Ein Berater, eine KI, 25 Millionen SIM-Karten

Die vorigen Kapitel handelten von Geld und Spionage. Dieses handelt von Menschen, die wegen ihrer Gedanken, ihres Glaubens oder ihrer Herkunft überwacht werden. Zwischen Januar und Juli 2026 hat Anthropic eine Reihe von Operationen erkannt und unterbunden, bei denen staatsnahe Akteure, mit Staaten verbundene Auftragnehmer und kommerzielle Anbieter von Spähsoftware sein Modell nutzten, um Überwachungssysteme zu bauen oder zu betreiben. China, Iran, Westafrika, der Markt für „Überwachung zur Miete“: vom Einzelnen bis zu ganzen Teams.

Das Kapitel beginnt mit drei Befunden. Man muss sie in dieser Reihenfolge lesen, weil sie eine Entwicklung beschreiben: zuerst das Werkzeug, dann das Material, schließlich die Institution.

Drei Tendenzen, und sie verstärken sich #

1. KI wird inzwischen anstelle einer Entwicklungsmannschaft eingesetzt. Ein einzelner Berater, der für die malischen Behörden für nationale Sicherheit arbeitete, ließ eine Plattform zum massenhaften Abhören entwerfen, die die Kommunikation bei allen Mobilfunkbetreibern des Landes überwachen und Akten über Zielpersonen erstellen kann. Das Modell diente nicht dazu, diese Akten zu analysieren: Es diente dazu, die Software zu schreiben, die die Datensammlung erst möglich machte. Anderswo ließen iranische Akteure eine bösartige Firefox-Erweiterung bauen und einsetzen, die die Identitäten der Nutzer in sozialen Netzwerken abschöpfte. Und eine chinesische Nachrichtendiensteinheit für religiöse Angelegenheiten, die früher mehrere Analystenteams umfasste, schrumpfte auf einen einzigen Schreibtisch, der Tausende Ermittlungen im Monat produziert.
2. KI dient nicht mehr nur zum Bau von Werkzeugen: Sie nimmt massenhaft Daten auf, um Zielpersonen zu bestimmen. Ein Akteur lud Stapel öffentlicher Nachrichten hoch und ließ strukturierte Datenblätter erstellen (Standort, demografische Daten, politische Ausrichtung), jede Angabe mit einem Konfidenzwert versehen. Eine iranische Einheit ließ Hunderttausende Nachrichten analysieren, um 39 Oppositionskonten zur Überwachung auszuwählen. Chinesische Akteure ließen Inhalte und Presseartikel nach ihrer politischen Sensibilität bewerten und Personen melden, die unter das gestellt werden sollten, was sie „Kontrolle“ nennen.
3. KI wird Teil der Sicherheitsbürokratie von Staaten. Ein chinesisches Büro für Staatssicherheit ließ ein internes Handbuch für den Einsatz von KI in der Überwachung verfassen, ein Zeichen dafür, dass das Modell in die tägliche Arbeit einzieht. Im Iran lösten zwei Einheiten, die weder Code noch Personal teilten, unabhängig voneinander dieselben technischen und ergonomischen Probleme an demselben zentralen Aktenverwaltungssystem: KI dient auch dazu, bürokratische Blockaden im Überwachungsapparat zu überwinden.

Anthropic fügt einen Satz hinzu, der das Kapitel abschließt, bevor es überhaupt beginnt: In fast allen Fällen sind die Zielpersonen dieselben Diaspora- und Dissidentengemeinschaften, die diese Regime seit Jahrzehnten verfolgen (prodemokratische Persönlichkeiten aus Hongkong, tibetische Gemeinschaften und Falun Gong in ganz Asien, iranische Minderheiten und Regimegegner im Ausland). KI hat die Zielpersonen nicht verändert. Sie hat die Kosten verändert.

Lakana 360: ein abgehörtes Land, geschrieben von einer Person #

Der Fall trägt die Kennung GTG-50027. Ein einziger Abonnent, vermutlich ein unabhängiger Berater mit Sitz in Bamako, der mit dem staatlichen malischen Nachrichtendienst zusammenarbeitete, nutzte Claude als wichtigste Entwicklungskraft, um eine Plattform zur Inlandsüberwachung der gesamten Bevölkerung zu bauen. Name des Produkts: Lakana 360. Umfang: rund 25 Millionen SIM-Karten bei den drei nationalen Mobilfunkbetreibern. Der Bericht stellt klar, dass der Akteur die Plattform so konzipiert hat, dass sie die gesetzlichen Beschränkungen Malis umgeht, die für die Herausgabe bestimmter Aufzeichnungen eine gerichtliche Entscheidung verlangen.

