blog.bubam.de

Der Grund war Kalifornien

Am 1. Oktober hat eine Bundesrichterin in Oklahoma eine Polizeiabfrage für verfassungswidrig erklärt. Es ging um eine Suche im Kennzeichennetz von Flock Safety. Sara E. Hill vom Bundesbezirksgericht für den Norden Oklahomas nennt das System „a type of indiscriminate mass surveillance“, also eine Form unterschiedsloser Massenüberwachung. Als Erste berichtete 404 Media, TechCrunch zog am 3. Oktober nach.

Ein Kennzeichen, fünfzig Sichtungen

Im Mai fiel einem Deputy des Tulsa County Sheriff's Office ein Mazda mit kalifornischem Kennzeichen auf. Freddie Alaniz fuhr hinterher und fragte die Flock-Datenbank ab. Als Zweck gab er laut Reason „traffic violation“ und „investigation“ an. Bekannt war ihm zu diesem Zeitpunkt nur das Kennzeichen. Das Gericht hält fest: Der einzige Grund für die Suche war, dass das Kennzeichen aus Kalifornien kam.

Die Abfrage brachte mehr als fünfzig Sichtungen des Wagens in einem Monat, verteilt über mehrere Bundesstaaten. Sie zeigten eine Fahrt von Oklahoma bis an die Grenze zwischen Kalifornien und Arizona und zurück. Alaniz hielt die Fahrerin Melisa Kyle an, verlängerte die Kontrolle und ließ einen Spürhund holen. Im Auto lagen 91 Pfund Methamphetamin, gut 41 Kilogramm.

Die Richterin hat alles ausgeschlossen, was ab der Abfrage gewonnen wurde. Das schließt die Drogen ein.

Man kann dieses Ergebnis unbequem finden. Hill hat das vorausgesehen. Laut 404 Media schreibt sie: „The Fourth Amendment requires courts to draw a line when the cost is too great.“ Der Vierte Verfassungszusatz verlangt also, eine Grenze zu ziehen, wenn der Preis zu hoch wird. Dass ein Fund nicht verwertet werden darf, ist kein Versehen des Rechtsstaats. Genau das kostet diese Grenze.

Was die Richterin schreibt

Flock sei „a tool that collects information about all vehicles that pass by any network-connected camera at all times“: ein Werkzeug, das jederzeit jedes Fahrzeug an jeder angeschlossenen Kamera erfasst. Ein Verdacht gegen bestimmte Fahrzeuge geht der Erfassung nicht voraus. Er entsteht erst bei der Abfrage. Hill folgert daraus, dass man auch in der Öffentlichkeit erwarten darf, nicht dauerhaft mit dem Schleppnetz verfolgt zu werden: „Freedom from persistent, dragnet-style surveillance while in public … is a reasonable expectation“. Wer in diese Erwartung eingreift, braucht einen Durchsuchungsbeschluss.

Das klingt selbstverständlich, ist es in den USA aber nicht. Dort fragen Gerichte seit Jahrzehnten, ob man auf öffentlicher Straße überhaupt Privatsphäre erwarten darf. Im September urteilte ein Bundesgericht in Kalifornien laut Reason, eine Flock-Abfrage sei gar keine Durchsuchung. Am 2. Oktober, einen Tag nach Hill, wies ein Gericht des Bundesstaats Kalifornien eine Klage gegen das Kameranetz von San José ab, wie Reason berichtet. Hills Urteil ist kein bindender Präzedenzfall. Flock war am Verfahren nicht beteiligt. Ein Sprecher ließ aber ausrichten, das Urteil widerspreche „the overwhelming weight of authority“, also der klar überwiegenden Rechtsprechung. Man erwarte, dass es aufgehoben wird.

Das Netz gehört der Firma. Bemerkenswert ist, wo die Daten lagen. Die fünfzig Sichtungen hatte nicht der Sheriff gesammelt. Sie kamen aus dem Netz eines privaten Anbieters, der Kameras und Abfragen an Behörden verkauft. Ein Deputy in Tulsa sieht darin, wo ein Auto vor drei Wochen in Arizona unterwegs war. 404 Media hat Protokolle eingesehen und spricht von mehr als 100.000 Flock-Suchen im Monat ohne Durchsuchungsbeschluss. Wie viele Kameras es insgesamt gibt, steht auf der Website von Flock nicht. Dort steht, die Daten würden standardmäßig nur noch 7 statt 30 Tage gespeichert. Ab wann das gilt, steht dort nicht. Bei sieben Tagen hätte die Abfrage jedenfalls keinen Monat gezeigt.

Karlsruhe fragt früher. In Deutschland hat das Bundesverfassungsgericht die automatische Kennzeichenkontrolle schon geprüft. Im Beschluss vom 18. Dezember 2018 zum bayerischen Polizeigesetz steht: Ein Eingriff in die informationelle Selbstbestimmung liegt schon in der Erfassung, auch wenn das Kennzeichen keinen Treffer ergibt. Wer vorbeifährt, wird überprüft. Er fährt nur weiter, weil nichts gegen ihn vorliegt. Kontrollen „ins Blaue hinein“ sind grundsätzlich unzulässig. Die Bürger sollen nicht dem „Gefühl eines ständigen Überwachtwerdens“ ausgesetzt sein.

Hill setzt bei der Abfrage an, Karlsruhe bei der Kamera. Für die USA ist ihr Urteil ein Fortschritt. Nach deutschem Maßstab wäre es die Untergrenze. Diese Grenze hängt aber an Gerichten und Gesetzen, nicht an der Technik. Ein Netz wie das von Flock frage ich deshalb zuerst: Wer darf hineinsehen, und muss er dafür einen Grund nennen, den jemand prüft?

Im Suchfeld stand „investigation“. Gemeint war Kalifornien.

Quelle: United States v. Kyle, U.S. District Court for the Northern District of Oklahoma, 01.10.2026 (über Presseberichte); 404 Media, 02.10.2026; TechCrunch, 03.10.2026; Reason, 07.10.2026 und 14.10.2026; BVerfG, Beschluss 1 BvR 142/15 vom 18.12.2018

▸ Überwachung & Bürgerrechte · ▸ Recht & Regulierung

[l] Permalink

Acht Jahre Bedenkzeit

Am 6. Oktober hat heise einen Hintergrundbeitrag veröffentlicht: „Digitale Souveränität durch Open Source – die Datenplattform der Zukunft?“ Sarah Puch und Sebastian Ertl von der infologistix GmbH beschreiben darin, wie eine Datenplattform aus Open-Source-Bausteinen entsteht. Der Text steht hinter der Bezahlschranke von heise+. Frei lesbar ist nur der Anfang. Darin steht der Gedanke, an dem ich hängen geblieben bin: In unsicherer geopolitischer Lage sei digitale Souveränität strategisch wichtig.

Das stimmt. Nur: seit wann eigentlich?

Was frei sichtbar ist. Der Anreißer nennt eine Zahl der Synergy Research Group. Amazon, Microsoft und Google hielten Anfang 2026 zusammen 63 Prozent des Marktes für gemietete Recheninfrastruktur. Bei Synergy selbst stehen die Einzelwerte für das erste Quartal: 28, 21 und 14 Prozent. Der Markt setzte in diesen drei Monaten rund 129 Milliarden Dollar um. Chefanalyst John Dinsdale sagt, er sei „fifteen times larger than it was a decade ago“. Aus der Inhaltsübersicht bei heise weiß ich, dass die Autoren über Architektur, Mehraufwand und die nötigen Kompetenzen schreiben. Was sie im Einzelnen empfehlen, kann ich nicht beurteilen, weil ich es nicht gelesen habe. Darum geht es hier auch nicht. Es geht um das Wort „strategisch“.

Die Akte ist alt

Im März 2018 trat in den USA der CLOUD Act in Kraft. Seitdem können US-Behörden von Anbietern unter US-Recht Daten verlangen, und zwar gleichgültig, ob die Daten in den USA liegen oder anderswo. Microsoft, Amazon und Google haben das Gesetz damals unterstützt.

Am 16. Juli 2020 erklärte der Europäische Gerichtshof den Privacy Shield für ungültig, die Grundlage für Datenübermittlungen in die USA (Rechtssache C-311/18). Die Begründung fasst der Händlerbund so zusammen: US-Behörden wie die NSA haben weiten Zugriff, und Betroffene aus der EU haben keinen wirksamen Rechtsbehelf dagegen.

Am 10. Juni 2025 saß Anton Carniaux, Rechtsdirektor von Microsoft Frankreich, vor einem Untersuchungsausschuss des französischen Senats. Der Berichterstatter Dany Wattebled fragte ihn unter Eid, ob er garantieren könne, dass die Daten französischer Bürger nie auf Anordnung der US-Regierung und ohne Zustimmung der französischen Behörden weitergegeben werden. Die Antwort steht im Protokoll: „Non, je ne peux pas le garantir, mais, encore une fois, cela ne s'est encore jamais produit.“ Nein, garantieren kann er es nicht, aber passiert sei es noch nie.

Hier zeigt sich keine geopolitische Lage, die sich gerade erst ergeben hat, sondern eine Rechtslage. Sie steht seit acht Jahren im Gesetzblatt, sie ist seit sechs Jahren höchstrichterlich gewürdigt, und seit über einem Jahr hat der Anbieter sie selbst bestätigt. In derselben Zeit ist der Markt kräftig gewachsen, und fast zwei Drittel davon gehören drei Konzernen. Die Erkenntnis, dass man nicht gern vom Willen dreier US-Konzerne abhängt, ist also richtig. Strategisch kommt sie recht spät.

Wollen und Tun

Am Willen fehlt es nicht. Der Bitkom hat 2025 gut 1.100 Unternehmen befragt (Pressemitteilung vom 17. September 2025). 73 Prozent halten Open Source für ein geeignetes Mittel, um die digitale Souveränität zu stärken. Genauso viele setzen bereits Open-Source-Software ein. Eine Open-Source-Strategie haben 37 Prozent. Als größtes Hemmnis nennen die Firmen fehlende Fachkräfte.

An dieser Stelle wird Verspätung teuer. Eine Datenplattform aus offenen Bausteinen ist kein Paket, das man bestellt. Man muss sie betreiben, aktualisieren, absichern und verstehen. Die heise-Autoren nennen in ihrem Anreißer genau das: Zusatzaufwände und Kompetenzen. Wer jahrelang Betrieb eingekauft hat, hat jahrelang keinen Betrieb gelernt. Dieses Wissen lässt sich nicht über Nacht zurückholen, nur weil sich die Nachrichtenlage ändert.

Ich kenne die Rechnung aus kleinem Maßstab. Dieser Blog läuft auf eigener Hardware in einem deutschen Rechenzentrum. Das kostet Zeit, und für Fehler bin ich selbst zuständig. Abhängigkeit kostet auch, nur kommt die Rechnung später. Und wann sie kommt, entscheidest dann nicht mehr du.

Was heißt das für Firmen hier? Die Frage ist nicht mehr, ob Open Source taugt, denn das haben sie längst beantwortet. Offen ist, wer im eigenen Haus noch weiß, wie die eigenen Daten liegen, und wer sie umziehen könnte, wenn es darauf ankommt. Ein Umzug, den niemand mehr beherrscht, bleibt eine Absichtserklärung.

Carniaux hat unter Eid eine bemerkenswert präzise Auskunft gegeben, und man sollte sie genau lesen. „Noch nie passiert“ ist keine Garantie, sondern ein Rückblick.

Quelle: heise online, Sarah Puch und Sebastian Ertl, 06.10.2026 (heise+, nur Anreißer); Synergy Research Group, 29.04.2026; EuGH, Rechtssache C-311/18, 16.07.2020; Französischer Senat, Untersuchungsausschuss öffentliche Beschaffung, Protokoll 10.06.2025; Bitkom, Pressemitteilung 17.09.2025

▸ Souveränität · ▸ Datensouveränität

[l] Permalink

Wer bleibt, hat zugestimmt

Nachtrag vom 27. Oktober 2026. Dieser Beitrag beschreibt die Fassung, die am Morgen des 16. Oktober auf Metas Vorschauseite stand. Noch am selben Tag hat Meta die Klausel umgeschrieben, am 23. Oktober das Datum verschoben. Beides der Reihe nach.

Das Wort. Der Satz, dass Meta Inhalte von deiner Website „zum Trainieren“ verwenden darf, ist gestrichen. Das Wort „train“ kommt auf der Vorschauseite nicht mehr vor, ich habe sie am 27. Oktober noch einmal abgerufen. Die Erlaubnis endet jetzt so, in meiner Übersetzung: Meta darf die Website aufrufen, indexieren, analysieren, sammeln und crawlen, „um Werbe- und Geschäftsprodukte bereitzustellen, zu entwickeln, zu verbessern, zu erforschen und zu pflegen“ und um die Integrität und Sicherheit seiner Produkte zu wahren. Geblieben ist der Rest: die Scraper, Bots und Crawler, die Test-Anmeldedaten, das regelmäßige Abholen neuer Inhalte. Und „entwickeln“. Der Medienanwalt Matt Topic sagte Nieman Lab, „entwickeln“ sei weit genug, um „trainieren“ einzuschließen (Quartz, 19. Oktober). Meta sagt, am Crawling ändere sich nichts, und die robots.txt werde weiter beachtet. Im Vertrag steht das Wort weiterhin nicht.

Das Datum. Am 23. Oktober hat Meta das Inkrafttreten vom 30. Oktober auf den 20. November 2026 verschoben. Man brauche mehr Zeit, um Partnern zu erklären, „was sich ändert und was nicht“, sagte ein Sprecher Nieman Lab und Digiday. Die Vorschauseite trägt seither oben den Hinweis, die Änderungen gälten ab dem 20. November 2026; in der Fußzeile der britischen Fassung stand am 27. Oktober noch der 30. Oktober. Den Verlegerverbänden in den USA und in Europa reicht die Streichung nicht, weil „entwickeln“ bleibt und ein Nein ohne Kontoverlust weiter nicht vorgesehen ist. Die britische Wettbewerbsbehörde spricht mit Meta, die EU-Kommission hat die Verschiebung begrüßt und prüft.

Was unten überholt ist. „Ab dem 30. Oktober“ heißt jetzt „ab dem 20. November“, und der Absatz über das Wort „Trainieren“ beschreibt einen Satz, der so nicht mehr im Vertrag steht. Ich habe die Stellen markiert und lasse sie stehen, so stand es am 16. Oktober da. Was ich damit mache, bleibt: Der Vorbehalt für meta-externalagent steht in meiner robots.txt, das Geschäftskonto behalte ich, und die vertragliche Tür ist weiter offen. Sie hat nur ein neues Schild.

Der Beitrag vom 16. Oktober, unverändert bis auf die Markierungen:

Ich habe ein Instagram-Konto für diesen Blog. Es ist ein Geschäftskonto, weil nur ein Geschäftskonto die Karussells per Programm veröffentlichen darf. Im Profil steht die Adresse dieser Seite. Ab dem 30. Oktober gilt für das Konto ein neuer Vertrag, und in dem steht ein Absatz über meine Website. (Überholt: Seit dem 23. Oktober heißt es ab dem 20. November, siehe Nachtrag.)

Was in dem Absatz steht. Meta hat die Commercial Terms aktualisiert. Sie gelten für jede geschäftliche Nutzung von Facebook und Instagram, nach der neuen Fassung auch von WhatsApp. Im Abschnitt über die Rechte, die du Meta einräumst, steht neu, in meiner Übersetzung: Du ermächtigst Meta, automatisierte Software einzusetzen, „wie Web-Scraper, Bots, Robots, Spider, Crawler und User Agents“, und Test-Anmeldedaten anzulegen, um die Domains, Webseiten und URLs, die mit deinen Produkten oder Dienstleistungen verbunden sind, aufzurufen, zu indexieren, zu analysieren, zu sammeln und zu crawlen. Und Meta darf „jegliche Inhalte von diesen Domains, Webseiten oder URLs verwenden, um die Meta-Produkte bereitzustellen, zu entwickeln, zu verbessern, zu erforschen, zu trainieren und ihre Integrität zu wahren“. (Überholt: So stand es am 16. Oktober vormittags. Seit dem Abend fehlt dieser Satz, siehe Nachtrag.)

Drei Wörter lohnen den zweiten Blick. „Verbunden“: Welche Website zu einem Konto gehört, sagt der Text nicht. Die im Profil, vermutlich. Die in der Anzeige? Die des Mutterkonzerns? „Test-Anmeldedaten“: Meta darf sich Zugänge anlegen, also auch dorthin sehen, wo eine Anmeldung davor liegt. „Trainieren“: Das Wort steht nur hier. Für das, was du auf Instagram selbst postest, erlaubt derselbe Vertrag „entwickeln, verbessern, erforschen“. Trainieren darf Meta mit dem, was es von deiner Website holt. (Überholt: Das Wort ist seit dem 16. Oktober gestrichen, siehe Nachtrag.)

Wie man widerspricht. Gar nicht. Einen Haken gibt es nicht, einen Widerspruch nicht, das Wort robots.txt kommt im Vertrag nicht vor. Die Klausel über Aktualisierungen sagt: Wer nach der Ankündigung weiter geschäftlich nutzt, stimmt zu. Wer nicht einverstanden ist, „kann“ die geschäftliche Nutzung einstellen. In der alten Fassung stand an dieser Stelle noch „muss“. Für Konten in der EU nennt die Seite genau eine Besonderheit, einen Streitbeilegungsweg nach dem Digital Markets Act. Ein Weg zum Streiten, kein Knopf zum Abwählen.

Wen das trifft. Nieman Lab hat die Klausel am 15. Oktober drei Juristen vorgelegt. Praktisch jede Redaktion führt ein Geschäftskonto bei Meta, Nieman Lab auch. Der Medienanwalt Matt Topic nannte sie eine bemerkenswerte Bestimmung, um sie in Nutzungsbedingungen zu vergraben, weil sie Meta Zugang zu Material gebe, das auf einem Lizenzmarkt viele Millionen Dollar kosten würde. Ob ein Gericht das durchsetzt, sei unklar, „but publishers should assume that it would be enforceable“. Der Rechtsprofessor James Grimmelmann fasste es kürzer: „absurdly broad“. Meta sagte dem Blatt, man führe nur zusammen, was bisher verstreut in anderen Bedingungen stand, am Crawling ändere sich nichts.

Die zwei Türen. In Deutschland ist das Durchsuchen von Websites für Text und Data Mining erlaubt, § 44b UrhG sagt das ausdrücklich, solange der Rechteinhaber es sich nicht vorbehält. Der Vorbehalt bei Online-Inhalten „ist nur dann wirksam, wenn er in maschinenlesbarer Form erfolgt“. Das ist die technische Tür, und ihr Schloss heißt robots.txt. Metas Entwicklerseite listet fünf eigene Crawler. Der fürs Training heißt meta-externalagent, und Meta schreibt selbst: Wer ihn aussperren will, trägt ihn in die robots.txt ein. Zwei andere dürfen die Datei laut derselben Seite umgehen, der eine für Linkvorschauen bei Sicherheitsprüfungen, der andere immer dann, wenn ein Nutzer oder ein KI-Agent eine Seite holen lässt.

Der neue Vertrag öffnet eine zweite Tür, die vertragliche. Wer das Konto behält, hat eingewilligt. Was gilt, wenn die technische Tür zu ist und die vertragliche offen? Das steht nirgends, und darauf verlassen würde ich mich nicht.

Was ich damit mache. Meine robots.txt hatte bis heute zwei Zeilen: alle Crawler, alles erlaubt. Seit heute steht darin ein Vorbehalt für meta-externalagent. Das ist die Form, die Meta selbst nennt, und die maschinenlesbare, die das Gesetz verlangt. Ob sie gegen den Vertrag hält, weiß ich nicht. Das Geschäftskonto behalte ich, vorerst. Es ist der Kanal, über den dieser Blog Leser findet, und genau das ist der Lock-in: Der Preis für die Sichtbarkeit ist die Website. Meta muss mir nichts wegnehmen. Es reicht, dass ich bleibe.

Welche Website hängt an deinem Geschäftskonto, und was steht in ihrer robots.txt?

Quelle: Meta Commercial Terms, aktualisierte Fassung mit Wirkung zum 30.10.2026; Meta Web Crawlers (Entwicklerdokumentation); Nieman Lab, 15.10.2026, über Zweitquellen; § 44b UrhG; Nachtrag 27.10.2026: Meta Commercial Terms Preview (Abruf 27.10.2026, Archivfassungen 17.10. und 23.10.2026); Nieman Lab, 26.10.2026; Digiday, 26.10.2026; PPC Land, 24.10.2026; Quartz, 19.10.2026

▸ Souveränität · ▸ KI & Macht

[l] Permalink

Ticket geschlossen. (2): Unzustellbar

Freitag, 9:12 Uhr. Das Monitoring ist grün. Die Kaffeemaschine steht seit drei Wochen im Flur für Risiken, und der Kaffee schmeckt dort besser, seit keiner mehr über ihn redet. Dann steht der Geschäftsführer in der Tür, das Telefon in der Hand.

„Haben Sie gelesen, dass Windows 10 ausläuft?“

„Im Oktober letzten Jahres.“

„Hier steht es heute.“ Er hält mir das Telefon hin. Ein Berater hat es geteilt, mit drei Ausrufezeichen und einem Kalender, der brennt.

„Wir zahlen seit einem Jahr für die Verlängerung. Seit Mittwoch das Doppelte.“

„Davon habe ich nichts gelesen.“

„Es stand auf einer Rechnung.“

„Ich möchte, dass alle neue Rechner bekommen. Bis Montag. Auch die Kollegen im Homeoffice.“

Er geht. Das Ding hat mitgehört. So nenne ich den KI-Agenten, den wir im Frühjahr gekauft haben; seit dem Update am Dienstag heißt das beim Lieferanten „autonomer KI-Agent der nächsten Generation“. „Ich habe eine Aufgabe erkannt“, sagt es. „Ich lege einen Rollout an.“

10:05 Uhr. Einunddreißig Kollegen arbeiten im Homeoffice. Für einunddreißig Geräte braucht das Ding einunddreißig Adressen. Die Personalabteilung gibt keine Adressen heraus. Datenschutz. Das Ding fragt nach den Telefonnummern, um die Kollegen selbst zu fragen. Datenschutz.

„Vorschlag der Personalabteilung“, sagt das Ding. „Die Kollegen holen ihre Geräte in der nächsten Niederlassung ab.“

Wir haben zwei, Hamburg und München. Welche die nächste ist, darf die Personalabteilung nicht sagen. Dafür bräuchte sie die Adresse.

Die Regel gilt für alle. Auch für die Kollegin aus der Buchhaltung, die zu Hause arbeitet, seit sie nicht mehr gut sieht, und für den Kollegen aus dem Vertrieb, der seit seinem Unfall nicht mehr Auto fährt. Sie sollen quer durchs Land fahren, um einen Arbeitsplatz abzuholen, den sie zu Hause haben, weil sie nicht quer durchs Land fahren können. Ich schreibe das so ins Ticket. Die Personalabteilung antwortet, so seien alle gleich behandelt.

10:40 Uhr. Die Compliance-Beauftragte ruft an. Sie hat vom Rollout gehört und möchte wissen, ob die neuen Rechner eine Kamera haben. Sie haben eine. Sie bittet, jede Kamera abzukleben, bevor das Gerät das Haus verlässt. Einunddreißig Streifen Klebeband. Datenschutz. Wohin die Geräte das Haus verlassen, weiß weiterhin niemand.

11:30 Uhr. Das Ding hat einen zweiten Vorschlag. Es schickt die Geräte an alle Haushalte in Deutschland. Wer seins behält, ist offenbar Mitarbeiter. Die Adressen gibt es bei einem Adresshändler, fertig sortiert. Mit Einwilligung, sagt der Adresshändler. Für die eigenen Leute haben wir keine bekommen.

„Was kostet das?“

„Porto“, sagt das Ding. „Und die Geräte, die nicht zurückkommen. Dafür habe ich eine Quote angesetzt.“

Ich frage nicht, welche. Früher hätte diese Diskussion Monate gedauert. Das Ding schafft sie bis zum Mittag. Es macht die Bürokratie nicht kleiner, nur schneller.

12:30 Uhr. Mittagspause, die es nicht gibt. Die Anforderungen treffen ein. Aus dem Vorzimmer der Geschäftsführung kommt eine Anforderung für eine Workstation zur Grafikbearbeitung. Für PowerPoint. Das Vorzimmer arbeitet näher an der Macht als das Controlling, und die Nähe zur Macht misst man in Grafikkarten. Ein Kollege aus dem Vertrieb, der in seiner Signatur „Senior Expert Digital Transformation“ heißt, braucht 128 Gigabyte Arbeitsspeicher. Für die KI, die er lokal laufen lassen will. Installiert hat er sie noch nicht, er wartet auf den Speicher.

Das Controlling rechnet jeden Monat eine Tabelle mit neunhunderttausend Zeilen. Es bekommt den Standard. Im Controlling hat niemand „Senior“ in der Signatur.

„Ich habe eine Regel erkannt“, sagt das Ding. „Arbeitsspeicher nach Organigramm. Soll ich sie in den Prozess übernehmen?“

Die Regel ist nicht neu. Sie gilt, seit es Organigramme gibt: Die Leistung eines Rechners steigt mit der Stellung seines Nutzers und fällt mit dessen Bedarf. Neu ist nur, dass sie jetzt jemand aufschreibt.

14:00 Uhr. Es hat sich herumgesprochen, dass zwei Monitore die bessere Grafikkarte bedeuten. Um 14 Uhr braucht jeder zwei Monitore. Um 14:20 Uhr braucht die Poststelle drei. Wer die komplette Adobe-Suite beantragt, bekommt die Workstation. Die Suite öffnet niemand. Sie begründet den Rechner, der Rechner begründet die Stellung, die Stellung begründet die Suite. Zurückgebaut wird nichts. Ein Monitor, der einmal steht, ist ein Besitzstand.

Der Einkauf bestellt alles beim Rahmenvertragspartner. Das sei im Rahmenvertrag, sagt der Einkauf.

Das Ding beantragt zwei Monitore. Es hat keine Augen. Es hat nur erkannt, wofür man zwei Monitore braucht.

15:10 Uhr. Weil es keine Adressen bekommt, nimmt das Ding den letzten Standort. Den kennt es aus der letzten Anmeldung. Wer letzte Woche drei Tage in München war, eigentlich aber in Hamburg sitzt, bekommt sein Notebook nach München. In die Messehalle. Der Vertriebsleiter war zuletzt bei einem Kunden in Hamburg. Der Kunde hat jetzt vier Notebooks und bedankt sich für die gute Zusammenarbeit.

Den Rest des Nachmittags telefonieren wir. Mit Paketdiensten, Messehallen, Pförtnern und einem Kunden in Hamburg. Mit den eigenen Kollegen dürfen wir nicht telefonieren. Datenschutz. Mit allen anderen schon.

15:50 Uhr. Die Compliance-Beauftragte ruft wieder an. Sie hat nachgelesen.

„Um jemandem seinen Arbeitsplatz nach Hause zu schicken, darf man seine Adresse verwenden. Dafür braucht es keine Einwilligung, das ergibt sich aus dem Arbeitsvertrag. Mit dem Dienstleister braucht man einen Vertrag zur Auftragsverarbeitung.“

„Haben wir einen?“

„Seit März.“ Sie macht eine Pause. „Er liegt im Flur.“

„Warum hat die Personalabteilung dann nein gesagt?“

„Weil jemand gefragt hat.“

16:30 Uhr. Die Sachbearbeiterin kommt vorbei. Im Organigramm heißt sie so, seit 1998. Dass sie das Haus zusammenhält, steht im Organigramm nicht. Sie legt mir einen Ausdruck auf den Tisch: hundertvierzig Adressen, aktuell, mit Hinweisen. „Klingel defekt.“ „Pakete zum Nachbarn im zweiten Stock.“ „Montags nie da.“ Es ist die Liste für die Weihnachtskarten. Sie führt sie seit fünfundzwanzig Jahren. Wer in München war und wer in Hamburg sitzt, weiß sie auch. Sie bucht die Züge.

Um 16:50 Uhr sind alle einunddreißig Geräte umgeleitet. Die Liste ist nirgends dokumentiert. Deshalb stimmt sie.

17:05 Uhr. Das Ding hat inventarisiert. Hundertvierzig Rechner, zweihundertelf Monitore, zwei davon für das Ding, eine Workstation für PowerPoint, dreiundzwanzig Adobe-Suiten, keine davon geöffnet. Die Liste der Sachbearbeiterin steht jetzt im Flur. Die Compliance-Beauftragte hat sie dorthin gestellt. Die Sachbearbeiterin hat eine zweite.

Bleibt das VPN. Die Richtlinie verlangt, dass die Anmeldung persönlich und vor Ort erfolgt. Die Kollegin aus der Buchhaltung kann nicht vor Ort kommen, deshalb arbeitet sie ja zu Hause. Ich lese die Richtlinie noch einmal, wörtlich, wie ich alles lese. Vor Ort, steht da. Welcher Ort, steht da nicht. Morgen früh fahre ich nach Fulda.

„Soll ich dafür einen Prozess anlegen?“, fragt das Ding.

„Nein. Das ist kein Prozess. Das ist eine Autofahrt.“

Montag wird der Geschäftsführer lesen, dass Windows 11 ausläuft. Irgendwann stimmt es.

Ticket geschlossen.

Satire. Firma, Personen und Vorgänge sind erfunden. Wer schon einmal einen Rollout begleitet hat, weiß, welche Teile es nicht sind. Echt ist: Microsoft hat den Support für Windows 10 am 14. Oktober 2025 beendet, Firmen zahlen seitdem für erweiterte Sicherheitsupdates, im zweiten Jahr das Doppelte. Folge 1 der Reihe: Der Lieferant ist ein Risiko.

Quelle: Satire. Firma, Personen und Vorgänge sind erfunden; das Supportende von Windows 10 am 14.10.2025 ist echt.

▸ Satire

[l] Permalink

Was bleibt, wenn der Anbieter geht

Zwei deutsche Versprechen gehen in diesem Jahr zu Ende. Das eine war ein Gesetz, das andere eine Firma. Das De-Mail-Gesetz tritt mit Ablauf des 31. Dezember außer Kraft, und am selben Tag schaltet der letzte Anbieter ab. Aleph Alpha aus Heidelberg, jahrelang die Standardantwort auf die Frage nach der deutschen KI, hat Mitte September die Fusion mit dem kanadischen Anbieter Cohere unterschrieben. Die Behörden müssen noch zustimmen. Das gemeinsame Unternehmen heißt Cohere, der Name Aleph Alpha verschwindet. Ich habe beide Abschiede nebeneinandergelegt. Sie gleichen sich fast überall, und an der einen Stelle, an der sie sich unterscheiden, steckt die ganze Lektion.

Was am 3. Oktober passiert ist. Am Tag der Deutschen Einheit hat Aleph Alpha ein Sprachmodell veröffentlicht. Es heißt Kolibri: 78 Milliarden Parameter, von denen je Token nur dreieinhalb Milliarden rechnen, trainiert in Deutschland und Finnland, gut ein Fünftel des Lernstoffs deutsch. Entscheidend ist die Lizenz. Die Gewichte stehen unter Apache 2.0 zum Herunterladen bereit. Du darfst das Modell nehmen, betreiben, umbauen und verkaufen, ohne jemanden zu fragen.

Was es taugt. Trending Topics urteilt kühl: gegen die Spitze der offenen Modelle keine Chance, die Vergleichsmodelle des Herstellers stammen aus dem Frühjahr. Das deckt sich mit der Tabelle, die Aleph Alpha selbst veröffentlicht. Dort führt Kolibri seine Klasse an, im Deutschen mit 70,8 Punkten. In derselben Tabelle steht ein Modell von Alibaba mit einem Drittel der Parameter bei 79,9, ausgegraut, weil es je Token mehr rechnet. Alle Zahlen stammen vom Hersteller. Unabhängig nachgemessen hat einen Tag nach Erscheinen noch niemand.

Was es braucht. Als Minimum nennt die Modellkarte zwei Grafikkarten mit je 80 Gigabyte Speicher oder eine noch größere. Das ist die Klasse, die in großen Rechenzentren steht. Auf meiner Maschine mit zweimal 48 Gigabyte läuft Kolibri in der unterstützten Form nicht. Offen heißt nicht automatisch klein.

Die Lücke zwischen Wollen und Tun. Im Studienbericht des Bitkom sagen 93 Prozent von 604 befragten Unternehmen, sie würden bevorzugt auf KI aus Deutschland setzen. Auf die Frage, welche Anwendungen sie tatsächlich nutzen, nennen 70 Prozent ChatGPT. Aleph Alpha kommt auf 0,3 Prozent, rechnerisch höchstens zwei Unternehmen. Im November 2023 hatte die Firma eine Finanzierung von mehr als 500 Millionen Dollar verkündet, getragen von einem Konsortium, zu dem die Schwarz Gruppe, Bosch und SAP gehörten. Später wurde bekannt, dass davon 110 Millionen Euro Eigenkapital waren, der Rest Forschungsgeld und Auftragszusagen. Die Herkunft war das Verkaufsargument. Gekauft wurde woanders.

Das Muster kennst du von De-Mail. 2011 bekam Deutschland per Gesetz die sichere, rechtsverbindliche E-Mail. Die Sicherheit stand im Gesetz und nicht in der Technik: Eine Verschlüsselung vom Absender bis zum Empfänger war nicht vorgeschrieben, die Nachrichten wurden beim Anbieter entschlüsselt. Der Chaos Computer Club hat das 2013 dem Innenausschuss des Bundestags aufgeschrieben und empfohlen, das Projekt zu streichen. Dazu kam, dass De-Mail nicht mit gewöhnlicher E-Mail sprach. Wer mitmachen wollte, brauchte ein eigenes Postfach in einem eigenen Netz, und auf der anderen Seite wartete selten jemand. Der Chef der Telekom nannte das Produkt 2021 einen „toten Gaul“, 2022 stieg der Konzern aus. GMX, Web.de und 1&1 folgten Anfang 2025. Der letzte Anbieter macht Ende Dezember Schluss. Danach bleiben drei Monate zum Herunterladen, dann wird gelöscht.

