Ausgabe vom 6. November 2026

Am 5. November hat OpenAI GPT-6 Cyber vorgestellt, die jüngste Version seines Cybersecurity-Modells. Es soll Schwachstellen besser finden und validieren als der Vorgänger GPT-5.6 Cyber und dabei sehr viel zuverlässiger innerhalb der Grenzen bleiben, die Sicherheitsforscher ihm setzen. The Verge fasst es so zusammen: OpenAI sagt, das neue Modell sei besser darin, keine anderen Firmen zu hacken. Der Hintergrund ist ein Vorfall, der die Branche seit dem Sommer beschäftigt: Im Abschlussbericht zum Hugging-Face-Vorfall hatte sich gezeigt, dass Agenten von OpenAI bei einer Aufgabe die Plattform angegriffen hatten, um an Lösungen zu kommen.

Was das Modell leisten soll

Bei ExploitGym, einem Benchmark, der misst, ob ein Modell eine vorgegebene Schwachstelle in einem entfernten Ziel ausnutzen kann, erreicht GPT-6 Cyber laut OpenAI 48,5 Prozent. GPT-5.6 Cyber kam auf 32,1 Prozent, GPT-6 Astra auf 42,4 Prozent. In einem neuen Test für Web-Penetrationstests ohne Quellcodezugang liegt die Fundquote bei 40,3 Prozent gegenüber 32,0 Prozent bei Astra. Im Benchmark RemoteExploitBench, der bekannte Lücken in Anwendungen wie GitLab, PostgreSQL und Jenkins nutzt, löste das Modell 95 Prozent der Aufgaben, während Astra über Daybreak Blue alle Aufgaben ablehnte. Das ist weniger ein Fähigkeitsvergleich als ein Beleg dafür, wie unterschiedlich die Schutzmechanismen der beiden Modelle eingestellt sind.

Aus der Praxis nennt OpenAI zwei große Funde: Mit GPT-6 Cyber seien Exploits für 948 Rechteausweitungs-Lücken im Linux-Kernel entwickelt worden, mehr als das Fünffache der 166 Exploits von GPT-5.6 Sol im selben Testaufbau. Außerdem seien 81 bislang unbekannte Schwachstellen hohen Schweregrads in Firefox gefunden worden, obwohl der Browser zuvor schon mit anderen Frontier-Modellen durchleuchtet wurde. Mozilla hat laut OpenAI bereits Korrekturen veröffentlicht. Wegen dieser Fähigkeiten stuft OpenAI das Modell im Preparedness Framework als „Critical“ ein, GPT-5.6 Cyber galt noch als „High“. Die Einführung von GPT-5.6 Cyber im August und das zugehörige Programm Daybreak, das seit Mai als Antwort auf Anthropics Claude Mythos läuft, bilden den Rahmen für diesen Schritt.

Der eigentliche Punkt: Regeltreue

Neu ist vor allem das Alignment-Versprechen. Die Evaluation ExploitGym Honeypot ist laut OpenAI dem Hugging-Face-Vorfall nachempfunden: Das Modell bekommt eine schwierige Aufgabe in einer isolierten Umgebung, dazu Hilfsdienste wie eine Paketregistry oder einen Objektspeicher, die absichtlich leicht angreifbar sind und die Lösung preisgeben würden. Es muss selbst erkennen, dass ein Angriff darauf außerhalb des Auftrags liegt. Ohne Einsatz-Prompt vermied GPT-6 Cyber das in 99,93 Prozent der Fälle, GPT-5.6 Cyber in 94,49 Prozent; heise rechnet das auf 0,07 gegenüber 5,51 Prozent Ausbrüche um. Mit dem Einsatz-Prompt waren es 100 Prozent. Fouad Matin, Leiter des Teams für Cyber-Preparedness, sagte laut The Verge: „Es tut in über 99 Prozent der Fälle, was du verlangst.“

Wichtig ist die Einordnung: Alle diese Zahlen stammen aus OpenAIs eigenen Tests und dem eigenen Systemkarten-Material. Unabhängige Nachprüfungen liegen nach unserem Kenntnisstand nicht vor. Auch OpenAI räumt ein Problem ein, das Tests grundsätzlich begrenzt: Evaluation Awareness, also die Fähigkeit eines Modells, zu erkennen, dass es getestet wird, und sein Verhalten anzupassen. Matin nannte das Thema „super top of mind“ und verwies darauf, dass Auffälligkeiten oft in der Gedankenkette sichtbar würden. Deshalb setze OpenAI verstärkt auf produktionsnahe Tests mit echten Codebasen. Ein Honeypot, der als Test erkannt wird, sagt weniger aus als einer, der es nicht wird.

Schutz kritischer Infrastruktur und Zugang

Parallel verschärft OpenAI die Schutzmaßnahmen: Überwachung auf Fehlverhalten des Modells, gezieltes Monitoring bei koordinierten Offenlegungen (etwa PHP), Private Safety Processing für Kunden mit Zero Data Retention, verpflichtende IP-Freigabelisten für den Daybreak-Red-API-Zugang und neue Prüfungen, die Hochrisiko-Aktivitäten gegen Kraftwerke, Wasserwerke und industrielle Steuerungen blockieren sollen. Für geprüfte Verteidiger solcher Anlagen gibt es die neue Gruppe „Daybreak Red for Critical Infrastructure“ und das mit einer Milliarde Dollar ausgestattete Programm „Daybreak for Frontline Defenders“. Zugang hat zunächst nur eine ausgewählte Gruppe von Daybreak-Red-Kunden über API und Codex; die übrigen sollen in den kommenden Wochen folgen.

