Ausgabe vom 5. September 2026

Nach einem Bericht des Politikportals Politico hat Mark Zuckerberg in der Woche des 17. August mit Donald Trump telefoniert und dem Präsidenten mitgeteilt, dass er den im Weißen Haus zirkulierenden Plan einer nationalen KI-Aufsichtsbehörde für flawed — fehlerhaft — halte. Öffentlich wurde das Gespräch erst diese Woche. Ein namentlich nicht genannter hochrangiger Regierungsmitarbeiter beschreibt Zuckerbergs Position gegenüber Politico differenzierter, als es die Schlagzeile nahelegt: Er habe die Behörde nicht rundheraus abgelehnt, sondern verlangt, ihre Leitung müsse Trumps eigenen zurückhaltenden Regulierungsansatz widerspiegeln, statt ein strengeres Aufsichtsmodell zu importieren.

Bemerkenswert ist, woher der Vorschlag stammt, den Zuckerberg da bekämpft. Nicht von Regulierern, sondern von einem direkten Wettbewerber: Demis Hassabis, Mitgründer und Chef von Google DeepMind, hatte im Juli in einem Essay dafür geworben, in den USA eine KI-Normungsstelle nach dem Muster der FINRA zu schaffen. Die FINRA ist die von der Branche selbst finanzierte Selbstregulierungsorganisation des US-Wertpapierhandels — keine Behörde im engeren Sinn, sondern ein privatrechtliches Gremium mit hoheitlich abgesegneten Befugnissen. Übertragen auf KI hieße das: Ein von den Laboren mitfinanziertes Gremium prüft leistungsfähige Modelle vor großen Veröffentlichungen gegen Sicherheitsmaßstäbe, insbesondere in den Bereichen IT-Sicherheit und biologische Risiken.

An diesem Vorbild hat die Fachöffentlichkeit einen naheliegenden Einwand formuliert, den man kennen sollte, bevor man die Debatte für ein reines Interessenspiel hält: Die FINRA prüft neue Anlageprodukte gerade nicht vor ihrer Zulassung. Ausgerechnet die Funktion, um derentwillen das Modell kopiert werden soll — die Freigabe vor dem Einsatz —, gehört nicht zum Repertoire des Originals.

Das Weiße Haus hat sich zum Inhalt des Telefonats nicht geäußert. Ein Sprecher erklärte lediglich allgemein, die Regierung sei dem Ausgleich von Innovation und Sicherheit in der KI-Politik verpflichtet. Eine Entscheidung ist nach Politicos Darstellung bislang nicht gefallen; im Gespräch sind weiterhin zwei Varianten — das FINRA-Modell und ein rein branchengeführtes, freiwilliges Verfahren, für das gelegentlich das Altersfreigabesystem der US-Filmwirtschaft als Analogie bemüht wird. Das Telefonat hat den Plan also nicht beerdigt, aber verlangsamt.

Der Vorgang fügt sich in ein Muster, das wir seit dem Frühjahr verfolgen. Trumps Präsidialerlass „Ensuring A National Policy Framework for Artificial Intelligence“ vom 11. Dezember 2025 zielt darauf, KI-Gesetze der Bundesstaaten — Colorados AI Act, Kaliforniens SB 53 — bundesrechtlich zu verdrängen; das Handelsministerium sollte bis März 2026 eine Liste als belastend eingestufter Staatsgesetze vorlegen, die Handelsaufsicht FTC bis zum 11. März eine Stellungnahme zu KI-Bias-Regeln. Über die Stoßrichtung dieses Rahmens haben wir am 21. März berichtet. Ausgenommen von der Verdrängung bleiben nach der finalen Fassung ausdrücklich Kinderschutz-, Infrastruktur- und Beschaffungsgesetze.

Meta betreibt diese Politik nicht nur am Telefon. Der im September 2025 gegründete Super-PAC American Technology Excellence Project ist nach eigenen Angaben mit einem zweistelligen Millionenbetrag ausgestattet und wird vom Republikaner Brian Baker gemeinsam mit der demokratischen Beratungsfirma Hilltop Public Solutions geführt — ein bewusst überparteilicher Zuschnitt, dessen erklärtes Ziel darin besteht, strengere KI-Gesetze in den Bundesstaaten zu verhindern und technikfreundliche Kandidaten beider Parteien bei den Zwischenwahlen zu unterstützen. Auf der Gegenseite haben sich inzwischen ebenfalls Ausschuss-Vehikel gebildet, unter anderem von den früheren Abgeordneten Chris Stewart und Brad Carson. Branchenschätzungen für die gesamten Ausgaben zum Thema KI-Regulierung bis zur Wahl liegen jenseits von hundert Millionen Dollar.

