Die Zwei-Klassen-KI: Wie gestaffelter Modellzugang zum neuen Normal wird

Vom Preisschild zur Prüfung

Jahrelang war die Logik des KI-Marktes simpel: Wer mehr zahlte, bekam das bessere Modell. Ein 20-Dollar-Abo öffnete die Tür zur jeweils stärksten Variante, ein API-Schlüssel den Rest. Diese Selbstverständlichkeit ist 2026 zu Ende gegangen. Als Anthropic diese Woche Claude Fable 5 veröffentlichte, war das eigentliche Ereignis nicht das Modell, sondern die Grenze: Die volle Fähigkeit — „Mythos 5“ — bleibt rund 150 geprüften Organisationen und US-Behörden vorbehalten. Der Rest der Welt bekommt Fable, eine Version mit eingebautem Notausgang, die bei heiklen Themen automatisch auf das schwächere Vorgängermodell zurückschaltet.

Das ist kein Einzelfall, sondern das sichtbarste Beispiel eines neuen Paradigmas: des fähigkeitsbasierten Zugangs (englisch: capability-based access). Der Grundgedanke lässt sich in einem Satz fassen: Anbieter binden den Zugang zu einem Modell nicht mehr nur an Bezahlung, sondern an die gemessenen Fähigkeiten des Modells — und an die Vertrauenswürdigkeit dessen, der es nutzen will. Übersteigt ein System in internen Tests definierte Gefährdungsschwellen, greifen automatisch verschärfte Auflagen, bis hin zur vollständigen Sperre für die Allgemeinheit. Für Unternehmen, die KI einsetzen, verändert das eine stillschweigende Annahme der letzten drei Jahre: dass Spitzentechnologie grundsätzlich für jeden offen ist, der dafür bezahlt.

Die Mechanik: Schwellen, Stufen, Sicherheitslevel

Um zu verstehen, was hier passiert, hilft ein Blick auf zwei Dokumente, die kaum jemand außerhalb der KI-Labore liest, deren Folgen aber alle treffen. Anthropics Responsible Scaling Policy (RSP) und OpenAIs Preparedness Framework sind Selbstverpflichtungen, die definieren, ab welchem Fähigkeitsniveau ein Modell als gefährlich gilt — und welche Schutzmaßnahmen dann zwingend werden.

Anthropic arbeitet mit „AI Safety Levels“ (ASL), angelehnt an die Biosicherheitsstufen von Laboren. Heutige Modelle laufen unter ASL-2. ASL-3 — seit Mai 2025 für relevante Modelle aktiv — greift, sobald ein Modell „jemandem mit grundlegendem technischem Hintergrund sinnvoll bei der Herstellung von CBRN-Waffen helfen“ könnte (chemisch, biologisch, radiologisch, nuklear). Die Folge sind strengere Zugangskontrollen, robusterer Schutz der Modellgewichte und Klassifikatoren, die verdächtige Anfragen abfangen — exakt jener Mechanismus, der bei Fable 5 die Rückstufung auf Opus 4.8 auslöst. Die im Februar 2026 in Kraft getretene Version 3.0 der RSP fügte eine neue Kategorie hinzu: „High-Stakes Sabotage“ — die Sorge, ein Modell könnte das Training seiner eigenen Nachfolger manipulieren.

OpenAI verfolgt dasselbe Muster mit anderen Worten. Sein Preparedness Framework verfolgt Fähigkeiten, die „schweren Schaden“ anrichten könnten — definiert als mehr als 1.000 Tote oder über 100 Milliarden Dollar wirtschaftlicher Schaden — und kennt die Stufen „High“ und „Critical“. Die „High“-Schwelle im Bereich Cyber ist erreicht, wenn ein Modell „funktionierende Zero-Day-Exploits gegen gut verteidigte Systeme entwickeln“ kann. Das erste so eingestufte Modell führte automatische Monitore ein, die Hochrisiko-Anfragen still auf ein schwächeres Fallback-Modell umleiten — dieselbe Architektur wie bei Anthropic, nur einige Wochen früher.