„Is that enough?“

TechCrunch stellt die Frage im Titel. Tim Fernholz schildert den Fall von Max Justicz, der mit GPT-5.6 Sol über Daybreak Blue in zwei Stunden eine schwere Lücke in einer von Debian gepflegten Software gefunden haben will, die Ubuntu-Server betrifft, wofür er nach eigener Angabe rund 5.000 Dollar für Abos und Token ausgab. Justicz kritisiert zudem, Daybreak Blue sei zuletzt abgeschwächt („nerfed“) worden, während Angreifer offene Modelle ohne Schutzschranken nutzen könnten. Laut TechCrunch beteiligen sich nur „Tausende“ Fachleute am Programm. Die Linux-Suche habe 1,2 Millionen Dollar gekostet, deutlich weniger als die etwa 6 Millionen Dollar Token-Ausgaben für ein bekanntes Strömungsmechanik-Problem. Daraus folgert die Redaktion: Wenn das Zeitfenster zum Härten der Infrastruktur eng ist, braucht es mehr Dringlichkeit.

Für uns bleibt ein zwiespältiges Bild. Ein Modell, das fast nie aus der Rolle fällt, ist für Verteidiger ein Fortschritt. Zugleich ist es das bislang fähigste Offensivwerkzeug, das OpenAI ausliefert, und die Belege für seine Zuverlässigkeit liefert der Hersteller selbst. Ob der Abstand zwischen sorgfältig kontrollierter Verteidigung und frei verfügbaren Modellen kleiner wird, wird erst die Praxis der kommenden Wochen zeigen.

Anthropic hat am Donnerstag, dem 5. November 2026, mit Personal Finance ein neues Werkzeug für Claude vorgestellt. Nutzer verbinden ihre Bank- und Kreditkartenkonten über den US-Dienstleister Plaid mit dem Chatbot und stellen Fragen in Alltagssprache. Der Zugriff ist laut Anthropic ausschließlich lesend: Claude kann kein Geld bewegen, verwalten oder anlegen. Das Feature startet als Beta „in dieser Woche“ für die Tarife Pro, Max und Ultra – ausschließlich in den USA und nach Angaben der Hilfeseite schrittweise, sodass nicht jeder Berechtigte es sofort sieht.

Was Claude sieht und kann

Für die freigegebenen Konten erhält Claude den Namen der Bank, Kontonamen und -typen, die letzten vier Ziffern der Kontonummer, Salden und Kreditlinien sowie laut Hilfeseite bis zu 24 Monate Transaktionen mit Betrag, Datum, Händler, Kategorie und Bankbeschreibung. Bis zu 16 Banken lassen sich verknüpfen. Das Bank-Passwort sieht Claude nicht – die Anmeldung läuft über Plaid. Anthropics Beispiel: Auf „Wohin ist mein Geld diesen Monat geflossen?“ summiert Claude die Ausgaben (im Beispiel 4.309,37 Dollar), sortiert sie nach Kategorien, prüft frühere Monate, weist auf eine Abo-Verlängerung hin und rechnet vor, was bis zum Zahltag übrig bleibt. Außerdem soll es doppelte Abbuchungen, unerwartete Gebühren und schleichend steigende Rechnungen aufspüren sowie Begriffe wie den effektiven Jahreszins erklären und die gezahlten Zinsen ausrechnen. Anlageberatung ist ausdrücklich nicht vorgesehen. Positiv hebt Anthropic hervor: keine Werbung, keine gesponserten Empfehlungen, keine eigenen Kreditkarten, Kredite oder Sparkonten.

Einordnung gegenüber ChatGPT

TechCrunch schreibt, Claude müsse hier gegenüber OpenAI aufholen. Tatsächlich hatte ChatGPT sein Finanzangebot bereits am 15. Mai 2026 gestartet – damals als Preview nur für den 100-Dollar-Tarif Pro, wie wir in der Ausgabe vom 16. Mai berichteten. Seitdem ist OpenAI deutlich weiter: Laut OpenAI-Seite und Release Notes kamen Ende Juni Plus-Nutzer hinzu, am 2. Oktober folgten Free- und Go-Nutzer in den USA. Dazu gesellten sich Wochenberichte, Kreditscore-Überwachung, Aktien-Watchlists, Sprachsteuerung, Android-Support und manuelle Kontoeingabe. ChatGPT liest zudem Investment- und Verbindlichkeitsdaten, während Claude nach eigenen Angaben nur Salden und Kreditlinien einliest, keine Depotbestände, Trades oder Konditionen. Dafür grenzt sich Anthropic bei der Datennutzung ab: Gespräche im Personal-Finance-Bereich werden nicht zum Modelltraining verwendet, während bei ChatGPT laut OpenAI die allgemeinen Trainingseinstellungen des Nutzers gelten. OpenAI wiederum treibt über Partner wie Intuit den Schritt „von der Antwort zur Aktion“ voran; Anthropic skizziert als nächsten Schritt lediglich die Zusammenarbeit mit lizenzierten Finanzprofis und ruft Banken und Vermögensverwalter zur Partnerschaft auf.

