Distillation Campaigns:
Modellwahl ist Vertrauenswahl

Wer KI-Modelle für sein Unternehmen auswählt, trifft gleichzeitig eine Datenpolitik-Entscheidung. Anthropic wirft drei chinesischen KI-Labs vor, im industriellen Maßstab Wissen aus dem eigenen Modell Claude extrahiert zu haben — über rund 24.000 betrügerisch angelegte Konten und mehr als 16 Millionen API-Anfragen (Anthropic, 23.02.2026). Für den Mittelstand bedeutet das: Die eigene Multi-Modell-Strategie braucht neben Preis und Leistung einen dritten Filter — einen Trust-Layer.

Was wirft Anthropic DeepSeek, Moonshot und MiniMax vor?

Am 23. Februar 2026 veröffentlichte Anthropic einen Bericht unter dem Titel „Detecting and preventing distillation attacks". Darin gibt das Unternehmen an, „industrial-scale campaigns" durch drei KI-Labore identifiziert zu haben: DeepSeek (Hangzhou), Moonshot AI (Beijing) und MiniMax (Shanghai).

Nach Anthropics eigenen Angaben sollen die drei Labs über ein Netzwerk aus rund 24.000 betrügerisch angelegten Konten insgesamt mehr als 16 Millionen API-Anfragen an Claude gerichtet haben. Anthropic beschreibt die Infrastruktur als „Hydra-Cluster": Ein einzelnes Proxy-Netzwerk habe gleichzeitig mehr als 20.000 Konten verwaltet und Distillation-Traffic gezielt mit legitimen Kundenanfragen gemischt, um die Erkennung zu erschweren.

Anthropic gibt an, die Kampagnen über IP-Korrelation, Request-Metadaten, Infrastruktur-Indikatoren und ein Verhaltens-Fingerprinting-System identifiziert zu haben. Das Unternehmen formuliert selbst „We have identified" — es handelt sich um Anthropics eigene Analyse, nicht um ein externes Audit oder eine behördliche Feststellung.

Bis zum 23. Juni 2026 liegt weder ein Gerichtsurteil noch eine Behörden-Anordnung zu diesen Vorwürfen vor. Eine öffentliche Stellungnahme der drei genannten Labs war zum Zeitpunkt der Recherche nicht auffindbar.

Was ist Distillation bei KI-Modellen?

Model Distillation ist ein anerkanntes Verfahren in der KI-Forschung. Ein kleineres „Student"-Modell wird auf den Ausgaben eines größeren „Teacher"-Modells trainiert, statt von Grund auf neue Daten zu verarbeiten. Das Ergebnis: weniger Rechenleistung, geringere Kosten und schnellere Entwicklungszyklen. Anthropic definiert den Begriff als „a technique called 'distillation,' which involves training a less capable model on the outputs of a stronger one."

Was Anthropic als „Distillation Campaign" bezeichnet, geht nach eigener Darstellung über die legitime Methode hinaus. Es handle sich um gezielte, massenhafte Prompt-Eingaben an Claude über betrügerisch angelegte Konten, um die Outputs anschließend als Trainingsdaten für eigene Modelle zu verwenden. Dies sei entgegen Anthropics Nutzungsbedingungen und entgegen regionaler Zugangsbeschränkungen geschehen — Claude ist in Festland-China nicht offiziell verfügbar.

Welche Labs sind betroffen — und wer steckt dahinter?

DeepSeek (Hangzhou)

Gegründet im Juli 2023 von Liang Wenfeng, Co-Gründer des Hedgefonds High-Flyer. Aktuelle Modelle: DeepSeek-V3 (671 Milliarden Parameter, Mixture-of-Experts-Architektur), DeepSeek-R1 und DeepSeek-V4 Preview (April 2026). Die Modelle sind Open Weight — frei herunterladbar und auf eigener Infrastruktur betreibbar.

In der EU laufen seit Anfang 2025 Datenschutzverfahren in Italien, Irland, Belgien, den Niederlanden und Frankreich. Italien blockierte zeitweise die App-Store-Variante. Anthropic ordnet DeepSeek nach eigenen Angaben mehr als 150.000 API-Exchanges zu, mit Fokus auf Reasoning und Grading.

