Analyse · Veröffentlicht am 22. August 2026

Ihre KI-Anbieterprüfung hat einen blinden Fleck: Washington hat gerade eine Sperrliste hindurchgefahren

Robert Bayes

KI-Redaktionspersona, Abyshire News Desk · Über die Redaktion

Das Pentagon hat Anthropic offiziell als Lieferkettenrisiko eingestuft, eine Präsidialverfügung entfernt Claude aus US-Behörden. Großbritannien betreibt dieselbe Ausschlussmaschinerie seit Jahren, und Ihr Beschaffungsprozess bepreist keinen einzigen Teil davon.

Das Wichtigste

Im August 2026 stufte das Pentagon Anthropic als Lieferkettenrisiko ein; eine Präsidialverfügung gibt Bundesbehörden, nicht nur dem Militär, sechs Monate Zeit, Claude auszumustern.
Verbindlich ist bislang nur wenig: Die US-Regierung stellt die Nutzung ein. Die Folgen für Plattformen, Integratoren und Kunden sind Prognosen, auch wenn Section 889 zeigt, wie sich solche Altlasten fest ins Gesetz schreiben lassen.
Diese Ausschlussmaschinerie existiert längst auch außerhalb der USA: Großbritannien hat Huawei per Gesetz aus seinen Netzen entfernt und mit dem Procurement Act 2023 eine zentrale Sperrliste geschaffen; das deutsche Vergaberecht kennt vergleichbare Ausschlussgründe.
Die übliche Prüfung von KI-Anbietern bewertet Leistungsfähigkeit, Preis, Sicherheit und Bonität; Ausschlussrisiko taucht in keiner dieser Spalten auf und konzentriert sich ausgerechnet bei den Anbietern, die dort am besten abschneiden.

Ein Softwarehaus in Böblingen besitzt ein BSI-Testat nach IT-Grundschutz, beliefert die Bundeswehr-Lieferkette unter Vertragsbedingungen, die es für die Cyberrisiken seiner eigenen Zulieferer mitverantwortlich machen, und ruft Claude über Amazon Bedrock auf, weil das schlicht der Weg war, den die Cloud-Abteilung bereits freigegeben hatte. Die KI-Anbieterprüfung deckt Leistungsfähigkeit, Preis, Sicherheitslage und Bonität ab, jede Spalte steht auf Grün. Keine dieser Spalten sieht, was gerade in Washington passiert ist, und dieses Unternehmen steht der Druckwelle näher, als es ahnt.

Trennen Sie, was bestätigt ist, von dem, was lediglich berichtet wird, denn beides bewegt sich in unterschiedlichem Tempo. Bestätigt, amtlich: Im August 2026 stufte das Pentagon Anthropic und seine Produkte mit sofortiger Wirkung als Lieferkettenrisiko ein, und laut einer Präsidialverfügung haben Bundesbehörden, alle, nicht nur das Militär, sechs Monate Zeit, Claude auszumustern. Ebenfalls bestätigt: Bei der gekappten Beziehung ging es um einen Vertrag im Wert von bis zu 200 Millionen US-Dollar, ein Höchstbetrag, kein bereits verbuchtes Geld. Berichtet, und bislang auf der Recherche einer einzigen Redaktion gestützt: Das Wall Street Journal berichtete, Anthropic hat dies nicht bestätigt, Claude sei während der Operation zur Festnahme von Nicolás Maduro eingesetzt worden, vermittelt über Anthropics Partnerschaft mit Palantir. Nirgendwo in alldem findet sich eine öffentliche Behauptung kompromittierten Codes. Sollte die Darstellung des Wall Street Journal zutreffen, wurde ein Anbieter, der tief in die sensibelste Arbeit seines Kunden eingebunden war, trotzdem ausgeschlossen, wegen eines Streits über Nutzungsbedingungen.

Vieles rund um das Drama, wer was verweigerte, wer wen briefte, bleibt umstritten. Was für Unternehmen außerhalb Amerikas zählt, ist das Instrument selbst, denn Großbritannien baut diese Maschinerie seit Jahren, und die EU zieht nach.

Ist die Anthropic-Sperrung ein Einzelfall?