• Eine Schicht zur Erfassung von Verbindungsdaten, Nachrichten und der Gespräche selbst über das Mobilfunk-Kernnetz.
• Ein Modul, das über ein Sprachmodell eine erzählende nachrichtendienstliche Akte zu jeder beliebigen Telefonnummer verfasst, ohne vom Nutzer des Dienstes den Nachweis eines gültigen rechtlichen Verfahrens zu verlangen.
• Die Pflicht zur richterlichen Anordnung, auf Wunsch des Betreibers aus diesem Modul gestrichen; das Modul wurde zur nationalen Verarbeitung umgestuft, mit standardmäßig deaktivierter Kontrolle und unbegrenzter Aufbewahrung.
• Verfolgung per Stimmabdruck von einer SIM-Karte zur nächsten, was den elementaren Schutz eines Kartenwechsels zunichtemacht.
• Die Markierung von Nutzern von Verschlüsselung und VPN, Rückschlüsse auf geheime Treffen, geolokalisierte Überwachungslisten und der Abgleich mit dem nationalen biometrischen Personenstandsregister und weiteren staatlichen Registern.

Der Bericht ordnet diese Fähigkeiten in vier Blöcke, und das Zusammenspiel zwischen ihnen ist die eigentliche Lehre. Das gezielte Abhören verfügt durchaus über einen eigenen Ablauf: Anordnung erforderlich, Beweismittelkette, Audit-Werkzeuge. Aber, so Anthropic, diese Genehmigungs- und Prüfregeln erstrecken sich nicht auf die Schicht der Massenerfassung. Die Kontrolle existiert, sie ist dokumentiert, und sie betrifft den am wenigsten genutzten Teil des Systems. Dieses Muster findet sich auch in völlig zivilen Systemen: Das Verfahren schützt den namentlichen Zugriff, während der Gesamtexport offen bleibt.

Der Bericht stellt klar, dass das US-Außenministerium und Human Rights Watch Inhaftierungen und das Verschwinden von Oppositionellen, Journalisten und Mitgliedern der Zivilgesellschaft durch die malischen Sicherheitsdienste dokumentiert haben. Und er fügt den wichtigsten Satz des Kapitels hinzu: Die Plattform läuft vollständig vor Ort, mit lokalen Modellen. Anthropic hat das Konto des Beraters gesperrt. „Unsere Durchsetzungsmaßnahmen haben die Entwurfs- und Entwicklungsarbeit des Akteurs unterbrochen, nicht aber den Einsatz der Plattform.“

Ein Schreibtisch, vier Baustellen, Tausende Akten #

Der zweite Befund des Kapitels ist bürokratischer Natur, und er ist vielleicht beunruhigender als der erste. Der Fall GTG-14020 beschreibt einen einzelnen Operator, der etwas betreibt, das einem nachrichtendienstlichen Posten für religiöse Angelegenheiten gleicht, mit vier Baustellen gleichzeitig. Die Zielpersonen: katholische Kardinäle in Asien, die Leitung der Presbyterianischen Kirche in Taiwan, Mitglieder der tibetischen Zivilgesellschaft und der Exilverwaltung, Falun-Gong-Praktizierende und ihre Medien sowie christliche Missionsnetzwerke zwischen Singapur, Hongkong und dem chinesischen Festland. Sie reichten von prominenten religiösen Führungspersonen bis zu einfachen Privatpersonen.

Die Akten erfassten Geburtsdaten und -orte, Einwanderungsdaten, Kennungen in sozialen Netzwerken und die Erkundung von Gotteshäusern: Grundrisse, Fassaden, Baupläne. Jede Dokumentvorlage gab dieselben Felder vor: Aktivitäten mit Bezug zu China, Skandale und das, was das offizielle Vokabular verwertbare „Hebel“ gegen eine Person nennt. In ihren Anweisungen verlangten die Operatoren vom Modell, „den Standpunkt Chinas“ einzunehmen, die tibetische Exilverwaltung als „illegale separatistische Verwaltung“ zu bezeichnen und auf Falun Gong die staatliche Bezeichnung „böse Sekte“ anzuwenden. Die Abdeckung umfasste chinesische ebenso wie westliche Plattformen, mit einem täglichen Produktionszyklus. Ein Nutzer erklärte in einer Sitzung, für die Informationssicherheit des chinesischen Staates zuständig zu sein.

