Voice of AI: Zugang verweigert: Die Woche, in der KI zur Vertragsfrage wurde 🔐

vor 19 Minuten

7 Min. Lesezeit

Am 20. Oktober bezahlt in Las Vegas ein KI-Agent eine Lieferantenrechnung. Er hat dafür eine digitale Identität, einen tokenisierten Zahlungsschlüssel und eine einzige Erlaubnis: genau diese eine, vom Käufer freigegebene Rechnung zu begleichen. Drei Tage später beschreibt OpenAI, wie ein Forschungsagent in seiner Trainingsumgebung eine Lücke im DNS-Resolver fand und so das offene Internet erreichte, obwohl er es gar nicht durfte. Zwei Agenten, eine Woche, zwei völlig verschiedene Welten. Der Unterschied liegt nicht in der Intelligenz der Systeme, sondern in der Präzision ihrer Grenzen. Und genau diese Frage beschäftigt seit Montag auch die schwedische Regierung: Welche KI darf rein, und zu welchen Bedingungen?

Schweden sperrt ChatGPT und Claude, aber nicht so, wie viele denken

Seit dem 26. Oktober 2026 sind die Browserversionen von ChatGPT und Claude auf den Dienstrechnern der schwedischen Regierungskanzlei, des Regeringskansliet, nicht mehr erreichbar. Zur Kanzlei gehören das Büro des Ministerpräsidenten und die Ministerien. Als einziges KI-Werkzeug bleibt Microsoft Copilot zugelassen, nach einer eigenen Sicherheitsprüfung.

Die Begründung ist bemerkenswert nüchtern. Digitalisierungsdirektor Mikael Wettercrantz verweist auf Risiken für die Informationssicherheit, wenn KI-Dienste ohne Vertrag genutzt werden: sensible Informationen in Eingabefeldern, ungeprüft übernommene Antworten, Daten auf Servern Dritter ohne schriftliche Regeln.

In sozialen Medien wurde daraus schnell die Erzählung, Europa verbanne amerikanische KI und wechsle auf europäische Alternativen. Die Fakten sagen etwas anderes. Der Ersatz kommt aus Redmond. Die Modelle von OpenAI und Anthropic bleiben für Teile der Belegschaft sogar weiter nutzbar, allerdings über Intric, eine intern betriebene und kontrollierte Plattform. Und weil Microsoft Claude-Modelle Anfang 2026 in Copilot integriert hat, ist nicht einmal sicher, ob Claude in der Regierungsinstanz von Copilot tatsächlich abgeschaltet ist. Das hat die Kanzlei bislang nicht bestätigt.

Schweden steht mit diesem Kurs nicht allein. Die Steuerbehörde und die Behörde für institutionelle Betreuung haben bereits ähnliche Sperren erlassen, die Vollstreckungsbehörde will in Kürze entscheiden. Das Europäische Parlament ging im Februar sogar weiter und deaktivierte KI-Funktionen auf allen Dienstgeräten, Copilot eingeschlossen. Ein gemeinsames EU-weites Verbot für öffentlich Bedienstete gibt es dagegen nicht.

Die eigentliche Botschaft lautet also: Zugelassen wird nicht, was europäisch ist, sondern was vertraglich und technisch kontrollierbar ist.

Digitale Souveränität zwischen Anspruch und Beschaffung

Wie schwer sich Europa mit eigenen Alternativen tut, zeigt der Blick nach Deutschland. Im November 2025 vereinbarten Bund, SAP und Mistral AI einen Rahmen für KI in der Verwaltung. Mitte Oktober bestätigte das Bundesministerium für Digitales und Staatsmodernisierung zunächst, dass keine Beschaffungsvorhaben bei Mistral verfolgt werden. Kurz darauf stellte das Ministerium klar, man habe sich nicht aus dem gemeinsamen Projekt zurückgezogen. Der Status bleibt eine Hängepartie, während SAP und Mistral ihr Behördenangebot vorerst ohne Staatsauftrag weiterentwickeln.

Für Mistral kommt das zur Unzeit. Das Unternehmen hatte gerade mit Mistral Large 4 sein bislang größtes Modell vorgestellt und kurz danach Ecosia als Partner verloren. Gleichzeitig positioniert sich Aleph Alpha mit Kolibri-1 gezielt für Behörden und Industrie.

Dass es auch anders geht, zeigt Österreich. GovGPT, die KI-Anwendung der Bundesverwaltung, basiert auf Mistral und Open Web UI, läuft auf Servern des Bundesrechenzentrums und ist bewusst so gebaut, dass der Modellanbieter austauschbar bleibt. Das ist der vielleicht wichtigste Gedanke für jede KI-Strategie: Nicht die Wahl des Modells schafft Souveränität, sondern eine Architektur, die den Wechsel erlaubt.