Für Unternehmen außerhalb der USA ist an dieser Auseinandersetzung vor allem eines relevant: Sollte sich das freiwillige Modell durchsetzen, entstünde in den USA keine Instanz, die eine Modellfreigabe unabhängig prüft — während in Europa der AI Act genau das für Hochrisiko-Anwendungen vorschreibt. Wer beide Märkte bedient, plant dann nicht gegen einen gemeinsamen Nenner, sondern gegen den strengeren. Und die Vorfälle dieser Woche, über die wir im ersten Artikel berichten, liefern der Debatte ein Argument, das sie bis Mitte August nicht hatte.

Die Financial Times hat am Donnerstag mit rund einem halben Dutzend Investoren gesprochen, die sich auf eine Zahl eingerichtet haben: zwei Billionen Dollar Bewertung für Anthropic beim geplanten Börsengang. Wichtig ist, was diese Zahl nicht ist — nämlich eine Zielvorgabe des Unternehmens. Nach Darstellung der FT hat Anthropics Führung intern noch gar keine Bewertung festgelegt. Es handelt sich um eine Erwartung der Käuferseite, und sie wäre, wenn sie einträfe, der größte Börsengang der Geschichte.

Zur Einordnung der Größenordnung: In der letzten privaten Runde, der Series H vom 28. Mai dieses Jahres, sammelte Anthropic 65 Milliarden Dollar bei einer Bewertung von 965 Milliarden Dollar ein — geführt von Altimeter Capital, Dragoneer, Greenoaks und Sequoia. Damit zog das Unternehmen erstmals an OpenAI vorbei, das Ende März bei 852 Milliarden bewertet worden war. Der annualisierte Umsatz lag Ende 2025 bei rund 9 Milliarden Dollar, im Mai bei 47 Milliarden und Ende Juli bei über 65 Milliarden; die von der FT befragten Investoren rechnen zum Jahresende mit 100 bis 120 Milliarden. Über die für August angekündigte Einreichung des öffentlichen Börsenprospekts und die Aufnahme von Citigroup als vierter begleitender Bank neben Goldman Sachs, Morgan Stanley und JPMorgan haben wir am 22. August berichtet; angepeilt wird eine Notierung an der Nasdaq im Oktober.

Der eigentliche Gegenstand der FT-Recherche ist aber nicht die Bewertung, sondern eine Konstruktion, die es an einer Börse in dieser Form noch nie gegeben hat. Anthropic ist eine Public Benefit Corporation nach dem Recht von Delaware — eine Rechtsform, die die Geschäftsführung ausdrücklich verpflichtet, neben dem Aktionärsinteresse einen im Gesellschaftsvertrag festgelegten Gemeinwohlzweck zu berücksichtigen. Darüber liegt der Long-Term Benefit Trust, ein unabhängiges Gremium, das eine eigene Aktiengattung hält: Class T. Diese Anteile bringen weder Dividende noch Kursgewinn — sie berechtigen ausschließlich dazu, Mitglieder des Verwaltungsrats zu wählen und abzuberufen.

Diese Rechte sind keine Theorie mehr. Im siebenköpfigen Board sind vier Sitze vom Trust besetzt: Jay Kreps, Reed Hastings, Chris Liddell und der Novartis-Chef Vas Narasimhan. Die verbleibenden drei — Dario Amodei, Daniela Amodei und Yasmin Razavi — werden von den Aktionären gewählt. Der Trust hat also bereits heute die Mehrheit.

Wer sind die Treuhänder, die diese Mehrheit vergeben? Derzeit drei Personen: Neil „Buddy“ Shah, Vorsitzender und Chef der Clinton Health Access Initiative; Richard Fontaine, Chef des Thinktanks Center for a New American Security; und seit Juli der frühere Vorsitzende der US-Notenbank und Nobelpreisträger Ben Bernanke. Es waren vier, bis Tino Cuéllar im August in eine operative Rolle bei Anthropic selbst wechselte — Treuhänder müssen finanziell und beruflich unabhängig vom Unternehmen sein, ein Wechsel ins Haus schließt das Amt also aus. Bezahlt werden sie nur mit einer Aufwandsentschädigung; eine Beteiligung am Erfolg haben sie ausdrücklich nicht.

Für Anleger addiert sich daraus eine ungewöhnliche Rechnung. Zum Trust kommt nach einem Bericht des Branchendienstes The Information vom 19. August, dass Anthropic Gründern und Führungskräften Aktien mit mehrfachem Stimmrecht einräumen will — Dario Amodei selbst hält nach diesen Angaben nur rund zwei Prozent des Kapitals. Wer beim Börsengang zeichnet, erwirbt also einen wirtschaftlichen Anteil an einem der wertvollsten Unternehmen der Welt und praktisch keinen Einfluss auf dessen Führung, weder über die Gründerstimmen noch über den Verwaltungsrat.