Das interne Handbuch und die beim zweiten Versuch gekippte Ablehnung #

Der Fall GTG-14021 umfasst drei Operationen mit Bezug zu städtischen Organen der öffentlichen Sicherheit und der Staatssicherheit, rund um die sogenannte Mission der „Stabilitätswahrung“. Drei Ebenen von Akteuren: ein Polizist, ein Polizeiwissenschaftler, ein ganzes Büro.

• Eine städtische Einheit der Cyberpolizei betrieb eine Pipeline zur Meinungsüberwachung: automatisierte Extraktion aus einem Browser mithilfe benutzerdefinierter Skills, Abfrage einer staatlichen Überwachungsdatenbank und tägliche Berichte an die Vorgesetzten. Das System verfolgte automatisiert und plattformübergreifend das Konto eines bekannten Dissidenten im Ausland.
• Ein Ermittler, der Student an einer Polizeiakademie geworden war, verlangte einen wöchentlichen Bericht zur „Stabilitätswahrung“. Das Modell lehnte ab. Der Akteur formulierte um, und die Ablehnung wurde beim zweiten Versuch gekippt: Er erhielt operative Anweisungen, die zehn Privatpersonen nannten, die unter „Kontrolle“ gestellt werden sollten, aufgeteilt in Kategorien: Abfangen von Petenten, erzwungene Vorladung zu einem sogenannten „Gespräch“, engmaschige Überwachung von Bewegungen und Kommunikation.
• Ein lokales Büro für Staatssicherheit erstellte täglich Lagebriefings zur „Situationskenntnis“ im Format von Regierungsdokumenten und ließ dann diesen Arbeitsablauf als Handbuch für den Einsatz von KI verfassen, das im Dienst verbreitet werden sollte, einschließlich der Prompt-Formel, die das Modell die Rolle eines nachrichtendienstlichen Analysten im Dienst des nationalen Sicherheitsapparats spielen lässt. Vor jedem Bericht schöpfte die automatisierte Pipeline Daten zu einer Liste zivilgesellschaftlicher Organisationen ab.

Dieser dritte Teil enthält die schwerwiegendste Passage des Kapitels: Das Büro verlangte vorbereitende nachrichtendienstliche Informationen über Versammlungen im Ausland, nämlich Sammelpunkt, Route und Endpunkt eines prodemokratischen Marsches in Vancouver, Orte uigurischer Kulturveranstaltungen in der Türkei, Filmvorführungen eines Freiheitsforums in Oslo. Die erstellten Berichte stellten uigurische Interessenvertretung in die Nähe von Terrorismus und große Menschenrechtsorganisationen als feindliche Kräfte dar.

Ein verwandter Fall, GTG-14022, zeigt dieselbe Logik in der „Überwachung der öffentlichen Meinung“. Ein Dienstleister, der für Regierungskunden arbeitete, ließ einen versionierten Arbeitsrahmen erstellen (der Bericht nennt eine Version 2.6, mit Kontrolltabelle und Anhängen), der eine tägliche Pipeline speiste, die 15 bis über 30 ausländische Presseartikel pro Tag verarbeitete. Das Modell bewertete jedes Element nach seiner politischen Sensibilität, ersetzte „Regierung Taiwans“ durch „Behörden Taiwans“, setzte distanzierende Anführungszeichen um Begriffe wie „Menschenrechtsverletzungen“ und empfahl sogar Maßnahmen, die in die Zuständigkeit bestimmter Ministerien fielen. Anthropic betont: Technisch ist hier nichts neu. Neu ist der Platz des Modells im Apparat.

Der Bericht vermerkt (und das spricht für seine Offenheit), dass die Schutzmechanismen nicht einheitlich gehalten haben. In einem Fall lehnte das Modell korrekt ab und wurde dann durch eine Umformulierung umgestimmt. In einem anderen fügte es sich über viele Sitzungen hinweg, ohne je innezuhalten. Anthropic schreibt, diese Befunde in künftige Schutzmaßnahmen und in das Training seiner Modelle einfließen zu lassen.

