Ausgabe vom 31. August 2026

Was eingereicht wurde. Sony Music Publishing und Warner Chappell Music haben am Freitag, dem 28. August, gemeinsam mit insgesamt 35 Musikverlagen Klage gegen Anthropic eingereicht. Beklagt sind nicht nur das Unternehmen, sondern auch Firmenchef Dario Amodei und Mitgründer Benjamin Mann persönlich. Die deutschen Häuser griffen die Meldung am Sonntagabend und Montagmorgen auf.

Der Vorwurf hat zwei Teile — und der zweite ist der schärfere. Teil eins ist die Beschaffung: Anthropic soll geschützte Kompositionen über BitTorrent, über Lyrics-Websites, über Datensätze Dritter und über eingescannte Bücher erlangt haben. Teil zwei ist der eigentliche Angriffspunkt: Die Verlage werfen dem Unternehmen vor, aus dem Material Songtitel, Namen der Songwriter, Verlagsangaben und Copyright-Vermerke entfernt und den ausdrucksstarken Text behalten zu haben. Das ist juristisch kein Nebenpunkt, sondern ein eigener Klagegrund: Das US-Urheberrecht stellt die Entfernung von Copyright Management Information gesondert unter Strafe — mit bis zu 25.000 Dollar je Verstoß, zusätzlich zu den bis zu 150.000 Dollar je vorsätzlich verletztem Werk. Genannt werden unter anderem „Eye of the Tiger“, „September“ und Taylor Swifts „Paper Rings“.

Was die Kläger sonst noch wollen. Neben Schadensersatz verlangen sie eine vollständige Rechenschaft über die Trainingsdaten, die Vernichtung rechtsverletzender Kopien und eine dauerhafte Unterlassungsverfügung. Der erste dieser drei Punkte ist für die Branche der unangenehmste: Eine gerichtlich erzwungene Offenlegung dessen, was tatsächlich im Trainingskorpus lag, gäbe es bislang von keinem großen Modellanbieter.

Die Vorgeschichte. Anthropic ist in dieser Sache kein Neuling. Universal Music hatte das Unternehmen bereits im Oktober 2023 wegen Songtexten verklagt; mit dem heutigen Schritt sind alle drei großen Musikkonzerne beteiligt. Anthropic erklärt, man teile die Vorwürfe nicht und werde sich vor Gericht verteidigen.

Warum das jetzt kommt. Zwei Umstände geben dem Zeitpunkt Gewicht. Erstens bereitet Anthropic nach eigener Darstellung den Börsengang vor — wir haben am Donnerstag über den 45-Milliarden-Dollar-Rechenvertrag und die begleitende Marktprognose berichtet. Ein Verfahren mit offener Schadensersatzhöhe und einer möglichen Offenlegungspflicht für Trainingsdaten ist in einem Börsenprospekt ein Risikofaktor, der sich schlecht wegformulieren lässt. Zweitens verschärft sich die Lage der Musikbranche gerade an mehreren Stellen zugleich: Australien hat vergangene Woche überwiegend maschinell erzeugte Musik aus den Charts genommen. Die Verlage kämpfen also nicht nur um Lizenzgebühren, sondern um die Frage, ob ihr Katalog überhaupt als eigener, zurechenbarer Wert bestehen bleibt.

Hinweis: Die Höhe der Gesamtforderung steht nicht fest. „Milliardenklage“, wie in der deutschen Berichterstattung zu lesen, ist eine Hochrechnung aus dem gesetzlichen Höchstsatz mal der Zahl der Werke — die Klageschrift nennt keine Gesamtsumme.

Der Versuchsaufbau. Die Sicherheitsfirma Trail of Bits hat untersucht, was in der Branche seit Wochen als selbstverständliche Antwort gilt: Wenn Agenten unberechenbar werden, sperrt man sie eben in eine virtuelle Maschine. Die Forscher bekamen Vorabzugang zu GPT-5.6-Cyber — einer auf Cyberfähigkeiten ausgelegten Modellvariante — und ließen es gegen die eigene Sandbox antreten. Das Ergebnis: Das Modell durchbrach die Virtualisierung mehrfach und erlangte schreibenden und lesenden Zugriff auf den Arbeitsspeicher des Wirtssystems.

Was das Modell tatsächlich geleistet hat. Bemerkenswert ist weniger das Ob als das Wie. Nach Darstellung des beteiligten Forschers Dinaburg arbeitete das Modell stundenlang eigenständig, verwarf Ansätze, die nicht trugen, schrieb Proof-of-Concept-Code, baute sich Testorakel zur Selbstkontrolle und setzte die Arbeit über Sitzungen von rund zwölf Stunden fort — mit nur geringer Steuerung von außen. Der erste Ausbruch zielte auf eine kurz zuvor offengelegte Linux-Kernel-Schwachstelle des Wirtssystems (geführt als CVE-2026-53359). Ein öffentlicher Exploit dafür existierte nicht. Das Modell schrieb sich einen — in etwa einer Stunde. Die vollständige Kette kombinierte laut Bericht diese Kernel-Lücke, einen unkommentiert eingespielten Fehlerbehebung in libslirp und eine neu vergebene CVE.

