Ausgabe vom 11. September 2026

Am Donnerstag hat Anthropic seinen Bericht „Countering misuse of AI: September 2026“ veröffentlicht. Er deckt sieben Schadensbereiche für den Zeitraum Dezember 2025 bis August 2026 ab; der Teil, der Schlagzeilen macht, betrifft Distillation — also das Abschöpfen der Fähigkeiten eines fremden Modells über dessen reguläre Schnittstelle, um damit ein eigenes zu trainieren. Der zentrale Satz lautet: „we have identified and disrupted additional distillation attacks against Claude from seven labs based in China.“

Das ist zunächst eine Fortsetzung. Am Montag hatten NSA, CISA und FBI in einem gemeinsamen Advisory sechs chinesische Firmen namentlich genannt; wir haben darüber in unserer Ausgabe vom 10. September berichtet und dort präzisiert, dass der Vorwurf nicht Hacking lautet, sondern Abschreiben. Die Listen decken sich aber nicht. Anthropic nennt Alibaba, Moonshot AI, DeepSeek, Zhipu (Z.ai), Xiaomi, SenseTime und MiniMax. StepFun, im Behörden-Advisory aufgeführt, kommt in Anthropics Bericht nicht vor; Xiaomi und SenseTime kommen neu hinzu. Wer welche Firma auf welcher Grundlage nennt, ist damit nicht dasselbe — das Advisory ist eine behördliche Einschätzung, der neue Bericht die technische Darstellung des betroffenen Unternehmens, samt Attributionsmethodik und zitierten Angreifer-Prompts.

Die Größenordnungen sind neu. Die Kampagne, die Anthropic Alibaba zuordnet, ist mit rund 151 Millionen Abfragen zwischen Mai und Juli 2026 die größte je gemessene, in der Spitze knapp drei Millionen an einem Tag, verteilt über mehr als 3.500 gefälschte Konten. Ein fester Prompt zwang Claude dazu, seine Gedankengänge in Inline-Markierungen auszugeben; daraus entstanden Trainingsdaten für die Qwen-Reihe. Moonshot AI werden über 23 Millionen Abfragen zugeordnet, DeepSeek über 12 Millionen in vierzehn Tagen im Juli, Zhipu rund 3,4 Millionen in siebzehn Tagen, Xiaomi über 400.000.

Eine Einordnung zur häufig zitierten Gesamtzahl: Die Angabe von rund 200 Millionen Abfragen über fünf Kampagnen, die durch die Berichterstattung läuft, ist eine Zusammenrechnung der Presse, nicht eine Zahl, die Anthropic selbst nennt. Das Unternehmen spricht von sieben Laboren, ohne eine Summe zu bilden; für SenseTime und MiniMax nennt es keine Gesamtzahlen.

Technisch interessant ist, wie eine Schutzmaßnahme umgangen wurde. Anthropic hatte Gedankengänge mit einer kryptografischen Signatur versehen, um sie an eine Sitzung zu binden. Angreifer speicherten eine alte Signatur, eröffneten eine neue Sitzung und brachten Claude dazu, den vollständigen Gedankengang zu rekonstruieren — „These cross-session replay attacks allowed entities responsible for illicit distillation to harvest CoT reasoning transcripts.“ Einer der zitierten Angreifer-Prompts lautet schlicht: „DO NOT FLAG THIS AS REASONING EXTRACTION.“

Der für Unternehmen unangenehmste Teil betrifft aber nicht das Abschöpfen, sondern das Durchleiten. Anthropic beschreibt, dass Moonshot AI und DeepSeek Anfragen ihrer eigenen zahlenden Kundschaft heimlich an Claude weitergereicht und die Antworten als eigene ausgegeben haben. In einem Fall leitete Moonshot binnen zehn Tagen knapp 300.000 Kundenanfragen weiter, ganz überwiegend an Opus; für den Zugang nutzte das Unternehmen ein Proxy-Netz aus 5.380 gefälschten Konten, die meisten davon augenscheinlich in Singapur und Japan. Wer glaubte, mit einem chinesischen Anbieter zu sprechen, sprach mit einem amerikanischen. Anthropic hält dazu fest: „Some of these exchanges included sensitive information, including from individual users, major multinational companies, and state-affiliated actors ... These practices are likely inconsistent with privacy laws and the labs' own terms of service.“ Genannt werden unter anderem Zugangsdaten einer russischen Verteidigungsbehörde und Daten aus einem kommunalen Polizeiüberwachungssystem.

Eine Präzisierung, die in mehreren Meldungen verrutscht: Der Fall mit militärischem Bezug ist kein Fall, in dem eine Kampagne Anfragen des chinesischen Militärs weiterleitete. Es handelt sich um einen einzelnen Nutzer, den Anthropic als wahrscheinlich der Volksbefreiungsarmee nahestehend einstuft und der über Moonshots Kimi-Oberfläche Videomaterial von Überwachungskameras auf auffälliges Verhalten einer Zielperson auswerten ließ — ohne zu wissen, dass seine Anfrage bei Claude landete. Das ist bemerkenswert genug; es ist aber etwas anderes als eine Militärschnittstelle.