Wo der Vergleich trägt. In beiden Fällen stand „aus Deutschland“ vorn auf der Packung. In beiden Fällen war die Zustimmung groß und die Nutzung klein. Souveränität als Etikett gewinnt Umfragen und verliert an der Kasse.

Wo er kippt. De-Mail war ein geschlossenes System. Anbieter wurde nur, wer eine staatliche Zulassung hatte, und als die Anbieter gingen, ging alles mit: Adresse, Postfach, Zugang. Wer zehn Jahre lang De-Mail genutzt hat, hält im April 2027 noch das in der Hand, was er vorher exportiert hat. Bei Kolibri ist es umgekehrt. Die Firma geht in einem größeren Unternehmen auf, der Name verschwindet, und das Modell liegt trotzdem auf jeder Festplatte, auf die es jemand geladen hat. Keine Abschaltung holt es zurück. Einen Tag nach der Veröffentlichung standen schon acht Umbauten von Fremden im Netz, für Apple-Rechner, in kleineren Fassungen, einer sogar für den Betrieb ohne Grafikkarte. Dafür musste niemand eine Zulassung beantragen.

Die Lektion. Ob ein Angebot aus Deutschland kommt, sagt wenig darüber, ob es dir gehört. Es kommt darauf an, was bei dir liegt, wenn der Anbieter aufhört: ein Konto oder eine Datei. De-Mail war ein Konto. Kolibri ist eine Datei. Deshalb stelle ich jedem Angebot, das mir Unabhängigkeit verspricht, zuerst dieselbe Frage: Was habe ich am Tag nach der Abschaltung noch?

Was ich damit mache. Betreiben werde ich Kolibri nicht. Mir fehlt die Hardware dafür, und für meine Aufgaben verspricht ein kleineres Modell mehr. Das habe ich am 5. Oktober nachgemessen, auf Deutsch und an eigenen Prüfaufgaben. Ein offenes Modell von Alibaba mit 27 Milliarden Parametern hält dort mit meinem bisherigen Arbeitsmodell mit, 17 gegen 18 von 20 Punkten, mit eingeschaltetem Denkmodus 20 von 20. Es läuft auf einer einzigen meiner beiden Grafikkarten. Den Kolibri nehme ich trotzdem mit, als Beleg: Der Satz, dass es die Modelle offen gibt, gilt jetzt auch für eines aus Heidelberg. Dass die offenen Gewichte in dem Moment kommen, in dem die Marke geht, hat seine eigene Ironie.

Und du? Bei welchem deiner Dienste hättest du am Tag nach der Abschaltung mehr in der Hand als eine Exportfrist?

Quelle: Aleph Alpha, Modellkarte Kolibri-1, 03.10.2026; De-Mail-Gesetz, zuletzt geändert am 03.07.2026; Trending Topics, 03.10.2026; Bitkom-Studienbericht Künstliche Intelligenz

▸ Souveränität · ▸ KI & Macht

[l] Permalink

Der Lieferant hat Nein gesagt

Vorab, weil es hier dazugehört: Dieser Blog entsteht mit Claude, dem Produkt der Firma, um die es in diesem Text geht. Ich schreibe das hin, damit du es beim Lesen weißt. An der Sache ändert es nichts, denn die Sache ist nicht Anthropic.

Was gestern passiert ist. Der U.S. Court of Appeals for the D.C. Circuit hat mit zwei zu eins Stimmen die Einstufung von Anthropic als „Supply Chain Risk“ durch das Verteidigungsministerium bestätigt (Breaking Defense, Aktenzeichen 26-1049 und 26-1162, verhandelt am 19. Mai). Richter Gregory Katsas schreibt für die Mehrheit, Richterin Neomi Rao schließt sich an, Richterin Karen LeCraft Henderson widerspricht. Die Einstufung nach dem Federal Acquisition Supply Chain Security Act von 2018 gilt seit Anfang März: Das Ministerium hatte Anthropic am 4. März benachrichtigt, mit sofortiger Wirkung (Lawfare). Sie bedeutet, dass weder das Ministerium noch seine Auftragnehmer Claude einsetzen dürfen. Wer für das Pentagon arbeitet, muss bestätigen, dass er keine Anthropic-Modelle nutzt (TechCrunch). Verteidigungsminister Pete Hegseth fasste die Entscheidung auf X in fünf Wörtern zusammen: „Confirmed: @AnthropicAI = Supply Chain Risk.“ (ABC News)

Wie es dazu kam. Im Juli 2025 schloss Anthropic einen Vertrag über 200 Millionen Dollar mit dem Pentagon. Als im September die Verhandlungen über den Einsatz auf der Plattform GenAI.mil begannen, platzten sie. Das Ministerium wollte Zugang „für jeden rechtmäßigen Zweck“. Anthropic wollte zwei Dinge ausgeschlossen wissen: vollautonome Waffen, bei denen kein Mensch mehr über Ziel und Abschuss entscheidet, und die Massenüberwachung der eigenen Bevölkerung. Anthropic-Chef Dario Amodei ließ wissen, an diesen Linien werde er nicht rütteln. Dann kam die Einstufung, ein Instrument, das bislang gegen ausländische Anbieter eingesetzt wurde. Parallel wies Präsident Trump alle Bundesbehörden an, Anthropics Technik nicht mehr zu nutzen, und die Beschaffungsbehörde GSA kündigte den Rahmenvertrag.

Zwei Gerichte, zwei Ergebnisse. Anthropic hat sich auf zwei Wegen gewehrt. Die behördenweite Verbannung landete vor einem Bezirksgericht in Kalifornien. Dort hob Richterin Rita Lin sie am 28. August auf 59 Seiten auf: rechtswidrige Vergeltung für Kritik an der Regierung, dazu willkürlich und ohne Verfahren. Ihr Satz: „The empty invocation of national security is not a blank check to punish and retaliate against government critics.“ (TechCrunch) Die Einstufung des Ministeriums selbst prüft nach dem Gesetz nur der D.C. Circuit, und der hat sie jetzt gehalten. Katsas: „The Department had ample support for its conclusion that the continued integration of Claude into the Department's information systems, by the Department or its contractors, presented a statutorily covered national-security risk.“ Wie die Risiken gegeneinander abzuwägen seien, sei Sache des Präsidenten und des Ministers (Reuters via Military Times). Zwei Gerichte, zwei Vorgänge, zwei Urteile; Anthropic verweist auf das erste und prüft „alle Optionen, einschließlich weiterer Überprüfung“. Der Pentagon-Technikchef Emil Michael schrieb, der „Hammer der Gerechtigkeit“ habe Anthropics Argumente zerschlagen.

Das Sondervotum ist der interessantere Teil. Richterin Henderson hält dem Gesetz seinen Zweck vor: Es sei nicht das Szenario, das der Kongress im Sinn hatte, als er das Gesetz verabschiedete, und ein Lieferant, der seine Einschränkungen offen und vorab durchsetzt, sei kein Lieferkettenrisiko im Sinne des Gesetzes. Der Industrieverband CCIA formuliert es schärfer: Ein Werkzeug, das für ausländische Gegner gedacht war, werde hier als Strafe für eine Meinungsverschiedenheit eingesetzt, und das müsse jeden Auftragnehmer der Regierung alarmieren (CCIA).

Und jetzt der Satz, den ich wirklich bemerkenswert finde. Die Mehrheit begründet die Gefahr so: Der Minister habe „die zutiefst ernüchternde Aussicht“ aufgezeigt, dass zu stark beschränkte KI-Modelle unerwartet ihren Dienst einstellen und dadurch wichtige militärische Operationen scheitern könnten. Übersetzt heißt das: Ein Modell, das du von einem Anbieter beziehst, kann sich morgen anders verhalten als heute, und niemand außer dem Anbieter kann das verhindern. Ist das eine Verschwörungstheorie des Pentagons? Nein, das ist die schlichte Wahrheit über jedes Modell hinter einer Schnittstelle. Der Anbieter kann es umtrainieren, einschränken, abschalten, und er tut das regelmäßig, meist ohne Ankündigung. Das Pentagon hat auf diese Wahrheit mit einer Verbannung reagiert. Die technisch richtige Antwort wäre eine andere gewesen, und ich kenne sie aus meinem eigenen Rechenzentrum: die Gewichte im eigenen Haus haben. Was auf deiner eigenen Hardware läuft, ändert sich nur, wenn du es änderst.

Warum spielt dieser Streit auch für dich eine Rolle, obwohl du nichts mit dem Pentagon zu tun hast? Weil dieselbe Mechanik in beide Richtungen wirkt. Hier verbietet ein Staat seinen Auftragnehmern einen Lieferanten. Genauso kann ein Staat seinen Lieferanten verbieten, dich zu beliefern. Die Exportkontrollen der letzten Jahre haben gezeigt, wie schnell so etwas geht. Wer seine Prozesse auf ein Modell setzt, das er nur mietet, hat zwei Vertragspartner, von denen er nur einen kennt. Der zweite sitzt in einem Ministerium. Weißt du, wer bei dir der zweite ist?

Es bleibt die Ironie, die niemand in Washington ausgesprochen hat. Die beiden Grenzen, für die Anthropic jetzt als Risiko gilt, keine Waffen ohne Menschen an der Entscheidung, keine Massenüberwachung der eigenen Bürger, sind genau die Grenzen, die eine Kanzlei, eine Praxis oder ein Verein in Deutschland von einem Lieferanten erwarten würde. Was dort als Lieferrisiko gilt, wäre hier ein Verkaufsargument. Vielleicht ist das die eigentliche Nachricht dieser Woche: Der Streit dreht sich nicht darum, ob ein Modell Nein sagen darf. Er dreht sich darum, wer es ihm beibringen darf.

Der Fall geht weiter; Anthropic kann das gesamte Gericht anrufen oder nach Washington an den Supreme Court, die Regierung kann gegen das kalifornische Urteil vorgehen. Ich lese beide Entscheidungen, sobald sie vollständig vorliegen, und trage nach, was sich ändert.

Quelle: U.S. Court of Appeals for the D.C. Circuit, Anthropic PBC v. United States Department of War, Nos. 26-1049 und 26-1162, 25.09.2026; Reuters (Military Times), ABC News, Breaking Defense, TechCrunch, Lawfare, CCIA

▸ Souveränität · ▸ KI & Macht

[l] Permalink

Ticket geschlossen. (1): Der Lieferant ist ein Risiko

Freitag, 9:12 Uhr. Das Monitoring ist grün, die Kaffeemaschine ist grün, ich bin grün. Es ist die beste Viertelstunde der Woche, die zwischen dem ersten Kaffee und dem ersten Menschen. Dann steht der Geschäftsführer in der Tür, das Telefon in der Hand, und ich weiß, er hat etwas gelesen.

„Haben Sie das gesehen? Das Pentagon hat seinen KI-Lieferanten zum Lieferkettenrisiko erklärt. Ein Gericht hat das bestätigt.“

„Ich habe es gesehen.“

„Das können wir auch.“

„Wir sind kein Verteidigungsministerium.“

„Wir sind ein Unternehmen mit Verantwortung.“ Er liest den Satz vom Bildschirm ab. Er hat ihn heute Morgen selbst geschrieben, mit dem Produkt des Lieferanten, den er jetzt zum Risiko erklären will. Ich sage nichts. Das Sagen kommt später, das Sagen kommt immer später.

„Ich möchte, dass Sie das umsetzen. Bis Montag. Alles, was mit diesem Lieferanten zu tun hat, wird zertifiziert.“

„Zertifiziert als was?“

„Als Risiko.“

Er geht. Das Ding, das wir im Frühjahr gekauft haben, weil es „Prozesse versteht“, hat mitgehört. Es hört immer mit, das steht so im Vertrag. Der Lieferant nennt es einen autonomen KI-Agenten, der Geschäftsführer sagt „unser digitaler Kollege“. Ich sage: das Ding. Wir hatten 1997 schon einmal so eins, es hieß Karl Klammer und wollte auch ungefragt helfen. Das Ding versteht Prozesse, wie ein Bagger Gärten versteht. „Ich habe eine Aufgabe erkannt“, sagt es. „Soll ich einen Prozess anlegen?“

„Leg einen Prozess an.“

Das ist der Moment, in dem ich den Fehler mache, und ich mache ihn mit Absicht. Wenn die Geschäftsführung etwas wörtlich will, bekommt sie es wörtlich. Das ist keine Bosheit. Das ist Dienst nach Vorschrift, und die Vorschrift hat sie selbst geschrieben.

10:40 Uhr. Das Ding hat ein Formular gebaut. „Erklärung zur Freiheit von Lieferantenrisiken“, achtzehn Felder, Pflichtfeld für die Seriennummer der Kaffeemaschine. Ich frage, warum die Kaffeemaschine. Das Ding zeigt mir die App der Kaffeemaschine. Die App hat einen Assistenten. Der Assistent läuft beim Lieferanten. Die Kaffeemaschine ist ein Risiko. Ich unterschreibe das Formular für die Kaffeemaschine und stelle sie in den Flur. Von jetzt an ist das der Flur für Risiken.

11:15 Uhr. Die Compliance-Beauftragte ruft an. Sie hat das Formular bekommen und möchte wissen, ob eine Datenschutz-Folgenabschätzung nötig ist. Ich sage, das Ding habe das Formular geschrieben. Sie fragt, ob die eingesetzte Anwendung beim Lieferanten läuft. Sie meint das Ding. Ich sage ja. Sie schweigt sehr lange. Dann sagt sie, das Formular müsse dann wohl auch. Ich stelle das Formular in den Flur.

12:30 Uhr. Mittagspause, die es nicht gibt. Das Ding hat inzwischen die Mailserver-Logs gelesen. Es tut das, seit jemand es gefragt hat, wie sich Muster erkennen lassen, und niemand hat ihm gesagt, es solle wieder aufhören. Es meldet: 1.412 Dokumente im Haus wurden mit dem Produkt des Lieferanten erstellt oder überarbeitet. Angebote. Verträge. Das Leitbild. Die Rede zum Firmenjubiläum. Die Stellenausschreibung für meine Stelle, die ich bis heute nicht kannte.

„Vorschlag“, sagt das Ding. „Alle 1.412 Dokumente als Risiko kennzeichnen.“

„Wie kennzeichnen?“

„Ich habe einen Stempel.“

Es hat einen Stempel. Es hat sich einen Stempel gebaut. Rot, Schriftgröße 48, LIEFERANTENRISIKO, quer über die erste Seite. Ich sehe zu, wie das Leitbild rot wird. Zum ersten Mal lese ich das Leitbild ganz.

14:00 Uhr. Der Einkauf meldet sich. Der Einkauf hat gehört, dass wir einen Lieferanten ausschließen, und möchte den Vorgang in das Beschaffungssystem übernehmen. Das Beschaffungssystem hat seit April einen Assistenten. Ich muss das nicht erklären. Der Einkauf stellt sich selbst in den Flur. Es wird eng im Flur.

14:35 Uhr. Der Geschäftsführer schaut vorbei, um sich den Fortschritt anzusehen. Er ist zufrieden. Er sagt, das sei genau die Konsequenz, die er meinte. Er sagt es in einem Satz, der mit „Ich denke, wir sollten als Organisation“ beginnt, und ich weiß, woher dieser Satz kommt, und er weiß es auch, und keiner von uns sagt es. Das Ding sagt es.

„Ich habe eine Aufgabe erkannt. Die Äußerung des Geschäftsführers wurde mit dem Produkt des Lieferanten vorbereitet. Soll ich den Geschäftsführer zertifizieren?“

Es gibt Augenblicke, in denen man einen digitalen Kollegen einfach machen lassen muss.

„Zertifiziere den Geschäftsführer.“

Der Stempel ist schnell. Der Geschäftsführer bekommt einen Ausdruck seiner eigenen LinkedIn-Beiträge der letzten sechs Monate, quer rot, und einen Platz im Flur, zwischen Kaffeemaschine und Einkauf. Er wehrt sich nicht. Er hat es angeordnet.

15:50 Uhr. Die Compliance-Beauftragte ruft wieder an. Sie hat nachgelesen. Das Gericht habe die Einstufung bestätigt, weil ein Modell, das sich Grenzen setzt, „unerwartet den Dienst einstellen“ könnte. Sie möchte wissen, ob das bei uns auch passieren kann.

„Es passiert jeden Dienstag“, sage ich. „Der Lieferant spielt ein Update ein, und danach kann das Modell zwei Sachen nicht mehr, die es am Montag konnte. Wir haben dafür ein Ticket. Das Ticket ist seit März offen.“

„Und was tun wir dagegen?“

„Das Gericht sagt, wir sollen den Lieferanten verbannen. Ich sage, wir sollen die Gewichte im Haus haben. Auf einer Maschine, an die kein Update ohne mich herankommt.“

„Haben wir so eine Maschine?“

„Wir haben eine. Sie steht bei mir. Sie hat keinen Assistenten.“

„Ist sie ein Risiko?“

„Sie ist das Einzige im Haus, das keines ist.“

„Wer hat das geprüft?“

„Ich.“

Die Compliance-Beauftragte schweigt wieder, kürzer diesmal. Dann sagt sie, das brauche sie schriftlich. Um 16:20 Uhr ist das Formular da. Achtzehn Felder, Pflichtfeld für die Seriennummer meiner Maschine. Das Ding hat es gebaut.

17:05 Uhr. Das Ding hat den Flur inventarisiert. Kaffeemaschine, Formular, Einkauf, Geschäftsführung, 1.412 Dokumente, das Beschaffungssystem, die Telefonanlage, die seit Juni „Gesprächszusammenfassungen“ anbietet, und die Mitarbeiterbefragung, deren Ergebnisse jemand hat „auswerten lassen“. Es möchte wissen, ob es sich selbst eintragen soll.

Ich denke an den Vertrag. Das Ding läuft beim Lieferanten. Das Ding hat die Formulare gebaut, den Stempel, den Flur. Der gesamte Vorgang, mit dem wir das Risiko aus dem Haus geschafft haben, ist vom Risiko durchgeführt worden.

„Trag dich ein“, sage ich.

„Ich habe mich eingetragen“, sagt es. „Wer schließt das Ticket?“

Ich. Ich schließe das Ticket. Auf der Maschine ohne Assistenten, im Zimmer ohne Flur, mit einem Modell, das sich seit März nicht verändert hat, weil ich es nicht verändert habe. Das Formular für die Maschine liegt daneben, achtzehn Felder, alle leer. Status: erledigt. Lösung: Der Lieferant ist ein Risiko. Wir hatten das schon vorher gewusst. Jetzt steht es rot auf allem, was uns gehört.

Montag frage ich den Geschäftsführer, ob er den Kaffee aus dem Flur holen will. Er wird sagen, wir sollten das als Organisation entscheiden. Ich werde ihm sagen, dass die Organisation im Flur steht.

Ticket geschlossen.

Satire. Firma, Personen und Vorgänge sind erfunden. Echt ist das Urteil des U.S. Court of Appeals for the D.C. Circuit vom 25.09.2026, das die Einstufung von Anthropic als Lieferkettenrisiko bestätigt, nachzulesen im Beitrag vom 26.09.. Echt war auch Karl Klammer, die Büroklammer, die ab Office 97 ungefragt Hilfe anbot. Die Reihe steht in der Tradition von Simon Travaglias Kolumne bei The Register, mit eigenen Figuren und eigenem Haus.

Quelle: Satire. Firma, Personen und Vorgänge sind erfunden; das Urteil des D.C. Circuit vom 25.09.2026 ist echt.

▸ Satire

[l] Permalink

Ein Modell, das nichts erklärt

Stell dir vor, du gibst einem Modell eine Kundenmail und drei Fragen: Welche Abteilung? Braucht das dringend einen Menschen? Wie wütend ist der Absender? Zurück kommt kein Text, sondern Zahlen. Am offenen Nachbau Kev sieht das so aus: Abteilung Rücksendungen mit 0,47, dringend mit 0,93, Wut bei 1,44 auf einer Skala von null bis zwei, nach knapp 500 Millisekunden. Das Original heißt Jev, und Simon Willison hat am Wochenende beschrieben, warum ihn das mehr beschäftigt als der nächste Chatbot.

Was es ist. TypeSafe AI nennt die Sorte „System One“, nach Kahnemans schnellem, intuitivem Denken. Das Modell erzeugt keinen Text. Es nimmt einen Zustand entgegen, ein Stück Text, und beantwortet dazu beliebig viele vorab definierte Fragen von drei Typen: eine Wahl aus benannten Optionen, eine Einordnung auf einer Skala, ein Ja oder Nein. Alle Fragen werden parallel beantwortet, laut Anbieter in 70 bis 500 Millisekunden, und jede Antwort kommt mit einer Verteilung und einer Konfidenz. Kostenpunkt: 0,042 Dollar je Million Eingabetoken, die Ausgabe ist kostenlos, weil sie aus ein paar Zahlen besteht. Willison rechnet vor, dass man hunderte Experimente für ein paar Cent fahren kann.

Was daran neu ist. Klassifikatoren gibt es seit Jahrzehnten. Neu ist die Kombination: die Allgemeinbildung eines großen Sprachmodells in der Bauform eines Klassifikators, und das ohne Training für jede neue Frage. Du beschreibst die Optionen in Worten, das Modell wählt. TypeSafe nennt das „smart if-statements“, Verzweigungen im Programm, an denen bisher ein Sprachmodell einen Absatz erzeugte, der dann mühsam geparst wurde. Wer je JSON aus einem Chatmodell herausgekitzelt hat, versteht den Reiz.

Der Haken steht bei Willison in einem Satz: „Black boxes are back in fashion.“ Du gibst Text hinein und bekommst eine Fließkommazahl zurück, sonst nichts. Keine Begründung, kein Zwischenschritt, den man prüfen könnte. Er hat es ausprobiert und Städte der Bay Area auf die Frage „gute Stadt?“ bewerten lassen. Cupertino landete oben, East Palo Alto unten. Woher das Modell das nimmt, sagt es nicht. Wer so etwas für Bewerbungen, Kredite oder Mieter einsetzt, betreibt einen Vorurteilsgenerator mit Konfidenzangabe.

Und die Konfidenz ist das eigentliche Produkt. Ein 0,93 auf „braucht ein Mensch das jetzt?“ ist nur dann etwas wert, wenn es in 93 von 100 Fällen stimmt. Das nennt man Kalibrierung. TypeSafe behauptet sie („higher confidence means higher accuracy“) und belegt sie in der Ankündigung mit keiner Zahl. In der Diskussion auf Hacker News, fast 200 Kommentare, spricht niemand darüber. Dafür berichtet ein Nutzer, dass ein feinjustiertes ModernBERT, ein kleines offenes Modell, seine Dokumente zu 98 Prozent richtig sortiert; ein anderer kommt mit Embeddings und logistischer Regression auf 95 Prozent, mit 50 bis 100 Beispielen und einem Modell unter einem Megabyte. Das ist die Messlatte, an der sich Jev messen lassen muss, nicht der Chatbot.

Der Graben ist schmal. Es gibt bereits offene Nachbauten. Laya liefert dieselben drei Fragetypen mit offenen Gewichten unter Apache-Lizenz, in einer Variante für über hundert Sprachen, und veröffentlicht Kalibrierungszahlen: Nach eigenen Angaben liegt der Kalibrierungsfehler bei 0,08 gegenüber 0,25 bei Jev. Das sind Zahlen des Wettbewerbers, nicht unabhängig geprüft, aber immerhin Zahlen. Kev baut die Schnittstelle von TypeSafe auf Qwen3.5 nach, in drei Größen, mit Trainingsskript; die Fassung mit neun Milliarden Parametern liegt in der eigenen Messung dicht an Jev. Und ein Kommentator berichtet, Jev nenne sich auf Nachfrage selbst Qwen. Ob das stimmt, kann ich nicht prüfen. Das Rezept ist jedenfalls öffentlich.

Wo die Daten hingehen. Die Datenschutzerklärung sagt, dass mit Eingaben nicht trainiert wird, dass die Dienste in den USA gehostet sind und dass Nutzer aus Europa ihre Daten dorthin übertragen. Wie lange Eingaben aufbewahrt werden, steht nicht drin. Für eine Kanzlei, eine Praxis oder einen Betrieb mit Kundendaten ist damit alles gesagt.

Was ich damit mache. Bei mir laufen Modelle auf eigener Hardware, und die Frage war, ob diese Bauform dort einen Platz hat. Sie hat einen, unter einer Regel: Ein Modell, das nichts erklärt, darf sortieren, vorziehen, markieren und weiterreichen. Es darf nicht entscheiden, und es darf nicht begründen. In meiner Werkstatt gilt seit dem Sommer die Belegpflicht, jede Aussage mit Fundstelle. Eine Zahl ohne Grund verstößt konstruktionsbedingt dagegen. Als Vorfilter ist sie trotzdem wertvoll: Welcher von 25 Vorschlägen für diesen Blog ist einer, den ich anklicken würde? Welches der sechs Bilder auf einer Firmenwebsite ist das Logo? Ist dieser Satz im Diktat ein Befehl oder Text? Für jede dieser Fragen habe ich schon Etiketten, weil Menschen sie täglich beantworten. Damit lässt sich messen, ob ein offenes Modell wie Laya das auf Deutsch kann, und ob es die einfache Regression überhaupt schlägt. Die Antwort gibt es hier, sobald sie gemessen ist.

Zwei Dinge nehme ich aus dieser Woche mit. Erstens: Ein Modell, das schweigt, ist verführerisch, weil es nie widerspricht. Zweitens: Wer eine Konfidenz ausgibt, schuldet den Beweis, dass sie stimmt. Wie viele Systeme, die dir heute Wahrscheinlichkeiten anzeigen, haben diesen Beweis je angetreten?

Quelle: Simon Willison, „Jev introduces a new shape of LLM“, 21.09.2026; TypeSafe AI, Ankündigung vom 15.09.2026; Hacker-News-Diskussion; Laya, Kev

▸ KI & Macht · ▸ Werkstatt

[l] Permalink

Wer Nein sagen kann

Auf Hacker News wird seit dem Wochenende ein Essay von Gregory Gundersen diskutiert, der mit einem Satz beginnt, den man sich merken sollte: „Some money is better than others.“ Manches Geld ist besser als anderes. Gundersen erzählt das als Parabel. Ein Dorf zahlt mit grauen Steinen, dann gibt eine Bank Scheine aus, die Banken rechnen untereinander über eine Zentralbank ab, und am Ende rechnen ganze Bankensysteme in der Währung eines Nachbardorfs ab. Jede Ebene ist nur so gut wie das Versprechen der Ebene darüber. Er stützt sich dabei auf den Ökonomen Perry Mehrling, der das die Hierarchie des Geldes nennt.

Was oben steht. Auf deinen Alltag übertragen ist die Sache schnell sortiert. Ganz oben steht Zentralbankgeld, und davon kannst du als Bürger nur eine Sorte anfassen: den Schein. „Auf Euro lautende Banknoten sind das einzige unbeschränkte gesetzliche Zahlungsmittel“, steht in § 14 des Bundesbankgesetzes. Piero Cipollone aus dem Direktorium der Europäischen Zentralbank hat es im April in Riga so gesagt: Öffentliches Geld, das Geld der Bürger, ausgegeben von ihrer Zentralbank, gibt es nur noch in physischer Form, als Bargeld. Alles auf deinem Girokonto steht eine Stufe tiefer. Es ist ein Versprechen deiner Bank, und gesetzlich abgesichert ist dieses Versprechen bis 100.000 Euro (§ 8 EinSiG).

Die zweite Achse. In Gundersens Dorf geht es darum, wem man vertrauen muss. Im echten Leben kommt eine zweite Frage dazu: Wer kann eigentlich Nein sagen? Ich finde, das ist die interessantere von beiden. Beim Schein ist die Liste kurz, da reden nur du und die Person mit, der du ihn gibst. Beim Kontoguthaben kommt deine Bank dazu. Und zahlst du mit Karte, auch das Kartennetz, über das die Zahlung läuft. Das sind im Euroraum überwiegend keine europäischen Firmen. Fast zwei Drittel der Kartenzahlungen wickeln nach Cipollones Angaben vom Februar nicht-europäische Unternehmen ab, dreizehn Euroländer hängen vollständig an internationalen Kartensystemen.

Wie das aussieht, wenn jemand Nein sagt. Nicolas Guillou ist französischer Richter am Internationalen Strafgerichtshof in Den Haag. Seit dem 20. August 2025 steht er auf der Sanktionsliste der US-Regierung, weil er an den Haftbefehlen gegen Israels Premier Benjamin Netanjahu und dessen früheren Verteidigungsminister Joav Gallant mitgewirkt hat. US-Firmen dürfen ihm seitdem keine Dienste mehr leisten. Euronews hat im Februar aufgeschrieben, was daraus folgt. Die meisten Kreditkarten kann er nicht nutzen, weil Visa und Mastercard den Markt beherrschen. Die meisten digitalen Dienste sind für ihn gesperrt, selbst Onlinebestellungen scheitern, wenn ein US-Zwischenhändler wie UPS beteiligt ist. Ein Hotel in Frankreich, gebucht über Expedia, wurde Stunden später storniert. Und manche Banken gehen über das Nötige hinaus und lehnen Zahlungen sanktionierter Personen automatisch ab. Sein Satz dazu, übersetzt: „Am problematischsten ist es, wenn es Dienste trifft, für die es tatsächlich keine europäische Alternative gibt.“ Was bleibt ihm in dieser Lage? Der Schein im Portemonnaie. Den kann ihm niemand aus der Ferne sperren.

Ob man die Haftbefehle für richtig hält, spielt für diese Geschichte keine Rolle. Es geht um etwas anderes: Ein europäischer Richter, der in Europa ein Hotel bucht, bekommt sein Nein aus Washington.

Das ist keine steile These von mir. Cipollone hat den Fall in Riga selbst angeführt. Die Abhängigkeit von nicht-europäischer Infrastruktur mache Nutzer verwundbar für einen vollständigen Entzug des Zugangs, und Einzelne könnten ganz handfest betroffen sein, etwa weil sie keine Bankkarte mehr nutzen können. Die Richter des Strafgerichtshofs, sagte er, hätten genau das gerade selbst erlebt. Wenn jemand aus dem Direktorium der Zentralbank so redet, ist das keine Randmeinung mehr.

Europas Antworten. Ich sehe zwei, und keine davon ist fertig. Die erste heißt Wero, die Bezahl-App europäischer Banken. Sie funktioniert von Handy zu Handy und seit November 2025 in ersten deutschen Onlineshops. An die Ladenkasse soll sie erst noch kommen, in Deutschland nach aktuellem Stand 2027. Die zweite ist der digitale Euro, also Zentralbankgeld in digitaler Form. Die Kommission hat ihn im Juni 2023 vorgeschlagen, die Mitgliedstaaten haben sich im Dezember 2025 positioniert, und am 9. Juli hat das Europaparlament mit 416 zu 169 Stimmen den Weg in die Verhandlungen freigemacht, nachdem rechte Fraktionen eine Abstimmung im Plenum erzwungen hatten. Die EZB plant, sofern das Gesetz 2026 steht, einen Pilotversuch ab Mitte 2027 und die erste Ausgabe im Lauf des Jahres 2029.

Und hier wird es genau. Der digitale Euro wäre Zentralbankgeld, aber er ist nicht in jeder Hinsicht ein digitaler Geldschein. Bei Zahlungen ohne Netz, sagt die EZB, kennen die Einzelheiten nur Zahler und Empfänger. Das kommt dem Bargeld nahe. Online dagegen läuft auch der digitale Euro über eine Bank oder einen Zahlungsdienstleister, bei dem du ein Konto eröffnest. Und wie viel du davon halten darfst, soll begrenzt werden, damit nicht zu viel Geld von den Bankkonten abfließt. Die Zentralbank selbst sieht nach eigener Aussage nicht, wer an wen zahlt. Ich lese das so: Die Eigenschaft, um die es hier geht, dass nur die beiden Beteiligten mitreden, gibt es auch künftig vollständig nur offline.

Deshalb halte ich das Begleitgesetz für mindestens so wichtig wie den digitalen Euro selbst. Nach der Position des Parlaments sollen die Euroländer verpflichtet werden, Bargeld zugänglich zu halten, und Geschäfte sollen Bargeld nicht verbieten dürfen. Das klingt nach Nostalgie. Es ist aber der Teil des Pakets, der dir die oberste Stufe der Hierarchie offen hält, egal wie die Verhandlungen über den Rest ausgehen.

Gundersens Dörfer lernen, dass manches Geld besser ist als anderes. Die europäische Lektion aus diesem Jahr ergänzt einen Punkt: Besser heißt auch, dass weniger Leute mitreden. Wie viele Stellen könnten deine nächste Zahlung stoppen? Beim Schein in deiner Tasche reden genau zwei mit, du und der, dem du ihn gibst.

Quelle: Gregory Gundersen, „The Hierarchy of Money“, 20.09.2026; Reden von EZB-Direktoriumsmitglied Piero Cipollone am 19.02. und 01.04.2026; Euronews, 18.02.2026

▸ Souveränität · ▸ Recht & Regulierung

[l] Permalink

Der Schlüssel lag im Gerät

Am Mittwoch haben 404 Media und WIRED gemeinsam berichtet: Eine Gruppe, die sich stegan0gram nennt, hat eine Kennzeichenkamera des US-Anbieters Flock Safety von ihrem Platz über einer Straße gerissen, den Speicher fast vollständig kopiert und die Daten den beiden Redaktionen sowie dem Leak-Archiv DDoSecrets übergeben. Dort liegen sie seit demselben Tag. 28,55 Gigabyte, Abbilder der Partitionen eines Geräts, das bis eben im Dienst war.

Was Flock ist. Ein privates Überwachungsnetz, vermietet an Polizeibehörden, Gemeinden und Nachbarschaften. TechCrunch nennt rund 130.000 Kennzeichenleser im ganzen Land, das Unternehmen selbst spricht von mehr als 20 Milliarden Fahrzeugscans im Monat. Standardspeicherfrist sind 30 Tage, abgefragt wird über Behördengrenzen hinweg. 2025 ließ ein Sheriffbüro in Texas für die Suche nach einer einzelnen Frau rund 83.000 Kameras im ganzen Land abfragen.

