn. Jeder dieser Schritte ist ein eigener Modellaufruf mit dem gesamten bisherigen Verlauf im Kontext. Der Verbrauch wächst deshalb nicht linear mit der Aufgabengröße, sondern mit der Anzahl der Schleifen — und die steigt, sobald die Aufgaben anspruchsvoller werden.

Der eigentliche Mechanismus ist dabei nicht technisch, sondern wirtschaftlich, und das ist der Teil, der in Planungsrunden regelmäßig übersehen wird: Sinkende Stückkosten schaffen die Nachfrage, die sie auffrisst. Solange ein Durchlauf teuer ist, baut niemand zwölfstufige Abläufe. Wird er billig, baut man sie — und weil man sie baut, steigt die Gesamtrechnung. Dasselbe Muster hat sich in der IT wiederholt beobachten lassen, von der Speicherkapazität bis zur Bandbreite. Neu ist nur die Steilheit.

Ein Nebenbefund derselben Veröffentlichung verdient eigene Aufmerksamkeit: Gartner erwartet, dass bis 2027 mehr als 40 Prozent der geplanten oder bereits gestarteten Agentenprojekte wieder eingestellt werden. Beide Zahlen zusammengelesen ergeben eine unbequeme, aber plausible Geschichte — Projekte scheitern nicht daran, dass die Technik nicht funktioniert, sondern daran, dass sie funktioniert und dabei mehr kostet, als der automatisierte Vorgang wert ist.

Zur Einordnung der Quelle: Gartner ist ein kommerzielles Analysehaus, dessen Prognosen regelmäßig zitiert und selten überprüft werden; der zugrunde liegende Bericht ist kostenpflichtig, öffentlich verfügbar ist die Pressemitteilung. Die Kernaussage wird von mehreren Redaktionen übereinstimmend wiedergegeben, eine widersprechende Prognose haben wir nicht gefunden. Was in den verfügbaren Auszügen fehlt, ist die Belegkette: Wie viele Token verbraucht ein Agentendurchlauf 2026 tatsächlich gegenüber einem einfachen Modellaufruf? Diese Zahl nennt Gartner nicht, und wir konnten sie auch anderweitig nicht belastbar beziffern. Der Faktor fünf ist damit eine begründete Schätzung, keine Messung — und sollte so gelesen werden.

Praktisch folgt daraus eine Empfehlung, die unabhängig von der genauen Zahl gilt: Wer agentische Abläufe in Betrieb nimmt, sollte die Kostenmessung auf den Durchlauf legen, nicht auf den Monat. Ein Monatsbudget verrät nicht, ob ein Ablauf teurer geworden ist oder nur häufiger benutzt wird — und genau diese Unterscheidung entscheidet darüber, ob man optimieren oder skalieren sollte. Zur Größenordnung, in der sich das abspielt: Gartner erwartet für 2026 weltweite KI-Ausgaben von 2,59 Billionen Dollar, ein Plus von 47 Prozent gegenüber dem Vorjahr, davon 401 Milliarden für Infrastruktur.

Golem hat am 18. August eine Auswertung aufgegriffen, nach der neun US-Technologiekonzerne KI-bezogene Verpflichtungen von rund drei Billionen Dollar eingegangen sind, die in ihren Bilanzen nicht als Schulden erscheinen. Der Teaser fasst den Kern zusammen: Kosten für Mietverträge gigantischer Rechenzentren und Bestellungen für GPUs, TPUs und HBM-Speicher tauchen bei den Konzernen noch nicht auf.

Zur Quellenlage, weil sie hier ungewöhnlich ist: Die Zahl stammt aus einer Analyse des Wall Street Journal. Wir konnten die WSJ-Seite nicht abrufen — der Verlag beantwortet automatisierte Zugriffe grundsätzlich mit einer Fehlermeldung, unabhängig davon, ob die Adresse existiert. Wir führen sie deshalb nicht als klickbare Quelle. Belegbar und selbst geprüft ist eine zweite, eigenständige Auswertung: Nikkei Asia kam im Juli 2026 für fünf Konzerne — Alphabet, Microsoft, Amazon, Meta und Oracle — auf 1,65 Billionen Dollar außerbilanzieller Verpflichtungen, gegenüber 1,35 Billionen Dollar ausgewiesener Schulden. Das entspricht einer Verachtfachung binnen vier Jahren. Die WSJ-Zahl bezieht neun Konzerne ein, darunter zusätzlich Nvidia, Broadcom, SpaceX und AMD, und teilt sich nach den vorliegenden Zusammenfassungen in etwa 1,2 Billionen Dollar noch nicht begonnene Mietverträge und 1,9 Billionen Dollar Kaufverpflichtungen auf. Die beiden Analysen widersprechen einander nicht; sie zählen unterschiedliche Mengen.