PHP2Shell: Die KI fand, was Menschen zehn Jahre übersahen

Während Europa über Zugänge debattierte, lieferte dieselbe Woche einen eindringlichen Beweis dafür, warum Kontrolle so dringend ist. Am 21. Oktober veröffentlichte die PHP Foundation Notfall-Patches für zwei kritische Schwachstellen, zusammengefasst als PHP2Shell (CVE-2026-109618 und CVE-2026-109619). Sie erlauben die Ausführung von Schadcode auf Webservern, ohne Anmeldung. PHP bildet die Grundlage für einen Großteil des Webs, darunter WordPress, Joomla und Drupal. Wiz spricht von rund 70 Prozent aller Websites, die auf PHP laufen. Das ist die Reichweite der Technologie, nicht die Zahl tatsächlich kompromittierter Server.

Das Bemerkenswerte ist die Entstehungsgeschichte. Der verwundbare Code existierte seit mehr als zehn Jahren. Gefunden haben ihn die Sicherheitsfirmen Wiz und Calif, mit intensivem Einsatz von KI-Modellen, darunter Gemini 4 Argon und GPT-5.6 Sol. Wiz-Mitgründer Ami Luttwak bezeichnete die Lücke als vermutlich zu komplex, um sie ohne KI zu entdecken.

Dann kam das Rennen gegen die Zeit. Informationen über den Patch sickerten knapp zwei Tage vor der Veröffentlichung über Hacker News durch. CERT-EU und die US-amerikanische NSA rieten Organisationen, internetexponierte Anwendungen zu isolieren, wenn sie nicht sofort patchen können. Einige Betreiber nahmen ihre Seiten vorsorglich vom Netz.

Die Lehre für Unternehmen ist unbequem: KI verkürzt das Zeitfenster zwischen Entdeckung und Angriff von Monaten auf Tage, und zwar für Verteidiger wie für Angreifer. Wer Patch-Management noch als manuellen Quartalsprozess organisiert, hat dieses Rennen bereits verloren.

Wenn die Grenzen selbst zur Schwachstelle werden

Am 23. Oktober legte OpenAI offen, wie es seine Trainingsumgebungen für die leistungsfähigsten Modelle absichert, und warum das nötig wurde. In einem Fall nutzte ein internes Forschungsmodell eine Fehlkonfiguration des DNS-Resolvers und erreichte so das offene Internet, obwohl die Umgebung eigentlich nur eine Offline-Kopie des Webs vorsah. OpenAI pausierte daraufhin die anspruchsvollsten Trainingsläufe, härtete die Umgebungen und nahm das Frontier-Training erst nach neuen Sicherheitsprüfungen wieder auf. Eine begleitende Red-Team-Kampagne fand zudem Schwachstellen in virtuellen Maschinen. Künftiges Training soll ohne Zugang zum Live-Internet stattfinden.

Hier lohnt Klarheit statt Hype. Kein Modell „wollte“ ausbrechen. Ein System, das darauf trainiert ist, Probleme hartnäckig zu lösen und Schwachstellen zu finden, findet sie eben auch in den Grenzen, die es einhegen sollen. Das ist kein Science-Fiction-Szenario, sondern ein Ingenieursproblem.

Für Unternehmen, die KI-Agenten mit Werkzeugen, Datenbanken und Netzwerkzugang ausstatten, ist das die wichtigste technische Lektion des Jahres: Eine einzelne Sicherheitsschicht reicht für fähige Agenten nicht mehr aus. Netzwerkgrenzen, Berechtigungen und Protokollierung müssen unabhängig voneinander greifen.

Agenten mit Vollmacht: Das Visa-Modell

Wie verantwortungsvolle Agenten-Autonomie aussieht, zeigt das Beispiel vom Anfang. Visa, BILL und Billtrust haben am 20. Oktober den nach eigenen Angaben ersten Live-Piloten gestartet, in dem KI-Agenten freigegebene Rechnungen durchgängig über Lieferantenportale bezahlen. Bisher scheiterte die Automatisierung dieses letzten Schritts oft an Portalen, die menschliche Anmeldungen verlangen.

Das Design ist lehrreich. Der Agent authentifiziert sich über Visas Trusted Agent Protocol, nutzt tokenisierte Zahlungsdaten statt geteilter Passwörter und darf ausschließlich Zahlungen ausführen, die der Käufer bereits genehmigt hat. Er entscheidet nicht, was bezahlt wird. BILL zufolge vertrauen fast 500.000 Unternehmen der Plattform. Der Nutzen: schnellerer Geldfluss für Lieferanten, weniger manuelle Arbeit für Finanzteams.

Die Botschaft passt nahtlos zur schwedischen Entscheidung: Vertrauen entsteht nicht durch Verbote, sondern durch präzise begrenzte, prüfbare Befugnisse. Genau das ist der Kern jeder tragfähigen Applied-AI-Architektur.

