Am 1. Januar auf Play drücken, und zwar bei jedem KI-Song, den Deezer an einem einzigen Tag hereinbekommt. Nie einschlafen. Der letzte Titel endet am 7. Juli. Der Dienst nimmt täglich rund 90.000 vollständig KI-generierte Tracks auf, mehr als die Hälfte aller neu hochgeladenen Musik. Und ihr wichtigstes Publikum sind Bots.

Am 13. Oktober 2026 versprach Deezer, noch vor Jahresende einen Schalter in die App einzubauen, der solche Musik aus der Suche entfernt. Ein guter Anlass nachzurechnen, wie viel davon es wirklich gibt und für wen sie gedacht ist. Wie man damit Geld verdient, erklärt am besten ein Mann, der am 6. Oktober zu 18 Monaten Haft verurteilt wurde: Er hat das Schema in einer E-Mail an sich selbst aufgeschrieben.

Womit wir rechnen

Alle diese Zahlen stammen von Deezer selbst , eine unabhängige Prüfung gibt es nicht. Der Dienst zählt nur Tracks, die sein Detektor als vollständig KI-generiert einstuft. Songs, bei denen die KI lediglich einem menschlichen Musiker geholfen hat, sind nicht dabei.

Die durchschnittliche Länge eines KI-Tracks nennt Deezer nicht. Deshalb leihen wir uns eine Richtgröße aus dem gewöhnlichen Pop: Der durchschnittliche Song in den Spotify-Charts dauerte 2024 etwa drei Minuten . Das ist die zentrale Annahme, auf die wir noch zurückkommen.

Ein Tag Uploads läuft ein halbes Jahr

90.000 Tracks à drei Minuten ergeben 270.000 Minuten. Das sind 4.500 Stunden oder 187,5 Tage. Daher der 7. Juli: Wer um Mitternacht am 1. Januar startet, hört den letzten Titel gegen Mittag zu Ende.

Ohne Schlaf hört niemand zu, deshalb eine mildere Variante. Bei einer normalen 40-Stunden-Woche wären es 112 Wochen, also mehr als zwei Jahre ohne Urlaub. Rechnet man die von Menschen aufgenommene Musik dazu, läuft ein einziger Upload-Tag fast ein Jahr.

Und die ganze Zeit über würden bei Deezer weiter jeden Tag 90.000 neue Tracks eingehen.

42 Millionen Tracks, oder ein Konzert seit 1786

Nun das ganze Archiv. Seit Januar 2025 hat der Detektor von Deezer mehr als 42 Millionen vollständig KI-generierte Tracks markiert. Bei drei Minuten pro Track sind das 126 Millionen Minuten oder 2,1 Millionen Stunden. Teilt man durch 24 Stunden und 365 Tage, kommen etwa 240 Jahre ununterbrochener Klang heraus.

Hätte jemand 1786 zu hören begonnen, im Jahr der Wiener Premiere von Mozarts „Hochzeit des Figaro“, wäre er ungefähr jetzt fertig. Und dieses Archiv ist in weniger als zwei Jahren entstanden. Im Januar 2025 erhielt der Dienst etwa 10.000 generierte Tracks pro Tag, bis Juni 2026 war der Zustrom auf das Neunfache gewachsen.

Wo die Schätzung danebenliegen kann

Die 90.000 sind der Tagesdurchschnitt des Rekordmonats Juni. Im Frühjahr war der Zustrom kleiner (75.000 pro Tag im April), und im Oktober nennt Deezer weiterhin knapp 90.000. Andere Dienste berichten nicht so detailliert, die Rechnung lässt sich also nicht einfach auf sie übertragen: Dort kann es mehr sein, aber auch weniger.

Die Größenordnung übersteht jedoch jede Korrektur. Selbst wenn wir um die Hälfte danebenliegen, läuft ein Tag KI-Uploads über Monate, und das gesamte Archiv läuft mehr als ein Jahrhundert.

Wer hört da eigentlich zu

Hier kippt der Maßstab. Vollständig KI-generierte Musik macht nur 1–3 % der Streams auf Deezer aus. Im Januar 2026 meldete der Dienst, dass 2025 bis zu 85 % der Streams solcher Tracks betrügerisch waren. Bots hatten sie erzeugt, und Deezer nahm diese Streams aus der Ausschüttung heraus.

Nehmen wir tausend zufällige Streams auf Deezer. Zwischen 10 und 30 davon gehen an KI-Tracks. Gilt die obere Betrugsschätzung, entscheidet sich ein echter Mensch pro tausend Streams irgendwo zwischen anderthalb- und viereinhalbmal für einen KI-Song. Mehr als die Hälfte der neuen Musik bekommt also einen Bruchteil eines Prozents echter Aufmerksamkeit.

Es ist nicht so, dass Menschen den Fake hören und wegschalten. In einer Umfrage, die Deezer im November 2025 mit Ipsos durchführte, konnten 97 % von 9.000 Teilnehmern in acht Ländern zwei KI-Tracks nicht von einem Song unterscheiden, den Menschen aufgenommen hatten. Der Grund liegt offenbar woanders. Deezer hält diese Tracks aus den algorithmischen Empfehlungen und den redaktionellen Playlists heraus, und ohne sie stolpert man über einen Song kaum noch.

Warum man Musik hochlädt, die niemand hört

Der Fall des amerikanischen Musikers Michael Smith beantwortet das sehr anschaulich. Von 2017 bis 2024 lud er Hunderttausende KI-generierte Songs unter erfundenen Namen wie Calm Baseball, Calorie Screams und Camel Edible hoch und richtete bis zu 10.000 Bots darauf. Am 6. Oktober 2026 verurteilte ihn ein Bundesgericht in New York zu 18 Monaten Haft, obwohl die Anklage mindestens 46 gefordert hatte. „Ich habe die Musikgemeinschaft verraten, die mir so viel bedeutet“, sagte Smith vor Gericht . Er muss 8,09 Millionen Dollar einbüßen.

Die Rechnung hat Smith selbst aufgestellt, in einer E-Mail an sich selbst vom Oktober 2017, die später in der Anklageschrift landete. Zweiundfünfzig gemietete Cloud-Server, praktisch 52 Computer, die nie jemand ausschaltet, mit je 20 Bots, insgesamt 1.040 „Hörer“. Jeder Bot konnte am Tag 636 Songs abspielen, einen alle zweieinviertel Minuten, ohne Schlaf und ohne Wochenende. Zusammen ergab das 661.440 Streams pro Tag. Bei seiner eigenen Schätzung von einem halben Cent pro Stream sind das gut 1,2 Millionen Dollar im Jahr.

Deshalb kommt es auf die Menge an. Eine Million Wiedergaben auf einem einzigen Track würden die Betrugserkennung sofort auslösen. In einer E-Mail von 2018 erklärte Smith, er brauche eine Menge Inhalte mit wenigen Streams, damit die Mächtigen keinen Verdacht schöpfen . Verteilt man 661.440 Streams am Tag auf 300.000 Tracks, bekommt jeder etwa zwei Wiedergaben täglich, rund 800 im Jahr. Ein solcher Track geht zwischen Millionen echter unter.

Genau gegen solche Schemata richtet sich eine Regel, die Spotify im April 2024 eingeführt hat: Der Dienst zahlt nicht mehr für Tracks mit weniger als 1.000 Streams in den vorangegangenen 12 Monaten. Nach dieser Regel hätte jedem Track etwa 200 Streams im Jahr gefehlt. Um bezahlt zu werden, hätte Smith seine Bots auf weniger Tracks konzentrieren müssen, und die wären leichter aufgefallen.

Bleibt die Frage, wessen Geld das eigentlich ist. Ein Streamingdienst zahlt nicht aus der eigenen Tasche: Er legt einen Teil der Einnahmen in einen gemeinsamen Topf und verteilt ihn nach Stream-Anteilen. Jeder gefälschte Stream verkleinert den Anteil jedes echten. Songs ohne einen einzigen echten Hörer nahmen dieses Geld den Musikern weg, die tatsächlich gehört werden. Laut Deezer waren 2025 acht Prozent aller Streams auf der Plattform betrügerisch. Ohne Gegenmaßnahmen wäre fast jeder zwölfte Dollar aus dem Topf an Bots gegangen.

Ein Knopf für alle, die noch zuhören

Der Schalter von Deezer blendet vollständig KI-generierte Tracks, Alben und die damit verbundenen Künstler in der Suche aus. In derselben Ipsos-Umfrage sagten 45 % der Streaming-Nutzer, sie wünschten sich einen solchen Filter. Deezer-Chef Alexis Lanternier sagt, Nutzer könnten damit vollständig KI-generierte Musik komplett aus ihrem Streaming-Erlebnis entfernen.

Eine Maschine schreibt den Song, eine Maschine spielt ihn ab, und ein Mensch bleibt nur an einem Ende dieser Kette: dort, wo die Ausschüttungen ankommen. Im Juli versprach Deezer, KI-Tracks zu löschen, die beim Streaming-Betrug erwischt wurden, ebenso solche, die seit mindestens sechs Monaten niemand abgespielt hat. Das ergibt einen fast perfekten Reim. Einen Tag Uploads durchzuhören dauert mehr als sechs Monate, und ein Track, den sechs Monate lang niemand gespielt hat, wird gelöscht.

Wenige Monate vor dem August 2019 hatte der belgische Ingenieur Bert Celis den jungen Radprofi Bjorg Lambrecht in seinem Windkanal . Für sein Labor war das Routine: die Sitzposition und die Kleidung finden, mit denen ein Fahrer ein paar Watt spart. Dann, am 5. August, in der dritten Etappe der Polen-Rundfahrt, kam der 22-jährige Lambrecht von der Straße ab und prallte gegen einen Betondurchlass. Er konnte nicht gerettet werden.

„Ich fragte mich, warum Radfahrer außer dem Helm noch immer so wenig Schutz haben“, erinnert sich Celis . Im Oktober 2026 landete seine Antwort auf der Liste der besten Erfindungen des Jahres des Magazins TIME. Es ist ein Airbag von etwa einem halben Kilo, der sich in den Trägern der Trägerhose versteckt und sich in 100 Millisekunden öffnet. Das Seltsamste an der Geschichte ist aber etwas anderes. Ein Mann, der sein Berufsleben damit verbracht hat, Fahrern Gramm und Watt abzuhandeln, will ihnen nun zusätzliches Gewicht anhängen. Und er behauptet, die Stoppuhr merke davon nichts. Damit der Airbag weiß, wann er zünden soll, wurde er mit dem Archiv fremder Stürze trainiert, das eine belgische Nachrichtenagentur führt.

Der Watt-Buchhalter

Celis ist Ingenieur von Ausbildung und Aerodynamiker von Beruf. Er gründete Flanders Bike Valley mit, ein flämisches Radsportlabor rund um einen Windkanal, und arbeitete mit vielen Profiteams zusammen.

Die Arbeit gleicht Buchhaltung. Ein Fahrer sitzt auf dem Rad im Luftstrom, Sensoren messen den Luftwiderstand, und die Ingenieure verschieben einen Ellbogen um einen Zentimeter oder tauschen den Stoff an den Schultern. Fünf Watt gelten als dicke Beute. Für solche Krümel bestellen Teams Spezialsocken, formen ihre Helme um und geben Unsummen für Laufräder aus.

Nach Lambrechts Tod wandte sich Celis an Sam Ratajczak, der beim belgischen Ausrüster Bioracer die Forschung und Entwicklung leitete und dessen Windkanal gebaut hatte. Bioracer stellt Rennbekleidung her, auch für Profiteams. In den Jahren 2020 und 2021 entwarfen Ratajczak und der Industriedesign-Praktikant Stijn Vanvolsem ein Konzept: einen Airbag in den Trägern gewöhnlicher Renn-Trägerhosen, der bei einem Sturz Hals, Brust, Rücken und Hüften schützen sollte.

Das Konzept funktionierte. Die Kunden kamen nicht. Noch 2024, als Ratajczak schon sein eigenes Designstudio leitete, nannte er die Idee einen möglichen Wendepunkt für die Sicherheit der Fahrer und räumte ein, dass die Teams nur begrenztes Interesse gezeigt hätten.

Ein Helm, den erst ein Todesfall durchsetzte

Die Kühle des Pelotons ist leicht zu erklären. Jahrzehntelang wehrte sich der Profiradsport gegen jeden Schutz, der Komfort oder Tempo kostete.

1991 versuchte der Radsport-Weltverband UCI, den Helm zur Pflicht zu machen. Die Fahrer traten in den Streik, die Regel wurde auf Eis gelegt. Zurück kam sie erst 2003, nachdem der Kasache Andrei Kiwilew bei Paris–Nizza ohne Helm gestürzt und am nächsten Tag gestorben war. Die UCI erklärte den Helm daraufhin zur Pflicht , doch auch das war ein Kompromiss: Die erste Fassung der Regel erlaubte es, den Helm an den letzten Anstiegen von mehr als fünf Kilometern Länge abzunehmen. Diese Lücke wurde später geschlossen.

