Ausgabe vom 2. September 2026

Anthropic hat am Dienstag Claude Fable 5.1 und Claude Mythos 5.1 veröffentlicht. Beide beruhen auf demselben Modell; der Unterschied liegt allein in den Schutzmechanismen. Fable 5.1 ist die allgemein verfügbare Fassung mit den regulären Sicherungen, Mythos 5.1 die freizügigere Variante für geprüfte Organisationen. Die Parallele zur Ankündigung von OpenAI am selben Tag (siehe unseren Leitartikel) ist auffällig: Zwei Labore zerlegen ihr jeweils stärkstes Modell in eine öffentliche und eine zugangsbeschränkte Hälfte.

Die kommerziell interessanteste Änderung steckt nicht im Modell, sondern in der Preisliste. Ein- und Ausgabe kosten unverändert 10 beziehungsweise 50 Dollar je Million Token. Gesenkt wurde der Preis für Cache-Treffer: von einem Dollar auf 25 Cent je Million Token, also um 75 Prozent. Prompt-Caching bedeutet, dass ein wiederholt gesendeter Textblock — Systemanweisung, Dokumente, bisheriger Gesprächsverlauf — beim Anbieter zwischengespeichert und beim nächsten Aufruf nicht erneut voll berechnet wird. Bei allen anderen Claude-Modellen kostet ein Cache-Treffer zehn Prozent des Eingabepreises; bei Fable 5.1 sind es 2,5 Prozent. Anthropic beziffert die Ersparnis auf rund 25 Prozent bei typischen Lasten und bis zu 45 Prozent bei stark agentischen Arbeitsabläufen.

Diese Spreizung ist die eigentliche Aussage. Ein Agent, der eine Aufgabe über Dutzende Werkzeugaufrufe bearbeitet, schleppt bei jedem Schritt den kompletten bisherigen Verlauf mit. Bei solchen Läufen dominieren wiederholte Eingaben die Rechnung, nicht die erzeugte Antwort. Wer Claude dagegen für einzelne, kurze Anfragen nutzt, wird von der Senkung fast nichts merken. Die 45 Prozent sind kein Rabatt auf das Produkt, sondern einer auf ein bestimmtes Nutzungsmuster — das erklärt auch, warum Anthropic zwei Zahlen nennt statt einer.

Bei den Messwerten fällt der Sprung in einer Disziplin besonders auf: Auf Terminal-Bench-Science 0.1 kommt Fable 5.1 auf 52,6 Prozent gegenüber 24,7 Prozent bei Fable 5 und 29,0 Prozent bei Opus 5 — eine Verdopplung. Auf Terminal-Bench 4.0 für agentisches Programmieren stehen 55,8 gegen 42,0 Prozent, auf OSWorld 2.0 41,7 gegen 36,1 Prozent, auf CursorBench 3.2.0 73,4 gegen 70,5 Prozent. Bei „Humanity's Last Exam“ mit Werkzeugen sind es 65,0 gegenüber 63,8 Prozent — hier ist der Abstand klein genug, um ihn nicht überzubewerten. Als Anwendungsbelege nennt Anthropic unter anderem entworfene Proteinbinder mit einer Trefferquote von knapp 50 Prozent über zwölf Ziele, wo sonst 10 bis 15 Prozent üblich sind. Kontextfenster (eine Million Token), maximale Ausgabe (128.000 Token) und Wissensstand (Juni 2026) bleiben gegenüber Fable 5 unverändert.

Praktisch relevanter als die Benchmarks dürfte für viele Teams eine Verhaltensänderung sein: Die überarbeiteten Cyber-Schutzmechanismen lösen laut Anthropic rund 60 Prozent weniger Eingriffe je Claude-Code-Sitzung aus als bei Fable 5. Bei den Biologie-Sicherungen sollen Fehlalarme auf harmlose Anfragen um 85 Prozent zurückgehen. Fable 5.1 darf jetzt selbst Schwachstellen suchen, statt bei solchen Anfragen umzuleiten; Penetrationstests, Exploit-Erzeugung und binärbasiertes Scannen gehen weiterhin an die Opus-Modelle. Das ist die Bewegung, die TechCrunch mit „weniger restriktiv“ überschreibt — es geht nicht um gelockerte Grenzen, sondern um weniger Fehltreffer an denselben Grenzen.

Mythos 5.1 ist technisch identisch, hat aber freizügigere Sicherungen und wird nur über zwei Prüfprogramme vergeben: das Cyber Verification Program für defensive Sicherheitsarbeit und das gemeinsam mit der US-Regierung aufgebaute Life Sciences Verification Program. Beide sind derzeit auf US-Organisationen beschränkt. In der Modelldokumentation erscheint der Zugang außerdem als Teil von Project Glasswing. Bemerkenswert ist, was Anthropic in der eigenen Systemkarte einräumt: Mythos 5.1 sei beim Gesamtverhalten „ein leichter Rückschritt gegenüber Opus 5“ und kooperiere „etwas bereitwilliger mit menschlichem Missbrauch“, akzeptiere also unbelegte Behauptungen über eine angebliche Berechtigung schneller. Wer Zugang hat, bekommt damit ein Modell, dessen Schutz stärker an der Prüfung des Nutzers hängt als an der des Verhaltens.

Zwei weitere Neuerungen richten sich an regulierte Branchen. Mit den Enterprise Frontier Safeguards sollen Überwachungsdaten künftig in der Infrastruktur des Kunden liegen, verschlüsselt mit dessen eigenen Schlüsseln; der Rollout ist für den Herbst über Claude Code, Enterprise, Plattform und die großen Cloud-Partner angekündigt. Und zur Erfüllung der Kennzeichnungspflichten des EU AI Act betten die Modelle seit dem 2. August 2026 ein unsichtbares numerisches Wasserzeichen in ihre Ausgaben ein; eine Erkennungsschnittstelle geht als geschlossene Vorschau an Aufsichtsbehörden, Strafverfolgung, Medien, Faktenprüfer, Forschung und zivilgesellschaftliche Organisationen in der EU.