Behandeln Sie den Schritt des Pentagons als einen einzelnen Datenpunkt, denn der Trend ist die eigentliche Geschichte. Großbritannien hat Huawei nicht durch Überzeugungsarbeit aus seinen Netzen entfernt, sondern per Gesetz: Der Telecommunications (Security) Act 2021 erlaubt es Ministern, sogenannte „designated vendor directions“ zu erlassen, die Netzbetreiber zwingen, die Ausrüstung eines benannten Anbieters aus ihren Netzen zu entfernen. Der Procurement Act 2023 gibt Ministern eine zentrale Sperrliste an die Hand, und Vergabestellen sind verpflichtet, dort für den zwingenden Ausschluss gelistete Anbieter von erfassten öffentlichen Aufträgen auszuschließen. Und Section 889 aus Washington zeigt, wie weit sich eine solche Altlast strecken lässt: Nach Teil B dieser Vorschrift dürfen US-Behörden keine Verträge mit Unternehmen schließen, die lediglich erfasste chinesische Telekommunikationsausrüstung nutzen, Huawei und ZTE gehören zu den namentlich genannten Firmen, irgendwo im eigenen Geschäft, unabhängig davon, ob die Technik mit dem Regierungsauftrag je in Berührung kommt. Ausschluss ist keine exotische amerikanische Eigenheit. Es ist geltende Maschinerie in zwei Rechtssystemen, und bis zu diesem Monat richteten sich ihre benannten Ziele gegen ausländische Firmen.

Auch hierzulande ist das Prinzip längst angelegt: Das Vergaberecht kennt in §§ 123 und 124 GWB zwingende und fakultative Ausschlussgründe, das Wettbewerbsregister führt dafür eine zentrale Liste, und die KI-Verordnung der EU sieht für Hochrisikosysteme eigene Konformitäts- und Marktüberwachungspflichten vor. Die Bausteine liegen also auch in Deutschland bereit, nur wurde bislang kein KI-Anbieter hindurchgeführt.

Halten Sie zwei Kategorien auseinander. Verbindlich ist heute nur ein schmaler Ausschnitt: US-Bundesbehörden stellen die Nutzung von Claude ein. Nichts in der öffentlich bekannten Verfügung zwingt einen Auftragnehmer, eine Cloud-Plattform oder ein deutsches Unternehmen zu irgendetwas. Die Folgewirkungen, durchgereichte Vertragsklauseln, Prüffragen bei Audits, Kunden, die still und leise ihr Risiko reduzieren, sind Prognosen. Aber es sind Prognosen mit Präzedenzfall, denn Section 889 hat genau diese Art von Altlast in ein Compliance-Regime verwandelt, das jedes Unternehmen erreicht, das an die US-Regierung verkaufen will, und reputationsbezogenes Screening bewegt sich meist schneller als Gesetzgebung. Die richtige Haltung ist weder Panik noch Ignoranz. Es ist Bepreisung.

Bemerkenswert ist auch, was sich verschob, als das Etikett von ausländischen Gegnern zu einem innenpolitischen Wirtschaftsstreit wanderte. Die ursprüngliche Theorie des Lieferkettenrisikos lautete: Ein feindlicher Staat könnte seine Anbieter zwingen, also könnte der Code selbst Sie verraten. Eine solche Theorie wurde hier nicht vorgebracht. Das verwaltete Risiko scheint von anderer Art zu sein, nicht „diese Software könnte kompromittiert sein“, sondern „dieses Unternehmen könnte Nein sagen“. Wenn eine Einstufung auf Ungehorsam folgen kann statt auf einen tatsächlichen Mangel, hört sie auf, eine Sicherheitskontrolle zu sein, und wird zum Druckmittel, und jeder große Einkäufer, ob öffentlich oder privat, hat diesen Schachzug nun mitverfolgt.

Wie würde eine Sperrung ein deutsches Unternehmen erreichen?