Glasswing und Daybreak: zwei Programme, ein Prinzip

In der Praxis sieht das so aus: Anthropic vergibt seinen Cyber-Spitzenmodellzugang über Project Glasswing. Gestartet im April 2026 mit zwölf namentlichen Gründungspartnern — darunter Apple, Google, Microsoft, AWS, NVIDIA, JPMorgan, CrowdStrike und Palo Alto Networks — plus rund 40 weiteren Organisationen, wurde das Programm Anfang Juni auf über 150 Organisationen in mehr als 15 Ländern ausgeweitet. Die Partner nutzen Mythos zur Schwachstellensuche in ihrer eigenen Software; die Bilanz ist beeindruckend und beunruhigend zugleich: über 10.000 hochkritische Lücken gefunden, davon mehr als 6.000 in Open-Source-Projekten, von einer 27 Jahre alten Lücke in OpenBSD bis zu verketteten Fehlern im Linux-Kernel.

OpenAIs Pendant heißt Trusted Access for Cyber, intern „Daybreak“. Es ist dreistufig: Basiszugang zu allgemeinen Modellen, ein „Trusted Access“-Tier mit reduzierter Reibung für legitime Sicherheitsarbeit und schließlich ein „Cyber“-Modell mit bewusst gesenkter Verweigerungsschwelle — nur für verifizierte Verteidiger. Wer hinein will, muss seine Identität nachweisen; in regulierten Umgebungen mit Zero-Data-Retention ist der Zugang sogar gesperrt, weil OpenAI dort nicht nachvollziehen kann, wer das Modell wofür nutzt.

Hinter beiden Programmen steht dieselbe Begründung: der „Defender's Advantage“. Dario Amodei formuliert sie drastisch: „Wenn man Sie erreichen kann, wird man Sie kompromittieren. Um zu überleben, müssen Sie Ihre Angriffsfläche vollständig eliminieren.“ Die Logik: Gibt man die mächtigsten Cyber-Modelle nur vertrauenswürdigen Verteidigern, erhalten diese einen Vorsprung gegenüber Angreifern. Der IWF stützte dieses Argument im Mai, als er KI-gestützte Cyberangriffe erstmals als Risiko für die globale Finanzstabilität einstufte — „extreme Cyber-Verluste könnten Finanzierungsengpässe auslösen und ganze Märkte stören“.

Was das für Unternehmen bedeutet

Hier wird aus einer Sicherheitsdebatte eine handfeste Geschäftsfrage. Drei Konsequenzen sind absehbar.

Erstens: Zugang wird zum Privileg. Wer nicht zum Kreis der „Trusted Partner“ gehört, bekommt nur die abgesicherte, fähigkeitsreduzierte Variante — Fable statt Mythos, Standard- statt Cyber-Modell. Für defensive Sicherheitsteams entsteht daraus eine strukturelle Asymmetrie: Angreifer können auf offene Modelle ohne Schranken zurückgreifen, während Verteidiger ohne Trusted-Status ausgebremst werden. Die Glasswing-Partner — überwiegend US-Großkonzerne — erhalten Monate früher Zugang zu den stärksten Defensiv-Werkzeugen und zu Schwachstellenfunden. CrowdStrike-CTO Elia Zaitsev bringt den Einsatz auf den Punkt: „Das Fenster zwischen Entdeckung und Ausnutzung einer Schwachstelle ist kollabiert — was früher Monate dauerte, geschieht jetzt mit KI in Minuten.“

Zweitens: Verifizierung wird zur Eintrittshürde. Schon heute verlangt OpenAI für seine fortschrittlichsten Modelle eine „Verified Organization“ mit staatlichem Lichtbildausweis; eine ID verifiziert nur eine Organisation alle 90 Tage, und „nicht alle Organisationen sind berechtigt“. Für kleine Firmen, Einzelforscher und Organisationen aus Ländern ohne unterstützte ID-Prüfung bedeutet das faktischen Ausschluss. Hinzu kommt ein Compliance-Paradox: Gerade regulierte Branchen verlangen oft Zero-Data-Retention — und sperren sich damit selbst vom Cyber-Tier aus.