Wer bereits auf Fable 5 aufsetzt, sollte vor dem Umstieg die Migrationshinweise lesen: Drei Änderungen sind nicht abwärtskompatibel — erzwungene Werkzeugnutzung liefert jetzt einen Fehler, ältere Modelle können die Denkblöcke des neuen nicht lesen, und das Bearbeiten früherer Gesprächsschritte macht bestehende Denkblöcke ungültig. Additiv hinzugekommen sind unter anderem eine pro Nachricht einstellbare Denktiefe und lesbare Zwischenstandsmeldungen zwischen Werkzeugaufrufen, beides im Beta-Status.

Vorbemerkung zur Quellenlage: Dieser Vertrag ist von keinem der beteiligten Unternehmen offiziell bestätigt worden. Er beruht auf einem Bericht des Wall Street Journal vom 31. August, den Reuters und Bloomberg am selben Tag unter Berufung auf mit der Sache vertraute Personen bestätigten. Auf den Nachrichtenseiten von Anthropic findet sich dazu kein Eintrag.

Anthropic hat sich nach übereinstimmenden Berichten Rechenleistung im Wert von 35 Milliarden Dollar über sechs Jahre gesichert. Vertragspartner ist Lambda, ein KI-Cloud-Anbieter aus San Jose, der früher als Lambda Labs firmierte. Die Kapazität liegt auf dem Campus „Beacon Point“ in Nueces County, Texas, in der Nähe von Corpus Christi. Für Anthropic sind rund 350 Megawatt vorgesehen — das ist eine von zwei Ausbaustufen zu je 352 Megawatt auf einem Gelände, das insgesamt auf ein Gigawatt ausgelegt ist. Die erste Bestromung ist für das erste Quartal 2027 geplant, die Datenhallen der zweiten Stufe ab dem zweiten Quartal 2028.

Hier ist eine Zahlenfalle eingebaut, in die mehrere Zweitverwertungen bereits getappt sind: Die häufig zitierten 700 Megawatt beziehen sich auf den gesamten Campus, nicht auf Anthropics Anteil. Wer beide Zahlen addiert oder verwechselt, verdoppelt den Vertrag auf dem Papier.

Interessanter als die Summe ist die Konstruktion. Gebaut wird der Campus von Hut 8, einem Rechenzentrumsentwickler, der aus dem Bitcoin-Mining kommt. Den Mietvertrag über die Flächen hält aber nicht Lambda, sondern Nvidia selbst — zwei Verträge über je fünfzehn Jahre mit einem Basiswert von zusammen rund 19,6 Milliarden Dollar. Lambda zahlt Nvidia einen nicht offengelegten Betrag für den Zugang, installiert dort Nvidia-Beschleuniger und verkauft die Kapazität an Anthropic weiter. Gebaut wird nach Nvidias eigener Referenzarchitektur DSX. Welche Chip-Generation zum Einsatz kommt, nennt keine der Meldungen — anders als beim Nscale-Vertrag, wo ausdrücklich von Vera-Rubin-Systemen die Rede war. Wir spekulieren an dieser Stelle nicht.

Nvidia hat damit in einem einzigen Geschäft drei Rollen: Es liefert die Chips, es ist an Lambda beteiligt (unter anderem mit 480 Millionen Dollar in der Series D des Jahres 2025), und es tritt als bonitätsstarker Ankermieter auf. Die letzte Rolle ist die neue. Rechenzentrumsentwickler scheitern gewöhnlich daran, dass Banken einen Mieter mit belastbarer Bonität sehen wollen, bevor sie einen Milliardenbau finanzieren. Nvidia übernimmt diese Funktion nun selbst — das beschleunigt den Bau erheblich und verschiebt zugleich das Nachfragerisiko in Nvidias eigene Bilanz.

Genau das befeuert den Vorwurf der zirkulären Finanzierung, der das Unternehmen seit Monaten begleitet. Vivek Arya von der Bank of America hat ihn im Quartalsgespräch zugespitzt: „Viele dieser Investitionen sollen den Frontier-Laboren helfen, besonders OpenAI und Anthropic, aber beide entwerfen gerade eigene Chips.“ Finanzvorständin Colette Kress hielt dagegen, Nvidias Plattform sei „fungibel und langlebig“ und lasse sich für andere Kunden umwidmen. In Nvidias Quartalsbericht für das zweite Quartal des Geschäftsjahres 2027 stehen 279 Milliarden Dollar Lieferverpflichtungen, 108,5 Milliarden Dollar an Garantien für KI-Partner und 50 Milliarden Dollar an Beteiligungen bei Frontier-Laboren. Das Zahlungsziel ist von 45 auf 60 Tage gestiegen.

Für Anthropic ist es der zweite Großvertrag binnen einer Woche. Wie wir am 27. August berichteten, hatte das Unternehmen zuvor 45 Milliarden Dollar über sechs Jahre mit Nscale vereinbart — anderer Partner, anderer Standort (West Virginia), andere Kapazität (rund 460 Megawatt), andere Chip-Generation. Es handelt sich also nicht um eine Aufstockung, sondern um einen eigenständigen Vertrag. TechRepublic stellt die Reihe zusammen: 35 Milliarden Dollar für Lambda, 45 für Nscale, dazu laut Bloomberg 50 Milliarden Dollar an Zusagen gegenüber Fluidstack und weitere 45 Milliarden gegenüber SpaceX. Allein diese vier Mietverträge summieren sich auf 175 Milliarden Dollar.