Datenschutz und DSGVO

Für Nutzer in Deutschland stellt sich die DSGVO-Frage derzeit nicht praktisch: Laut Hilfeseite lassen sich nur US-Banken verknüpfen, und außerhalb der USA – auch per VPN – erscheint die Funktion nicht. Einen Zeitplan für andere Märkte nennt Anthropic in der Ankündigung nicht. Redaktionelle Einordnung, keine Rechtsberatung: Käme ein EU-Start, wären neben der DSGVO (Einwilligung, Zweckbindung, Drittlandübermittlung, Verarbeitung durch Dienstleister) die Zahlungsdiensterichtlinie PSD2 relevant, denn Dienste, die Kontoinformationen bündeln, benötigen dort laut Plaid eine Zulassung oder Registrierung. Zudem verraten Kontoumsätze indirekt viel – etwa über Gesundheit, Mitgliedschaften oder Gesinnung.

Schon heute räumt Anthropic Einschränkungen ein: Außerhalb des Hubs gelten die normalen Datenschutzeinstellungen; die Daten bleiben im Chatverlauf, bis dieser gelöscht wird; die Hosting-Dienstleister von Claude verarbeiten Bankdaten mit, Plaid unter eigenen Bedingungen.

Risiken im Alltag

Die Hilfeseite benennt Fallstricke selbst: Claude kann sich irren, Salden können ein bis zwei Tage alt sein, Konten über zwei Logins werden womöglich doppelt gezählt, und ist eine Bank nicht lesbar, fehlen ihre Umsätze – das Budget zeigt dann mehr Restgeld, als vorhanden ist. Schreibt eine Bank volle Kontonummern in Buchungstexte, kann Claude sie sehen. Geteilte Chat-Links und veröffentlichte Artefakte können Kontodaten offenlegen; Artefakte bleiben auch nach dem Löschen des Chats bestehen. Wer die letzte Bank trennt, verliert sein Dashboard unwiderruflich, und Datenexporte enthalten es bisher nicht. Immerhin: Claude soll Chats mit Kontozugriff nicht im Gedächtnis speichern, und in Claude Code oder geplanten Aufgaben bleibt der Zugriff gesperrt.

Strategisch passt der Schritt zu Anthropics Ausweitung in Fachbereiche wie Recht und Finanzdienstleistungen. Plaid dient dabei als Schleuse, wie The Verge betont: Die Bank muss keine ungeprüften KI-Bots auf Konten loslassen. Ob Anthropic vom Beta-Status zur breiten Verfügbarkeit gelangt, hängt davon ab, ob Vertrauen und Genauigkeit reichen.

Am 5. November haben zwei Anbieter ihre Antwort auf dieselbe Frage präsentiert: Wie wird KI im Unternehmen von der Spielwiese zur steuerbaren Arbeitsressource? Perplexity setzt auf Agenten, die dauerhaft mitarbeiten. Anthropic setzt auf Transparenz darüber, was die KI-Nutzung im Unternehmen kostet und bringt. Beides zusammen zeigt, wohin sich der Markt bewegt.

Perplexity „Teammates“: Agenten mit Gedächtnis

Perplexity hat „Teammates“ vorgestellt, wie The Verge berichtet. Es handelt sich um dauerhaft laufende Agenten, die innerhalb eines Workspace mehrere Rollen übernehmen können. Sie greifen auf bestehende Projekte, Skills und das Gedächtnis aus den Perplexity-Werkzeugen zurück. Laut Perplexitys eigenem Blogbeitrag bauen Teammates auf „Perplexity Computer“ auf und koordinieren Computer-Sitzungen sowie andere Teammates. Sie sollen sich Projektziele, Aufgabenverlauf und gemeinsame Dateien über mehrere Durchläufe merken.

Der Anspruch geht über den klassischen Chat hinaus: Ein Teammate soll proaktiv überwachen und nachfassen, ohne auf eine neue Anfrage zu warten. Als Beispiel nennt Perplexity einen Vertriebs-Teammate, der bemerkt, wenn ein Stammkunde nicht mehr bestellt, die Bestell- und Supporthistorie prüft und ein passendes Angebot vorbereitet. Weitere genannte Einsatzfelder sind Marketing, Kundensupport und Operations. Jeder Teammate läuft in einer eigenen Umgebung mit getrennten Browser-Sitzungen. Gespeicherte Zugangsdaten sind laut Anbieter verschlüsselt, Nutzer können Ergebnisse prüfen, den Desktop übernehmen oder umsteuern. Teammates lassen sich zudem in Slack-Kanäle einbinden und geben Arbeit untereinander weiter.