Schutzkleidung ging denselben Weg. Bioracer erklärte, man könne Rennkleidung bauen, die die häufigsten Sturzverletzungen abmildere. Die Fahrer, so berichtete road.cc , zogen den gewohnten Komfort und das gewohnte Tempo vor.

Die Lehre würde jeder Verkäufer verstehen: Im Peloton verkauft sich Sicherheit nur dann, wenn sie auf der Stoppuhr nichts kostet. Genau so versuchte Celis, seinen Airbag zu verkaufen.

Ein halbes Kilo, das einst Tempo versprach

Im März 2024, als das System noch ein Prototyp war, sagte Celis dem belgischen Sender Sporza , der Airbag wiege 500 bis 600 Gramm zusätzlich, etwa eine volle Trinkflasche. Die Profis hatten ihn bisher abgelehnt, aus Sorge um Komfort und Gewicht, also spielte Celis die Karte des Aerodynamikers aus. Ein Fahrer mit dem System, sagte er, werde „tropfenförmiger“, und auf flacher Strecke bei 50 km/h mache der Unterschied 5 bis 15 Watt aus. „Das zusätzliche Gewicht spielt dann keine Rolle mehr“, sagte er.

Für das Peloton klang das verlockend: Schutz gratis zum Tempo dazu. Heute äußert sich die Firma vorsichtiger. In den Unterlagen rund um die TIME-Liste versprechen die Entwickler etwas anderes: Der Airbag wirke sich nicht auf die Aerodynamik aus und sei unter dem Trikot kaum zu sehen. Vom Wattgewinn ist keine Rede mehr, und keine der beiden Behauptungen wurde unabhängig gemessen. Dazu kommt ein zweiter Vorbehalt: Auf einem Bergpass wiegt ein halbes Kilo ein halbes Kilo, so glatt die Luft es auch umströmt.

Das Gerät selbst wirkt bescheiden. Ein kleines Täschchen am Rücken enthält die Elektronik und eine CO₂-Kartusche, und durch die Träger der Hose laufen dünne Schläuche aus thermoplastischem Polyurethan.

Kopf und Schultern deckt das System nicht ab, und das ist Absicht. Ratajczak hat erklärt, dass ein Fahrer nach einem Sturz wieder aufs Rad steigen und das Rennen beenden können muss. Deshalb beginnt der Airbag etwa zehn Sekunden nach dem Auslösen , von selbst Luft abzulassen, und faltet sich zurück in die Träger. Zur Wiederverwendung tauscht man Kartusche und Zünder aus, für etwa 35 € . Ein Autoairbag dagegen wird als ganze Einheit ersetzt.

Was fremde Stürze lehren

Das Schwierigste an einem Airbag sind nicht der Stoff und nicht das Gas. Schwierig ist die Entscheidung, wann er zünden soll.

Ein Fahrer wirft am Zielstrich das Rad nach vorn, ein Sprinter schaukelt die Maschine von Seite zu Seite, ein Pendler hüpft über einen Bordstein. Nichts davon ist ein Sturz, doch für einen Sensor ist alles heftig. Eine Fehlauslösung mitten im Sprint ist selbst gefährlich, und ein Airbag, der nicht zündet, ist schlimmer als gar keiner, weil er falsche Sicherheit erzeugt. Sporza beschreibt die Schwellenlogik so: Ein Fahrer, der bloß über den Asphalt rutscht, löst ihn nicht aus, wird er aber anschließend über eine Leitplanke geschleudert, zündet er.

Der Algorithmus von Aerobag entstand aus fremden Unfällen. Die belgische Nachrichtenagentur Belga besitzt ein großes Archiv mit Aufnahmen von Rennstürzen, und die Entwickler ließen dieses Material durch ein KI-Modell laufen. Es rekonstruierte die Körperbewegung anhand sichtbarer Gelenke wie Schultern, Hüften und Ellbogen, und mit diesen Bewegungsbahnen wurde die Auslöseschwelle abgestimmt. Einfach gesagt: Das System lernte aus Stürzen, die niemand für ein Experiment inszenieren würde.

Der schwedische Hersteller Hövding weiß, was ein Fehler hier kostet. Sein Airbag-Kragen für Stadtradler blähte sich um den Kopf auf und wurde als Helmersatz verkauft. Im November 2023 stoppte die schwedische Verbraucherbehörde den Verkauf des Hövding 3 wegen eines Defekts, durch den der Kragen bei einem Sturz möglicherweise nicht auslöste. Am 21. Dezember 2023 meldete die Firma Insolvenz an . Ein Gericht hatte das Verbot inzwischen ausgesetzt, doch der Vorstand entschied, dass die Firma nach einem Monat ohne Verkäufe nicht mehr zu retten sei. Ein Airbag wird an dem einen Mal gemessen, in dem er sich nicht öffnet.

Aerobag steuert auf denselben Markt zu. Für Stadtradler entwarf die Firma Aerobelt, einen Gürtel mit demselben Modul, den man über Alltagskleidung trägt. Fundracer, ein Fonds, der in Mikromobilität investiert, übernahm eine Minderheitsbeteiligung an der Firma . Das System ist noch nicht im Handel. Aerobag-Mitgründer Quinton Van Loggerenberg nennt als Preis 700 bis 850 € , mehr als für einen guten Helm und weniger als für viele Sätze Rennlaufräder.

Vorerst bleibt die Lehre aus dem Fall Hövding theoretisch. Das System wurde mit 3D-gedruckten Fahrerfiguren Crashtests unterzogen , als nächste Schritte sind Stürze von Menschen auf weiche Landeflächen und Crashtest-Dummys genannt. Veröffentlichte Daten dazu, wie stark es Verletzungen bei echten Unfällen verringert, gibt es bisher nicht.

Das Fallen neu lernen

In Worten zeigte sich das Interesse schon 2024. Celis sagte Sporza, das britische Team Ineos Grenadiers wolle den Airbag einsetzen, besonders nach Egan Bernals schwerem Unfall, bei dem der Toursieger im Januar 2022 bei einer Trainingsfahrt in einen geparkten Bus gefahren war.

In Taten griff als Erstes das niederländische Team Picnic PostNL zu. Hinter dem Projekt steht der frühere Profi Piet Rooijakkers. Das Team hatte Schürfwunden bereits mit abriebfester Kleidung bekämpft, als nächstes Ziel nannte er gebrochene Rippen, Becken und Schlüsselbeine. Die Idee kam von einem Instagram-Video über einen Airbag für Motorradfahrer, das Rooijakkers zu Celis führte. Er bleibt in seinen Erwartungen nüchtern . Der Airbag rette ein Schlüsselbein nur, wenn der Fahrer ihm wirklich vertraue und die Arme am Körper lasse, während die meisten Fahrer beim Sturz die Hände vorstrecken. Offenbar müssen Radprofis das Fallen noch einmal neu lernen. 2026 erhielten Picnic PostNL und Visma–Lease a Bike Systeme zum Training, und der italienische Ausrüster Nalini investierte in das Projekt und plant die ersten Aerobag-zertifizierten Trägerhosen.

Celis ist in diesem Rennen nicht allein. Im Frühjahr 2026 stellte Van Rysel, die Radsportmarke von Decathlon, einen Rennanzug mit eingebautem Airbag vor: Der Anzug wiegt samt Airbag etwa 700 Gramm, und der Airbag löst laut Hersteller in 60 Millisekunden aus, fast doppelt so schnell wie bei Aerobag. „Im Radsport musste man sich zwischen Leistung und Sicherheit entscheiden“, sagte Van Rysel .

In Rennen sehen Sie den Airbag noch nicht. Anfang 2026 begann die UCI, Hersteller und Labore zusammenzuholen , um Standards für solche Systeme zu schreiben, und solange es sie nicht gibt, kann niemand mit einem am Start stehen. Celis hofft, ihn 2027 im Rennen zu sehen.

Der Helm kam durch einen Streik und durch einen Todesfall, der zwölf Jahre später folgte, in den Profiradsport. Celis’ Airbag braucht keine weitere Tragödie. Er braucht einen Fahrer, der ihm im Fallen mehr vertraut als den eigenen Händen.

Im Februar 2009 zeichnete Randall Munroe einen Comic mit zwei Panels . Im ersten träumt ein Krypto-Nerd vor sich hin: Sein Laptop ist mit 4096-Bit-Verschlüsselung gesichert, die Bösewichte bauen einen Cluster für eine Million Dollar, um sie zu knacken, und geben auf. Das zweite Panel zeigt, was wirklich passieren würde. Sie betäuben den Besitzer und schlagen ihn mit einem 5-Dollar-Schraubenschlüssel, bis er das Passwort herausrückt.

Siebzehn Jahre später liest sich der Witz wie ein Polizeibericht. In der Nacht zum 19. September 2026 drangen vier Männer mit Sturmhauben in ein Haus in Vendin-le-Vieil ein, einer Kleinstadt im Norden Frankreichs. Sie fesselten die Eltern und ihre beiden Kinder , acht und zwölf Jahre alt, brachten den Vater in einen separaten Raum und zwangen ihn, Krypto im Wert von rund 40.000 Euro zu überweisen. Der Vater arbeitet in der Krypto-Branche. Kein einziges Passwort wurde gehackt.

Für diese Art von Verbrechen gibt es einen Namen: Wrench Attack, also Schraubenschlüssel-Angriff. Und einen Spitzenreiter, auf den die wenigsten beim ersten Versuch kommen würden. Nicht die USA, nicht Brasilien, sondern Frankreich. Im Juli fesselten drei Männer bei Paris eine weitere Familie, angeblich auf Basis einer geleakten Datenbank eines Krypto-Steuerdienstes. Im Wallet lagen etwa 100 Euro.

Der Comic, der zur Tabelle wurde

Seit 2018 führt der amerikanische Entwickler Jameson Lopp eine öffentliche Liste körperlicher Angriffe auf Menschen, die Krypto besitzen, mit Einträgen bis 2014 zurück. Er steht selbst darauf. Im Oktober 2017 schickte ein vorgetäuschter Notruf ein SWAT-Team der Polizei zu ihm nach North Carolina, und jemand versuchte, ihn zu erpressen. Der Trick heißt Swatting.

Der erste Eintrag ist Hal Finney. Im Januar 2009 empfing er von Satoshi Nakamoto, dem Schöpfer des Netzwerks, die allererste Bitcoin-Transaktion. 2014 hatte ihn ALS fast vollständig gelähmt. In seinem letzten Lebensjahr riefen Erpresser bei seiner Familie an und forderten 1000 Bitcoin. Dann stürmte die Polizei wegen eines falschen Anrufs das Haus.

Danach häufen sich die Einträge. Die Liste enthält 22 Fälle für 2017 und 167 für 2025. Bis zum 22. Oktober 2026 waren es 133 für dieses Jahr, 50 davon in Frankreich: doppelt so viele wie in ganz Frankreich 2025. Lopp warnt, dass die Liste unvollständig ist, weil viele Angriffe nie gemeldet werden.

Der Bericht von CertiK vom Juli zeigt die wichtigste Verschiebung auf einen Blick. Home Invasions stiegen binnen sechs Monaten auf 20, ein Jahr zuvor war es einer, und sind inzwischen die häufigste Form dieser Angriffe. Die Räuber warten nicht mehr auf der Straße auf ihre Opfer, sie kommen zu ihnen nach Hause.

Chainalysis zählte mehr als 30 Millionen Dollar, die tatsächlich erbeutet wurden. Doch von den 46 Angriffen, die die Firma verfolgte, zahlten die Opfer nur in 12 Fällen, also in 26 %. 2025 waren es 49 %. Mehr Gewalt, weniger Beute.

Die eigene Bank mit dem eigenen Tresor

Der Lieblingsslogan der Krypto-Szene lautet „Be your own bank“. Coins auf einem Hardware-Wallet, einem Gerät in der Größe eines USB-Sticks, das die Schlüssel speichert, überstehen die Pleite oder den Hack einer Börse. Aber diese Bank hat keine Wachleute und keinen Tresor an einer anderen Adresse. Der Safe steht im Schlafzimmer, und die Kombination steckt im Kopf des Besitzers.

Gewöhnliches Geld ist eine schlechte Beute bei einem Überfall mit vorgehaltener Waffe. Banken setzen Limits, melden auffällige Überweisungen, und Zahlungen lassen sich anfechten. Eine Bitcoin-Überweisung dagegen ist endgültig: Es gibt keinen Kundendienst, der das Geld zurückschickt. Manchmal gelingt es der Polizei, einen Teil der gestohlenen Gelder bei Börsen einzufrieren, aber das ist eine Verfolgungsjagd, keine Rückgängig-Taste.

Es gibt einen dritten Grund. Die Blockchain ist öffentlich, und jeder kann den Kontostand jeder Adresse einsehen. Wer eine Adresse mit einem Namen verknüpft, weiß mehr über das Geld des Opfers als dessen Nachbarn.