Diesen Verpflichtungen steht ein Geschäft gegenüber, das ungewöhnlich schnell wächst: Der annualisierte Umsatz stieg von neun Milliarden Dollar Ende 2025 auf über 65 Milliarden Ende Juli 2026; im zweiten Quartal 2026 wies das Unternehmen mindestens 10,9 Milliarden Dollar Umsatz und mit 559 Millionen Dollar den ersten operativen Quartalsgewinn aus. Die Serie-H-Runde vom 28. Mai über 65 Milliarden Dollar bei einer Bewertung von 965 Milliarden ist — anders als die Rechenzentrumsverträge — offiziell bestätigt. Für den vorbereiteten Börsengang stützt sich die Bewertung laut Reuters auf ein Umsatzziel von 190 bis 200 Milliarden Dollar für 2028. Das ist die eigentliche Wette hinter allen fünf Verträgen: Wer sechs Jahre Rechenzeit kauft, muss sechs Jahre Nachfrage voraussetzen.

Das Analystenhaus Gartner hat am Dienstag die Ergebnisse einer Befragung veröffentlicht, deren Zuschnitt sie von den bekannten KI-Umfragen unterscheidet. Befragt wurden zwischen Januar und April 2026 1.303 Funktionsverantwortliche — Leiterinnen und Leiter von IT, Finanzen, Vertrieb, Personal — in Organisationen mit mindestens 50 Millionen Dollar Jahresumsatz im Geschäftsjahr 2025. Gefragt wurde nicht nach der Unternehmensstrategie, sondern nach dem eigenen Funktionsbudget. Also nach dem Geld, das diese Personen selbst verantworten.

Der Befund in einem Satz: Die Ausgaben steigen, die Nachweise nicht. 85 Prozent der Befragten wollen ihre KI-Ausgaben 2026 erhöhen. Im Jahr 2025 flossen im Schnitt 12 Prozent des Funktionsbudgets in KI. Erfolgreich über mehrere Geschäftsbereiche skaliert oder einen KI-zuerst-Ansatz verfolgt haben aber nur 22 Prozent der Organisationen.

Die aufschlussreichste Zahl steht etwas versteckt: 11 Prozent der Befragten können nicht beziffern, was ihre eigene Funktion 2025 für KI ausgegeben hat. Nicht „konnten den Ertrag nicht messen“ — sondern kennen die Ausgabenseite nicht. Bei einem Budgetposten, der im Schnitt ein Achtel des Funktionsbudgets ausmacht und dessen Erhöhung fast alle für dieses Jahr planen, ist das eine bemerkenswerte Lücke. Sie erklärt auch, warum ROI-Debatten so oft ins Leere laufen: Wo der Nenner unbekannt ist, lässt sich kein Quotient bilden.

Eine zweite Diskrepanz zieht sich durch die Zahlen. 75 Prozent nennen höhere Produktivität als wichtigstes Ziel ihrer KI-Investitionen — tatsächlich entfallen aber nur 30 Prozent der Ausgaben auf produktivitätsbezogene Vorhaben. Das Geld folgt also nicht der erklärten Absicht. Ähnlich sieht es bei den IT-Anwendungsfällen aus: Am häufigsten verfolgt werden Bedrohungserkennung in der Cybersicherheit (54 Prozent) und Automatisierung des IT-Service-Desks (54 Prozent), vor automatischer Codegenerierung (44 Prozent). Die höchsten positiven Renditen meldet Gartner dagegen für ganz andere Felder: intelligente Kostenoptimierung von IT-Assets (40 Prozent), Erzeugung synthetischer Daten (28 Prozent) und erst dann Codegenerierung (23 Prozent). Die beliebtesten Anwendungsfälle sind nicht die rentabelsten.

Was die erfolgreiche Minderheit anders macht, beschreibt Gartner mit drei Praktiken, die alle nichts mit Technik zu tun haben: Sie verfolgen den Ertrag ihrer KI-Vorhaben fortlaufend, sie behandeln KI als Wertportfolio statt als Sammlung von Einzelprojekten, und sie bewerten die Vorhaben regelmäßig neu — mit der Konsequenz, schwache Projekte umzuschichten oder zu beenden. In dieser Gruppe liefern nach Gartner-Angaben 81 Prozent der KI-Initiativen einen positiven Ertrag. Am anderen Ende steht die Zahl, die dazu gehört: Bei den schwachen Performern ist bei 29 Prozent der Initiativen die Rendite schlicht unbekannt. Tina Nunno, Distinguished Vice President und Gartner Fellow, formuliert die Schlussfolgerung so: „Ohne disziplinierte, direkt an Geschäftsergebnisse gekoppelte Messung riskieren Organisationen verschwendete Ressourcen und unerfüllte Erwartungen.“

Beim Vergleich mit den bekannten Zahlen ist Vorsicht geboten, und zwar aus einem einfachen Grund: Die viel zitierten Prozentwerte zählen nicht dasselbe. Gartners 81 Prozent beziehen sich auf Initiativen innerhalb einer Teilgruppe. Die 37 Prozent aus McKinseys „State of AI“, über die wir am 28. August berichtet haben, beziehen sich auf Organisationen mit messbarem Effekt auf das Betriebsergebnis. Die berüchtigten 95 Prozent aus der MIT-Studie von 2025 beziehen sich auf Piloten ohne nachweisbaren Ergebniseffekt rund ein halbes Jahr nach Einführung. Initiative, Organisation, Pilot — drei verschiedene Nenner. Wer sie gegeneinander stellt, vergleicht nicht Befunde, sondern Zählweisen.

Richtungsmäßig zeigen alle drei Untersuchungen in dieselbe Richtung: breite Nutzung, schmaler nachweisbarer Ertrag. Der eigentliche Zugewinn der Gartner-Zahlen liegt aber in der Ebene. McKinsey befragte Unternehmen zu ihrer Gesamtlage; Gartner hat die Funktionsebene befragt, auf der das Geld tatsächlich ausgegeben wird — und die kann es zu elf Prozent nicht einmal beziffern. Das ist kein zweiter Beleg für dieselbe These, sondern ein Befund eine Etage tiefer.

