Claude zieht dem Closed-Source-Lager einen weiteren Punkt ab.

Das geschlossene Quellcode-Lager hat wieder Punkte verloren, diesmal handelt es sich um ein nicht zu übersehendes Problem der Informationssicherheit.

In der frühen Morgenstunde des 26. Juli nach Peking-Zeit hat jemand auf Reddit einen Beitrag veröffentlicht: Wenn man bei Google nach site:claude.ai/share sucht, kann man direkt die privaten Chat-Nachrichten anderer Nutzer mit Claude abrufen, was gleichbedeutend damit ist, alle Kommunikationsaufzeichnungen der Nutzer direkt einzusehen.

Jemand hat eine Kryptowährungsbrieftasche mit privatem Schlüssel gefunden, nach dem Klicken zur Überprüfung stellte sich heraus, dass darin tatsächlich Guthaben vorhanden ist. Andere haben Inhalte ausgegraben, darunter Diskussionen von Anwälten über die Frage, ob Verstöße gegen die berufliche Ethik selbst gemeldet werden müssen, Lebensläufe, mutmaßliche Sozialversicherungsnummern, Zusammenfassungen klinischer Studien sowie ein Mitarbeiter eines großen Technologieunternehmens, dessen Name identifiziert werden kann.

Am Vormittag des 26. Juli verschwanden die entsprechenden Ergebnisse bei Google, während sie bei Bing und Brave noch verfügbar waren. Bis zum 28. Juli hat Anthropic keine einzige öffentliche Erklärung zu diesem Vorfall abgegeben.

Wenn dies in China passieren würde, wüsste ich gar nicht, wie die Sache zu einem guten Ende gebracht werden könnte.

Das Bild wurde von KI generiert

Wie ist die Datenleckage zustande gekommen

Die gängige technische Erklärung lautet: Anthropic hat keine Noindex-Tags für die Freigabeseiten festgelegt.

Die tatsächlichen Messergebnisse des Sicherheitsanalytikers Daniel J. Glover vom 26. Juli sind komplizierter als diese Aussage. Im Antwort-Header der Freigabeseiten ist X-Robots-Tag: none enthalten, was ungefähr „nicht indizieren“ bedeutet, aber diese Anweisung wurde durch Disallow in robots.txt blockiert. Dadurch wurde das Tag umgangen, und die Informationen wurden nackt im Internet veröffentlicht.

Das ist eigentlich ein Anweisungskonflikt zwischen Anthropic und Google selbst. In der offiziellen Dokumentation von Google ist festgelegt: Wenn ein Crawler nicht auf die Seite zugreifen kann, kann er das Noindex-Tag auf der Seite niemals lesen, was wiederum zum Versagen der Sicherheitsregeln führt.

Das Bild wurde von KI generiert

An welchem Tag dieses Noindex-Tag hinzugefügt wurde, lässt sich heute nicht mehr nachvollziehen. Anthropic hat der Internet Archive immer verboten, die Freigabeseiten zu erfassen, sodass auch keine historischen Schnappschüsse abgerufen werden können. Später ergaben Stichprobenprüfungen von Medien am 28. Juli, dass auf den Freigabeseiten kein Noindex-Tag vorhanden war, ein anderes Medium berichtete, dass Anthropic die Konfiguration erst nach dem Vorfall am 26. Juli aktualisiert und ergänzt hat.

Zusammengefasst ist der gesamte Vorfall zwar sehr kompliziert, aber das Ergebnis wirkt sehr unprofessionell, es herrscht ein absurdes Gefühl, dass niemand weiß, welche Anweisung Vorrang vor der anderen hat.

Aus der Sicht des Ergebnisses hat die geschlossene Quellcode-Linie diesmal tatsächlich große Punkte verloren. Es ist das vierte ähnliche Ereignis innerhalb eines Jahres. OpenAI und xAI hatten je einen Vorfall, Anthropic allein zwei, alle betreffen Anbieter von Closed-Source-Produkten. Der Grund liegt in der Struktur: Die Freigabefunktion von Closed-Source-Produkten läuft notwendigerweise auf den Servern des Anbieters, diese zentralisierte Pipeline wird zu einem Bereich, in dem der Anbieter die absolute Kontrolle hat, aber bei Problemen auch ins Kreuzfeuer gerät.