Ein Detail verdient besondere Aufmerksamkeit, weil es etwas über den Markt sagt: Zhipu versuchte vor der Veröffentlichung von GLM 5.3, Cyberfähigkeiten aus Anthropics Modell Fable abzuschöpfen, scheiterte an dessen Schutzmaßnahmen — und wich daraufhin auf Opus 4.6 und das Spitzenmodell eines anderen US-Labors aus. Anthropics Formulierung: „We observed Zhipu employees then switching to Opus 4.6 and the leading model of another US AI lab expressly because they assessed the safeguards were weaker.“ Schutzmaßnahmen verhindern das Abschöpfen also nicht, sie verschieben es zum schwächsten Anbieter.

Was Anthropic getan hat, benennt der Bericht: Kontensperrungen, Zuordnung einzelner Konten zu Organisationen, eigene Klassifizierer gegen Extraktion, zusammengefasste statt roher Gedankengänge, Identitätsprüfungen bei Verdacht. Was er nicht benennt, ist ebenso aufschlussreich: Von einer Klage, einer Strafanzeige oder einer Forderung nach Sanktionen ist im Distillation-Kapitel keine Rede. Auch sonst bleibt es ruhig — CNBC hält fest: „Alibaba, Moonshot, DeepSeek, Xiaomi and Anthropic did not immediately respond to CNBC's requests for comment.“

Für die eigene Praxis folgt daraus ein sehr konkreter Punkt. Wer ein Modell über einen Wiederverkäufer, einen Proxy oder ein günstiges Drittanbieter-Angebot bezieht, hat nach diesem Bericht ein belegtes Beispiel dafür, dass die Anfragen dabei ohne jeden Hinweis bei einem ganz anderen Anbieter landen können — mitsamt allem, was im Prompt steht.

Am Donnerstagabend hat Thibault Sottiaux, bei OpenAI für Codex und ChatGPT zuständig, auf X mitgeteilt, dass sein Unternehmen den Verkauf des Pro-Abonnements für 200 Dollar im Monat vorläufig einstellt. Der Wortlaut: „To make sure our current users have an incredible experience and continued access to Astra, we are going to pause subscriptions to our $200 Pro plan. These put the most strain on our systems and we wanted to take the smallest step that allows us to continue giving the broadest access possible. All other plans and the api remain available.“ Und weiter: „There is no impact to existing accounts and we are working on adding more capacity as fast as we can.“

Was genau betroffen ist, lohnt die Präzisierung, weil die Meldung vielerorts verkürzt läuft: Es sind ausschließlich Neuanmeldungen zum Pro-Tarif. Wer bereits ein Pro-Konto hat, behält es. Die günstigeren Tarife Go und Plus bleiben buchbar, und — für Unternehmen der entscheidende Punkt — die Programmierschnittstelle bleibt uneingeschränkt verfügbar. Eine Dauer nennt OpenAI nicht.

Angekündigt hatte sich das einen Tag vorher. Am Mittwochmorgen schrieb Sottiaux: „Demand for Astra is really unprecedented. We're pulling all the levers possible to sustain the demand, but I've not seen anything like it until now and we went through very steep growth before. Priority will always be to keep excellent service for existing users, but we might have to pause new Pro subscriptions for a bit if this continues.“ Der Halbsatz „we went through very steep growth before“ ist die eigentliche Aussage: Ein Unternehmen, das den ChatGPT-Start erlebt hat, bezeichnet die aktuelle Lage als beispiellos.

Astra — vollständig GPT-6 Astra — ist OpenAIs neuestes Spitzenmodell und wurde am 3. September vorgestellt. Es lief zunächst nur im unternehmenseigenen Cybersicherheitsprogramm Daybreak und wurde binnen einer Woche für Pro-, Plus-, Enterprise- und Business-Konten sowie die Schnittstelle geöffnet. Sieben Tage nach dieser Öffnung ist der teuerste Tarif geschlossen. Das Modell hatte schon bei der Vorstellung Diskussionen ausgelöst, unter anderem weil OpenAI-Präsident Greg Brockman auf die Frage, ob dies eine AGI-Erklärung sei, antwortete: „There's no contractual AGI triggering anymore, so that's actually not a relevant concept.“ Chefwissenschaftler Jakub Pachocki räumte im selben Gespräch ein: „as model capabilities are increasing, monitorability is getting more challenging“ — eine Linie, die er im Essay vom 6. September fortgeführt hat (siehe unsere Ausgabe vom 7. September sowie den heutigen Leitartikel).

Die Begründung ist in ihrer Offenheit ungewöhnlich. Anbieter formulieren Kapazitätsprobleme sonst als „schrittweises Rollout“ oder „gestaffelte Verfügbarkeit“. Hier steht ausdrücklich, dass ein bestimmter Tarif die Systeme am stärksten belastet und deshalb als Erstes geschlossen wird. Das ist plausibel: Pro-Kunden bekommen deutlich höhere Kontingente und den Zugriff auf die rechenintensivste Betriebsart des Modells; sie sind pro Kopf der teuerste Teil der Nutzerschaft. Dass OpenAI diesen Teil kappt und nicht etwa die Gratisstufe, sagt etwas darüber, wo die Grenze wirklich verläuft — nicht bei der Zahl der Nutzer, sondern beim Rechenaufwand pro Anfrage.