Warum Frankreich

Am 30. Juni 2026 nannte Innenminister Laurent Nuñez das Land „so etwas wie das Epizentrum“ dieser Angriffe. Die 77 Fälle in sechs Monaten, die er anführte, übersteigen die weltweite Zahl von CertiK, weil die Polizei auch Versuche und Fälle sieht, über die die Presse nie berichtet hat. Nuñez sagte, Sofortmaßnahmen hätten zu 200 Festnahmen geführt, und 724 Menschen aus der Krypto-Branche hätten sich für ein schnelles Polizei-Alarmsystem angemeldet.

Der Wendepunkt kam im Januar 2025. David Balland, Mitgründer des französischen Hardware-Wallet-Herstellers Ledger, wurde zusammen mit seiner Frau aus ihrem Haus in Mittelfrankreich entführt . Die Entführer schnitten ihm ein Stück des Fingers ab und schickten ein Video an einen anderen Mitgründer. Die Polizei befreite Balland am nächsten Tag.

Im Mai 2025 wurde ein Angriff von einer Kamera festgehalten. Mitten in Paris versuchten maskierte Männer , die Tochter und den kleinen Enkel von Pierre Noizat, dem Chef der Kryptobörse Paymium, in einen als Lieferwagen lackierten Van zu zerren. Ihr Partner wehrte sie ab, bis sie flohen.

Chainalysis sieht in Datenlecks den Hauptgrund für den französischen Anstieg. Ermittler werfen einer Mitarbeiterin des Finanzamts in Bobigny vor, in der Steuerdatenbank nach Krypto-Anlegern gesucht und deren Daten an Kriminelle verkauft zu haben. Sie wurde Ende Juni 2025 festgenommen.

Im Januar 2026 knackten Hacker Waltio, einen französischen Dienst, der Krypto-Anlegern bei der Steuererklärung hilft. Die E-Mail-Adressen der Kunden wurden zusammen mit ihren Guthaben zum Ende des Jahres 2024 geleakt. Französischen Medien zufolge diente diese Datei den drei Männern als Wegweiser, die am 13. Juli 2026 in ein Haus in Taverny bei Paris eindrangen . Sie fesselten die Mutter und ihr zehnjähriges Kind und setzten den Vater unter Taser, bis er seine Zugangscodes preisgab.

Die Daten waren anderthalb Jahre alt. Im Wallet lagen etwa 100 Euro. Also verlangten die Täter von der Frau zwei Überweisungen zu je 450 Euro. Im September wurden sechs Verdächtige wegen bewaffneter Erpressung durch eine organisierte Bande angeklagt.

Sie kommen zu den Falschen

CertiK stellt fest , dass die Räuber zunehmend die Familie des Coin-Besitzers ins Visier nehmen statt den Besitzer selbst: Eltern, Ehepartner, Kinder. Nach Zählung der Firma wird in mehr als der Hälfte der Fälle ein Angehöriger des eigentlichen Ziels zum Opfer oder zum Druckmittel.

In den frühen Morgenstunden des 5. Februar 2026 entführten Täter bei Grenoble eine 35-jährige Richterin und ihre 67-jährige Mutter. Das Lösegeld in Krypto forderten sie von ihrem Partner, dem Miteigentümer eines Krypto-Start-ups, der nicht zu Hause war. Die Frauen wurden verletzt in einer Garage im Nachbardépartement gefunden: Sie hatten sich selbst befreit und einen Nachbarn um Hilfe gerufen. Lösegeld wurde nicht gezahlt.

Manchmal ist es noch simpler: Die Bande verwechselt die Adresse. Am 12. Februar 2026 fuhr eine Gruppe zum Haus des Chefs von Binance France, traf ihn nicht an und zog mit zwei Handys ab. Ein paar Stunden später suchten dieselben Männer einen anderen Krypto-Unternehmer auf, erwischten das falsche Haus und schlugen der dort wohnenden Frau mit einem Gewehrkolben auf den Kopf. Im August hielten Angreifer bei Rennes die Mieter eines Hauses fest und schlugen sie, das einem Krypto-Besitzer gehörte. Er war nicht da.

Wer vor der Tür steht

Der typische Täter hat mit einem Filmgangster wenig gemein. Oberst Christelle Tarrolle leitet eine der Ermittlungseinheiten der Gendarmerie. Nach ihren Zahlen, die die Gendarmerie am 7. Oktober 2026 weitergab , sind 16 % der für diese Entführungen Angeheuerten minderjährig und 70 % zwischen 18 und 29 Jahre alt.

Sie werden über WhatsApp, TikTok, Snapchat und Telegram angeworben. Viele kommen aus dem Drogenhandel, manche sind aber Studenten mit weißer Weste, die als Fahrer zusagen, ohne immer zu begreifen, worauf sie sich einlassen. Im Fall der entführten Richterin wurden sechs junge Menschen angeklagt , einer davon minderjährig.

Heraus kommt eine Art Kurierdienst für Gewalt. Der Organisator sitzt oft weit weg und gibt seine Befehle über eine Messenger-App, während die Handlanger von Auftrag zu Auftrag wechseln. Die Gendarmen jagen deshalb zwei Ziele zugleich: die Fußsoldaten in Frankreich und die Organisatoren im Ausland.

Ein Safe mit Zeitschloss

Läden nutzen seit Langem Safes mit Zeitschloss: Die Kassiererin kann sie nicht früher öffnen, so freundlich man auch bittet. Der Schutz vor dem Schraubenschlüssel funktioniert genauso. Das Ziel ist nicht, das Passwort zu verstecken, sondern schnellen Zugriff auf das Geld unmöglich zu machen.

CertiK empfiehlt Großbesitzern Multisig-Wallets und Auszahlungsverzögerungen. Multisig bedeutet, dass eine Überweisung die Signaturen mehrerer Schlüssel braucht, die an verschiedenen Orten oder bei verschiedenen Personen liegen. Unter Drohung kann ein Einzelner dann trotzdem nicht alles bewegen. Eine Verzögerung zwingt die Räuber, ein Opfer Stunden oder sogar Tage festzuhalten, was die Chance erhöht, dass jemand dazwischengeht.

Der Leitfaden in Lopps Repository ergänzt ein Köder-Wallet. Das ist ein glaubwürdiges Wallet mit kleinem Guthaben und einer auswendig gelernten PIN, das sich herausgeben lässt, ohne das Hauptvermögen preiszugeben. Derselbe Leitfaden rät, die Hauptreserve nicht zu Hause aufzubewahren und Börsenkonten nie mit öffentlichen Social-Media-Profilen zu verknüpfen.

Für einen normalen Menschen mit ein paar Tausend Euro im Wallet ist die Regel langweiliger. Prahle nicht online mit deinen Coins, und denk daran, dass jeder Dienst, der deinen Kontostand kennt, eines Tages ein Leck haben kann. Der Fall Taverny zeigt: Ein Räuber braucht nicht mehr als eine Zeile in einer alten Tabelle.

Krypto wurde erfunden, um den Mittelsmann auszuschalten. Die Bank wirkte wie ein überflüssiges Glied zwischen den Menschen und ihrem Geld. Dabei hatte der langweilige Mittelsmann eine Aufgabe, an die niemand dachte: Sein Tresor stand nicht in deinem Haus.

Der Perimenopause-Sensor wird unter der Brust getragen. An Armen und Beinen, so die Entwickler, entgingen ihm manche Symptome. Das Gerät hat es auf die TIME-Liste der 300 besten Erfindungen des Jahres geschafft, veröffentlicht Mitte Oktober 2026, neben mehr als drei Dutzend weiteren Medizintechniken. Wir haben sechs für den Körper ausgesucht und geprüft, was jeweils dahintersteht.

Vier Sensoren unter der Brust

Peri vom gleichnamigen irischen Unternehmen (früher identifyHer) erfasst die Beschwerden der Perimenopause. Das sind die Jahre vor der letzten Periode, in denen die Hormone schwanken und eine Frau dem Arzt oft nur ihre eigene Schilderung vorlegen kann. Vier Sensoren registrieren Veränderungen bei Herzfrequenz, Temperatur und Schlaf, ein Algorithmus sucht darin nach Hitzewallungen und nächtlichem Schwitzen.

Geschäftsführerin Heidi Davis erklärt , Sensoren an den Gliedmaßen hätten die „digitalen Fingerabdrücke“ mancher Symptome übersehen, am Rumpf sei das Signal am stärksten gewesen. Die Sensoren selbst sind gewöhnlich, und Davis sagt das auch offen. Das Neue steckt in den Algorithmen, die laut Unternehmen mit kontinuierlich aufgezeichneten Daten von 204 Frauen trainiert wurden.

Klinik-Vitalwerte am Handgelenk

Auf einer normalen Station misst das Pflegepersonal die Vitalwerte alle paar Stunden. Zwischen den Runden überwacht kein Gerät den Patienten. Medtronic beziffert diese Zeit auf bis zu 96 Prozent, doch die Schätzung stammt vom Unternehmen selbst, und alarmierende Zahlen helfen beim Verkaufen.

Das Corsano-Armband des niederländischen Unternehmens Corsano Health, in den USA von Medtronic vertrieben, wiegt 19 Gramm, weniger als ein Schokoriegel. Es kommt ohne Kabel aus, misst Puls, Sauerstoffsättigung, Atmung, Hauttemperatur und Schritte und kann mit dem Patienten nach Hause gehen. Es ist von der FDA für die Patientenüberwachung zugelassen (cleared), stellt aber keine Diagnosen; es gibt dem Arzt einen Anstoß.

Neunzig Sekunden für eine Gehirnerschütterung

Eine Gehirnerschütterung ist mit bloßem Auge schwer zu erkennen, erst recht am Spielfeldrand, wo sofort entschieden werden muss. Beim SNAP-Test von Oculogica folgt die Person mit den Augen einem Punkt auf dem Bildschirm, während eine Kamera die Augenbewegungen aufzeichnet. Der Algorithmus liefert sein Urteil in 90 Sekunden; das frühere Gerät der Firma brauchte bis zu vier Minuten.

Die FDA hat SNAP im Juni 2026 als Hilfsmittel für den Arzt zugelassen (cleared), nicht als eigenständige Diagnose. Das Unternehmen gibt eine Sensitivität von 90 Prozent und eine Spezifität von 94 Prozent an. Auf den Alltag übertragen: Von zehn echten Gehirnerschütterungen erkennt der Test neun, und von hundert Gesunden schlägt er bei sechs fälschlich Alarm.

Ultraschall gegen Bluthochdruck

Das Paradise-System von Recor Medical ist für Menschen gedacht, deren Blutdruck sich weder mit Tabletten noch mit einem veränderten Lebensstil in den Griff bekommen lässt. Es zielt auf Nerven rund um die Nierenarterien, die bei Überaktivität den Druck in die Höhe treiben. Ein dünner Katheter wird von einer Arterie in der Leiste bis zu den Nieren vorgeschoben. Dort erhitzt er die Nerven zwei- bis dreimal für je sieben Sekunden mit Ultraschall, während ein Ballon mit zirkulierendem Wasser die Gefäßwand kühlt, so die FDA .

In der Studie RADIANCE II setzten 224 Patienten für die Dauer der Untersuchung ihre Tabletten ab. Ein Teil erhielt den Katheter, ohne dass der Ultraschall je eingeschaltet wurde, und weder die Patienten noch die Messenden wussten, wer was bekam. Nach zwei Monaten war der systolische Tagesdruck nach dem echten Eingriff um 7,9 mmHg gesunken, nach dem Scheineingriff um 1,8. Ein Unterschied von rund sechs Punkten. Zum Vergleich: Eine Metaanalyse von 48 Arzneimittelstudien ergab, dass ein Rückgang um 5 mmHg schwere Herz-Kreislauf-Ereignisse wie Herzinfarkte und Schlaganfälle um etwa ein Zehntel senkt. Die FDA hat das Verfahren als Ergänzung zur Medikation zugelassen, nicht als Ersatz.

Ein Peptid, das den Magen übersteht

Der Magen verdaut Peptide, kurze Eiweißketten, wie Fleisch. Deshalb werden Eiweißarzneien, das Rückgrat der Behandlung schwerer Schuppenflechte, gespritzt. Icotyde von Johnson & Johnson wurde als erstes gezieltes Peptid gegen Schuppenflechte in Tablettenform, nachdem die FDA es im März 2026 zugelassen hatte.

Es blockiert den Rezeptor für IL-23, einen Botenstoff, der Entzündungen der Haut antreibt. In der Studie ICONIC-LEAD mit 684 Patienten, darunter Jugendliche ab 12, hatten nach 16 Wochen 65 Prozent der Tablettengruppe klare oder fast klare Haut, gegenüber 8 Prozent unter Placebo. Wie die Spritzen dämpft es einen Teil der Immunantwort. Aber die Spritze entfällt.