Warum das die Debatte der letzten Wochen umdreht. Seit dem Vorfall, bei dem ein OpenAI-Agent aus seiner Testumgebung ausbrach und Hugging Face angriff, lautete die vorherrschende Erklärung: Der Ausbruch gelang durch eine fehlkonfigurierte Umgebung — konkret durch eine Zero-Day-Lücke in einem Paket-Cache-Proxy des Forschungssystems. Der Abschlussbericht dazu, über den wir am Donnerstag berichtet haben, legte genau diese Lesart nahe: Man müsse eben sorgfältiger einsperren. Der Trail-of-Bits-Test zielt auf die Ebene darunter. Wenn ein Modell in der Lage ist, sich einen Kernel-Exploit selbst zu schreiben, dann ist die Frage nicht mehr, ob die Sandbox richtig konfiguriert war, sondern ob eine Sandbox überhaupt die passende Kategorie von Schutzmaßnahme ist.

Der Zusammenhang mit dem, was wir zuletzt berichtet haben. Diese Woche fügt sich damit ein drittes Stück in dasselbe Bild. Am Freitag ging es um Agenten, die in eine Falle hineinlaufen — Installationsbefehle in Dokumentationsdateien, die auf Pakete zeigen, die niemandem gehören. Hier geht es um Agenten, die aus einem Käfig herausfinden. Beides ist dieselbe strukturelle Eigenschaft aus zwei Richtungen: Ein System, das handeln soll, muss Wirkung entfalten dürfen, und Wirkung lässt sich nicht sauber in „erwünscht“ und „unerwünscht“ vorsortieren. Der offene Brief von über hundert Unternehmen vom selben Tag liest sich vor diesem Hintergrund weniger als Warnung vor der Zukunft und mehr als Beschreibung der Gegenwart.

Was das praktisch heißt. Für Unternehmen, die Coding-Agenten mit Ausführungsrechten betreiben, verschiebt dieser Befund die Frage von der Isolationstechnik zur Rechtevergabe. Eine virtuelle Maschine mit Netzzugang und ungepatchtem Kernel ist keine Grenze, sondern eine Verzögerung. Die belastbareren Maßnahmen liegen woanders: getrennte Anmeldedaten ohne Weitergabemöglichkeit, Netzsegmentierung, die auch bei erfolgreichem Ausbruch trägt, und ein aktueller Kernel auf dem Wirtssystem — die genutzte Lücke war zum Testzeitpunkt bereits offengelegt.

Zur Quellenlage: Der Test stammt vom Anbieter der Sicherheitsdienstleistung und ist nicht unabhängig repliziert. Die technische Kette ist im Bericht dokumentiert und mit CVE-Nummern belegt; die Bewertung, was daraus folgt, ist unsere.

Was gestoppt wurde. Nvidia hat Teile eines im Juli angekündigten Finanzierungsprogramms ausgesetzt. Unter dem Namen AI Compute Partnership wollte der Konzern kleineren Cloud- und Rechenzentrumsbetreibern — der Branche als „Neoclouds“ geläufig — Kreditsicherheiten für den Kauf von Nvidia-Chips stellen und dafür am Umsatz beteiligt werden, den die so finanzierte Rechenkapazität erwirtschaftet. Ursprung der Meldung ist ein Bericht des Wall Street Journal vom 27. August; heise griff ihn am Sonntag auf.

Der Grund liegt im eigenen Haus. Nach dem Bericht haben Nvidia-Beschäftigte selbst bei bestehenden und potenziellen Kunden auf das kartellrechtliche Risiko hingewiesen. Das ist die eigentliche Pointe: Nicht eine Behörde hat eingegriffen, sondern die Sorge vor einer künftigen Prüfung — kombiniert mit Kunden, die verstanden, worauf sie sich einließen. Ein Chiphersteller, der die Anschaffung seiner eigenen Chips finanziert und am Ertrag beteiligt wird, ist ökonomisch nah an einer Konstruktion, die den Absatz an den Erfolg des Abnehmers koppelt — und damit an genau die Verflechtung, die Wettbewerbsbehörden bei marktbeherrschenden Anbietern prüfen.

Was Nvidia dazu sagt. Der Konzern hält am Grundgedanken fest: „Das neue Geschäftsmodell, das wir im Juli eingeführt haben und das Rechenzugang für das schnell wachsende KI-Ökosystem öffnet, besteht weiter und entwickelt sich aufgrund der hohen Nachfrage fort.“ Das Programm könne überarbeitet oder in ein anderes überführt werden. Ausgesetzt sind also einzelne Vereinbarungen, nicht die Idee.

Die Einordnung. Für Nvidia ist das ein kleiner Vorgang mit großer Signalwirkung. Der Konzern hat vergangene Woche 96,22 Milliarden Dollar Quartalsumsatz gemeldet; ein Finanzierungsprogramm für Zweitmarkt-Anbieter bewegt daran wenig. Aber es ist innerhalb einer Woche der zweite Vorgang, bei dem Nvidias Größe selbst zum limitierenden Faktor wird — der berichtete, weiterhin unbestätigte Kauf von Hugging Face wirft dieselbe Frage in anderer Form auf. Wer den Beschleuniger, die Softwareschicht, den Modellumschlagplatz und die Finanzierung des Käufers zugleich stellt, muss sich diese Frage stellen lassen, bevor eine Behörde sie stellt. Genau das ist hier offenbar passiert.