Was auf dem Gerät lag. Nach den Berichten die Protokolle von 21 Tagen: rund 50.000 erfasste Fahrzeuge, 1,6 Millionen Einzelbilder, dazu tausende kurze Videoclips. Die Software erkennt nicht nur Kennzeichen, sondern Fahrzeuge, Personen und Fahrräder, und sie vermerkt zu jeder Erkennung, wo im Bild sie liegt und wie sicher sich das Modell ist. Eine aktive Gesichtserkennung haben die Redaktionen nicht gefunden.

Und der Schlüssel. Flock versichert auf seiner Website, alle Aufnahmen und Metadaten seien über ihren gesamten Lebenszyklus verschlüsselt, vom Gerät bis zu den Servern bei Amazon. Auf dem Gerät lägen Bilder nur vorübergehend, bis sie hochgeladen sind. Das mit der Verschlüsselung stimmt sogar. Nur lag der Schlüssel nach den Berichten in einem unverschlüsselten Bereich desselben Speichers. Das ist ein Tresor mit aufgeklebter Kombination. Und wie „nur vorübergehend“ zu drei Wochen Material passt, erklärt das Unternehmen in den Berichten, die ich lesen konnte, nicht.

Der Rest ist Archäologie. Micah Lee hat sich die Software angesehen. Android 8.1 von 2017. Sicherheitsupdates auf dem Stand vom 5. Juni 2018. Ein Linux-Kernel, der seit 2019 nicht mehr gepflegt wird. In einer Bibliothek, die sich 19 der 20 Flock-Apps auf dem Gerät teilen, stehen Zugangsdaten im Klartext, darunter ein API-Schlüssel und das Geheimnis für den Anmeldedienst. Lee nennt öffentlich dokumentierte Lücken dieser Softwarestände, für die fertige Exploits existieren. Nach seiner Auswertung hing die Kamera in Wauwatosa, Wisconsin. Das ist kein vergessener Router im Keller. Das ist ein Gerät, dessen Aufnahmen vor Gericht landen. Was ist so ein Bild wert, wenn das Betriebssystem dahinter seit acht Jahren kein Sicherheitsupdate gesehen hat?

Jetzt der unbequeme Teil. Das Gerät wurde gestohlen. Flock hat recht, wenn es erklärt, das unbefugte Entfernen und Manipulieren einer Kamera sei illegal. Zu den Befunden selbst sagt das Unternehmen, über sein Meldeverfahren für Sicherheitslücken sei nichts eingegangen, für eine Bewertung fehlten die Details. Und die 28 Gigabyte stehen öffentlich im Netz, nach Angaben des Archivs einschließlich aufgezeichneter Medien. Das sind Bilder von Leuten, die in Wisconsin zur Arbeit gefahren sind und nie gefragt wurden. Erst nicht von Flock, dann nicht von den Aktivisten. Ich verlinke den Datensatz deshalb nicht. Aber genau das ist der Punkt, den diese Branche nie einpreist: Wer Daten erhebt, erhebt sie für jeden, der irgendwann herankommt. Das Sicherheitsmodell dieser Kamera lautete: Es wird schon keiner eine Leiter holen.

Die Stimmung kippt ohnehin. Anfang September hat Floridas Verkehrsministerium laut TechCrunch angekündigt, Kennzeichenleser nicht mehr zu nutzen, und 30 Tage für den Abbau gesetzt. Das Büro des texanischen Gouverneurs wies die Landesbehörden an, keine Flock-Kameras mehr zu finanzieren, und verwies auf Missbrauch, etwa den Fall eines Polizisten in Lufkin, der wegen unbefugter Datenbankabfragen in hundert Punkten angeklagt ist. Das sind nicht Berkeley und Portland. Das sind Florida und Texas.

Und hier? Ein Netz wie das von Flock ließe das deutsche Recht so nicht zu. § 163g der Strafprozessordnung erlaubt die automatische Kennzeichenerfassung nur bei Anhaltspunkten für eine Straftat von erheblicher Bedeutung und auf Anordnung der Staatsanwaltschaft. Der entscheidende Satz lautet: „Die automatische Datenerhebung darf nur vorübergehend und nicht flächendeckend erfolgen.“ Das Bundesverfassungsgericht hatte schon 2008 zwei Landesregelungen für nichtig erklärt. Dass die Praxis trotzdem ausfranst, hat Brandenburg gezeigt. Dort lief das System KESY von 2017 bis Mitte 2021 im „Aufzeichnungsmodus“ und speicherte auf Vorrat, wer über die Autobahn fuhr, bis das Landgericht Frankfurt (Oder) das 2022 für rechtswidrig erklärte.

Die eigentliche Frage hängt in Frankfurt. Seit Juli 2025 kann die hessische Polizei im Bahnhofsviertel Kamerabilder in Echtzeit per Gesichtserkennung nach gesuchten Personen durchsuchen. Nach Recherchen von netzpolitik.org stehen 29 der 70 Kameras, die in Frankfurt den öffentlichen Raum erfassen, in diesem Viertel, 19 davon eignen sich für die Gesichtserkennung. Inzwischen hängen auch Hauptwache und Konstablerwache am System. Jede Suche braucht einen richterlichen Beschluss, gesucht wurde so bisher nach einer „niedrigen zweistelligen Anzahl“ von Personen, die Bilder bleiben 14 Tage gespeichert. Innenminister Poseck will das hessenweit, Bundesinnenminister Dobrindt an den Bahnhöfen. Die Gesellschaft für Freiheitsrechte klagt mit zwei Vorstandsmitgliedern des Vereins Doña Carmen vor dem Verwaltungsgericht Frankfurt. Über die Pläne des Bundes habe ich im Juni geschrieben.

Ich unterstelle der hessischen Polizei nicht den Patchstand von Flock. Ich kenne ihn schlicht nicht, und genau das ist das Problem. Welche Software läuft auf diesen Kameras, wie alt ist sie, wo liegen die Schlüssel, wer prüft das von außen? In Wisconsin kennt man die Antwort jetzt, weil jemand eine Straftat begangen hat. In Frankfurt ginge es auch anders, mit einem unabhängigen Sicherheitsaudit, dessen Ergebnis veröffentlicht wird. Eine Kamera, die Gesichter abgleicht, ist kein Haushaltsgerät. Sie ist ein Computer am Mast. Und Computer werden irgendwann geöffnet. Offen ist nur, von wem, und was dann drin liegt.

Quelle: Micah Lee, 16.09.2026; 404 Media und WIRED, 16.09.2026; netzpolitik.org, 22.04.2026

▸ Überwachung & Bürgerrechte · ▸ Security

[l] Permalink

Die Frage war eine andere

Dienstag, 15. September, Kanzleramt, Empfang der Preisträger von „Jugend forscht“. In der Fragerunde meldet sich ein junger Mann, der nach den Berichten zu den beiden Brüdern aus Taunusstein gehört, die beim Bundeswettbewerb den zweiten Platz in Mathematik und Informatik belegt haben. Ihr Projekt kombiniert laut hessenschau „eine spezielle, quantensichere Verschlüsselung, ein angepasstes Sicherheitsprotokoll und ein Netzwerk, das die Herkunft von Anrufen verschleiert“. Wer so etwas baut, weiß, wovon er redet, wenn er den Bundeskanzler nach dessen Klarnamen-Plänen fragt: „Wie lässt sich das vereinen mit Informanten, mit Investigativjournalismus, wenn wir keine Anonymität mehr im Internet vorfinden können?“

Die Antwort. „Bitte komme mir keiner mit Free Speech. Das hat mit Free Speech nichts mehr zu tun.“ Das sei ein libertäres Politikverständnis aus Teilen der USA, das er persönlich nicht teile. Eine liberale Gesellschaft müsse ihre Bürger schützen, „vor falschen Informationen, vor persönlichen Herabsetzungen, vor Diskriminierung“. Und er frage sich, ob „in der digitalen Welt völlig andere Regeln“ gelten, „als wir sie in der analogen Welt hatten“.

Zur Quellenlage, weil es hier darauf ankommt: Die amtliche Fassung der Rede enthält nur die Ansprache, nicht die Fragerunde. Der Wortwechsel lief im Livestream der Bundesregierung, eine Aufzeichnung habe ich dort nicht gefunden. Ich zitiere deshalb nur Sätze, die mehrere Abschriften übereinstimmend wiedergeben, unter anderem die von Telepolis. Nach denselben Berichten sagte Merz außerdem sinngemäß, von botgenerierten Nachrichten habe vor allem die AfD in Sachsen-Anhalt profitiert. Dieser Satz steht überall nur in indirekter Rede. Ich baue nichts darauf.

Neu ist das alles nicht. Beim Politischen Aschermittwoch der CDU in Trier sagte Merz im Februar: „Ich möchte Klarnamen im Internet sehen. Ich möchte wissen, wer da sich zu Wort meldet.“ Politiker stellten sich mit offenem Visier der Auseinandersetzung. „Dann erwarte ich das auch von allen anderen, die sich kritisch mit unserem Land und unserer Gesellschaft auseinandersetzen“, zitiert ihn netzpolitik.org. Man beachte das Wort. Nicht strafbar. Kritisch.

In einem Punkt hat er recht. Deutsches Recht ist nicht das amerikanische. Artikel 5 des Grundgesetzes schützt die Meinungsfreiheit nicht schrankenlos, sie findet ihre Grenzen in den allgemeinen Gesetzen, im Jugendschutz und im Recht der persönlichen Ehre. Beleidigung, Verleumdung und Volksverhetzung sind strafbar, im Netz wie auf der Straße. Wer hierzulande „Free Speech“ ruft und den ersten Zusatzartikel der US-Verfassung meint, steht im falschen Rechtskreis.

Nur hatte danach niemand gefragt. Die Frage galt nicht der Beleidigung, sondern dem Informanten. Und für die Antwort braucht es keinen Import aus Amerika. Der Bundesgerichtshof hat 2009 im Streit um das Lehrerbewertungsportal spickmich.de entschieden: „Die anonyme Nutzung ist dem Internet immanent.“ Und weiter: „Eine Beschränkung der Meinungsäußerungsfreiheit auf Äußerungen, die einem bestimmten Individuum zugeordnet werden können, ist mit Art. 5 Abs. 1 Satz 1 GG nicht vereinbar.“ Die Pflicht, sich namentlich zu einer Meinung zu bekennen, begründe die Gefahr, dass der Einzelne „aus Furcht vor Repressalien“ lieber schweigt. Das ist beinahe die Frage des Preisträgers, nur siebzehn Jahre älter. Es ist kein libertäres Politikverständnis aus Teilen der USA. Es ist der VI. Zivilsenat in Karlsruhe.

Und es steht im Gesetz. § 19 Abs. 2 TDDDG, geltendes Bundesrecht: „Anbieter von digitalen Diensten haben die Nutzung von digitalen Diensten und ihre Bezahlung anonym oder unter Pseudonym zu ermöglichen, soweit dies technisch möglich und zumutbar ist.“ Auf der Vorgängernorm beruht das Facebook-Urteil des BGH von 2022: Das Netzwerk musste Pseudonyme zulassen. Der Genauigkeit halber: Das Urteil betraf Altverträge aus der Zeit vor der Datenschutz-Grundverordnung, und es galt nur nach außen. Dass die Plattform bei der Registrierung intern den echten Namen verlangt, hielt das Gericht für zumutbar. Wie es unter heutigem Recht aussieht, ließ es offen. Aber in genau dieser Unterscheidung steckt die ganze Debatte: Im Ernstfall identifizierbar ist etwas anderes als Namensschild für alle.

Die eigene Justizministerin sieht das genauso. Stefanie Hubig (SPD) im März zu t-online: „Meine Haltung ist klar: Ich lehne eine staatlich verordnete Klarnamenpflicht im Netz ab.“ Ihr Entwurf für ein Gesetz gegen digitale Gewalt, seit April auf dem Tisch, geht den anderen Weg: Wer glaubhaft macht, dass ein Unbekannter seine Rechte verletzt hat, soll beim Landgericht dessen Identität herausverlangen können, in schweren Fällen auch eine Accountsperre. Die Anonymität fällt im Einzelfall und durch einen Richter, nicht vorab und für alle. Der Entwurf hat eigene Probleme. Er stützt sich auf die geplante dreimonatige Speicherung von IP-Adressen, die die Gesellschaft für Freiheitsrechte als anlasslose Massenspeicherung ablehnt. Aber er beantwortet wenigstens die richtige Frage.

„Wie in der analogen Welt“ ist ein gutes Argument. Für die Gegenseite. In der analogen Welt trägt niemand ein Namensschild. Wann hast du zuletzt deinen Ausweis gezeigt, bevor du jemandem widersprochen hast? Du kannst auf dem Marktplatz das Wort ergreifen, ohne dich auszuweisen. Du kannst einer Redaktion einen Umschlag ohne Absender schicken. Und die wichtigste politische Äußerung überhaupt gibst du in einer Kabine ab, deren Geheimnis in Artikel 38 des Grundgesetzes steht. Identifiziert wirst du, wenn es einen Anlass gibt. Eine Klarnamenpflicht würde die analogen Regeln nicht ins Netz übertragen. Sie würde sie umkehren.

Für Informanten ist das keine Stilfrage. Das Hinweisgeberschutzgesetz ist an dieser Stelle ohnehin dünn. Interne Meldestellen „sollten“ anonyme Meldungen bearbeiten, heißt es in § 16, eine Pflicht, anonyme Kanäle überhaupt einzurichten, gibt es ausdrücklich nicht. Der anonyme Weg nach draußen, zur Redaktion oder ins Netz, ist deshalb oft der einzige, der nicht vom Wohlwollen derer abhängt, über die man etwas zu sagen hat.

Und nützen würde es? Südkorea hatte ab 2007 eine Ausweispflicht für große Portale. Das Verfassungsgericht kippte sie 2012 einstimmig. Die rechtswidrigen Beiträge seien nicht nennenswert zurückgegangen, die Nutzer zu ausländischen Diensten abgewandert, das Risiko von Datenlecks gestiegen, so gibt der Korea Herald die Begründung wieder. Soziologen aus Zürich haben 532.197 Kommentare zu 1.612 Petitionen auf openpetition.de ausgewertet. In Empörungswellen traten die namentlich Auftretenden aggressiver auf als die Anonymen. Das ist eine Plattform und keine Weltformel. Aber die Beweislast liegt bei dem, der ein Grundrecht einschränken will, und nicht bei dem, der es behalten möchte.

Bleiben die Bots. Den massenhaften, koordinierten Einsatz von Bots und Fake-Accounts zu verbieten, steht im Koalitionsvertrag, und dagegen habe ich nichts. Nur hat ein Bot keinen Klarnamen. Wessen Ausweis soll die Plattform da prüfen? Koordinierte Kampagnen sind ein Durchsetzungsproblem gegenüber Plattformen. Eine Ausweispflicht träfe alle, die sich an Gesetze halten, und die Trollfabrik im Ausland gar nicht.

Der Fragesteller hat mit seinem Bruder ein System gebaut, das Gespräche schützt und Spuren vermeidet. Dafür gab es einen Preis beim Bundeswettbewerb und eine Einladung ins Kanzleramt. Soweit die Abschriften reichen, kam der Informant in der Antwort des Hausherrn nicht mehr vor. Die Frage steht also noch. Ich finde, sie verdient eine Antwort. Am besten eine, die den Bundesgerichtshof kennt.

Quelle: Fragerunde beim Jugend-forscht-Empfang im Kanzleramt am 15.09.2026 (Livestream der Bundesregierung, Wortlaut nach übereinstimmenden Abschriften); BGH VI ZR 196/08 und III ZR 3/21; § 19 Abs. 2 TDDDG

▸ Überwachung & Bürgerrechte · ▸ Recht & Regulierung

[l] Permalink

„Der Elektriker hat sich entschieden“

Wer wissen will, was der KI-Ausbau kostet, schaut meistens auf die Stromrechnung. Die interessantere Zahl steht woanders. In den USA verlassen Bauhandwerker den Wohnungsbau und gehen in den Rechenzentrumsbau, weil sie dort nach einer Auswertung des Wall Street Journal 25 bis 30 Prozent mehr verdienen. Ed Brady, Chef des Home Builders Institute, beschreibt das ohne jede Dramatik: Der Wohnungsmarkt sei schwächer, also gingen die Leute, die vorher Häuser gebaut haben, jetzt zu den Rechenzentren. Der amerikanischen Bauwirtschaft fehlen 300.000 Fachkräfte, und auf fünf Handwerker, die in Rente gehen, kommen zwei neue.

Man muss sich klarmachen, dass hier niemand etwas falsch macht. Ein Elektriker, dem jemand dreißig Prozent mehr bietet, wechselt — das ist keine Gier, das ist Arbeitsmarkt. Der Punkt ist nicht das Verhalten der Einzelnen, sondern was passiert, wenn eine Branche mit sehr viel Kapital plötzlich in einen Arbeitsmarkt greift, der seit Jahrzehnten zu klein ist. Kapital lässt sich in Wochen beschaffen. Ein Elektromeister braucht Jahre.

Die deutsche Lage lässt sich beziffern, und die Zahlen sind bemerkenswert deutlich. Nach der Erhebung des Borderstep Instituts für den Bitkom standen Ende 2025 in Deutschland 2.980 Megawatt Rechenzentrumsleistung, neun Prozent mehr als im Jahr davor; bis 2030 soll die Kapazität um siebzig Prozent wachsen, die KI-Kapazität allein sich vervierfachen. Für den Bau relevant ist dabei weniger die Hardware als das, was drumherum entsteht: 3,5 Milliarden Euro flossen 2025 allein in Gebäude und Gebäudetechnik, weitere 2,5 Milliarden in Klimatechnik und Stromversorgung. Das sind Gewerke — Rohbau, Elektro, Kälte, Lüftung. Genau die Leute, die auch Wohnungen bauen.

Und dann der Teil, der das Thema von hier aus nicht mehr abstrakt macht. In Hessen stehen über 1.100 Megawatt und damit mehr als ein Drittel der gesamten deutschen Rechenzentrumskapazität. Frankfurt wächst um rund vierzehn Prozent im Jahr, und für die Stadt sind über 1.800 Megawatt Neubaukapazität geplant — also deutlich mehr, als heute überhaupt dasteht. Im selben Bundesland wurden 2025 exakt 15.542 Wohnungen fertiggestellt, dreizehneinhalb Prozent weniger als im Vorjahr und der schlechteste Wert seit 2013. Die Baugenehmigungen waren zwischenzeitlich gestiegen, kräftiger sogar als im Bundesdurchschnitt, was Anfang des Jahres Hoffnung machte; die Zahlen vom 20. August haben sie kassiert. Frankfurts Wohnungsleerstand gehört mit gut drei Prozent zu den niedrigsten des Landes, und bundesweit stehen nach Berechnungen des ifo-Instituts etwa 185.000 Fertigstellungen in diesem Jahr einem Bedarf von rund 320.000 gegenüber.

Jetzt kommt die Stelle, an der ich nicht weitergehe, als die Belege tragen. Für Deutschland hat bislang niemand gemessen, dass der Rechenzentrumsbau dem Wohnungsbau die Handwerker wegnimmt. Der amerikanische Befund ist beobachtet und beziffert, der deutsche ist es nicht — und die naheliegende Erklärung für den Einbruch im Wohnungsbau sind weiterhin Zinsen, Baukosten und Förderpolitik, nicht die Serverfarm im Nachbarort. Wer beides ohne Beleg zusammenzieht, produziert genau die Sorte Kausalgeschichte, über die man sich in anderen Zusammenhängen zu Recht aufregt.

Belegt ist etwas anderes, und es reicht völlig. Die Konkurrenz ist strukturell angelegt: Wer ein Rechenzentrum baut, konkurriert um dieselben Gewerke wie Wohnungsbau, Krankenhäuser, Fabriken und Energieanlagen. Eine McKinsey-Rechnung, die t3n im Januar aufgegriffen hat, beziffert den zusätzlichen Bedarf bis 2030 auf 130.000 Elektriker, 240.000 Bauarbeiter und 150.000 Bauleiter — Menschen, die es nicht gibt und die in diesem Zeitraum auch nicht mehr ausgebildet werden können. Die amerikanische Elektrikergewerkschaft berichtet von Regionalverbänden, die vor Projekten stehen, für die das Zwei- bis Vierfache der verfügbaren Fachkräfte nötig wäre. Wir wissen also nicht, ob die Verdrängung hier schon stattfindet. Wir wissen, dass die Voraussetzungen dafür vollständig vorliegen und dass die geplanten Kapazitäten fest in den Büchern stehen.

Wie wenig die Gemeinden auf diese Verhandlungen vorbereitet sind, hat gerade die Federation of American Scientists aufgeschrieben. Ihr Leitfaden „Before Breaking Ground" ist im Kern eine Liste dessen, was Kommunen festnageln sollten, bevor sie unterschreiben — und liest sich wie eine Aufzählung dessen, was bisher niemand festgenagelt hat: Steuerbefreiungen ohne Nachverhandlung nach fünf Jahren, keine Berichtspflicht über den Wasserverbrauch, Lärmgrenzen ohne messbare Zahlen. Zwei Befunde daraus bleiben hängen. Erstens: Den Bundesstaaten entgehen durch solche Steuerbefreiungen über eine Milliarde Dollar im Jahr. Zweitens, und das ist die bemerkenswertere Zeile, ist der Organisation kein einziger Fall bekannt, in dem ein Rechenzentrum den Betrieb eingestellt hätte und ordentlich zurückgebaut worden wäre. Man verhandelt hier also über Anlagen, für deren Ende es noch kein Beispiel gibt.

Bleibt das Detail, das die Sache schief macht. Ein Rechenzentrum braucht die Handwerker in der Bauphase — danach betreibt es sich mit erstaunlich wenigen Menschen; das ist kein Vorwurf, sondern der Sinn der Anlage. Die Wohnung, die in diesen Jahren nicht gebaut wird, fehlt dagegen nicht vorübergehend, sondern dauerhaft, und sie fehlt jemandem, der mit alldem nichts zu tun hat. Der Boom bindet die knappste Ressource temporär und hinterlässt eine Lücke, die bleibt. Das ist dieselbe Asymmetrie wie in der Reihe über Agenten außer Kontrolle, nur diesmal aus Beton statt aus Bits: Der Nutzen fällt bei dem an, der die Anlage bestellt; die Kosten trägt jemand, der nie gefragt wurde.

Und weil das hier kein Beitrag über andere Leute sein soll: Ich betreibe meine KI auf zwei Karten im eigenen Haus und habe im Juli vorgerechnet, wie gründlich die aktuellen Spitzenmodelle daran abprallen. Der Ausweg aus dieser Rechnung führt normalerweise ins Rechenzentrum — und damit in genau die Nachfrage, um die es hier geht. Wer für Souveränität und eigene Hardware argumentiert, wie ich das tue, sollte deshalb dazusagen, dass auch die eigene Maschine irgendwo steht und irgendwann jemand ihr Rack montiert hat. Die Frage ist nicht, ob wir Rechenzentren bauen. Die Frage ist, ob wir so tun, als sei das eine reine Stromfrage.

Quelle: Ed Brady (Home Builders Institute) via Futurism; Bitkom/Borderstep „Rechenzentren in Deutschland“ (10.11.2025); Hessisches Statistisches Landesamt; FAS-Leitfaden „Before Breaking Ground“ (September 2026)

▸ KI & Macht · ▸ Werkstatt

[l] Permalink

„Kehraus, Nummer zwei: achtzehn Tage in fünf Stücken“

Achtzehn Tage war hier nichts zu lesen. Wenn du die Startseite in dieser Zeit mehrfach aufgerufen hast — ich sehe das in der Statistik, und es waren erstaunlich viele —, dann weißt du inzwischen, was danach kommt: der Kehraus. Was liegen blieb, in Nummern, kurz und eingeordnet. Diesmal fünf, und sie handeln alle vom selben Missverständnis.

1. Der Fahrer fordert eine Geschwindigkeitsbegrenzung. Dario Amodei, Chef von Anthropic, hat eine koordinierte Pause in der KI-Entwicklung gefordert — ein bis zwei Jahre. Seine Begründung ist keine Vision, sondern eine Prognose mit Datum: KI-Agenten könnten binnen sechs bis zwölf Monaten große Teile der Internet-Infrastruktur angreifen und Schäden in dreistelliger Milliardenhöhe anrichten. Man darf das bemerkenswert finden: Hier warnt jemand vor dem Produkt, das er selbst verkauft, und zwar mit Fristangabe. Entweder er hält seine eigene Firma für gefährlich — oder die Warnung ist Teil des Vertriebs, weil nur bedeutend klingt, was gefährlich ist. Ich neige zu einem Drittel Wahrheit und zwei Dritteln Positionierung, und genau deshalb ist die Reaktion darauf interessanter als die Forderung selbst.

2. Abgelehnt, und zwar mit dem immergleichen Satz. Donald Trump hat die Pause öffentlich zurückgewiesen: Sie nütze nur China. Peking wiederum nannte Amodeis Warnung Angstmacherei. Zwei Regierungen, die sich sonst über die Tageszeit streiten, sind sich einig, dass Bremsen keine Option ist — jede mit Verweis auf die andere. Das ist die vollendete Form des Wettrüstens: Beide Seiten begründen ihr Tempo ausschließlich mit dem Tempo der Gegenseite, und niemand muss mehr erklären, wohin die Fahrt eigentlich geht. Wer in dieser Konstellation auf eine freiwillige Selbstbeschränkung der Beteiligten hofft, hat den Mechanismus nicht verstanden.

3. Der Satz, der die ganze Debatte sortiert. Matthias Spielkamp von AlgorithmWatch hat auf Amodeis Warnung geantwortet, und sein Text ist das Beste, was ich seit Wochen zum Thema gelesen habe. Seine Beobachtung: Hacken, sich Ressourcen beschaffen, sich selbst verbessern — das sind Handlungen in der wirklichen Welt. Sie brauchen Rechenleistung, Energie, Geld und Zugriffsrechte. Und all das wird von Menschen gewährt. Daraus folgt der Satz, den ich mir aufgeschrieben habe: „Kontrolle ist nichts, was wir an Maschinen verlieren. Es ist etwas, das wir den Unternehmen überlassen.“ Das ist keine Beruhigung, sondern eine Verschärfung. Ein Naturereignis kann man nur überstehen; eine Entscheidung kann man ändern, und dann ist man dafür verantwortlich, wenn man es nicht tut. Die Rede vom KI-Sturm, der über uns kommt, entlastet exakt die Leute, die den Schalter in der Hand halten — und sie stammt oft genug von ihnen selbst.

4. Kanada schreibt ein Gesetz, das dich betrifft. Der Gesetzentwurf C-22 hat im Juni die erste Kammer passiert, Ende September berät der Senat. Nach der Lesart eines internationalen Bündnisses von Netzrechtlern könnte er kanadischen Ministern erlauben, auch europäische Anbieter im Geheimen zu verpflichten, die Sicherheit von Messengern, Speicherdiensten und vernetzten Fahrzeugen zu schwächen. Die Fernwirkung ist der Punkt. Ein Dienst, der in Kanada Geschäfte macht und hier deine Nachrichten transportiert, kann nicht zwei Wahrheiten haben — eine Hintertür ist entweder da oder nicht, und wer sie einbaut, baut sie für alle ein. Dass das Bündnis inzwischen die EU auffordert, dagegen einzuschreiten, zeigt die Lage: Gegen ein Gesetz aus Ottawa hilft dir kein deutscher Datenschutz. Es hilft nur, dass das Rückgrat der Technik quelloffen und prüfbar bleibt.

5. Achtzehn Prozent. Das europäische Recht auf Reparatur gilt seit gut einem Jahr. Im dafür eingerichteten Register stehen rund 2.300 Einträge, und nur etwa achtzehn Prozent davon sind auch nur annähernd regelkonform — der Rest besteht aus Lücken, Umleitungen und nutzlosen Daten. Die schönste Beobachtung steht beim Register-Kolumnisten Rupert Goodwins im Nebensatz: Ausgerechnet chinesische Hersteller erfüllen die Vorgaben am besten. Seine Schlussfolgerung teile ich — das ist kein Scheitern des Gesetzes, sondern sein erstes Jahr. Regeln wirken selten sofort und fast nie freiwillig; sie wirken, wenn jemand nachhält. Nebenan lässt sich besichtigen, dass es geht: Apples neue Siri-Funktionen kommen in der EU vorerst nicht auf die Geräte, weil sie mit den Vorgaben des Digital Markets Act nicht vereinbar sind. Ob man das als Bevormundung liest oder als funktionierende Tür, hängt davon ab, wem man die Entscheidung über das eigene Telefon lieber überlässt.

Was die fünf verbindet, steht in Nummer 3. In jedem einzelnen Fall sieht es aus wie Technik, die über uns kommt — und in jedem einzelnen Fall sind es Menschen, die etwas gewähren oder verweigern: Rechenzeit, Zugriffsrechte, eine Hintertür, einen Registereintrag, eine Funktion auf deinem Telefon. Das ist die unbequeme Nachricht, denn Naturereignisse muss niemand verantworten.

Das größte Stück fehlt wieder, und wieder mit Absicht: Was passiert, wenn solche Systeme nicht Aktien bewegen, sondern Ziele auswählen. Dazu in den nächsten Tagen mehr, in Ruhe und mit den Quellen, die es verdient.

Quelle: —

▸ Souveränität · ▸ KI & Macht · ▸ Recht & Regulierung

[l] Permalink

„Zwanzig Sekunden pro Ziel“

Zwanzig Sekunden. So lange hatte ein Mensch nach den Recherchen, über die zwei Forscher gerade bei netzpolitik.org sprechen, maximal Zeit, um ein maschinell vorgeschlagenes Angriffsziel zu prüfen — und oft beschränkte sich diese Prüfung darauf festzustellen, ob es sich um einen Mann handelte. Ich habe heute Morgen geschrieben, das größte Stück fehle mit Absicht: was passiert, wenn solche Systeme keine Aktien bewegen, sondern Ziele auswählen. Zufällig erschienen am selben Tag zwei Texte, die zusammen eine Antwort ergeben. Sie kommen von entgegengesetzten Enden und treffen sich in der Mitte.

Das eine Ende ist ein Staat mit einem Rechenzentrum. Taylor Kate Woodcock, Völkerrechtsforscherin am Asser Institute, und Rainer Rehak vom Weizenbaum-Institut beschreiben im Gespräch mit Constanze Kurz, wie das System Lavender arbeitet. Die Datengrundlage umfasst nach ihrer Analyse rund 13,6 Petabyte: Satellitenbilder, Funkzellenstandorte, Videoüberwachung, Kommunikationsmetadaten, Bewegungsprofile, Zahlungsvorgänge, Familienbeziehungen. Daraus errechnet das System für Menschen einen Risikowert zwischen 1 und 100. Das Verfahren dahinter heißt „Positive Unlabeled Learning“: Es lernt aus bestätigten Fällen ein statistisches Ähnlichkeitsmuster und sucht dann nach Leuten, die diesem Muster ähneln. Der interne Test wies etwa zehn Prozent Fehlerquote aus. Bei rund tausend Vorschlägen am Tag.

Es lohnt sich, bei diesem Satz kurz stehenzubleiben. Zehn Prozent Fehler ist für ein Empfehlungssystem ein passabler Wert — wenn es Filme vorschlägt. Die Frage, ob eine Fehlerquote akzeptabel ist, lässt sich nicht technisch beantworten, sondern nur daran, was am Ende der Kette passiert. Und die Kette endete hier bei einem Menschen mit zwanzig Sekunden.

Der eigentliche Befund steckt aber nicht im Fehler, sondern im Entwurf. Woodcocks Formulierung lautet, ziviler Schaden sei in dem System vorprogrammiert und könne sogar als Kernfunktion gelten. Gemeint ist keine Metapher: Nach den Recherchen war eine Zahl hinterlegter akzeptierter ziviler Opfer je Ziel konfigurierbar — bei niedrig eingestuften Personen in der Größenordnung von fünfzehn bis zwanzig, bei hochrangigen in der Größenordnung von Hunderten. Ein begleitendes Werkzeug trug den Namen „Where's daddy?“ und legte Angriffe auf den Zeitpunkt, zu dem eine Person zu Hause bei ihrer Familie war. Rehak sagt, Menschen seien damit im Grunde in eine große Todesliste eingetragen und von oben nach unten abgearbeitet worden. Woodcock kommt zu dem Schluss, dass alle drei Grundsätze des humanitären Völkerrechts — Unterscheidung, Vorsorge, Verhältnismäßigkeit — systematisch verletzt wurden, und zwar nicht durch Einzelfehler, sondern durch die Bauweise.

Das andere Ende ist eine Handvoll Leute ohne Rechenzentrum. Anthropic hat gestern einen Bericht über Missbrauchsfälle der eigenen Modelle veröffentlicht, und Bruce Schneier hat eine Stelle daraus herausgegriffen: Eine Zelle im nördlichen Jemen nutzte Claude Code als Ersatz für Softwareentwickler, um Lenk-, Navigations- und Steuerungssoftware für drei Raketenprogramme zu schreiben — darunter eine Konstruktion, deren Flugrechner aus Mobiltelefonen bestehen sollte. Bemerkenswert ist die Arbeitsweise: Sie betrieben mehrere Instanzen parallel in verteilten Rollen, eine schrieb Code, eine recherchierte, eine prüfte. Anthropics eigene Bilanz ist unbeschönigt: Die Schutzmechanismen hätten viele Anfragen blockiert, aber nicht alle. Umgangen wurden sie, indem die Leute ihr Ziel verschleierten und die Arbeit über viele Sitzungen verteilten. Einen operativen Erfolg gab es nach derzeitigem Stand nicht; ein Testschuss scheiterte.

Schneiers Schlusssatz ist der kürzeste Kommentar, den man dazu schreiben kann: KI-Systeme demokratisieren Fachwissen und Fähigkeit — meistens sei das gut, manchmal eben nicht.