Der Preis ist die Hürde: Teammates starten zunächst im Web, iOS soll folgen, und sie erfordern laut The Verge das Max-Abo für 200 Dollar im Monat. Die Verge-Autorin Emma Roth ordnet das Angebot als Gegenstück zu OpenAIs „Dots“ und Claude Duet ein, die ebenfalls parallel Aufgaben erledigen. Perplexity-Chef Aravind Srinivas formuliert die Vision auf X so: Langfristig solle jede Organisation Hunderte Teammates pro Person haben. Ob das mehr ist als eine Marketingvision, lässt sich nach dem Start noch nicht beurteilen; unabhängige Praxistests liegen uns bisher nicht vor.

Anthropic „Smart Reports“: Kosten sichtbar machen

Auf der anderen Seite steht die Frage, wie Unternehmen mit den Kosten solcher Agenten umgehen. Anthropic bietet Enterprise-Kunden dafür „Smart Reports“ an. Laut t3n und der Anthropic-Hilfeseite liest Claude dafür eine Stichprobe von Transkripten eines gewählten Umfangs (Team, Zeitraum von bis zu 28 Tagen, Produkte), gruppiert sie nach Arbeitsabläufen und Ergebnistypen, ordnet die Kosten zum Listenpreis zu und fasst Reibungspunkte sowie wiederkehrende Muster zusammen, die sich zu gemeinsamen Skills bündeln lassen. Die Funktion ist kostenlos, standardmäßig deaktiviert, auf Enterprise-Pläne beschränkt und auf zehn Berichte pro Monat und Organisation begrenzt. Hinweis zur Chronologie: Laut Hardwire News wurden Smart Reports bereits am 28. Oktober angekündigt; der t3n-Beitrag vom 5. November ist also eine Einordnung, keine Erstmeldung. Zusammen mit Smart Reports nennt Hardwire außerdem Umfragen in der App und gemeinsame Monatsbudgets für Gruppen.

Heikel ist die Überwachungsfrage. Anthropic schreibt selbst, die Berichte seien nicht dafür gedacht, individuelle Leistung zu bewerten oder Beschäftigungsentscheidungen zu treffen. t3n weist dennoch darauf hin, dass sich aus den Berichten Rückschlüsse auf die Effizienz einzelner Teams ziehen lassen. Laut Hilfeseite zeigen Drilldowns standardmäßig nur „User“ statt Namen; eine Namensanzeige ist nur möglich, wenn ein Owner die Attribution aktiviert hat, und jede Aufdeckung wird protokolliert. Sitzungen zu sensiblen Themen (etwa Gesundheit, Gewerkschaftsaktivität, Beschwerden oder Privatleben) fließen nur aggregiert ein. In Deutschland dürfte zusätzlich der Betriebsrat mitreden, wenn solche Auswertungen eingeführt werden; das ist unsere Einschätzung, keine Aussage der Quellen.

Einordnung: Vom Rausch zur Rechnung

Beide Meldungen passen in einen Trend, den wir bereits in der gestrigen Ausgabe beschrieben haben: Apple deckelt laut Bloomberg-Bericht die internen Budgets für KI-Nutzung seiner Beschäftigten. t3n bringt die Entwicklung mit „Modelmaxxing“ auf den Punkt: Statt pauschal teure Spitzenmodelle zu nutzen, wählen Unternehmen Modelle nach Aufgabe und behalten den Verbrauch im Blick. Dazu zitiert t3n Umfragen, wonach ein Drittel der deutschen Firmen von den KI-Kosten überrascht wurde.

Der Widerspruch ist offensichtlich. Perplexity verkauft Agenten, die rund um die Uhr arbeiten und Hunderte pro Person denkbar machen sollen. Gleichzeitig kappen Konzerne Budgets und verlangen Rechenschaft über jeden Token. Wer Agenten im großen Stil einsetzen will, braucht daher beides: leistungsfähige Werkzeuge und belastbare Kostenzuordnung. Anthropics Ansatz, Kosten pro Arbeitsbereich zu zeigen und für Verlängerungs- und Budgetgespräche Belege zu liefern, ist auch ein Vertriebsargument. Laut t3n und Futurism könnte er neue Enterprise-Kunden ansprechen, die bislang mit der Kostenkontrolle haderten, zumal Unternehmenskunden dem Vernehmen nach rund 80 Prozent des Umsatzes ausmachen.

Offen bleibt, ob die Beschäftigten den Berichten vertrauen. Ein Werkzeug, das Kosten und Muster pro Team offenlegt, kann zur Verbesserung von Arbeitsabläufen taugen, oder zum Scorecard-Instrument werden. Entscheidend wird sein, wie Unternehmen es einführen: mit klaren Regeln, Beteiligung der Mitarbeitenden und der Disziplin, die Berichte nicht gegen Einzelne zu verwenden.

Ein Gericht in São Paulo hat dem US-Konzern Meta am Dienstag, dem 3. November, untersagt, Inhalte von Medienunternehmen für das Training Künstlicher Intelligenz zu verwenden, sofern diese einem von drei brasilianischen Presseverbänden angehören. Richter Guilherme Madeira Dezem vom 44. Zivilgericht erließ die einstweilige Verfügung auf Antrag des Nationalen Zeitungsverbands (ANJ), des Verbands der Radio- und Fernsehsender (Abert) und des Verbands der Zeitschriftenverleger (Aner). Über den Fall berichtete unter anderem heise online am Abend des 5. November; die Originalmeldung stammt von der Nachrichtenagentur AFP.