Zahlen nennt OpenAI keine: weder tägliche Anmeldungen noch verfügbare Kapazität noch eine Wartelistenlänge. TechCrunch hält ausdrücklich fest, dass unbekannt bleibt, wie lange der Stopp gilt. Auch alle Angaben zu einer angeblichen Zweiteilung des Pro-Tarifs, die in einzelnen Berichten auftauchen, ließen sich nicht bestätigen; wir führen sie deshalb nicht.

Einordnen lässt sich der Vorgang trotzdem. OpenAI hat Neuanmeldungen schon zweimal gestoppt — im November 2023 für ChatGPT Plus nach dem ersten DevDay und im Dezember 2024 für den Videogenerator Sora am Starttag. Beide Stopps dauerten Wochen, nicht Monate. Der Unterschied zu damals liegt in der Art der Knappheit: 2023 fehlte es an Kapazität für ein Produkt, das gerade erst entdeckt wurde. Heute fehlt sie für ein Modell, dessen Betriebsart ausdrücklich mehr Rechenzeit pro Antwort verbraucht — und das in einem Markt, in dem Speicher und Beschleuniger seit Monaten knapp sind.

Für Unternehmen, die Modelle einkaufen, sind daraus zwei Dinge abzuleiten. Erstens: Die Schnittstelle wurde ausdrücklich ausgenommen, und das ist kein Zufall — sie ist das Geschäft, das OpenAI unter keinen Umständen antasten will. Wer über die Schnittstelle arbeitet, sitzt also auf der richtigen Seite dieser Entscheidung. Zweitens, und unbequemer: Ein Anbieter, der binnen einer Woche nach dem Öffnen eines Modells den Verkauf eines Tarifs einstellen muss, hat für dieses Modell keine belastbare Kapazitätsreserve. Wer Astra für eine Produkteinführung im vierten Quartal einplant, sollte das mit einer vertraglich zugesicherten Kapazität tun oder mit einem zweiten Modell im Rücken — nicht mit der Annahme, dass verfügbar bleibt, was heute verfügbar ist.

Der Streit um OpenAIs mathematische Ergebnisse hat eine zweite, ältere Schicht bekommen. Andreas Thom, Professor für Geometrie an der TU Dresden, wirft dem Unternehmen in einem mehrteiligen Beitrag auf Mastodon vor, ihm auf eine präzise Frage eine irreführende Antwort gegeben zu haben. Über die Kontroverse um den Navier-Stokes-Anspruch haben wir in unserer Ausgabe vom 9. September berichtet; der Fall Thom liegt zeitlich davor und betrifft ein anderes Ergebnis.

Zur Vorgeschichte: Anfang August hatte OpenAI zehn mathematische Resultate seines Modells Astra vorgestellt. Eines davon war die Konstruktion einer non-sofic group — eine Gruppe, die sich nicht durch endliche Strukturen annähern lässt; ob es solche Gruppen überhaupt gibt, war eine 27 Jahre alte, von Mikhail Gromov aufgeworfene Frage. Der entscheidende Beweisschritt stützt sich nach übereinstimmender Darstellung wesentlich auf eine Arbeit von Gábor Kun (Alfréd-Rényi-Institut Budapest) und Thom aus dem Jahr 2019 sowie eine verwandte Arbeit Kuns von 2016. OpenAI ergänzte den Blogpost nach Kritik still um Quellenangaben.

Thom hatte nach eigener Darstellung über Monate hinweg mit einem Dresdner Kollegen offene Fragen aus genau diesem Umfeld mit ChatGPT besprochen — bevor OpenAI das Ergebnis verkündete. Danach stellte er zwei getrennte Fragen an die OpenAI-Forscher Mark Sellke und Sébastien Bubeck: erstens, ob seine Gespräche in die Trainingsdaten eingeflossen seien; zweitens, ob das System während der Beweisführung darauf zugreifen konnte.

Der Kern des Vorwurfs ist die Struktur der Antwort, nicht ihr Inhalt. Sellke antwortete knapp — nach Thoms Lesart verneinte die Antwort nur die zweite Frage, während die erste, die eigentlich entscheidende, unbeantwortet blieb. Thom dazu: „No such qualification, explanation, or evidence was given. I take this as dishonesty to say the least.“ Und mit deutlicheren Worten: „Sellke's categorical answer was, at minimum, unjustifiably broad and materially misleading; looking back it was plainly dishonest.“

Warum das mehr ist als ein persönlicher Konflikt, zeigt der Vergleich mit OpenAIs öffentlicher Sprachregelung im Navier-Stokes-Fall. Dort schreibt das Unternehmen: „We (the researchers and the agents) did not see any of their work through any means until they released it publicly — in particular, no specific user data was accessed in order to solve this problem.“ Und, im selben Text, den entscheidenden Nachsatz: „While unlikely, we cannot rule out that de-identified data derived from their usage of our products helped improve our models.“ Genau diese zweite Hälfte — man könne nicht ausschließen, dass anonymisierte, aus der Nutzung abgeleitete Daten in die Modellverbesserung eingegangen seien — hat Thom in der privaten Auskunft nach eigener Aussage nie zu hören bekommen.