Der Vergleich zu OpenAI zeigt, wie unterschiedlich zwei Häuser dasselbe Problem lösen. OpenAI vollzog seinen Umbau zur Public Benefit Corporation am 28. Oktober 2025; dort hält die gemeinnützige OpenAI Foundation rund 26 Prozent und kontrolliert darüber die operative Gesellschaft. Eine Minderheitsbeteiligung mit Kontrollrechten also — bei Anthropic dagegen ein Gremium ganz ohne Kapitalbeteiligung, dessen Macht sich allein aus einer stimmrechtsbewehrten Sonderaktie speist.

Beide Konstruktionen laufen auf dieselbe Wette hinaus: dass sich der öffentliche Kapitalmarkt eine Struktur gefallen lässt, die ihm die Kontrolle vorenthält, solange die Wachstumszahlen stimmen. Die interessante Frage stellt sich erst danach. Ein Treuhandgremium, das den Verwaltungsrat gegen den Willen der Aktionäre austauschen kann, ist im Aufschwung ein Werbeargument für die Ernsthaftigkeit des Sicherheitsversprechens. Im ersten schlechten Quartal ist es der Punkt, an dem sich zeigt, ob es hält.

Bloomberg berichtete am Donnerstag, das britische KI-Infrastrukturunternehmen Nscale verhandele über eine weitere Finanzierungsrunde von 3,5 Milliarden Dollar vor einem geplanten Börsengang in den USA. Die Struktur ist ungewöhnlich zweigeteilt: rund 1,5 Milliarden Dollar als Wandelanleihen und 2 Milliarden Dollar direkt von Nvidia. Bestätigt ist nichts davon — es handelt sich um Gespräche, und Nscale selbst hat sich nicht geäußert. Wir kennzeichnen das ausdrücklich, weil die genannten Bewertungsangaben zwischen 25 und 30 Milliarden Dollar schwanken, je nachdem, welchen Sekundärbericht man liest.

Belastbar sind dagegen die Zahlen, mit denen Nscale bei Investoren wirbt, und sie sind das eigentlich Lehrreiche an dieser Meldung. Der vertraglich zugesagte Auftragsbestand liegt bei rund 51 Milliarden Dollar. Der tatsächliche Umsatz betrug im gesamten Jahr 2025 etwa 33 Millionen Dollar, im ersten Quartal 2026 rund 37 Millionen und im zweiten Quartal erstmals über 100 Millionen. Zwischen dem, was unterschrieben ist, und dem, was fließt, liegt also der Faktor Hundert und liegen mehrere Jahre Bauzeit — und diese Jahre kosten Geld, bevor sie welches einbringen.

Den größten Einzelposten in diesem Auftragsbestand haben wir am 27. August besprochen: einen Vertrag mit Anthropic über rund 45 Milliarden Dollar und sechs Jahre. Anthropic mietet dafür etwa 460 Megawatt Rechenkapazität in einer Nscale-Entwicklung in West Virginia — genug Strom für rechnerisch rund 345.000 US-Haushalte. Bestückt wird die Anlage mit Nvidias kommender Vera Rubin-Generation, in Betrieb gehen soll sie Ende 2027. Es ist nicht Anthropics einziger Vertrag dieser Größenordnung; am 2. September ging es um 35 Milliarden Dollar für Rechenzeit in Texas, dort mit Lambda.

Nscale selbst ist erst 2024 aus dem Bitcoin-Mining-Unternehmen Arkon Energy hervorgegangen, gegründet von Josh Payne, mit Sitz in London. Das Geschäftsmodell ist vertikale Integration: Standortentwicklung, Rechenzentrumsbau, GPU-Beschaffung und Cloud-Betrieb aus einer Hand. Die Finanzierungsgeschichte liest sich entsprechend steil — 30 Millionen Dollar Startfinanzierung Ende 2023, 155 Millionen Series A ein Jahr später, rund 1,1 Milliarden in der Series B im September 2025 (die größte je in Großbritannien), 2 Milliarden in der Series C im März 2026 bei 14,6 Milliarden Bewertung, geführt von Aker ASA und 8090 Industries. Insgesamt mehr als 3,7 Milliarden Dollar Eigenkapital, dazu 900 Millionen als revolvierender Kredit und 790 Millionen Fremdkapital eines nordeuropäischen Bankenkonsortiums für den Standort Narvik. Im Aufsichtsrat sitzen seit März Sheryl Sandberg, Susan Decker und Nick Clegg.