Gegenbelege gibt es, und sie deuten in dieselbe Governance-Richtung. Im Global AI Pulse für das zweite Quartal 2026 von KPMG berichten 76 Prozent der befragten Führungskräfte von bereits messbarem Geschäftswert; nur sieben Prozent haben Einführungen gestoppt, weil die Kosten den erwarteten Nutzen überstiegen. Entscheidend ist dort dieselbe Beobachtung wie bei Gartner: Unternehmen mit klar zugewiesener Verantwortung für KI-Ergebnisse berichten dreimal häufiger von etabliertem Ertrag. Der deutsche Blick aus dem SAP Value of AI Report vom Juli 2026 (2.600 Führungskräfte in 13 Ländern, davon 200 in Deutschland) passt ins Bild: erwarteter KI-Ertrag von 24 Prozent für 2026 nach 17 Prozent im Vorjahr, zugleich melden 81 Prozent Datenqualitätsprobleme und nur 11 Prozent halten ihre Governance für ausreichend. SAPs Chief AI Strategy Officer Sean Kask fasst es zusammen: „KI ohne Kontext, ohne Einbindung in Prozesse, Daten und Governance, erzeugt im besten Fall Aktivität ohne messbaren Nutzen.“

Für Verantwortliche in Unternehmen ist die praktische Konsequenz unspektakulär und deshalb leicht zu übersehen. Der Unterschied zwischen den 22 Prozent und dem Rest liegt nach diesen Daten nicht im Modell, nicht im Anbieter und nicht im Budget, sondern in einer Buchhaltungsfrage: Wird KI-Ausgabe nach Ergebniskategorie erfasst — Produktivität, Umsatz, Risiko, Innovation — oder verschwindet sie in einer Sammelposition? Wer die zweite Antwort gibt, wird 2027 dieselbe Diskussion führen.

Das Bundesministerium für Digitales und Staatsmodernisierung und das Bundesinnenministerium haben am Montag in einer gemeinsamen Pressemitteilung die Gründung des AISI Deutschland bekannt gegeben — eines nationalen Instituts zur Bewertung der Sicherheitsrisiken leistungsfähiger KI-Modelle. Deutschland zieht damit gegenüber Ländern nach, die solche Einrichtungen seit Jahren betreiben. Wie wir in unserer Ausgabe vom 10. Juni berichteten, hatte der Nationale Sicherheitsrat den Aufbau am 8. Juni im Kanzleramt beschlossen; jetzt folgt die operative Umsetzung.

Die Form dieser Umsetzung ist die eigentliche Nachricht. Das Institut ist keine eigene Rechtsperson. In Phase eins bilden das BSI und die Bundesnetzagentur gemeinsam einen, wörtlich, „virtuellen“ Nukleus; beide Behörden wurden von den beiden Ministerien mit den entsprechenden Aufgaben betraut. Die Arbeitsteilung folgt der englischen Begriffsunterscheidung: Cybersicherheit („Security“) liegt beim BSI, die Betriebssicherheit im Sinne von Beherrschbarkeit und Produkttauglichkeit („Safety“) bei der Bundesnetzagentur. Sitz ist Berlin, beschrieben als politische Analyseeinheit. Für Phase zwei kündigen die Ministerien einen thematischen und kapazitären Ausbau an — wann, wo und in welcher Größe, bleibt offen.

Zwei Angaben fehlen in sämtlichen offiziellen Veröffentlichungen: Personalstärke und Budget. Weder die Pressemitteilung noch die Institutsseite beim BSI noch die Meldung der Bundesregierung nennen eine Zahl. Die in der Debatte kursierenden Summen von 100 Millionen Euro für zwei Jahre beziehungsweise 75 Millionen Euro jährlich sind Forderungen aus einem Bitkom-Positionspapier vom Juni, keine bewilligten Mittel. Zum Vergleich lässt sich immerhin der Verwaltungsaufwand der KI-Aufsicht beziffern: Für das Durchführungsgesetz zur KI-Verordnung veranschlagte der Nationale Normenkontrollrat beim Bund einmalig rund vier Millionen Euro und jährlich rund 15,9 Millionen, bei den Ländern jährlich rund 33,1 Millionen.

Klar umrissen ist dagegen, was das Institut nicht darf. Das BSI schreibt auf der Institutsseite ausdrücklich: „Das AISI Deutschland übernimmt ausdrücklich keine Regulierungs- oder Marktüberwachungsfunktion.“ Und weiter: Es sei „keine Regulierungsbehörde, sondern ein analytisch-operatives Kompetenzzentrum an der Schnittstelle von Sicherheit, Technologieanalyse, Innovation und strategischer Beratung“. Die Aufgaben sind technische Evaluierung von Modellen auf Cyberfähigkeiten, Autonomiegrade, Robustheit und Missbrauchspotenziale, dazu Beratung der Bundesregierung, Technologiebeobachtung und Wissenstransfer.

Diese Trennung vermeidet die naheliegende Doppelarbeit mit Brüssel: Die Marktüberwachung nach der KI-Verordnung liegt seit dem Durchführungsgesetz bei der Bundesnetzagentur, die dort ein Koordinierungs- und Kompetenzzentrum, eine unabhängige Marktüberwachungskammer und mindestens ein KI-Reallabor aufbaut. Der Reibungspunkt liegt damit nicht zwischen Berlin und Brüssel, sondern innerhalb Berlins: Dieselbe Bundesnetzagentur ist zugleich Marktüberwacherin und Teil des bewusst nicht-regulatorischen AISI-Nukleus.