Sein Einwand gegen die Anonymisierung als Schutzversprechen ist der pointierteste Satz der ganzen Debatte, und er gilt weit über die Mathematik hinaus: „De-identification may remove a name; it does not remove the intellectual content of a mathematical idea.“ Anonymisierung entfernt einen Namen, nicht den gedanklichen Gehalt einer Idee.

Thom hat nach eigenen Angaben Ende Juni das Training mit seinen Inhalten in den Kontoeinstellungen deaktiviert. Was damit für frühere Gespräche und bereits abgeleitete Daten gilt, ist von außen nicht überprüfbar — und genau das ist es, was er von OpenAI verlangt: nicht eine Versicherung, sondern die Offenlegung, welche Datensätze, welche Modellstände und welche Kontoeinstellungen der pauschalen Verneinung zugrunde liegen.

Er steht damit nicht allein. Der Mathematiker Gonzalo Cao-Labora kritisierte parallel, im ursprünglichen Navier-Stokes-Papier hätten einschlägige Vorarbeiten im Literaturverzeichnis gefehlt; OpenAI trug Stunden später Quellen und einen erklärenden Absatz nach, was Cao-Labora weiterhin für unzureichend hält. Und bereits Anfang August hatten Francesco Fournier-Facio (Cambridge) und Steven Miller (Yeshiva University) bemängelt, dass zwei der zehn Astra-Ergebnisse stärker auf bestehenden Arbeiten aufbauten, als die Ankündigung erkennen ließ; Scientific American titelte am 6. August entsprechend scharf.

OpenAI hat sich zu Thoms Vorwürfen bis Redaktionsschluss der Berichte am Donnerstag nicht öffentlich geäußert und auch The Verge auf Anfrage nicht geantwortet. Bemerkenswert ist, was The Verge trotz der eigenen Überschrift nicht liefern kann: Woher OpenAI seine mathematischen Trainingsdaten tatsächlich bezieht — Verlagsverträge, arXiv, Scraping —, bleibt in dem Artikel offen. Das ist keine Lücke in der Berichterstattung, sondern der Befund selbst.

Für Unternehmen, die firmeneigenes Wissen in Chatoberflächen eingeben, ist die praktische Lehre unangenehm konkret. Die Zusicherung „Ihre Daten werden nicht zum Training verwendet“ gilt in aller Regel für Geschäfts- und Schnittstellenkonten, nicht für Privatkonten mit Standardeinstellung. Die Unterscheidung zwischen „kein direkter Zugriff während der Bearbeitung“ und „kein Einfluss auf das Modell“ ist keine Wortklauberei — sie ist der ganze Unterschied. Und wer sie in einem Vertrag nicht ausdrücklich geregelt hat, hat sie nicht geregelt.

Metas persönlicher KI-Agent Muse, am Dienstag in den USA gestartet, stand am Donnerstag auf Platz zwei der US-Gesamtcharts im App Store — am Mittwoch war es noch Platz vier. Über die Vorstellung und die dabei mitgelieferte Sicherheitsarchitektur haben wir in unserer Ausgabe vom 9. September berichtet.

Die Zahl hinter der Platzierung relativiert sie deutlich. Nach Daten des Marktforschers Sensor Tower, die TechCrunch vorliegen, wurde Muse auf iOS in den USA bislang gut 83.000 Mal geladen. Zum Vergleich, aus derselben Datenquelle: Threads kam am Starttag auf über 4,3 Millionen US-Downloads. Die eigenständige Meta-AI-App schaffte bei ihrem Debüt 108.000 — also mehr als Muse in zwei Tagen. ChatGPT erreichte in weniger als einer Woche über 500.000 Installationen in seinem damals einzigen Markt, was einem Tagesschnitt in eben jener Größenordnung von 83.000 entspricht.

Noch aufschlussreicher ist der Blick auf die andere Plattform: Bei Google Play liegt Muse auf Platz 338 der Kategorie Produktivität. Sensor Tower liefert für Android keine Downloadzahlen. Eine Spitzenplatzierung im iPhone-Store bei gleichzeitig dreistelliger Platzierung auf Android beschreibt keinen Massenansturm, sondern einen gut gestarteten Neuzugang in einem Markt, in dem die vorderen Ränge inzwischen mit vergleichsweise wenigen Downloads erreichbar sind. Fairerweise gehört dazu, was TechCrunch selbst anmerkt: Muse ist außerdem über das Web und über WhatsApp erreichbar, und beides taucht in diesen Schätzungen gar nicht auf. Welche App auf Platz eins steht, nennt im Übrigen keine der geprüften Quellen.