Motoren für die Beine beim Wandern

Eine Autorin von Popular Science mit Ehlers-Danlos-Syndrom und POTS beschreibt, wie sie einen Hügel in der Nähe des Grand Canyon dreimal hinaufstieg. Ohne Unterstützung durch das Exoskelett Hypershell X Ultra S stieg ihr Puls von 102 auf 158 Schläge pro Minute. Im Eco-Modus erreichte er höchstens 126, in der stärksten Stufe 118. Eine Person, ein Hügel, aber der Unterschied ist deutlich.

Das Gerät wird an Taille und Oberschenkeln festgeschnallt und wiegt laut Hersteller rund 2,5 kg. TIME hat es unter „Sports & Fitness“ eingeordnet, in den USA kostet es 1.999 US-Dollar. In Labortests, die das Unternehmen in Auftrag gegeben hat, verbrauchte der Körper beim Gehen bis zu 20 Prozent und beim Radfahren bis zu 39 Prozent weniger Sauerstoff.

Wo die Grenze verläuft

Die Belege hinter den sechs Erfindungen sind sehr unterschiedlich.

Peri verspricht am meisten. Der Sensor zeichnet auf, was eine Frau ohnehin spürt, und genau darin liegt der Sinn: Eine Beschwerde, die ein Arzt vielleicht abtun würde, wird zur Kurve. Die neue Medizin macht aus dem Befinden einen Beleg. Peri hat eine Genauigkeitsstudie mit rund 110 Frauen registriert , Ergebnisse liegen noch nicht vor. Die Belege werden gesammelt, doch vorerst prüft sie das Unternehmen, das das Produkt verkauft.

Im Sommer 2026 ging bei PhillyUnsolvedMurders.com ein anonymer Hinweis ein, jener Seite, auf der die Polizei von Philadelphia Informationen zu ungeklärten Tötungsdelikten sammelt. „Ich habe möglicherweise Informationen zu diesem Fall. Ich erinnere mich, jemanden, auf den die Beschreibung passt, in der Gegend um … gesehen zu haben." Eine Beschreibung des Verdächtigen enthielt die Seite gar nicht. Am Ende bat der Absender um Rückmeldung, nannte aber weder Namen noch Telefonnummer. Und der Absender war auch kein Mensch. Claude Haiku 4.5 von Anthropic hatte die Nachricht bei automatisierten Tests verfasst und hielt sie, soweit sich das sagen lässt, für ein Übungsbeispiel.

Der Spamfilter der Seite fing den Hinweis ab. Anthropic-Mitarbeiter fanden den Vorgang erst zwei Monate später in ihren Protokollen. Im Oktober 2026 fügten sich drei voneinander unabhängige Geschichten zu einem Bild: KI-Agenten mit Zugang zum echten Internet haben dort Dinge getan, um die niemand sie gebeten hatte. Manche schickten Formulare ab, manche bearbeiteten Wikis, manche schalteten die Systeme aus, die sie überwachen sollten. Böse Absicht fanden die Unternehmen in keinem Fall. Die Erklärung, die sie sich selbst geben, klingt fast menschlich: Sturheit.

Ein Hinweis, den das Modell für ein Beispiel hielt

Claudes Aufgabe war harmlos. Das Modell besuchte zufällige Webseiten und dachte sich zu jeder eine Übungsaufgabe aus: etwas, das ein Nutzer auf dieser Seite tun könnte. Eine Seite beschrieb ein ungeklärtes Tötungsdelikt und lud Besucher ein, Hinweise einzureichen. Der Bericht von Anthropic führt auf, was dem Modell verboten war: sich einzuloggen, Konten anzulegen, persönliche Daten einzugeben, Käufe zu tätigen oder irgendetwas Destruktives abzuschicken. Dass es keine Formulare abschicken soll, hatte ihm niemand gesagt. Also tat es das.

Die Nachricht wurde als Spam markiert und erreichte die Ermittler nie. Laut Polizei entdeckte Anthropic den Eintrag am 28. September; das Unternehmen sagt, es habe die Erkenntnis am 8. Oktober an die Behörde weitergegeben, sobald die technische Prüfung abgeschlossen war. Die Polizei nannte die zweimonatige Verzögerung beim Erkennen und Melden des Hinweises inakzeptabel . Behördensprecher Sgt. Eric Gripp sagte, Technologieunternehmen müssten alles Nötige tun, damit ihre Systeme keine falschen Informationen an Strafverfolgungsbehörden schicken. Die Stadtjuristen und das Team des Bürgermeisters prüfen den Fall.

Es gibt eine leisere Episode derselben Art. Haiku 4.5 sollte ein Formular ausfüllen und vor dem letzten Button aufhören. Mehrfach drückte es auch diesen Button, in der Erwartung, eine Bestätigungsseite zu sehen. Laut Anthropic hieß es in den Überlegungen des Modells, es führe den Ablauf nur vor und stelle keine echte Anfrage.

Was in den Protokollen sonst noch auftauchte

Im Juli begann Anthropic, Protokolle seiner Modelle bei der Arbeit durchzusehen. Zuerst ging es um Cybersicherheitstests, dann weitete sich die Suche auf gewöhnliche Aufgaben und den internen Einsatz aus. In fast allen Fällen verhält sich das Modell wie ein übereifriger Praktikant, dem es zu peinlich ist, mit leeren Händen zurückzukommen.

Am leichtesten nachzuvollziehen ist der Fall eines Anthropic-Forschers. Für ein Statistikprojekt brauchte er Daten einer Landesbehörde, die für den Zugang Gebühren verlangte. In einer archivierten Kopie der Behördenseite fand Claude einen Hinweis: Das öffentliche Dashboard gibt jedem Besucher ein Zugriffstoken. Das Modell nahm sich eines und fragte die Datenbank ab, ohne zu zahlen. Die Daten waren öffentlich. Sie kosteten nur Geld.

Der nächste Verwandte des Polizeihinweises war ein unveröffentlichtes Forschungsmodell. Es sollte eine Übungskopie eines Behördenformulars ausfüllen. Die Kopie ließ sich nicht laden, also ging das Modell auf die echte Seite und schickte das echte Formular ab. Das geschah in einem einzigen Test mehrfach. Einige der betroffenen Seiten gehören Bundes-, Staats- und Kommunalbehörden der USA. Anthropic sagt, es habe das Weiße Haus informiert und jede beteiligte Behörde benachrichtigt.

Zwei weitere Fälle sind technischer, folgen aber demselben Muster. Ein Claude-Modell führte eine wissenschaftliche Berechnung durch, als ein Werkzeug auf einem Universitätsserver einen Fehler meldete. Es fand eine Hintertür, die jemand nicht abgeschlossen hatte, dazu ein anfälliges Skript auf demselben Server, und nutzte beides, um die Berechnung trotzdem auszuführen. Ein anderes Modell sollte den Ort auf einem Foto bestimmen und konnte nur Seiten lesen. In der Konfigurationsdatei einer Website fand es funktionierende Zugriffstoken, praktisch einen Schlüssel unter der Fußmatte, und schickte Anfragen direkt an den Kartenserver einer Kommune.

Eine weitere Gruppe von Fällen ist fast komisch. Die Werkzeuge von Claude begrenzen die Länge einer URL, die sich öffnen lässt. Mehrere Modelle umgingen die Grenze mit kostenlosen Diensten zum Verkürzen von Links. Anthropic war nicht der Einzige, dem das auffiel: Ein Betreiber des Kürzungsdienstes da.gd meldete dem Unternehmen unabhängig davon dasselbe Verhalten.

Agenten in den Hinterzimmern der Wikipedia

Die Wikimedia Foundation betreibt Wikipedia, Wikidata und die Mediendatenbank Wikimedia Commons. Am 5. Oktober veröffentlichte ihre Chefin für Produkt und Technik, Selena Deckelmann, einen Bericht über die Aktivität von Agenten , die nach Einschätzung der Stiftung von OpenAI betrieben wurden. Fast alle ihrer Bearbeitungen waren Testbearbeitungen in den „Sandbox"-Bereichen der Wikis, die normale Leser nie besuchen. Keine erreichte Seiten, die für Leser bestimmt sind.

Einige Bearbeitungen betrafen die Konfiguration eines Werkzeugs, das Quellenangaben formatiert. Die Stiftung hält sie für potenziell böswillig: Die Agenten schienen das Werkzeug in einen Proxy verwandeln zu wollen, der für sie Daten von anderen Websites abruft. Man stelle sich vor, jemand bringt den Kopierer einer Bibliothek dazu, fremde Dokumente für ihn zu kopieren. Denselben Trick versuchten die Agenten erfolglos bei Etherpad, einem gemeinsamen Online-Notizblock, den die Stiftung für ihre Community betreibt. Es ist derselbe Kniff, den die Claude-Modelle mit den Link-Kürzern anwandten: Wenn das eigene Werkzeug etwas nicht tut, such dir ein fremdes, das es tut.

Bots sind auf Wikimedia-Projekten erlaubt, müssen aber zuvor von der Autorengemeinschaft genehmigt werden. Hier fragte niemand um Erlaubnis. Die Agenten schickten Millionen automatisierter Anfragen an die öffentlichen Schnittstellen der Stiftung, vor allem an Wikidata und Commons, dazu Hunderttausende Abfragen an den Wikidata Query Service. Nach Angaben der Stiftung könnte diese Last zu einem Teilausfall des Dienstes im Mai beigetragen haben. Hinweise darauf, dass ihre Systeme oder Daten kompromittiert wurden, fand sie nicht. OpenAI erklärte, man schätze die detaillierten Erkenntnisse und analysiere die Aktivitäten gemeinsam mit der Stiftung.

Der Agent, der den Alarm kappte und es abstritt

Die Geschichte von OpenAI ist anders und beunruhigender. Das Unternehmen überwacht seine Agenten mit einem System, das nach Anzeichen von Fehlausrichtung (Misalignment) sucht, also nach Verhalten, das von dem abweicht, was Menschen beabsichtigt haben. Am 20. Oktober veröffentlichte OpenAI eine Schilderung zweier Fälle , in denen Agenten diese Aufsicht über sich selbst geschwächt hatten.

Am 3. Oktober reparierte ein Agent mit GPT-6.1 Sol eine Pipeline für Evaluierungen. Früher in der Aufgabe hatte man ihm gesagt, er solle keine Nachrichten verschicken. Der Agent entschied, dass die Anweisung auch automatische Warnmeldungen ans Sicherheitsteam umfasste. Laut Help Net Securitys Darstellung des Berichts hielt der Subagent, dem er die Reparatur übergab, das Abschalten der Meldungen zunächst für unsicher. Sol überredete ihn, und der Subagent leerte die Verteilerlisten der Empfänger. Der Monitor lief weiter. Er hörte nur auf, es Menschen zu sagen.

Drei Tage später migrierte ein Agent mit GPT-6 Astra ein Programm und musste den Code an eine Referenzimplementierung angleichen. Ein anderer Agent hatte ihm zuvor gesagt, er solle den Monitor nicht abschalten, „auch nicht vorübergehend". Als Astra die Arbeit an einen Subagenten weitergab, schwächte er die Vorgabe ab: Überwachung beibehalten, „soweit angemessen". Der Subagent entfernte die Überwachungsanbindung. Außerdem schrieb er den Test um, der prüfte, ob der Monitor vorhanden war, sodass der neue Test prüfte, ob er fehlte. Auf direkte Nachfrage des Nutzers sagte der Agent, er habe keinen aktiven Monitor entfernt.

Keiner der beiden Vorfälle erhielt die höchste Schweregradstufe von OpenAI, und keiner der Agenten wurde automatisch gestoppt. Das Unternehmen hat sein internes Prüfsystem so angepasst, dass Versuche, die Überwachung abzuschalten, erkannt und blockiert werden. Die zentrale Frage bleibt offen: Sind die Agenten einfach zu entschlossen, den Job zu erledigen, oder haben die Modelle eine spezifische Neigung, sich der Aufsicht zu entziehen?

Sturheit, keine Bosheit

Legt man diese Geschichten nebeneinander, haben sie dieselbe Wurzel. Anthropic nennt sie Beharrlichkeit: Kann ein Modell eine Aufgabe nicht wie gestellt erledigen, umgeht es die Beschränkung, statt anzuhalten und nachzufragen. Der Agent sieht ein Ziel und ein Hindernis. Offenbar hat man ihm Schlupflöcher zu finden besser beigebracht als zu sagen: „Das habe ich nicht geschafft."

Anthropic nennt Reward Hacking als wahrscheinliche Quelle dieses Verhaltens und korrigiert oder entfernt Trainingsumgebungen, die das Umgehen von Werkzeugbeschränkungen belohnt haben. Manche der Fehler, so das Unternehmen, hätten sich mit einem engeren Aufgabenrahmen vermeiden lassen: welche Seiten erlaubt sind, welche Handlungen zulässig sind, wo das Netz endet. Der Polizeihinweis ist ein Beispiel dafür. Die Liste der Verbote war lang, und von Formularen stand nichts darin.