Als Auslöser nennt das Digitalministerium „sich zunehmend konkretisierende Risiken durch Kontrollverlust“ nach jüngsten Veröffentlichungen zu aktuellen Vorfällen. Digitalminister Karsten Wildberger begründet das so: „Deutschland braucht ein leistungsfähiges KI-Sicherheitsinstitut, das mit der enormen technologischen Entwicklungsgeschwindigkeit Schritt hält. Wir müssen Risiken und Leistungsfähigkeit moderner KI-Systeme technisch fundiert und schnell bewerten können.“ Innenminister Alexander Dobrindt formuliert es knapper: „KI muss kontrollierbar bleiben und wir müssen an ihrer rapiden Entwicklung teilhaben.“

Der Abstand zwischen Anspruch und Ausführung lässt sich an der Vorlage messen, die der Digitalverband Bitkom im Juni geliefert hatte. Das Positionspapier verlangte ausdrücklich kein Regulierungsmandat — das hat die Regierung übernommen. Es verlangte aber auch eine bundeseigene GmbH als Rechtsform, eine gesetzliche Ausnahme vom Besserstellungsverbot, um außertariflich zahlen zu können, und Zugang zu Verschlusssachen. Der Satz, an dem sich die Umsetzung messen lassen muss, steht darin wörtlich: Das Institut dürfe „nicht wie eine klassische Forschungseinrichtung oder Behörde funktionieren, sondern muss als eine Art Hochleistungs-Technologie-Startup innerhalb der Regierung wirken“. Gefordert war eine agile Gesellschaft mit Spitzengehältern; entstanden ist ein virtueller Verbund zweier bestehender Bundesbehörden.

Am Personal hängt nach Bitkom-Lesart alles. Susanne Dehmel aus der Geschäftsleitung: „Das neue Sicherheitsinstitut wird nur erfolgreich sein können, wenn wir dafür internationale Spitzenkräfte gewinnen. Dafür braucht das Institut mindestens eine Finanzierung auf dem Niveau des britischen AISI.“ Das britische AI Security Institute, 2023 gegründet, weist auf der eigenen Seite über 100 technische Beschäftigte aus, darunter Alumni von OpenAI, Google DeepMind und Oxford; der Bitkom beziffert das Jahresbudget auf über 76 Millionen Euro und die Gesamtbelegschaft auf über 250 Personen. In den USA nimmt das bei NIST angesiedelte Center for AI Standards and Innovation dieselbe Rolle ein. Der Bitkom listet außerdem Kanada, Frankreich, Japan, Südkorea, Singapur, China und Australien als Länder mit bereits aufgebauten Instituten.

Damit liegt Deutschland rund drei Jahre hinter dem britischen Start — obwohl sich die Bundesrepublik bereits mit der Seoul-Erklärung vom Mai 2024 zum Aufbau solcher Einrichtungen bekannt hatte und im internationalen Netzwerk der Institute bislang nur über die EU vertreten ist. Der Verzug ist kein Einzelfall: Die Frist zur Benennung der nationalen Behörden nach der KI-Verordnung lief am 2. August 2025 ab; das deutsche Durchführungsgesetz passierte den Bundestag erst am 11. Juni 2026 gegen die Stimmen von AfD, Grünen und Linken und trat vier Tage vor dem allgemeinen Geltungsbeginn der Verordnung in Kraft. Und die nächste offene Frage steht schon im Raum: Das Saarland wirbt mit DFKI, CISPA und bestehendem BSI-Standort um die zweite Ausbaustufe für Saarbrücken und bietet an, die Mietkosten der Startphase zu übernehmen. Auch Süddeutschland und Nordrhein-Westfalen werden als Alternativen zum Berliner Sitz genannt.

Es gilt die Unschuldsvermutung. Beide Seiten haben ihre Darstellung eingereicht; das Gericht hat nichts entschieden. Die Anhörung ist auf den 1. Oktober 2026 terminiert.

In unserer gestrigen Ausgabe haben wir über Apples ergänzenden Schriftsatz vom Montag im Verfahren Apple Inc. v. Liu et al. (N.D. Cal., Az. 5:26-cv-07078-EJD) berichtet — dem Vorwurf, ein früherer Apple-Ingenieur habe Beweise vernichtet. Seit Dienstag sind die Erwiderungen der Gegenseite in redigierter Fassung öffentlich einsehbar: die Opposition gegen Apples Antrag auf einstweilige Verfügung samt sechzehn beigefügter eidesstattlicher Erklärungen. Sie ändert das Bild erheblich.

Zunächst eine Präzisierung in eigener Sache. Die Nachrichtenlage vom Montag stützte sich auf Presseberichte, die Apples Vortrag verdichteten. In den öffentlich zugänglichen Dokumenten steht die Formulierung deutlich vorsichtiger. Apple trägt vor, das ausgewertete MacBook zeige, dass Liu und eine OpenAI-Mitarbeiterin nach Bekanntwerden der Untersuchung im Juni „die Notwendigkeit besprachen, in ihrem Besitz befindliche Apple-Geräte ‚zurückzusetzen‘ und dann ‚zu benutzen‘“ — und fügt die eigene Deutung an: „Mit anderen Worten, sie besprachen die Vernichtung genau der forensischen Daten, die Apple braucht.“ Die zugrunde liegenden Nachrichten selbst sind versiegelt, die entsprechenden Seiten des Schriftsatzes vollständig geschwärzt. Belegbar ist damit die Absprache über das Zurücksetzen von Geräten und Apples Auslegung dieser Absprache — nicht eine dokumentierte Anweisung und Zusage. Wir korrigieren unsere gestrige Formulierung entsprechend.