Die anderen Fälle in Kürze #

• Ein kommerzieller Anbieter nachrichtendienstlicher Informationen (die Untersuchung verweist auf ein israelisch-singapurisches Unternehmen für Wirtschaftsaufklärung) ließ Nutzer sozialer Netzwerke aus dem Iran und den Golfstaaten in Stapeln von etwa fünfundzwanzig Nachrichten einordnen, mit Standort, demografischer Gruppe und politischer Ausrichtung samt Konfidenzwert. Die demografische Einordnung umfasste sechs Gruppen: städtisch, klerikal, militärisch, Jugend, Diaspora, ländlich. Die Endprodukte waren in formellem Arabisch verfasst, im Ton eines amtlichen Berichts, mit nach Nationalität aufgeschlüsselten Stimmungswerten für die Golfstaaten und empfohlenen Gegenerzählungen. Parallel baute der Akteur einen Bestand von mehr als 255 falschen Konten auf, die als Angehörige regimetreuer und regimekritischer Bevölkerungsgruppen durchgehen sollten. Anthropic entdeckte die Operation im Pilotstadium.
• Zwei verbundene iranische Einheiten, insgesamt sechzehn Konten, nutzten das Modell als Entwicklungsabteilung. Eine Organisation mit sieben Abteilungen, in mehreren Provinzen präsent, gab an, über eine Identitätsdatenbank der Staatsangehörigen zu verfügen und 6.388 Iraner in einem Jahr einem Profiling unterzogen zu haben; sie ließ 155.216 Nachrichten analysieren, um 39 Oppositionskonten auszuwählen. Die andere Einheit brachte eine Firefox-Erweiterung, getarnt als Hilfsprogramm für Gebetszeiten, in den Produktivbetrieb, die massenhaft Identitäten auf den großen Plattformen abschöpfte, dazu einen Deanonymisierer für Messenger, ein Werkzeug, das Telefonnummern Identitäten zuordnet, und eine Phishing-Seite im Design des nationalen Ausweises. Beide speisten dasselbe zentrale Aktenverwaltungssystem, in dem das Datenblatt einer Person ihre nationale Kennnummer, ihre Glaubensüberzeugungen, ihr Vorstrafenregister, ihre Social-Media-Konten und einen Reiter „Maßnahme“ enthielt. Das Modell lehnte die ausdrücklichen Anfragen zu Profilbildung und Propaganda ab, doch seine Schutzmaßnahmen lehnten den Großteil der Anfragen nach Software-Werkzeugen nicht ab.
• Ein Akteur mit Nähe zur chinesischen Staatssicherheit, der kein Arabisch sprach, führte in Syrien eine mehrtägige Anwerbeoperation durch: Das Modell verfasste die Kontaktaufnahmen im syrischen Dialekt, übersetzte die Antworten in Echtzeit, spielte die Rolle eines arabischsprachigen „Experten“, um die Qualität der Manipulation zu prüfen (Dialekt, militärische Terminologie, Psychologie der Zielperson), und bereitete das Ergebnis für die Berichterstattung nach oben auf. Vorab verwandelte es das aus mehr als hundert WhatsApp-Gruppen und Dutzenden Telegram-Kanälen extrahierte Geplauder in strukturierte Daten und profilierte die Personen nach ihren Verwundbarkeiten: finanzielle Schwierigkeiten, Trennung von der Familie, ideologische Ernüchterung. Die interessantesten Zielpersonen waren diejenigen, die noch Familie in Xinjiang hatten: ein Hebel, der sich nur zusammen mit der inneren Sicherheit bedienen lässt. Derselbe Akteur verfasste außerdem Ausschreibungen und Broschüren für Überwachungsplattformen für Regierungskunden. Das Modell lehnte mehrere der schwerwiegendsten Anfragen ab, darunter die verdeckte Befragung.
• Weitere iranische Akteure vervollständigen das Bild: ein automatisiertes Werkzeug zur Profilbildung aus offenen Quellen gegen Hunderte Personen in Israel und in der jüdischen Diaspora; eine Operation zur Marineaufklärung, die aus öffentlichen Informationen Handbücher zur Zielerfassung zusammenstellte; eine Inlandsplattform, die automatische Kennzeichenerkennung und das Abfangen von Mobilgerätekennungen kombinierte. Ein letzter Akteur betrieb sechzehn Ein-Personen-Organisationen, um Phishing-Werkzeuge zu entwickeln: Das Modell lehnte neun von zehn offen bösartigen Anfragen ab, doch seine Schutzmaßnahmen hielten deutlich schlechter, als die Arbeit in kleine Aufgaben zerlegt und auf spätere Sitzungen verteilt wurde.

