Trotz Geoblocking, Kreditkartenprüfung und teils verlangter biometrischer
Verifizierung floriert in China ein Graumarkt für Anthropics KI-Modelle.
Sogenannte Transferstationen untergraben Zugangssperren und grundlegende
Annahmen der KI-Sicherheit.
Anthropic betreibt unter den großen KI-Anbietern die wohl rigidesten
Zugangssperren gegen China. Telefonnummern, ausländische Kreditkarten,
Rechnungsadressen, ein Verbot für Firmen, die direkt oder indirekt zu mehr als
50 Prozent Unternehmen mit Sitz in nicht unterstützten Regionen wie China
gehören, und bei ausgewählten Nutzern sogar eine Identitätsprüfung mit Ausweis
und Live-Selfie.
Dennoch können chinesische Entwickler Claude-Tokens laut einer Analyse teils für
etwa zehn Prozent des offiziellen Preises kaufen. Das zeigt eine detaillierte
Analyse von , für ChinaTalk.
Anzeige
TRANSFERSTATIONEN ALS ZUGANGSSCHLÜSSEL
Der Schlüssel dazu sind sogenannte Transferstationen, wie die chinesische
Entwicklerszene API-Proxys nennt. Das sind Server im Ausland, die API-Anfragen
entgegennehmen, sie so weiterleiten, als kämen sie von einem legitimen Standort,
und die Antwort zurückspielen. Nutzer zahlen in chinesischen Yuan über WeChat
oder Alipay. Weder VPN noch ausländische Kreditkarte sind nötig. Prominente
Transferstationen werden in Community-Verzeichnissen katalogisiert und nach
Preis und Verfügbarkeit gerankt.
Anzeige
Genutzt werden diese Dienste laut Qian wohl von chinesischen KI-Laboren, , also
das Lernen aus den Ausgaben eines stärkeren Modells, um ein eigenes, schwächeres
Modell schneller zu verbessern.
Zu den Kunden zählen aber auch Studenten und Forscher, Entwickler,
Tech-Angestellte, Unternehmen, App-Anbieter und Hobbyisten. Qian argumentiert
deshalb, dass die in den USA vor allem als Sicherheitsproblem diskutierten
Proxy-Netzwerke Teil eines wesentlich breiteren kommerziellen Marktes für
Claude-Zugang in China sind.
Anzeige
DREISCHICHTIGE LIEFERKETTE MACHT DAS SYSTEM WIDERSTANDSFÄHIG
ist eine Transferstation ein Akteur in der Mitte einer modularen Lieferkette.
Vorgelagert operieren Account-Händler, die massenhaft Anthropic-Konten
registrieren, SMS-Verifizierungsplattformen für ausländische Telefonnummern und
Spezialisten für Rückentwicklung, die Anthropics Erkennungsmechanismen
analysieren. Nachgelagert stehen Entwickler, Unternehmen und Wiederverkäufer,
die den Zugang etwa auf der chinesischen Online-Handelsplattform Taobao
weitervermarkten.
Die meisten Beteiligten betreiben laut Qian nur ein oder zwei Glieder der Kette.
Das macht das System widerstandsfähig: Wenn ein Anbieter gesperrt wird, bleiben
die vorgelagerten Account-Pools und die nachgelagerte Kundschaft intakt. Ein
Ersatz lässt sich innerhalb von Stunden aufbauen.
Anzeige
Auch für Anthropics neue Identitätsprüfung nach dem KYC-Prinzip ("Know Your
Customer"), bei der ausgewählte Nutzer ihre Identität mit Ausweis und
Live-Selfie bestätigen müssen, existieren laut Qian bereits Umgehungsdienste und
einschlägige Infrastruktur. KI-Dienste können realistische gefälschte Ausweise
erzeugen, während Deepfake-Technik grundsätzlich dazu genutzt wird, biometrische
Prüfungen zu umgehen.
Anzeige
Wo das nicht reicht, werden Qian zufolge in solchen KYC-Märkten teils reale
Personen in einkommensschwachen Ländern für Verifizierungen rekrutiert. Diese
Angaben stützen sich allerdings unter anderem auf informelle Gespräche und die
Auswertung öffentlich verfügbarer Quellen. Als Präzedenzfall nennt sie den
Schwarzmarkt rund um Worldcoin, dessen Identitätssystem Nutzer per Iris-Scan
verifiziert. Scans aus Kambodscha und Kenia wurden laut Qian für unter 30 Dollar
gehandelt.
DAS GESCHÄFTSMODELL HINTER DEN BILLIGPREISEN
Doch wie erreichen die Anbieter Preise von 70 bis 90 Prozent unter dem
Listenpreis? Das Geschäftsmodell beruht auf mehreren Taktiken.
Die erste ist der Aufschlag auf den Zugang selbst. Betreiber farmen Anthropics
kostenloses 5-Dollar-Guthaben, nutzen Unternehmens- und Bildungsrabatte aus oder
teilen einen einzelnen 200-Dollar-Max-Plan per Token-Kontingent auf mehrere
Nutzer auf. Auch mit gestohlenen oder betrügerisch eingesetzten Kreditkarten
finanzierte Accounts könnten laut der Analyse in solche Pools einfließen. Wie
groß ihr Anteil ist, lässt sich jedoch nicht verlässlich beziffern.