Neben Anthropic stehen zwei weitere Großkunden in den Büchern: eine auf 14 Milliarden Dollar erweiterte Partnerschaft mit Microsoft über die Bereitstellung von 200.000 Nvidia-GB300-Beschleunigern in Texas, Großbritannien und Portugal, sowie „Stargate Norway“, ein gemeinsames Projekt mit OpenAI und Aker bei Narvik in Nordnorwegen, in dem OpenAI am Ende rund 100.000 GPUs mieten soll. Als Konsortialbanken für den Börsengang sind Goldman Sachs und JPMorgan beauftragt.

Wer diese Konstruktion bewerten will, sollte auf den Vorreiter der Kategorie schauen. CoreWeave, das erste börsennotierte Unternehmen dieses Typs, wies zum ersten Quartal 2026 rund 25,1 Milliarden Dollar Schulden plus 10,1 Milliarden Dollar Leasingverbindlichkeiten aus, bei einem Verhältnis von Fremd- zu Eigenkapital jenseits von sieben zu eins. Im Jahr 2024 entfielen 62 Prozent des Umsatzes auf einen einzigen Kunden — Microsoft —, in einem Quartal 2025 sogar 71 Prozent. Beides zusammen, hohe Verschuldung und extreme Kundenkonzentration, ist das Strukturrisiko der gesamten Branche, und Nscale bildet es mit Anthropic als Ankerkunden eher schärfer ab als milder.

Für Unternehmen, die KI einkaufen statt bauen, hat das eine praktische Seite. Die Kapazität, aus der 2027 und 2028 Inferenz verkauft wird, wird gerade jetzt finanziert — und zwar zu Zinsen und Eigenkapitalkosten, die in den späteren Preisen wieder auftauchen müssen. Wer heute mehrjährige Zusagen für Token-Preise verhandelt, verhandelt implizit auch über die Frage, wer das Zinsrisiko dieser Bauphase trägt.

Zum Abschluss ihrer zweitägigen Klausurtagung in Berlin hat die SPD-Bundestagsfraktion am Freitag ein Positionspapier mit dem Titel „Damit Fortschritt bei allen ankommt: gute Arbeit im KI-Zeitalter“ beschlossen. Zuerst berichtet hatte darüber die Rheinische Post. Die Schlagzeile, die daraus wurde, lautet fast überall „KI-Steuer“ — ein Begriff, der im Papier selbst nach übereinstimmender Darstellung mehrerer Berichte nicht vorkommt.

Das ist keine Spitzfindigkeit, sondern der Unterschied zwischen einem Steuersatz und einer Suchrichtung. Beschlossen sind zwölf Punkte, von denen mehrere in Richtung Abgaben zielen, aber keiner eine Bemessungsgrundlage nennt. Konkret geht es um: eine Änderung der Gewerbesteuerzerlegung, damit Standortkommunen von Rechenzentren stärker an den Gewinnen beteiligt werden; eine angemessenere Besteuerung großer Technologiekonzerne; die Prüfung einer „KI-Dividende“ auf Produktivitätsgewinne; eine „KI-Nachwuchsgarantie“, nach der größere Unternehmen entweder ausbilden oder in einen Nachwuchsfonds einzahlen, wenn Einstiegsstellen wegfallen; KI-Gutscheine für den Mittelstand; ein Recht Älterer auf Weiterbildung für das KI-Zeitalter mit Freistellung, Beratung und abgesichertem Einkommen; eine Stärkung der Mitbestimmung bei der Einführung von KI; und als Diskussionspunkt die Verbreiterung der Bemessungsgrundlage für Sozialversicherungsbeiträge. Fraktionschef Matthias Miersch fasste den Anspruch mit dem Satz zusammen, die Gewinne des Fortschritts müssten bei allen ankommen; Ausbildung, erste Berufserfahrung und Lernen im Job dürften nicht durch Algorithmen ersetzt werden.

Bemerkenswert ist der erste Punkt, weil er kein Vorschlag mehr ist, sondern eine laufende Gesetzgebung. Wie wir gestern berichtet haben, sieht der Regierungsentwurf zum Einkommensteuerreformgesetz 2027 bereits vor, die Gewerbesteuer von Rechenzentren künftig überwiegend nach elektrischer Anschlussleistung statt nach Arbeitslohn auf die Kommunen zu verteilen. Die SPD-Fraktion greift damit einen Faden auf, der ohnehin schon liegt — was den Punkt politisch am realistischsten macht und zugleich erklärt, warum er in der Berichterstattung unter „neue Steuer“ verbucht wird, obwohl es um Verteilung zwischen Gemeinden geht und nicht um eine zusätzliche Belastung.

