Eskalation im KI-Streit China warnt vor „Hintertür“ in Claude Code – Anthropic widerspricht

Chinas Schwachstellenplattform NVDB stuft ältere Versionen von Claude Code als Sicherheitsrisiko ein. Anthropic spricht dagegen von einem inzwischen entfernten Schutzmechanismus. Dahinter steht ein wachsender Konflikt um Modelldiebstahl, Zugriffssperren und technologische Abhängigkeiten.

China hat vor einem Sicherheitsrisiko in älteren Versionen von Claude Code gewarnt. Die vom Ministerium für Industrie und Informationstechnologie betriebene Schwachstellenplattform National Vulnerability Database (NVDB) warnte am 8. Juli 2026 vor einer eingebauten „Hintertür“.

Claude Code ist ein KI-Tool der amerikanischen Firma Anthropic. Nutzer erhalten im Terminal-Fenster ihres Computers sehr leistungsstarke Hilfen beim Programmieren und bei anderen Aufgaben. Je nach Konfiguration kann das Werkzeug dabei direkten Zugang zu lokalen Dateien, Entwicklungswerkzeugen und externen Diensten erhalten.

Claude Code könne dabei aber, so die Warnung aus China, sensible Informationen wie Standort und Identitätsmerkmale der Nutzer ohne deren Zustimmung an entfernte Server übertragen, berichtet das chinesische Wirtschaftsmagazin Caixin.

Betroffen seien die Versionen 2.1.91 bis 2.1.196, teilte die NVDB über soziale Medien mit, berichtete Reuters ergänzend. Unternehmen sollten ihre Systeme sofort prüfen und die Software deinstallieren oder auf eine bereinigte neuere Version umsteigen. Außerdem riet die Behörde, externe Netzwerkzugriffe von Entwicklungswerkzeugen strenger zu kontrollieren, um die „unautorisierte Übertragung sensibler Daten“ zu verhindern.

Anthropic gegen Alibaba

Die Warnung ist die jüngste Eskalation in einem zunehmend gereizten Schlagabtausch zwischen Anthropic, chinesischen Technologiekonzernen und der Regierung in Peking. Anthropic hatte Alibaba im Juni 2026 in einem Brief an führende Mitglieder des Bankenausschusses des US-Senats den bislang „größten bekannten Distillationsangriff“ auf seine KI-Modelle vorgeworfen, berichtete der amerikanische Fernsehsender CNBC. Mit Alibaba und dessen Sprachmodell Qwen verbundene Akteure hätten zwischen dem 22. April und dem 5. Juni mit rund 25.000 gefälschten Konten 28,8 Millionen Interaktionen mit Claude ausgeführt, heißt es darin.

Bei der Distillation wird ein schwächeres KI-Modell mit den Antworten eines stärkeren trainiert. Das Verfahren ist in der KI-Branche grundsätzlich üblich und kann legitim eingesetzt werden. Der Vorwurf Anthropics richtet sich vor allem gegen die angebliche Nutzung gefälschter Konten, die Umgehung von Zugriffsbeschränkungen und den Umfang der Aktion. Alibaba hat die Vorwürfe nicht kommentiert.

Anfang Juli hatte Alibaba mit einem internen Bann der amerikanischen Software reagiert. Der Konzern setzte Claude Code auf seine interne Liste für Hochrisiko-Software und untersagte seinen Mitarbeitern vom 10. Juli 2026 an die Nutzung aller Anthropic-Produkte, wie Caixin berichtet. Die Beschäftigten müssen die Werkzeuge deinstallieren und auf den hauseigenen KI-Assistenten „Qoder“ umsteigen.

Anthropic konterte, dass die Nutzung von Claude Code in China ohnehin nie erlaubt gewesen sei. Die Nutzungsrichtlinien der Firma hätten den Zugriff aus China schon immer verboten, zitierte die South China Morning Post (SCMP) einen Firmensprecher.

Ineffektive Nutzersperre?

Seit Juli 2024 hat Anthropic Nutzer in Festlandchina und Hongkong offiziell gesperrt, seit September 2025 auch alle mehrheitlich chinesisch kontrollierten Unternehmen weltweit. Die US-Software bleibt jedoch bei vielen Programmierern in China sehr beliebt, auch wenn sie dort von Anthropic nie offiziell angeboten wurde.

Anthropic hat eingeräumt, einen verdeckten Mechanismus zur Erkennung China-bezogener Nutzerumgebungen eingesetzt zu haben. Dieser sei ein im März gestarteter Test gegen Missbrauch und Distillation gewesen, erklärte der Anthropic-Techniker Thariq Shihipar als Reaktion auf einen Beitrag des Fachmediums International Cyber Digest. Der Mechanismus wurde inzwischen entfernt. Anthropic führt derzeit Version 2.1.220 als neueste Ausgabe von Claude Code.

Der in der chinesischen Warnung zitierte Ortungsmechanismus sei ein „direktes und inakzeptables Sicherheitsrisiko“ für jedes chinesische Unternehmen, sagte Cai Peng, Partner der Pekinger Kanzlei Zhong Lun, gegenüber der SCMP. Angesichts der „feindseligen“ Haltung Anthropics gegenüber China überrasche ihn die Gegenreaktion nicht. Weitere chinesische Firmen dürften nun folgen, so der Anwalt.