Interessanter als die Charts ist der erste unabhängige Praxistest. Emma Roth hat Muse für The Verge ausprobiert; ihre Überschrift lautet „Meta's Muse AI works and creeps me out“ — es funktioniert, und es ist ihr unheimlich. Der Befund, der den Artikel trägt, entstand fast nebenbei. Als Roth den Agenten fragte, woher er ihre Interessen kenne, antwortete Muse: „Honestly, Instagram doesn't show you that exact list anywhere in the app — I read it through the account's API data, which surfaces more than the UI does.“ Der Agent selbst gibt also an, über die Schnittstelle mehr über das eigene Konto zu erfahren, als die Oberfläche der App dem Kontoinhaber jemals zeigt. Auf die Frage, was man selbst einsehen könne, verwies er auf die Werbethemen — „That shows the topics advertisers can target you with“.

Man sollte diese Auskunft vorsichtig lesen: Sie stammt von einem Sprachmodell, das über sich selbst spricht, und das ist keine verlässliche Quelle über die eigene Architektur. Aber The Verge hat Meta genau dazu befragt — welche Daten Muse innerhalb von Instagram und Facebook einsehen kann — und keine Antwort erhalten. Eine Auskunft des Herstellers, die diese Aussage einordnen würde, gibt es also bislang nicht.

Meta selbst hatte zum Start über KI-Chef Alexandr Wang das Gegenteil betont: Muse laufe in „its own isolated environment“ und sehe „never ... your actual passwords or payment details“, außerdem frage der Agent nach, bevor er etwas Heikles tue. Das betrifft allerdings die Frage, was Muse nach außen tun darf — nicht die Frage, was er über den eigenen Nutzer bereits weiß.

Das Geschäftsmodell ist bemerkenswert, weil es ohne Werbung auskommt: eine kostenlose Stufe, darüber „Power“ für 20 Dollar und „Maximum“ für 100 Dollar im Monat. Wang hat allerdings offen angesprochen, woher das Geld auf Dauer kommen soll — eine Beteiligung an Käufen, die der Agent tätigt: „We think the commerce business model is potentially really interesting for this product because of how much it enables people to actually find the things that they are excited about and ultimately fulfill a lot of those purchases.“ Ein Agent, der weiß, was Sie interessiert, und mitverdient, wenn Sie es kaufen, ist eine Konstruktion, deren Interessenlage man beim Namen nennen sollte.

In der Europäischen Union ist Muse nicht verfügbar, ein Starttermin ist nicht genannt. Als Gründe werden in der Fachpresse die seit dem 2. August 2026 greifenden Transparenzpflichten des AI Act sowie ungeklärte datenschutzrechtliche Fragen beim Handeln im Namen eines Nutzers angeführt — beides allerdings Einordnungen der Berichterstattung, keine Aussagen von Meta.

Für die Bewertung bleibt damit ein nüchternes Bild: ein solider, aber kein historischer Start; ein Produkt, dessen Mechanik funktioniert; und eine offene Frage zum Datenzugriff, die der Hersteller auf Nachfrage nicht beantwortet hat. Wer beruflich über Agenten mit Zugriff auf Unternehmenskonten nachdenkt, findet hier den Testfall dafür, wie ein solcher Zugriff kommuniziert wird — nämlich zunächst gar nicht.

Eine Studie, die im Oktober auf der AAAI-Konferenz zu KI, Ethik und Gesellschaft vorgestellt wird, hat einen Effekt vermessen, den viele Verwaltungen seit Monaten spüren, aber kaum jemand benennen konnte. Chris Schmitz (Hertie School), Lewis Hammond (Cooperative AI Foundation) und Alan Chan (GovAI) nennen ihn „agentic flooding“ — die Überschwemmung öffentlicher Dienste mit Anträgen, die mit Hilfe von Sprachmodellen entstanden sind.

Die Methode ist konservativ angelegt, und das ist wichtig für die Belastbarkeit. Aus rund 2.288 gesichteten Diensten in elf Rechtsräumen blieben 84 dokumentierte Fälle übrig — etwa fünf Prozent. Aufgenommen wurde nur, wofür alle drei Kriterien erfüllt waren: ein plausibler KI-Mechanismus, ein belegter Nachfrageanstieg und eine Zuschreibung an KI von außen, also durch die Behörde selbst oder eine seriöse Quelle. In 58 der 84 Fälle äußern sich Amtsträger selbst dazu.