Wie das funktioniert, lohnt eine Erklärung, weil es weder ein Trick noch ein Skandal ist, sondern eine Buchungsregel mit einer Zeitlücke. Ein Mietvertrag muss nach US-Rechnungslegung erst dann als Verbindlichkeit in die Bilanz, wenn das Mietverhältnis beginnt — also wenn das Rechenzentrum steht und die Zahlungen laufen. Ein 2026 unterschriebener Vertrag über ein 2029 fertiges Gebäude ist bis dahin eine Fußnote im Quartalsbericht. Das ist regelkonform und seit Jahrzehnten üblich. Ungewöhnlich ist allein, wie viele solcher Verträge derzeit gleichzeitig in dieser Vorstufe hängen — und dass sie, wenn die Anlagen in Betrieb gehen, nicht nach und nach, sondern in Wellen auf die Bilanzen rollen.

Der zweite Mechanismus sind Zweckgesellschaften. Dokumentiert ist das am Beispiel von Metas Projekt Hyperion, das über eine Gesellschaft namens Beignet Investor LLC läuft, an der der Finanzinvestor Blue Owl Capital rund 80 und Meta rund 20 Prozent hält. Meta stellt Bauunterstützung, Zahlungsgarantien und eine Restwertgarantie, ohne dass die Schulden der Gesellschaft vollständig in den Konzernabschluss wandern. In mehreren Auswertungen wird an dieser Stelle der Vergleich zu Enron gezogen — er ist insofern schief, als dort betrügerisch verschleiert wurde, was hier in den Fußnoten steht, und insofern zutreffend, als die bilanzielle Mechanik dieselbe ist.

Der dritte Mechanismus ist der leiseste und wirkt direkt auf den ausgewiesenen Gewinn: die Nutzungsdauer von Beschleunigerkarten. Amazon hat sie 2020 von drei auf vier und 2023 auf sechs Jahre verlängert, Microsoft 2021 auf vier und 2022 auf sechs, Alphabet in ähnlichen Schritten, Meta zuletzt auf 5,5 Jahre. Der Effekt: Microsoft wies 2023 rund 3,7 Milliarden Dollar mehr operatives Ergebnis aus, Alphabet rund 3,0 Milliarden mehr Nettoergebnis. Die Rechtfertigung lautet, dass ältere Karten nach unten durchgereicht werden — von Training zu Inferenz zu weniger anspruchsvollen Aufgaben. Das ist plausibel und gleichzeitig eine Wette darauf, dass sich der Hardwarezyklus nicht beschleunigt.

Zu den Einzelzahlen, jeweils mit dem Vorbehalt unterschiedlicher Stichtage je nach Auswertung: Meta wird mit rund 420 Milliarden Dollar geführt, Oracle mit 270 bis 273 Milliarden — etwa das Dreißigfache des Werts von 2022, getrieben vom Stargate-Projekt mit OpenAI —, Microsoft mit 228,6 Milliarden, Amazon mit 130,1 Milliarden. Alphabet weist Kauf- und Vertragsverpflichtungen von 811 Milliarden Dollar aus, nach 332 Milliarden drei Monate zuvor, einschließlich Energieverträgen mit Laufzeiten bis 2054.

Kritik kommt nicht von Aktivisten, sondern aus dem Finanzsystem selbst. Analysten von Morgan Stanley bemängeln, es werde für Investoren zunehmend schwierig, die tatsächliche Gesamtverschuldung eines Unternehmens einzuschätzen. Ratingagenturen haben angemerkt, dass die ausgewiesene Verschuldung das wirtschaftliche Risiko unterzeichnet; bei Oracle hat sich das bereits in der Einschätzung niedergeschlagen. Eine förmliche Untersuchung durch die US-Börsenaufsicht oder eine Regeländerung des Standardsetzers FASB ist uns nicht bekannt und war auch nicht zu belegen.