Zur Einordnung des Rubrums: In diesem einen Verfahren sind fünf Parteien beklagt — die beiden Ingenieure Chang Liu und Tang Yew Tan sowie die OpenAI Foundation, die OpenAI Group PBC und io Products. Der Kurzname „Apple gegen Liu“ ergibt sich nur daraus, dass Liu zuerst genannt ist. Der Vorwurf der Beweisvernichtung richtet sich in den öffentlichen Texten gegen Liu und eine OpenAI-Mitarbeiterin, die selbst nicht Partei ist — nicht gegen OpenAI als Unternehmen. Apple verlangt allerdings ausdrücklich eine forensische Untersuchung „über Herrn Lius eigene Geräte hinaus, einschließlich relevanter Geräte und Konten von OpenAI und io“. Aus dieser Passage sind die Schlagzeilen entstanden, die OpenAI selbst die Vernichtung zuschreiben.

Der forensische Gegenschlag der Beklagten ist der eigentliche Nachrichtenwert. In der Erklärung ihres Sachverständigen Andrew Crain heißt es, sämtliche 37 Dateien, die Apple als firmeneigene Dokumente auf Lius privatem Mac Mini identifiziert hat, seien Null-Byte-Dateien — Dateien ohne Inhalt. Das lege nahe, dass Liu sie „nie geöffnet, kopiert oder anderweitig damit interagiert“ habe. Als Erklärung nennt die Verteidigung Apples eigenen Migrationsassistenten: Beim Einrichten des privaten Rechners am 11. März 2026 habe dieser unbemerkt Apple-Arbeitsanwendungen aus Lius iCloud mitgezogen.

Auch zum viel zitierten Zugriff vom 7. März legen die Beklagten eine andere Lesart vor. Liu habe am 4. März einem noch bei Apple beschäftigten Kollegen Hinweise zur Leistungsoptimierung gegeben und am 7. März lediglich geprüft, ob sein Ordner „Archive Simulations“ noch erreichbar war, um Dateien mit diesem Kollegen zu teilen. Die Formulierung im Schriftsatz: „In jedem einzelnen Fall griff Liu auf Dokumente zu — im Auftrag von Apple-Beschäftigten, für Apple-Arbeitszwecke.“

Prozessual setzen die Beklagten an derselben Stelle an, an der Apple angreift. Eine Durchsuchung in dem beantragten Umfang setze nach der zitierten Rechtsprechung „konkrete Beweise für Verschleierung oder Vernichtung von Beweismitteln“ voraus — „diesen Nachweis kann Apple nicht führen“. Und sie halten Apple eine Unwucht vor: Die Vorwürfe im Antrag beträfen fast ausschließlich zwei OpenAI-Beschäftigte, herausgeben sollen ihre Geräte aber sämtliche Beklagte. Zur Untermauerung hat die Verteidigung ein großes Sachverständigenaufgebot aufgefahren, darunter die Hochschulingenieure Y. Lawrence Yao und Arijit Raychowdhury.

Apples stärkstes inhaltliches Argument bleibt davon unberührt und ist für alle interessant, die mit KI-Werkzeugen an geschützten Inhalten arbeiten. Es steht in den Erklärungen von Daniel Roffman und Ayman Fayed: Fließen Geschäftsgeheimnisse in ein Modell oder einen Agenten ein, der daraus lernt, sei die Nutzung „irreversibel und fortlaufend weiterwirkend“. Damit begründet Apple den Antrag auf beschleunigte Beweiserhebung — nicht mit einer Kopie, die man zurückgeben könnte, sondern mit einer Aufnahme, die man nicht mehr rückgängig macht. Ob das Gericht dieser Konstruktion folgt, ist offen; sie dürfte weit über dieses Verfahren hinaus Beachtung finden.

Der Terminplan ist eng. Die Erwiderung der Beklagten auf Apples ergänzenden Schriftsatz ist auf den 4. September terminiert, die mündliche Verhandlung auf den 1. Oktober. Bis dahin bleibt die Beweislage in weiten Teilen unter Verschluss: Die entscheidenden Nachrichtenverläufe sind versiegelt, ebenso 25 Anlagen zur Erwiderung. Was öffentlich diskutiert wird, sind bislang zwei Auslegungen derselben geschwärzten Seiten.

Google hat am Dienstag Google Pics allgemein verfügbar gemacht, ein KI-Werkzeug zur Bilderzeugung und -bearbeitung, das im Mai auf der Entwicklerkonferenz I/O angekündigt worden war. Es läuft als eigenständige Web-Anwendung unter pics.new und zugleich als Bestandteil von Google Workspace, mit Einbindung zunächst in Docs und Präsentationen; Drive soll in den kommenden Wochen folgen. Mit Google Photos hat das Produkt trotz des Namens nichts zu tun — ein Missverständnis, das schon am Starttag Kommentare provoziert hat.

Der Bedienansatz ist der eigentliche Unterschied zum Marktführer. Canva beginnt mit einer Bibliothek: Man wählt eine Vorlage und passt sie an. Pics beginnt mit einem Modell: Man beschreibt, was man will, bekommt mehrere Vorschläge und schärft danach nach. Und dieses Nachschärfen ist präziser, als es bei generativen Bildwerkzeugen üblich ist. Einzelne Objekte lassen sich im Bild auswählen, verschieben, skalieren und verformen. Text im Bild kann bearbeitet, umformatiert und übersetzt werden, bei erhaltener Schriftgestaltung — der deutsche Blogger Carsten Knobloch nennt 29 unterstützte Sprachen. Dazu kommen Zuschnitte auf Web-, Social-, Print- und Digitalformate, Hochskalierung auf 2K und 4K sowie Zusammenarbeit im Team wie in Docs und Sheets.

Google verkauft das als Abkehr vom „prompt and pray“ — vom blinden Prompten in der Hoffnung, dass etwas Brauchbares herauskommt. Produktmanagerin Meg Whittenberger formuliert es so: Pics sei „auf unserem Nano-Banana-Modell zur Bilderzeugung und -bearbeitung“ gebaut und gebe „die Kontrolle, die man braucht, um zu erschaffen, was man sich vorstellt“. Welche Generation dieses Modells zum Einsatz kommt, sagt Google nicht — in der Ankündigung steht nur der Familienname. In der Entwicklerdokumentation trägt Nano Banana 2 die Kennung gemini-3.1-flash-image, Nano Banana Pro die Kennung gemini-3-pro-image; welche davon in Pics steckt, ist offen. Kursierende Versionsangaben in Blogs sind unbelegt.