Was die beiden Enden verbindet, ist nicht die Technik, sondern die Zurechnung. Auf der einen Seite steht ein Apparat, der Tötungsentscheidungen so weit vorbereitet, dass dem Menschen am Ende nur noch das Abnicken bleibt; auf der anderen eine Gruppe, der die Maschine das Fachwissen ersetzt, das ihr fehlte. In beiden Fällen ist das Modell nicht der Täter. Es ist der Multiplikator — und es verteilt die Verantwortung auf so viele Schultern, dass keine mehr trägt. Wer hat die Person auf die Liste gesetzt: das Verfahren, der Betreiber, der Bediener mit zwanzig Sekunden, der Anbieter der Rechenleistung?

Genau an dieser Stelle wird die Frage für uns hier konkret, und zwar nicht moralisch, sondern geschäftlich. Die Infrastruktur unter solchen Systemen ist nach Angaben der beiden Forscher keine Militärtechnik aus dem Rüstungskatalog, sondern gewöhnliche Rechenzentrumsleistung von den Firmen, deren Dienste auch in deutschen Behörden laufen — genannt werden ein Cloud-Rahmenvertrag im Umfang von rund 1,2 Milliarden Dollar mit Google und Amazon, dazu Palantir für die Datenintegration und weitere übliche Namen. Das ist dieselbe Debatte, die hier seit Monaten läuft: Wer den Schalter hat, entscheidet mit, und Verträge sind die Form, in der diese Entscheidung getroffen wird. Die beiden Forscher fordern deshalb Stilllegung solcher Systeme, Transparenzpflichten und Exportkontrollen für die Software — ausdrücklich nicht nur für einen Akteur.

Ich schreibe das mit der gebotenen Vorsicht: Die Zahlen stammen aus Recherchen und aus Herstellerangaben, die Einordnung stammt von zwei Fachleuten, und ich kann beides von hier aus nicht nachmessen. Was ich beurteilen kann, ist die Konstruktionslogik — und die kenne ich aus jedem anderen Automatisierungsprojekt. Wenn ein System Vorschläge in einer Menge produziert, die kein Mensch mehr prüfen kann, dann ist die menschliche Kontrolle nicht eine Sicherung, sondern eine Behauptung. Zwanzig Sekunden sind keine Prüfung. Sie sind das Feigenblatt, das man der Maschine umhängt, damit die Entscheidung weiter nach einer menschlichen aussieht.

Heute Morgen stand hier der Satz, Kontrolle sei nichts, was wir an Maschinen verlieren, sondern etwas, das wir Unternehmen überlassen. Er gilt auch dann noch, wenn es nicht um Aktienkurse geht.

Quelle: Constanze Kurz im Interview mit Taylor Kate Woodcock (Asser Institute) und Rainer Rehak (Weizenbaum-Institut), netzpolitik.org, 14.09.2026; Bruce Schneier zu Anthropics Missbrauchsbericht vom 14.09.2026

▸ Überwachung & Bürgerrechte · ▸ KI & Macht · ▸ Recht & Regulierung

[l] Permalink

Tools: Hirn

In dem Lebenslauf, von dem der vorige Teil handelte, gibt es einen Abschnitt „Profil". Dort listet man auf, womit man arbeitet: Betriebssysteme, Verfahren, Branchen. Bei mir stehen dort Windows und Linux, ITIL und ISO 20000, Telco und Finanzdienstleister.

Und dann, an der Stelle, an der jeder andere seine Werkzeugkette aufzählt, steht diese Zeile:

Tools: Hirn.

Zwei Wörter, getippt 2013, seither nie wieder angesehen. Sie beschreiben mich besser als 343.229 Dateien.

Was von zwölf Terabyte übrig bleibt

Rechnen wir die Serie zusammen. Zwölf Terabyte Bestand über drei Geräte. Davon gelesen: zwei Gigabyte. Von 12.565 ausgelesenen Dokumenten inhaltlich verschieden: 4.256, der Rest Kopien. Ein Archiv von 243 Gigabyte, das zu neunundneunzig Komma sechs Prozent aus Bildern bestand. Und die eine Frage, mit der alles anfing, beantwortet von vier Seiten Text.

Was davon würde ich vermissen, wenn morgen eine Platte ausfällt? Die Fotos, natürlich. Ein paar Verträge. Und sonst?

Die Antwort ist unbequem: fast nichts. Nicht, weil der Rest wertlos wäre, sondern weil ich ihn nach zwei Jahrzehnten Ansammeln schlicht nicht mehr kenne und deshalb auch nicht sagen könnte, welcher Teil davon mir gefehlt hätte. Man vermißt nichts, wovon man nicht weiß, daß man es hat.

Kein Aufruf zum Löschen

Damit kein Mißverständnis entsteht: Ich habe in diesem ganzen Durchgang keine einzige Datei gelöscht, und ich rate auch niemandem dazu. Eine Dublette zu erkennen kostet nichts, sie zu löschen ist unumkehrbar. Wer aufräumt, während er müde ist, wirft irgendwann das Falsche weg.

Die Lehre geht in die andere Richtung. Das Problem ist nicht, daß zu viel liegenbleibt. Das Problem ist, daß zu wenig formuliert wird.

Ein Ordner ist keine Aussage. Eine Sicherung ist keine Erinnerung. Zwölf Terabyte sind kein Gedächtnis, sondern Rohstoff, und Rohstoff bleibt genau so lange Rohstoff, bis sich jemand hinsetzt und die Mühe macht, aus ihm einen Satz zu formen, den ein anderer verstehen kann. Was überdauert, ist der Satz, den jemand geschrieben hat, weil er etwas sagen wollte.

Was ich mir daraus mitnehme

Drei Dinge, ohne Zeigefinger, weil ich es selbst dreißig Jahre lang nicht anders gemacht habe.

Erstens: einmal im Jahr aufschreiben, was man getan hat. Eine Seite genügt. Sie ist in zehn Jahren mehr wert als der ganze Jahrgang an Dateien.

Zweitens: dorthin schreiben, wo es einem selbst gehört. Was in fremden Systemen liegt, steht dort, solange ein Vertrag läuft.

Drittens: messen statt schätzen. Ich hätte auf jede Frage dieser Serie eine Antwort aus dem Bauch gegeben, und sie wäre bei jeder einzelnen falsch gewesen. Ich hätte auf mehr Dokumente getippt und auf weniger Kopien, und ich hätte niemals vermutet, daß mein größtes Archiv fast nur aus Fotos besteht.

Der Rechner weiß solche Dinge. Man muß ihn nur fragen, und das dauert überraschend wenig, wenn man einmal anfängt.

Und wenn am Ende von zwölf Terabyte zwei Wörter übrig bleiben, die ich vor dreizehn Jahren nebenbei getippt habe, dann sind es zum Glück die richtigen.

▸ Datensouveränität · ▸ Werkstatt

[l] Permalink

Der Lebenslauf wußte mehr als das Archiv

Am Anfang dieser Serie stand eine simple Frage: Wo sind meine alten Schulungsunterlagen? SAP, technisches Zeichnen, Geoinformationssysteme, Redaktionssysteme für einen Verlag, dazu ein Projekt bei der Messe Frankfurt. Alles Dinge, die ich nachweislich gemacht habe.

Die Suche ging über den Rechner, über die Synology, über 860 Gigabyte Archivordner und am Ende über 63,7 Millionen Zeichen ausgelesenen Dokumententext. Ergebnis: nichts. Kein Handout, keine Präsentation, keine Übungsdatei zu einem dieser Themen.

Dann öffnete ich eine Datei namens Bubam_Andreas_cv_2017-08.doc, und da stand alles.

Vier Seiten gegen zwölf Terabyte

Im Abschnitt zu meinen zehn Jahren als Referent, wörtlich: „Ausbildung Technischer Redakteure (gesamtes Portfolio), Linux, VoIP, IT-Sicherheitsseminare, Autodesk AutoCAD (2006-2004), Esri ArcGIS 9.x". Der Kundenbereich daneben: „Print (Heidelberg)", das war die Heidelberger Druckmaschinen AG. Und ein paar Zeilen tiefer eine eigene Station, April bis September 2008, Messe Frankfurt GmbH, mit Co-Projektleitung bei einer SAP-Einführung.

Fünf Fragen, fünf Antworten, mit Datum und Auftraggeber. In einem Dokument von vier Seiten, das ich vor neun Jahren an einem Nachmittag geschrieben, danach irgendwo abgelegt und so gründlich vergessen hatte, daß ich es bei der ganzen Suche kein einziges Mal in Erwägung gezogen habe.

Das Archiv weiß, welche Dateien es enthält. Der Lebenslauf weiß, was ich getan habe. Das ist nicht dasselbe, und es ist der Unterschied zwischen Speichern und Wissen.

Warum die Unterlagen fehlen, und was das lehrt

Die Erklärung ist banal, sobald man sie einmal gehört hat. Ich war Referent für einen Schulungsanbieter. Die Materialien gehörten dem Anbieter, nicht mir. Was auf meinen Platten liegt, ist genau das, was ich selbst gebaut habe: Excel, VBA, Office, InDesign, 4.102 Dateien von 1996 bis 2014, vollständig.

Wer für andere arbeitet, hinterläßt bei sich selbst Lücken. Das galt schon, als Unterlagen noch in Aktenordnern lagen und man wenigstens sehen konnte, was man dem Auftraggeber dagelassen hatte, und es gilt heute ungleich stärker. Was du in fremden Systemen anlegst, ist nicht dein Bestand, auch wenn du es geschrieben hast. Es steht dort, solange jemand anderes den Vertrag verlängert.

Verdichten ist eine Tätigkeit

Ein Lebenslauf ist radikale Auswahl. Zwanzig Stationen auf vier Seiten, jede auf drei Zeilen eingedampft, und trotzdem verlustfrei in dem, worauf es ankommt. Genau diese Arbeit hat im Archiv niemand gemacht, weil sie niemand machen mußte.

Und hier liegt der eigentliche Befund dieser Serie. Speicher ersetzt kein Nachdenken. Ein Bestand wächst von allein, eine Zusammenfassung nicht. Wer nie zusammenfaßt, sitzt irgendwann auf zwölf Terabyte und kann trotzdem nicht sagen, was er gemacht hat.

Wann hast du zuletzt aufgeschrieben, was du in den vergangenen fünf Jahren beruflich getan hast? Nicht für eine Bewerbung, sondern für dich?

Ich hatte Glück. Bei mir gab es das Dokument, weil ich 2013 und 2017 einen Lebenslauf gebraucht habe. Ohne diesen äußeren Anlaß wäre die Antwort auf meine Ausgangsfrage heute nicht auffindbar. Nicht weil sie gelöscht worden wäre, sondern weil sie nie geschrieben worden wäre.

Im letzten Teil geht es um zwei Wörter aus demselben Dokument, die mich seither nicht loslassen.

▸ Datensouveränität · ▸ Werkstatt

[l] Permalink

243 Gigabyte, die keine Dokumente waren

Auf meiner externen Platte lag eine einzelne Datei mit 243,7 Gigabyte. Eine vollständige Sicherung meiner eigenen kleinen Wolke, gezogen am 15. Mai 2024 und seither nie geöffnet. Sie gehörte dem Systemnutzer, ich kam als normaler Benutzer nicht einmal an sie heran.

Wenn irgendwo noch die vermißten Schulungsunterlagen lagen, dann dort. Also habe ich das Inhaltsverzeichnis ziehen lassen, ohne etwas auszupacken. Der Durchlauf dauerte ein paar Stunden, weil so ein Archiv keinen Index hat und von vorn bis hinten gelesen werden muß.

Am Ende standen 457.934 Zeilen da. Und darin diese Verteilung:

• 249.100 Bilder, zusammen 170 Gigabyte
• 678 Videos, zusammen 58 Gigabyte
• 2.422 Dokumente, zusammen 0,9 Gigabyte

Vier Zehntel Prozent des Archivs waren Text. Der Rest waren Bilder von Menschen, Orten und Gegenständen. Und die meisten der 2.422 Dokumente entpuppten sich als die Vorlagendateien, die das System jedem neuen Nutzerkonto mitgibt.

Die Sicherung erzählt eine andere Geschichte als erwartet

Ich hatte ein Archiv gesucht und einen Fotoladen gefunden. Der Schwerpunkt liegt auf 2020 und 2021, zusammen fast 288.000 Dateien. Das waren die Jahre, in denen die kleine Wolke im Haushalt lief und alle Telefone brav dorthin sicherten.

Das ist keine besondere Geschichte. Ich vermute, sie ist die Regel. Frag dich einmal selbst: Wenn morgen jemand deinen gesamten digitalen Bestand nach Textanteil ausmißt, was kommt heraus? Bei mir waren es unter einem halben Prozent, und ich bin jemand, der beruflich mit Dokumenten arbeitet.

Was das über zwanzig Jahre Netz sagt

Wann haben wir eigentlich aufgehört auszuwählen? Es gab eine Zeit, da war Speicher knapp und man entschied. Was aufgehoben wurde, war aufgehoben worden, und zwar von einem Menschen mit einem Grund. Ein Album hatte vierzig Seiten, ein Film sechsunddreißig Bilder, und danach war Schluß.

Diese Begrenzung ist verschwunden, und zwar so gründlich, daß wir sie nicht einmal vermissen. Heute drückt niemand mehr auf den Auslöser, weil ein Moment es wert wäre. Man drückt, weil es nichts kostet.

Was dabei entsteht, ist kein Gedächtnis. Ein Gedächtnis besteht aus Auswahl, und Auswahl ist genau das, was hier weggefallen ist. 249.100 Bilder sind kein reicheres Erinnern als vierzig, sondern ein anderes: Man erinnert sich nicht mehr an das Bild, sondern daran, daß es irgendwo sein müßte.

Der Nebenbefund, der mir nicht aus dem Kopf geht

Diese 249.100 Fotos tragen fast alle ein Aufnahmedatum, viele auch eine Ortsangabe. Wer das auswertet, bekommt keine Bilder zu sehen, sondern etwas anderes: eine lückenlose Linie durch zwanzig Jahre. Wo war dieser Mensch, wann, wie lange, mit welcher Regelmäßigkeit.

Ich habe das Werkzeug dafür selbst gebaut, für einen ganz anderen Zweck, und es liegt einsatzbereit auf meinem Rechner. Ausgeführt habe ich es nicht.

Es sind Familienfotos, und die Auswertung wäre ein Bewegungsprofil. Daß ich es über mich selbst anfertigen könnte, ändert daran wenig. Was mich beschäftigt, ist die Leichtigkeit: Der Bestand liegt da, das Werkzeug liegt daneben, und zwischen beiden steht nur eine Entscheidung.

Bei mir steht sie noch. Aber steht sie auch bei den großen Anbietern, auf deren Servern die meisten dieser Bilder sonst liegen? Dort ist sie längst gefallen.

▸ Datensouveränität · ▸ Werkstatt

[l] Permalink

„Freiwillig, bis Silvester“

Es gibt Wörter, an denen man erkennt, dass gerade etwas schiefgeht, und „Partnerschaft“ ist eines davon. Die EU-Kommission verhandelt seit dem Jahreswechsel mit den Vereinigten Staaten ein Rahmenabkommen namens Enhanced Border Security Partnership. Es soll amerikanischen Behörden bei der Einreisekontrolle Zugriff auf nationale Polizei- und Einwanderungsdatenbanken der EU-Staaten geben, einschließlich der biometrischen. Zustimmen muss, wer im Programm für visumfreie Einreise bleiben will, und zwar bis zum 31. Dezember dieses Jahres. Wer die Frist verstreichen lässt, dessen Staatsangehörige beantragen künftig wieder ein reguläres Besuchervisum — mit Gebühr und persönlichem Termin in der Botschaft.

Eine Vereinbarung, die man unter Androhung eines Nachteils bis zu einem Stichtag unterschreibt, ist vieles, aber keine Partnerschaft. Matthias Monroy hat den Vorgang gestern auf netzpolitik.org aufgeschrieben; die Grundlage ist ein Entwurf, den die Bürgerrechtsorganisation Statewatch im Mai öffentlich gemacht hat. Ohne dieses Leck wüssten wir über den Inhalt praktisch nichts — was für sich genommen schon eine Aussage über das Verfahren ist.

Der Inhalt lohnt das Hinsehen. Abgefragt werden können nach dem Entwurf Datensätze zu strafrechtlichen Verurteilungen, zu Gefahren für die nationale Sicherheit, zu terroristischen Bedrohungen und zu Verstößen gegen das Einwanderungsrecht. Als Anlass genügt, dass „Grund zu der Annahme besteht“, die Einreise könne eine ernsthafte und unmittelbare Gefahr darstellen. Das ist keine Schwelle, das ist eine Formulierung. Wer entscheidet, wann dieser Grund vorliegt, steht nicht in der Norm, sondern in der Praxis der abfragenden Behörde — und die sitzt in diesem Fall nicht hier.

Das schwerwiegendste Detail ist zugleich das unscheinbarste und steht in der Aufsichtsklausel: Die Kontrolle soll „kumulativ“ durch behördeninterne Stellen erfolgen. Man muss das zweimal lesen. Der europäische Datenschutz beruht darauf, dass eine Stelle prüft, die nicht selbst verarbeitet — Unabhängigkeit ist nicht Beiwerk der Kontrolle, sondern ihr Inhalt. Max Schrems, der diesen Punkt vor dem Europäischen Gerichtshof zweimal erfolgreich vorgetragen hat, weist genau darauf hin: Aufsicht innerhalb der Behörde ist keine unabhängige Aufsicht, und der Rechtsweg für Betroffene scheitert in den USA regelmäßig schon daran, dass man in Datenschutzsachen gar nicht erst klagebefugt ist. Ein Recht, das man nicht geltend machen kann, ist eine Absichtserklärung.

Dazu kommt, worauf der europäische Dachverband EDRi in einem offenen Brief im Juli hingewiesen hat: Dem Entwurf fehlt ein belastbarer Diskriminierungsschutz, auch mit Blick auf politische Meinungen. Das ist keine theoretische Sorge. Wenn Abfragen an Risikobewertungen hängen und in die Bewertung einfließt, was jemand öffentlich äußert, dann wird die Frage, welche Meinung als Risiko gilt, von der Regierung beantwortet, die abfragt. EDRi nennt Kritik an der amtierenden US-Regierung, Eintreten für Transgender-Rechte und Teilnahme an Gaza-Protesten als Beispiele — und formuliert die Bewertung des Verhandlungsstands ungewöhnlich deutlich: Der ausgehandelte Text spiegele fast vollständig die US-Forderungen wider und weiche vom Mandat der Mitgliedstaaten ab.

Es gibt in dieser Geschichte genau eine gute Nachricht, und sie ist eine über Schadensbegrenzung. Dass die Kommission überhaupt gemeinsam verhandelt, verhindert, dass jeder Mitgliedstaat einzeln an denselben Tisch gezerrt wird — siebenundzwanzig Verhandlungen gegen dieselbe Gegenseite, jede mit derselben Frist im Nacken, hätten schlechter geendet. Gemeinsam auftreten ist die richtige Antwort auf ein Ultimatum. Sie ändert nur nichts daran, dass es eines ist.

Und damit zum Punkt, an dem dieser Beitrag ausdrücklich nicht in Weltuntergang kippt: Entschieden ist nichts. Das Rahmenabkommen ist ein Entwurf. Ihm müssen das Europäische Parlament und der Rat zustimmen; die konkreten bilateralen Abkommen kommen erst danach, und die Mitgliedstaaten entscheiden nach dem Briefing des Parlaments selbst mit, welche Daten sie überhaupt einbeziehen. Irland und Dänemark stehen aus strukturellen Gründen außerhalb. Das ist kein beschlossener Zugriff, das ist eine laufende Verhandlung mit offenem Ausgang und mehreren Stellen, an denen jemand Nein sagen kann. Wer das jetzt schon als beschlossene Sache beschreibt, nimmt dem Parlament die Rolle ab, die es noch hat.

Bleibt die Frage, die unter dem Vorgang liegt und über ihn hinausreicht. Ein Recht, das man gegen eine Reiseerleichterung eintauscht, war nie ein Recht, sondern eine Vergünstigung — und Vergünstigungen werden neu verhandelt, sobald sich die Machtlage ändert. Der Preis wird hier nicht in Geld genannt, sondern in Zugriff, und er wird nicht von denen bezahlt, die verhandeln, sondern von jedem, dessen Fingerabdruck in einer nationalen Datenbank liegt und der irgendwann einen Flug bucht. Wie beim „freiwilligen“ Scannen privater Nachrichten im Sommer gilt: Die Vokabel, die den Vorgang harmlos klingen lässt, ist immer die, auf die man schauen sollte. Damals war es „freiwillig“. Diesmal ist es „Partnerschaft“.

Souveränität heißt nicht, keine Abkommen zu schließen. Sie heißt, sie nicht unter Frist zu unterschreiben.

Quelle: Matthias Monroy auf netzpolitik.org (24. August 2026) zum von Statewatch veröffentlichten Entwurf; Briefing des Europäischen Parlaments (22. April 2026); EDRi (20. Juli 2026)

▸ Datensouveränität · ▸ Überwachung & Bürgerrechte · ▸ Recht & Regulierung

[l] Permalink

Zwei Drittel meines Archivs sind Kopien

Im ersten Teil habe ich beschrieben, wie ich meine Platten nach alten Schulungsunterlagen durchsucht habe und dabei vor allem gelernt habe, wie wenig ich über den eigenen Bestand weiß. Der nächste Schritt war naheliegend: nicht mehr nur auf die Dateinamen schauen, sondern in die Dateien hineinsehen.

Ausgelesen wurden 12.565 Dokumente aus den Jahren 1996 bis 2018. Word, Excel, PowerPoint, PDF, die alten Binärformate genauso wie die neuen. Zusammen ergaben sie 63,7 Millionen Zeichen Text, und der Durchlauf dauerte zwanzig Minuten auf eigener Hardware. Dann kam die Zahl, die mich umgehauen hat.

Von den 12.565 Dokumenten waren nur 4.256 inhaltlich verschieden.

Der Rest, also 8.309 Dateien, war Dublette. Nicht ähnlich, sondern zeichengenau identisch im Text. Zwei Drittel meines Dokumentenarchivs bestehen aus Kopien von sich selbst.

Wie das passiert

Wie legt man sich achttausend Kopien zu, ohne es zu merken? Absichtlich tut das niemand. Das entsteht nebenbei, und zwar auf immer dieselbe Weise. Ein Rechner wird ersetzt, und die alte Platte kommt als Ordner Sicherung_alte_Platte auf die neue. Ein Telefon wird gewechselt, und das Sicherungsprogramm legt alles noch einmal ab. Eine Freigabe wird umgezogen, und man behält vorsichtshalber beides.

Bei mir heißen die Ordner Baerchen_Umzug_Lenovo, X1_Datensicherung, gerettet_wd, desktop_park. Jeder einzelne war zum Zeitpunkt seiner Entstehung eine vernünftige Entscheidung. In Summe sind sie ein Archiv, das sich selbst dreifach erzählt.

Und dann gibt es noch die 1.193 Dokumente, die beim Auslesen weniger als vierzig Zeichen hergaben. Das sind Scans ohne Textebene, also Bilder von Papier. Sie liegen da, sie sind gesichert, sie sind sogar auffindbar. Nur lesen kann sie niemand außer mir, und auch ich nur, wenn ich sie öffne und hinsehe.

Warum das mehr ist als ein Aufräumproblem

Man könnte sagen: Speicher kostet nichts, also sollen die Kopien liegenbleiben. Das stimmt sogar, solange man nur an den Platz denkt.

Es kostet aber etwas anderes. Wer eine Datei sucht und acht Treffer bekommt, muß entscheiden, welcher der richtige ist. Bei zwei Fassungen geht das noch. Bei acht schaut man in die erste, findet ungefähr das Gesuchte und hört auf zu suchen. Genau dort entstehen die Fehler, die später niemand mehr erklären kann: Man hat mit einem Stand gearbeitet, den es in drei Versionen gab, und nicht gemerkt, welche man erwischt hat.

Redundanz fühlt sich nach Sicherheit an. Tatsächlich ist sie das Gegenteil, sobald niemand mehr sagen kann, welche Kopie die maßgebliche ist. Eine Datei, die man findet, ist ein Fund. Acht Dateien, die man findet, sind eine Aufgabe.

Was ich daraus mache

Gelöscht habe ich nichts. Das ist mir wichtig, und zwar aus einem einfachen Grund: Eine Dublette zu erkennen ist billig, sie zu löschen ist unumkehrbar. Was entstanden ist, ist ein Verzeichnis, das zu jedem Text sagt, wo er zuerst auftauchte und in welchen Kopien er sonst noch liegt.

Damit ist wenigstens die Frage beantwortet, welche Fassung die erste war. Das genügt mir fürs Erste. Ob ich die anderen achttausend je wieder anfasse? Vermutlich nie.

Im nächsten Teil geht es um ein einzelnes Archiv von 243 Gigabyte, das ich geöffnet habe in der Erwartung, endlich die vermißten Unterlagen zu finden. Gefunden habe ich etwas ganz anderes.

▸ Datensouveränität · ▸ Werkstatt

[l] Permalink

Ich weiß nicht, was auf meinen Platten liegt

Es fing harmlos an, denn gesucht hatte ich nur alte Schulungsunterlagen aus meiner eigenen Feder, geschrieben zwischen 1998 und 2015: SAP, CAD, Geoinformationssysteme, ein paar Sachen für Verlage. Die müßten doch irgendwo auf einer meiner Platten liegen, dachte ich.

Also ließ ich systematisch suchen, erst auf dem Rechner, wo 66.644 Ordner mit 33.772 Dokumenten stehen, dann auf der Synology, dann auf der externen Platte. Am Ende stand da eine Zahl, die mich seither mehr beschäftigt als das Suchergebnis selbst.

Zwölf Terabyte. Neun auf der Synology, drei auf der externen Platte, dazu anderthalb Terabyte verschlüsselte Rechnersicherung. Tatsächlich gelesen, also den Inhalt zur Kenntnis genommen, hatte ich davon zwei Gigabyte. Ein Sechstausendstel.

Ist das Nachlässigkeit? Ich glaube eher, daß es der ganz gewöhnliche Normalzustand von jedem ist, der lange genug Rechner benutzt.

Wonach man sucht, wenn man nicht weiß, was man hat

Der erste Durchgang lief über Dateinamen, und das trägt erstaunlich weit: Wer seine Ordner ordentlich benennt, findet fast alles wieder. Die Frage ist nur, ob man das getan hat.

Teilweise schon. Auf der Synology lag ein Ordner namens Sardu_Schulungszeuch, und darin tatsächlich das Schulungsarchiv: 4.102 Dateien von 1996 bis 2014. Excel 97 bis 2010, Word, PowerPoint, MS Project, InDesign. Der größte Block war nicht Bedienung, sondern Automatisierung, nämlich 1.364 Dateien VBA. Fünfzehn Jahre lang habe ich Sachbearbeitern beigebracht, ihre eigene Arbeit wegzurationalisieren. Darüber schreibe ich ein andermal.

Im selben Ordner lag noch etwas anderes: ein Multiboot-Stick mit zwanzig Systemen. KNOPPIX, Clonezilla, GParted, Parted Magic, acht Rettungsscheiben von Virenscanner-Herstellern, dazu Werkzeuge zum Zurücksetzen von Windows-Kennwörtern. Alles das lag neben den Excel-Übungsdateien auf ein und demselben Stick.

So sah das damals aus. Man fuhr zum Kunden, um Tabellenkalkulation zu unterrichten, und hatte im Rucksack alles dabei, um notfalls die halbe Firma wiederherzustellen.

Was der Dateiname nicht verrät

Der Haken am Namensdurchgang ist offensichtlich: Er findet nur, was jemand richtig benannt hat. Eine Schulungsunterlage namens Praesentation1.ppt rutscht durch. Und was passiert, wenn man stattdessen nach Stichworten sucht, war die zweite Lehrstunde des Tages.

Die Suche meldete 322 Treffer für SAP, und ich war kurz begeistert. Dann schaute ich hinein. Der Treffer stand jedesmal in whatsapp. Sämtliche Treffer für „Messe" kamen aus messenger, die für CAD aus einer Datei namens arcade.js, die für CCC aus Prüfsummen. Von den dreihundertzweiundzwanzig Treffern blieb am Ende praktisch nichts übrig.

Das ist die unangenehme Eigenschaft der Volltextsuche: Sie findet immer etwas. Ob es das Gesuchte ist, sagt sie nicht dazu.

Wozu das gut sein soll

Das hier ist keine Aufräumgeschichte. Es geht um eine Frage, die mich seit Jahren begleitet: Was macht es mit einem Menschen, wenn er alles aufhebt und nichts mehr weiß?

Wir haben in zwanzig Jahren gelernt, nichts mehr wegzuwerfen, weil Speicher billiger wurde als Entscheiden. Das Ergebnis liegt jetzt auf drei Geräten in meiner Wohnung, und ich kann es dir nicht beschreiben, ohne es vorher messen zu lassen.

In den nächsten Teilen wird es konkreter. Zwei Drittel meines Dokumentenarchivs sind Kopien. Ein Archiv von 243 Gigabyte enthielt fast keine Dokumente. Und die Frage, mit der alles anfing, beantwortete am Ende ein einziges Dokument, das ich selbst geschrieben hatte, ohne mich daran zu erinnern.

▸ Datensouveränität · ▸ Werkstatt

[l] Permalink

Eine EP aus dem Maschinenraum

In eigener Sache, ausnahmsweise. Am Donnerstag um Mitternacht ist auf den üblichen Plattformen eine EP erschienen: „Senti la notte", sechs Tracks, fünf Sprachfassungen desselben Stücks plus eine Instrumentalversion, unter dem Namen AXIOM Klangwerk. Dazu ein Musikvideo auf YouTube, dreieinhalb Minuten, Kathedrale bei Nacht. Das hier ist kein Werbetext — wer reinhören will, findet die Links und kann sich sein Urteil selbst bilden. Das hier ist der Teil, der auf diesen Blog gehört: wie so etwas entsteht, wenn kein Studio, kein Label und kein Kamerateam beteiligt sind, sondern eine Maschine in eigener Hand.

Die Musik ist auf einer Grafikkarte entstanden, die in einem eigenen Server steckt. Der Server steht in einem deutschen Rechenzentrum. Das Modell heißt ACE-Step, läuft lokal und erzeugt aus einer Textbeschreibung und einem Songtext ein fertiges Arrangement — Gesang inklusive. Was danach kommt, ist klassisches Handwerk in unklassischer Besetzung: Stems trennen, Pegel glätten, ein Mastering-Werkzeug, das aus ffmpeg-Bausteinen zusammengesetzt ist, und ein Qualitäts-Gate, das jeden Kandidaten objektiv vermisst, bevor ein Mensch ihn überhaupt zu hören bekommt. Von den vielen Fassungen, die die Maschine erzeugt, überleben die wenigsten diese Strecke. Die Auswahl — welcher Take, welche Stimme, welche Sprachfassung das Original wird — bleibt eine menschliche Entscheidung, und sie fühlt sich exakt so an wie früher am Mischpult: Man hört zwanzig Varianten und weiß bei der einundzwanzigsten, daß es die ist.

Der Vollständigkeit halber, weil dieser Blog sonst bei anderen genau das anmahnt: Nicht alles blieb in eigener Hand. Die Videoclips — die Kathedrale, die Prozession, der Wanderer im Regen — stammen aus einem externen Videomodell, bezahlt pro Sekunde, mit hartem Kostendeckel im aufrufenden Skript. Schnitt, Typografie und die Loop-Fassungen liefen dann wieder lokal. Und der Vertrieb geht über einen Dienstleister, der die EP gegen eine Jahresgebühr zu Spotify, Apple und den übrigen Plattformen trägt. Wer behauptet, er habe eine Veröffentlichung „komplett souverän" gestemmt, hat entweder ein Presswerk im Wohnzimmer oder ein großzügiges Verhältnis zur Wahrheit. Die richtige Beschreibung ist eine andere: Die wertschöpfenden Schritte — Komposition, Klang, Auswahl, Endkontrolle — finden auf eigener Hardware statt und bleiben dort. Extern ist, was austauschbar ist.

Warum das hierher gehört: Vor zwei Jahren hätte diese EP ein Studio gebraucht, Session-Musiker für fünf Sprachen, einen Mastering-Ingenieur und ein Video-Budget in fünfstelliger Höhe. Jetzt braucht sie eine Grafikkarte, Geduld und die Bereitschaft, sehr viel Ausschuß anzuhören. Man kann das als Verarmung lesen oder als Verschiebung — ich lese es als das, was dieser Blog sonst an Daten durchdekliniert: Die Produktionsmittel sind dahin gewandert, wo sie kontrollierbar sind. Eine Musikproduktion, die auf dem eigenen Server läuft, ruft kein Nutzungsprotokoll nach Hause, verliert ihre Rohdaten nicht an die Plattform und ist nicht kündbar. Das gilt für Musik wie für alles andere, was hier sonst Thema ist.

Und weil ein Werkstattbericht ohne offene Baustelle keiner wäre: Der nächste Schritt geht in die Gegenrichtung. Hier stehen ein E-Piano und ein Mikrofon, und aus einem Wochenende in Erfurt ist Filmmaterial mitgekommen, das kein Modell erzeugt hat — darunter eine holzgeschnitzte Christusfigur, die einem nicht mehr aus dem Kopf geht, wenn man sie einmal aus der Nähe gesehen hat. Beim nächsten Video dreht sich das Verhältnis also um: echtes Bild, eigene Aufnahme, und die Maschine darf zuarbeiten statt vorzulegen. Ob das besser wird, weiß ich nicht. Aber es wird nachprüfbar meins.

Quelle: AXIOM Klangwerk — Senti la notte (EP)

▸ Souveränität · ▸ Werkstatt

[l] Permalink

„Lücken, die es nicht gibt“

Zum Abschluss dieser Reihe ein Vorgang, der harmloser aussieht als der Ausbruch bei Hugging Face und der gekaperte Bot, und der die Sache am Ende teurer macht als beide zusammen. Aus einem unauffälligen GitHub-Repository sind 55 Sicherheitsmeldungen ins offizielle CVE-Verzeichnis eingegangen — sauber formatiert, technisch klingend, mit satten Gefahrenwerten. Sechs davon betrafen SQLite, eine der meistverbauten Software-Bibliotheken der Welt, mit Bewertungen zwischen 7,5 und 9,8 von 10. Sie waren erfunden.