Die folgende Einordnung ist unsere eigene. Für Kunden dieser Konzerne ist die interessante Frage nicht, ob hier etwas Unerlaubtes geschieht — es geschieht nichts Unerlaubtes. Sie lautet, was mit den Preisen passiert, wenn diese Verpflichtungen fällig werden. Eine Zusage über zwanzig Jahre Miete für ein Rechenzentrum ist ein Fixkostenblock, der bedient werden muss, ob die Auslastung stimmt oder nicht. Solange sie stimmt, ist das für Kunden gut, weil überschüssige Kapazität die Preise drückt. Wenn sie nicht stimmt, hat der Anbieter zwei Möglichkeiten: Preise senken, um Auslastung zu kaufen, oder Preise erhöhen, um die Fixkosten auf weniger Kunden umzulegen. Welche er wählt, hängt davon ab, wie austauschbar er ist. Genau deshalb ist die Frage der Anbieterbindung — die wir in der Reportage vom 16. August unter einem anderen Vorzeichen behandelt haben — auch eine Frage der Bilanz des Anbieters.

Google hat im Wind-down-Verfahren der eingestellten US-Fluggesellschaft Spirit Airlines deren internen Datenbestand für zehn Millionen Dollar ersteigert. Unterlegener Bieter war das Datenunternehmen Mercor mit 7,5 Millionen Dollar; das Startgebot lag bei rund fünf Millionen, mindestens ein weiterer, nicht genannter Bieter beteiligte sich. Die Meldung stammt aus einer dpa-Meldung vom 18. August, die unter anderem Spiegel und ZDFheute verbreitet haben.

Der Umfang ist der eigentliche Gegenstand. Enthalten sind nach übereinstimmenden Berichten rund 100 Millionen E-Mails, etwa 500 Millionen Nachrichten aus Microsoft Teams, rund 30 Millionen Zeilen Quellcode samt Schnittstellen und Dokumentation, dazu Tabellen, Kalender, Marketing- und Personalunterlagen sowie Betriebsdaten: Flugpläne, Bestandsverwaltung, Preisdaten zu Milliarden von Flügen, Wettbewerberpreise und Protokolle des Störungsmanagements.

Ausdrücklich nicht enthalten sind Passagier- und Kundendaten, Kreditkartendaten und die Datensätze des Vielfliegerprogramms. Google erklärt dazu wörtlich: „We acquired part of an enterprise dataset from Spirit Airlines, which can be helpful in improving our products and AI models. We will not receive any personal information from this dataset. Any data we receive will be rigorously scrubbed of any personally identifiable information by a third party before receipt.“ Ein vom Gericht bestellter Verbraucherdatenschutz-Beauftragter überwacht diesen Anonymisierungsschritt — ein Verfahren, das das US-Insolvenzrecht für den Verkauf personenbezogener Daten vorsieht.

Ein Widerspruch in den Quellen, den wir offenlegen: Ein Bericht von Forbes behauptet abweichend, das Paket enthalte nahezu 100 Millionen Passagiernamen und rund 13 Millionen aktive E-Mail-Adressen. Diese Darstellung steht gegen die Google-Erklärung und gegen die übrige geprüfte Berichterstattung. Wir konnten den Widerspruch nicht auflösen und geben deshalb beide Fassungen wieder, mit dem Hinweis, dass die Mehrheit der Quellen und die Stellungnahme des Käufers in die andere Richtung weisen.

Widerspruch gibt es unabhängig davon. Sara Nelson, Präsidentin der Flugbegleitergewerkschaft AFA-CWA, die über 5.500 Spirit-Beschäftigte vertritt, kündigte einen Einspruch bei Gericht an: „This is outrageous! We are filing a court objection to Google's attempt to buy data that has no business being sold.“ Bemerkenswert daran ist, wessen Daten hier gemeint sind — nicht die der Kunden, sondern die der Beschäftigten. In 100 Millionen E-Mails und 500 Millionen Chatnachrichten steckt die vollständige Arbeitskommunikation einer Belegschaft, einschließlich Krankmeldungen, Konflikte, Beschwerden und Personalvorgänge. Das Herausfiltern personenbezogener Angaben entfernt Namen; es entfernt nicht die Vorgänge.