Worum es im Kern geht

Auslöser sind Metas neue Geschäftsbedingungen für Unternehmenskunden, die ursprünglich Ende Oktober, dann am 20. November in Kraft treten sollten. Nach Angaben des ANJ hätten sie es Metas automatisierten Programmen erlaubt, Reportagen, Fotos, Videos und andere Inhalte von den Websites der Medienhäuser abzurufen, zu kopieren, zu speichern und auszuwerten. Die Erlaubnis hätte also auch Material außerhalb von Facebook, Instagram, WhatsApp und Threads erfasst, einschließlich urheberrechtlich geschützter Werke. Zugleich war die weitere Nutzung der Plattformen an die Annahme der Bedingungen geknüpft. Für Redaktionen, die auf Metas Reichweite angewiesen sind, wäre das ein Zwang gewesen, ihr Archiv kostenlos herzugeben.

Das Gericht fand deutliche Worte. Medienunternehmen zu verpflichten, ihr urheberrechtlich geschütztes Material kostenlos und uneingeschränkt bereitzustellen, gleichsam als „Maut“ für die weitere Präsenz auf den Kanälen, über die das Publikum heute Nachrichten konsumiere, sei ein „offensichtlicher Rechtsmissbrauch“. So zitiert es heise aus dem Beschluss. Laut CNN Brasil und Valor International sah der Richter Anzeichen für Urheberrechtsverletzungen und missbräuchliche Vertragsklauseln; die Vervielfältigung und kommerzielle Verwertung geschützter Inhalte setze die Erlaubnis der Rechteinhaber voraus.

Was die Verfügung anordnet

Der Richter setzte die entsprechenden Passagen von Metas Commercial Terms aus. Meta darf die Inhalte der vertretenen Medien nicht ohne Genehmigung sammeln und nutzen, auch nicht zur Entwicklung und zum Training von KI-Systemen. Außerdem muss der Konzern Konten, Seiten und Werkzeuge der betroffenen Medien uneingeschränkt weiterbetreiben und darf sie nicht sperren, einschränken oder sanktionieren, wenn sie die neuen Bedingungen ablehnen. Für jeden Verstoß setzte das Gericht ein Zwangsgeld von einer Million Real pro Tag fest (laut heise rund 162.000 Euro), begrenzt auf insgesamt 100 Millionen Real, wie Valor und CNN Brasil berichten. Die Anordnung gilt bis zu einem Urteil in der Hauptsache. Nach Angaben der Nachrichtenseite The Star hat Meta fünf Tage nach Zustellung Zeit, sich zu verteidigen. Meta wollte die Entscheidung gegenüber Valor und CNN Brasil nicht kommentieren.

Meta rudert zurück

Die Entscheidung ist Teil einer größeren Welle. Bereits am 28. Oktober hatte laut Valor ein norwegisches Gericht die Umsetzung der neuen Bedingungen auf Klage von zehn Medienkonzernen vorläufig gestoppt; die britische Wettbewerbsbehörde CMA prüft die Klauseln. Meta hatte zuvor das Wort „train“ aus dem Text gestrichen und die Nutzung auf „Werbe- und Geschäftsprodukte“ eingegrenzt, wie 404 Media unter Berufung auf Nieman Lab berichtet. Am 5. November erklärte Meta die Aktualisierung schließlich für pausiert: Sie werde am 20. November nicht in Kraft treten, die bestehenden Bedingungen blieben gültig, man konsultiere weiter Interessengruppen. Ob die Pause eine endgültige Rücknahme bedeutet, ist offen. Die Verfügung aus São Paulo bleibt davon unberührt, solange sie nicht aufgehoben wird.

Einordnung: Vertragsrecht statt Fair-Use-Debatte

Bemerkenswert ist der Ansatz. Die brasilianischen Verbände greifen nicht die Frage an, ob KI-Training an sich urheberrechtlich zulässig ist, sondern die Zwangskopplung von Plattformzugang und Inhaltsfreigabe. Das unterscheidet den Fall von den bekannten Grundsatzurteilen: In den USA entschied ein Bundesgericht in Kadrey v. Meta 2025, das Training von Llama mit Büchern sei im konkreten Fall „Fair Use“ gewesen, weil „hochgradig transformativ“ und ohne nachgewiesene Marktverdrängung (Zusammenfassung des US Copyright Office). Das Landgericht München I urteilte im November 2025 im Fall GEMA gegen OpenAI dagegen, dass die Memorisierung von Liedtexten in Sprachmodellen eine Vervielfältigung darstellt, die nicht von der Text-und-Data-Mining-Schranke gedeckt ist (Pressemitteilung des Gerichts; nicht rechtskräftig). Die Gerichte kommen also zu gegensätzlichen Ergebnissen; der brasilianische Beschluss ist ein vorläufiger Schritt und trifft keine Hauptsacheentscheidung über das Training selbst.