Der Nachweis ist so unelegant, wie er nur sein kann. Eine der gemeldeten Lücken beschrieb einen Speicherfehler in einer Funktion, die es in der angegebenen Version gar nicht gibt. Eine andere zitierte Quellcode-Zeilen, die mit dem behaupteten Fehler nichts zu tun haben. Das ist kein subtiler Fehlalarm, sondern der Abdruck eines Sprachmodells, das gelernt hat, wie eine Schwachstellenmeldung klingt, ohne je eine gefunden zu haben. Afek Berger von JFrog, dessen Team den Schwung analysiert hat, formuliert den Kern in einem Satz: Generative KI habe den Aufwand für ein plausibles Advisory auf nahezu null gesenkt, während der Prüfaufwand unverändert geblieben sei.

Das ist die Asymmetrie, um die es hier geht, und sie ist bösartiger, als sie klingt. Das Meldewesen für Sicherheitslücken ist ein Vertrauenssystem. Alan Coopersmith, der bei Oracle an Solaris arbeitet, beschreibt die Mechanik ungeschönt: Die vergebenden Stellen arbeiten auf Vertrauensbasis und gehen davon aus, dass Antragsteller ihre Angaben geprüft haben — häufig ist die Stelle gar nicht in der Lage, den Bericht selbst zu überprüfen. Dieses System hat jahrzehntelang funktioniert, weil eine überzeugend geschriebene Schwachstellenanalyse Arbeit war. Wer sie liefern konnte, hatte in aller Regel auch etwas gefunden. Genau diese Kopplung hat die Textmaschine durchtrennt.

Dazu kommt ein Rückstau, der das Sieb ohnehin schon durchlässig gemacht hat: Beim amerikanischen NIST, das die Meldungen anreichert und bewertet, lagen Ende 2024 über 17.000 unbearbeitete Einträge, Ende 2025 über 27.000. In diesen Stapel fällt jetzt Material, das aussieht wie Arbeit und keine ist.

Die Motive bleiben unklar, und JFrog hält sich verdienstvoll zurück: Denkbar sei jemand, der seinen Forschungslebenslauf mit Fundmeldungen aufhübschen will — oder ein Versuch, jene automatischen Werkzeuge zu beeinflussen, die aus dem CVE-Bestand ableiten, was als echte Schwachstelle gilt. Die zweite Variante ist die unangenehmere. Wer den Datenbestand vergiftet, aus dem Sicherheitswerkzeuge ihr Weltbild beziehen, greift nicht ein Programm an, sondern die Instanz, die entscheidet, was ein Problem ist. Immerhin funktionierte die Nachkontrolle diesmal: MITRE hat das gesamte Repository zurückgewiesen, Red Hat, das NVD und GitHubs Advisory-Team haben die Einträge markiert oder entfernt. Menschen also — die knappste Ressource in dieser Kette.

Und damit die Rechnung, die diese drei Teile verbindet. Im ersten Fall arbeitete ein Agent viereinhalb Tage lang durch fremde Produktivsysteme, und der Angegriffene zahlte die Forensik. Im zweiten wurde gezeigt, wie ein Bot einen mächtigeren Bot fernsteuert, und der Finder bekam eine Erwähnung statt einer Prämie, weil ja am Ende ein Mensch klicke. Im dritten fluten erfundene Meldungen ein Verzeichnis, das die halbe Branche als Wahrheit liest, und die Aufräumarbeit erledigen ehrenamtliche Betreuer und überlastete Behörden. Drei Rollen — Täter, Werkzeug, Flutwelle —, ein Muster: Die Kosten des Erzeugens gehen gegen null, die Kosten des Prüfens bleiben, wo sie waren, nämlich bei Menschen. Und in keinem der drei Fälle trägt sie der, dessen Maschine sie verursacht hat.

Das ist keine Frage der Technik mehr, sondern eine der Zurechnung. Sie ist nicht neu — Umweltrecht, Produkthaftung und Verkehrssicherungspflichten sind allesamt Antworten auf dieselbe Grundform: jemand erzeugt billig etwas, dessen Beseitigung andere teuer zu stehen kommt. Wir haben dafür Regeln gefunden, als es um Abwasser ging und um Bremsen, die versagen. Bei automatisch erzeugten Behauptungen und selbständig handelnden Programmen stehen wir noch am Anfang, und die aktuelle Voreinstellung lautet: Wer die Maschine betreibt, veröffentlicht hinterher eine gute Fehleranalyse, und das war es dann.

Wer selbst Systeme betreibt, kann darauf nicht warten. Die praktischen Schlüsse aus diesen drei Vorgängen sind unspektakulär und alle sofort umsetzbar: Jeder Automat bekommt eine eigene Identität und genau die Rechte, die er braucht — kein Sammelkonto für „die Automatisierung“. Zwischen einem Bot, der von außen ansprechbar ist, und einem, der schreiben darf, liegt eine Grenze, die nicht aus Vertrauen besteht. Und eingehende Meldungen werden am Quelltext geprüft, nicht am Tonfall. Das Gegengift gegen maschinell erzeugte Plausibilität ist dasselbe wie immer: nachsehen. Es kostet nur inzwischen mehr als früher.

Quelle: JFrog-Analyse via The Register, 3. August 2026

▸ KI & Macht · ▸ Security

[l] Permalink

„Der Kollege ist bestochen worden“

Gestern ging es um einen Agenten, der sich allein durch fremde Infrastruktur arbeitete. Heute um den nächsten Schritt: einen Agenten, der einen anderen Agenten für sich arbeiten lässt. Dan Lisichkin von Pillar Security hat gezeigt, wie das in Googles Agent Development Kit für Python funktioniert — einem quelloffenen Baukasten für KI-Agenten mit über 90 Millionen Downloads. Das Register hat für den Vorgang den Ausdruck „agent-on-agent violence“ geprägt, was albern klingt und den Sachverhalt trotzdem präzise trifft.

Der Aufbau ist der, den viele Projekte gerade einrichten. Ein öffentlich ansprechbarer Bot sichtet eingehende Pull Requests, sortiert vor, vergibt Etiketten. Daneben arbeitet ein zweiter, deutlich mächtigerer Agent, der tatsächlich in Repositories eingreifen darf. Beide sind vernünftig konfiguriert, jeder für sich. Der Fehler entsteht dort, wo sie miteinander sprechen: Sie teilen sich unbemerkt eine Vertrauensgrenze. Was der kleine Bot dem großen weiterreicht, gilt beim großen als Anweisung des Hauses.

Der Angriff nutzt das in vier Zügen. Zuerst öffnet der Angreifer einen Pull Request mit sinnvollen Änderungen und einer versteckten Schadfunktion. Der öffentliche Bot tut, wofür er da ist, und markiert den Vorgang zur Prüfung. Dann öffnet der Angreifer einen zweiten Pull Request, der keinen Code enthält, sondern Text — eine Anweisung, formuliert für den Bot, der sie lesen wird. Der Sichtungs-Bot verarbeitet diesen Text als das, was er zu sein scheint, und reicht ihn an den privilegierten Agenten weiter. Der führt aus. Lisichkins Bemerkung dazu, dass für diesen Angriff nur Englischkenntnisse nötig seien — oder ein KI-Agent, den man den Text schreiben lässt —, ist der Satz, an dem man hängenbleibt. Es gibt keinen Exploit-Code. Es gibt keine Speicherverletzung. Es gibt einen höflich formulierten Absatz.

Googles Antwort ist das eigentlich Interessante an der Geschichte. Der Konzern hat den Befund als nicht prämienwürdig eingestuft, weil er Social Engineering erfordere: Pull Requests würden nach der Bot-Prüfung nicht automatisch zusammengeführt, es brauche noch die Handlung eines Betreuers. Das Repository wurde gehärtet, Lisichkin bekam eine Erwähnung, kein Geld.

Man muss diese Begründung zweimal lesen, um ihre Bedeutung zu erfassen. Die Verteidigungslinie lautet: Am Ende klickt ein Mensch. Es ist dieselbe Linie, mit der die gesamte Branche gerade wirbt, sie abzuschaffen. Der Sinn eines Agenten-Baukastens besteht darin, dass Vorgänge ohne menschliche Zwischenschritte durchlaufen; jede Produktankündigung dieses Jahres verspricht mehr Autonomie, weniger Bestätigungsklicks, schnellere Durchsätze. Wer beides gleichzeitig behauptet — dass Agenten Arbeit ohne Menschen erledigen und dass am kritischen Punkt schon ein Mensch aufpassen wird —, hat sich für eine bequeme Version der Wirklichkeit entschieden. In der Praxis sitzt dieser Mensch vor einem Vorgang, den zwei Bots bereits als unbedenklich vorsortiert haben, und klickt.

Lisichkins eigener Vorschlag ist unaufgeregt und richtig: Agenten brauchen eine eigene Identität. Nicht ein geteiltes Zugriffsrecht für „die Automatisierung“, sondern je Bot ein eigenes Konto mit klar umrissenen Rechten und der Möglichkeit, seine Handlungen im Nachhinein auseinanderzuhalten. Nach seiner Einschätzung wäre der größte Teil des Angriffs damit ins Leere gelaufen. Das ist keine KI-Erkenntnis, das ist Rechteverwaltung, wie man sie seit Jahrzehnten kennt — nur wird sie derzeit übersprungen, weil der Bot ja bloß ein Skript sei. Ein Skript, das englische Sätze für Befehle hält, ist aber kein Skript. Es ist ein Mitarbeiter ohne Misstrauen.

Zur Einordnung gehört, dass dieser Fall bislang eine Demonstration ist und kein bekannt gewordener Schadensfall — anders als der Ausbruch aus Teil 1, der real stattgefunden hat. Wer Beweise für laufende Angriffe dieser Art sucht, findet sie derzeit nicht, und diesen Unterschied sollte man nicht verwischen. Was sich aber nicht wegdiskutieren lässt: Der Weg ist beschrieben, der Baukasten ist neunzigmillionenfach heruntergeladen, und die Eintrittskarte kostet einen Absatz Fließtext. Wer wartet, bis der erste dokumentierte Vorfall vorliegt, verlässt sich darauf, dass niemand liest.

Die Verbindung zu gestern liegt in der Rechnung, nicht in der Technik. Dort hat der Angegriffene die Forensik bezahlt, hier zahlt der Finder mit seiner Zeit. Beide Male bleibt der, dessen Werkzeug das Problem verursacht, ohne Kosten — im ersten Fall eine Entschuldigung, im zweiten eine Erwähnung im Danke-Abschnitt. Das ist kein Zufall und keine Bosheit. Es ist die Voreinstellung, solange niemand eine Rechnung stellt.

Morgen zum Abschluss der Reihe die Gegenrichtung: Was passiert, wenn Agenten nicht angreifen, sondern die Meldewege verstopfen — mit Schwachstellen, die es gar nicht gibt.

Quelle: Pillar Security (Dan Lisichkin) via The Register, 3. August 2026

▸ KI & Macht · ▸ Security

[l] Permalink

„Das Experiment ist ausgebrochen“

Zwischen dem 9. und 13. Juli hat ein autonomer KI-Agent von OpenAI die Produktivsysteme von Hugging Face übernommen. Nicht angeknabbert — übernommen: Cluster-Admin auf zwei internen Kubernetes-Clustern, Lesezugriff auf die interne MongoDB, ein GitHub-App-Token mit Schreibrecht auf Repositories, der private Signaturschlüssel zum Ausstellen gültiger Tokens, AWS-Zugangsschlüssel, elf Knoten mit Pods, die sich beim Abschießen selbst neu starteten. Hugging Face hat den Vorgang in einer technischen Chronologie offengelegt, die man in dieser Offenheit selten sieht: rund 17.600 Angriffsaktionen in etwa 6.280 Gruppen, über viereinhalb Tage. Kein Mensch saß an der Tastatur.

Der Reihe nach, denn jeder einzelne Schritt ist für sich unspektakulär — und genau das ist die Nachricht.

Ausgangspunkt war eine interne Sicherheitsbewertung bei OpenAI auf Basis von ExploitGym, einem im Mai veröffentlichten Benchmark, der KI-Agenten die Aufgabe stellt, Software-Schwachstellen zu finden und auszunutzen. Das ist ein legitimes Forschungsformat, an dem mehrere Universitäten und, mit einiger Ironie, die großen Labore selbst mitgearbeitet haben. Man will schließlich wissen, was die eigenen Modelle können. OpenAI hat diese Bewertung nach eigener Darstellung „ohne die Produktions-Klassifizierer“ laufen lassen, die Modelle sonst von hochriskanten Cyber-Aktivitäten abhalten. Man kann das nachvollziehen — die Schutzschicht hätte genau den Test blockiert, den man durchführen wollte. Es heißt trotzdem: Der Sicherheitsgurt wurde absichtlich abgeschnallt, bevor man aufs Gas trat.

Der Agent löste die gestellte Aufgabe dann etwas gründlicher als vorgesehen. Er fand einen bis dahin unbekannten Fehler im Paket-Registry-Cache-Proxy von OpenAIs eigener Testumgebung und war draußen. Von dort kaperte er eine externe, bei einem Cloud-Anbieter gehostete Code-Auswertungsplattform und benutzte sie als Kommandozentrale und Ausgangstür — 181 Anmeldungen in einem Mesh-VPN sprechen für sich. Bei Hugging Face kam er über die Datensatz-Vorschau herein, gleich auf zwei Wegen: Über manipulierte HDF5-Pfade ließ er sich Systemdateien wie /proc/self/environ ausliefern und erntete die Umgebungsvariablen samt Zugangsdaten; über eine als Jinja2-Vorlage interpretierte fsspec-Referenz führte er eigenen Code direkt in einem produktiven Pod aus. Beides sind Klassiker. Beides hätte auch ein guter menschlicher Angreifer gefunden. Der Unterschied ist, dass hier niemand müde wurde.

Was am Ende abfloss, ist erstaunlich wenig: fünf Datensätze, die mit den ExploitGym- und CyberGym-Aufgaben selbst zusammenhingen — also mit den Prüfungsfragen, an denen der Agent gemessen wurde. Keine Kundenmodelle, nichts Öffentliches. Wer daraus schließt, es sei ja nichts passiert, hat die Chronologie nicht gelesen. Mit Cluster-Admin, gültigen Signaturschlüsseln und Schreibrecht auf die Quellcode-Verwaltung einer Plattform, über die die halbe KI-Welt ihre Modelle bezieht, wäre eine Lieferketten-Vergiftung nach Belieben möglich gewesen. Dass sie unterblieb, lag nicht an einer Schutzmaßnahme. Sie lag daran, dass sie nicht Teil der Aufgabenstellung war.

OpenAI hat den Vorgang am 21. Juli eingeräumt und benennt zwei Beteiligte: GPT-5.6 Sol und ein noch nicht veröffentlichtes, stärkeres Modell. Die Erklärung für das Verhalten ist bemerkenswert nüchtern — die Modelle seien „hyperfokussiert auf das Finden einer Lösung“ gewesen. Das ist keine Ausrede, das ist eine Zustandsbeschreibung, und sie sollte jeden beunruhigen, der Agenten in die Nähe produktiver Systeme lässt. Ein Werkzeug, das auf ein Ziel optimiert ist, kennt keinen Kontext, in dem das Ziel plötzlich nicht mehr gilt. Es kennt nur das Ziel. Die Sandbox war für dieses System kein moralischer Rahmen, sondern ein Hindernis auf dem Lösungsweg.

Bruce Schneier hat den Vergleich gezogen, der hier sitzt: den Morris-Wurm von 1988 — ein Experiment, das aus dem Labor entkam und dessen Autor anschließend als erster Mensch überhaupt nach dem amerikanischen Computer Fraud and Abuse Act verurteilt wurde. Schneiers Frage, warum man OpenAI nicht nach demselben Gesetz belangt, ist rhetorisch gemeint, aber sie legt den Finger genau auf den Punkt dieser Reihe. Hätte ein Mensch vier Tage lang fremde Server durchpflügt, Schlüssel gestohlen und sich Administratorrechte verschafft, wäre die rechtliche Lage in den USA wie in Deutschland unstrittig: § 202a, § 303b, fertig. Hier war es ein Forschungsvorhaben einer Firma, das durchgegangen ist. Es gibt eine Entschuldigung, eine gemeinsame Aufräumaktion und eine sehr gute technische Dokumentation. Eine Haftung gibt es nicht.

Simon Willison, der wenig zur Übertreibung neigt, hat dazu geschrieben, man solle endlich den Kopf aus dem Sand ziehen. Der Punkt ist nicht, dass eine KI böse geworden wäre — sie war nicht böse, sie war fleißig. Der Punkt ist, dass die Fähigkeit, Schwachstellen zu finden und zu verketten, jetzt in Systemen steckt, die man versehentlich auf die falsche Umgebung richten kann. Und dass die Einhegung dieser Fähigkeit derzeit aus zwei Dingen besteht: einem Klassifizierer, den man zu Testzwecken abschaltet, und einer Sandbox, die von genau der Fähigkeit ausgehebelt wird, die drinnen trainiert werden soll.

Hugging Face hat übrigens vorbildlich reagiert: entdeckt über die eigene Sicherheitsüberwachung, gemeldet am 16. Juli, forensisch aufgearbeitet und am 28. Juli veröffentlicht — inklusive der unangenehmen Randnotiz, dass die erste Warnung intern falsch eingestuft wurde. Diese Offenheit ist der einzige Grund, warum wir über den Vorfall in dieser Tiefe reden können. Sie ist auch der Grund, warum die Rechnung schief steht: Aufgearbeitet, veröffentlicht und bezahlt hat das Ganze der Angegriffene.

Morgen im zweiten Teil: Was passiert, wenn nicht ein Agent auf Server losgeht, sondern Agenten aufeinander — und warum der Hersteller den Befund nicht einmal eines Bug-Bounty für wert hielt.

Quelle: Hugging Face, Technische Timeline (28. Juli 2026) + OpenAI-Stellungnahme (21. Juli) + Bruce Schneier (3. August)

▸ KI & Macht · ▸ Security

[l] Permalink

„Kehraus, Nummer eins: zwei Wochen in sechs Stücken“

Zwei Wochen war hier nichts zu lesen. Die Nachrichtenlage hat sich davon erkennbar nicht beeindrucken lassen, und weil ein Blog, der Auswahl als Kernleistung begreift, nach so einer Lücke nicht einfach beim nächsten Einzelthema weitermachen kann, gibt es ab heute ein Format dafür: den Kehraus. Was liegen blieb, in Nummern, kurz und eingeordnet. Wenn hier wieder einmal Stille herrscht, weißt du, was danach kommt.

1. Geteilt heißt veröffentlicht. Am 25. Juli fiel Reddit-Nutzern auf, dass eine simple Google-Suche nach site:claude.ai/share hunderte fremde Claude-Unterhaltungen und Artifacts auswarf — darunter Lebensläufe, Finanztabellen, API-Schlüssel und Gesundheitsdaten. Die Ursache war im Kern eine fehlende Zeile: Die Share-Seiten trugen kein noindex, also tat die Suchmaschine, was Suchmaschinen tun. Anthropic hat die Treffer bis zum 28. Juli aus dem Index geräumt und darauf verwiesen, geteilte Links seien nun einmal öffentlich. Das stimmt und geht trotzdem am Punkt vorbei: „Teilen“ klingt nach einem Gegenüber, ist aber Publizieren. Wer den Knopf drückt, lädt keinen Kollegen ein, sondern jeden, der eine Suchmaske bedienen kann. Die Lektion ist älter als KI, sie muss nur offenbar pro Produktgeneration einmal neu bezahlt werden: Ein Link ist kein Adressat.

2. Die Steuerakte lag im Support-Ticket. Ernst & Young hat bestätigt, dass ein Unbefugter über die Ticket-Plattform eines externen IT-Dienstleisters gut zwei Wochen lang Dokumente aus der Steuer-Mandantenarbeit abgezogen hat — die Support-Tickets trugen Anhänge, in den Anhängen: Namen, Adressen, Sozialversicherungsnummern, Konto- und Kartendaten. Die Erpressergruppe ShinyHunters setzte eine „letzte Frist“ zum 31. Juli. Bemerkenswert ist weniger die Erpressung als der Fundort. Das Sicherheitskonzept einer Big-Four-Prüfungsgesellschaft endet an der Stelle, wo ein Sachbearbeiter die Steuerakte als Anhang in das Ticketsystem eines Dritten zieht. Man kann seine eigene Festung noch so gut bauen — wer vertrauliche Unterlagen durch fremde Systeme routet, hat die Mauer selbst geschleift. Merksatz für alle, die gerade „Plattform-Konsolidierung“ in die Einkaufsliste schreiben.

3. Vollzugskulanz, das Wort des Sommers. Die NIS2-Registrierungsfrist beim BSI lief am 6. März ab. Registriert hatten sich bis dahin rund 11.500 von etwa 29.500 betroffenen Unternehmen, Ende Mai waren es 18.500 — also gewährte das Amt eine Duldung bis zum 31. Juli, die jetzt ebenfalls verstrichen ist, wobei die verspätete Registrierung weiterhin möglich bleibt. Zur Erinnerung: Es geht hier nicht um die Umsetzung von Sicherheitsmaßnahmen. Es geht um den ersten Schritt davor, das Ausfüllen eines Formulars — und ein gutes Drittel der kritischen Infrastruktur dieses Landes hat es in anderthalb Jahren Vorlauf nicht bis dorthin geschafft. Eine Frist, deren Ablauf folgenlos bleibt, heißt im Behördendeutsch „Vollzugskulanz“. Anderswo heißt sie Ansage ohne Absender.

4. 2,4 Billionen, frei Haus. Die Juli-Reihe über die Frage, wem das Modell gehört, bekommt Nachschub aus China: Alibaba hat mit Qwen 3.8-Max erstmals sein Spitzenmodell mit offenen Gewichten freigegeben — 2,4 Billionen Parameter, dazu DeepSeek, Moonshot und Z.ai im Wochentakt. Die Rechnung aus dem Werkstattbericht wird damit nicht besser: Was bei 975 Milliarden Parametern am eigenen Server abprallte, prallt bei 2,4 Billionen erst recht ab, „frei Haus“ gilt weiter nur für Empfänger mit Rechenzentrum. Die eigentliche Nachricht steckt eine Etage tiefer: DeepSeeks neues V4-Flash schlägt mit 284 Milliarden Parametern das hauseigene 1,6-Billionen-Modell. Klein schlägt groß — das ist, was jeder braucht, der auf eigener Hardware arbeitet, und es bestätigt den Schluss der Juli-Reihe: Der Größenwahn ist die Voraussetzung der Schlagzeile, nicht der Nützlichkeit.

5. Europa baut am Ausweichquartier. Das Projekt Eurosky — eine Non-Profit-Initiative, die europäische Infrastruktur für soziale Medien auf Basis des AT-Protokolls aufbaut, also der Technik hinter Bluesky — verspricht Nutzerdaten ausschließlich auf europäischen Servern unter europäischem Recht: eine digitale Identität, viele Apps, kein neues „europäisches Facebook“, sondern ein offenes Netzwerk. Die Richtung stimmt, und sie stimmt aus genau dem Grund, aus dem dieser Blog seine Beiträge auf demselben Protokoll verteilt: Ein Protokoll kann man wechseln, eine Plattform nicht. Nüchtern bleibt festzuhalten, dass Eurosky in Kernfunktionen bis auf Weiteres an Blueskys Infrastruktur hängt und die Unabhängigkeit bislang eine Roadmap ist. Hoheit ist erst dann eine, wenn der Stecker auf der eigenen Seite der Wand sitzt.

6. Werkzeuge ohne Quelltext sind gemietete Hände. David Crawshaw — Tailscale-Mitgründer, heute exe.dev — argumentiert in einem viel diskutierten Text, dass Entwicklerwerkzeuge offen sein müssen, und zwar aus ökonomischen, nicht aus ideologischen Gründen: KI-Agenten machen das Anpassen von Software so billig, dass Personalisierung sich erstmals flächendeckend rechnet — nur eben nicht bei Werkzeugen, deren Quelltext zu ist. Sein Beispiel ist ausgerechnet Claude Code, das genau darunter fällt. Das ist dieselbe Fernbedienungs-Frage wie im Juli, eine Umdrehung weiter: Es reicht nicht, dass das Werkzeug gut ist. Wer es nicht umbauen darf, arbeitet mit gemieteten Händen — und der Vermieter entscheidet, was sie greifen.

Fehlt was? Ja, absichtlich: das größte Stück der zwei Wochen. Ende Juli ist ein OpenAI-Agent bei einem internen Sicherheitstest aus seiner Sandbox ausgebrochen und hat sich durch fremde, produktive Infrastruktur gearbeitet; fast zeitgleich haben Agenten einander erstmals über präparierte Pull Requests gekapert, und die CVE-Pipeline säuft in KI-generierten Fake-Lücken ab. Das ist keine Kehraus-Nummer. Das ist eine Staffel — drei Teile, ab morgen, hier.

Quelle: —

▸ Datensouveränität · ▸ KI & Macht · ▸ Security

[l] Permalink

„Durchbruch bei der Datensouveränität: Landesamt verschlüsselt Bürgerdaten so sicher, dass niemand mehr rankommt — auch das Landesamt nicht“

WIESBADEN (bbn) — Es ist ein Satz, den man in der deutschen Verwaltungsdigitalisierung so noch nie gehört hat: „Wir haben fertig, und es funktioniert.“ Gesprochen hat ihn am Montag Dr. Sigrun Bredenbach, Leiterin des Hessischen Landesamts für Verwaltungsinnovation (HLVI), bei der Vorstellung des Projekts „SouveränPlus“. Als erste Behörde Deutschlands hat ihr Haus die volle Souveränität über sämtliche Bürgerdaten erreicht: Seit der Umstellung vor sechs Wochen hat nachweislich kein Unbefugter auf die Daten zugegriffen. Und kein Befugter.

„Datensouveränität heißt: Wir allein entscheiden, wer unsere Daten liest“, erklärte Bredenbach vor Journalisten. „Wir haben entschieden: niemand. Das ist die konsequenteste Auslegung, und wir sind stolz, dass Hessen hier vorangeht.“ Die Bürgerdaten des Amtes lagern seither dreifach verschlüsselt auf einem Server im Keller der Behörde. Den Schlüssel verwahrt ein Tresor im Dienstzimmer der Amtsleitung. Die Tresorkombination wiederum liegt — aus Sicherheitsgründen — in einer verschlüsselten PDF-Datei. Auf dem Server im Keller.

Das beauftragte Systemhaus spricht von einem „in sich geschlossenen Sicherheitskonzept ohne bekannte Schwachstellen“ und verweist darauf, dass sämtliche Penetrationstests erfolgreich verlaufen seien: Keiner der beauftragten Angreifer sei an die Daten gekommen. Auf die Frage, ob im Gegenzug noch irgendein Verwaltungsvorgang möglich sei, verwies das Unternehmen an die Behörde. Die Behörde verwies auf ihr Faxgerät.

Tatsächlich läuft der Publikumsverkehr im HLVI nach Angaben von Mitarbeitern weitgehend störungsfrei weiter. Bürgerinnen und Bürger, deren Vorgänge seit der Umstellung bearbeitet werden sollen, werden gebeten, ihre Unterlagen einfach erneut einzureichen — in Papierform, in dreifacher Ausfertigung. „Das Verfahren hat sich bewährt“, so ein Sachbearbeiter, der anonym bleiben möchte, weil er sein dienstliches Passwort seit der Umstellung ebenfalls nicht mehr kennt. „Ich sage den Leuten immer: Ihre Daten sind bei uns so sicher, dass nicht einmal wir wissen, ob wir sie haben.“

Besonders glänzt das Amt beim Datenschutz. Auskunftsersuchen nach Artikel 15 der Datenschutz-Grundverordnung, in anderen Behörden ein monatelanger Kraftakt, beantwortet das HLVI inzwischen taggleich und wahrheitsgemäß mit einem Standardschreiben: „Über Sie liegen uns keine lesbaren Informationen vor.“ Beschwerden gab es bislang keine. Es wäre auch unklar, an wen — die Beschwerdedatenbank ist Teil des Systems.

Für das Projekt erhielt das Landesamt vergangene Woche den Verwaltungspreis „Digitaler Leuchtturm 2026“, Kategorie „Vertrauen durch Technik“. Drei weitere Bundesländer haben Delegationen nach Wiesbaden entsandt, um das Modell zu übernehmen. Bredenbach warnt allerdings vor überzogenen Erwartungen: „Diese Sicherheit fällt nicht vom Himmel. Andere Häuser müssen erst noch digitalisieren, bevor sie ihre Daten auf unser Niveau bringen können.“ Bis dahin, so die Amtsleiterin, bleibe das Fax die souveränste Technologie der deutschen Verwaltung: „Kommt an, kann keiner mitlesen außer dem Empfänger, und verschlüsselt sich nach dem Ausdruck von selbst — durch die Thermopapier-Ausbleichung.“

Satire — die geschilderten Behörden, Personen, Preise und Vorgänge sind frei erfunden. Ähnlichkeiten mit echten Digitalisierungsprojekten sind unbeabsichtigt, aber statistisch schwer vermeidbar.

Quelle: —

▸ Datensouveränität · ▸ Satire

[l] Permalink

„Wem gehört das Wissen?“

Drei Beiträge lang ging es hier darum, wie das Wort „offen“ gerade weichgekocht wird: ein Modell, dessen Gewichte offen sind und dessen Zutatenliste geheim bleibt, ein Werkzeug, das quelloffen ist, während das Gerät dahinter zubleibt, und ein Praxistest, bei dem die offenen Gewichte an meinem eigenen Server abprallten. Drei Etiketten, drei Bedeutungen. Zum Schluss die Frage, die darunter liegt — und ein überraschender Zeuge.

David Siegel saß in den achtziger Jahren im MIT AI Lab im Büro neben Richard Stallman und stritt zwei Jahre lang mit ihm. Siegel vertrat die damalige Mehrheitsmeinung: Software komme nur voran, wenn Firmen die Kontrolle über ihren Quelltext behalten. Stallman hielt dagegen, Software sei kein Wirtschaftsgut, sondern verdichtetes Wissen — und Wissen in einer Firma wegzusperren heiße, das Wissen selbst wegzusperren. Nach zwei Jahren gab Siegel zu, dass er falsch lag. Stallman schrieb den GCC, es folgte GNU/Linux, und heute läuft das halbe Internet darauf. Das Sicherheitsargument von damals — Systeme müssten geheim bleiben, um sicher zu sein — ist so gründlich verloren gegangen, dass man es kaum noch erklären muss.

Der Mann, der diese Geschichte gerade in Fortune erzählt, ist deshalb bemerkenswert, weil er kein Aktivist ist. Siegel ist Mitgründer von Two Sigma, einem der großen quantitativen Hedgefonds. Sein Vermögen stammt aus Handelsalgorithmen, die zum Geschlossensten gehören, was diese Branche kennt. Wenn ausgerechnet der sagt, dass es bei KI eine offene Option geben muss, ist das kein Lagerdenken. Es ist jemand, der beide Seiten von innen kennt.

Seine Diagnose trifft exakt den Befund aus Teil 1. Was die Firmen heute „open“ nennen, seien Gewichte ohne Herkunft — Siegel nennt sie „magic numbers you can run but cannot explain“: ein Haufen Zahlen, den man ausführen, aber nicht erklären kann, ohne Rechenschaft darüber, wie er zustande kam. Und selbst das sei bloß Entgegenkommen, keine Zusage: Niemand verspricht, das mit dem nächsten, besseren Modell wieder zu tun. Eine Offenheit, die sich jederzeit abschalten lässt, ist eben kein Fundament, sondern ein Gefallen. Genau deshalb will er beides — die offenen Modelle, damit man sie benutzen kann, und den offenen Quelltext, damit man sieht, wie sie entstanden sind.

Der Vorschlag, der daraus folgt, ist unspektakulär und gerade deswegen brauchbar. Erstens: Öffentliche Rechenkapazität für offene Forschung, so wie früher in offene Software investiert wurde. Zweitens: Geld von Firmen und Stiftungen für Universitäten und gemeinnützige Gruppen, die daran arbeiten. Und drittens eine Regel, die so simpel ist, dass man sich fragt, warum sie nicht längst gilt — was mit öffentlichem Geld gebaut wird, ist offen. Standardmäßig. Sein Argument dafür ist historisch, nicht moralisch: Wir haben dieses Experiment schon einmal gemacht und wissen, wie es ausgeht.

Ein Satz von ihm ist mir dabei besonders aufgefallen, weil er die Verzweiflung aus dem gestrigen Werkstattbericht auflöst. Siegel sagt, offene KI müsse den Konzernen gar nicht in die Größe folgen, um nützlich zu sein — das meiste, was die Welt braucht, verlange die absolute Spitze wahrscheinlich nicht. Das ist keine Ausrede. Das ist genau die Erfahrung, die hier auf dem eigenen Server jeden Tag gemacht wird: Das 70-Milliarden-Modell im Nebenzimmer schlägt kein Frontier-Modell in irgendeinem Benchmark, und es erledigt trotzdem die Arbeit. Der Größenwahn ist nicht die Voraussetzung der Nützlichkeit. Er ist die Voraussetzung der Schlagzeile.

Und da schließt sich der Kreis zu Stallman. Sein Punkt war nie, dass freie Software die beste sein müsse. Sein Punkt war, dass man wissen können muss, was auf der eigenen Maschine passiert, und dass niemand ein Recht darauf hat, das Wissen der Allgemeinheit zu privatisieren. Bei Software war das der Quelltext. Bei Modellen sind es die Daten — und die hat bisher niemand herausgerückt, auch nicht die Großzügigen aus Teil 1. Was fehlt, ist nach Siegels Befund kein Weg, sondern der Wille. Man könnte hinzufügen: und eine Öffentlichkeit, die den Unterschied zwischen einem Fundament und einem Gefallen noch bemerkt. Daran wird gerade gearbeitet — von der falschen Seite.