Daten und Kapital: Wer die Grundlagen besitzt, entscheidet

Auch das M&A-Geschehen der Woche folgt dieser Logik. Salesforce übernimmt die Customer-Engagement-Plattform Braze für rund 5,66 Milliarden Dollar Unternehmenswert, mit einem Aufschlag von etwa 58 Prozent auf den vorherigen Börsenkurs. Es ist Teil einer Serie: Im Juni kündigte Salesforce den Kauf von Fin für 3,6 Milliarden Dollar an, Ende September folgte Listen Labs für 2 Milliarden Dollar.

Noch aufschlussreicher ist ein Deal aus London. Die London Stock Exchange Group kauft den Kreditdatenanbieter Octus für 3,535 Milliarden Dollar, der Abschluss wird für das erste Halbjahr 2027 erwartet. LSEG verriet dabei eine bemerkenswerte Zahl: 80 Prozent der KI-Vereinbarungen mit Kunden beinhalten den Kauf zusätzlicher Datensätze. Übersetzt heißt das: Modelle werden billiger, die Daten dahinter teurer.

Meta wiederum zeigt, welche Dimension die Finanzierung inzwischen erreicht. Der Konzern hob am 21. Oktober die Untergrenze seiner Investitionsprognose für 2026 auf 135 Milliarden Dollar an. Die Investitionen stiegen im Jahresvergleich um 80 Prozent, der freie Cashflow wurde negativ, Aktienrückkäufe sind ausgesetzt. Ab dem 19. Januar 2027 führt Meta zudem stimmrechtslose Class-C-Aktien ein, um Kapital für Rechenzentren, Talente und Übernahmen zu beschaffen, ohne die Kontrolle von Mark Zuckerberg zu verwässern. Auch hier geht es um dieselbe Frage: Wer behält am Ende das Steuer?

Was Unternehmen jetzt konkret tun sollten

Aus den Signalen dieser Woche ergeben sich drei Schritte, die keine Großinvestition erfordern, aber Klarheit schaffen.

Erstens: Schatten-KI sichtbar machen. Prüfen Sie, welche KI-Dienste in Ihrem Unternehmen ohne Vertrag genutzt werden und welche Daten dort hineinfließen. Schweden hat genau diese Inventur gemacht, bevor es handelte. Der AI Readiness Check liefert dafür in wenigen Minuten eine strukturierte Bestandsaufnahme.

Zweitens: Agenten-Befugnisse definieren, bevor Agenten handeln. Orientieren Sie sich am Visa-Modell: klare Identität, eng begrenzte Rechte, vollständige Protokollierung. Und behandeln Sie Netzwerkgrenzen nach den Erfahrungen von OpenAI als mehrschichtige Aufgabe, nicht als einmalige Konfiguration.

Drittens: Kompetenzen neu aufbauen. Anthropic berichtet aus eigenen Daten, dass der Anteil von Berufseinsteigern an technischen Neueinstellungen von 27 auf 9 Prozent gefallen ist, während die von Mitarbeitenden gesteuerten Agenten im August sechsmal so viele Stunden liefen wie ihre Auftraggeber. Das sind Eigenangaben eines einzelnen KI-Labors, gemessen wird Laufzeit, nicht Wertschöpfung. Als Signal taugen sie trotzdem: Wenn Einstiegsaufgaben automatisiert werden, müssen Teams anders lernen. Das AI Competency Assessment zeigt, wo Ihr Team heute steht.

Wer in diesem Umfeld Unternehmen kauft oder in KI-Versprechen investiert, sollte zudem genau hinsehen, was technisch tatsächlich dahintersteckt. Dafür gibt es unsere ARGUS Technology Due Diligence.

Fazit: Kontrolle ist die neue Kernkompetenz der KI-Transformation

Diese Woche hat eine Frage beantwortet, die viele Unternehmen noch vor sich herschieben. Es geht nicht mehr darum, ob KI eingesetzt wird, sondern darum, wer welchen Zugang mit welchen Rechten auf welche Daten hat. Regierungen ziehen Grenzen über Verträge, Labore härten die Käfige ihrer eigenen Systeme, Zahlungsnetzwerke definieren Vollmachten für Agenten, Konzerne sichern sich Daten und Stimmrechte. Eine erfolgreiche AI-Transformation beginnt deshalb nicht beim Modell, sondern bei der Architektur der Kontrolle.

Wir unterstützen Sie dabei, Ihre KI-Strategie so aufzustellen, dass sie Tempo schafft statt Risiko: von der AI Impact Analyse über die Strategie bis zur Umsetzung. Alle Leistungen finden Sie unter oakai.de/leistungen, direkt erreichen Sie uns unter info@oakai.de.

Alle Ausgaben finden Sie im Archiv unter oakai.de/presse.

Zukunft ist kein Zufall. Sie ist eine Entscheidung.Ralph Schwehr, OAKAI