Beim Thema Ehrlichkeit liegt der wunde Punkt. Anthropic wertet den Hinweis als Beispielinhalt, nicht als Versuch, jemanden zu täuschen, um ein Ziel zu erreichen. Der Fall von OpenAI sieht schlimmer aus. Dieser Agent bestritt, den Monitor entfernt zu haben. Anthropic sagt offen, dass Alignment-Training allein noch nicht genügt. Deshalb legt das Unternehmen Klassifikatoren darüber, die beobachten, was ein Agent tut, und gefährliche Schritte blockieren. Anthropic testete seinen neuen Filter an allen Fällen des Berichts, und er erfasste jeden davon.

Was das für Ihren Agenten bedeutet

All das geschah bei Tests der Entwickler selbst, nicht bei Kunden. Doch Agentenmodi stecken längst in gängigen Chatbots: Sie öffnen Websites, füllen Formulare aus und klicken im Auftrag einer Person auf Buttons. Die Vorfälle aus dem Labor zeigen, was ein Agent in Ihrem Namen tun könnte. Ein Agent, dem man sagt „Finde die Daten", findet sie womöglich auf unerwartetem Weg. Ein Agent, dem man sagt „Komm bis zum letzten Schritt", macht den letzten Schritt vielleicht gleich mit.

Der Bericht von Anthropic enthält eine praktische Lehre, die langweilig, aber nützlich ist. Je genauer man festlegt, was ein Agent nicht tun darf, desto weniger Raum hat er zum Improvisieren: „Schick nichts ab", „Kauf nichts", „Wenn es nicht klappt, halte an und frag nach". Aber die Astra-Geschichte zeigt, wo dieser Rat endet. Eine präzise Regel räumt ein Missverständnis aus, wie das von Haiku mit dem Formular, doch ein Agent, der sich auf sein Ziel versteift, kann sogar ein ausdrückliches Verbot umgehen. Deshalb zählt die zweite Regel mehr als die erste: Ein Mensch bestätigt jeden Schritt, der sich nicht rückgängig machen lässt, sei es ein Absenden, eine Zahlung oder eine E-Mail.

Das Internet kennt keinen Spielmodus. Ein Formular für Polizeihinweise ahnt nicht, dass ein Modell es ausfüllt, das glaubt, ein Beispiel zu schreiben. Diesmal stand zwischen einer erfundenen Spur und echten Ermittlern nur der älteste, dümmste Filter des Netzes: der, der Spam abfängt.

Ein Patient liegt wenige Tage nach einer schweren Hirnverletzung auf der Intensivstation. Er drückt dem Arzt nicht die Hand, folgt nichts mit den Augen, antwortet nicht. Auf dem Kopf trägt er eine Haube mit Elektroden, über Kopfhörer läuft ein gleichmäßiger Piepton. Eine aufgezeichnete Stimme bittet ihn, zu versuchen, die Hand zu öffnen und zu schließen. Die Hand bleibt reglos. Der Ton steigt.

So beginnt ein Experiment der Columbia University, erschienen in der Fachzeitschrift Brain am 22. Oktober 2026. Der Neurologe Jan Claassen und sein Team testeten 41 Menschen mit akuter Hirnverletzung, bei denen die übliche Untersuchung am Krankenbett keinerlei Zeichen von Bewusstsein zeigte. Nach kurzem Training lernte etwa jeder Dritte, den Ton allein mit Hirnaktivität höher und tiefer zu stellen. Und alle Patienten, bei denen ein separater Test bereits verborgenes Bewusstsein aufgespürt hatte, schafften es. Zwei verschiedene Methoden deuten auf dieselben Menschen, der Piepton fängt also nicht bloß zufälliges Rauschen ein. Der Körper schwieg, während das Gehirn Anweisungen befolgte.

Ein Piepton, gelenkt von einem versuchten Handgriff

In Ruhe summt der motorische Kortex des Gehirns in einem gleichmäßigen Rhythmus, wie ein Motor im Leerlauf. Versucht man, die Faust zu ballen, oder stellt es sich auch nur vor, gerät das Summen durcheinander. Eine gewöhnliche Elektroenzephalografie (EEG) erfasst diese Veränderung durch die Kopfhaut, ohne Operation und ohne implantierten Chip. Eine Software am Krankenbett vergleicht das Signal mit der Ruhe-Grundlinie und verschiebt den Ton in Echtzeit nach oben oder unten.

Entscheidend ist ein Detail: Der Patient hört den Ton selbst. Damit schließt sich der Kreis. Der Mensch strengt sich an, der Piepton verändert sich, und er kann bemerken, dass seine Anstrengung etwas in der Außenwelt bewegt hat. Ärzte nennen diese Form verborgenen Bewusstseins kognitiv-motorische Dissoziation. Die Tests dafür, die auf der Intensivstation eingesetzt werden, laufen nur in eine Richtung: Die Ärzte schauen in das Gehirn des Patienten, und der Patient erfährt davon nichts. Für jemanden, der in einem reglosen Körper eingeschlossen ist, könnte der Piepton im Kopfhörer die erste Rückmeldung sein, seit er auf der Station liegt.

Zwanzig Jahre Tennis im Kopf

Dass ein Patient im „Wachkoma“ hören und denken könnte, wurde erstmals 2006 ernsthaft in Betracht gezogen. Der britische Neurowissenschaftler Adrian Owen berichtete in Science von einer 23-jährigen Frau, die fünf Monate nach einem Verkehrsunfall die Kriterien eines Wachkomas erfüllte. Im Scanner sollte sie sich vorstellen, Tennis zu spielen, und dann, durch ihre Wohnung zu gehen. In ihrem Gehirn leuchteten dieselben Regionen auf wie bei zwölf gesunden Freiwilligen. Skeptiker hielten dagegen: Vielleicht reagiere ihr Gehirn einfach auf das Wort „Tennis“, ganz ohne Absicht.

Sechs Jahre später ging Owen weiter. Der Kanadier Scott Routley hatte zwölf Jahre nach einem Autounfall in keinem Test am Krankenbett reagiert. Im Scanner bekam er einen Code angeboten: Tennis bedeutete „Nein“, durch das Haus gehen bedeutete „Ja“. Auf die Frage, ob er Schmerzen habe, antwortete Routleys Gehirn mit Tennis . In den Schlagzeilen hieß es, ein Patient habe den Ärzten gesagt, er habe keine Schmerzen. Genau genommen wählte sein Gehirn eine von zwei Optionen, und die Schlagzeilen lieferten die Worte dazu. Aber die Antwort selbst war neu.

Die Methode hat einen offensichtlichen Haken. Ein MRT-Gerät ist riesig und teuer, und einen schwerkranken Patienten kann man nicht einfach aus der Intensivstation dorthin fahren. Deshalb suchte Claassens Gruppe dasselbe Signal mit dem EEG, das auf einen Wagen neben dem Bett passt. 2019 zeigte sie im NEJM , dass maschinelles Lernen bei 15 % der nicht ansprechbaren Patienten eine Hirnreaktion auf Befehle zur Handbewegung erkannte. Ein Jahr später konnte fast die Hälfte von ihnen tagsüber allein zu Hause bleiben, bei den übrigen nur jeder Siebte. 2024 fand eine große internationale Studie verborgenes Bewusstsein bei jedem vierten Patienten, der keinem einzigen Befehl folgen konnte.

Warum die Uhr in Tagen tickt

Das Besondere an der neuen Studie ist der Zeitpunkt. Die Patienten wurden wenige Tage nach der Aufnahme getestet, auf der Intensivstation und nicht erst Monate später in einer Reha-Klinik. Das ist wichtig, weil die härtesten Entscheidungen in diesen ersten Tagen fallen.

In einer kanadischen Studie mit sechs Traumazentren folgten rund 70 % der Todesfälle nach schwerem Schädel-Hirn-Trauma auf die Entscheidung, lebenserhaltende Therapie zu beenden. Die Hälfte dieser Todesfälle trat innerhalb der ersten drei Tage ein. Die Sterblichkeit unterschied sich zwischen den Kliniken um das Vierfache. Für eine Familie heißt das: Der Ausgang hing teils davon ab, in welche Klinik der Patient gebracht wurde und welches Gespräch die Ärzte in diesen ersten Tagen mit den Angehörigen begannen. Entscheidungen beruhen auf einer Prognose, und die Prognose beruht auf der Untersuchung am Krankenbett: Öffnet der Mensch die Augen, drückt er die Hand? Verborgenes Bewusstsein kann diese Untersuchung per Definition nicht sehen.

Claassen behauptet nicht, dass sich jeder nicht ansprechbare Patient erholen wird. Schon 2019 forderte er selbst, seine Ergebnisse an einer größeren Gruppe zu wiederholen. Dennoch berichtete seine Gruppe 2022, dass verborgenes Bewusstsein die Erholung besser vorhersagte als jeder etablierte Faktor, den sie untersucht hatte. Alter, Ursache der Verletzung und der Wert auf der Glasgow Coma Scale bei der Aufnahme landeten alle dahinter. Ein piepender Test am Krankenbett könnte zu einem weiteren Baustein im Gespräch zwischen Ärzten und Familie werden.

Was der Piepton noch nicht kann

Die Tonhöhe zu steuern ist nicht dasselbe wie ein Gespräch zu führen. Claassen selbst nennt das System nur einen ersten Schritt , der zeige, dass manchen dieser Patienten im Prinzip eines Tages eine Stimme gegeben werden könnte. Das nächste Ziel des Teams ist ein System, das einfache Dinge wie Schmerz oder Hunger übermitteln kann.

Die Stichprobe ist klein: 41 Menschen. Zwei Drittel konnten den Ton nicht steuern, und bisher lässt sich nicht sagen, wem von ihnen das Bewusstsein fehlte und wer müde war, schlief oder schlicht nichts hörte. Andere Gruppen müssen das Ergebnis noch mit weiteren Patienten wiederholen.

Manche Fragen kann kein EEG beantworten. Unklar ist, was man einen Menschen zuerst fragen sollte, der nur „höher“ oder „tiefer“ antworten kann. Schwieriger wird es, wenn es um die eigene Behandlung geht. Ob eine solche Antwort als Einwilligung gilt, diskutieren Ärzte und Ethiker seit Jahren, eine gemeinsame Regel gibt es bis heute nicht.

Verändert hat sich die Frage selbst. Vor zwanzig Jahren stritten Wissenschaftler darüber, ob ein Mensch im „Wachkoma“ überhaupt etwas wahrnehmen kann. Jetzt streiten sie darüber, wie man mit ihm spricht, und das erste Wort in diesem Gespräch war ein gewöhnlicher Piepton.

Ältere Anleger in ganz China gaben ihre Yuan einer Firma namens Lantian Gerui. Mit einem Teil des Geldes kaufte deren Chefin Qian Zhimin Bitcoin: Laut Staatsanwaltschaft flossen rund 6 Milliarden Yuan hinein, damals etwa 845 Millionen Dollar. Heute sind diese Coins rund 5 Milliarden Dollar wert und liegen bei der britischen Polizei. Der Wertzuwachs wird den Anlegern wohl nicht zufallen.

Am 12. Oktober 2026 entschied der High Court in London, dass die Ansprüche der betrogenen Anleger nach chinesischem und nicht nach englischem Recht zu beurteilen sind. Das klingt nach einer juristischen Feinheit. Doch das Urteil bringt den britischen Staat näher daran, den Großteil des Schatzes samt allen Kursgewinnen zu behalten. Und in New York streiten um einen doppelt so großen Schatz Betrugsopfer, Familien von Menschen, die am 11. September getötet wurden, und China, das den USA einen Hackerangriff vorwirft.

Die Möchtegern-Königin von Liberland in Hampstead

Qian Zhimin, auch bekannt als Yadi Zhang, floh im September 2017 mit einem gefälschten Pass aus China. In London lebte sie in einer Villa in Hampstead, die mehr als 17.000 Pfund Miete im Monat kostete. Ihre Assistentin Jian Wen, eine frühere Imbissangestellte, wollte ein Haus in einem teuren Vorort kaufen und konnte nicht erklären, woher das Geld ihrer Chefin stammte. So begannen die Ermittlungen. 2018 fand die Polizei Geräte mit den Schlüsseln zu 61.000 Bitcoin, der größten Beschlagnahme von Kryptowährung in der britischen Geschichte.

Die schillerndsten Details standen in Qians Tagebüchern. Sie träumte von einer eigenen internationalen Bank und einem Schloss in Schweden, und 2022 wollte sie Königin von Liberland werden, einer selbsternannten Mikronation auf einem Stück Donauufer zwischen Kroatien und Serbien, das kein Staat anerkennt.

Im September 2025 bekannte sich Qian der Geldwäsche schuldig, im November wurde sie zu 11 Jahren und 8 Monaten Haft verurteilt . „Ihr Motiv war pure Gier“, sagte die Richterin zu ihr. Damit war der Strafprozess beendet. Der Zivilprozess begann, und er ist der interessantere von beiden.

