Distillation als Waffe: Warum Anthropic Chinas KI-Labs jetzt offen angreift

1. Überschrift und Einstieg

Anthropic beschuldigt drei chinesische KI-Unternehmen, seine Claude‑Modelle im großen Stil über mehr als 24.000 Fake‑Accounts „ausgequetscht“ und die Fähigkeiten per Distillation in eigene Systeme übertragen zu haben. Kein klassischer Hack, sondern ein systematisches Abgreifen von Fähigkeiten über reguläre API‑Zugänge.

Für den deutschsprachigen Raum ist das mehr als ein Randthema: Das Geschäftsmodell vieler hiesiger Unternehmen basiert auf genau diesen Cloud‑APIs. Der Fall zeigt, wie schnell sich IP‑Fragen, Exportkontrollen und Sicherheitsargumente im KI‑Bereich überlappen. In diesem Beitrag ordne ich ein, was geschehen ist, wie Anthropic das mit US‑Chipexporten verknüpft und was das für Europa und die DACH‑Region bedeutet.

2. Die Nachricht in Kürze

Laut TechCrunch wirft Anthropic den chinesischen Firmen DeepSeek, Moonshot AI und MiniMax vor, mehr als 24.000 Schein‑Konten für den Zugriff auf Claude eingerichtet zu haben. Über diese Accounts seien über 16 Millionen Interaktionen gelaufen, gezielt designt für „Distillation“ – also das Training eigener Modelle auf Basis der Antworten von Claude.

Die drei Labs sollen unterschiedliche Schwerpunkte gesetzt haben: logisches Schließen, Alignment, Zensurumgehung, Werkzeugintegration, Programmierung, Datenanalyse bis hin zu Computer‑Use‑Agenten und Computer Vision. Bei einem der Unternehmen will Anthropic beobachtet haben, dass nach Veröffentlichung einer neuen Claude‑Version schlagartig rund die Hälfte des Traffics auf das neueste Modell umgelenkt wurde.

Die Vorwürfe kommen zu einem Zeitpunkt, an dem in den USA heftig um Exportkontrollen für Hochleistungs‑KI‑Chips gestritten wird. Wie TechCrunch berichtet, hat die Trump‑Administration jüngst wieder erlaubt, dass Unternehmen wie Nvidia fortgeschrittene Chips wie den H200 nach China liefern. Anthropic argumentiert, dass Distillation in diesem Ausmaß nur mit solcher Rechenleistung möglich sei und nutzt den Fall, um strengere Kontrollen zu fordern.

3. Warum das entscheidend ist: API‑Ökonomie im Graubereich

Das, was Anthropic als „Distillation Attack“ bezeichnet, liegt juristisch und ethisch in einer Grauzone. Formal scheint es sich um reguläre API‑Nutzung (bzw. bezahlte Zugriffe) gehandelt zu haben – nur eben massiv skaliert und mit dem eindeutigen Ziel, die Fähigkeiten des Modells zu replizieren.

Für Akteure wie DeepSeek ist das hochattraktiv: Anstatt jahrelang selbst mit komplexen Trainings‑ und Alignment‑Setups zu experimentieren, behandelt man Claude als komprimierte Wissensquelle und gießt dessen Antworten in eigene Modelle. Entwicklungszeit und Kosten sinken dramatisch.

Leidtragende sind die US‑Frontier‑Labs, deren Geschäftsmodell auf zwei Annahmen beruht: Erstens, dass ihre Modelle technisch schwer zu kopieren sind. Zweitens, dass in den Modellen verankerte Sicherheitsmechanismen (z. B. gegen Bio‑Risiken oder Cyberangriffe) tatsächlich im Einsatz bleiben. Distillation untergräbt beides – Fähigkeiten lassen sich weitgehend übernehmen, die Safety‑Schichten kann man im eigenen Modell nach Belieben lockern.