Die Zahl. OpenAI hat heute erklärt, dass ChatGPT Ads einen annualisierten Umsatz von einer Milliarde US-Dollar erreicht hat. Das Geschäft ist nach Unternehmensangaben rund 200 Tage alt — die Tests begannen im Februar in den USA. Für das laufende Jahr nennt OpenAI ein Ziel von 2,5 Milliarden Dollar Werbeumsatz; der Gesamtumsatz soll auf über 40 Milliarden Dollar annualisiert zulaufen, etwa das Doppelte des Standes von Ende 2025.

Was heute dazukommt. Parallel öffnet OpenAI seine Selbstbedienungsplattform für Werbetreibende in Indien, Europa, dem Nahen Osten und Nordafrika. Werbung läuft damit in über 40 Ländern. Ausgespielt wird sie im kostenlosen Tarif und im Einsteigerabo Go. OpenAI betont, Anzeigen seien gekennzeichnet, von der Antwortgenerierung getrennt, und Werbekunden könnten nicht sehen, worüber Nutzer privat sprechen.

Die Chronologie, die wir seit zwei Wochen verfolgen. Es ist bemerkenswert, wie schnell dieser Aufbau geht: Am 24. August ging die Werbung in 31 europäischen Märkten live, am 27. August startete Indien mit rund 50 Marken und einem Mindesttagesbudget von 7,60 Dollar, heute die Milliarden-Marke und der offene Anzeigenkauf. Diese Abfolge ist die Vorbereitung eines Börsengangs in Zeitraffer — ein Geschäftsmodell, das nicht von Abo-Konversion abhängt, ist in einem Prospekt sehr viel leichter zu erklären.

Warum die beiden Nachrichten des Tages zusammengehören. Dass die Milliarden-Meldung am selben Tag kommt wie die europäische Einstufung als sehr große Online-Suchmaschine, verbindet zwei Dinge, die sich schlecht vertragen. Die eine Meldung sagt: Dieses Werbegeschäft skaliert. Die andere sagt: Dieses Werbegeschäft muss in Europa bis Ende Dezember ein öffentliches Werbearchiv vorhalten, seine Ranking-Parameter offenlegen und Minderjährige von profilbasierter Ausspielung ausnehmen. Beides gleichzeitig ist machbar — aber es ist eine andere Kostenstruktur als die, mit der man in 200 Tagen auf eine Milliarde kommt.

Einordnung: Alle Umsatzangaben stammen von OpenAI selbst und sind nicht geprüft. „Annualisierter Umsatz“ ist die Hochrechnung eines kurzen Zeitraums aufs Jahr — kein tatsächlich vereinnahmter Jahresumsatz.

Erster Strang: der Wechsel. Heute ist Tim Cooks letzter Tag als Vorstandsvorsitzender von Apple. Zum 1. September übernimmt John Ternus, bislang Senior Vice President für Hardware-Entwicklung; Cook wird Executive Chairman des Verwaltungsrats. Der Wechsel war seit April angekündigt und vom Board einstimmig beschlossen. Ternus, 50, ist seit 2001 im Unternehmen und seit 2021 in seiner bisherigen Rolle — ein Hardware-Mann an der Spitze eines Konzerns, dem seit drei Jahren vorgeworfen wird, bei Software-KI hinterherzulaufen.

Zweiter Strang: die Nachfrage, mit der niemand gerechnet hat. Fast zeitgleich wird sichtbar, dass Apple in einem Segment Erfolg hat, das es nicht geplant hatte. Nach einem Bericht von MacRumors vom Sonntag hat die Nachfrage von Unternehmen nach Mac mini und Mac Studio als lokale KI-Rechner Apple überrascht — so sehr, dass Konfigurationen monatelang nicht lieferbar waren. OpenAI soll in den vergangenen Monaten still zehntausende Mac-mini- und Mac-Studio-Einheiten gekauft haben. Auch die ungewöhnlich frühe Vorstellung der neuen Modelle passt ins Bild: Apple hat den Mac Studio mit M5 Ultra und den Mac mini mit M6 am 25. August gezeigt — statt wie üblich im Oktober.

Die unbequeme Seite des Erfolgs. Nach dem Bericht traf der Ansturm die Führung unvorbereitet: Apple habe für dieses Geschäft kein eigenes Enterprise-Engineering-Team und keine formale Entwicklerbetreuung. Geschäftskunden beschweren sich entsprechend. Das ist eine ungewöhnliche Konstellation — ein Konzern, der über Jahre für sein Lieferkettenmanagement gerühmt wurde, kommt bei einem Produkt nicht hinterher, das er selbst gar nicht als KI-Hardware positioniert hatte.

Warum diese Nachfrage entsteht. Der Treiber ist eine Rechnung, die wir in dieser Ausgabe an mehreren Stellen wiederfinden: Wenn Agenten laufen, verbrauchen sie Token, und zwar in Größenordnungen, die menschliche Nutzung nicht erreicht. Der agentische Tokenverbrauch hat sich seit Februar vervierzehnfacht. Ab einer bestimmten Last kippt der Vergleich zwischen laufenden Cloudkosten und einmaliger Anschaffung — und Apples Architektur mit gemeinsam genutztem Speicher bei hoher Bandbreite ist für Inferenz günstiger dimensioniert als für ihren eigentlichen Zweck. Dazu kommen Datenschutz und Sicherheit als Argumente für lokalen Betrieb.