Drittens: Geografie wird zum Faktor. Bis weit ins Frühjahr 2026 war kein einziges Nicht-US-Unternehmen öffentlich als Glasswing-Mitglied bekannt. Erst nach wochenlangem diplomatischem Druck — die Deutsche Bundesbank forderte öffentlich Zugang — erhielten die NATO und die EU-Cybersicherheitsagentur ENISA Anfang Juni Zugang. Für europäische Unternehmen heißt das: Der Zugang zur regulierten Spitzentechnologie ist zur Souveränitätsfrage geworden — ausgerechnet, während sie ab dem 2. August 2026 unter Artikel 55 des EU AI Act verschärften Pflichten für Modelle mit systemischem Risiko unterliegen. Strenge Regulierung trifft auf fehlenden Zugang: ein Spannungsfeld, das die Gründung des deutschen KI-Sicherheitsinstituts (siehe unsere heutige Ausgabe) erst erklärt.

Die Gegenkraft: offene Gewichte

Gegen die Konzentration formiert sich eine mächtige Gegenbewegung — Open-Weights-Modelle, die jeder herunterladen und selbst betreiben kann. Und der Abstand schrumpft dramatisch: Laut der Forschungsorganisation Epoch AI liegt der Rückstand offener Modelle auf die geschlossene Spitze nur noch bei rund drei Monaten. DeepSeeks V4-Pro erreicht 80,6 Prozent auf dem SWE-bench-Coding-Benchmark — nur 0,2 Punkte hinter dem damaligen Claude-Spitzenmodell, und das unter freier Lizenz. Cohere brachte diese Woche sein erstes offenes Entwicklermodell, Google sein „encoder-free“ Gemma 4 12B, das auf einem 16-GB-Laptop läuft.

Doch die Demokratisierung hat einen Haken — und es ist genau das Argument der Gating-Befürworter. Offene Gewichte ohne Verweigerungsschranken geben denselben Cyber- und Bio-Fähigkeitsschub auch Angreifern, die sich keiner Verifizierung unterziehen müssen. Hier liegt die ungelöste Spannung des Jahres 2026: Dezentralisierung und Sicherheit ziehen in entgegengesetzte Richtungen. Wer für offenen Zugang plädiert, demokratisiert Macht — und potenziell Schaden. Wer für gestaffelten Zugang plädiert, erhöht die Sicherheit — und konzentriert Macht bei einer Handvoll Labore und Staaten.

Die strategische Konsequenz

Für Entscheider in SaaS- und Tech-Unternehmen lässt sich aus all dem eine nüchterne Handlungslinie ableiten. Erstens: Behandeln Sie Modellzugang künftig als das, was er geworden ist — eine strategische Ressource mit politischer Dimension, nicht als reine Einkaufsentscheidung. Wer auf ein bestimmtes Frontier-Modell als alleinige Grundlage seines Produkts setzt, sollte einplanen, dass dessen volle Fähigkeit morgen hinter einer Verifizierungs- oder Geografie-Schranke liegen kann.

Zweitens: Bauen Sie Optionalität ein. Eine Architektur, die zwischen einem geschlossenen Frontier-Modell und einem selbst gehosteten Open-Weights-Modell wechseln kann, ist 2026 keine technische Spielerei mehr, sondern eine Versicherung gegen genau die Zugangsbarrieren, die dieser Text beschreibt. Drittens: Verfolgen Sie die regulatorische Entwicklung in Europa aktiv. Institutionen wie das neue deutsche KI-Sicherheitsinstitut oder die ENISA könnten sich zum Hebel entwickeln, über den europäische Unternehmen überhaupt erst an Modelle gelangen, die heute jenseits des Atlantiks verteilt werden.

Die Ära, in der das beste KI-Modell nur eine Kreditkarte entfernt war, ist vorbei. An ihre Stelle tritt eine Landschaft, in der Fähigkeit, Vertrauen und Geografie darüber entscheiden, wer welche Intelligenz nutzen darf. Die Zwei-Klassen-KI ist keine Dystopie der Zukunft mehr — sie ist die Bedingung, unter der Unternehmen heute planen müssen.