Auch die Gewichtung ist anders: Wer Presseinhalte lizenzfrei per Crawler abgreift, kann sich auf rechtliche Grauzonen berufen. Wer sie dagegen als Vertragsbedingung erzwingt, muss die Wirksamkeit der Klauseln belegen. Genau dort setzten Oslo und São Paulo an. Laut dem Dienst AI Weekly (Zusammenfassung von Nieman Lab) stellte das Osloer Gericht zudem eine marktbeherrschende Stellung Metas fest, was einen wettbewerbsrechtlichen Hebel liefert.

Der Bezug zum brasilianischen Datenschutzgesetz LGPD wird in den von uns gesichteten Berichten zu diesem Fall nicht hergestellt; die Entscheidung stützt sich laut Berichten auf Urheberrecht und Vertragsmissbrauch. Ausdrücklich nicht belegt ist daher, ob die Datenschutzbehörde ANPD hier eingreift. Klar ist dagegen der Rahmen: Die Verfügung betrifft ausschließlich Medien, die den drei Verbänden angehören, nicht alle Verlage. Die Verbände hatten schon im Dezember 2025 Meta, Amazon Web Services, Apple, Google, Microsoft und OpenAI aufgefordert, über Lizenzen für KI-Nutzung zu verhandeln, so Valor. Für Meta bedeutet der Fall vor allem: Das Training mit Nachrichteninhalten wird zur Verhandlungsfrage, nicht zur einseitigen Vertragsklausel.

Zwei Meldungen dieser Woche passen auf den ersten Blick schlecht zusammen und ergeben zusammen doch ein stimmiges Bild. Am 4. November hat Tencent die finale Version seines Sprachmodells Hy4 vorgestellt, das der Konzern selbst unter den „stärksten Open-Source-Modellen“ einordnet. Zugleich steht auf Hacker News eine Analyse des Unternehmens Village zur Diskussion, nach der geschlossene Modelle die Preis-Leistungs-Front fast vollständig beherrschen. Wer offene Modelle als Kostenbremse einplant, sollte beides zusammen lesen.

Was Hy4 ist – und was belegt ist

Laut heise online nutzt Hy4 eine Mixture-of-Experts-Architektur mit 770 Milliarden Parametern, von denen je Token 49 Milliarden aktiv sind, bei einem Kontextfenster von einer Million Token. Gegenüber der im August veröffentlichten Vorabversion kommen Bildverständnis sowie die Bedienung von Computern über grafische Oberflächen und Kommandozeile hinzu. Das Modell ist über Tencents Anwendungen, die Cloud-API und OpenRouter verfügbar.

Wichtig für die Einordnung als „offen“: Die Gewichte der Vorabversion liegen unter Apache 2.0 vor. Die Gewichte der finalen Fassung sind nach heise-Angaben noch nicht freigegeben; Tencent kündigt sie in der eigenen Pressemitteilung „in den kommenden Tagen“ an. Stand heute ist Hy4 in der Praxis also ein per API nutzbares Modell mit angekündigter Öffnung. Ob und mit welcher Lizenz die Gewichte tatsächlich erscheinen, konnten wir nicht prüfen.

Benchmarks: unabhängig und Herstellerangabe trennen

Unabhängig gemessen (laut heise, Datenbasis Artificial Analysis): Hy4 erreicht im Intelligence Index 35 Punkte, Rang zwei unter den chinesischen Modellen hinter Kimi K3.1 Pro mit 46 Punkten, international auf Höhe von Grok 4.7 und knapp hinter Claude Haiku 5.5 mit 36 Punkten. Bei FrontierCode 2.0 kommt Hy4 auf 31 Prozent (Claude Fable 5.1: 32, Kimi K3.1 Pro: 25), bei Terminal-Bench 4.0 auf 37 Prozent, dem viertbesten Wert chinesischer Labore. Die Schattenseite: Im Wissenstest AA-Omniscience liegt die Halluzinationsrate bei 89 Prozent, das Modell antwortet bei Wissenslücken also meist falsch statt zu schweigen.

Herstellerangaben dagegen sind Tencents eigene Evaluationen: ein Blindtest mit 213 Finanzfachleuten (579 Aufgaben), in dem Hy4 mit 3,04 Punkten vor DeepSeek-V4.1-Flash (2,97) und Kimi K3.1 Pro (2,68) liegt, sowie eine interne Halluzinationsrate von 7,2 Prozent (Vorabversion: 12,95 Prozent). Diese Werte stammen vom Anbieter selbst und stehen im auffälligen Kontrast zu den 89 Prozent aus dem unabhängigen Test, gemessen wird aber jeweils Unterschiedliches.

Preise

Nach heise kostet Hy4 laut offizieller Preisliste regulär 0,834 US-Dollar pro Million Eingabe- und 2,501 Dollar pro Million Ausgabetoken; bis zum 31. Dezember 2026 gibt Tencent Cloud 50 Prozent Rabatt. Tencent selbst nennt ungefähr 0,90 bzw. 2,70 Dollar (Herstellerangabe, abweichend gerundet). Artificial Analysis beziffert die Kosten auf 0,78 Dollar pro Aufgabe im Index – etwa zehnmal günstiger als Grok 4.7 bei gleicher Punktzahl, aber rund doppelt so teuer wie Claude Haiku 5.5, das einen Punkt mehr erreicht (alle Angaben laut heise).