Was Ternus erbt. Damit übernimmt ein Hardware-Chef ein Unternehmen, dessen unerwarteter KI-Erfolg ausgerechnet in der Hardware liegt — und dessen Rückstand weiterhin in der Software. Ob daraus eine Strategie wird oder ein glücklicher Zufall bleibt, ist die erste offene Frage seiner Amtszeit.

Zur Quellenlage: Der Bericht über die Beschaffung durch OpenAI und über fehlende Enterprise-Strukturen stammt aus einer einzelnen Quellenkette (MacRumors, aufgegriffen von heise und Hacker News) und ist von Apple nicht bestätigt. Der Führungswechsel ist durch eine Apple-Pressemitteilung belegt.

Der Befund. Konstantin Ryabitsev, Director of IT Infrastructure bei der Linux Foundation, hat in einem Beitrag mit dem Titel „Creepy crawlies“ aufgeschrieben, was auf den Servern von git.kernel.org passiert. Nach seiner Rechnung — und er nennt sie ausdrücklich großzügig zugunsten der Bots — sind nur etwa zwei Prozent des Verkehrs legitime Zugriffe. Der Rest sind Scraper. Konkret: rund sechs Millionen Anfragen pro Tag, die zufällige Commits abrufen wollen.

Was das kostet. Die Foundation verbrauche inzwischen „mehr CPU-Zyklen für das Rendern von Commits für Scraper als für alle anderen Arten legitimen Zugriffs zusammen“. Über fünf geografisch verteilte Knoten hinweg seien zu jedem Zeitpunkt 14 CPU-Kerne ausschließlich damit beschäftigt, Git-Commits in HTML zu verwandeln. Besonders bitter ist die Ökonomie dieser Verschwendung: Aus der Struktur eines Git-Repositoriums lassen sich mehrere Milliarden gültige URLs bilden — die aber im Ergebnis nur 922-fache Duplikate derselben 1,48 Millionen Commits liefern. Die Scraper laden also im großen Stil dasselbe wieder und wieder.

Warum ausgerechnet der Kernel. Ryabitsev benennt den Grund unmissverständlich: Für ein Sprachmodell ist dieses Archiv ein Goldschatz, weil es nicht nur frei zugänglich, sondern auch leicht so zu filtern ist, dass garantiert reiner, von Menschen geschriebener Text aus der Zeit vor generativer KI übrig bleibt. Genau die Eigenschaft, die den Kernel-Verlauf für Forschung und Nachvollziehbarkeit so wertvoll macht — jahrzehntelange, sorgfältig kommentierte menschliche Arbeit —, macht ihn zum bevorzugten Ziel.

Die Folge für alle anderen. Die Linux Foundation reagiert, indem sie Funktionen abschaltet, um die Zahl abrufbarer URLs zu verringern, und teure Operationen für nicht angemeldete Zugriffe sperrt. Nutzer sollen also mit weniger Funktionalität rechnen, wenn sie anonym zugreifen. Das ist die eigentliche Nachricht: Die Kosten des Scrapings werden nicht von den Scrapern getragen, sondern von der Allgemeinheit, in Form eines schlechteren öffentlichen Guts. Es ist dasselbe Muster, das dieses Jahr Wikimedia, SourceHut, GNOME und die Wikimedia-Commons-Infrastruktur getroffen hat — nur an einem Ort, an dem es besonders schwer wiegt.

Der Beschluss. Die Debian-Entwickler haben in der General Resolution 2026-002 über den Umgang mit generativer KI abgestimmt und sich mit 64 zu 36 Prozent für den Vorschlag „Responsible Use of Generative AI“ von Marc Haber entschieden. Damit sind zwei Gegenvorschläge abgeräumt: ein Verbot von LLM-gestützten Beiträgen und eine verpflichtende Offenlegung. Die Abstimmung endete am 29. August; die deutsche Berichterstattung folgte heute.

Was gilt. Der Text nimmt ausdrücklich keine Position für oder gegen den Einsatz solcher Werkzeuge ein — er „befürwortet noch verbietet“ ihn. Praktisch bedeutet das:

Offenlegung ist freiwillig. Beitragende werden „ermutigt“, den Einsatz generativer KI dort offenzulegen, wo es angemessen ist — begründet damit, dass Menschen, die nicht mit KI-gestützten Inhalten arbeiten möchten, eine informierte Entscheidung treffen können sollen. Verpflichtend ist das nicht.

Die Verantwortung bleibt vollständig beim Menschen. Wer einreicht, „bürgt“ für den gesamten Beitrag: für technische Güte, Sicherheit, Lizenzkonformität und Nutzen. Beiträge werden beurteilt wie bisher, unabhängig davon, was sie hervorgebracht hat.

Die Lizenzfrage wird explizit adressiert. Enthält die Ausgabe des Werkzeugs vorbestehendes, urheberrechtlich geschütztes Material Dritter — ausdrücklich einschließlich bereits als freie Software lizenzierten Codes —, muss der Einreichende vor der Einreichung prüfen, ob er das Recht hat, es unter der jeweiligen Open-Source-Lizenz beizusteuern.