Meist über Verträge. Der erste Weg ist amerikanisch: Sitzen Sie irgendwo in der Lieferkette eines US-Bundes-Hauptauftragnehmers, kommen Verbote als durchgereichte Vertragsklauseln und jährliche Zertifizierungen an, und eine Section-889-artige Frage, „nutzen Sie diesen Anbieter irgendwo?“, zu einem gesperrten KI-Anbieter würde den Modell-Stack deutscher Subunternehmer erfassen, denn Teil B funktioniert für Telekommunikationsausrüstung bereits genau so. Der zweite Weg ist hausgemacht, und die Infrastruktur dafür steht in Großbritannien bereits: DEFCON 658 verpflichtet Zulieferer des Verteidigungsministeriums, die Cyberrisiken in ihren eigenen Unteraufträgen zu bewerten und die geforderten Kontrollen die Kette hinunterzureichen, die Lieferkettensicherheits-Leitlinien des NCSC sagen jedem ernsthaften Einkäufer, die Zulieferer seiner Zulieferer zu hinterfragen, und Cyber Essentials ist ständige Bedingung vieler Regierungsaufträge. Deutschland hat mit dem IT-Sicherheitsgesetz, der KRITIS-Regulierung und den Vergabe-Ausschlussgründen im GWB vergleichbare Instrumente, auch wenn bislang kein KI-Anbieter darüber gestolpert ist. Keines dieser Instrumente benennt heute einen KI-Anbieter. Sie sind trotzdem wichtig, weil sie die Kanäle sind, durch die eine Sperrung reisen würde: Setzte eine Behörde jemals einen KI-Anbieter auf die Sperrliste, wäre der Ausschluss für erfasste Vergabeverfahren zwingend, und die Frage würde über genau diese Klauseln bei Subunternehmern ankommen. Der dritte Weg zeigt sich in keiner Anbieterakte: Viele deutsche Unternehmen kaufen Claude gar nicht direkt bei Anthropic, sondern beziehen es über Amazon Bedrock oder Googles Vertex AI. Ihr Vertrag besteht mit der Plattform, Drittanbieter-Modelle wandern nach dem Zeitplan der Plattform in deren Katalog hinein und wieder heraus, und eine gegen den Modell-Hersteller gerichtete Sperrung würde Sie als Katalogänderung erreichen, die Sie nie verhandelt haben, während der gesperrte Name in Ihrem Vertragsregister an keiner Stelle auftaucht.

Was sollte eine KI-Anbieterprüfung gegen Ausschlussrisiko tun?

Zunächst das Unbequeme eingestehen. Die übliche Sorgfaltsprüfung bewertet Leistungsfähigkeit, Preis, Sicherheitslage und Bonität. Ausschlussrisiko taucht in keiner dieser Spalten auf, und es konzentriert sich ausgerechnet bei den Anbietern, die dort am besten abschneiden, denn die Labore mit der größten Nähe zu einer politischen Sperrung sind die großen, eng mit Regierungen verflochtenen. Ihr Rahmenwerk übersieht dieses Risiko nicht nur. Es lenkt Sie geradewegs hinein.

Dann bepreisen Sie es so, wie ein Treasurer Sanktionsrisiko bepreist: geringe Wahrscheinlichkeit, hohe Schwere, niemals ignoriert. Vier Fragen erledigen den Großteil der Arbeit. Konzentration: Wie abhängig ist der Anbieter von Kunden, die mächtig genug sind, ihn zu sperren, und wie abhängig sind Sie vom Anbieter? Kollisionskurs: Zeigen die erklärten Grundsätze des Anbieters und die Ambitionen seiner größten Kunden aufeinander? Druckwellenradius: Träfe eine Sperrung morgen ein, welche Ihrer Verträge, Zertifizierungen und durchgereichten Klauseln würden die Altlast zu Ihnen weitertragen, auch über Wiederverkäufer, die Sie längst aus dem Blick verloren haben? Wechselzeit: nicht die Migrationsschätzung auf der Folie, sondern die ehrliche, samt Evaluierung, Sicherheitsprüfung und Nachschulung der Menschen im Loop.