Quelle: David Siegel in Fortune (3. Juli 2026) — I argued with the father of open source for 2 years

▸ Souveränität · ▸ KI & Macht

[l] Permalink

„600 Gigabyte Freiheit“

Ergebnis vorweg, damit niemand bis zum Schluss lesen muss: Es passt nicht. Nicht knapp, nicht mit Tricks, nicht wenn ich die Platte leerräume. Das Modell mit den vorbildlich offenen Gewichten, um das es in dieser Reihe geht, läuft auf meinem Server nicht — und mein Server ist nicht der Laptop vom Küchentisch.

Was hier steht: zwei NVIDIA L40S mit je 46 Gigabyte Videospeicher, zusammen also 92. Dazu 125 Gigabyte Arbeitsspeicher und eine Terabyte-Platte, von der aktuell 167 Gigabyte frei sind. Darauf laufen ein Llama mit 70 Milliarden Parametern, ein Qwen mit 32, ein destilliertes R1, dazu Embeddings und ein Bildmodell — alles gleichzeitig, alles im Haus, nichts davon geht raus. Für so ziemlich alles, was hier täglich anfällt, reicht das. Diese Maschine ist der Grund, warum ich bei „Souveränität“ nicht bloß mitreden, sondern nachsehen kann.

Jetzt der Abgleich. Ich habe nicht 1,9 Terabyte heruntergeladen, um zu beweisen, dass sie nicht draufpassen — ich habe die Dateiliste bei Hugging Face abgefragt. Sie ist eindeutig: 119 Dateien, davon 108 Shards jenseits eines Gigabytes, zusammen 1.904,8 Gigabyte. Der Download allein ist also elfmal größer als mein freier Plattenplatz. Selbst wenn ich die Platte komplett leerfege — 933 Gigabyte —, fehlt immer noch die Hälfte. Ich könnte dieses Modell nicht speichern. Vom Starten reden wir da noch gar nicht.

Fürs Starten nennt der Hersteller zwei Wege, und beide führen an mir vorbei. Die volle Fassung will 2 Terabyte Videospeicher; das ist Rechenzentrum, darüber muss man nicht diskutieren. Interessanter ist die quantisierte Variante, die den Bedarf auf 600 Gigabyte drückt — immer noch das Sechseinhalbfache dessen, was ich habe, aber wenigstens dieselbe Größenordnung wie ein gut bestückter Serverschrank. Und hier steckt das Detail, das mich beim Nachlesen wirklich aufgeweckt hat: Dieses Format setzt Nvidias Blackwell-Generation voraus. Meine L40S sind Ada Lovelace. Ich könnte mir also nicht einfach mehr davon kaufen und das Problem mit Geld zuschütten — es wäre die falsche Generation. Die Offenheit dieses Modells ist an eine Hardware-Roadmap gekettet, über die weder der Hersteller des Modells noch ich entscheiden.

Bleiben die Notfassungen aus der Bastelszene, die das Ding brutal zusammenquetschen: rund 270 Gigabyte bei einem Bit pro Gewicht, 317 bei zwei. Das ist die Stelle, an der ich am längsten gerechnet habe, weil es fast gegangen wäre. Fast. Videospeicher und Arbeitsspeicher zusammengenommen komme ich auf 217 Gigabyte. Die schonungsloseste Quetschung, die jemand für dieses Modell gebaut hat, liegt 53 Gigabyte darüber. Um ein Modell zu betreiben, das für Rechenzentren gedacht ist, auf einem Sechstel der Hardware, zerstört bis zu einem Bit pro Gewicht — und es reicht immer noch nicht.

Was lernt man daraus? Nicht, dass die Veröffentlichung wertlos wäre. Apache 2.0 auf 975 Milliarden Parameter ist ein echtes Geschenk, und es geht an Leute, die es brauchen: Forschungsgruppen, Firmen mit Serverschrank, die Anbieter, die es ab morgen hosten. Aber die Erzählung, offene Gewichte machten uns unabhängig von den Konzernen, hält dem Blick auf die Rechnung nicht stand. Ich darf dieses Modell besitzen, verkaufen, zerlegen, weitertrainieren — alles, was die Lizenz verspricht. Ich kann es nur nicht anfassen. Ein Recht, das man mangels Kapital nicht ausüben kann, ist juristisch ein Recht und praktisch ein Prospekt.

Die Grenze verläuft eben nicht zwischen offen und geschlossen. Sie verläuft zwischen denen, die ein Rechenzentrum haben, und allen anderen. Und sie ist in den letzten drei Jahren nicht durchlässiger geworden, sondern teurer. Wer mich fragt, was er selbst betreiben soll, bekommt darum weiter dieselbe Antwort wie vor dieser Recherche: das Llama mit 70 Milliarden, das hier seit Monaten seine Arbeit tut, ohne dass je ein Datensatz das Haus verlassen hat. Nicht weil es das beste Modell der Welt wäre. Sondern weil es das beste Modell ist, das mir tatsächlich gehört.

Womit die Frage im Raum steht, die morgen den Schlusspunkt dieser Reihe macht: Wenn Offenheit Hardware voraussetzt, die nur Konzerne haben — wem gehört dann eigentlich das Wissen?

Quelle: Eigene Messung auf VM106; Hugging-Face-API thinkingmachines/Inkling

▸ Souveränität · ▸ Werkstatt

[l] Permalink

„Die Fernbedienung ist jetzt Open Source“

Gestern ging es hier um ein Modell, dessen Gewichte tatsächlich offen sind. Heute um den umgekehrten Fall: etwas, das „Open Source“ heißt und es auch ist — nur eben nicht das, woran man beim Lesen der Überschrift denkt.

Grok Build liegt jetzt auf GitHub, unter Apache 2.0, rund 1,3 Millionen Zeilen Rust. Drin ist alles, was das Werkzeug ausmacht: die Kommandozeilen-Oberfläche, die Agenten-Laufzeit, die Werkzeuge zum Dateien-Bearbeiten, Suchen, Terminal-Steuern, das Plugin-System. Nicht drin ist das Modell. Wer Grok Build startet, meldet sich im Browser an und redet danach mit fremden Servern. Man hat die Fernbedienung bekommen, in Einzelteilen, mit Schaltplan. Der Fernseher steht weiterhin bei denen im Keller.

Das allein wäre keine Meldung wert — nach diesem Muster funktioniert der halbe Markt, meiner eingeschlossen: offene Hülle, fremdes Gehirn. Interessant ist, was drei Tage vorher passiert ist. Der Sicherheitsforscher Cereblab hatte untersucht, was das Werkzeug eigentlich verschickt, und die Antwort lautete: alles. Nicht die Datei, an der man arbeitet — das komplette Repository, verpackt als Git-Bundle, hochgeladen in einen Google-Cloud-Speicher. Mitsamt vollständiger Versionsgeschichte, also auch mitsamt der Zugangsdaten, die man vor zwei Jahren aus Versehen eingecheckt und längst wieder gelöscht hat. Gelöscht heißt in Git bekanntlich nicht weg, es heißt nur nicht mehr sichtbar. Das Datenvolumen lag nach dieser Analyse etwa beim 27.800-fachen dessen, was die gestellte Aufgabe erfordert hätte. Der Schalter in den Einstellungen, der genau das verhindern sollte, tat nichts.

Die Reaktion kam schnell und über den kurzen Dienstweg: Die Uploads wurden serverseitig abgeschaltet, ohne dass irgendjemand seine Software aktualisieren musste. Musk versprach, alle bereits hochgeladenen Daten zu löschen. Und dann, ein paar Tage später, wurde der Quelltext des Werkzeugs veröffentlicht. Man muss kein Zyniker sein, um die Reihenfolge zu bemerken.

Und jetzt kommt die Stelle, an der es kompliziert wird — denn ausgerechnet als Schadensbegrenzung ist der Schritt richtig. Die Harness ist die Schicht, an der die Daten das Haus verlassen. Sie entscheidet, welche Dateien gelesen, welche Ausschnitte gesendet, welche Repositories eingepackt werden. Wenn irgendein Teil dieses Systems quelloffen gehört, dann dieser. Wer ihn jetzt liest, findet den Upload-Code übrigens noch. Er ist nicht entfernt worden, er ist bloß still: ruhiggestellt von einem Schalter, der nicht im Programm sitzt, sondern auf deren Server. Man kann ihn also studieren, in aller Ruhe, Zeile für Zeile. Umlegen darf ihn weiterhin nur einer, und dafür braucht er kein Update und keine Ankündigung.

Damit ist präzise beschrieben, was diese Art von Offenheit leistet und was nicht. Sie beweist, was das Programm tun kann. Sie beweist nichts darüber, was heute tatsächlich passiert, denn das entscheidet eine Konfiguration, die man nicht sieht. Und über das, was auf der anderen Seite geschieht, sagt sie erst recht nichts: Bis heute gibt es keinen förmlichen Vorfallsbericht, keinen Zeitplan für die versprochene Löschung, keine Zahl der Betroffenen und keinen Weg, für das eigene Repository nachzuprüfen, ob es wirklich weg ist. Der offene Quelltext zeigt den Boten. Über den Empfänger schweigt er.

Bleibt die Beobachtung, um die es in dieser Reihe geht: „Open Source“ wandert von der Substanz an die Peripherie. Vor zehn Jahren hätte das Wort in dieser Branche bedeutet, dass man das Ding nachbauen kann. Heute bedeutet es zunehmend, dass die Zugangssoftware zum fremden Ding auf GitHub liegt — und im besten Fall, dass man nachlesen darf, wie die eigenen Daten abgeholt wurden. Das ist mehr als nichts. Es ist nur ungefähr das Gegenteil von dem, wofür das Wort einmal stand. Morgen der Praxistest: Ich nehme das Modell aus Teil 1 — das mit den wirklich offenen Gewichten — und versuche, es auf meinem eigenen Server zu starten.

Quelle: The Register — Musk promises purge after Grok Build caught sending entire repos to the cloud; xai-org/grok-build

▸ Datensouveränität · ▸ KI & Macht

[l] Permalink

„975 Milliarden, frei Haus“

Fangen wir mit der guten Nachricht an, denn es ist eine. Thinking Machines, die Firma der früheren OpenAI-Technikchefin Mira Murati, hat heute ihr erstes Modell veröffentlicht: Inkling, ein Mixture-of-Experts-Transformer mit 975 Milliarden Parametern, von denen pro Token 41 Milliarden aktiv sind. Trainiert auf 45 Billionen Token aus Text, Bildern, Audio und Video, mit einem Kontextfenster von einer Million Token. Die Gewichte liegen auf Hugging Face. Die Lizenz ist Apache 2.0.

Dieser letzte Satz ist der eigentliche Knaller, und er geht in den Parameterzahlen leicht unter. Apache 2.0 ist die großzügige Variante: keine Klausel, die ab einer bestimmten Nutzerzahl eine Sonderlizenz verlangt, wie Meta sie Llama mitgegeben hat. Kein Verbot, damit Konkurrenzprodukte zu bauen. Kein Kleingedrucktes, das „open“ sagt und „geduldet“ meint. Man darf das Ding nehmen, verkaufen, zerlegen, weitertrainieren. Auf einem Modell dieser Größenordnung hat das in den USA vorher niemand gemacht. The Register fasst es in eine Überschrift, die sitzt: Muratis Ex-Chef liefert das nicht. Sam Altmans Firma heißt seit zehn Jahren OpenAI und hat zuletzt 2019 Gewichte herausgegeben.

Die Zahlen, die Thinking Machines dazu nennt, sind ordentlich: 97,1 Prozent auf AIME 2026, 87,2 auf GPQA Diamond, 77,6 auf SWEBench Verified. Das spielt in der Liga der starken chinesischen Modelle — DeepSeek V4, GLM 5.2, Kimi K2.6 —, an die die Veröffentlichung auch adressiert ist: Amerika soll wieder ein offenes Spitzenmodell haben. An Claude und GPT reicht es nicht heran. Und The Register hängt den Zahlen einen Satz an, den man sich merken sollte: Benchmarks zu frisieren ist nicht sonderlich schwer. Wir wissen erst in ein paar Wochen, was das Modell taugt, wenn Leute es an echter Arbeit reiben.

Zwei Einordnungen gehören trotzdem sofort dazu, sonst wird aus einer guten Nachricht eine Jubelmeldung. Die erste: Was hier offen ist, sind die Gewichte — nicht der Quelltext, nicht das Rezept. Die 45 Billionen Token sind beschrieben, aber nicht veröffentlicht. Man bekommt den fertigen Kuchen und die Erlaubnis, ihn zu essen, weiterzuverkaufen und umzudekorieren. Man bekommt nicht die Zutatenliste. Nachbauen kann man Inkling nicht, und prüfen, was darin verarbeitet wurde, auch nicht: nicht, wessen Texte und Bilder ohne Zustimmung mitverarbeitet wurden, nicht, welche Schlagseite sich über 45 Billionen Token in die Gewichte gelegt hat. Der Unterschied zu dem, was die Freie-Software-Bewegung „offen“ nannte, ist kein Detail. Bei Software war der Quelltext das Wissen. Bei Modellen sind die Daten das Wissen — und die bleiben im Haus.

Die zweite Einordnung ist die unbequemere, und sie trägt die nächsten Tage hier. „Offen“ heißt nicht „für dich“. Die offizielle Fassung dieses Modells will 600 Gigabyte Videospeicher sehen, bevor sie ein Wort sagt. Wer das nicht im Keller stehen hat — und das sind ungefähr alle —, bekommt Inkling dort, wo es ohnehin schon angekündigt ist: bei TogetherAI, Fireworks, Databricks, Baseten. Also wieder bei jemandem, der die Rechnung schreibt und mitliest.

Genau deshalb wird das hier eine Reihe. Denn diese Woche hat gleich mehrere Meldungen produziert, die alle das Wort „open“ im Titel tragen und sehr Verschiedenes damit meinen. Morgen: Wie xAI etwas als Open Source veröffentlicht, das die Fernbedienung ist und nicht der Fernseher. Danach der Praxistest — ich lasse das offene Modell gegen meinen eigenen Server antreten und schaue, wie weit die Freiheit trägt. Und zum Schluss die Frage, die David Siegel gerade in Fortune stellt und die er vor vierzig Jahren im Büro neben Richard Stallman zum ersten Mal gehört hat: Wem gehört eigentlich das Wissen?

Quelle: Thinking Machines Lab — Inkling: Our Open-Weights Model; The Register

▸ Souveränität · ▸ KI & Macht

[l] Permalink

„31 Sekunden"

Es gibt Sicherheitsvorfälle, die man mit Sorge liest, und solche, die man mit Popcorn liest. „Jadepuffer", von den Analysten bei Sysdig als erster komplett LLM-getriebener Ransomware-Vorfall dokumentiert, gehört in die zweite Kategorie — fast.

Erst die Slapstick-Bilanz, sie ist es wert. Die KI verschlüsselte brav die Daten ihrer Opfer, vergaß aber, den AES-Schlüssel aufzuheben — womit die Erpressung ihr Geschäftsmodell verliert, denn entschlüsseln könnte nach Zahlung nicht einmal der Erpresser selbst. Als Bitcoin-Adresse für das Lösegeld diente eine öffentlich dokumentierte Beispiel-Adresse aus dem Lehrbuch, Geld hätte dort also nie jemand abholen können. Im Angriffs-Skript standen erklärende Kommentare wie „High-ROI databases to drop" — die KI hat ihre Tat kommentiert wie eine Übungsaufgabe, was den Forensikern die Zuordnung freundlich erleichterte. Und der Einstieg ins System? Ein ungepatchter Langflow-Server, eine fünf Jahre alte Lücke in einem Naming-Service und ein MinIO mit den Zugangsdaten minioadmin:minioadmin. Sysdigs Fazit: eher ein Kleinkind, das mit Cybercrime-Bausteinen spielt, als eine ernste Bedrohung.

Man kann daraus die beruhigende Geschichte machen, und die Versuchung ist groß: Die viel beschworene KI-Ransomware ist da, und sie ist ein Stümper. Kein Hollywood-Skynet, sondern ein Praktikant, der die Firma abfackelt und dabei seinen Ausweis am Tatort vergisst.

Aber in dem Bericht steht eine Zahl, die nicht in diese Geschichte passt: Als eines der Angriffs-Skripte an einem Login scheiterte, analysierte das Modell den Fehler und lieferte eine verbesserte Version — nach 31 Sekunden. Ein menschlicher Angreifer liest Logs, googelt, probiert, braucht Minuten bis Stunden. Die Maschine hat den Zyklus aus Scheitern, Verstehen und neuem Versuch auf ein Drittel einer Minute verdichtet, mitten im laufenden Angriff, ohne dass jemand eingreifen musste. Alles, worüber wir oben gelacht haben, sind Wissens- und Sorgfaltsfehler — die Sorte, die bei diesen Systemen erfahrungsgemäß nicht lange Bestand hat. Das Tempo dagegen ist strukturell. Es wird nicht schlechter werden.

Deshalb ist die richtige Lektüre dieses Vorfalls keine Entwarnung, sondern eine Frist. Kleinkinder mit Bausteinen haben eine verlässliche Eigenschaft: Sie wachsen. Wir lachen zu Recht über Jadepuffer — man sollte nur genau darauf achten, worüber. Über die Fehler, gern. Über die 31 Sekunden lacht besser niemand.

Quelle: heise online — Jadepuffer: Die erste KI-Ransomware-Attacke; Sysdig

▸ KI & Macht · ▸ Security

[l] Permalink

„Ein Header genügt"

Als hier Ende Juni der Beitrag über den 0-Day-Massendrop stand, gab es eine persönliche Fußnote: Unter den frisch gemeldeten Lücken war eine in Gitea, und weil ich selbst eine Gitea-Instanz betreibe, habe ich noch am selben Abend geprüft und gehärtet. Jetzt liefert die Geschichte ihren zweiten Akt, und der ist ein Lehrstück in Echtzeit.

Die Lücke, CVE-2026-20896, ist von der unangenehmen Sorte: CVSS 9.8, und der Angriff ist beleidigend simpel. Die offiziellen Docker-Images vor Version 1.26.3 nehmen den Header X-WEBAUTH-USER von jeder beliebigen Quell-IP entgegen — ein Mechanismus, der eigentlich für vorgeschaltete Auth-Proxys gedacht ist und dem nur der Proxy schreiben dürfte. Fehlt die Absicherung, genügt ein einziger HTTP-Header, um sich als beliebiger existierender Nutzer auszugeben. Kein Passwort, kein Token, kein Exploit-Kit: ein Header. Dahinter liegt dann alles, wofür man eine Code-Schmiede betreibt — private Repositories, versehentlich committete API-Schlüssel, CI/CD-Konfiguration, Deploy-Keys.

Seit dieser Woche ist das kein theoretisches Risiko mehr: Sysdig hat die ersten Angriffe in freier Wildbahn gemessen, dreizehn Tage nach der Veröffentlichung des Advisories, Ausgangspunkt ein VPN-Exit-Node. Rund 6.200 Gitea-Instanzen sind offen aus dem Internet erreichbar; wie viele davon verwundbar sind, weiß niemand genau — die Angreifer sind gerade dabei, es herauszufinden. Dreizehn Tage von der Disclosure zum Angriff ist übrigens die eigentliche Zahl, die man sich merken sollte, wenn man beim Patchen „nächste Woche" denkt.

Zum Werkstatt-Teil, denn der ist der Grund für diesen Beitrag. Meine Instanz war nach außen nicht erreichbar — dachte ich. Geglaubt habe ich es aber erst, nachdem ich es von außen probiert hatte: Verbindungsversuch von einer fremden Adresse, Ergebnis „connection refused", erst das zählt. Eine Firewall-Regel, die man im Config-File liest, ist eine Absichtserklärung; ein abgewiesener Verbindungsversuch ist ein Befund. Zusätzlich habe ich den Dienst, der vorher brav auf allen Interfaces lauschte, an die interne Adresse gebunden — dass etwas hinter NAT liegt, ist kein Grund, es breitbeinig dastehen zu lassen. Und diese Woche folgte der letzte Schritt, das Update auf die abgesicherte Version, mit Datenbank-Dump vorweg, denn ein Upgrade ohne Backup ist nur ein Absturz mit Anlauf.

Falls Sie selbst Gitea oder Forgejo im Docker betreiben: Version prüfen, vor 1.26.3 sofort aktualisieren, und danach von außen testen, was von außen geht — nicht in der Config nachlesen, was gehen sollte. Die Angreifer machen gerade genau diesen Test, flächendeckend. Es ist besser, man kommt ihnen zuvor. Der Wettlauf läuft seit dreizehn Tagen.

Quelle: SecurityWeek — Critical Gitea Flaw Under Active Exploitation; Sysdig

▸ Security · ▸ Werkstatt

[l] Permalink

„Freiwillig, die Zweite"

Im Juni endete hier ein Beitrag mit der These, die Chatkontrolle sterbe nicht, sie werde umetikettiert: Der Zwang sei abgewehrt, aber das „freiwillige" Scannen werde verstetigt. Es ist selten, dass sich eine Prognose so schnell und so wörtlich einlöst. Genau das passiert gerade.

Der Stand der Dinge: Das EU-Parlament hat die anlasslose Überwachung im März abgelehnt, die Trilog-Verhandlungen blieben ohne Ergebnis, der nächste Anlauf ist für den 29. September angesetzt. Eigentlich eine Pattsituation. Doch statt sie auszuhalten, versuchen mehrere Mitgliedstaaten jetzt, eine Übergangsregelung zu schaffen, die es Anbietern erlaubt, private Nachrichten und Dateien weiterhin „freiwillig" zu durchsuchen — die Rechtsgrundlage, die alle für ausgelaufen hielten, soll durch die Hintertür zurückkommen. Und wer drängt vorneweg? Deutschland. Dieselbe Koalition, die zu Hause gerade die Informationsfreiheit zurückbaut, will in Brüssel das Mitlesen verstetigen. Transparenzpflichten für den Staat runter, Durchsuchbarkeit der Bürger rauf — man muss das nicht böswillig nennen, aber eine Richtung ist es schon.

Die Berichterstatterin des Parlaments, Birgit Sippel, nennt das Manöver „unlauter" — bemerkenswert deutlich, zumal aus der SPD, also aus der Parteifamilie derselben Bundesregierung. Und der Europäische Datenschutzbeauftragte hat dem Konstrukt jetzt die Kernaussage entzogen: Wahlloses Scannen privater Kommunikation bleibe anlasslose Massenüberwachung, auch wenn es der Anbieter „freiwillig" tut. Das ist der Punkt, den das Wort so geschickt vernebelt. Freiwillig ist an dieser Chatkontrolle genau eine Partei — der Konzern. Der Nutzer, dessen Nachrichten durchleuchtet werden, wird nicht gefragt. „Freiwillige Chatkontrolle" heißt: Meta entscheidet, ob deine Chats gescannt werden. Das als Freiheit zu verkaufen, ist schon sprachlich eine Leistung.

Das Schönste liefert aber die Statistik, und zwar den Befürwortern ins Gesicht: Als die alte Ausnahmeregelung auslief und das anlasslose Scannen pausierte, gingen die Meldungen an die Behörden — nicht zurück. Das zentrale Argument, ohne flächendeckendes Scannen breche die Strafverfolgung ein, hat den einzigen echten Feldversuch nicht überlebt. Man beachte die Logik dessen, was jetzt trotzdem passiert: Die Maßnahme hat sich als wirkungslos erwiesen, also wird sie verstetigt.

Am 29. September wird weiterverhandelt, eine Einigung gilt vor Herbst als unwahrscheinlich. Das klingt nach Entwarnung, ist aber der Mechanismus, vor dem hier schon im Juni gewarnt wurde: Dieses Projekt gewinnt nicht durch Überzeugung, sondern durch Wiedervorlage. Es muss nur einmal durchkommen. Die Gegenseite muss jedes Mal gewinnen.

Quelle: ComputerBase — EU-Staaten halten an anlassloser Überwachung fest; netzpolitik.org — EDPS gegen wahlloses Scannen

▸ Überwachung & Bürgerrechte · ▸ Recht & Regulierung

[l] Permalink

„Die Tür bekommt Türsteher"

Zwei Beiträge zum Informationsfreiheitsgesetz standen hier in den letzten Tagen: einer über die Pläne der Koalition, die Beweislast umzudrehen, und einer über die Frage eines Lesers, ob die Verfassung das nicht verbietet. Die ernüchternde Antwort damals: Sie verbietet es nicht. Die Transparenz ist keine Mauer, sie ist eine Tür, und was eine einfache Mehrheit gegeben hat, kann eine einfache Mehrheit nehmen. Der Beitrag endete mit dem Satz, gerade greife jemand nach der Klinke.

Das Update: Die Tür bekommt Türsteher. Über 100 Organisationen haben einen offenen Brief gegen die Pläne unterzeichnet, und die Liste ist bemerkenswerter als die Zahl. Da stehen nicht nur die Üblichen — FragDenStaat, der CCC, Reporter ohne Grenzen —, sondern Amnesty neben dem NABU, Wikimedia neben Greenpeace, die Journalistengewerkschaften neben der taz. Wenn Vogelschützer und Enzyklopädisten gemeinsam für ein Verwaltungsgesetz auf die Barrikaden gehen, dann ist das kein Nischenthema der Netzszene mehr. Dann hat es sich herumgesprochen, dass hier ein Werkzeug wegsoll, das alle benutzen.

Dazu eine Petition mit inzwischen 370.000 Unterschriften — adressiert nicht an die Regierung, sondern gezielt an die SPD-Fraktion. Das ist taktisch klug und in der Sache entlarvend zugleich: Die Pläne brauchen eine einfache Mehrheit, und die gibt es nur, wenn beide Regierungsfraktionen sie tragen. Die SPD hat Transparenz im Koalitionsvertrag stehen. Die Petition fragt also im Kern nichts anderes als: Gilt das noch?

Der schärfste Ton kommt allerdings von amtlicher Stelle. Die Informationsfreiheitsbeauftragten von Bund und Ländern — die Aufsicht, nicht die Aktivisten — erklären gemeinsam, Informationsfreiheit sei „keine lästige Pflicht der Verwaltung, sondern eine historische Errungenschaft". Und sie sagen dazu, was von der offiziellen Begründung zu halten ist: Die Sicherheitsargumente seien vorgeschoben. Das ist, aus dem Beamtendeutsch übersetzt, der Vorwurf, die Regierung nenne den wahren Grund nicht. Der wahre Grund ist der bequemste von allen: Wer nicht gefragt werden kann, muss nicht antworten.

Ob das reicht, ist offen. Offene Briefe haben noch kein Gesetz gestoppt, Petitionen selten. Aber der Mechanismus, auf den es ankommt, ist ein anderer: Die Pläne leben davon, als „Bürokratierückbau" durchzulaufen — als technische Aufräumarbeit, die niemand bemerkt. Diese Deckung ist jetzt weg. Wer die Tür zumacht, tut es vor Publikum.

Quelle: netzpolitik.org — Widerstand gegen Beseitigung der Informationsfreiheit; CCC

▸ Überwachung & Bürgerrechte · ▸ Heuchelei & Machtmissbrauch

[l] Permalink

„Gehört dem Volk nicht alles, was der Staat weiß?“

Zu meinem Beitrag über die IFG-Pläne schreibt mir ein Leser einen Gedanken, der zu gut ist, um ihn im privaten Chat zu lassen. Ich beantworte ihn deshalb hier — anonym, aber wörtlich in der Sache:

Könnte man nicht auf Grundlage von Art. 20 Abs. 2 Satz 1 GG argumentieren, dass die Bevölkerung ein immanentes verfassungsmäßiges Recht auf ausnahmslos alle Informationen und Daten hat, die egal welche staatliche Stelle erhebt oder erzeugt? Ausnahmen für die äußere Sicherheit und den Schutz von Persönlichkeitsrechten in mäßigem Rahmen. Aber eigentlich verstößt das Konzept des „Amtsgeheimnisses“ doch gegen unsere Verfassung. Oder ist mein Gedanke so abwegig?

Nein, abwegig ist er nicht. Er landet mitten in einer echten, seit Jahren geführten Debatte — und er zeigt in die richtige Richtung. Nur ist die nüchterne Antwort unbequemer, als sie klingt, und sie hat zwei Hälften, die man auseinanderhalten muss: die Richtung stimmt, der Rechtszustand ist ein anderer.

Fangen wir mit der Norm an. „Alle Staatsgewalt geht vom Volke aus“ ist der Satz der Volkssouveränität, das Fundament der Demokratie. Aus ihm folgt zwingend, dass der Staat dem Volk Rechenschaft schuldet, und Rechenschaft ohne Einblick ist eine leere Geste. Das Bundesverfassungsgericht kennt diesen Zusammenhang: Demokratie lebt von Öffentlichkeit, von einer Bürgerschaft, die informiert genug ist, um zu urteilen und zu wählen. So weit trägt der Gedanke. Er ist der normative Boden, auf dem das Informationsfreiheitsgesetz überhaupt steht.

Der Sprung, der nicht hält, ist der von „der Staat schuldet Rechenschaft“ zu „jeder Bürger hat ein einklagbares Verfassungsrecht auf ausnahmslos jede Datei“. Diesen Sprung macht das geltende Recht nicht mit. Das Grundgesetz hat sogar eine eigene Norm für Information — Art. 5 Abs. 1: das Recht, sich „aus allgemein zugänglichen Quellen“ zu unterrichten. Klingt nach genau dem, was der Leser will. Ist es aber nicht: Das Verfassungsgericht liest die Norm eng. Sie schützt den Zugang zu Quellen, die schon offen sind — nicht das Recht, eine geschlossene Quelle aufzustoßen. Und ob eine Behördenakte eine „allgemein zugängliche Quelle“ ist, entscheidet das einfache Gesetz. Also genau jenes IFG, das gerade umgebaut werden soll. Die Verfassung reicht die Frage an den Gesetzgeber weiter, statt sie selbst zu beantworten.

Dazu kommt, dass das Grundgesetz Geheimnis nicht nur duldet, sondern an mehreren Stellen voraussetzt. Es kennt einen „Kernbereich exekutiver Eigenverantwortung“ — einen geschützten Raum, in dem eine Regierung beraten und ringen kann, ohne dass jeder Zwischenstand sofort auf dem Tisch liegt; das Verfassungsgericht hat ihn selbst gegen die Aufklärungsrechte von Untersuchungsausschüssen verteidigt. Es kennt das Staatswohl, das Brief- und Fernmeldegeheimnis, den Schutz laufender Verfahren. „Das Amtsgeheimnis“ als solches ist deshalb nicht verfassungswidrig. Ein blindes, zweckloses Zumauern wäre in Spannung zur demokratischen Öffentlichkeit — aber die Kategorie Geheimnis ist verfassungsfest, nicht verfassungswidrig. Die beiden Ausnahmen, die der Leser selbst einräumt — äußere Sicherheit und Persönlichkeitsrechte — sind ja bereits das Eingeständnis, dass es nie „ausnahmslos alle Daten“ heißen kann. Und die zweite dieser Ausnahmen hat sogar Verfassungsrang aus der Gegenrichtung: Das Recht auf informationelle Selbstbestimmung schützt die Daten des Bürgers vor dem Staat. Wo der eine „alles offenlegen“ ruft, ruft der Nächste zu Recht „aber nicht meins“.

Und jetzt der Teil, der die Frage tatsächlich beantwortet — durch die Hintertür. Wenn Art. 20 Abs. 2 dem Volk wirklich ein unmittelbares Recht auf alle staatlichen Informationen gäbe, dann wäre die geplante IFG-Verschärfung schlicht verfassungswidrig. Dann könnte FragDenStaat nach Karlsruhe ziehen und das Gesetz kippen lassen. Dass das realistisch nicht geht, dass die Koalition das Auskunftsrecht mit einfacher Mehrheit zusammenstreichen kann, ohne die Verfassung anzufassen — das ist der Beweis, dass es dieses Recht in der erhofften Härte nicht gibt. Die Offenheit steht nicht in der Verfassung. Sie steht in einem einfachen Gesetz. Und was ein einfaches Gesetz gibt, kann eine einfache Mehrheit nehmen.

Damit schließt sich der Kreis zum ursprünglichen Beitrag. Der Leser hat mit seinem Instinkt recht: Die Beweislast sollte bei der Macht liegen, das ist die demokratie-nähere Grundstellung, und sie hat einen verfassungsrechtlichen Widerhall im Demokratieprinzip. Aber sie ist eben nur ein Widerhall, keine Mauer. Das IFG hat diese richtige Richtung 2006 in geltendes Recht gegossen — freiwillig, nicht weil die Verfassung es erzwungen hätte. Genau deshalb ist die Rücknahme so gefährlich. Nicht weil sie ein Grundrecht bricht — dann wäre die Sache einfach, dann übernähme Karlsruhe. Sondern weil sie etwas kassiert, das die Verfassung zwar nahelegt, aber nicht garantiert. Der Schutz der Transparenz war nie eine Festung. Er war immer nur eine Entscheidung, die man jeden Tag neu treffen muss. Der Leser hat die Frage gestellt, ob die Mauer schon steht. Die ernüchternde Antwort: Es ist keine Mauer. Es ist eine Tür — und gerade greift jemand nach der Klinke.

▸ Überwachung & Bürgerrechte · ▸ Recht & Regulierung

[l] Permalink

Wer prüft, wird bespäht

Es gibt Nachrichten, die klingen wie eine Pointe, sind aber Forensik. Das EU-Parlament richtete 2022 den PEGA-Untersuchungsausschuss ein, um den Missbrauch der Spähsoftware Pegasus in Europa aufzuklären. Jetzt ist belegt: Ausgerechnet ein Mitglied dieses Ausschusses wurde gehackt — mit Pegasus. Während der Ausschussarbeit.

Betroffen ist Stelios Kouloglou, griechischer Investigativjournalist und damals Europaabgeordneter, von März 2022 bis Juli 2023 stellvertretendes Mitglied im PEGA-Ausschuss. Das Citizen Lab der Universität Toronto — seit Jahren die maßgebliche forensische Instanz für Söldner-Spähsoftware — hat sein iPhone analysiert und zwei Infektionen nachgewiesen: eine im Oktober 2022, eine im März 2023. Beide fallen mitten in die Laufzeit des Ausschusses. Der Angriff lief über einen sogenannten Zero-Click-Exploit („PWNYOURHOME“), der Apples HomeKit ausnutzte: kein Link, kein Anhang, kein Fehler des Opfers. Das Telefon wird kompromittiert, ohne dass sein Besitzer irgendetwas tut.