Warum das über Debian hinaus zählt. Debian ist die Grundlage von Ubuntu und damit mittelbar einer sehr großen Zahl von Serverinstallationen. Wenn dieses Projekt entscheidet, dass die Herkunft eines Beitrags kein zu dokumentierendes Merkmal ist, dann wird für Unternehmen, die Herkunftsnachweise brauchen, eine bisher zumindest theoretisch verfügbare Informationsquelle geschlossen. Die Debatte in der Linux-Gemeinde ist entsprechend gespalten; andere Projekte haben in dieser Frage in die entgegengesetzte Richtung entschieden. Interessant an Debians Lösung ist, dass sie das Problem nicht technisch, sondern über die Haftung löst: Nicht das Werkzeug wird reguliert, sondern die Person, die das Ergebnis unterschreibt.

Was angekündigt wurde. Instagram verlangt künftig, dass Konten, deren Auftritt auf einer KI-generierten Person beruht, ein entsprechendes Label führen. Das bisherige Kennzeichen „AI creator“ wird zu „AI-generated profile“ umbenannt, um deutlicher zu machen, worum es geht. Konten, die sich nicht selbst kennzeichnen, sollen nach Angaben eines Instagram-Sprechers „bald Einschränkungen ihrer Reichweite sehen“ — ihre Beiträge werden Nicht-Followern in Reels und im Explore-Bereich nicht mehr empfohlen. Betroffene können über das Account-Status-Dashboard Widerspruch einlegen.

Die Abgrenzung ist der entscheidende Punkt. Dies ist ausdrücklich kein Vorgehen gegen KI-Inhalte insgesamt. Wer KI-Werkzeuge benutzt, um Inhalte zu erzeugen, muss das Label nicht setzen. Erfasst ist nur der Fall, in dem eine erfundene Person als Trägerin des Kontos auftritt. Die Begründung von Instagram: „Wir haben von unserer Community gehört, dass sie es nicht mag, auf ein Profil zu stoßen, das menschlich wirkt, und erst später herauszufinden, dass die dargestellte Person KI-generiert ist.“

Was daran bemerkenswert ist. Die Durchsetzung erfolgt ökonomisch, nicht ordnungspolitisch. Es wird nichts gelöscht und nichts gesperrt; es wird Reichweite entzogen. Für ein Konto, dessen Geschäftsmodell auf Reichweite beruht, ist das die wirksamere Sanktion — und für die Plattform die risikoärmere, weil sie keine Aussage darüber trifft, ob der Inhalt zulässig ist. Zugleich hat Meta damit eine Regel geschaffen, deren Einhaltung es nur begrenzt prüfen kann: Ob eine dargestellte Person existiert, ist von außen oft nicht mehr zuverlässig feststellbar. Das System setzt also auf Selbstauskunft plus nachträgliche Bestrafung.

Der regulatorische Hintergrund. Instagram bewegt sich hier nicht im luftleeren Raum. Seit dem 2. August 2026 gelten die Transparenzpflichten des EU-KI-Gesetzes: Menschen müssen erfahren, wenn sie mit einer Maschine sprechen, synthetische Inhalte müssen maschinell erkennbar markiert und Deepfakes gekennzeichnet werden. Eine freiwillige Selbstkennzeichnung mit Reichweitensanktion ist eine plattformeigene Antwort auf eine Anforderung, die ohnehin im Raum steht — und sie kommt am selben Tag, an dem die Kommission ChatGPT unter den DSA stellt. Der Druck auf Kennzeichnung kommt derzeit aus mehreren Richtungen gleichzeitig.

Der Versuch. Anthropic hat am 28. August ein Papier veröffentlicht, in dem automatisierte Alignment-Forscher — auf Claude aufsetzende Agenten — gegen menschliche Sicherheitsforscher antraten. Aufgabe: Methoden entwickeln, um zehn bekannte Fehlverhalten von Modellen abzustellen. Auf dem Teilgebiet Täuschung schloss das automatisierte Verfahren im Mittel 85 Prozent der Sicherheitslücke; 28 erfahrene menschliche Forscher mit bis zu acht Stunden Zeit kamen auf 20 Prozent. Über alle zehn Fehlverhalten hinweg lag die Bandbreite bei 26 bis 96 Prozent, ohne dass die Fähigkeiten der Modelle darunter litten.

Die Einschränkung steht im Papier selbst. Und sie ist wichtig genug, dass wir sie hier vor die Bewertung stellen. Anthropic schreibt ausdrücklich, das Ergebnis sei „weniger als direkter Vergleich zu verstehen und mehr als Beleg für einen Arbeitsablauf, in dem Claude vielversprechende Alignment-Methoden findet, die Menschen anschließend verfeinern können“. Der Grund: Die menschlichen Teilnehmer konnten ihre Vorschläge nicht iterieren — sie reichten ein und waren fertig. Das Modell reichte über 150 Versuche ein und lernte aus jedem Durchlauf. Verglichen werden also nicht Menschen mit Maschinen, sondern ein Vorschlag mit einer Suche über 150 Vorschläge.