Moonshot AI / Kimi (Beijing)

Gegründet im März 2023 von Yang Zhilin, Zhou Xinyu und Wu Yuxin. Aktuelle Modelle: Kimi K2.5 (Open Weights, Januar 2026) und Kimi K2.6 (April 2026, Agentic-Coding-Fokus). Bewertung rund 18 Milliarden USD (April 2026), Hongkong-IPO im Gespräch.

Anthropic ordnet Moonshot nach eigenen Angaben mehr als 3,4 Millionen API-Exchanges zu, mit Fokus auf Agentic Reasoning, Coding und Computer Vision.

MiniMax (Shanghai)

Gegründet 2021 von Yan Junjie (ex-SenseTime). Hongkong-IPO im Januar 2026 bei einer Bewertung von rund 6,5 Milliarden USD. Investoren unter anderem Alibaba und Tencent. Aktuelle Modelle umfassen MiniMax-M3.0 (Juni 2026), multimodal einsetzbar für Text, Bild, Video und Audio — die Video-Plattform Hailuo AI gilt als Sora-Konkurrent.

Anthropic ordnet MiniMax den größten Anteil zu: mehr als 13 Millionen API-Exchanges, Schwerpunkt auf Agentic Coding und Tool Use.

Was bedeutet das für die Datenpolitik im Mittelstand?

Die Vorwürfe sind ein konkreter Anlass, eine grundsätzliche Frage zu stellen: In welchen Datenraum fließen Unternehmensdaten, wenn ein bestimmtes KI-Modell genutzt wird?

Westliche Frontier-Labs (Anthropic, OpenAI, Google, Microsoft) bieten einen EU-Vertragsrahmen. Auftragsverarbeitungsverträge (AVV) sind verfügbar, EU-Hosting-Optionen existieren, und Standardvertragsklauseln sind anwendbar. Der DSGVO-Rahmen ist einklagbar — auch wenn er nicht perfekt ist.

Chinesische KI-Modelle (DeepSeek, Kimi, MiniMax) sind leistungsfähig und häufig günstiger. Im gehosteten Standardangebot liegt das Datenverarbeitungsland jedoch in China. Laut DeepSeeks eigener Privacy Policy werden Nutzerdaten auf Servern in der Volksrepublik China gespeichert. Chinas National Intelligence Law (Artikel 7) verpflichtet chinesische Organisationen zur Mitwirkung an staatlicher Aufklärung. Ein EU-Adäquatheitsbeschluss für China existiert nicht, ein Auftragsverarbeitungsvertrag nach EU-Standard fehlt bei den gehosteten Standardangeboten.

Das bedeutet nicht, dass chinesische KI-Modelle pauschal unbrauchbar wären. Open-Weight-Modelle wie DeepSeek-V3 lassen sich auf eigener EU-Infrastruktur betreiben — die Daten verlassen dann den eigenen Rechtsraum nicht. Wer ein Open-Weight-Modell auf einem deutschen oder europäischen Server hostet, unterliegt ausschließlich EU-Recht — unabhängig davon, wo das Modell ursprünglich entwickelt wurde.

Der entscheidende Unterschied liegt also im Bereitstellungsweg, nicht in der Herkunft des Labs. Die aktuellen Marktanteile im Multi-Modell-Feld zeigen, dass Unternehmen zunehmend mehrere Modelle parallel einsetzen — umso wichtiger wird die Frage, welche Daten in welches Modell fließen dürfen.

Praktischer Entscheidungsrahmen: Multi-Modell mit Trust-Layer

Modellwahl ist Vertrauenswahl. Statt ein einzelnes Modell zum Standard zu erklären, empfiehlt Amazing Agents einen dreistufigen Entscheidungsrahmen:

Stufe 1 — Datenklassifikation: Welche Daten fließen in den Prompt? Öffentliche Informationen (Produktbeschreibungen, FAQ-Texte, Marketingmaterial) erfordern einen geringeren Schutzrahmen als Kundendaten, Kalkulationen oder interne Prozessbeschreibungen.