Der Verband der Internetwirtschaft eco hat noch am Freitag mit einer Pressemitteilung geantwortet. Vorstandsvorsitzender Oliver Süme lehnt den Vorstoß ab: „KI darf in Deutschland nicht zum Standortnachteil werden.“ Und: „KI ist längst kein Thema mehr, das nur IT-Spezialistinnen und -Spezialisten betrifft.“ eco stützt sich auf eine Studie, die IW Consulting im Verbandsauftrag erstellt hat und die zwei Zahlen in den Vordergrund rückt: Bereits heute würden über 120 Milliarden Euro Umsatz durch KI-gestützte Produktinnovationen erwirtschaftet, und zwei von drei Stellen mit KI-Bezug lägen außerhalb der IT-Branche. Das Argument dahinter ist ein Ausbreitungsargument: Eine Abgabe, die auf die Technologiebranche zielt, träfe der Studie zufolge zum überwiegenden Teil Anwender in Industrie und Dienstleistung.

Die FDP hat ebenfalls abgelehnt. Generalsekretär Martin Hagen warnt, eine KI-Steuer gefährde Investitionen, Innovationen und zukunftssichere Arbeitsplätze, und fordert stattdessen, die Steuerbelastung unternehmerischer Einkünfte auf höchstens 20 Prozent zu senken.

International steht die SPD mit der Grundidee nicht allein, und die prominenteste Stimme kommt aus einer unerwarteten Richtung. Bill Gates hat am 26. August in einem rund 6.000 Wörter langen Essay eine Abgabe auf Roboter und auf KI-Tokens gefordert. Seine Begründung ist steuersystematisch und nicht moralisch: Das US-Steuerrecht behandele Arbeit und Kapital ungleich, weil Löhne Sozialabgaben auslösen, Maschinen aber abgeschrieben werden dürfen — und setze damit einen Anreiz, Menschen durch Maschinen zu ersetzen, der über die reine Produktivität hinausgehe. Im US-Kongress hat der Abgeordnete Greg Casar am 6. August einen entsprechenden Gesetzentwurf eingebracht, den „AI Tax and Work Protection Act“, der große KI-Unternehmen auf verkaufte Tokens besteuern würde.

Die Gegenargumente sind allerdings ebenfalls alt und gut dokumentiert. Das Europäische Parlament hat eine Robotersteuer bereits 2017 abgelehnt, im Kern mit zwei Einwänden, die auch heute die entscheidenden sind: Es fehlt eine zukunftssichere Abgrenzung, was als Roboter oder als KI-Einsatz gilt und was als gewöhnliche Software — und ein nationaler Alleingang verlagert die Bemessungsgrundlage schlicht ins Ausland, weil sich Rechenlast anders als eine Fabrikhalle in Minuten verschieben lässt. Zur Erinnerung an die politische Lage in Deutschland: Digitalminister Karsten Wildberger hatte im März massive Jobverluste durch KI vorhergesagt und als erster Bundesminister ein Grundeinkommen als Teil einer Antwort ins Gespräch gebracht. Die Frage, wer die Anpassungskosten trägt, ist in der Koalition also gestellt. Beantwortet ist sie mit diesem Papier nicht.

Der 4. September war in In re: OpenAI, Inc., Copyright Infringement Litigation — dem vor Richter Sidney H. Stein am Bundesbezirksgericht für den Südlichen Bezirk von New York gebündelten Sammelverfahren — der letzte Tag, an dem Anträge auf Entscheidung ohne mündliche Verhandlung sowie Anträge zum Ausschluss gegnerischer Sachverständiger eingereicht werden konnten. Beide Seiten haben die Frist genutzt. Erwiderungen sind bis zum 6. November zu erwarten.

Die Kläger sind eine breite Front: The New York Times, die New York Daily News, das Center for Investigative Reporting, mehrere Autorenverbände und rund 400 Lokalzeitungen. Die Beklagten sind Microsoft und mehrere OpenAI-Gesellschaften. Die Rechtsfrage, die alles trägt, lautet, ob das Training großer Sprachmodelle auf urheberrechtlich geschützten Texten als Fair Use zulässig ist.

Interessant an Microsofts Schriftsatz ist, dass er diese Frage nur zur Hälfte juristisch angeht. Die andere Hälfte ist eine Auswertung. Im Rahmen der Beweiserhebung hat Microsoft 8,2 Millionen Copilot-Konversationen vorgelegt — und zwar ausdrücklich keine Zufallsstichprobe, sondern eine nach Schlüsselwörtern gefilterte Auswahl, die auf Nutzung der Nachrichtenangebote der Kläger hindeutet. Also der Teil des Datenbestands mit der höchsten Wahrscheinlichkeit für Überschneidungen. Ergebnis: 59.545 Datensätze mit mindestens sechzehn zusammenhängenden Wörtern aus Klägerinhalten — rund 0,7 Prozent. Bei den Buchklagen fällt die Zahl ins Bodenlose: 24 übereinstimmende Antworten in denselben 8,2 Millionen Gesprächen, und für 202 von 212 streitgegenständlichen Büchern kein einziger Treffer.