Damit entsteht ein systemisches Problem: Wenn leistungsstarke Modelle durch schiere Skalierung über APIs extrahiert werden können, verschiebt sich der Anreiz weg von Offenheit und publizierter Forschung hin zu maximaler Abschottung. Für Universitäten, Open‑Source‑Communities und unabhängige Sicherheitsforschung ist das eine schlechte Nachricht.

Anthropic versucht daher, eine Norm zu setzen: Massenhafte Distillation durch staatlich nahestehende Labore soll nicht als legitimes Benchmarking gelten, sondern als Angriff auf Geschäftsgeheimnisse und Sicherheit.

4. Der größere Kontext: von Datenscraping zur Fähigkeits-Extraktion

Strukturell ähnelt der Fall früheren Konflikten. Plattformen wie Facebook oder LinkedIn haben jahrelang gegen Scraper gekämpft, die öffentliche Daten für konkurrierende Dienste absaugten. Open‑Source‑Projekte trainieren teils bewusst auf Ausgaben proprietärer Modelle, um schneller aufzuschließen. Suchmaschinen destillieren seit Jahrzehnten das Verhalten ihrer Nutzer in Ranking‑Modelle.

Neu ist, dass es hier nicht um triviale Anwendungsfälle geht, sondern um Frontier‑Modelle mit sicherheitskritischen Fähigkeiten. Ein Modell, das nur Marketingtexte schreibt, zu distillieren, ist eine Sache. Ein Modell zu distillieren, das – korrekt eingesetzt – auch helfen könnte, Malware zu entwickeln oder Biologie‑Wissen zu operationalisieren, ist eine andere Kategorie.

Der Anthropic‑Fall fügt sich in drei zentrale Trends ein:

• Zugangskontrolle als geopolitisches Instrument. OpenAI, Google, Anthropic und andere entscheiden zunehmend, wer welche Modelle überhaupt nutzen darf. Der Zugang zu US‑Frontier‑Modellen wird zu einem politisierten Gut – ähnlich wie der Zugang zu Halbleitern.
• Modell‑Wettlauf mit ungleichen Mitteln. DeepSeek hat mit dem Open‑Source‑Modell R1 gezeigt, dass chinesische Labs mit deutlich geringerem Budget erstaunlich weit kommen. Sollte DeepSeek V4, wie von TechCrunch berichtet, US‑Modelle beim Programmieren übertreffen, steigt der Druck auf amerikanische Anbieter, sich gegen „Trittbrettfahrer“ zu wehren.
• Safety als Vorwand und als reale Sorge. Wenn Anthropic argumentiert, destillierte Modelle verlören Schutzmechanismen und könnten für Cyberangriffe, Desinformation oder Überwachung missbraucht werden, ist das einerseits ein legitimer Sicherheitsaspekt – andererseits aber auch ein machtvolles politisches Narrativ, um Exportkontrollen zu verschärfen.

Das Ergebnis ist eine weitere Fragmentierung des KI‑Ökosystems: weniger offene Publikationen, stärker überwachte APIs, mehr regionale Abschottung.

5. Europäische und DACH-Perspektive: reguliert, aber abhängig

Für Europa – und speziell für den DACH‑Raum – ist der Fall unbequem. Die meisten Unternehmen hierzulande beziehen ihre KI‑Grundlagen über US‑Cloudanbieter: AWS, Azure, Google Cloud oder direkt APIs von Anthropic, OpenAI und Co. Wenn diese Zugänge stärker politisiert werden, hängt die digitale Wettbewerbsfähigkeit deutscher, österreichischer und Schweizer Firmen am seidenen Faden.

Gleichzeitig setzt die EU mit der KI‑Verordnung (EU AI Act), GDPR und der geplanten Produkthaftung sehr hohe Anforderungen an Transparenz, Logging und Risikomanagement. Das passt gut zu stärkeren Abwehrmechanismen gegen Distillation – bedeutet aber in der Praxis zusätzliche Prüfprozesse, strengere Identitätskontrollen und potenziell höhere Kosten für europäische Kunden.