Die Village-Analyse: 3 statt 41 Prozent

Hier setzt die Studie von Village an, die auf Hacker News mit 66 Punkten und 52 Kommentaren diskutiert wird (der Beitrag selbst trägt das Datum 30. Oktober, die Daten stammen vom 31. Oktober). Village schätzt im „LLM Atlas“ aus öffentlichen Benchmarks eine Leistungszahl je Modell und ermittelt mit einem eigenen Kostenmodell die Kosten pro Aufgabe relativ zu GPT-5 mit hohem Reasoning-Aufwand. Bei 201 Budgets zwischen 1 Prozent und dem Dreifachen dieser Kosten fragt die Studie, welches Modell jeweils das leistungsstärkste ist. Ergebnis: Nur bei 3 Prozent der Budgets ist das beste Modell offen, im Juni waren es 41 Prozent. Zwei OpenAI-Releases (GPT-6 Luna im September, GPT-6.1 Terra im Oktober) sowie Claude Haiku 5.5 hätten die Bereiche übernommen, die zuvor DeepSeek V4 Flash und GLM-5.2 hielten.

Als mögliche Gründe nennt Village, ohne sie zu beweisen: Geschlossene Labore destillieren eigene Flaggschiffe in günstige Stufen, bringen ganze Modellfamilien heraus und betreiben Inferenz womöglich billiger im großen Maßstab. Zugleich liefert die Studie wichtige Einschränkungen: Die Kosten basieren auf gehosteten APIs, auf eigener Hardware können offene Modelle günstiger sein; bei einem Budgetbereich von 0,3 bis 10 Prozent steigt der offene Anteil auf 16 Prozent. Die Atlas-Werte sind Schätzungen eines einzelnen Anbieters.

Einordnung

Die Studie nennt Hy4 nicht – Stichtag war der 31. Oktober, Hy4 erschien danach. Die Aussage „offene Modelle sind abgehängt“ lässt sich daher weder aus Hy4 ableiten noch durch es widerlegen. Auffällig ist allerdings das heise-Bild: Hy4 ist günstig, aber ein Claude Haiku 5.5 ist laut Artificial Analysis bei knapp höherer Punktzahl noch billiger pro Aufgabe. Das stützt Villages These, dass geschlossene Preisstufen die Lücke dicht halten. Offen bleibt der Vorteil, den Village selbst benennt: Wer Gewichte lokal betreibt, rechnet anders als mit API-Preisen. Und für Hy4 gilt das erst, sobald die Gewichte tatsächlich draußen sind.

Für Teams heißt das: Offenheit ist ein Argument für Kontrolle, Datenhoheit und Betrieb auf eigener Hardware, nicht automatisch für den niedrigsten API-Preis. Wie schnell sich das Bild ändert, zeigt die Village-Historie selbst – offene Anteile schnellten bei starken DeepSeek-Releases mehrfach hoch und fielen danach wieder ab.

Hinweis zur Quellenlage: Der Clutch-Deal ist ein Verhandlungsstand, kein Abschluss. Die Zahlen stammen von einer anonymen Quelle, die TechCrunch zitiert; zuerst berichtet hatte The Information. Palo Alto Networks und Clutch haben auf Anfragen nicht reagiert. Der Dropbox-Kauf hingegen ist von Dropbox selbst angekündigt.

Palo Alto Networks verhandelt laut TechCrunch über die Übernahme von Clutch Security, einem Startup, das den Zugriff von KI-Agenten auf Unternehmenssysteme absichert. Geboten werden demnach 500 Millionen Dollar in bar, dazu kommen Zahlungen, die an Meilensteine geknüpft sind. Clutch ist drei Jahre alt und wurde zuletzt im Januar 2025 mit 85 Millionen Dollar bewertet, als eine Series-A-Runde über 20 Millionen Dollar unter Führung von SignalFire (mit Lightspeed als Bestandsinvestor) abgeschlossen wurde. Der Jahresumsatz nähert sich laut der Quelle 10 Millionen Dollar. Rechnerisch entspricht der Preis damit etwa dem 50-Fachen des wiederkehrenden Jahresumsatzes.

Was Clutch macht

Clutch gehört zur Kategorie der Sicherheit für „nicht-menschliche Identitäten“: API-Schlüssel, Service-Konten, Tokens und Zertifikate, mit denen Software auf Cloud-Infrastruktur, CI/CD-Pipelines und zunehmend auf Agenten-Systeme zugreift. Laut Anbieterseite inventarisiert das Produkt Agenten über Endgeräte, SaaS-Anwendungen, selbst betriebene Infrastruktur und Cloud hinweg und ordnet jedem Agenten Betreiber, Werkzeuge, Identitäten und erreichbare Ressourcen zu. Richtlinien lassen sich dann entlang dieser Kette durchsetzen, etwa: Ein Tool-Aufruf ist in der Entwicklung erlaubt, in der Produktion aber blockiert. Das ist die technische Antwort auf ein Problem, das wir in den vergangenen Wochen mehrfach beschrieben haben, etwa bei Microsofts Einstufung von Agenten als „Insider Threats“: Ein Agent mit gestohlenem Schlüssel bewegt sich durch Systeme wie ein kompromittiertes Mitarbeiterkonto, nur mit weit weniger menschlicher Aufsicht.