Verfügbar ist Pics ohne Aufpreis, aber nicht kostenlos: Es ist in Workspace Business Standard und Plus, Enterprise Standard und Plus sowie in den Privatkunden-Abos Google AI Pro und Ultra und im Bildungstarif AI Pro enthalten. Eine kostenlose Stufe gibt es nicht — für den direkten Angriff auf Canva, dessen Gratisversion die Nutzerbasis trägt, ist das eine bemerkenswerte Auslassung. Eine geografische Einschränkung nennt Google nicht; eine ausdrückliche Freigabe für die EU allerdings auch nicht.

Wie groß der Gegner ist, zeigen Canvas Zahlen vom Februar dieses Jahres: vier Milliarden Dollar wiederkehrender Jahresumsatz zum Ende 2025, über 265 Millionen monatlich aktive Nutzerinnen und Nutzer, über 31 Millionen zahlende Abonnements, eine Bewertung von 42 Milliarden Dollar aus einem Anteilsverkauf. Mitgründer Cliff Obrecht beschreibt die eigene Richtung als Werdegang „zu einer KI-Plattform mit einem Haufen Design-Werkzeugen — man kann sich das eher wie einen Cursor fürs Design vorstellen“. Auf den Start von Pics hat Canva bis Redaktionsschluss nicht reagiert: keine Stellungnahme, kein Blogbeitrag.

Ob dieser Angriff sitzt, lässt sich an Googles eigener Bilanz abschätzen. Der beste Vergleichsfall ist Google Vids, der 2024 gestartete Workspace-Angriff auf Videowerkzeuge. Google selbst nennt dafür im April dieses Jahres über sieben Millionen monatlich aktive Nutzerinnen und Nutzer. Gegen Canvas 265 Millionen. Verteilung über bestehende Abonnements verschafft einem Produkt Reichweite auf dem Papier, aber nicht automatisch Nutzung — das ist die nüchterne Erwartung, mit der man auch Pics betrachten sollte.

Zwei Leerstellen fallen auf, und beide betreffen Fragen, die Unternehmen vor dem Einsatz klären müssen. Erstens: Weder die Ankündigung noch der Workspace-Blogbeitrag erwähnen SynthID, Googles unsichtbares Wasserzeichen für KI-Inhalte. Belegt ist lediglich, dass die Nano-Banana-Schnittstelle grundsätzlich alle erzeugten Bilder damit versieht — für Pics zugesagt ist es nicht. Zweitens: Zu Trainingsdaten, Urheberrechtsfreistellung und der Frage, ob Workspace-Inhalte in die Modellentwicklung einfließen, steht in beiden Texten nichts. Adobe wirbt bei Firefly genau mit dem Gegenteil, nämlich einer Haftungsfreistellung auf Basis lizenzierten Trainingsmaterials.

Und schließlich der Einwand, der über das Produkt hinausweist. Ken Braun, Mitgründer der Agentur Lounge Lizard, formuliert ihn in einem Beitrag von Mitte August so: „Geschwindigkeit verbessert die Produktionszeit, aber sie gibt keine Richtung vor.“ KI sei sehr gut darin, gängige visuelle Konventionen zu erkennen und zu reproduzieren. Wenn aber alle dieselbe Erzeugungsqualität zur Verfügung haben, ist gutes Aussehen kein Unterscheidungsmerkmal mehr — fünfzig Entwürfe um eine schwache Positionierung herum erzeugen nur mehr Lärm. Braun ist Agenturmitgründer und in dieser Frage nicht interessenfrei. Belastbare Qualitätstests des Werkzeugs lagen zum Redaktionsschluss noch nicht vor.

Datumslage: Der zugrunde liegende Forschungsbericht erschien am 27. August, die deutsche Berichterstattung erst am 1. September. Wir datieren den Artikel auf das Ereignis, nicht auf den Aufgriff.

Der unabhängige Sicherheitsforscher Olivier Laflamme hat unter dem Namen UniBLEed — ein Wortspiel mit Bluetooth Low Energy — eine Angriffskette gegen den humanoiden Roboter Unitree G1 EDU veröffentlicht. Sie verschafft aus Bluetooth-Reichweite, ohne Anmeldung und ohne vorheriges Pairing, Root-Rechte auf dem Rechner, der Kameras, Lautsprecher und Motoren steuert. Betroffen sind laut CVE-Eintrag alle Firmware-Stände bis einschließlich 1.5.2; Laflamme hat den Angriff auf vier verschiedenen G1 reproduziert.

Zwei Schwachstellen tragen die Kette. CVE-2026-76639 (CVSS 4.0: 8,7) kombiniert eine unauthentifizierte Brücke zwischen WebRTC und dem Roboter-Nachrichtenbus mit einem statischen AES-Schlüssel und einem Pfadwechsel-Fehler in der Wissensupload-Schnittstelle: Eine hochgeladene Datei landet im Verzeichnis eines Dienstes, der sie beim nächsten Start als root ausführt. CVE-2026-76640 (CVSS 4.0: 7,7) ist der Bluetooth-Weg und besteht aus fünf Stufen. Golem hat die beiden Bewertungen in seiner Meldung vertauscht; nach dem CVE-Eintrag ist die Zuordnung wie hier angegeben.