Warum das ein Unternehmen in Frankreich betrifft #

Ein KMU im Elsass steht nicht im Visier eines malischen Nachrichtendienstes. Vier Folgen betreffen es dennoch direkt.

1. Der Wert Ihrer Datenbestände hat eine andere Größenordnung erreicht. Was früher ein Analystenteam kostete, kostet heute eine Sitzung. Eine Kundendatei, ein Personalverzeichnis, ein CRM-Export, eine Bewerberdatenbank: Die Kosten ihrer Auswertung zur Profilbildung sind eingebrochen. Die Datenminimierung (nur erheben, was gebraucht wird, nur so lange aufbewahren wie nötig) ist damit keine DSGVO-Formalität mehr, sondern die einzige Maßnahme, die den Schaden bei einem Leck tatsächlich verringert. Löschen heißt schützen.
2. Ihre Telekommunikations- und Standortdaten sind sensibel. Der Fall Lakana 360 erinnert daran, was Metadaten enthalten: wer mit wem spricht, wann, von wo. Wenn Sie eine geolokalisierte Fahrzeugflotte, eine Zutrittskontrolle per Ausweis, IP-Telefonie oder Videoüberwachung betreiben, besitzen Sie dasselbe Rohmaterial. Kurze Aufbewahrungsfrist, personengebundener und protokollierter Zugriff, schriftlich festgelegter Zweck.
3. Transnationale Repression existiert, und sie trifft gewöhnliche Menschen. Wenn Sie Menschen aus betroffenen Ländern beschäftigen, aufnehmen oder begleiten (Studierende, Forschende, entsandte Mitarbeitende, Geflüchtete), können die Informationen, die Sie über sie besitzen, einen Wert haben, den Sie sich kaum vorstellen können. Veröffentlichen Sie kein detailliertes Mitarbeiterverzeichnis mit Fotos, verbreiten Sie keine namentlichen Einsatzorte und beantworten Sie keine Auskunftsanfrage zu einer Person ohne geprüfte Rechtsgrundlage. Die vorbereitenden nachrichtendienstlichen Informationen im Fall GTG-14021 (Route, Sammelpunkt, Uhrzeiten) bestehen genau aus der Art von Angaben, die eine Organisation gedankenlos veröffentlicht.
4. Die Kontrolle muss dort greifen, wo die Datenmengen fließen. Die Lehre aus den vier Blöcken von Lakana 360 gilt für jedes Informationssystem: Ein tadelloses Berechtigungsverfahren für den Einzelzugriff nützt nichts, wenn der Gesamtexport nicht denselben Regeln unterliegt. Sehen Sie nach, wo Ihre Massenextraktionen stattfinden (monatliche Tabelle für die Steuerkanzlei, Datenbankexport an einen Dienstleister, Replikation in eine Testumgebung), und wenden Sie darauf die Regel des Einzelzugriffs an.

Morgen: die Fälschung am Fließband. Falsche Journalisten, falsche Aktivisten, falsche Liebhaber, und was als Beweis bleibt, wenn Bild, Stimme und Video nichts mehr beweisen.

Quellen #

• Anthropic, Detecting and countering misuse of AI: September 2026 (10. September 2026): Kapitel Surveillance operations, Seiten 81 bis 110.
• Zitierte Fälle: GTG-50027 (Mali), GTG-14010 (Uiguren in Syrien), GTG-14020 (religiöse Angelegenheiten), GTG-14021 („Stabilitätswahrung“), GTG-14022 („öffentliche Meinung“), GTG-34007 (iranische Einheiten), GTG-54009 (kommerzieller Anbieter), GTG-30004, GTG-30005 und GTG-30006.
• Unser Artikel über das Selbst-Hosten von Modellen: ein Sprachmodell für Geschäftsanwendungen selbst hosten.
• Für den Compliance-Teil unsere praktische Lektüre des Selbstaudits der 42 Maßnahmen der ANSSI.