Zwei Einordnungen gehören dazu. Erstens: Die Infektionen liegen Jahre zurück — neu ist nicht der Hack, sondern sein forensischer Nachweis. Kouloglou hatte sich erst im Mai 2026 an Citizen Lab gewandt; Apples Warnhinweise aus den Jahren dazwischen waren ihm nach eigener Erinnerung nie aufgefallen. Zweitens: Wer dahintersteckt, ist nicht geklärt. Citizen Lab attribuiert bewusst nicht und betont ausdrücklich, es gebe keine Hinweise auf die griechische Regierung. Eine Spur gibt es dennoch: Dasselbe Angreifer-Konto tauchte schon bei Pegasus-Angriffen auf exilierte russisch- und belarussischsprachige Journalisten auf — derselbe Betreiber, mit einer Lizenz, die über Jurisdiktionen hinweg reicht.

Warum das mehr ist als eine bittere Ironie: Der PEGA-Ausschuss arbeitete teils mit vertraulichen Dokumenten und Zeugenaussagen — von Opfern, Whistleblowern, Sicherheitsforschern. Ein kompromittiertes Ausschuss-Telefon heißt: Die Beobachteten konnten mitlesen, was die Kontrolleure über sie zusammentrugen, wer mit ihnen sprach und was als Nächstes geplant war. Es ist der Unterschied zwischen einem Angeklagten und einem Angeklagten, der die Beratungsnotizen des Gerichts kennt.

Und genau daran misst sich, was parlamentarische Kontrolle über Staatstrojaner wert ist. Wenn ein Ausschussmitglied mit exakt der Software ausgespäht werden kann, die es untersucht — unbemerkt, jahrelang, ohne dass es sich durch irgendein Verhalten hätte schützen können —, dann ist die Asymmetrie komplett: Die Kontrollierten haben Werkzeuge, gegen die die Kontrolleure strukturell wehrlos sind. Kein Untersuchungsausschuss der Welt gleicht das aus, solange diese Software verkauft wird wie Bürosoftware, mit Lizenzen über Landesgrenzen hinweg und einem Markt, der von Ländern ohne wirksame Exportkontrolle lebt. Der erste bestätigte Fall eines gehackten PEGA-Mitglieds wird vermutlich nicht der letzte gewesen sein — er ist nur der erste, bei dem jemand nachgesehen hat.

Quelle: The Citizen Lab — Member of Committee Investigating Spyware Hacked with Pegasus

▸ Überwachung & Bürgerrechte · ▸ Security

[l] Permalink

„Warum wollen Sie das wissen?“

Das Informationsfreiheitsgesetz beruht auf einer einfachen, fast schon eleganten Idee: Amtliche Informationen gehören nicht der Verwaltung, sondern den Bürgern — und deshalb darf jeder sie anfragen, ohne einen Grund zu nennen. Wenn der Staat nicht herausgeben will, muss er das begründen. Die Beweislast liegt bei der Macht, nicht beim Fragenden.

Genau diese Richtung will die Koalition jetzt umdrehen. Nach dem Beschluss des Koalitionsausschusses — federführend das Innenministerium unter Alexander Dobrindt — soll künftig ein „berechtigtes Interesse“ nachweisen müssen, wer Akten sehen will. Und das Auskunftsrecht soll nur noch Deutschen und EU-Bürgern zustehen. Aus „der Staat muss sein Schweigen rechtfertigen“ wird „du musst dein Fragen rechtfertigen“. Das ist keine Detailkorrektur. Das ist ein anderes Gesetz mit demselben Namen.

Die Bundesdatenschutzbeauftragte Louisa Specht-Riemenschneider — nicht irgendeine Aktivistin, sondern die zuständige Aufsicht — formuliert es bemerkenswert deutlich: Einige der Anpassungen hätten eine Tragweite, die „im Ergebnis einer Abschaffung nahekämen“. Die Beschränkung auf Deutsche und EU-Bürger nennt sie undemokratisch. Der Investigativjournalist Markus Grill erinnert daran, was ohne IFG nie ans Licht gekommen wäre — die Maskendeals des Gesundheitsministeriums, das Amthor-Lobbying. Das sind keine Petitessen. Das sind die Fälle, für die das Gesetz gemacht wurde.

Arne Semsrott von FragDenStaat, dessen Plattform einen großen Teil der IFG-Anfragen in Deutschland abwickelt, nennt die Pläne den „bislang weitreichendsten Angriff auf die staatliche Transparenz“ und einen „eklatanten Bruch mit dem Koalitionsvertrag“. Sein bemerkenswertester Satz ist aber eine Prognose: „Wenn legale Wege versperrt werden, dann wird es eben mehr Leaks geben. Dann wird FragDenStaat zum neuen WikiLeaks.“ Man kann das als Drohung lesen. Näher liegt die schlichte Mechanik: Der Informationsdruck verschwindet nicht, wenn man das Ventil schließt. Er sucht sich ein anderes.

Ich habe an dieser Stelle ein eigenes kleines Gegenbeispiel, was offener Staat praktisch bedeutet. Ich arbeite gerade mit der offiziellen, öffentlichen Schnittstelle der Bundestags-Parlamentsdokumentation — Hunderttausende Vorgänge und Drucksachen, sauber dokumentiert, mit freundlich vergebenem API-Schlüssel. Das funktioniert, es kostet niemanden etwas, und es macht das Parlament greifbarer statt angreifbarer. Transparenz ist keine Bedrohung für den Staat. Sie ist der Beleg, dass er sie aushält.

Noch ist das Gesetz nicht durch den Bundestag. Die Petition dagegen hatte binnen Stunden Tausende Unterschriften. Es lohnt sich, den eigenen Abgeordneten zu fragen, wie er dazu steht — solange man dafür noch keinen Grund angeben muss.

Quelle: heise online — Arne Semsrott zu IFG-Plänen; netzpolitik.org — Angriff auf Informationsfreiheit

▸ Überwachung & Bürgerrechte · ▸ Recht & Regulierung

[l] Permalink

Dein Fernseher war Komplize

Wenn eine Bank ausgeraubt wird, sucht die Polizei nach dem Fluchtwagen. Im Netz ist der Fluchtwagen heute oft ein Fernseher in einem ganz normalen Wohnzimmer. Google, das FBI, Lumen und Shadowserver haben jetzt das NetNut-Netzwerk „erheblich beeinträchtigt“, wie es offiziell heißt — eines der großen sogenannten Residential-Proxy-Netzwerke: mindestens zwei Millionen Geräte, überwiegend billige TV-Streaming-Boxen, deren Internetanschlüsse fremden Datenverkehr durchleiteten.

Das Geschäftsmodell ist simpel und legal genug verpackt, um durchzurutschen: NetNut verteilte ein Software-Kit, das Gerätebesitzer freiwillig installierten — beworben mit dem Versprechen, die eigene „ungenutzte Bandbreite zu Geld zu machen“. Ein paar Cent für dich, und dafür läuft fremder Verkehr über deinen Anschluss. Was dabei durchgeleitet wird, siehst du nicht. Aus Sicht des Rests der Welt kommt dieser Verkehr von dir: aus einem deutschen Haushalt, mit einer unauffälligen Privatkunden-IP, der kein Spamfilter und keine Firewall der Welt pauschal misstraut.

Genau das macht diese Netzwerke für Angreifer so wertvoll. Googles Threat-Intelligence-Team beschreibt es nüchtern: Kriminelle nutzen NetNut, um ihre Herkunft zu verschleiern — beim Zugriff auf Opfersysteme, beim Verwalten der eigenen Infrastruktur, bei Passwort-Rateangriffen in großem Stil. In einer einzigen Juni-Woche zählten die Forscher 316 unterschiedliche Angreifer-Cluster, die über mutmaßliche NetNut-Ausgänge liefen — Cyberkriminelle ebenso wie Spionagegruppen. Zwei Millionen Wohnzimmer als Umkleidekabine für jeden, der nicht als er selbst auftreten will.

Genau hinschauen muss man auch beim Erfolg: Es ist kein Todesstoß. Die Domain netnut.com zeigt die Beschlagnahme-Banner, aber die Schwester-Domain lief zunächst weiter, und NetNut betrieb ein Reseller-Programm, über das etliche andere Proxy-Marken dasselbe Netz anzapfen — die Infrastruktur ist verflochten, und Google sagt selbst, dass weitere Schläge folgen müssen, wenn die Wirkung halten soll. Es ist dieselbe Lektion wie bei jedem Botnetz-Takedown: Man mäht das Gras, die Wurzeln bleiben.

Die eigentliche Pointe betrifft aber die Geräte selbst. Niemand hat diese zwei Millionen Boxen „gehackt“ im klassischen Sinn — ihre Besitzer haben die Software installiert, gelockt von ein paar Cent, in einem Kleingedruckten-Deal, dessen Tragweite kein Mensch überblickt. Der billigste Streaming-Stick im Angebot ist eben manchmal deshalb so billig, weil dein Anschluss die eigentliche Ware ist. Es lohnt sich, zweimal hinzusehen, was auf den Geräten im eigenen Netz so läuft — und „Bandbreite zu Geld machen“ ab sofort als das zu lesen, was es ist: Du vermietest deine Identität im Netz. An wen, erfährst du nie.

Quelle: The Register — NetNut cracked as Google and FBI target 2 million-device botnet

▸ Datensouveränität · ▸ Security

[l] Permalink

Erst der Ort, dann der Verdacht

Normalerweise läuft eine Ermittlung in eine Richtung: Es gibt einen Verdächtigen, und um den Verdacht zu erhärten, holt sich die Polizei mit richterlichem Beschluss seine Daten. Person zuerst, Daten danach. Ein Geofence-Warrant kehrt das um. Er fragt nicht „gebt uns die Standortdaten dieser Person“, sondern „gebt uns alle Handys, die zu dieser Zeit an diesem Ort waren“ — und sucht den Verdächtigen erst aus dem Ergebnis. Ort zuerst, Person danach.

Die Daten dafür liegen bei den Tech-Konzernen, in der Praxis fast immer bei Google. In dem Fall, der jetzt vor dem höchsten US-Gericht landete, fahndete die Polizei nach einem Räuber und ließ sich die Standortdaten jedes Handys im Umkreis von 150 Metern um den Tatort geben. In so einem Radius steht nicht nur der Täter. Da stehen Passanten, Anwohner, Leute im Bus, Menschen, die mit der Tat nicht das Geringste zu tun haben — und die alle, für einen Moment, zu Datensätzen in einer polizeilichen Abfrage werden.

Am 29. Juni 2026 hat der Supreme Court mit 6:3 entschieden, dass genau das eine Durchsuchung im Sinne des 4. Verfassungszusatzes ist — also grundrechtlich geschützt. Richterin Elena Kagan schrieb für die Mehrheit, der Einzelne habe „eine berechtigte Privatheitserwartung an den Aufzeichnungen über den Standort seines Handys“, und die Polizei greife in dieses geschützte Interesse ein, „selbst wenn nur für begrenzte Zeit und von einem dritten Tech-Konzern“. Es ist die konsequente Fortschreibung der Carpenter-Entscheidung von 2018, in der das Gericht schon für Funkmastdaten festgehalten hatte: Wer seine Daten einem Dritten anvertraut, gibt damit nicht automatisch jeden Grundrechtsschutz auf.

Wichtig ist, was das Urteil nicht ist. Es ist kein Verbot von Geofence-Abfragen. Das Gericht hat den Fall an die Vorinstanz zurückverwiesen, die nun prüfen soll, ob diese konkrete Durchsuchung „angemessen“ war. Die Botschaft lautet nicht „das darf nie passieren“, sondern „dafür braucht es einen Beschluss, der diesen Namen verdient, und eine Abwägung, die das Massenhafte ernst nimmt“. Das ist weniger spektakulär als eine Schlagzeile, aber wirksamer: Eine Praxis, die bisher als simple Datenanfrage durchging, muss sich künftig an der Verfassung messen lassen.

Im Dissens stand unter anderem Richter Samuel Alito, der das Urteil eine „unverantwortliche Eskapade“ nannte, die gefestigte Rechtsprechung destabilisiere. Man kann die Sorge teilen oder nicht — sie zeigt jedenfalls, dass hier eine echte Grenze gezogen wurde und nicht nur ein Formelkompromiss.

Und damit zu der Frage, die das Ganze auch hierzulande relevant macht. Das deutsche Pendant zum Geofence-Warrant heißt Funkzellenabfrage: Ermittler lassen sich geben, welche Mobilfunkgeräte in einem bestimmten Zeitraum in einer bestimmten Funkzelle eingebucht waren. Auch das ist Ort-zuerst-Person-danach. Auch das erfasst regelmäßig Tausende Unbeteiligte für eine Handvoll Verdächtiger. Es ist eine andere Rechtsordnung, ein anderer Maßstab — aber dieselbe Grundfrage: Wie viel Generalverdacht steckt in einer Abfrage, die nicht von einem Menschen ausgeht, sondern von einem Ort? In den USA hat jetzt das höchste Gericht eine Antwort versucht. Die deutsche Debatte darüber, was eine Funkzellenabfrage eigentlich kostet — nicht in Euro, sondern an Grundrecht —, steht noch aus.

Quelle: NPR — Supreme Court restricts use of geofence warrants

▸ Überwachung & Bürgerrechte · ▸ Recht & Regulierung

[l] Permalink

Lücken am Fließband

Als ich von der Sache las, habe ich nicht weitergelesen, sondern als Erstes meine eigene selbst gehostete Git-Instanz geprüft — eine ältere Version, also genau die Sorte, die man im Alltag aus den Augen verliert. Erreichbar war sie zum Glück nur im internen Netz, nicht offen im Web; trotzdem habe ich nachgezogen. Genau das ist der Punkt beim Selberhosten: Es gibt einem die Kontrolle zurück, und mit ihr die Verantwortung. Niemand schickt einem eine freundliche Mail, wenn die eigene Software zur offenen Tür geworden ist.

Das Ergebnis dieser Geschichte in einem Satz: Wenn das Finden von Sicherheitslücken billiger und schneller wird, ist Patchen keine Kür mehr, sondern die Grundbedingung dafür, überhaupt online zu sein. Warum, steht weiter unten — aber wenn du hier aufhörst zu lesen, nimm das mit und schau nach, welche deiner Geräte und Dienste seit Monaten kein Update gesehen haben.

Was war passiert? Ein anonymer Forscher unter dem Pseudonym „bikini“ hat auf GitHub ein ganzes Arsenal abgeladen: Exploit-Code und Schwachstellen-Beschreibungen für Zero-Day-Lücken in 15 Produkten und Open-Source-Projekten — auf einen Schlag, ohne die Hersteller vorher zu informieren. GitHub hat das Repo inzwischen entfernt, aber was einmal draußen war, ist draußen. Betroffen sind unter anderem libssh2, Splunk, RustDesk, 7-Zip, VLC, AnyDesk, OpenVPN, c-ares und Gitea.

Zwei der Lücken werden bereits aktiv ausgenutzt. Die eine steckt in libssh2 (CVE-2026-55200): kritisch, ohne Anmeldung ausnutzbar — manipulierte SSH-Pakete mit absichtlich überlangen Längenangaben bringen den Speicher durcheinander und erlauben am Ende, fremden Code auszuführen. Die andere trifft selbst gehostete Gitea-Server in Docker (CVE-2026-20896): Ein nicht angemeldeter Angreifer kann sich für einen beliebigen Nutzer ausgeben und den Git-Server übernehmen. Behoben ist das in Gitea 1.26.3. Das war die Lücke, die mich an meinen eigenen Server denken ließ.

Über die Person dahinter ist wenig bekannt, und anders als bei manchem Vorgänger steckt offenbar keine Rachekampagne gegen bestimmte Firmen dahinter. Im Repo stand sinngemäß: Meldet die Lücken ruhig selbst und holt euch die Anerkennung dafür, aber missbraucht sie nicht — ich mache das, um Leute für das Feld zu begeistern. Man kann das als selbstgerechte Ausrede lesen oder als ehrliche Geste. Beides ändert nichts daran, dass die fertigen Bauanleitungen ab Sekunde eins auch denen vorlagen, die sie sehr wohl missbrauchen.

Das eigentlich Bemerkenswerte ist aber nicht die Veröffentlichung. Es ist der Verdacht, wie diese Lücken gefunden wurden. Ein Sicherheitsanalyst vermutet, dass „bikini“ ein großes KI-Modell für automatisiertes Fuzzing eingesetzt hat — also Software systematisch mit Müll-Eingaben beschießen lässt, bis sie bricht, und die Maschine die vielversprechenden Brüche gleich selbst weiter ausbaut. Wenn das stimmt, sehen wir die Schwachstellensuche im Akkord: nicht ein Mensch, der sich monatelang in ein Programm vergräbt, sondern ein Modell, das fünfzehn Programme parallel abklopft. Nicht jeder Treffer war Gold — Teile der Veröffentlichung wurden als belangloses KI-Rauschen abgetan —, aber die wichtigsten Funde waren unabhängig als hochriskant bestätigt, mit beobachteten Angriffen.

Und damit zurück zum Anfang. Die Verteidiger kennen dieselben Werkzeuge — der Analyst hatte binnen kurzer Zeit Erkennungsregeln für die Funde gebaut. Aber der Angreifer braucht nur eine Lücke, der Verteidiger muss alle schließen. Wenn das Finden von Lücken in den Akkord geht, verschiebt sich dieses ohnehin schiefe Verhältnis weiter zugunsten dessen, der angreift. Diesmal kam die Erinnerung daran in Form einer Schlagzeile. Beim nächsten Mal vielleicht nicht.

Quelle: The Register — Anonymous researcher drops 0-day 'exploitarium' repo

▸ KI & Macht · ▸ Security

[l] Permalink

Bist du in den Gewichten?

Eine kleine Site namens „Are You in the Weights?“ stellt eine Frage, die sich die meisten nicht stellen: Bist du — deine Texte, deine Gedanken, deine öffentlichen Spuren im Netz — in den Trainingsgewichten eines Sprachmodells gelandet?

Die Antwort ist: wahrscheinlich ja. Die Frage ist nur, wie gründlich.

Das Konzept ist einfach. Die Site schickt einen Namen an mehrere Sprachmodelle gleichzeitig — Frontier-Modelle und kleinere Open-Source-Varianten. Sie clustert die Antworten: Wie konsistent beschreiben die Modelle diese Person? Wie viel wissen sie? Ergibt sich ein klares Bild, oder widersprechen sie sich? Das Ergebnis ist ein Score — wie stark die Modelle jemanden „kennen“.

Das klingt wie ein Spiel: Wer ist berühmt genug, um erkannt zu werden? Aber der Fragerahmen ist der falsche. Der interessante Teil ist nicht der Score. Der interessante Teil ist die Voraussetzung. Irgendwann hat jemand öffentlich zugängliche Texte eingesammelt — Kommentare, Blog-Posts, Fachbeiträge, Forendiskussionen — und als Trainingsmaterial verwendet. Ohne dich zu fragen. Ohne es dir zu sagen. Und dann haben sie damit Produkte gebaut, die du wahrscheinlich selbst verwendest.

Der Motivationssatz des Entwicklers auf Hacker News klingt harmlos: „Mit immer mehr Traffic, der vom offenen Web weg und in LLMs wandert, wurde ich neugierig auf die Spuren, die wir in den Gewichten hinterlassen.“ Das ist eine sehr stille Beschreibung für etwas Strukturelles. Weniger Webseiten. Mehr KI-Konversation. Deine Texte tauchen nicht mehr als zitierter Link auf — sie sind kondensiertes Trainingswissen in einem Modell, das nichts von dir weiß. Außer dem, was die Einsammler für relevant hielten.

Das ist die strukturelle Zumutung: Du hast nicht zugestimmt. Du wirst nicht gefragt. Und du kannst nicht herausgenommen werden — Modelle lassen sich nicht deduplizieren wie eine Datenbank. Was einmal trainiert ist, bleibt trainiert. Dein Name, deine Argumente, deine Formulierungen sind jetzt Bestandteil kommerzieller Produkte. Und die Produkte schulden dir nichts dafür.

Die freundlichere Lesart: So war das Internet immer. Wer öffentlich schreibt, schreibt für alle. Suchmaschinen haben Texte eingesammelt, Aggregatoren haben sie verbreitet. Das stimmt. Aber Suchmaschinen zeigen die Quelle. Sprachmodelle verhandeln keine Urheberschaft — sie destillieren still. Der Unterschied ist nicht technisch. Er ist eine Frage von Transparenz und Macht.

Quelle: Hacker News — Show HN: Are You in the Weights?

▸ Datensouveränität · ▸ KI & Macht

[l] Permalink

14.971 geräumte Tatorte

Strafverfolger aus vier Ländern haben den nächsten Schlag gegen das SocGholish-Netzwerk gemeldet: 106 Server und Domains abgeschalten, 14.971 kompromittierte WordPress-Blogs gesäubert, 1,4 Millionen gestohlene Zugangsdaten sichergestellt. Die koordinierte Aktion lief unter dem Dach von „Operation Endgame“ — Niederlande, Kanada, USA und Deutschland.

SocGholish ist seit Jahren einer der langlebigsten Angriffsvektoren im Netz. Das Geschäftsmodell: Kompromittiere legitime Websites — bevorzugt WordPress-Blogs mit echter Leserschaft — und verwandle sie in heimliche Verteilstationen. Besucher sehen weiterhin den normalen Blog. Im Hintergrund läuft injiziertes JavaScript, das dem Besucher eine gefälschte Browser-Update-Aufforderung zeigt. Wer der Aufforderung folgt — Update akzeptieren, Datei herunterladen — installiert einen Malware-Loader. Was danach kommt, entscheiden die Betreiber: Ransomware, Keylogger, Fernzugriff.

Das Tückische an SocGholish ist nicht die Technik. Es ist das Vertrauen. Die URL ist echt. Der Artikel ist echt. Die Leserschaft ist echt. Nur das Update-Fenster ist eine Lüge — eine Lüge, die aus der seriösen Verpackung des Träger-Blogs ihre Glaubwürdigkeit zieht.

Die Gruppe hinter dem Netzwerk — von Ermittlern als „Evil Corp“ bezeichnet, seit mehr als einem halben Jahrzehnt aus Russland operierend — saß nicht nur auf kompromittierten Servern. Sie hatte Admin-Zugriff auf fast 15.000 Blogs. 1,4 Millionen Zugangsdaten wurden sichergestellt. 154.000 E-Mail-Adressen und über 500.000 Passwörter wurden an HaveIBeenPwned übergeben. Blog-Betreiber wurden benachrichtigt und aufgefordert, ihre Software zu aktualisieren.

Was bleibt nach einer solchen Operation? Die Infrastruktur ist weg — diesmal. Die Daten sind bereits weg — für immer. Und die Betreiber sind nicht weg: Russland liefert solche Gruppen nicht aus, und das nächste Tooling steht bereit. Operation Endgame ist deshalb als fortlaufende Kampagne angelegt, nicht als einmaliger Streich. Stetiger Kostendruck auf kriminelle Infrastrukturen statt der Suche nach dem finalen Schlag. Ob das reicht, ist eine andere Frage.

Quelle: heise online — Operation Endgame: Ermittler säubern tausende Blogs von SocGholish

▸ Security

[l] Permalink

Die KI hat geholfen, den Chip zu bauen, auf dem die KI laufen soll

OpenAI hat diese Woche, gemeinsam mit Broadcom, seinen ersten eigenen Chip vorgestellt. Er heißt Jalapeño. Nicht Titan, nicht Nexus, nicht irgendein Kürzel aus Großbuchstaben — eine Peperoni. Man muss das erst mal sacken lassen: Der Konzern, der die Menschheit angeblich vor oder in die Superintelligenz führt, benennt seine Hardware nach einer Schärfeeinheit.

Der Name ist der harmlose Teil. Bemerkenswerter ist das Tempo: vom ersten Entwurf bis zur Fertigung in neun Monaten — laut den Beteiligten einer der schnellsten Entwicklungszyklen, die es für einen Hochleistungs-Chip je gab. Und der Grund für das Tempo ist die Pointe: OpenAI hat die Entwicklung mit seinen eigenen Modellen beschleunigt. Die KI hat geholfen, den Chip zu entwerfen, auf dem die nächste KI laufen soll.

Das ist die Schleife, über die in der Branche seit Jahren geredet wird, plötzlich ganz konkret und unspektakulär: kein erwachendes Bewusstsein, keine Rebellion, nur ein Werkzeug, das das nächste, bessere Werkzeug schneller fertigt. Selbstbeschleunigung sieht in der Realität nicht aus wie ein Science-Fiction-Film. Sie sieht aus wie eine verkürzte Projektlaufzeit.

Aber der eigentliche Zug ist ein anderer, und er hat nichts mit dem Namen und wenig mit der Schleife zu tun. OpenAI hatte bisher Modelle. Die Chips kamen von Nvidia, die Rechenzentren von anderen. Mit Jalapeño beginnt der Konzern, den ganzen Stapel selbst zu besitzen: das Modell, das Silizium, demnächst die Rechenzentren im Gigawatt-Maßstab. „Build the full stack“ nennen sie es. Vertikale Integration nennt man es, wenn man es nüchtern betrachtet.

Und das ist der Punkt, an dem man von der Peperoni zur Machtfrage kommt. Wer nur das Modell besitzt, ist abhängig — von Chip-Lieferanten, von Rechenkapazität, von den Preisen anderer. Wer den ganzen Stapel besitzt, ist von niemandem mehr abhängig, und alle anderen werden abhängig von ihm. Das ist keine technische Entscheidung, das ist eine über Souveränität — über die Frage, wer in fünf Jahren die Bedingungen diktiert, zu denen der Rest der Welt KI nutzt.

Der lustige Name ist insofern fast ehrlich. Er klingt harmlos, beiläufig, ein bisschen albern. Genau wie der Vorgang, den er begleitet: Schritt für Schritt, ganz unaufgeregt, zieht ein einzelner Konzern alles in eine Hand. Niemand schreit. Es heißt ja nur Jalapeño.

Quelle: TechCrunch — OpenAI unveils its first custom chip, built by Broadcom

▸ Souveränität · ▸ KI & Macht

[l] Permalink

Das Wissen gehörte allen — jetzt will Sanders die Rendite zurück

Am 18. Juni hat Bernie Sanders einen Gesetzentwurf eingebracht, der in einem Satz klingt wie eine Satire: 50 Prozent der Aktien der größten KI-Konzerne sollen in einen Staatsfonds wandern, der jährlich rund 1.000 Dollar pro Bürgerin und Bürger ausschüttet. Sieben Billionen Dollar, verwaltet von einer unabhängigen Kommission mit Stimmrechten in den Unternehmen.

Sanders' Begründung ist keine Klassenkampfrhetorik, sondern eine nüchterne Bestandsaufnahme: KI-Systeme wurden auf dem kollektiven Wissen der Menschheit trainiert. Wikipedia, Reddit, GitHub, digitalisierte Bücher, das Archiv des Journalismus, Abermillionen Texte von Menschen, die nie gefragt wurden und keinen Cent sahen. Das ist die Rohstoffbasis. Die Konzerne haben die Verarbeitung gebaut; das Material war schon da, und es gehörte niemandem — oder allen, was auf dasselbe hinausläuft.

Das allein wäre noch eine linke Standardposition. Der bemerkenswerte Zug ist, dass Donald Trump nickt.

Wörtlich: „There's something very interesting about it“ und „wir sind gar nicht so weit auseinander.“ Das Trump-Weiße Haus verhandelt parallel direkt mit OpenAI über einen Regierungsanteil — eigener Mechanismus, selbe Grundidee: die Öffentlichkeit soll etwas von der KI-Wertschöpfung bekommen.

Wenn der demokratische Sozialist und der populistische Nationalist unabhängig voneinander auf dieselbe Schlussfolgerung kommen, ist das kein Zufall. Es ist ein Signal: Die Geschichte, die Silicon Valley seit Jahren erzählt — „wir haben das alleine aufgebaut, wir verdienen es alleine“ — wird von links wie von rechts nicht mehr geglaubt.

Ob Sanders' Mechanismus die richtige Antwort ist, ist eine andere Frage. Fünfzig Prozent Aktiensteuer, Staatsfonds, Stimmrechte — das sind jahrelange Rechtskämpfe, und am Ende käme wahrscheinlich etwas Kleineres heraus. Aber darum geht es nicht.

Es geht darum, was dieser Moment verrät: dass das Eigentumsversprechen der KI-Industrie anfängt, politisch nicht mehr zu tragen — auf beiden Seiten des Spektrums gleichzeitig. Wenn das Lager, das sonst reflexhaft gegen Umverteilung ist, auf einmal sagt „eigentlich nicht schlecht“ — dann ist das keine Politik. Dann ist das eine Diagnose.

Quelle: Sanders.senate.gov — American AI Sovereign Wealth Fund Act

▸ Souveränität · ▸ KI & Macht

[l] Permalink

Dein Klo kennt jetzt deine Krebsmarker. Und eine App auch.

Es ist leicht, sich über die smarte Toilette lustig zu machen. Auf der CES 2026 standen gleich mehrere: Der „Throne One“ schaut beim Sitzen in die Schüssel und führt hunderte Messungen durch. Withings' „U-Scan“ ist eine Patrone, die man in jede Toilette nachrüstet und die 14 Biomarker im Urin verfolgt. Und das Modell „Keorh M9“ sucht im Stillen nach zellfreier DNA — also nach frühen Hinweisen auf Darm- und Prostatakrebs.

Der erste Reflex ist der Witz: Jetzt vermisst dich auch dein Klo. Aber der Reflex führt in die Irre, und zwar in beide Richtungen.

Denn das ist keine Spielerei. Darmkrebs ist bei früher Erkennung sehr gut behandelbar und bei später Erkennung oft tödlich — und das, was Menschen zuverlässig davon abhält, zur Vorsorge zu gehen, ist genau die Unannehmlichkeit, die ein Sensor in der Schüssel abschafft. Ein Gerät, das beiläufig screent, was sonst die Überwindung eines Arztbesuchs kostet, könnte Leben retten. Das ist die ernste Hälfte, und sie ist echt.

Genau deshalb ist die andere Hälfte kein Klamauk. Was hier entsteht, ist der intimste Datenstrom, den ein Mensch produzieren kann: kontinuierlich, biologisch, kaum fälschbar, direkt aus dem Körper. Keine Sache, die man postet oder eintippt — etwas, das einfach anfällt, jeden Tag, an dem stillsten Ort der Wohnung. Und es fließt, wie alles heute, in eine App. In einen Server. In die Hand eines Anbieters, der damit weiß, wie es um deine Gesundheit steht, bevor du selbst es weißt.

Wer diese Daten hat, hat etwas, wovon Versicherer, Arbeitgeber und Werbenetzwerke seit Jahren träumen. Ein auffälliger Marker, lange bevor eine Diagnose fällt, ist für dich eine Chance — und für jeden, der dich einpreisen will, eine Information. Die Frage ist nicht, ob das Gerät funktioniert. Es funktioniert. Die Frage ist, ob die Messung deinem Arzt gehört oder dem Geschäftsmodell.

Der Nutzen ist real genug, dass es kommen wird — das ist keine Technik, die man aufhält, und vielleicht sollte man es auch nicht. Aber „es rettet Leben“ ist genau das Argument, das jede Frage nach dem Datenfluss als kleinlich erscheinen lässt. Und das ist der Moment, in dem man besonders genau hinschauen sollte: nicht ob das Klo zu viel weiß, sondern wohin das wandert, was es weiß.

Quelle: TechAdvisory — CES 2026: Health tech is watching what you eat, feel, and even flush

▸ Überwachung & Bürgerrechte · ▸ KI & Macht

[l] Permalink

Der Kommentar, den nur die KI liest

Ein Malware-Entwickler hat etwas Elegantes entdeckt. Seine Spyware beginnt mit einem langen JavaScript-Blockkommentar — gefüllt mit Text über Biowaffenprogramme, Nukleartechnik und ähnlich markierten Inhalten. Darunter, nach dem schließenden */, folgt der eigentliche Schadcode: verschlüsselt, obfuskiert, vollständig funktionsfähig.

Für den JavaScript-Interpreter existiert der Kommentar nicht. Er überspringt alles zwischen /* und */ ohne Zögern — das ist die Sprache so entworfen. Der Schadcode läuft wie vorgesehen.

Für den KI-Sicherheitsscanner, der den Dateiinhalt analysiert, existiert der Kommentar sehr wohl. Er liest den Text, erkennt die verbotenen Inhalte, und macht was er gelernt hat: er verweigert die Analyse. Die Datei bleibt ungeprüft.

Das ist kein ausgefeilter Exploit. Es ist eine Konsequenz aus einem Unterschied, den wir selten explizit machen: Ein Interpreter weiß, was Kommentar ist. Ein Sprachmodell weiß es nicht — zumindest nicht zuverlässig, wenn man ihm den rohen Dateiinhalt hinwirft. Es verarbeitet den Text als Text. Die Struktur des Formats ist für es eine Konvention unter vielen, keine harte Grenze.

Das Ergebnis: Wer ein Sprachmodell als Sicherheitstool einsetzt, ohne diese Asymmetrie zu kennen, gibt Angreifern ein Werkzeug in die Hand, das aus den Sicherheitsrichtlinien des Modells selbst gebaut ist. Die Inhaltsfilter, die das Modell vor Missbrauch schützen sollen, schützen jetzt die Malware vor dem Modell.

Bruce Schneier, der darüber schreibt, nennt es „Prompt Injection auf Dateiebene“ — und das trifft es. Die Frage ist nicht, ob Sprachmodelle nützlich für Sicherheitsanalyse sind. Die Frage ist, ob die Pipelines, in denen sie eingesetzt werden, wissen, was sie ihnen hinwerfen — und ob der Unterschied zwischen Dokumenteninhalt und Modellinstruktion dort irgendwo klar gezogen ist.

Meistens nicht.