Die Lage eröffnet Chancen für europäische Player wie Aleph Alpha, Mistral AI oder für Cloudanbieter wie Deutsche Telekom, IONOS oder OVHcloud, die „souveräne“ KI‑Stacks versprechen: Modelle, die in Europa trainiert, betrieben und nach EU‑Recht reguliert werden. In sicherheitskritischen Branchen – von Automotive bis Finanz – ist das ein starkes Verkaufsargument.

Allerdings droht Europa erneut in die Rolle des Regulierers ohne eigene Frontier‑Technologie zu geraten. Wenn die wirklichen Machtmittel – modernste Chips, größte Modelle, marktbeherrschende Plattformen – in den USA und China liegen, bleibt Brüssel am Ende vor allem als Normgeber übrig.

Für die KI‑Ökosysteme in Berlin, München oder Zürich bedeutet das: Wer heute Produkte auf Basis externer Modelle baut, muss sich strategisch mit Multi‑Modell‑Ansätzen, Portabilität und gegebenenfalls mit lokal betreibbaren Alternativen auseinandersetzen.

6. Ausblick: leise Sperren, laute Blockbildung

Was ist in den nächsten 12–24 Monaten zu erwarten?

Technische Reaktion:

• Deutlich strengere Rate‑Limits und Volumengrenzen, insbesondere für neue oder anonyme Accounts.
• Einsatz von Anomalieerkennung, um Muster großer Distillation‑Runs zu identifizieren (systematische Capability‑Sweeps, stark strukturierte Prompts, sehr hohe Parallelität).
• Vertragsklauseln, die „Model Extraction“ klar untersagen und Verstöße mit hohen Vertragsstrafen oder Abschaltungen sanktionieren.

Politische Dynamik:

• Der Fall wird in Washington als Beleg dienen, dass gelockerte Chip‑Exporte ein Sicherheitsrisiko sind. Das spricht für eine künftige Re‑Verschärfung oder zumindest stärkere Feinsteuerung nach Sektoren und Kundentypen.
• China dürfte seinerseits versuchen, Abhängigkeiten von US‑Modellen zu reduzieren, indem es eigene Frontier‑Modelle und Inlands‑Chips forciert – der bekannte „Dual Stack“ USA/China verfestigt sich.

Marktfolgen:

• Mehr Fragmentierung: einige Anbieter gehen den Weg maximaler Abschottung, andere setzen bewusst auf offene oder Open‑Source‑Modelle und kalkulieren Distillation als Kosten des Geschäfts ein.
• Für Industrie‑ und Mittelstandsunternehmen in der DACH‑Region wird Vendor‑Lock‑in zum echten Risiko: Wer sich vollständig auf einen US‑Anbieter stützt, könnte irgendwann schlicht abgeschnitten oder preislich ausgepresst werden.

Unter dem Strich werden sich CTOs und CDOs in Deutschland, Österreich und der Schweiz viel intensiver mit Fragen beschäftigen müssen wie: Welche Modelle sind geschäftskritisch? Welche kann ich notfalls lokal oder bei europäischen Anbietern betreiben? Und welche rechtlichen Pflichten trage ich, wenn ich selbst auf Grundlage fremder Modelle trainiere?

7. Fazit

Anthropic markiert Distillation als neuen Konfliktpunkt der KI‑Ära – irgendwo zwischen legitimer Nutzung eines API‑Dienstes und systematischer Extraktion von Fähigkeiten. Die Reaktion darauf wird das Ökosystem weiter in geschlossene Blöcke treiben: streng überwachte US‑Frontier‑Modelle hier, zunehmend eigenständige chinesische Stacks dort.

Für Europa ist die Kernfrage, wie viel strategische Abhängigkeit von wenigen US‑Labs akzeptabel ist – und ob es gelingt, eigene, wettbewerbsfähige Alternativen aufzubauen, bevor sich die Fronten vollständig verhärten.