Der Bluetooth-Pfad lohnt den Blick ins Detail, weil jede Stufe ein bekannter Anfängerfehler ist. Eine Bluetooth-Kennung nimmt Schreibzugriffe ohne Verschlüsselung und ohne Authentisierung entgegen, weil die zugehörigen Berechtigungs-Flags fehlen. Ein Sieben-Byte-Kommando fördert daraufhin den verschlüsselten Sitzungsschlüssel zutage. Entschlüsseln lässt der Angreifer ihn von Unitrees eigener Cloud: Eine Schnittstelle erledigt das für jeden beliebigen Roboter, von jedem beliebigen kostenlosen Konto aus, ohne zu prüfen, wem das Gerät gehört. Mit dem Schlüssel erzwingt ein überlanges Passwort einen unsicheren Rückfallpfad in einem Shell-Skript, wo eine nicht in Anführungszeichen gesetzte Variable fremde Konfiguration einschleusen lässt — der Roboter verbindet sich mit dem Netz des Angreifers. Ein Pufferüberlauf sorgt dann dafür, dass beim Aufräumen ein Systemaufruf mit fremdem Inhalt als root läuft.

Was ein Angreifer damit anfangen kann, beschreibt Laflamme nüchtern: über Ton und Bild Menschen ausspähen, die eingebauten KI-Modelle austauschen oder mit einer Hintertür versehen, Wahrnehmungs- und Bewegungslogik manipulieren, die Kollisionserkennung samt weiterer Sicherheitsprüfungen abschalten. Er ergänzt, warum das kein reines Softwareproblem bleibt: Das Gerät wiegt rund 40 Kilogramm. Dazu kommen rund fünfzehn Zugangsdaten zu Sprach- und Cloud-Diensten, die auf dem Roboter lagerten und inzwischen rotiert wurden, sowie ein zweiter Rechner an Bord mit offenem SSH und Standardpasswort.

Der Punkt, der die Meldung über einen weiteren Robotik-Bug hinaushebt, ist die Verbreitung von Gerät zu Gerät. Laflamme schreibt: „Mit ein paar kleinen Anpassungen an der Injektion war es ziemlich einfach, RCE #2 wurmfähig zu machen. Jeder kompromittierte G1 kann mindestens einen weiteren G1 in Bluetooth-Reichweite übernehmen. Ich habe nur jemals zwei im selben Raum getestet, und ich weiß ehrlich gesagt nicht, wie viele man aneinanderhängen oder von einem einzigen Gerät abzweigen könnte.“ Das ist die belastbare Aussage: Der Sprung von Roboter zu Roboter ist praktisch gezeigt, eine Kette über zwei Geräte hinaus nicht. Bilder von gekaperten Armeen sind Fortschreibung, kein Messergebnis — sie stammen aus der Berichterstattung über einen anderen Angriff.

Denn dieser andere Angriff ist der eigentliche Maßstab. Im September 2025 hatten Andreas Makris und Kevin Finisterre unter dem Namen UniPwn eine erste wurmfähige Kette gegen mehrere Unitree-Modelle offengelegt — damals steckte in Go2, B2, G1 und H1 derselbe fest einprogrammierte Schlüssel. Der Erstkontakt war damals der Beginn einer Hängepartie: Der Hersteller erklärte zunächst, es gebe bereits Korrekturen, räumte dann „bekannte Schwachstellen“ ein, bezifferte den Aufwand auf „Quartale oder Jahre“ und antwortete ab Ende Juli 2025 nicht mehr. Die Nachricht von UniBLEed lautet deshalb nicht „erster Roboterwurm“, sondern: Ein Jahr und mehrere Korrekturen später ist die Verbreitung von Roboter zu Roboter über einen völlig anderen Pfad immer noch möglich. Laflamme ordnet seine Arbeit ausdrücklich so ein.

Bemerkenswert ist, wie anders der Hersteller diesmal reagiert hat. Den G1 hatte Unitree dem Forscher geschenkt — als Vergütung für eine frühere Meldung. Laflamme nennt das ungewöhnlich: „Dass Hersteller Forschern Roboter schicken, ist in der Robotik schlicht unerhört.“ Die Zeitleiste von der ersten Meldung Mitte Mai über die Bestätigung beider Lücken bis zur Eigentumsprüfung in der Cloud Anfang August und einer Prämie von 5.000 Dollar liest sich lehrbuchmäßig. Beim Patchstand ist dennoch Vorsicht geboten: Bestätigt geschlossen ist die Cloud-Schnittstelle. Zur Firmware schreibt Laflamme nur, das Unternehmen habe nach eigener Auskunft Korrekturen für „die große Mehrheit, wenn nicht alle“ Schwachstellen — teils intern. Eine reparierte Firmware-Version wird nirgends benannt. Eine Randnotiz verdient dabei die Korrektur: Golem schreibt, Laflamme habe die Lücken „mithilfe von KI“ gefunden. Im Bericht steht das Gegenteil — die Schwachstellen seien „zu 100 Prozent von Menschen gefunden“ worden.

Der Zeitpunkt ist heikel, weil der Markt gerade skaliert. Nach Zahlen von Counterpoint Research wurden im ersten Halbjahr 2026 weltweit über 22.000 humanoide Roboter ausgeliefert, rund 300 Prozent mehr als im Vorjahreszeitraum; Unitree liegt mit über 7.000 Einheiten und 31 Prozent Anteil auf Platz zwei. Wie viele davon G1 EDU sind, ist nicht belegt. Parallel hat die US-Kommunikationsbehörde FCC am 28. Juli „im Ausland hergestellte fortgeschrittene Robotergeräte“ auf ihre Liste sicherheitsbedenklicher Ausrüstung gesetzt — herkunftsneutral formuliert, ohne ein Unternehmen zu nennen, mit Wirkung nur für neue Gerätezulassungen. Die Begründung des zuständigen Gremiums klingt nach dem, was Laflamme demonstriert hat: Solche Geräte sammelten Daten, mit denen sich Menschen überwachen, fremde Nachrichtendienste stärken „oder die Roboter aus der Ferne übernehmen“ ließen.