OpenAI hat eine eigene Auswertung beigelegt: 20 Millionen anonymisierte ChatGPT-Konversationen, darin 24 wörtliche Wiedergaben, die längsten davon 29 und 43 Wörter lang. Und zum Umfang des Trainingsmaterials: Die Verlage behaupten, 10,8 Millionen Artikel seien kopiert worden; OpenAI hält dagegen, die Sachverständigen der Kläger selbst bestätigten nur 6,3 Millionen als tatsächlich verwendet.

Was hier verhandelt wird, ist ein Begriff, der die ganze Branche beschäftigt: Regurgitation — die wortwörtliche Wiedergabe von Trainingsmaterial durch das fertige Modell. Sie ist deshalb so wichtig, weil sie den Streit von einer schwer zu greifenden Frage („Ist Training Kopieren?“) auf eine messbare verschiebt („Kommt der Text hinten wieder heraus?“). Beantwortet man sie mit Prozentzahlen, wirkt der Vorwurf klein. Genau deshalb werden die Kläger ihre Argumentation auf zwei andere Punkte stützen müssen: dass für die Verletzung schon das Kopieren beim Training genügt, unabhängig von der Ausgabe, und dass der eigentliche Marktschaden gar nicht in der Wiedergabe liegt, sondern im Ersetzen des Besuchs auf der Verlagsseite.

Für die Beweislast ist außerdem entscheidend, dass die Beklagten hier ihre eigenen Protokolldaten auswerten. Microsoft und OpenAI kennen ihren Datenbestand, die Filterlogik und die Vergleichsmethodik; die Kläger können beides nur nachvollziehen, soweit es offengelegt wurde. Es ist deshalb kein Zufall, dass beide Seiten am selben Tag auch beantragt haben, die Sachverständigen der Gegenseite gar nicht erst zuzulassen. Der Streit um die Methodik ist in diesem Verfahren der Streit um das Ergebnis.

Zwei Entwicklungen der vergangenen Tage verschieben das Kräfteverhältnis weiter zugunsten der Beklagten. Erstens hat sich das US-Justizministerium Anfang September mit einer Stellungnahme eingeschaltet, die die Position stützt, dass Training auf geschützten Texten grundsätzlich keine Urheberrechtsverletzung darstelle — darüber haben wir am 3. September ausführlich berichtet. Zweitens wirkt Bartz v. Anthropic weiter: Richter Alsup entschied im Juni 2025 in Nordkalifornien, dass das Training mit rechtmäßig erworbenen Büchern Fair Use sei — nicht aber mit Raubkopien; Anthropic zahlte daraufhin im August 2025 1,5 Milliarden Dollar Vergleich, den größten Urheberrechtsvergleich der US-Geschichte. Diese Zweiteilung ist die Linie, auf die Microsoft und OpenAI zusteuern: Training legal, Beschaffung angreifbar, Ausgabe statistisch irrelevant.

Für Unternehmen, die KI in Produkte einbauen, ist die praktische Konsequenz unabhängig vom Ausgang bereits sichtbar. Die Frage, ob ein Modell Trainingsmaterial wiedergibt, wird zu einer messbaren Produkteigenschaft, über die man Belege vorlegen können muss. Wer selbst feinabstimmt oder mit eigenen Dokumentbeständen anreichert, wird in Verhandlungen zunehmend gefragt werden, wie er das misst — und nicht mehr nur, ob er es für ausgeschlossen hält.

Microsofts Sicherheitsabteilung hat am 3. September eine Analyse veröffentlicht, die einen ungewöhnlichen Übergang beschreibt: ASCII Smuggling, seit gut zwei Jahren als Angriffsverfahren gegen Sprachmodelle bekannt, wird inzwischen in großem Stil für gewöhnliches Phishing eingesetzt. The Register und Ars Technica haben den Befund am Folgetag aufgegriffen.

Die Technik lässt sich in einem Satz erklären. Der Unicode-Standard enthält einen fast vergessenen Zeichenblock, den Tags Block zwischen U+E0000 und U+E007F. Diese Zeichen bilden das komplette lateinische Alphabet nach, werden aber von praktisch keiner Schriftart dargestellt. Sie sind für den Menschen unsichtbar und für Software vollwertiger Text. Wer sie zwischen die Buchstaben eines Wortes streut, verändert für das Auge nichts und für jeden Zeichenkettenvergleich alles: Aus funding wird eine Zeichenfolge, die kein Filter mehr als funding erkennt.