Rechtlich ist der Vorgang nicht neu. Der Verkauf von Kundendaten aus einer Insolvenzmasse ist in den USA seit den Fällen Toysmart im Jahr 2000 und RadioShack 2015 geregelte Praxis: Damals setzte die Handelsaufsicht FTC über den Datenschutzbeauftragten Auflagen durch — der Käufer musste in einer ähnlichen Branche tätig sein, an die ursprüngliche Datenschutzerklärung gebunden bleiben und bei Zweckänderung eine Zustimmung einholen. Genau diese Auflagen sind hier bemerkenswert schwer anwendbar: Google ist keine Fluggesellschaft, und der Zweck — Training von KI-Modellen — war zum Zeitpunkt der Datenerhebung in keiner Datenschutzerklärung vorgesehen.

Die folgende Einordnung ist unsere eigene. Wir haben am 18. August darüber berichtet, dass Amazon antiquarische Bücher zum Zweck des Modelltrainings zerschneidet, und in der Reportage derselben Ausgabe beschrieben, dass der Trainingsdatenmarkt weniger den Inhalt bepreist als den Nachweis, ihn rechtmäßig zu besitzen. Der Fall Spirit ist die konsequente Fortsetzung: Eine Insolvenz erzeugt genau diesen Nachweis auf dem denkbar saubersten Weg. Ein Gericht verkauft, ein Beauftragter prüft, ein Beschluss dokumentiert. Was auf dem freien Markt Jahre an Verhandlung und dreistellige Millionenbeträge kosten würde, kostet in der Abwicklung zehn Millionen Dollar und hat eine gerichtliche Bestätigung obendrauf.

Für Unternehmen ist daraus eine unbequeme Frage abzuleiten, die in kaum einem Vertragswerk auftaucht: Was geschieht mit der eigenen internen Kommunikation, wenn das Unternehmen insolvent wird? Die interne Kommunikation eines mittelgroßen Betriebs ist genau das Material, aus dem sich betriebsspezifisches Wissen extrahieren lässt — Abläufe, Preislogik, Fehlerbehandlung, Kundenbehandlung. Sie ist in fast keiner Aufbewahrungs- und Löschrichtlinie als verwertbarer Vermögensgegenstand behandelt. Nach diesem Fall sollte sie es sein.

Der Vollständigkeit halber: Spirit Airlines durchlief zwei Insolvenzverfahren vor dem Bankruptcy Court des Southern District of New York, das zweite seit dem 29. August 2025; der Flugbetrieb wurde Anfang Mai 2026 vollständig eingestellt. Der Gerichtstermin zur Genehmigung des Verkaufs war für die Woche nach dem 18. August angesetzt und war zuvor bereits wegen Einwänden der Gewerkschaft verschoben worden. Ein Ergebnis lag zum Redaktionsschluss nicht vor.

Das israelische Unternehmen QED Science hat 57.455 Preprints der Lebenswissenschafts-Plattform bioRxiv aus dem Zeitraum Mai 2025 bis April 2026 durch ein eigenes Bewertungsverfahren geschickt und daraus eine Rangliste erstellt. 574 Arbeiten erreichten das 99. Perzentil und werden als The 1 Percent geführt. heise und t3n haben den Fall am 18. August im deutschsprachigen Raum aufgegriffen; Nature hatte ihn zuvor unter der Frage behandelt, ob Forschende diesem Werkzeug trauen sollten.

Zum Verfahren: Die Arbeiten werden zunächst anonymisiert — Autorennamen, Institutionen und Zeitschriftenzugehörigkeit fallen weg. Danach setzen mehrere spezialisierte Agenten an unterschiedlichen Prüfaspekten an: einer sucht Widersprüche in Abbildungen, einer vergleicht mit der vorhandenen Literatur, einer prüft die Statistik. Die Ergebnisse werden zusammengeführt und noch einmal gegengeprüft. Heraus kommen zwei Werte, für Originalität und für Belastbarkeit, ausgedrückt als Perzentilrang: 80 heißt, die Arbeit liegt über 80 Prozent der vergleichbaren.