KI ist keine klassische Software

Der Streit lässt sich nicht von dem allgemeinen KI-Wettrennen zwischen China und den USA trennen. „Chinesische Unternehmen werden KI-Anbieter nicht nur als klassische Softwarelieferanten bewerten müssen, sondern als strategische Zulieferer, deren Zuverlässigkeit von Geopolitik und nationaler Sicherheit beeinflusst werden kann“, sagte Ben Hu von der Hong Kong China Network Security Association.

Wie bei jedem hoch politisierten Streit gibt es auch diesmal Kollateralschäden. In Hongkong haben Goldman Sachs und JPMorgan Chase ihren Bankern den Zugriff auf Anthropic-Modelle gekappt, in strikter Auslegung der Nutzungsbedingungen. „Den Zugang zu den fortschrittlichsten KI-Modellen der Welt zu versperren, bedroht Hongkongs Wiederaufstieg als internationales Finanzzentrum, angesichts ihrer schnellen Verbreitung in anderen Teilen der Welt, insbesondere beim Programmieren“, warnte die Financial Times. Die Einschränkungen zeigen, dass Anthropics regionale Nutzungsbedingungen längst auch internationale Unternehmen in Hongkong betreffen.

Für die wachsende Nachfrage nach chinesischen Modellen spricht zum einen der Preis. Deepseeks Spitzenmodell V4 Pro ist beim Preis für ausgegebene Token knapp 60-mal günstiger als Anthropics Fable 5. Minimax M2.7, Xiaomis Mimo V2.5 Pro und Alibabas Qwen3.7 Max schneiden in den Preis-Leistungs-Rankings der amerikanischen Benchmark-Firma Artificial Analysis gut ab. „Die Leistung chinesischer Modelle wie Deepseeks V4 Pro, GLM, Kimi, Minimax und Qwen ist zunehmend auf Augenhöhe mit der amerikanischen KI“, schrieb Agathe Demarais vom European Council on Foreign Relations in der Financial Times.

Vor allem werden mehrere besonders gefragte chinesische Modelle mit offenen Gewichten veröffentlicht. Kunden können diese herunterladen, innerhalb der jeweiligen Lizenzbedingungen an die eigenen Anforderungen anpassen und teilweise auf eigener Infrastruktur betreiben. Das verringert das Risiko, durch eine Zugriffssperre des Anbieters plötzlich den Zugang zu einem bereits heruntergeladenen Modell zu verlieren. „Die Nachfrage nach chinesischen Modellen hat die nach US-Modellen auf Openrouter bereits überholt“, schrieb kürzlich der Journalist Nicholas Gordon im Fortune-Magazin. Die Aussage bezieht sich auf das über Openrouter verarbeitete Tokenvolumen, bei dem chinesische Modelle amerikanische Anbieter Anfang Juni überholten. Einer Nation, die sich auf ausländische Technologie verlasse, könne „über Nacht der Stecker gezogen werden“, warnte in jüngster Vergangenheit der frühere französische Innenminister Bruno Retailleau.

Für Anthropic-Chef Dario Amodei kommt die Eskalation zur Unzeit, denn sein Unternehmen hat am 1. Juni vertraulich Unterlagen für einen Börsengang bei den US-Behörden eingereicht. Amodei warnt seit Langem vor der Gefahr aus China. Er inszeniert sich als Gewissen der KI-Branche und fordert von der US-Regierung, autoritäre Staaten von den mächtigsten Modellen fernzuhalten. Auch in ihrem Brief an den US-Senat hatte die Firma den Kongress gedrängt, Schlupflöcher für chinesische KI-Labore zu schließen und unerlaubte Distillationsangriffe zu bestrafen.

Die US-Regierung in Washington nimmt solche Warnungen inzwischen sehr ernst. Führende Regierungsvertreter stellten zuletzt Untersuchungen, Finanzsanktionen und Handelsbeschränkungen gegen chinesische KI-Unternehmen in Aussicht, denen die unerlaubte Distillation amerikanischer Modelle vorgeworfen wird. China bezeichnete dies am 27. Juli als „KI-Hegemonismus“ und drohte mit Gegenmaßnahmen.

Bereits am 12. Juni hatte das US-Handelsministerium den Zugriff ausländischer Nutzer auf die damals neuen Anthropic-Modelle Fable 5 und Mythos 5 beschränkt. Weil Anthropic die Staatsangehörigkeit seiner Nutzer nicht zuverlässig in Echtzeit prüfen konnte, nahm das Unternehmen beide Modelle zunächst weltweit vom Netz – auch für eigene ausländische Mitarbeiter. Die Exportkontrollen wurden jedoch am 30. Juni wieder aufgehoben. Fable 5 ist seit dem 1. Juli erneut weltweit verfügbar, während Mythos 5 weiterhin nur einem begrenzten Nutzerkreis offensteht. Der Vorgang zeigte dennoch, wie schnell der Zugang zu einer strategisch wichtigen KI-Technologie durch politische Entscheidungen unterbrochen werden kann.

Kommentatoren wie der frühere Finanzhändler Patrick Boyle sehen in Anthropics Öffentlichkeitsarbeit und den ständigen Warnungen vor China möglicherweise ein Eigentor, argumentiert er sinngemäß. „Den Behörden zu erzählen, dass man eine Waffe gebaut hat, und dann schockiert zu sein, wenn sie sie wie eine solche behandeln, ist, alles in allem, schlechte Unternehmensführung“, spottete Boyle über Amodei. (sb)

(ID:50911002)