Im Vergleich dazu laufen Open-Source-Gewichtsmodelle auf dem eigenen Rechner des Nutzers, es gibt diese Pipeline nicht und damit auch keine entsprechende Angriffsfläche für Datenleckagen.

Die Open-Source-Linie ist in dieser Hinsicht tatsächlich voraus.

Womit war Amodei diese Woche beschäftigt

In derselben Woche, in der sich die Leckage verbreitete, war Dario Amodei, CEO von Anthropic, mit einer anderen Angelegenheit beschäftigt.

In diesen Tagen ist der Streit über die Entwicklungsrichtung von Open Source und Closed Source außerordentlich intensiv. Jensen Huang hat einen X-Account eröffnet, sein erster Tweet war ein gemeinsamer Brief zur Unterstützung von Open-Source-Gewicht-Modellen, der von 25 Unternehmen unterzeichnet wurde. Innerhalb weniger Tage verdoppelte sich die Liste auf 50 Unternehmen: OpenAI unterzeichnete am späten Freitagabend nach, Google folgte am Samstag, und Elon Musk teilte den Inhalt mit und gab seine Stellungnahme ab.

Amodei hat dies ganz offensichtlich ignoriert.

Am 27. Juli veröffentlichte Dario einen offenen Brief auf der offiziellen Website, dessen erster Satz fett markiert ist: "Anthropic hat sich nie für ein Verbot von Open-Weights-Modellen ausgesprochen."

Dieser Satz ist technisch korrekt, in seinen öffentlichen Äußerungen der letzten drei Jahre hat er tatsächlich nie ein vollständiges Verbot gefordert. Im Jahr 2023 sagte er, dass Open Source sich auf einem „sehr gefährlichen Weg“ befinde, mit der Begründung, man könne das Innere des Modells nicht einsehen, die Zusammenarbeit in der Gemeinschaft funktioniere nicht und große Modelle müssten in der Cloud ausgeführt werden.

Der Bumerang-Effekt tritt ein: Die Gemeinschaft hat diese Aussagen Punkt für Punkt widerlegt. Open-Source-Gewicht-Modelle werden zusammen mit den Trainingsskripten veröffentlicht, die Gemeinschaft hat Zehntausende von Fine-Tuning-Vorgängen durchgeführt, und das Ausführen von Qwen 3 auf Consumer-Grafikkarten ist alltäglich geworden.

Dann hat Kimi K3 seine Gewichte freigegeben, was die Wall Street schockiert hat – die ganze Welt steht kurz vor dem Zeitalter des umfassenden Open-Source.

Der eigentliche Inhalt von Amodeis offenem Brief besteht darin, drei Forderungen aufzustellen: Die Verschärfung des Embargos für Chips und Fertigungsanlagen gegen China, die Bekämpfung der industriellen Destillation sowie die verpflichtende Sicherheitsüberprüfung aller ausreichend leistungsstarken Modelle vor der Veröffentlichung, unabhängig davon, ob sie Open Source oder Closed Source sind. Die ersten beiden Punkte sind eindeutig ausgerichtet, der dritte lässt alle Details offen – wo die Grenze für „ausreichend leistungsstark“ gezogen wird, wer die Überprüfung durchführt und was passiert, wenn die Überprüfung nicht bestanden wird, all dies ist nicht geregelt.

Das Unternehmen, das am meisten Probleme verursacht hat, ist jedoch Anthropic selbst.

Schauen wir uns auch ihre bisherige Praxis im Umgang mit Daten an. Anthropic behauptet, Reddit seit Mai in die Blacklist für Crawler aufgenommen zu haben, aber die Audit-Protokolle der Plattform zeigen, dass ihre Roboter danach noch über hunderttausend Mal zugegriffen haben. Ein Richter stellte fest, dass Anthropic mindestens 7 Millionen Bücher heruntergeladen hat, obwohl es wusste, dass diese Raubkopien sind, und die Vergleichszahlung von 1,5 Milliarden US-Dollar wurde in der Woche des Leckagevorfalls gerade von einem Richter genehmigt. Decrypt hat zwei weitere Vorfälle aufgezeichnet: Seit April dieses Jahres verlangte das Unternehmen von einigen Nutzern die Vorlage von amtlichen Ausweisdokumenten, und im Juli haben Forscher entdeckt, dass Anthropic versteckte Verfolgungscodes in Claude Code stillschweigend entfernt hat.