Das Unternehmen legt eigene Validierungszahlen vor. Der Wert trennt demnach Arbeiten schwacher Qualität von starken oder ausreichenden mit einem AUC-Wert von 0,867 — eine Kennzahl für Trennschärfe, bei der 0,5 raten und 1,0 perfekte Trennung bedeutet. Die Korrelation zwischen dem Preprint-Wert und dem Rang der Zeitschrift, in der die Arbeit später erschien, liegt bei einem Rangkorrelationskoeffizienten von 0,63. Bei 12,9 Prozent der Arbeiten fiel die Bewertung höher aus, als es die spätere Zeitschriftenplatzierung nahelegt. Es handelt sich durchgehend um Angaben des Anbieters; eine unabhängige Nachprüfung dieser Validierung liegt nicht vor.

Genau hier setzt die Kritik an, und sie ist präziser, als es das Wort Kritik nahelegt. Ran Blekhman, Medizinprofessor an der University of Chicago, bemängelt, der Aufbau aus mehreren Agenten sei nicht nachvollziehbar: Algorithmus, Prompts und Gewichtungen seien nicht so offengelegt, dass jemand die Bewertung unabhängig reproduzieren könnte. Sina Booeshaghi, Biowissenschaftler an der University of California, hält dem Verfahren einen inneren Widerspruch vor: Es misst sich an Zeitschriftenrängen und behauptet zugleich, Zeitschriftenränge seien ein unzureichender Qualitätsmaßstab. Zudem beseitige die Anonymisierung keine strukturellen Verzerrungen — die regionale Verteilung im obersten Prozent spreche für sich.

Der zweite Einwand betrifft nicht die Messung, sondern ihre Wirkung: Wer ein einzelnes Gütemaß auf 99 skaliert, erzeugt zwangsläufig die Lesart, dass eine 90 oder eine 80 schlechter ist — obwohl der Abstand zwischen diesen Werten methodisch möglicherweise nichts bedeutet. Die Wissenschaft hat mit dem Journal Impact Factor bereits eine Kennzahl hervorgebracht, die als grobe Orientierung gedacht war und binnen weniger Jahrzehnte über Berufungen und Fördermittel mitentschieden hat. Ein zweites Ranking mit besserer Methodik löst dieses Problem nicht, sondern verdoppelt es.

Die folgende Einordnung ist unsere eigene. Für Leser außerhalb der Wissenschaft ist der Fall aus einem anderen Grund lehrreich, denn dieselbe Konstruktion begegnet einem im Unternehmen regelmäßig: Ein Modell bewertet etwas, das bislang Menschen bewertet haben — Bewerbungen, Lieferanten, Kreditanträge, Vertriebsleads. Die drei Einwände sind jedes Mal dieselben. Erstens: Ist die Bewertung reproduzierbar, oder kennt nur der Anbieter die Gewichtung? Zweitens: Woran wurde validiert — und ist dieser Maßstab nicht genau der, den man ersetzen wollte? Drittens: Was macht die Existenz der Zahl mit dem Verhalten der Bewerteten? Die dritte Frage ist die, die in Beschaffungsprozessen fast nie gestellt wird, und sie ist die folgenreichste. Eine Kennzahl, die veröffentlicht wird, verändert das System, das sie messen soll.

Der Anbieter selbst argumentiert, das Verfahren sei gerade deshalb fairer als der etablierte Betrieb, weil es ohne Kenntnis von Namen und Institutionen arbeitet — ein Argument, das nicht von der Hand zu weisen ist, wenn man weiß, wie stark die klassische Begutachtung von Reputation beeinflusst wird. Beide Seiten haben in ihrem jeweiligen Punkt recht, und genau das macht den Fall interessant: Die Frage ist nicht, ob die Maschine besser urteilt als der bisherige Betrieb, sondern ob ein besseres Urteil in Ranglistenform überhaupt eine Verbesserung ist.