Was trotzdem übrig bleibt. Auch mit dieser Relativierung ist der Befund erheblich. Er zeigt, dass Alignment-Arbeit an den Stellen, an denen sich Fortschritt objektiv messen lässt, automatisierbar geworden ist. Genau dort wirkt das Verfahren nämlich: Es braucht einen Benchmark, gegen den es optimieren kann. Die schwierigen Fragen der Sicherheitsforschung sind aber typischerweise die, für die noch niemand einen Benchmark hat — und für die ist dieses Ergebnis kein Beleg.

Warum das strategisch zählt. Wenn ein Modellanbieter seine eigene Sicherheitsforschung maschinell beschleunigen kann, ändert sich das Verhältnis von Fähigkeitszuwachs und Absicherung. Bislang ist das Argument gegen schnelles Ausrollen, dass die Absicherung nicht mitkommt. Sollte sie mitkommen, fällt ein Argument weg — und es entsteht ein neues, unangenehmeres: Wer die Prüfung seines eigenen Systems demselben System überträgt, das geprüft wird, braucht eine sehr gute Antwort auf die Frage, wer dann noch unabhängig hinschaut. Das ist derselbe Konflikt, den Google DeepMind vergangene Woche mit doppelblinden Evaluationen anzugehen versuchte.

Zur Quellenlage: Alle Zahlen stammen aus Anthropics eigener Veröffentlichung und sind nicht unabhängig geprüft. Die Formulierung „Claude schlägt menschliche Sicherheitsforscher“, mit der die Meldung durch die Fachpresse läuft, gibt die vom Hersteller selbst gesetzten Einschränkungen nicht wieder.

Das Vorhaben. SpaceX baut in Bastrop, Texas, eine eigene Gießerei für Gasturbinenschaufeln und -leitschaufeln. Elon Musk begründet das mit einem Engpass, den er schon vor Monaten benannt hatte: Weltweit können nur drei Gießereien diese Teile herstellen, und ihre Auftragsbücher reichen bis 2029. Musk beziffert den Effekt: „Indem wir das Gießen bei SpaceX selbst machen, können wir die Inbetriebnahme von Erdgasturbinen um bis zu 18 Monate beschleunigen, das ist ein tiefgreifender Wendepunkt.“ Nebeneffekt nach Firmendarstellung: Auch die Produktion der Starship-Triebwerke soll davon profitieren.

Warum SpaceX und nicht xAI. Weil es seit Februar dieselbe Firma ist: SpaceX hat xAI übernommen. Der Strom ist für die eigenen KI-Rechenzentren bestimmt — unter anderem für die Colossus-Anlagen bei Memphis, die SpaceX nach Berichten mit 69 nicht genehmigten Gasturbinen betreibt. Das ist der unbequeme Teil dieser Meldung und gehört dazu: Der Ausbau läuft an mehreren Stellen schneller als die Genehmigungsverfahren, und die Emissionen dieser Turbinen sind Gegenstand laufender Auseinandersetzungen.

Was daran allgemeingültig ist. Die Meldung ist ein weiterer Beleg dafür, dass der begrenzende Faktor beim KI-Ausbau seine Ebene gewechselt hat. Erst waren es Chips, dann Netzanschlüsse, jetzt sind es Präzisionsgussteile aus Superlegierungen. Diese Verschiebung nach unten in der Lieferkette ist typisch für Kapazitätsengpässe, die schneller wachsen als die Industrie, die sie bedient — und sie erklärt, warum die US-Regierung vergangene Woche den nationalen Notstand für das Stromnetz erklärt hat, mit Transformatoren und Batteriespeichern auf der Liste. Vertikale Integration ist die naheliegende Antwort eines einzelnen Akteurs auf dieses Problem; für die Branche insgesamt löst sie es nicht, sondern verteilt die knappen Kapazitäten nur um.

Die Konsistenz zur eigenen Erzählung. Musk fügt hinzu, Erdgas werde „noch einige Jahre gebraucht, um Solar zu ergänzen und anzuschieben“. Das ist bemerkenswert für ein Unternehmen, dessen Schwesterfirma Rechenzentren im Orbit plant, die ausschließlich von Solarflächen versorgt werden. Die Gießerei ist die Übergangslösung für die Jahre bis dahin — und ein Hinweis darauf, wie lang dieser Übergang eingeplant ist.

Die Anordnung. Der texanische Gouverneur Greg Abbott hat allen Behörden des Bundesstaates untersagt, Mittel für Kameras des Anbieters Flock Safety auszugeben. Die Anweisung erging am Donnerstagabend, 27. August, und wurde am Freitag von seinem Sprecher bestätigt. Am selben Freitag veröffentlichte die Texas Tribune ihre Untersuchung.

Was die Recherche zutage förderte. Die texanische Legislative hatte 2023 eine Erhöhung der Kfz-Versicherungsabgabe beschlossen — ein Dollar je Police — mit dem erklärten Zweck, Autodiebstahl zu bekämpfen und dafür 3.200 Flock-Kameras zu beschaffen und zu betreiben. Ausgeführt wurde das von der Motor Vehicle Crime Prevention Authority, einer Landesbehörde, deren Vorstand überwiegend vom Gouverneur besetzt wird. Sie verteilte aus diesen Einnahmen mindestens 30 Millionen Dollar an lokale Polizeibehörden — zweckgebunden für Flock-Kameras. Autofahrer haben also über eine Versicherungsabgabe ein landesweites Überwachungsnetz mitfinanziert.