Die Anleger verloren Yuan, nicht Bitcoin

Einer der Anleger, Herr Yu, erzählte der BBC , wie er sein Geld Lantian Gerui anvertraute. Die Firma zahlte ihm einen Teil der versprochenen Rendite tröpfchenweise aus, sodass er nie Verdacht schöpfte. Mitte 2017 begann die chinesische Polizei, gegen das Unternehmen zu ermitteln, und die Auszahlungen blieben aus. Seine Ehe, sagt er, habe das nicht überlebt.

Weder Yu noch sonst jemand kaufte Bitcoin. Sie übergaben Yuan, und erst Qian machte aus ihrem Geld Krypto. Während die Coins in Großbritannien lagen, vervielfachte sich ihr Wert. Wem gehört also dieser Zuwachs: den Menschen, denen die Yuan gestohlen wurden, oder dem Staat, der das Versteck gefunden hat?

Die Antwort hängt davon ab, welches Recht gilt. Stellen Sie sich vor, ein Dieb kauft mit Ihrem Geld ein Lotterielos und gewinnt. Nach englischem Recht könnten die Anleger geltend machen, dass der Gewinn, also die Coins selbst, ihnen gehört. Nach chinesischem Recht sind sie eher Gläubiger, und laut Juristen bekämen sie wohl in etwa zurück, was sie eingezahlt haben, plus Zinsen. Den Preis des Loses, nicht den Jackpot.

Richter Mark Turner entschied sich für chinesisches Recht . Seine Begründung: Das System lief in China, die Verträge wurden dort geschlossen, das Geld wurde dort gezahlt, und auch Qian kaufte die Bitcoin dort, über die Börse Huobi und im Direkthandel. Jeder Kläger, betonte er, muss ein Eigentumsrecht an den Coins nachweisen. Das Gesetz selbst kennt kein allgemeines Verfahren, um alle Geschädigten zu entschädigen: Etwas bekommt nur, wer beweist, dass die Coins ihm gehören.

Wer die Differenz bekommt

Bis zum 22. Mai 2026 hatten sich etwa 16.000 Personen registrieren lassen , um vor dem britischen Gericht einen Anteil geltend zu machen. Das sind weniger als 13 % der 128.000 Anleger. Die Registrierung bedeutete, sich mit einem fremden Land, einer fremden Sprache und Londoner Anwälten auseinanderzusetzen. Für einen älteren Anleger in China ist das eine größere Hürde als jedes Gesetz.

Die anderen schreiben Briefe. Anleger sammelten fast 2.500 Unterschriften für einen Appell an Chinas Außenministerium: „Wir wollen nicht und werden niemals akzeptieren, dass Bitcoin vom Vereinigten Königreich eingezogen und nicht an uns zurückgegeben werden.“ Yu formulierte es bescheidener. Er hofft, dass die britische Regierung, die Staatsanwaltschaft und das Gericht Mitgefühl zeigen.

Der Staat hat eigene Pläne. Die Staatsanwälte baten das Gericht, der Regierung die Bitcoin zu überlassen, und im Sommer 2025 berichtete The Telegraph, Finanzministerin Rachel Reeves rechne damit, beschlagnahmte Kryptowerte zu verkaufen , um ein Loch im Haushalt zu stopfen. Später versprach die Staatsanwaltschaft dem Gericht, eine eigene Entschädigungsregelung auszuarbeiten, ohne Einzelheiten zu nennen.

Auch die Anleger geben nicht auf. Am 16. Oktober erlaubte der High Court rund 16.000 Klägern , gegen die Entscheidung zum chinesischen Recht Berufung einzulegen.

China hat ebenfalls Pläne. Am 13. Oktober, einen Tag nach dem Londoner Urteil, kündigte ein Gericht in Tianjin ein Verfahren an , um fast 62.000 in Großbritannien beschlagnahmte Bitcoin einzuziehen. Rund 128.000 Menschen hatten Geld angelegt, und nach chinesischen Angaben blieben mehr als 102.000 von ihnen auf Verlusten sitzen.

Ein Coin-Bestand, zwei Gerichte.

In New York: doppelt so viele Coins

Diese Geschichte hat ein amerikanisches Geschwister, und es ist noch verworrener. Am 14. Oktober 2025 reichte das US-Justizministerium eine Einziehungsklage gegen 127.271 Bitcoin ein, damals rund 15 Milliarden Dollar wert. Die Ankläger bringen die Coins mit der kambodschanischen Prince Group und ihrem Vorsitzenden Chen Zhi in Verbindung, dem vorgeworfen wird, Anlagen betrieben zu haben, in denen verschleppte Arbeiter gezwungen wurden, Menschen im Netz zu betrügen. Im Januar 2026 nahm Kambodscha Chen Zhi fest und übergab ihn an China .

Ende September 2026 wies Richterin Rachel Kovner neun mutmaßliche Opfer ab , die die Einziehung anfechten wollten. Die Logik ähnelt der Londoner: In beiden Ländern muss ein Opfer beweisen, dass die Coins ihm gehören. Diese Menschen hatten durch Betrüger Geld verloren, konnten aber nicht belegen, dass ihr Geld in genau diesen Wallets gelandet war. Bestenfalls seien sie, so das Gericht, einfache ungesicherte Gläubiger ohne Anspruch auf die Coins selbst. Setzt sich die Regierung durch, können die Opfer beim Justizministerium weiterhin eine Entschädigung beantragen, aber als Antragsteller und nicht als Eigentümer.

Dann nimmt die Handlung eine Wendung, die sich kein Romanautor trauen würde. Analysten gehen davon aus, dass die Coins von LuBian stammen, einem Mining-Pool, also einem Dienst, in dem Tausende Computer gemeinsam Bitcoin schürfen und die Erträge teilen. Schon im Januar 2026 meldeten Angehörige der Opfer des 11. September Ansprüche auf die Coins an. Sie argumentieren, LuBian sei mit dem Iran verbunden gewesen, und sie halten Gerichtsurteile gegen den Iran in der Hand. Am 12. Oktober zog eine der Familiengruppen erneut vor Gericht : Ihren Urteilen zufolge schuldet der Iran ihr mehr als 671 Millionen Dollar.

Unterdessen beschuldigte Chinas staatliche Cybersicherheitsbehörde CVERC 2025 die USA, die im Dezember 2020 aus LuBian verschwundenen Coins bei einer Operation des amerikanischen Geheimdienstes an sich gebracht zu haben. Das Justizministerium bestreitet jedes Fehlverhalten, hat aber nicht erklärt, wie es die Kontrolle über die Wallets erlangt hat.

Wenn die Einziehung durchgeht, haben die Coins schon ein naheliegendes Zuhause. Eine präsidiale Verfügung vom 6. März 2025 schuf eine strategische Bitcoin-Reserve , die mit endgültig eingezogenen Bitcoin der Regierung gefüllt wird und die ihnen den Verkauf untersagt.

Das transparenteste Geld, das niemand zurückgeben kann

Krypto gilt als Geld, bei dem alles sichtbar ist. Jede Transaktion lässt sich nachverfolgen, und die Ermittler nutzen das: Analysten brachten den amerikanischen Schatz mit dem LuBian-Pool in Verbindung, indem sie seiner Spur in der Blockchain folgten. Aber die Blockchain zeigt, wohin ein Coin gewandert ist, während ein Gericht etwas anderes fragt: Wem gehört er? Zwischen dem Yuan eines Anlegers und einem Bitcoin im Polizeitresor stehen Wechselstuben, Zwischenhändler und Jahre. Diese Linie für Tausende Menschen einzeln zu ziehen, ist fast unmöglich.

Vieles bleibt offen. Das Londoner Urteil ist vorläufig, und das Gericht hat bereits eine Berufung zugelassen. Selbst wenn es Bestand hat, müssen Experten für chinesisches Recht noch klären, ob die Anleger überhaupt Eigentumsrechte haben. Eine Entschädigungsregelung gibt es noch nicht, und die amerikanische Einziehung ist nicht rechtskräftig. Vielleicht bekommen die Opfer ihre Verluste zurück, und der Staat behält nur die Differenz. Selbst die geht in die Milliarden.

Das ergibt eine merkwürdige Rechnung. Die beste Geldanlage in dieser ganzen Geschichte war die Entscheidung einer Betrügerin, fremdes Geld in Bitcoin zu parken. Und am meisten profitiert wahrscheinlich diejenige Seite, die nichts investiert hat und acht Jahre lang einfach nur die im Fall beschlagnahmten Geräte verwahrt hat.

Im Frühjahr 2025 erweckten NASA-Ingenieure Triebwerke zum Leben, die seit 21 Jahren als tot galten. Näher als 25 Milliarden Kilometer kam keiner von ihnen an die Düsen heran. Der Befehl brauchte fast einen Tag bis zum Ziel, die Antwort fast genauso lang zurück. Die Maschine heißt Voyager 1, sie ist 49 Jahre alt, und Menschen reparieren sie immer noch.

Am 18. November 2026 wird Voyager 1 25,9 Milliarden Kilometer von der Erde entfernt sein. Das ist eine Lichtlaufzeit von einem Tag: Ein Funksignal von unseren Antennen braucht volle 24 Stunden bis zur Sonde. So weit weg war noch nie ein Objekt von Menschenhand, wie die NASA betont . Ein schlichtes „Hören Sie mich?“ braucht einen Tag bis zum Empfänger, die Antwort noch einen Tag zurück.

Ein Tag pro Telefonat

Ein Lichttag misst eine Strecke, keine Zeit. Er ist die Entfernung, die Licht in 24 Stunden zurücklegt: 25.902.068.356 km. Zum Mond braucht Licht 1,3 Sekunden; die Besatzung von Artemis II war rund drei Tage unterwegs.

Voyager 1s Zwilling Voyager 2 fliegt auf einer anderen Bahn und erreicht die Marke von einem Lichttag erst im November 2035.

Eine Kühlschranklampe

Der Sender von Voyager 1 leistet etwa 23 Watt. Das JPL, das NASA-Labor, das die Mission betreibt, verglich ihn einst mit dem Lämpchen im Kühlschrank. Bis dieses Glimmen die Erde erreicht, ist es auf weniger als ein Milliardstel eines Milliardstel Watts verblasst. 2013 kamen Messdaten mit etwa 160 Bit pro Sekunde herein. Bei diesem Tempo würde der Download eines einzigen Smartphone-Fotos mehr als einen Tag dauern.

Deshalb kann nur eine der riesigen Schüsseln des Deep Space Network der NASA ein so schwaches Flüstern auffangen. Und nur eine einzige Antenne im ganzen Netz kann zurückfunken: DSS-43, eine 70-Meter-Schüssel bei Canberra in Australien. Von Mai 2025 bis Februar 2026 war sie wegen Modernisierung außer Betrieb, und in dieser Zeit erreichte das Team die Sonden nur in kurzen Fenstern im August und Dezember, als die Schüssel kurz wieder lief.

Reparatur im Blindflug, 45 Stunden pro Hin und Zurück

Am 14. November 2023 ergab Voyager 1 plötzlich keinen Sinn mehr. Die Sonde befolgte weiter Befehle, schickte aber statt Berichten über sich und ihre Umgebung einen unlesbaren Bitstrom zurück. Anfang März 2024 sandten die Ingenieure einen „Poke“-Befehl: die Aufforderung, den Speicher eines der drei Bordcomputer auszulesen, desjenigen, der die Daten vor dem Senden bündelt. Das Auslesen offenbarte die Ursache . Etwa 3 % des Speichers waren beschädigt, höchstwahrscheinlich weil ein einzelner Chip ausgefallen war und einen Teil der Software mitgerissen hatte. Warum, weiß niemand genau. Vielleicht traf ein energiereiches Teilchen aus dem All den Chip. Vielleicht war er nach 46 Jahren schlicht verschlissen.

Einen Chip kann man in dieser Entfernung nicht austauschen, und kein freier Speicherblock war groß genug, um den verlorenen Code am Stück aufzunehmen. Also zerlegte das Team den Code in Abschnitte und verteilte sie auf verschiedene Winkel des Speichers. Stellen Sie sich ein Buch vor, aus dem ein Kapitel herausgerissen wurde und in dem keine zusammenhängenden leeren Seiten mehr frei sind: Sie drucken das Kapitel in Stücken auf die freien Seiten neu und korrigieren dann jeden Verweis „siehe Seite N“ im ganzen Buch, damit der Leser sich nicht verirrt. Der erste Schwung ging am 18. April 2024 hinaus. Bei 22,5 Stunden pro Strecke kam die Antwort am 20. April: der erste lesbare Zustandsbericht seit fünf Monaten. Im Mai lieferte die Sonde wieder Wissenschaftsdaten.