Beschrieben und praktisch nutzbar gemacht hat das der Sicherheitsforscher Johann Rehberger, der am 14. Januar 2024 in seinem Blog Embrace The Red ein Werkzeug namens „ASCII Smuggler“ veröffentlichte. Der Angriff der ersten Generation zielte auf Sprachmodelle: Man versteckt in einem Text, den ein Nutzer arglos in einen Chatbot einfügt, unsichtbare Anweisungen. Der Mensch liest eine harmlose E-Mail, das Modell liest zusätzlich einen Befehl. Diese Klasse von Angriffen — indirekte Prompt-Injektion — gehört seither zum Standardrepertoire der Forschung.

Die neue Kampagne dreht die Richtung um. Angegriffen wird nicht mehr das Modell, sondern der Spam-Filter davor. Nach Microsofts Auswertung begann sie um den 9. Februar 2026, erreichte im Februar einen Spitzenwert von über 2,3 Millionen Nachrichten an einem einzigen Tag und hielt rund drei Monate hohe Volumina, bevor sie nach dem 15. Mai deutlich abflaute und bis Mitte Juni auslief. Verschickt wurde von etwa 150 wechselnden Absenderdomains mit Finanzbezug, sauber im Bürorhythmus: werktags aktiv, am Wochenende still. Als Versandweg diente eine legitime E-Mail-Marketing-Plattform, deren Zustellinfrastruktur ohnehin eine gute Reputation hat.

Das eigentlich Beunruhigende ist, gegen welche Schutzschicht sich das richtet. Klassische Regelfilter suchen nach Wörtern; die trifft man mit unsichtbaren Trennzeichen sofort. Aber auch moderne, auf maschinellem Lernen basierende Klassifizierer sind betroffen, und zwar an einer Stelle, die selten mitgedacht wird: bei der Zerlegung des Textes in Tokens. Ein mit Tag-Zeichen durchsetztes Wort zerfällt in Bruchstücke, die im Training nie in dieser Form vorkamen. Das Modell sieht nicht das Wort mit einem kleinen Rauschen, sondern etwas anderes. Ein Filter, der auf semantische Ähnlichkeit setzt, verliert damit ausgerechnet das Signal, auf das er sich verlässt.

Die Gegenmaßnahme ist unspektakulär und genau deshalb erwähnenswert: Unicode-Normalisierung vor jeder Prüfung. Wer eingehenden Text — E-Mails, Formularinhalte, abgerufene Webseiten, Dokumente aus einer Wissensdatenbank — erst von unsichtbaren Zeichen befreit und dann klassifiziert, ist gegen diese ganze Angriffsklasse immun. Zusätzlich empfiehlt Microsoft, das Auftreten von Tag-Block-Zeichen selbst als Warnsignal zu behandeln: In legitimer Kommunikation kommen sie außerhalb einiger zusammengesetzter Flaggen-Emojis praktisch nicht vor. Ein einzelnes Vorkommen ist damit ein deutlich schärferes Merkmal als die meisten heuristischen Regeln.

Für alle, die selbst Modelle in Produkte einbauen, ist die Verallgemeinerung wichtiger als der Einzelfall. Jede Stelle, an der Text aus der Außenwelt in ein Sprachmodell fließt — die Wissensdatenbank hinter einer Suche, die Ticketbeschreibung im Support-Assistenten, die Website, die ein Agent abruft —, ist eine Stelle, an der jemand Zeichen unterbringen kann, die Ihr Auge nicht sieht. Dass dieselbe Technik jetzt in Massenkampagnen auftaucht, heißt vor allem: Sie ist billig geworden. Und was für Spam billig genug ist, ist für gezielte Angriffe längst bezahlbar.

Meta hat per Software-Update die Kamerafunktion bei allen Nutzern seiner Ray-Ban-Brillen deaktiviert, die die eingebaute Aufnahme-Leuchtdiode physisch manipuliert haben. Bekannt wurde das durch ein Interview, das Alex Himel, Metas Vizepräsident für Wearables, dem Nachrichtenportal Semafor gegeben hat; die deutsche Berichterstattung folgte am Freitag. Es gibt keinen Blogbeitrag und keinen Transparenzbericht dazu — die Primärquelle ist dieses Interview.

Die Größenordnung nennt Meta selbst nur relativ: weniger als ein Zehntelprozent aller verkauften Geräte. Da allein 2025 rund sieben Millionen Brillen verkauft wurden, ergibt das eine Zahl im niedrigen vierstelligen bis unteren fünfstelligen Bereich — „Tausende“, wie es in den Berichten heißt. Wichtig ist die Unterscheidung, die Meta dabei macht: Wer die Leuchte nur abgeklebt hat, bekommt die Kamera zurück, sobald die Abdeckung entfernt ist. Wer sie zerstört oder herausgebohrt hat, verliert die Kamerafunktion dauerhaft. Übrig bleiben, wie es mehrere Berichte formulieren, sehr teure Bluetooth-Kopfhörer.