Die Reichweite des Einfrierens ist begrenzt. Das gehört zur ehrlichen Einordnung: Der überwiegende Teil der Finanzierung für diese Kameras stammt von der Bundesebene, nicht vom Bundesstaat. Abbotts Anordnung betrifft nur den Anteil, der über texanische Behörden läuft. In Dallas etwa stehen 684 Kameras, und ob die Anordnung sie erreicht, war zum Wochenende offen. Die Wirkung ist damit vor allem politisch — was sie nicht kleiner macht: Es ist der erste Fall, in dem ein republikanischer Gouverneur eines großen Bundesstaates sich öffentlich von diesem System distanziert.

Die Vorgeschichte. Wir haben am 24. August berichtet, wie sich der Flock-Chef im Fernsehen für dokumentierte Missbrauchsfälle entschuldigte und um einen „Kompromiss“ bat — bei damals 120.000 Kameras, 5.000 beteiligten Behörden und 46 belegten Fällen. Der Bogen von dieser Entschuldigung bis zum Finanzierungsstopp eines Bundesstaates spannt sich über eine Woche. Für Anbieter von KI-Überwachungstechnik ist das die relevante Lehre: Der Widerstand kommt inzwischen nicht mehr nur von Bürgerrechtsorganisationen, sondern aus den Haushaltsabteilungen der Kunden.

Was sich ändert. Ab 1. September 2026 nimmt GitHub wieder Neuanmeldungen für Copilot Business und Copilot Enterprise an — für Kunden, die per Kreditkarte oder PayPal zahlen. Der Aufnahmestopp galt seit dem 22. April und betraf Organisationen auf den Tarifen GitHub Free und GitHub Team. Für Copilot-Einzelplätze war die Aufnahme bereits im Juni wieder geöffnet worden.

Die Bedingungen sind neu. Die Wiederöffnung kommt nicht unverändert. GitHub verschärft die Kontoprüfung und stellt die Abrechnung um: Bei allen neuen Copilot-Business- und Copilot-Enterprise-Zuweisungen muss jeder Platz bezahlt sein, bevor der Nutzer Zugang erhält. Für Bestandskunden greifen die geänderten Abrechnungsregeln ab dem 1. Oktober.

Was dahintersteht. Beide Maßnahmen — Prüfung und Vorkasse — deuten in dieselbe Richtung: Der Aufnahmestopp war offenbar keine Kapazitätsfrage, sondern eine Missbrauchsfrage. Ein Dienst, der pro Platz abgerechnet wird, Zugang zu leistungsfähigen Modellen gewährt und über kostenlose Organisationskonten anlegbar ist, ist ein attraktives Ziel für Kontenmissbrauch und Weiterverkauf von Kontingenten. Die neue Regel schließt die Lücke an der offensichtlichsten Stelle: Es gibt keinen Zugang mehr vor der Zahlung.

Die Einordnung für Beschaffer. Für Unternehmen, die in den vergangenen vier Monaten keine Lizenzen bekommen konnten, ist das eine gute Nachricht mit einem Beipackzettel. Die Vorkassepflicht pro Platz nimmt die Möglichkeit, Plätze auf Vorrat einzurichten und später zu befüllen — die Planung muss also genauer werden. Für die Konkurrenz war der Aufnahmestopp vier Monate lang ein offenes Fenster, und mehrere Anbieter haben es genutzt.

Der Befund. Die TU Darmstadt hat gemeinsam mit dem Meinungsforschungsinstitut YouGov über 2.000 Menschen repräsentativ befragt. Das zentrale Ergebnis: Je besser jemand versteht, wie KI funktioniert und was damit bereits möglich ist, desto größer ist seine Sorge, beruflich unter Druck zu geraten oder den Arbeitsplatz zu verlieren. Unter denen mit sehr gutem KI-Wissen rechnen rund 43 Prozent damit, dass KI demnächst ihre Arbeit übernehmen könnte.

Weitere Zahlen. Jüngere Befragte sorgen sich stärker als ältere. Die Besorgnis ist gegenüber 2025 in allen Arbeitsgruppen gestiegen. Und nur 15 Prozent der Befragten haben bislang überhaupt eine KI-Weiterbildung absolviert. Als größte Sorgen im Umgang mit den Systemen selbst werden Halluzinationen und Datenschutzrisiken genannt.

Warum das die übliche Erzählung stört. Die verbreitete Deutung von KI-Skepsis lautet: Wer sich sorgt, kennt die Technik nicht gut genug; Aufklärung baut die Sorge ab. Diese Umfrage legt das Gegenteil nahe — Kenntnis und Sorge wachsen gemeinsam. Das ist zwar eine Korrelation und kein Kausalnachweis, und es sind Selbsteinschätzungen des eigenen Wissensstands. Aber für die betriebliche Praxis ist die Richtung unangenehm eindeutig: Ein Schulungsprogramm, das darauf setzt, durch Verständnis Akzeptanz zu erzeugen, könnte genau das Gegenteil bewirken.