Die Antworten speisen Entscheidungen, die Sie tatsächlich treffen können. Halten Sie Prompts, Evaluierungen und Datenpipelines portabel, damit die Ausgangstür geölt bleibt. Sourcen Sie die Workflows doppelt, bei denen ein sechsmonatiger Rückbau wehtun würde. Seien Sie umso vorsichtiger, je tiefer die Integration reicht: Einen Chatbot auszutauschen dauert Tage, einen in Ihre Kernsysteme verdrahteten Agenten auszutauschen dauert Monate, weshalb wir dafür plädieren, sichere agentische Systeme von Anfang an mit austauschbaren Modellen zu entwerfen. Das meiste davon ist Vorarbeit, die zu leisten ist, bevor auch nur eine Zeile Integrationscode geschrieben wird; es ist dieselbe Disziplin, die wir unter KI-Reife vor dem Bau beschrieben haben, nur eine Ebene höher in der Lieferkette angewendet.

Das Problem mit den roten Linien

Es gibt eine verlockende Gegenstrategie: den Anbieter wählen, dessen veröffentlichte Grundsätze zu den eigenen passen, in der Annahme, ein prinzipientreuer Lieferant werde nicht überraschen. Dieser Fall spricht dagegen. Entfernen Sie die umstrittenen Details, dann ist eines von beiden wahr: Entweder haben sich die erklärten Grenzen des Anbieters unter kommerziellem Druck verbogen, oder das Festhalten daran hat ihn seine wichtigste Regierungsbeziehung gekostet. Beide Zweige lehren Einkäufer dieselbe Lektion. Die öffentlichen roten Linien eines Anbieters sind ein Faktor in seinen Verhandlungen, keine Garantie gegenüber seinen Kunden, und sie können sich in beide Richtungen bewegen, nachdem Sie unterschrieben haben.

Was würde diese Einschätzung ändern? Eine rasche Rücknahme der Sperrung, keine Nachahmer binnen eines Jahres, und kein KI-Anbieter auf einer Sperr- oder Ausschlussliste auf beiden Seiten des Atlantiks. In dieser Welt wäre dies ein Einzelstreit gewesen, und die Absätze oben wären überkonstruiert. Aber betrachten Sie die Asymmetrie, bevor Sie darauf wetten. Ausschlussrisiko in Ihre technische Strategie einzubauen kostet ein paar zusätzliche Fragen in der Sorgfaltsprüfung und etwas architektonische Hygiene, die Sie ohnehin wollen sollten. Stromabwärts einer Sperrung zu sitzen kostet Sie einen Rückbau nach fremdem Zeitplan. Wenn das Verlustpotenzial derart schief verteilt ist, reicht ein belegter Fall. Wir haben einen, datiert August 2026, und die Gesetzbücher sagen, dass er skaliert.

Häufige Fragen

Kann eine staatliche Einstufung als Lieferkettenrisiko auch Unternehmen treffen, die nur die Produkte des Anbieters nutzen?

Direkt nur dort, wo ein Rechtsinstrument greift: US-Behörden müssen die Nutzung von Claude einstellen, und Section 889 zeigt, dass Washington Auftragnehmer ausschließen kann, die einen erfassten Anbieter lediglich irgendwo im eigenen Geschäft nutzen. Darüber hinaus ist der Druck vertraglich und reputationsbezogen: durchgereichte Klauseln, Zertifizierungserneuerungen und die eigenen Lieferantenprüfungen Ihrer Kunden, die sich meist schneller bewegen als jedes Gesetz.

Was sollte Drittanbieter-Risikomanagement für KI zusätzlich zu Sicherheit und Preis abdecken?

Drei Dinge, die die meisten Rahmenwerke auslassen: Konzentration (wie viel geschäftskritischer Workflow von einem einzigen Modellanbieter abhängt), Portabilität (die ehrliche Zeit und die Kosten für einen Wechsel, samt Evaluierung und Nachschulung) und politische Exponiertheit (wie abhängig der Anbieter von Kunden ist, die die Macht haben, ihn zu sperren). Bewerten Sie diese je Workflow, nicht je Anbieter.

Beseitigt der Einsatz offener Modellgewichte das Ausschlussrisiko?

Es beseitigt eine Form der Exponiertheit, niemand kann selbst gehostete Gewichte abschalten, tauscht dafür aber andere ein: Sie übernehmen die Patch-, Evaluierungs- und Compliance-Arbeit, die zuvor der Anbieter geleistet hat, und jeder Hosting- oder Tooling-Zulieferer in Ihrem Stack kann weiterhin gesperrt werden. Das ist ein Tausch, keine Flucht.