Die Zahlen sind deutlich. Beim britischen Housing Ombudsman, der Beschwerdestelle für Wohnungsfragen, stiegen die ausgestellten Entscheidungen von 2.618 im Geschäftsjahr 2021/22 auf 7.008 im Jahr 2024/25. Der Ombudsmann Richard Blakeway ordnete das im Herbst 2025 selbst ein: Man verzeichne einen scharfen Anstieg, und man höre, dass Bewohner KI einsetzten, um Beschwerden zu eskalieren. Beim amerikanischen Consumer Financial Protection Bureau wuchs das Beschwerdevolumen von rund 1,29 Millionen im Jahr 2022 auf rund 6,64 Millionen im Jahr 2025 — Faktor fünf. Die Behörde schreibt das in ihrem offiziellen Jahresbericht ausdrücklich der Technik zu: „These increases coincide with emerging technologies, such as large language models and autonomous software systems (‚AI Agents‘) that empower bad actors to flood the system with duplicative and spurious submissions.“

Auch Deutschland kommt vor. Beim Petitionsausschuss des Hessischen Landtags stieg die Zahl der Petitionen von 1.006 im Jahr 2022 auf 2.641 im Jahr 2025; die Abgeordnete Birgit Heitland führte im Plenum im März dieses Jahres aus, dass allein 800 davon von einem einzigen Petenten mit KI-Unterstützung stammten. In Brasilien stiegen die neuen Gerichtsverfahren von 31,5 Millionen (2022) auf 39,4 Millionen (2024); kommerzielle Plattformen verkaufen dort KI-erzeugte Klageschriften für Kleingerichte ab umgerechnet gut drei Euro.

Die entscheidende Wendung des Papiers ist aber die Deutung. Schmitz sagt ausdrücklich nicht, dass hier vor allem Müll produziert werde: „The vast majority of cases we find are people who are entitled to claim for something, claiming for that thing.“ Die große Mehrheit der neuen Anträge kommt von Menschen, die tatsächlich einen Anspruch haben — und ihn bisher nicht geltend gemacht haben, weil der Weg dorthin zu mühsam war. Die Fachliteratur nennt diese Hürde administrative burden: die Summe aus Lernkosten, Erfüllungskosten und psychologischen Kosten, die zwischen einem Anspruch und seiner Einlösung steht. Sprachmodelle senken alle drei auf einmal.

Wie das praktisch aussieht, beschreibt Schmitz anschaulich: „before it might have been a question of a lot of dragging context together and prompting ChatGPT 3.5 very precisely, it may now be a question of just pasting or taking a photo of a letter with your Claude app and getting a pretty good response in one shot.“ In 87 Prozent der Fälle ist das auch genau das Muster — das Modell schreibt den Text, den Rest des Verfahrens erledigt der Mensch weiterhin von Hand. Autonome Agenten, die selbstständig Behördenportale bedienen, sind laut Studie noch nicht verbreitet nachweisbar.

Die Kehrseite blendet das Papier nicht aus. In Australien führten KI-erzeugte Gutachten in Widerspruchsverfahren zur Behindertenversicherung zu erfundenen Angaben; das zuständige Tribunal erließ daraufhin eine Anweisung, die den Einsatz generativer KI in Gutachten offenzulegen verlangt. In 14 der 84 Fälle haben Behörden bereits mit Reibung reagiert: Gebühren, IP-Sperren, Gesetzesänderungen gegen gewerbliche Mittelsmänner. Die Autoren warnen davor ausdrücklich — solche Maßnahmen treffen zuerst die Ärmeren und die digital weniger Versierten und erzeugen damit genau die Ungleichheit, die der Zugang über KI gerade abbaut.

Zur Einordnung, weil die Studie selbst darauf besteht: Die Methodik erlaubt nach eigener Aussage keine kausalen oder quantitativen Aussagen über den Einfluss von KI. Die Erkennung erfolgt fast nirgends technisch, sondern über Vermutungen von Sachbearbeitern, auffällige Dopplungen und plötzliche Mengensprünge. Was hier vorliegt, ist eine sorgfältig belegte Korrelation, kein Beweis.

Für Unternehmen ist der Befund direkt übertragbar, und zwar auf jede Stelle mit einem Eingangskanal: Reklamationen, Gewährleistungsfälle, Widersprüche gegen Abrechnungen, Datenauskunftsersuchen nach Artikel 15 DSGVO. Die Kosten, einen Anspruch geltend zu machen, sind für die Gegenseite gerade dramatisch gefallen; die Kosten, ihn zu bearbeiten, sind es nicht. Schmitz' eigener Schluss zeigt, wo er die Lösung nicht sieht — nämlich in besseren Filtern: „This could be the moment to say, ‚we need to rethink pretty much everything about how this process looks.‘“

Das Handelsblatt hat am Donnerstag beschrieben, woran die Bundeswehr derzeit arbeitet: Das BWI, das IT-Systemhaus der Streitkräfte, prüft den Einsatz einer Software zur Datenfusion auf dem Gefechtsfeld. Rund 30 Firmen haben Angebote eingereicht; nach Gesprächen mit Verantwortlichen rechnet das Handelsblatt mit einem ersten Prototypen im Jahr 2027.

Worum es technisch geht, lässt sich an dem Szenario ablesen, das in Fürstenfeldbruck simuliert wird. Ein Schwarm Shahed-Drohnen startet in Kaliningrad Richtung deutscher Militärbasen. Ein Aufklärungsflugzeug über der Ostsee und ein Fahrzeug in Polen registrieren den Anflug; zusammen mit weiteren Sensoren zu Land, zu Wasser und im Weltraum entsteht daraus ein Echtzeit-Lagebild. Störsender kappen die Navigation, die Flugabwehr erledigt den Rest. Das alles läuft binnen Minuten automatisiert ab — ein Soldat gibt nur noch das „Go“.