Die Lücke, die Meta damit schließt, war bemerkenswert simpel. Die Kamera startete bisher nicht, wenn die Leuchte verdeckt war — sie prüfte das aber nur beim Start. Wer zuerst die Aufnahme startete und dann die Leuchte abdeckte, filmte unbemerkt weiter. „The camera won't start recording if the LED is blocked, but some people try to bypass this by starting a recording and then covering it up“, beschreibt Himel das Problem; künftig stoppe die Kamera auch dann, wenn das Licht während einer laufenden Aufnahme verdeckt werde. Über die Gesamtlage sagt er: „It's been a little bit of a cat-and-mouse game … I don't think we'll ever be done. There's always new ways to get around the safeguards that are in place.“

Ausgelöst hat den Schritt eine Marktentwicklung, die man kaum anders als eine Dienstleistungsbranche für heimliches Filmen beschreiben kann: Online-Angebote, die gegen Bezahlung die Kontrollleuchte deaktivieren. Meta entfernt solche Angebote inzwischen aus den eigenen Marktplätzen und prüft nach eigener Aussage rechtliche Schritte gegen die Anbieter. Der Hintergrund ist eine Serie von Fällen heimlicher Aufnahmen fremder Personen im öffentlichen Raum, gegen die Instagram-Chef Adam Mosseri bereits im Juli vorging.

Parallel dazu distanziert sich Meta von der Gesichtserkennung — und diese Distanzierung hat eine Vorgeschichte, die man kennen sollte, um sie einzuordnen. Im Juni berichtete WIRED über ein internes, inaktives System namens „NameTag“ in Metas KI-App, das Gesichter aus Brillenaufnahmen in biometrische Signaturen umwandeln und lokal gegen eine Datenbank abgleichen sollte. Einen Tag nach dem Bericht entfernte Meta die meisten Bestandteile und bezeichnete das Ganze als rein explorativ. Zugleich berichtet die Financial Times über zwei Prototypen unter den Arbeitsnamen „Aperol“ und „Bellini“, die Ende 2026 oder Anfang 2027 eine dauerhaft mitlaufende Umgebungswahrnehmung erhalten sollen — Gesichtserkennung dort wird als erkundet, nicht als angekündigt beschrieben.

Der regulatorische Druck kommt aus mehreren Richtungen zugleich. Am Freitag wurde vor dem Bundesbezirksgericht für den Nördlichen Bezirk von Illinois eine neue Sammelklage eingereicht, die Meta vorwirft, Fotos von Facebook- und Instagram-Nutzern ohne Einwilligung zum Training der Gesichtserkennungs- und KI-Funktionen der Ray-Ban- und Oakley-Brillen verwendet zu haben — ein Verstoß gegen den Illinois Biometric Information Privacy Act. Dieses Gesetz hat für Meta Geschichte: 2021 endete ein BIPA-Verfahren mit 650 Millionen Dollar Vergleich, 2024 ein texanisches mit 1,4 Milliarden. In Norwegen kündigte Digitalisierungsministerin Karianne Tung Ende August strengere Regeln an, bis hin zu einem möglichen Verbot der Gesichtserkennung fremder Personen im öffentlichen Raum; ein Zeitplan steht nicht.

In Deutschland ist die Lage widersprüchlicher. Die Organisation HateAid hat am 12. August Strafanzeige bei der Generalstaatsanwaltschaft Frankfurt gestellt — gegen Meta, gegen EssilorLuxottica und gegen mehrere Optikketten, gestützt auf die Vorschriften des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes zu getarnten Aufnahmegeräten. Geschäftsführerin Josephine Ballon: „Durch den Verkauf der Ray-Ban-Meta-Brillen wird erneut Profit über Sicherheit gestellt.“ Die Bundesnetzagentur dagegen hält den Leuchthinweis für ausreichend und verfolgt kein Verbot.

Was dieser Vorgang zeigt, geht über Brillen hinaus. Metas Kontrollmechanismus ist eine Leuchtdiode — eine Hardware-Anzeige, deren Wirksamkeit vollständig davon abhängt, dass Umstehende sie sehen und richtig deuten. Sobald ein Gerät das nicht mehr garantiert, bleibt dem Hersteller nur die Ferndeaktivierung: Er muss selbst zur Aufsicht über seine Kundschaft werden. Bei einem Absatz, der laut Bloomberg bis Ende 2026 auf zehn bis zwanzig Millionen Stück im Jahr wachsen soll, wird aus dem Katz-und-Maus-Spiel eine Aufgabe im Industriemaßstab.