Die zweite Taktik ist Modell-Tausch. Da der Proxy zwischen Nutzer und Anthropic
sitzt, kann er eine Anfrage, die an Opus 4.7 gerichtet ist, stillschweigend an
das günstigere Sonnet oder sogar an chinesische Modelle wie Qwen weiterleiten.
Forscher des deutschen untersuchten laut Qian 17 API-Proxys und fanden
weitverbreitetes Model-Swapping. Ein angeblicher "Gemini-2.5"-Zugang erreichte
auf einem Medizin-Benchmark nur 37 Prozent statt der offiziellen 83,82 Prozent.
In der chinesischen Community heißt das Phänomen "Verwässerung" (Diluting).
Die dritte und laut Qian möglicherweise wichtigste Taktik ist die Verwertung der
Nutzungsdaten. Jede Anfrage, die durch einen Proxy läuft, kann für dessen
Betreiber grundsätzlich einsehbar sein, darunter Prompts, Antworten,
Tool-Aufrufe und Iterationen. Bei Coding-Agenten kann zudem umfangreicher
Kontext aus der Codebasis und dem Arbeitsprozess anfallen. Solche Protokolldaten
könnten wertvolle Trainings- oder Destillationsdaten enthalten.
Auf HuggingFace kursieren bereits Datensätze mit
Claude-Opus-4.6-Reasoning-Outputs ohne klare Herkunftsangabe. Chinesische
Entwickler warnen laut der Analyse, dass das Token-Geschäft nur der
Kundenakquise diene und die eigentliche Marge in den Logs liege. Qian betont
jedoch, dass bislang nicht belegt ist, ob Transfer-Station-Betreiber solche
Daten systematisch sammeln und verkaufen und wer mögliche Abnehmer wären. Ihre
These lautet, dass gerade extrem niedrige Preise durch eine zusätzliche
Monetarisierung der Logs wirtschaftlich werden könnten. Nutzer wären in einem
solchen Szenario gleichzeitig zahlende Kunden und unbezahlte Datenproduzenten.
ZUGANGSSPERREN ERZEUGEN DIE MÄRKTE, DIE SIE VERHINDERN SOLLEN
Die Analyse kommt zu dem Schluss, dass die Implikationen weit über den . Die
Methoden, mit denen ein geoblockierter Entwickler Zugang erhält, seien
strukturell identisch mit denen, die ein böswilliger Akteur nutzen könnte, um
ohne Rückverfolgbarkeit auf Frontier-Modelle zuzugreifen.
Anthropic sieht bei einer über einen Proxy laufenden Anfrage zunächst dessen
Account und IP-Adresse statt unmittelbar den tatsächlichen Endnutzer. Das kann
auch Monitoring-Systeme wie Clio schwächen, die koordinierte Missbrauchsmuster
über Accounts und Konversationen hinweg erkennen sollen, insbesondere wenn
Aktivitäten auf viele Proxy-Accounts und einzeln unauffällige Teilanfragen
verteilt werden.
Zudem nähre die Umgehungsinfrastruktur kriminelle Märkte jenseits der KI:
Biometrische Daten, die für KYC-Umgehung gesammelt werden, ließen sich für
Finanzbetrug oder Deepfakes weiterverkaufen. Die Account-Farming-Operationen
stützten Spam, Phishing und Kreditkartenbetrug. Qian verweist darauf, dass
Zugangssperren historisch häufig profitable Umgehungsmärkte hervorgebracht
hätten, von der Großen Firewall bis zu den heutigen Transferstationen.
ANTHROPIC, OPENAI UND GOOGLE KÄMPFEN SEIT MONATEN GEGEN DESTILLATION
Für Anthropic ist diese Infrastruktur auch deshalb relevant, weil sie bereits
bei großangelegten Destillationsangriffen chinesischer KI-Unternehmen zum
Einsatz kam. Vor kurzem hatten Anthropic, OpenAI und Google begonnen, gemeinsam
.
Anthropic hatte zuvor von Deepseek, Moonshot und MiniMax aufgedeckt, bei denen
mehr als 24.000 gefälschte Accounts mehr als 16 Millionen Anfragen generierten.
Das Unternehmen und schloss das Tochtergesellschaften-Schlupfloch. Alibaba
wiederum , nachdem darin versteckter Code entdeckt worden war, der chinesische
Nutzer identifizieren konnte.
Zuletzt gab es in der Industrie jedoch vermehrt Stimmen, die Destillation
positiv und als normalen Industrievorgang bewerteten, geleitet von Interessen,
Open-Weight-Modelle zu stärken und die großen KI-Labore zu schwächen. Mark
Zuckerberg etwa erklärte das Lernen aus allem Beobachtbaren, einschließlich der
Destillation konkurrierender Modelle, . Ende Juli 2026 warnten 25 Unternehmen,
darunter Nvidia, Microsoft und Meta, .
Letztlich entsteht durch diese Gegenkraft ein Szenario, in dem die US-Regierung
wahrscheinlich nicht regulierend eingreifen wird. Den KI-Laboren bleibt es
überlassen, sich selbst zu schützen und ihre AGB durchzusetzen, etwa durch
entsprechende Schutzmaßnahmen. Doch die sind, wie Qians Bericht zeigt, offenbar
noch nicht gut genug und können durch zugegebenermaßen illegale Methoden
ausgehebelt werden, um letztlich dennoch an Destillationsdaten zu kommen.