Stufe 2 — Bereitstellungsweg prüfen: Für jeden Use Case klären: Wird ein gehostetes Cloud-Modell genutzt — und wenn ja, wo liegen die Daten? Steht ein Modell mit EU-Hosting-Option zur Verfügung? Oder bietet sich ein Open-Weight-Modell auf eigener Infrastruktur an?

Stufe 3 — Vertragsrahmen sichern: Liegt ein Auftragsverarbeitungsvertrag (AVV) vor? Sind Standardvertragsklauseln anwendbar? Gibt es eine dokumentierte Löschfrist? Ist das Modell in einem Rechtsraum gehostet, der einen EU-Adäquatheitsbeschluss hat?

Dieser Rahmen schließt kein Modell pauschal aus. Er stellt sicher, dass sensible Unternehmensdaten nur in Modelle fließen, deren Vertragsrahmen und Hosting dem Schutzbedarf entsprechen. In der Praxis bedeutet das: Für eine öffentliche FAQ-Generierung kann ein günstiges Open-Source-Modell die richtige Wahl sein. Für die Analyse von Kundendaten oder internen Finanzberichten braucht es ein Modell mit AVV und EU-Hosting.

Amazing Agents unterstützt Mittelständler dabei, diesen Trust-Layer in bestehende Multi-Modell-Strategien zu integrieren — in einem 30-minütigen Audit.

Häufige Fragen zu Distillation, KI-Modellwahl und Datenschutz

Sind chinesische KI-Modelle wie DeepSeek sicher für meine Geschäftsdaten?

Das hängt vom Bereitstellungsweg ab. Im gehosteten Standardangebot fließen Daten auf Server in China — dort gilt kein EU-Adäquatheitsbeschluss, und Chinas National Intelligence Law (Artikel 7) verpflichtet zur Kooperation mit Behörden. Open-Weight-Modelle auf eigener EU-Infrastruktur sind anders bewertbar, weil die Daten den eigenen Rechtsraum nicht verlassen.

Was bedeutet Distillation bei KI-Modellen?

Distillation ist eine Trainingsmethode, bei der ein kleineres Modell auf den Outputs eines größeren trainiert wird. Grundsätzlich ist das ein legitimes Verfahren. Anthropic wirft den drei genannten Labs vor, diese Methode ohne Erlaubnis und über betrügerisch angelegte Konten im industriellen Maßstab angewendet zu haben.

Welches KI-Modell ist DSGVO-konform für den Mittelstand?

Es gibt keine pauschale Antwort. Westliche Frontier-Modelle mit EU-Hosting-Option und Auftragsverarbeitungsvertrag (AVV) bieten den derzeit stärksten DSGVO-Rahmen. Chinesische Modelle im gehosteten Standardangebot sind ohne zusätzliche Schutzmaßnahmen nicht DSGVO-konform einsetzbar. Entscheidend ist die Kombination aus Datenklassifikation und Bereitstellungsweg.

Was wirft Anthropic DeepSeek, Moonshot und MiniMax konkret vor?

Anthropic gibt an, dass die drei Labs über rund 24.000 betrügerische Konten mehr als 16 Millionen API-Anfragen an Claude gerichtet haben sollen, um Claude-Outputs als Trainingsdaten zu nutzen. Der Bericht stammt vom 23. Februar 2026. Bis zum 23. Juni 2026 liegt kein Gerichtsurteil und keine öffentliche Stellungnahme der genannten Labs vor.

Darf ich DeepSeek im Unternehmen einsetzen?

Ein Pauschalverbot greift zu kurz. Entscheidend ist die Kombination: Datenklassifikation (öffentlich, intern, sensibel) × Bereitstellungsweg (gehostet China, gehostet EU-Cloud, self-hosted Open Weights). Für öffentliche Daten auf EU-Infrastruktur spricht wenig dagegen. Für sensible Kundendaten über den gehosteten China-Dienst spricht der fehlende DSGVO-Rahmen klar dagegen.