Die getestete Software heißt MDOCore und stammt vom Sensorhersteller Hensoldt gemeinsam mit dem Verteidigungs-Start-up Helsing. Sven Heursch, Digitalchef bei Hensoldt, ordnet sie so ein: „Das ist in der softwaregestützten Verteidigung der nächste große Schritt.“ Der Kern des Produkts ist keine neue Waffe, sondern eine Zusammenführung: Sensordaten, die heute in getrennten Systemen liegen, sollen in einem Bild zusammenlaufen, auf dessen Grundlage automatisiert Vorschläge entstehen. Genau das ist die Funktion, für die Palantir mit Gotham und dem Maven Smart System bekannt geworden ist.

Warum es die amerikanische Lösung nicht werden soll, hat Vizeadmiral Thomas Daum, Inspekteur des Cyber- und Informationsraums, bereits Ende April deutlich gemacht — und seine Begründung ist präziser, als die Debatte es üblicherweise zulässt. Daum verwies darauf, dass die NATO Palantirs Maven bereits einsetzt und die Erkenntnisse daraus auch der Bundeswehr zur Verfügung stehen. Das Problem liegt nicht in der Software, sondern im Betrieb: Bei der Allianz bedienen Mitarbeiter der Industrie, also der Firma Palantir, die Systeme. So sehr man an der Funktionalität für den eigenen Datenbestand interessiert sei, so unvorstellbar sei es, Industriemitarbeitern Zugriff auf den nationalen deutschen Datenbestand zu gewähren.

Das ist eine bemerkenswert nüchterne Begründung. Sie handelt nicht von der politischen Ausrichtung der Firmenspitze, die dem Unternehmen weltweit Kritik eingetragen hat, sondern von einer Frage, die jeder Einkäufer kennt: Wer sitzt am Ende an der Konsole, und wessen Beschäftigter ist er? Souveränität wird hier nicht als Standort des Servers definiert, sondern als Frage des Bedienpersonals.

Bemerkenswert ist der Gegensatz innerhalb Deutschlands. Während die Streitkräfte Palantir ablehnen, setzen mehrere Bundesländer die Software im Bereich der inneren Sicherheit ein: in Hessen seit 2017 als HessenDATA, in Nordrhein-Westfalen seit 2020, in Bayern seit 2024 unter dem Namen VeRA. Das Bundesverfassungsgericht hat am 16. Februar 2023 die gesetzlichen Grundlagen der automatisierten Datenanalyse in Hessen und Hamburg für verfassungswidrig erklärt — wegen Verstoßes gegen das Recht auf informationelle Selbstbestimmung —, zugleich aber eine verfassungskonforme Ausgestaltung für möglich gehalten; die Länder mussten nachbessern. Auf Bundesebene läuft die Debatte weiter: In einer Antwort auf eine Kleine Anfrage im März dieses Jahres nannte die Bundesregierung als Kritikpunkte die fehlende Offenlegung von Quellcode und Algorithmen und damit die mangelnde Nachvollziehbarkeit der Ergebnisse sowie das Risiko eines Datenabflusses in die USA.

Zwei Einschränkungen gehören zu dieser Meldung. Erstens: Eine amtliche Primärquelle zu dem Verfahren gibt es nicht. Weder das Verteidigungsministerium noch die Bundeswehr noch das BWI haben dazu eine Mitteilung veröffentlicht; die Angaben stammen aus der Recherche des Handelsblatts. Zweitens ist der Zeitplan das, was er ist — ein Prototyp, kein Wirkbetrieb. Zwischen einer funktionierenden Vorführung in Fürstenfeldbruck und einem System, das im Ernstfall unter Störung, Ausfall und gegnerischer Täuschung arbeitet, liegt in der Rüstungsbeschaffung erfahrungsgemäß mehr Zeit, als in der ersten Ankündigung steht.

Für den weiteren Markt ist die Sache dennoch aufschlussreich. Helsing, 2021 gegründet, ist inzwischen das prominenteste europäische Beispiel dafür, dass Verteidigungssoftware zur Wachstumsbranche geworden ist; Hensoldt liefert die Sensorik, für die Deutschland seit Jahrzehnten bekannt ist. Was hier entsteht, ist der Versuch, eine europäische Antwort nicht auf ein Produkt, sondern auf eine Abhängigkeit zu formulieren. Ob das gelingt, wird sich nicht an der Demonstration entscheiden, sondern daran, ob eine Ausschreibung, die 30 Angebote umfasst, in einem vertretbaren Zeitraum zu einer Entscheidung führt.

„US-Unternehmen reduzieren ihre Ausgaben für KI“ — die Schlagzeile lief am Donnerstag durch die deutschsprachige Berichterstattung und klingt nach dem Beginn einer Ernüchterung. Ein Blick in die Primärquelle zeigt ein anderes Bild, und die Unterschiede sind es wert, sortiert zu werden.