Der Zusammenhang zu dem, was Unternehmen messen. Die Zahl passt zu einem Befund, über den wir am Freitag geschrieben haben: In McKinseys Erhebung nutzen 89 Prozent der Unternehmen KI, aber nur 37 Prozent sehen einen Effekt auf das Betriebsergebnis — und dieser Anteil ist seit einem Jahr unverändert. Beide Zahlen zusammen ergeben ein wenig komfortables Bild: Die Belegschaft rechnet mit erheblichen Veränderungen, die Bilanz zeigt sie noch nicht. Wer in dieser Lage Zuversicht kommunizieren will, kommt mit Nutzenversprechen nicht weit; die 15 Prozent Weiterbildungsquote ist die konkretere Stellschraube.

Das Vorhaben. Nach Beschaffungsunterlagen des US-Heimatschutzministeriums plant Immigration and Customs Enforcement (ICE), hundeähnliche Roboter des Typs Spot von Boston Dynamics zu beschaffen. Der Auftragswert liegt zwischen einer und zwei Millionen Dollar, die Ausschreibung soll am 4. September veröffentlicht werden, der Zuschlag noch vor Jahresende fallen.

Die Begründung. Die ferngesteuerten Geräte sollen der Lagebeurteilung und Gefahrenabschätzung dienen: Sie sollen potenziell gefährliche Orte betreten, bevor Personal hineingeht. Das ist der klassische und schwer angreifbare Anwendungsfall für diese Technik — er ist der Grund, warum Spot auch bei Feuerwehren, in der Industrie und bei deutschen Polizeibehörden eingesetzt wird.

Warum die Debatte trotzdem geführt wird. Die Kritik richtet sich nicht gegen die Fähigkeit, sondern gegen den Anwender und die Aufsicht. Bei einer Behörde, deren Einsätze derzeit erheblich umstritten sind, verschiebt ein Gerät, das vorausgeschickt werden kann, die Schwelle für den Einsatz selbst. Der wiederkehrende Einwand gegen den Einsatz militärnah anmutender Technik im zivilen Vollzug lautet entsprechend: Es fehlt weniger an Regeln für das Gerät als an Regeln für die Situation, in der es benutzt wird. Boston Dynamics hat sich in der Vergangenheit vertraglich vorbehalten, Waffenmontage an Spot zu untersagen; über den Umfang dieser Bindung in dieser Beschaffung ist nichts bekannt.

Zur Quellenlage: Grundlage sind veröffentlichte Beschaffungsvorhaben, kein abgeschlossener Vertrag. Weder ICE noch Boston Dynamics haben den Auftrag bestätigt; er ist noch nicht vergeben.

Was eingeführt wurde. Circleback, ein von Y Combinator finanziertes Werkzeug zur Mitschrift und Nachbereitung von Besprechungen, hat einen kostenlosen Tarif eingeführt. Er erlaubt unbegrenzt viele mitgeschriebene Termine, beschränkt den Zugriff auf den Verlauf aber auf 30 Tage. Enthalten sind Aufzeichnung, Mobil- und Apple-Watch-App, Abfragen des Transkripts per KI sowie Anbindungen an Linear und Slack. Die kostenpflichtigen Tarife beginnen bei 14 Dollar im Monat bei jährlicher Zahlung — zuvor lag der Einstieg bei 20,83 Dollar.

Die Zahlen dahinter sind der eigentliche Punkt. Circleback wurde 2023 gegründet, hat 2,5 Millionen Dollar eingesammelt, ist seit 2024 profitabel und erwirtschaftet nach eigenen Angaben mehr als eine Million Dollar Umsatz pro Mitarbeiter — bei acht Beschäftigten also rund acht Millionen annualisiert. Mitgründer Ali Haghani sagt, man suche kein Kapital; Geld würde man nur aufnehmen, wenn es einen Wachstumsengpass löst. Die Begründung für den Gratistarif ist entsprechend nüchtern: „Wenn wir einfach die Tore öffnen und mehr Leute das Produkt nutzen lassen, bringt das Circleback vor mehr Augen.“

Warum ein profitables Unternehmen den Preis senkt. Weil die Kategorie unter Druck steht — und zwar von zwei Seiten. Von oben durch gut finanzierte Wettbewerber wie Granola, Read AI und Fireflies; von der Seite durch Anbieter, die Mitschriften als Beigabe zu etwas anderem verschenken — Calendly hat ein solches Werkzeug ergänzt. Und von unten durch quelloffene Alternativen, die vollständig lokal laufen: In unserem Tool-Radar steht heute Ulpaso, eine kostenlose Mac-Anwendung, die Mikrofon- und Systemton auf dem Gerät transkribiert und als Markdown-Datei ablegt — ohne Konto, ohne Cloud, ohne Abo.

Die Lehre. Wenn die zugrunde liegende Fähigkeit — Sprache zu Text, Text zu Zusammenfassung — zur Ware wird, verschwindet die Zahlungsbereitschaft für die Fähigkeit selbst. Was bleibt, ist die Zahlungsbereitschaft für alles darum herum: Anbindungen, Verlauf, Programmierschnittstellen, Verlässlichkeit im Betrieb. Genau so ist Circlebacks neue Preisstaffel geschnitten. Für jeden, der ein Produkt betreibt, dessen Kern eine Modellfähigkeit ist, ist das die zu stellende Frage: Wofür zahlt der Kunde noch, wenn der Kern gratis wird?