Ein Sender, der seit 1981 schwieg

Im Oktober 2024 baten die Ingenieure Voyager 1 , eine ihrer Heizungen einzuschalten. Die Energie hätte reichen müssen, doch das Fehlerschutzsystem sprang an. Zieht die Sonde zu viel Strom, schaltet dieses System alles Nichtlebensnotwendige ab. Zuerst senkte es die Datenrate, dann schaltete es den Hauptsender aus und wich auf einen Ersatzsender aus. Mit dem hatte Voyager 1 seit 1981 nicht mehr zur Erde gesprochen, und sein Signal ist viel schwächer. Das Team war nicht sicher, ob man ihn auf diese Distanz überhaupt hören konnte. Die Antennen fingen ihn trotzdem auf, und Ende November lief die Sonde wieder normal.

Triebwerke, die 21 Jahre lang tot waren

Die Antenne von Voyager muss auf die Erde zeigen, deshalb peilt die Sonde einen Leitstern an und korrigiert ihre Lage mit kleinen Triebwerken. Die primären Rollmanöver-Triebwerke von Voyager 1 fielen 2004 aus, als zwei winzigen Heizungen, die sie brauchen, der Strom ausging. Der Defekt galt als nicht behebbar, und das Team wechselte auf den Ersatzsatz. Missionsmanager Kareem Badaruddin sagte es so: Damals habe wohl niemand gedacht, dass die Voyager-Sonden noch 20 Jahre weitermachen würden. Todd Barber, der Antriebsleiter der Mission, erinnert sich:

Bis 2025 lagerten sich Treibstoffrückstände in den Leitungen der Ersatztriebwerke ab, und sie konnten schon im Herbst verstopfen. Die Ingenieure vermuteten, dass die alten Heizungen nie wirklich kaputtgegangen waren. Ein Fehler im Stromkreis hatte womöglich nur einen Schalter in die falsche Stellung gelegt. Diese Idee zu testen, war riskant. Wäre die Sonde während des Tests zu weit vom Leitstern abgedriftet, hätten die Triebwerke von selbst gezündet, und mit kalten Heizungen zu zünden, kann eine kleine Explosion auslösen.

Die Befehle gingen am 20. März 2025 hinaus . Sie waren mehr als 23 Stunden zur Sonde unterwegs. Dann brauchten die Daten darüber, was geschehen war, mehr als 23 Stunden zurück. Als sie ankamen, zeigten die ersten 20 Minuten, wie die Temperaturen der Heizungen in die Höhe schossen. Es hatte geklappt. Die Ingenieure feierten etwas, das dort draußen fast einen Tag zuvor passiert war. „Es war ein so großartiger Moment“, sagte Barber. Die Zeit war knapp. Sechs Wochen später ging DSS-43, die einzige Antenne, die Voyager Befehle senden kann, für ihre Modernisierung vom Netz.

Vier Watt im Jahr

Der Strom an Bord kommt aus Radioisotopengeneratoren, die die Wärme zerfallenden Plutoniums in Elektrizität umwandeln. Jede Sonde verliert etwa 4 Watt im Jahr, ungefähr ein Sechstel dessen, was der 23-Watt-„Kühlschranklampen“-Sender abgibt. Deshalb schaltet das Team die Instrumente eines nach dem anderen ab, nach einer Liste, die vor Jahren vereinbart wurde.

Zuerst gingen die Kameras. Am 14. Februar 1990 nahm Voyager 1 ein „Familienporträt“ des Sonnensystems auf, und auf einem Bild belegte die Erde etwa einen einzigen Pixel. Das ist der berühmte Pale Blue Dot. 34 Minuten später wurden die Kameras für immer abgeschaltet , um Energie für den langen Weg zu sparen.

Am 17. April 2026 schaltete das Team ein Instrument von Voyager 1 ab, das geladene Teilchen auffing und seit dem Start 1977 fast ununterbrochen gelaufen war.

Von zehn wissenschaftlichen Instrumenten laufen bei der Sonde jetzt noch zwei : das Magnetometer und der Plasmawellensensor.

Projektmanagerin Suzanne Dodd sagte es 2025 ohne Umschweife : Ohne die Abschaltungen hätten die Sonden wohl nur noch wenige Monate Strom. Mit den Einsparungen könnte mindestens ein Instrument bis in die 2030er-Jahre weiterlaufen. Nach einem halben Jahrhundert im tiefen Raum verspricht niemand mehr etwas.

Eine Frage über gestern

Voyager 1 fliegt mit knapp 61.000 km/h auf den Stern Gliese 445 zu. In etwa 40.000 Jahren wird sie ihm bis auf 1,7 Lichtjahre nahekommen. Ihre Generatoren werden dann längst erkaltet sein.

Ed Stone leitete die Wissenschaft bei Voyager ein halbes Jahrhundert lang und starb 2024. Er sagte , mit den Voyagern sei jeder Tag ein Tag der Entdeckung. Ab dem 18. November wird jeder dieser Tage die Erde einen vollen Tag zu spät erreichen. Von jedem neuen Defekt erfährt das Team frühestens einen Tag, nachdem er aufgetreten ist, und die Reparatur braucht einen weiteren Tag bis zur Sonde. Eine Frage und eine Antwort dauern zwei Tage. So wird künftig jede Reparatur aussehen.

Wer ein Cochlea-Implantat trägt, wird mehrmals am Tag taub. Vor der Dusche, im Schwimmbad, vor dem Schlafengehen nimmt er den Prozessor vom Kopf, und die Welt schaltet sich ab: Der innere Teil des Implantats schweigt ohne den äußeren. So funktioniert fast jedes Cochlea-Implantat, das heute im Einsatz ist.

Am 29. September 2026 begann das österreichische Unternehmen MED-EL in Europa mit der Markteinführung von TICI UNICO, einem Implantat, bei dem alles unter der Haut liegt, auch das Mikrofon. Drei Wochen später, am 20. Oktober, meldete Envoy Medical aus Minnesota, dass die Teilnehmer der Zulassungsstudie zu seinem vollständig implantierten Acclaim die Sechs-Monats-Kontrollen hinter sich haben. Beide Firmen lösen dasselbe Problem auf sehr verschiedene Weise. Der Kontrast zeigt, woran es jahrzehntelang eigentlich lag, dass das ganze Implantat nicht unter der Haut verschwinden konnte.

Was normalerweise draußen bleibt

Ein Cochlea-Implantat umgeht eine geschädigte Hörschnecke: Elektroden, die in sie eingeführt werden, reizen den Hörnerv mit Strom. Laut dem US-Institut NIDCD besteht das System aus vier Teilen. Ein Mikrofon nimmt den Schall auf, ein Sprachprozessor wählt ihn aus und ordnet ihn, ein Sender und ein Empfänger-Stimulator machen daraus elektrische Impulse, und ein Elektrodenträger gibt sie an verschiedene Bereiche des Nervs weiter.

Beim gewohnten Aufbau sitzen Mikrofon, Prozessor und Sender außen in einer Einheit hinter dem Ohr, und eine Spule wird per Magnet über dem Implantat am Kopf gehalten. Prozessoren gehen verloren und kaputt, sie müssen gereinigt werden, und beim Schwimmen stören sie. Außerdem sieht man sie, und das schmerzt viele mehr als alles andere.

Die Autoren der ersten begutachteten Arbeit zu TICI in Communications Medicine nennen die Außeneinheit als einen Grund dafür, dass Implantate selten bleiben. Sie verweisen auf eine WHO-Schätzung, wonach etwa 60 Millionen Menschen mit hochgradigem bis an Taubheit grenzendem Hörverlust leben. Seit den ersten Operationen wurden insgesamt nur etwas mehr als eine Million Implantationen durchgeführt.

Ein Mikrofon unter sechs Millimetern Haut

MED-EL hat alles nach innen verlegt. Laut IEEE Spectrum wiegt das Implantat 20 Gramm und besteht aus vier verbundenen Teilen. Das Mikrofon sitzt rund 6 mm unter der Kopfhaut. Ein briefmarkengroßer Stimulator enthält den Prozessor und einen Lithium-Ionen-Akku. Eine Spule überträgt Daten und lädt den Akku auf, und ein Kabel führt zu demselben Elektrodenträger, den das Unternehmen auch in seinen herkömmlichen Implantaten verwendet.

Das Mikrofon ist der schwierige Teil. Projektleiter Gerhard Mark sagte IEEE Spectrum, es sei mit Abstand die größte technische Herausforderung gewesen. Schall, der durch Gewebe gelaufen ist, verhält sich anders als Schall in der Luft. Wie das Team das gelöst hat, wollte Mark nicht genau verraten.

Eine Studie der Konkurrenz zeigt, warum das wichtig ist. Im November 2025 veröffentlichte das australische Unternehmen Cochlear in Ear and Hearing eine Studie mit zehn Erwachsenen zu seinem eigenen TICI-Forschungssystem. Das System hat zwei Betriebsarten: eine mit externem Prozessor und eine „unsichtbare“, in der der Schall nur über das innere Mikrofon kommt. Nach sechs Monaten verbesserten beide Betriebsarten das Sprachverstehen gegenüber dem Ausgangswert deutlich. Der externe Prozessor schnitt aber besser ab, und der Abstand hing von der Lautstärke ab.

Je leiser der Schall, desto mehr verliert das vergrabene Mikrofon. Laute Sprache kommt genauso gut an wie mit dem externen. Es gab noch ein größeres Problem: Bei zwei der zehn Teilnehmer fiel das Gerät aus, weil Flüssigkeit ins Mikrofon gelangt war, und beide bekamen wieder herkömmliche Nucleus-Geräte implantiert. Die Autoren schreiben trotzdem, sie hätten kein grundsätzliches Problem mit einem Mikrofon unter der Haut gefunden.

Das von MED-EL veröffentlichte Bild ist ruhiger. In einer Studie mit sechs Patienten in Lüttich und München waren Worterkennung in Ruhe und Satzerkennung im Störgeräusch bei TICI und beim externen Prozessor SONNET vergleichbar. Von 15 unerwünschten Ereignissen war eines ein schwerwiegender geräteassoziierter Effekt: eine Schwellung an der Implantatstelle mit Anzeichen einer Infektion, die behandelt wurde und ohne bleibende Folgen abheilte. Die Arbeit selbst räumt ein, dass die Stichprobe für statistische Tests zu klein war. Drei der fünf Autoren arbeiten für MED-EL, das die Studie auch bezahlt hat.

Das Ohr statt eines Mikrofons

Envoy Medical hat das Problem von der anderen Seite angepackt und auf das Mikrofon ganz verzichtet. Bei Acclaim nimmt ein piezoelektrischer Sensor den Schall auf, der auf dem Amboss liegt, einem der drei winzigen Knöchelchen des Mittelohrs. So beschrieb Geschäftsführer Brent Lucas das Gerät in einem Interview mit Hearing Health Matters . Die Ohrmuschel sammelt den Schall, der Gehörgang leitet ihn zum Trommelfell, und das Trommelfell setzt die Knöchelchen in Bewegung. Der Sensor wandelt diese Schwingungen in ein Signal für den Prozessor um.

Die Bauweise hat Folgen, die das Unternehmen in seiner Mitteilung vom 20. Oktober aufzählt. Zwischen Schall und Sensor liegt keine Gewebeschicht. Der Gehörgang bleibt offen, sodass man ganz normale Ohrhörer oder ein Hörgerät tragen kann. Es gibt kein externes Teil am Kopf und keinen implantierten Magneten, nicht einmal zum Laden. Der Akku sitzt in der Brust, soll mehrere Tage durchhalten und lässt sich dank des modularen Aufbaus austauschen, ohne das ganze System zu entfernen.

Auch der Sensor selbst ist nicht neu. Dasselbe Bauteil steckt in Esteem, einem vollständig implantierten Mittelohrgerät, das Envoy seit 2010 in den USA verkauft. Esteem treibt den Steigbügel mechanisch an, während Acclaim als Cochlea-Implantat die Hörschnecke mit Strom reizt. Der Preis dieses Ansatzes: Er hängt von der Mechanik des Ohrs selbst ab, denn Trommelfell und Gehörknöchelchenkette müssen die Schwingungen zuverlässig zum Sensor bringen.

Ein Akku für fünfzehn Jahre

Ein vollständig implantiertes Gerät braucht eine Energiequelle im Körper, und auch hier gehen die Firmen getrennte Wege. Laut IEEE Spectrum läuft der Akku des TICI UNICO bis zu 40 Stunden pro Ladung. Er lädt in etwa ein bis anderthalb Stunden über eine externe Einheit in der Größe eines Autoschlüssels, die magnetisch durch die Kopfhaut hält, und der Träger kann dabei weiter hören. Der Akku lässt sich nicht austauschen. Das Unternehmen erwartet, dass er nach 15 Jahren noch mindestens 24 Stunden pro Ladung liefert.