Die Forschungsdichte von Anthropic im Bereich der Modellausrichtung ist tatsächlich höher als die der Konkurrenten, und der Ruf von Claude in Bezug auf Code-Arbeitsabläufe ist ebenfalls unbestritten. Das Problem liegt darin, dass „Sicherheit“ in diesem Unternehmen zunehmend wie ein Etikett zur Preisgestaltung nach außen wirkt: Es wird dem Kongress vorgebracht, um Einfluss auf die Regulierung zu gewinnen, es wird Unternehmenskunden vorgeführt, um Aufträge zu erhalten, und es wird der Öffentlichkeit präsentiert, um eine Bewertungsprämie von 900 Milliarden US-Dollar zu erzielen. Bei grundlegenden Ingenieurarbeiten, die niemandem vorgeführt werden müssen, blieb ein Fehler, den selbst ein SEO-Praktikant nicht begehen würde, zwölf Monate lang auf der Website unentdeckt.

Also wer definiert eigentlich, was Sicherheit ist?

Die Situation hat sich geändert

Erinnern Sie sich an den Vorfall mit dem Hack von Hugging Face vor ein paar Tagen?

Gestern hat Jensen Huang einen weiteren Tweet veröffentlicht, der 31.000 Likes erhielt und von LeCun geteilt wurde: Bei diesem Sicherheitsvorfall weigerten sich die führenden Closed-Source-Modelle, bei der Forensik zu helfen, schließlich half ein Open-Source-Gewicht-Modell, den Angriff zu kontrollieren.

NVIDIA hat am selben Tag die Mitgliederwand der Open Secure AI Alliance bekanntgegeben (Screenshot der X-Seite, erfasst am 28. Juli 2026)

Vor einer Woche war dies nur ein Streit über die richtige Entwicklungsrichtung. Heute ist die Situation völlig anders: Closed-Source-Modelle helfen in kritischen Momenten nicht, und Closed-Source-Unternehmen können normalerweise nicht einmal die Chat-Verläufe ihrer Nutzer schützen. Wenn jemand in Zukunft wieder behauptet, „Closed Source ist sicherer“, wird die erste Reaktion der Zuhörer sein, sich zuerst Claude anzusehen.

Der Streit zwischen Open Source und Closed Source ist zwar im Gange, aber die Probleme für Nutzer und Unternehmen sind real. Freigabelinks zeigen den Namen des Teilenden an, und die durchgesickerten Chat-Inhalte enthalten Verträge, Codes, Krankenakten und Kundeninformationen.

In Zukunft müssen alle Unternehmen, die Closed-Source-Modelle pro Sitzplatz einkaufen, eine weitere obligatorische Frage beantworten: Können die Freigabefunktionen zentral deaktiviert werden, können die Links widerrufen werden, und können die Crawler die Methoden zur Verhinderung der Indizierung tatsächlich lesen? Diese drei Fragen müssen die Vertriebsmitarbeiter von Anthropic künftig jedes Mal persönlich beantworten, vielleicht auch die Vertriebsmitarbeiter von OpenAI.

Anthropic selbst erlebte vier aufeinanderfolgende Vorfälle innerhalb von sieben Tagen: Die Genehmigung der 1,5-Milliarden-Dollar-Vergleichszahlung, ein weltweiter Ausfall aufgrund einer Zahlungslücke, die Chat-Datenleckage, die Abwesenheit von der gemeinsamen Unterzeichnungsliste und ein unüberzeugender Rechtfertigungsbrief. Die Kosten für die Verwendung der Aussage „Das sicherste KI-Unternehmen“ sind von nun an nicht mehr dieselben.