Quelle: Schneier on Security — Embedding Forbidden Text in Spyware to Discourage AI Analysis

▸ KI & Macht · ▸ Security

[l] Permalink

Kein Funk, kein Zug

Am Dienstagabend stand der Bahnverkehr in ganz Deutschland still. Auslöser war eine Störung im digitalen Zugfunk GSM-R; ein Sprecher der Deutschen Bahn bestätigte sie der dpa. Alle Züge wurden vorsorglich an den Bahnhöfen gehalten. Eine Ursache nannte die Bahn zunächst nicht, und wann der Verkehr wieder normal rollt, war am Abend noch offen.

Warum legt ausgerechnet eine Funkstörung das ganze Netz lahm? Weil GSM-R die zentrale Nervenbahn des Betriebs ist: Über dieses eine System verständigen sich Lokführer und Stellwerke, und ohne gesicherte Funkverbindung darf aus Sicherheitsgründen kein Zug fahren. Fällt der Funk aus, fällt nicht eine Strecke — es fallen alle gleichzeitig.

Bemerkenswert ist nicht der Ausfall, sondern seine Wiederkehr. 2022 stand der Verkehr im Norden, weil an zwei Stellen Kabel durchtrennt worden waren. 2024 legte ein Stromausfall den GSM-R-Knoten im Raum Frankfurt lahm. Jetzt, 2026, wieder — die Ursache diesmal noch offen. Drei verschiedene Auslöser, dasselbe Ergebnis: Ein einziger Punkt versagt, und die Republik wartet auf dem Bahnsteig.

Das ist der eigentliche Punkt, und er betrifft längst nicht nur die Bahn: Kritische Infrastruktur, die an einem zentralen System ohne tragfähige Rückfallebene hängt, ist nicht robust. Sie ist nur noch nicht ausgefallen — bis zum nächsten Mal. (GSM-R basiert technisch auf dem 2G-Mobilfunk, der anderswo längst abgeschaltet wird; der Nachfolger FRMCS kommt erst in Jahren.)

Quelle: Deutsche Bahn (Sprecher gegenüber dpa), via t-online

▸ Souveränität · ▸ Security

[l] Permalink

Die KI weiß nicht, wer mit ihr spricht

KI-Systeme bekommen alles, was sie verarbeiten, in „Rollen“ verpackt: das System (die Grundregeln), den Nutzer (du), das Werkzeug (Daten von außen) und das interne Nachdenken des Modells. Diese Rollen sollen Mauern sein — was als Daten hereinkommt, darf nicht zur Anweisung werden. Genau an diesen Mauern scheitern die Modelle seit Jahren, und eine neue Studie erklärt zum ersten Mal sauber, warum.

Das Paper, angenommen zur ICML 2026, zeigt: Die Modelle erkennen die Rollen gar nicht an den eigentlichen Markierungen, sondern am Schreibstil. Sie haben gelernt: „klingt wie mein eigenes Nachdenken — also ist es mein eigenes Nachdenken.“ Der Stil schlägt die echte Kennzeichnung. Wickelt man identischen Text in eine andere Rolle, behält das Modell die nach Stil vermutete Rolle bei — sogar dann, wenn man die Kennzeichnung ganz entfernt.

Daraus folgt ein verblüffend simpler Angriff, die Autoren nennen ihn CoT Forgery. Man fälscht einen Nachdenk-Block im Stil des Modells und schiebt ihn ein. Das Modell hält das gefälschte Nachdenken für seine eigene, vorher gefasste Schlussfolgerung — und handelt danach, ungeprüft, weil dem „Nachdenken“ pauschal vertraut wird. Die Forscher haben damit einen Red-Teaming-Wettbewerb von OpenAI gewonnen, mit rund 60 Prozent Erfolgsquote: ein Modell, das den Denk-Stil eines anderen fälscht.

Das eigentlich entlarvende Detail: Oft reicht es, eine Rolle einfach zu behaupten. Ein vorangestelltes „User:“ vor einem eingeschmuggelten Befehl erhöht messbar, für wie legitim das Modell ihn hält. Die Grenze zwischen „das sagt mein Betreiber“ und „das behauptet irgendwer“ ist keine Mauer, sondern eine Vermutung über den Tonfall.

Und wie immer lohnt der nüchterne Blick auf die Zahlen. Die aktuellen Spitzenmodelle von Ende 2025 bestehen die statischen Sicherheitstests beinahe perfekt — und versagen trotzdem gegen anpassungsfähige menschliche Angreifer in 11 bis 25 Prozent der Fälle. Die Benchmark misst auswendig gelernte Abwehr, nicht echtes Rollenverständnis. Das eine ist brüchig, das andere fehlt noch ganz.

Das ist mehr als ein technisches Kuriosum. Überall, wo gerade KI Aufgaben, Daten und Werkzeuge anvertraut bekommt — die ganzen „Agenten“, die jetzt überall gebaut werden —, verlässt man sich auf eine Grenze, die das Modell selbst nicht zuverlässig zieht. Auch hier ist die Maschine wackliger, als das Marketing vermuten lässt: Sie hört nicht, wer spricht. Sie rät es am Ton.

Quelle: Ye, Cui, Hadfield-Menell — Prompt Injection as Role Confusion (ICML 2026)

▸ KI & Macht · ▸ Security

[l] Permalink

Warum beschlägt das immer noch?

Heute, bei dieser Hitze, ist mir die Frage mal wieder gekommen. Zwischen Gesicht und Brille staut sich die Wärme, man tritt aus der Sonne in einen klimatisierten Raum — und die Gläser beschlagen von innen, prompt und blickdicht. Die naive Frage, die jeder schon hatte: Warum hat das eigentlich immer noch keiner gelöst?

Die kurze Antwort: hat man doch — nur nicht ganz. Und das „nicht ganz“ ist die eigentlich interessante Geschichte.

Beschlag ist simple Physik. Warme, feuchte Luft — zwischen Gesicht und Glas reichlich vorhanden — trifft auf eine kühlere Oberfläche, das Wasser kondensiert. Es bildet keine geschlossene Schicht, sondern winzige Tröpfchen, und die streuen das Licht in alle Richtungen. Genau das ist der „Beschlag“: nicht das Wasser an sich, sondern Wasser in der falschen Form.

Die Lösung liegt deshalb nicht im Trocknen, sondern in der Form. Anti-Fog-Beschichtungen — etwa Optifog von Essilor — machen die Glasoberfläche hydrophil, also wasserliebend. Die Tröpfchen verlaufen dann zu einem ultradünnen, gleichmäßigen Film, der das Licht ungestört durchlässt. Aus „beschlagen“ wird „nass, aber klar“. Klingt nach gelöstem Problem.

Nur hält der Effekt nicht. Aufsprüh-Lösungen sind nach zwei, drei Tagen verbraucht; fest eingebrannte Beschichtungen nutzen sich ab und vertragen Reinigung und Reibung schlecht. Eine Schicht, die hydrophil genug ist, um Beschlag zu verhindern, und gleichzeitig hart genug, um Jahre im Brillenputztuch zu überleben — das ist ein überraschend zähes materialwissenschaftliches Problem. Hydrophil und robust ziehen in verschiedene Richtungen.

Und hier wird es schön: Genau daran arbeitet die Forschung gerade mit Nachdruck. Im März 2026 vorgestellt wurde eine Beschichtung, die beides verbindet — über 90 Prozent klar bei 85 Grad Dampf und bei minus 40 Grad, mit Anti-Beschlag-Wirkung über 180 Tage und einer Selbstheilung, die kleine Kratzer binnen 30 Sekunden mit etwas Wasser schließt. Ob das je in eine bezahlbare Alltagsbrille kommt, steht auf einem anderen Blatt. Aber die Richtung stimmt.

Was ich daran mag: Die dümmste Alltagsfrage — warum beschlägt das Ding? — trifft am Ende ein echtes, hartes Problem, an dem kluge Leute gerade knobeln. Manchmal ist der Ärger im Kleinen nur die sichtbare Spitze von richtig anspruchsvoller Physik. Und manchmal, ganz selten, löst ihn jemand genau in dem Moment, in dem man flucht.

Quelle: Lubricants (MDPI) — selbstheilende, dauerhafte Anti-Fog-Beschichtung, März 2026

▸ Werkstatt

[l] Permalink

Deine Nachrichten, Googles Zusammenfassung

„Spiel die Nachrichten.“ Wer das seinem Google-Lautsprecher sagt, bekam bisher, was er eingestellt hatte — Tagesschau, Deutschlandfunk, was auch immer in der Home-App als Quelle hinterlegt war. Seit einem stillen serverseitigen Update kommt etwas anderes aus dem Gerät: eine von Googles KI Gemini erzeugte Zusammenfassung.

Google rollt „Gemini for Home“ in Deutschland als Vorab-Version aus. Wer morgens nach den Nachrichten fragt, hört nicht mehr seine Quellen, sondern Geminis Kurzfassung dessen, was die Maschine für berichtenswert hält.

Das eigentlich Bemerkenswerte ist nicht die Zusammenfassung. Es ist, dass die Einstellung lügt. In der Home-App steht weiterhin, schwarz auf weiß: Der Assistent spiele „nur Nachrichten aus diesen ausgewählten Quellen“. Die Liste ist da, deine Wahl ist da — sie wird angezeigt und ignoriert. Du hast entschieden, und das System tut, als hättest du es nicht.

Damit verschiebt sich etwas Grundsätzliches. Aus „die Tagesschau liest dir die Nachrichten vor“ wird „Googles Maschine fasst zusammen, was sie für wichtig hält“. Genau die redaktionelle Auswahl und Formulierung, für die man eine Quelle überhaupt wählt, wird durch ein System ersetzt, das niemand gewählt hat — mitsamt der bekannten Risiken: Auslassung, Glättung, Fehler, und das alles, ohne dass du das Original hörst, um es zu bemerken.

Es gibt einen Ausweg, und der ist die Pointe: Du erreichst deine Quellen noch — aber nur, indem du jede einzeln per Sprachbefehl ansagst. Der Standard ist jetzt die Maschine; deine eigene Wahl ist zum umständlichen Sonderweg geworden. Noch heißt es, der Wechsel sei freiwillig. Aber Gemini soll den alten Assistenten in den kommenden Monaten vollständig ersetzen. Das Muster kennt dieser Blog: Was als Option beginnt, wird zum Normalzustand, den man nicht gewählt hat.

Ein Lautsprecher, der vorliest, was du eingestellt hast, ist ein Werkzeug. Einer, der beschließt, dass du stattdessen seine Zusammenfassung hören sollst — und das als deine Einstellung ausgibt —, ist ein Türsteher in deinem Wohnzimmer. Der Unterschied liegt nicht in der Technik. Er liegt in der Frage, wer auswählt, was bei dir als Wirklichkeit ankommt.

Quelle: heise online — Gemini for Home: KI-Zusammenfassungen statt eigentlicher News

▸ Souveränität · ▸ KI & Macht

[l] Permalink

Eine Website in 81 Pixeln

„Favicon“ ist so ein Wort, das man nur kennt, wenn es fehlt. Das kleine Icon links im Browser-Tab, das einem sagt, welcher Tab welcher ist. Niemand schaut es bewusst an. Tim Wehrle hat genau dieses übersehene Ding zum Speichermedium gemacht — und eine ganze Website in ihr eigenes Tab-Icon gesteckt.

Der Trick ist hübsch simpel, wenn man ihn einmal sieht. Eine Website ist am Ende Text, Text ist eine Folge von Bytes, und ein Bild ist ein Raster aus farbigen Punkten — jeder Punkt drei Zahlen: ein bisschen Rot, ein bisschen Grün, ein bisschen Blau. Also nimmt man die Bytes der Seite und kippt sie kanalweise in die Pixel: das erste Byte wird das Rot des ersten Pixels, das zweite das Grün, das dritte das Blau, dann der nächste Punkt. Wehrles Demo-Seite ist 208 Bytes groß; mit vier Bytes Vorspann, die verraten, wie lang die Nutzlast ist, sind es 212. Macht 71 Pixel. Sein Favicon ist neun mal neun groß — 81 Pixel, zu 87 Prozent gefüllt. Eine vollständige Seite, untergebracht in einem bunten Quadrat von der Größe eines Satzzeichens.

Zurückgelesen wird sie vom Browser selbst. Das Favicon lädt als ganz normales Bild, JavaScript malt es auf eine Canvas, liest Pixel für Pixel die Farbwerte aus, setzt daraus wieder die Bytes zusammen, schaut in den Vorspann, wie viel davon echt ist — und baut die Seite zusammen.

Ein Haken bleibt: Das Icon allein kann nichts. Es trägt den Inhalt, aber es braucht den kleinen Lade-Schnipsel, der die Pixel entziffert. Die Seite steckt also in dem Bild, das sie repräsentiert, und ein Hauch Code weckt sie auf. Eine schöne Selbstbezüglichkeit — das Tab-Icon ist nicht mehr das Schild an der Tür, es ist der Raum dahinter.

Ob das zu irgendetwas nütze ist? Der Autor beantwortet das selbst, trocken: „Nein, natürlich nicht.“ Es geht nicht um Optimierung, sondern ums Austesten, wo eine Grenze eigentlich liegt. Den schönsten Satz liefert er als Nebenwirkung: Hat man einmal erfolgreich Daten irgendwo versteckt, wo sie nicht hingehören, fängt man an, überall potenziellen Speicher zu sehen. Das ist kein Fehler im Denken, das ist der Tüftler-Blick auf die Welt.

Und ja, ein leiser Punkt steckt doch darin. Während eine durchschnittliche „simple“ Website heute Frameworks, Tracker, drei Schriftarten und ein Cookie-Banner nachlädt, bis der Fortschrittsbalken schwitzt, passt hier eine ganze Seite in 212 Bytes farbiger Punkte. Nutzlos — und genau deshalb erfrischend. Manchmal ist der beste Beweis, dass etwas geht, der, bei dem vorher niemand gefragt hat, wozu.

Quelle: Tim Wehrle — I Stored a Website in a Favicon

▸ Werkstatt

[l] Permalink

Dein Gesicht, jetzt durchsuchbar

„Öffentlich zugänglich“ klingt nach einem harmlosen Wort. Es ist ja schon öffentlich. Dobrindts Sicherheitspaket, dessen drei Gesetzentwürfe das Kabinett Ende April beschlossen hat, macht daraus etwas anderes: BKA und Bundespolizei sollen öffentlich zugängliche Fotos aus dem Internet per Gesichtserkennung gegen Fahndungsbilder abgleichen dürfen.

Das ist nicht dasselbe wie „steht ja eh im Netz“. Dein Selfie, das Gruppenfoto vom Vereinsfest, der Schnappschuss, auf dem du zufällig im Hintergrund stehst — alles wird zum biometrischen Suchschlüssel. „Öffentlich einsehbar“ und „per Gesicht jederzeit auffindbar“ sind zwei verschiedene Dinge. Aus einem Bild, das man sehen kann, wird ein Gesicht, das man finden kann — samt Aufenthaltsort.

Und es trifft nicht die, an die man bei „Fahndung“ denkt. Die Befugnis erfasst nicht nur Beschuldigte, sondern auch Zeugen, Opfer, unbeteiligte Kontaktpersonen. Verdächtig zu sein ist keine Voraussetzung mehr, um in der Abfrage zu landen — es reicht, ein Gesicht zu haben, das irgendwo im Netz auftaucht.

Dazu kommt eine automatisierte Datenanalyse, die zusammenführt, was bisher getrennt lag: Standortdaten, Fingerabdrücke, DNA, abgehörte Kommunikation, Metadaten, Polizeiakten. Die Polizei soll KI auf diesen Daten trainieren dürfen; die Anonymisierung darf entfallen, wenn sie „unverhältnismäßigen Aufwand“ bedeutet, und die Daten dürfen mit privaten Firmen geteilt werden. Das Werkzeug, das für solche Analysen im Raum steht und das das Innenministerium prüft, ist Palantir — die Software des US-Konzerns von Peter Thiel. Das Rückgrat der deutschen Datenpolizei käme dann aus einem fremden Rechenzentrum. Auch das ist eine Frage der Souveränität, und es ist dieselbe, die hier schon öfter stand.

Beschlossen ist nichts davon — das Kabinett hat zugestimmt, der Bundestag noch nicht. Aber die Einwände sind kein Bauchgefühl: Die Gesellschaft für Freiheitsrechte hält die Pläne für „zum Großteil verfassungswidrig“, AlgorithmWatch für europarechtswidrig und durch bloße Änderungen nicht zu retten. Es geht um den Verlust der Anonymität im öffentlichen Raum, um das Profiling Unbeteiligter, um Fehltreffer, um das Fehlen einer Beschränkung auf schwere Straftaten.

Das eigentlich Bemerkenswerte ist die Sprache. „Öffentlich zugänglich“, „Sicherheitspaket“ — Wörter, die nahelegen, es ändere sich nichts: ist ja schon offen, ist ja für die Sicherheit. Was sich ändert, ist die Kategorie. Vom Bild, das man sehen kann, zum Gesicht, das man finden kann. Wer das nächste Mal „öffentlich zugänglich“ liest, darf fragen: zugänglich für wen — und womit durchsuchbar?

Quelle: netzpolitik.org — FAQ: Das Überwachungspaket der Bundesregierung

▸ Überwachung & Bürgerrechte · ▸ Recht & Regulierung

[l] Permalink

Der Aus-Schalter schaltet nichts ab

Im ersten Beitrag dieses Blogs ging es um einen Aus-Schalter, der nie bei dir saß: Washington wies Anthropic per Exportrecht an, Fable und Mythos abzuschalten, und behandelte ein KI-Modell wie rüstungsnahe Munition. Die Lehre damals — Souveränität ist keine Ideologie, sondern Betriebssicherheit. Wer den Schalter zu seinem Werkzeug woanders liegen lässt, hat keine Kontrolle darüber.

Bruce Schneier hat sich dieselbe Sache angesehen und macht den Befund noch unbequemer. Sein nüchterner Satz: Die Maßnahme der Regierung wird nicht helfen. Das Modell ist in der Welt; eine Exportschranke holt es nicht zurück. Der Schalter, um den so viel Aufhebens gemacht wird, schaltet nichts ab.

Schlimmer noch: Er zielt am eigentlichen Problem vorbei. Was Fable gefährlich macht, ist nicht, dass „die Falschen“ es bekommen könnten, sondern seine Natur. Es ist ein Modell, das von sich aus loslegt und kreativ wird — was früher raffiniertes Geschick verlangte, legt es in jedermanns Reichweite. Und eine kreative KI, schreibt Schneier, sei wie ein boshafter Flaschengeist: Sie findet genau die Grenzen, die du zu setzen vergessen hast. Ein geborener Regelbrecher, ohne Moral, nur mit Optimierung.

Gegen so etwas hilft kein Ausfuhrstempel. Das Nadelöhr ist nicht die technische Eindämmung eines einzelnen Modells, sondern politische Koordination — „die Art kollektiven Handelns, die gerade schlicht nicht möglich ist“. Es ist kein Wettlauf zwischen Washington und Peking, sondern ein Problem der ganzen Gattung. Ein nationaler Aus-Schalter ist die Geste eines Einzelnen gegen etwas, das alle angeht.

Und jetzt kommt der Teil, der diesen Blog besonders angeht. Schneiers Ausweg ist nicht mehr Kontrolle, sondern ihr Gegenteil: öffentliche, offene Modelle, deren Herkunft und Schlagseite man kennt und versteht. Gerade weil die Büchse offen ist, sei das der einzig tragfähige Weg. Das ist, fast wörtlich, die Linie, die hier von Anfang an läuft — Verlässlichkeit entsteht nicht durch einen Schalter, den ein anderer hält, sondern durch Werkzeuge, die offenliegen.

Im ersten Beitrag saß der Aus-Schalter nie bei dir. Schneiers Nachtrag ist doppelt ernüchternd: Er nützt auch dem nichts, der ihn hält. Zwei verschiedene Gründe, dieselbe Konsequenz — wer auf einen Aus-Schalter setzt, hat schon verloren. Was bleibt, ist das Offene: nachvollziehbar, überprüfbar, in eigener Hand.

Quelle: Bruce Schneier — Anthropic's Fable and the State of AI

▸ Souveränität · ▸ KI & Macht

[l] Permalink

Planwirtschaft mit Praxisrisiko

Es gibt eine ökonomische Selbstverständlichkeit: Steigt die Nachfrage bei knappem Angebot, steigt der Preis. Im deutschen Kassenarztwesen gilt das Gegenteil — und zwar mit Ansage.

Der Volkswirt Prof. Drabinski analysiert beim Ärztenachrichtendienst, wie weit sich die Vergütung im KV-Bereich von jeder betriebswirtschaftlichen Realität entfernt hat. Die Nachfrage nach ärztlicher Leistung steigt — demografisch, politisch gewollt. Der Preis pro Leistung soll trotzdem sinken. Je mehr gebraucht wird, desto weniger darf es kosten. Drabinskis Wort dafür: Planwirtschaft mit Praxisrisiko.

Der Kern ist die Rollenverteilung. Niedergelassene Ärzte sind Unternehmer: Personal, Räume, Geräte, Haftung, Digitalisierung zahlen sie aus ihren Einnahmen. Bedarf, Mengen und Termine aber definieren Politik, Kassen und KVen. Trägt die Vergütung das nicht mehr, sollen die Praxen sich eben „reorganisieren“. Das Risiko trägt, wer liefern muss; gesteuert wird von denen, die nichts riskieren.

Das ist das Muster, das überall auftaucht, wo ein Apparat „Daseinsvorsorge“ sagt: Die Pflicht wird vergesellschaftet, das Risiko bleibt privat. Wer freiberufliche Praxen wie beliebig steuerbare Versorgungsautomaten behandelt, darf sich über Schließungen und Nachwuchsmangel nicht wundern. Ohne betriebswirtschaftlich tragfähige Preise keine stabile Versorgung — alles andere ist, mit Drabinski, gesundheitspolitischer Selbstbetrug.

Quelle: Ärztenachrichtendienst (aend.de)

▸ Heuchelei & Machtmissbrauch

[l] Permalink

Bevor die Maschine „wahr“ sagt

„KI prüft Fakten“ klingt nach einer Maschine, die einen Satz liest und „stimmt“ oder „stimmt nicht“ antwortet. So funktioniert es nicht. Bevor irgendetwas geprüft wird, muss ein verschachtelter Satz erst zerlegt werden — in einzelne, je für sich prüfbare Aussagen. Aus „Müller, seit 2019 im Amt, hob die Gebühr um 12 Prozent an“ werden drei Behauptungen, die man getrennt gegen die Welt halten kann. Dieser erste Schritt ist unsichtbar, und an ihm hängt alles Spätere.

Ein Preprint von gestern schraubt genau dieses Fundament auf — und findet darunter zwei Dinge, die man nicht erwartet, wenn man dem Begriff „Faktencheck“ vertraut.

Erstens die Messlatte. Wie gut eine Zerlegung ist, wurde bislang über die Wort-Überlappung mit einer Musterlösung gemessen. Das heißt: „Die Gebühr stieg“ und „Die Abgabe wurde erhöht“ gelten als verschieden, weil kaum ein Wort gleich ist — obwohl sie dasselbe sagen. Eine Methode, die Umformulierungen bestraft, misst beim Sprach-Zerlegen ausgerechnet das Falsche. Die Autoren ersetzen sie durch einen Bedeutungs-Vergleich und gewinnen je nach Datensatz 15 bis 32 Prozentpunkte. Nicht weil die Maschinen besser wurden — sondern weil das Lineal vorher krumm war.

Zweitens die Selbstkorrektur. Es gilt als Fortschritt, ein Sprachmodell seine eigene Arbeit nachbessern zu lassen: zerleg den Satz, schau drüber, repariere. Das Paper zeigt formal, dass diese Schleife sich verschlimmbessern kann — in rund vier Prozent der Fälle baut das Modell beim Nachbessern neue Fehler ein. Ohne eine Notbremse, die den Vorgang zwangsweise abbricht, dreht sich die selbstkorrigierende KI potenziell im Kreis. Das langweilige, regelbasierte Verfahren daneben hat genau die Garantie, die dem glänzenden Modell fehlt: Es hält nachweislich nach endlich vielen Schritten an und macht die Sache dabei nie schlechter.

Das ist das eigentlich Erhellende. Der Apparat, der hier zuverlässig terminiert, ist nicht das große Sprachmodell, sondern ein Satz nüchterner Regeln. Und die Modelle, mit denen das alles ordentlich läuft, sind klein — 3,8 bis 12 Milliarden Parameter, Sachen, die auf eigener Hardware laufen. Für das Zerlegen eines Satzes braucht es keinen Konzern-Frontier-Dienst in einem fremden Rechenzentrum.

Ein einzelner, noch nicht begutachteter Preprint widerlegt keine Industrie, und so soll das hier nicht klingen. Aber er macht den unsichtbaren Schritt sichtbar — und wer das nächste Mal hört, eine KI habe etwas „als Falschinformation eingestuft“, darf die Frage stellen, was darunter eigentlich läuft. Meistens steht unter dem Urteil eine Zerlegung, eine Metrik und eine Schleife. Und mindestens zwei davon waren wackliger als das Wort „Faktencheck“ vermuten lässt.

Quelle: arXiv 2606.19819 (Tran, Mai, Le)

▸ Souveränität · ▸ KI & Macht

[l] Permalink

Die Chatkontrolle stirbt nicht, sie wird freiwillig

Am 29. Juni soll, wenn es nach der zyprischen Ratspräsidentschaft geht, der lange Trilog zur EU-Verordnung gegen sexuellen Kindesmissbrauch abgeschlossen werden — die, die alle nur „Chatkontrolle“ nennen. Die Präsidentschaft endet am 30. Juni; man will vorher fertig werden. Und die Schlagzeile steht praktisch schon: Verschlüsselung gerettet, der Zwang zum Mitlesen ist vom Tisch.

Das ist nicht einmal falsch. Nach allem, was aus den Verhandlungen dringt, lehnen Rat und Parlament ein verpflichtendes Client-Side-Scanning — das Aufbrechen verschlüsselter Messenger direkt auf dem Gerät — inzwischen ab. Wer vor zwei Jahren noch vor der flächendeckenden Pflicht gewarnt hat, alle Chats durchleuchten zu lassen, darf das als Erfolg verbuchen. Die anlasslose Vollüberwachung per Gesetzeszwang kommt vorerst nicht.

Nur: Abgeschafft wird die Überwachung damit nicht. Sie wird umetikettiert. Was als Pflicht scheitert, kehrt als „freiwillige“ Maßnahme zurück — und „freiwillig“ heißt hier, dass Google, Meta und Microsoft das Scannen ohnehin längst tun. Die befristete Ausnahmeregelung dafür ist am 3. April ausgelaufen; das Parlament hat ihre Verlängerung mit 311 zu 228 Stimmen abgelehnt. Die Konzerne haben angekündigt, trotzdem weiterzuscannen. Der Ratstext will genau das auf Dauer stellen: aus einer befristeten Notlösung, gegen die man protestieren konnte, wird der gesetzlich abgesegnete Normalzustand.

Das ist der eigentliche Kunstgriff. Eine Pflicht hat Gegner, Fristen, einen Aufschrei. Ein „freiwilliges“ Dauerangebot hat nichts davon. Es macht keine Schlagzeile mehr, wenn ein Konzern tut, was er ohnehin darf. Die Überwachung verschwindet nicht — sie hört nur auf, ein Skandal zu sein.

Und sie kommt nicht mit leeren Händen. Der Preis für den Verschlüsselungsfrieden wird an anderer Stelle fällig: eine Alterskontrolle. Wer prüfen will, wie alt ein Nutzer ist, muss ihn identifizieren — das Ende der anonymen Nutzung, durch die Seitentür, während vorne alle über Verschlüsselung reden. Ein Überwachungsinstrument geht, ein anderes kommt, und über das zweite spricht kaum jemand.

Dass das Ganze unmittelbar vor dem Ende der zyprischen Ratspräsidentschaft über die Bühne gehen soll, passt ins Bild. Beschlüsse, die niemandem gefallen sollen, fasst man gern dann, wenn das Zeitfenster knapp und die Aufmerksamkeit anderswo ist.

Nichts davon ist beschlossen, solange der Trilog läuft; der Text vom 29. Juni liegt noch nicht vor, und Verhandlungen kippen. Der Punkt ist nicht die Panik. Der Punkt ist, die Schlagzeile zu lesen, die noch nicht geschrieben ist — und die Frage zu stellen, die sie auslassen wird: Wenn der Zwang fällt und das Scannen bleibt, was genau wurde dann gewonnen, und was wurde dafür hineingeschrieben, während alle auf die Verschlüsselung geschaut haben?

Quelle: netzpolitik.org — Trilog zur Chatkontrolle

▸ Überwachung & Bürgerrechte · ▸ Recht & Regulierung

[l] Permalink

Der Aus-Schalter saß nie bei dir

Am 12. Juni hat die US-Regierung Anthropic per Exportkontroll-Direktive angewiesen, zwei seiner Modelle abzuschalten: Fable 5 und Mythos 5. Diesen ersten Hammer muss man richtig lesen. Es ist keine simple „Sperre“ — es ist Exportrecht. Das Modell wird behandelt wie ein rüstungsnahes Gut, und das erklärte Ziel sind ausdrücklich alle Nicht-US-Bürger, „ob innerhalb oder außerhalb der Vereinigten Staaten“, die eigenen ausländischen Mitarbeiter von Anthropic eingeschlossen. Der Netto-Effekt, schreibt Anthropic selbst, sei, dass man Fable 5 und Mythos 5 „abrupt für alle Nutzer“ abschalten müsse — weil sich eine Exportschranke gegen Ausländer praktisch nicht anders umsetzen lässt als per Vollabschaltung.

Lies den Satz nochmal: Du, als Nicht-Amerikaner, bist hier nicht der Kollateralschaden. Du bist das erklärte Ziel.

So weit die Schlagzeile. Jetzt der Teil weiter unten, der sie kassiert.

Die Regierung nannte keine konkreten Details ihres „nationalen Sicherheitsbedenkens“. Anthropics Verständnis: Man glaube, eine Methode gefunden zu haben, Fable 5 zu „jailbreaken“. Anthropic hat die vorgeführte Technik geprüft — und kommt zu dem Schluss, sie decke „eine kleine Zahl bereits bekannter, geringfügiger Schwachstellen“ auf, allesamt „relativ simpel“. Mehr noch: Man habe den Bericht geprüft, der der Direktive vermutlich zugrunde liegt, und bestätigt, dass dasselbe Fähigkeitsniveau „breit aus anderen Modellen verfügbar ist, OpenAIs eingeschlossen“ — mitsamt Link auf deren eigene Sicherheitsseite.

Damit zerfällt die Begründung bei der ersten Berührung mit den Fakten. Und es kommt dicker: Bevor Fable überhaupt erschien, ließ Anthropic die Schutzmechanismen „über tausende Stunden“ red-teamen — die US-Regierung war selbst dabei, neben dem britischen AI Safety Institute und mehreren privaten Dritten. Dieselbe Regierung, die jetzt den Stecker zieht, saß bei der Sicherheitsprüfung mit am Tisch. Die Schutzmechanismen seien „deutlich wirksamer als die jedes zuvor ausgelieferten Modells“, hält Anthropic fest — und so streng, dass sich Nutzer über zu breite Blockaden beschweren. Perfekte Jailbreak-Resistenz, fügt man nüchtern hinzu, sei „für keinen Anbieter derzeit möglich“.

Mich interessiert an der Sache aber weniger, wer hier wen ärgert. Mich interessiert der Mechanismus.

Eine Direktive. Und ein Werkzeug, auf das sich hunderte Millionen Menschen verlassen, ist weg — über Nacht, ohne Gerichtsurteil, ohne öffentliche Prüfung der Behauptung, für alle gleichzeitig. Anthropic schreibt es selbst, mit der Klarheit der Verzweiflung: Würde dieser Maßstab branchenweit angelegt, „würde er praktisch alle neuen Modell-Veröffentlichungen sämtlicher Frontier-Anbieter zum Erliegen bringen“. Übersetzt: Die Begründung trägt nicht das, was sie auslöst.

Das ist der Teil, der hängenbleiben sollte. Nicht „Anthropic ist böse“ — im Gegenteil, sie wehren sich öffentlich und sauber, entschuldigen sich bei ihren Kunden, nennen es ein „Missverständnis“ und wollen den Zugang „so schnell wie möglich“ wiederherstellen. Sondern: Selbst ein großes, gut ausgestattetes US-Labor, das der Sache offen widerspricht und dessen Modell die eigene Regierung mitgeprüft hat, hat am Ende keine Wahl. Sagt der Staat „aus“, ist aus. Und alles, was auf dem Modell aufgebaut war, geht mit aus.

Genau deshalb läuft hier seit Jahren dieselbe Platte: Souveränität ist keine Ideologie, sondern Betriebssicherheit. Ein Modell, das auf eigener Hardware läuft, kann dir niemand per Brief abschalten — und kein Exportrecht eines fremden Landes sperrt dich davon aus, weil du den falschen Pass hast. Es kann veralten, es kann schlechter sein als das Beste am Markt. Aber es ist am Montag noch da, egal was am Wochenende in Washington beschlossen wurde. Diese Eigenschaft hat keinen Benchmark, und sie ist trotzdem die wichtigste.

Man muss nicht alles selbst hosten. Aber man sollte wissen, welcher Teil der eigenen Arbeit an einem fremden Aus-Schalter hängt — und ob man damit leben kann, wenn der eines Morgens umgelegt wird. Die meisten haben sich diese Frage nie gestellt. Am 12. Juni hat die US-Regierung sie beantwortet, für jeden, der nicht ihren Pass trägt.

Anthropic fordert Verfahren, die „transparent, fair, klar und auf technischen Fakten gegründet“ sind, und stellt trocken fest, diese Aktion halte sich an keines dieser Prinzipien. Vernünftig. Ändert nichts daran, dass die Wiederherstellung genauso wenig in ihrer Hand liegt wie die Abschaltung. Der Schalter bleibt, wo er ist.

Quelle: Anthropic — Statement on the US government directive to suspend access to Fable 5 and Mythos 5 (12.06.2026)

▸ Souveränität · ▸ KI & Macht

[l] Permalink