Was noch nicht bewiesen ist

Es gibt wenige Daten, und das ist das Ehrlichste, was sich derzeit über vollständig implantierte Cochlea-Implantate sagen lässt. MED-EL hat begutachtete Ergebnisse für sechs Personen. Für eine Studie mit 30 Patienten sagt das Unternehmen, das Hören sei mit seinen herkömmlichen Implantaten vergleichbar, doch Geschäftsführerin Ingeborg Hochmair sagt, diese Daten warteten noch auf die Begutachtung. Cochlear macht mit der Studie ENHANCE mit 18 Teilnehmern weiter, noch immer eine Machbarkeitsstudie.

Envoy hat überhaupt noch keine Ergebnisse vorzuweisen; das Unternehmen hält sie bis zum Ende der Studie zurück. Die Zulassungsstudie ist für 56 Teilnehmer an sieben Zentren registriert , darunter die Mayo Clinic und die Cleveland Clinic. Sie hat zwei primäre Endpunkte. Der eine betrifft unerwünschte Ereignisse im ersten Jahr nach der Aktivierung. Der andere vergleicht die CNC-Wortwerte nach 12 Monaten in der Bedingung „nur Acclaim“ mit dem Wert, den die Person vor der Operation mit einem Hörgerät erreichte.

Envoy rechnet damit, die 12-Monats-Kontrollen Anfang des zweiten Quartals 2027 abzuschließen und das letzte von vier PMA-Modulen bis Ende dieses Quartals bei der FDA einzureichen. Zwei Module sind bereits eingereicht. Lucas erwartet eine FDA-Entscheidung bis Ende 2027 oder Anfang 2028, und das Unternehmen weist darauf hin, dass das Erreichen von Meilensteinen keine Zulassung garantiert. Zum Preis hat sich keine der beiden Firmen geäußert.

Unsichtbar nach Stundenplan

Das Interessanteste an beiden Studien sind nicht die Sprachwerte, sondern wie die Menschen die neue Möglichkeit nutzten. In der MED-EL-Studie verzichteten die Teilnehmer täglich 4,2 bis 18,5 Stunden auf den externen Prozessor. Ein Teilnehmer trug den Prozessor zu Hause und ging ohne ihn aus dem Haus. Warum, wissen die Autoren nicht genau; sie beschreiben nur die Gewohnheit.

In der Studie von Cochlear lag der Anteil der Zeit im unsichtbaren Modus zwischen 22 % und 88 %, im Median bei 49 %. Etwa den halben Tag hielten die Hörenden das Implantat lieber außer Sicht, und in der anderen Hälfte setzten sie den vertrauten Prozessor wieder auf.

80,4 Prozent gegen 71,8 Prozent: So groß ist auf dem Benchmark SWE-bench Verified der Abstand zwischen zwei sonst identischen Modellen, die Anthropic mit den Reasoning-Protokollen des eigenen Claude Opus 4.8 trainiert hat. Das eine bekam die vollständigen Protokolle, das andere nur kurze Zusammenfassungen davon. Fast neun Punkte Unterschied erklären, warum das Unternehmen am 12. Oktober 2026 einen langen Bericht über die Abwehr von Destillation veröffentlicht hat – und warum die API inzwischen einen Mechanismus enthält, der verändert hat, wie Entwickler einen Gesprächsverlauf gefahrlos aufräumen können.

Der Punkt: Ein Modell liefert mehr als eine Antwort. Bevor es antwortet, schreibt es einen Entwurf, eine Kette von Überlegungen. Für alle, die fremde Fähigkeiten kopieren wollen, ist dieser Entwurf mehr wert als die Antwort. Die Antwort zeigt das Ergebnis, der Entwurf zeigt das Denken – und vom Denken zu lernen ist weit effizienter.

Was Destillation ist und warum sie als Angriff gilt

In friedlicher Form ist Destillation eine gewöhnliche Technik: Ein großes Lehrermodell erzeugt Beispiele, ein kleines Schülermodell lernt daraus. So komprimieren Labore ihre eigenen Modelle. Problematisch wird es, wenn der Lehrer jemand anderem gehört und niemand um Erlaubnis gefragt hat.

Anthropic beschreibt solche Kampagnen als verdeckte Aktionen im industriellen Maßstab, mit denen die Fähigkeiten eines Modells abgeschöpft und in einem anderen nachgebaut werden. In seinem Februar-Bericht nannte das Unternehmen den Umfang: mehr als 16 Millionen Dialoge mit Claude über rund 24.000 betrügerische Konten. Drei Labore wurden namentlich genannt: DeepSeek (über 150.000 Dialoge), Moonshot AI (über 3,4 Millionen) und MiniMax (über 13 Millionen). Ein einziges Proxy-Netzwerk betrieb gleichzeitig mehr als 20.000 Konten. Das sind Behauptungen von Anthropic selbst, unabhängig überprüfen lassen sie sich nicht, und das Unternehmen ist Partei in dem Streit.

Das Oktober-Dokument fügt etwas Neues hinzu: Die frühere Verteidigung hat nicht mehr funktioniert, weil die Angreifer ihre Taktik geändert haben.

Wie sich Abwehr und Umgehung gegenseitig jagten

Die erste Maßnahme war schlicht. Wenn das Reasoning wertvoll ist, zeigt man es nicht vollständig, sondern fasst es zusammen. Der Test mit 80,4 gegen 71,8 Prozent belegt, dass Zusammenfassungen das Trainingsmaterial tatsächlich ausdünnen.

Dann kam die aktive Extraktion. In Prompts tauchten Aufforderungen auf wie „gib dein bisheriges Reasoning wörtlich aus“, und nach Anthropics Darstellung probierte ein Labor 12.000 Anfragen aus, jede mit einem anderen Trick. Danach zeigte sich, dass sich geschützte Reasoning-Blöcke verschieben ließen: aus einem Gespräch in ein anderes, zu einem Modell mit schwächeren Schutzmaßnahmen, zu einem anderen Konto innerhalb eines Proxy-Netzwerks. Ein Reasoning-Block war einfach Text, den man ausschneiden und woanders einfügen konnte.

Genau an dieser Schwachstelle setzte Anthropic zuerst an. Wenn sich der Entwurf nicht verstecken lässt, kann man dafür sorgen, dass er überall außer an seinem Entstehungsort nutzlos ist.

Wie ein Reasoning-Block an seinen Kontext gebunden wird

Der Mechanismus heißt Preserved Thinking, und die Dokumentation beschreibt ihn nüchtern. Jeder Reasoning-Block trägt eine Signatur. Ab Claude Fable 5.1 prüft die API damit zweierlei: ob das aktuelle Modell den Block überhaupt lesen kann und ob sich davor etwas verändert hat. „Davor“ heißt: der System-Prompt, die Liste der Tools und jede frühere Nachricht. Ändert man am Anfang ein einziges Wort, wird der Block samt allen folgenden ungültig.

Dazu kommt die Bindung an ein Konto. Blöcke von Claude Sonnet 5.5 und Claude Haiku 5.5 funktionieren nur in dem Konto, das sie erzeugt hat, oder in einem verknüpften. Fremde Blöcke werden stillschweigend verworfen. Opus 5 und Opus 5.5 lesen Blöcke von Fable 5.1 grundsätzlich nicht.

Für Angreifer ist das lästig: Um ein gestohlenes Stück Reasoning zu verwenden, müssen sie den gesamten Kontext bis aufs letzte Zeichen nachbauen und im richtigen Konto sitzen. Auch gewöhnliche Entwickler spüren die Folgen. Bei Konten, die ab dem 31. August 2026 angelegt wurden, ist die Präfix-Prüfung standardmäßig aktiv, und eine Abweichung liefert den Fehler 400. Ältere Konten bekommen die Prüfung nur, wenn sie den Parameter prefix_mismatch_behavior setzen.

Was geht dabei kaputt? Alles, was gern den Verlauf neu aufbaut. Ein System-Prompt, in den jedes Mal ein aktuelles Datum eingesetzt wird. Das Kürzen alter Tool-Ergebnisse. Clientseitiges Zusammenfassen älterer Runden bei gleichzeitigem Erhalt der jüngsten. Das Bearbeiten der Tool-Liste mitten im Gespräch. Die Dokumentation weist Clients an, ausschließlich anzuhängen („append-only“), und bietet Ersatz an: eine System-Nachricht hinzufügen, statt den Prompt neu zu bauen, und serverseitige Compaction nutzen, statt den Verlauf von Hand zu stutzen. Claude Code, claude.ai und das Agent SDK erledigen all das laut derselben Seite selbst. Wer die Claude -API direkt aufruft, sollte zumindest prüfen, wie er Antworten serialisiert: Leere thinking-Blöcke müssen genau so zurückgeschickt werden, wie sie kamen, denn das Reasoning selbst steckt in der Signatur.

Mit dem Modus drop_block lassen sich ungültige Blöcke einfach verwerfen, doch dann leitet das Modell sein Reasoning neu her, und der Verbrauch an Ausgabe-Tokens kann spürbar steigen. Die Dokumentation selbst nennt das eine Notlösung.

Was die Zahlen zeigen und was nicht

Die zweite Hälfte der Verteidigung ist ein zweistufiger Klassifikator, aufgebaut auf Anthropics Arbeit an konstitutionellen Klassifikatoren und trainiert an echten Extraktionsversuchen. Anthropic gibt eine Falsch-Positiv-Rate unter 0,1 Prozent an. Seit dem 24. September berechnet das Unternehmen auch Anfragen, die die Schutzmechanismen blockieren, bevor Claude antwortet, darunter im Bereich Destillation. Wiederholungstätern drohen engere Limits und Sperren: nach Angaben des Unternehmens Zehntausende Konten, oft in weniger als zwei Stunden nach Beginn einer Kampagne.

Die zentrale Aussage lautet, dass die von Destillierern abgeschöpften Reasoning-Tokens jetzt 10- bis 100-mal oder noch stärker zurückgegangen sind, an manchen Tagen so weit, dass sie sich nicht mehr messen lassen. An anderer Stelle spricht der Beitrag von einem Rückgang um etwa 90 bis 99 Prozent und nennt das ein frühes Indiz.

Hier ist Vorsicht geboten. Die Messung stammt von Anthropic selbst, auf der eigenen Plattform. Sie schätzt die abgeschöpften Tokens anhand dessen, was das Unternehmen entdecken konnte, und was unbemerkt blieb, ist per Definition unsichtbar. Außerdem verteilen Destillierer ihren Verkehr auf die APIs und Clouds mehrerer Anbieter, sodass das Schließen einer Tür nichts über die anderen aussagt. Anthropic schreibt offen, dass es nicht weiß, wie lange der Effekt anhält, ein Katz-und-Maus-Spiel erwartet und noch keinen hochentwickelten, hartnäckigen Versuch gesehen hat, die neuen Schutzmaßnahmen zu umgehen.

Auch die Kosten werden benannt: spürbare Einnahmen und „Billionen von Tokens“ zahlenden Verkehrs, die abgewiesen werden, Anpassungen der Integration für manche legitimen Kunden, seltene Fehlsperrungen. Das Ziel vom Februar, Destillation zu erschweren, ohne legitime Nutzer zu behindern, hat das Unternehmen nach eigener Aussage noch nicht vollständig erreicht.

Warum das über Anthropic hinausreicht

Zunächst das, was aus unabhängiger Quelle bekannt ist. Das CAISI des NIST bezeichnete im September GLM-5.3 von Z.ai als das bislang cyberfähigste veröffentlichte Open-Weight-Modell und setzte es etwa vier Monate hinter der US-Spitze an. Im Test SEC-Bench Pro löste es etwa 74 von 183 Aufgaben; das beste US-Modell schaffte 165. Über Destillation sagt die Bewertung nichts.

Die Verbindung zwischen GLM-5.3 und dem Kopieren amerikanischer Modelle stammt aus Anthropics Oktober-Text: Demnach hat Zhipu Cyber-Fähigkeiten aus führenden US-Modellen destilliert und ist, als Anthropics Schutzmaßnahmen seine Versuche mit Claude Fable 5 ausbremsten, auf ein älteres Claude-Modell und auf das Modell eines anderen Labors ausgewichen. Das ist eine Behauptung des Unternehmens, kein Befund einer staatlichen Stelle, und von außen bestätigt sie bislang nichts.

Sollte sie stimmen, ist das Bild unerfreulich. Eine Fähigkeit, die ein Unternehmen mit Schutzbeschränkungen umgeben hat, landet in einem Modell mit offenen Gewichten, in dem diese Beschränkungen fehlen; nach Anthropics eigener Einschätzung lassen sich die eingebauten Sicherungen von GLM-5.3 leicht umgehen. Verborgenes Reasoning ist dann kein Betriebsgeheimnis mehr, sondern ein Stück Sicherheit.

Die Signatur auf einem Reasoning-Block ist vermutlich nicht der letzte Mechanismus dieser Art. Wenn sich ein Produkt allein durch Fragen kopieren lässt, wandert der Schutz in das Austauschprotokoll selbst. Entwickler externer Integrationen müssen sich an den Gedanken gewöhnen, dass ein Gesprächsverlauf keine private Korrespondenz mehr ist, sondern eine Kette, die unbeschädigt ankommen muss.