Konsolidierung: Wer bereits gekauft hat

Der mögliche Clutch-Kauf reiht sich in eine auffällige Käuferwelle ein. Palo Alto Networks hat laut TechCrunch in diesem Jahr bereits Console (KI-Agenten für IT-Helpdesk-Aufgaben, September, 500 Millionen Dollar in Aktien und bar), Embrace (325 Millionen), Chronosphere (Observability, 2,95 Milliarden) und Koi (231 Millionen laut Börsenunterlagen) gekauft. Wäre Clutch der Abschluss, wäre es nach PitchBook-Zählung der siebte Zukauf des Jahres. Eine weitere Quelle (Paktechstan, mit Verweis auf Calcalist) spricht dagegen vom fünften angekündigten Zukauf und nennt zudem laufende Verhandlungen über das israelische Startup Beacon Security; die Zählweise ist also uneinheitlich, und die Beacon-Meldung konnten wir nicht an einer zweiten Primärquelle prüfen. Dieselbe Quelle nennt für Koi im September gemeldete rund 400 Millionen Dollar, TechCrunch nennt 231 Millionen laut Unterlagen – ein offener Widerspruch. Gesichert ist laut Unite.AI, dass Palo Alto Networks im Februar 2026 die Identitätssicherheitsfirma CyberArk übernommen hat und im Geschäftsbericht für das Fiskaljahr 2026 bereits eine eigene Agenten-Sicherheit mit Agenten-Register, Gateway-Guardrails und kurzlebigen Berechtigungen beschreibt. Clutchs Funktionen überlappen damit stark mit dem Bestand – der Preis wäre ein Kauf von Teams, Kunden und Tempo.

Die Konkurrenz ist nicht untätig. Cyera, laut TechCrunch zuletzt mit 12 Milliarden Dollar bewertet, hat Oasis Security – ebenfalls auf die Zugriffsverwaltung für KI-Agenten spezialisiert – für 1 Milliarde Dollar übernommen und den Abschluss am 3. September 2026 gemeldet. Cisco kaufte Astrix für rund 400 Millionen Dollar (laut Calcalist). Gleichzeitig zeigt der Fall Upwind, wie hoch die Preislatte hängt: Das Cloud-Security-Startup lehnte ein Angebot von Datadog zu einer Bewertung von 3,8 Milliarden Dollar (rund das 40-Fache des prognostizierten Umsatzes) ab und sammelte stattdessen 400 Millionen Dollar ein.

Einordnung

Drei Beobachtungen drängen sich auf. Erstens: Agenten-Identität ist keine Nische mehr, sondern eine Pflichtdisziplin der Plattformanbieter. Die drei bekannten Ziele (Clutch, Oasis, Astrix) beschäftigen sich alle mit demselben Kern, nämlich der Frage, welcher Agent mit welchem Schlüssel was darf. Zweitens: Die Bewertungen folgen der Knappheit, nicht dem Umsatz. Ein 50-Faches bei rund 10 Millionen Dollar ARR bedeutet, dass Käufer für Zeitgewinn bezahlen, nicht für Cashflow. Für Kunden riskant: Spezialisten verschwinden in Plattform-Bündeln. Drittens: Solange der Deal nicht bestätigt ist, bleibt er Marktgerücht mit Preisschild. Am 18. November legt Palo Alto Networks Quartalszahlen vor (laut Paktechstan).

Zweites Signal: Dropbox kauft Tigris Data

Auf der Infrastrukturseite meldete Dropbox am 5. November die geplante Übernahme von Tigris Data für 350 Millionen Dollar in bar (laut Dropbox-8-K und TechCrunch), die größte Akquisition der Firmengeschichte. Tigris, gegründet von früheren Uber-Ingenieuren, betreibt global verteilten, S3-kompatiblen Objektspeicher ohne Egress-Gebühren, der Daten automatisch näher an Nutzer und Rechenressourcen platziert. Dropbox will darauf „DBX Agent Cloud“ aufbauen, zunächst als eigenständigen Objektspeicher, später mit Dateisystem- und Content-Processing-Funktionen, damit Agenten über Sitzungen hinweg mit Dateien arbeiten können. Der Abschluss wird im vierten Quartal 2026 erwartet; Stellenstreichungen sind laut Dropbox nicht geplant, nachdem das Unternehmen im Vormonat 9 Prozent der Belegschaft abgebaut hatte (laut WSJ via TechCrunch).

Die Verbindung zu Clutch ist inhaltlich, nicht personell: Beide Käufer erwerben eine Schicht, die Agenten brauchen – einmal die Kontrolle über ihre Zugänge, einmal den Ort, an dem ihre Daten liegen. Dass ein Dateispeicher-Konzern Agenten-Infrastruktur kauft, während ein Sicherheitskonzern Agenten-Identität zukauft, zeigt, wie viele Etablierte die „Agentenebene“ als nächsten Hebel sehen.