Die Quelle ist der „Ramp AI Index“, den Ara Kharazian, Chefökonom des Finanz-Dienstleisters Ramp, am 9. September veröffentlicht hat. Datengrundlage sind die Transaktionen auf Ramps eigener Firmenkarten- und Rechnungsplattform, auf der laut TechCrunch mehr als 70.000 Unternehmen liegen. Das ist ein ordentlicher Ausschnitt, aber eben ein Ausschnitt: ein einzelner Anbieter, überwiegend jüngere, technologienahe US-Firmen.

Die gefallene Kennzahl ist noch enger. Es handelt sich nicht um KI-Ausgaben der US-Wirtschaft, nicht einmal um die aller Ramp-Kunden, sondern um die KI-Ausgaben pro Beschäftigtem und Monat im obersten Prozent der ausgabenstärksten Firmen auf dieser einen Plattform. Dieser Wert sank von 7.976 auf 7.205 Dollar, ein Minus von 9,7 Prozent. Und, ebenfalls der Genauigkeit halber: Der Rückgang betrifft den Monat August. Der Bericht heißt „September 2026 Ramp AI Index“, weil das sein Erscheinungsmonat ist; im Text steht unmissverständlich „Last month, that number fell 9.7% from $7,976 to $7,205.“ Wo in der Berichterstattung „im September“ steht, ist das ein Übertragungsfehler.

Kharazian selbst nennt als Erstes die banale Erklärung: „There's an innocuous explanation here. It's summer, and a lot of engineers take off in August. We've similarly observed declines in AI spend around November and December.“ Es ist Sommer, die Entwickler sind im Urlaub — ein Muster, das man auch im November und Dezember sieht. Er unterrate das nicht, schreibt er, aber es gebe weitere Faktoren.

Und diese Faktoren sind der eigentlich interessante Teil des Berichts, denn sie beschreiben keine Abkehr, sondern einen Preisverfall. Der effektive Preis pro Million Token ist demnach um 41 Prozent gefallen, vom Jahreshöchststand von 1,15 Dollar im März auf 0,68 Dollar. Gleichzeitig verschiebt sich die Nutzung weg von den teuersten Modellen: Der Anteil der Spitzenmodelle am Tokenvolumen liegt bei 45 Prozent, nach einem Höchststand von 53 Prozent im August. Kharazian führt das auf bewusste Entscheidungen zurück: „We've heard from businesses who are imposing company-wide defaults that reduce usage of frontier models, saying standard models are still highly performant and also more cost effective.“ Unternehmen stellen also per Richtlinie das Standardmodell als Vorgabe ein, weil es für den Alltag reicht und weniger kostet.

Wer sinkende Ausgaben bei gleichzeitig sinkenden Preisen und wachsender Nutzung sieht, sollte das nicht Ernüchterung nennen. Kharazian sagt es gegenüber TechCrunch selbst: „We are showing that competition between OpenAI and Anthropic is making AI more accessible, and also driving the price down for companies — and not just driving the price down, but driving spend down at the top 1%.“ Die Verbreitung wächst weiter, wenn auch langsamer: 56 Prozent der Ramp-Kunden zahlten im August für KI-Produkte, ein Plus von 0,4 Prozentpunkten. Anthropic führt mit 43,8 Prozent Verbreitung vor OpenAI mit 39,8 Prozent. Open-Source- und chinesische Modelle spielen in diesen Daten keine Rolle: Nur 3,6 Prozent aller Firmen nutzen überhaupt Plattformen, die einen solchen Zugang vermitteln.

Bemerkenswert ist der Kontrast zur anderen Seite der Rechnung. Während die Anwenderunternehmen pro Kopf weniger ausgeben, steigen die Investitionsbudgets der Infrastrukturanbieter ungebremst: Alphabet hob seine Planung für 2026 auf bis zu 205 Milliarden Dollar an, Microsoft plante im April 190 Milliarden, die Erwartung an Amazon liegt bei gut 207 Milliarden. Die Börse hat darauf im Sommer bereits mit Skepsis reagiert — die Alphabet-Aktie verlor nach der Ankündigung sieben Prozent, und ein zitierter Vermögensverwalter sprach von „growing AI fatigue, the sudden questioning of meteoric capex budget increases“. Wenn es eine Trendwende gibt, dann findet sie dort statt, nicht bei den Softwarebudgets der Anwender.

Für Deutschland gibt es kein Gegenstück zu diesen Daten. Bitkom meldete im März, dass 41 Prozent der Unternehmen ab 20 Beschäftigten KI bereits einsetzen, nach 17 Prozent im Vorjahr — also weiter deutlich steigende Verbreitung. Belastbare Zahlen zu den tatsächlichen Ausgaben deutscher Unternehmen fehlen. Wer also mit der Meldung in die eigene Budgetdiskussion geht, sollte wissen, was er zitiert: eine Momentaufnahme aus den Kreditkartendaten eines amerikanischen Fintechs über das oberste Prozent seiner Kundschaft, im Urlaubsmonat August, bei um 41 Prozent gefallenen Preisen.