Am 12. Juni 2026, um 17:21 Uhr Ortszeit Washington, erreichte Anthropic eine Anweisung der US-Regierung: Der Zugang zu den Spitzenmodellen Claude Fable 5 und Claude Mythos 5 sei unverzüglich für sämtliche Kunden weltweit zu sperren – auch außerhalb der USA, auch für die eigenen ausländischen Mitarbeiter. Rechtsgrundlage nach Anthropics Darstellung: Exportkontrolle, gestützt auf nationale Sicherheitsbefugnisse, ohne konkrete Begründung. Drei Tage zuvor hatte ich an dieser Stelle über die Trennlinie geschrieben, die Anthropic selbst durch sein stärkstes Modell gezogen hatte – die Mauer zwischen frei verfügbarer und zugangsbeschränkter Fähigkeit. Diese Mauer hat nun eine zweite Seite bekommen.
Bemerkenswert ist nicht, dass ein Modell vorübergehend verschwindet. Bemerkenswert ist, wer den Schalter umlegen kann: nicht der Markt, nicht der Anbieter, sondern ein Staat – per Brief, über Nacht, ohne offengelegtes Verfahren. Für ein europäisches Finanzinstitut ist das keine Tech-Randnotiz. Es ist die Frage, auf wessen Wohlwollen die Verfügbarkeit einer kritischen Fähigkeit beruht. Und die Antwort, die der 12. Juni gibt, sollte unbequem sein.
Was: Die US-Regierung ordnet am 12. Juni 2026 per Exportkontroll-Anweisung an, den Zugang zu Claude Fable 5 und Mythos 5 weltweit für alle Kunden zu sperren (nach Anthropics Darstellung)
Reichweite: gilt für sämtliche Nutzer, auch außerhalb der USA und für ausländische Anthropic-Mitarbeiter; alle übrigen Anthropic-Modelle bleiben verfügbar
Begründung: nationale Sicherheitsbefugnisse, ohne konkrete Details; Anthropic vermutet die Sorge vor einer Methode, das Modell zu „jailbreaken"
Anthropics Position: ein enger, nicht-universeller Jailbreak; die gezeigte Fähigkeit sei breit verfügbar, auch über OpenAIs GPT-5.5; man halte die Anordnung für ein Missverständnis
Präzedenz: bei branchenweiter Anwendung würde dieser Maßstab nach Anthropic „praktisch jede neue Modellauslieferung jedes Frontier-Anbieters stoppen"
Status: Anthropic befolgt die Anweisung, kündigt binnen 24 Stunden Details an und will den Zugang so bald wie möglich wiederherstellen
Ein Brief um 17:21 Uhr
Das Unternehmen, dem hier der Schalter umgelegt wurde, ist kein Start-up am Rand des Marktes. Anthropic hat Anfang Juni vertraulich Unterlagen für einen Börsengang eingereicht, zuletzt bewertet mit rund 965 Milliarden US-Dollar – einer der größten anstehenden Börsengänge der Tech-Geschichte. Genau dieses private Unternehmen wird per Exekutiv-Anweisung gesteuert, sein bisher leistungsfähigstes Modell für hunderte Millionen Nutzer abgeschaltet, über Nacht. Dass ein Staat eine solche Fähigkeit beanspruchen kann, ist begründbar. Dass er es ohne offengelegte Sachgrundlage und ohne geregeltes Verfahren tut, ist der eigentliche Vorgang.
Anthropic befolgt die Anweisung, widerspricht ihr aber deutlich. Der gezeigte Jailbreak bestehe im Kern darin, das Modell einen bestimmten Code lesen und Schwachstellen beheben zu lassen – eng, nicht universell, mit geringfügigen Lücken, die sich auch in anderen öffentlich verfügbaren Modellen ohne jeden Trick finden ließen. Die Fähigkeit dahinter sei breit verfügbar, ausdrücklich auch über OpenAIs GPT-5.5, und werde täglich von genau den Verteidigern genutzt, die Systeme schützen. Perfekte Jailbreak-Resistenz, so Anthropic, sei für keinen Anbieter derzeit möglich. Man halte die Anordnung für ein Missverständnis.
Festzuhalten ist: Diese Darstellung stammt vollständig von Anthropic. Die US-Regierung hat ihre Sorge öffentlich nicht ausgeführt. Wir hören also bislang nur eine Seite – und genau das ist Teil des Problems. Wenn der Zugang zu kritischer Infrastruktur entzogen wird, ohne dass die Gründe nachvollziehbar offengelegt werden, fehlt die Grundlage, auf der ein reguliertes Institut Risiko überhaupt bewerten könnte.
Vom Markt über den Anbieter zum Staat
Am 9. Juni war die Geschichte: Ein privater Anbieter rationiert seine stärkste Fähigkeit nicht mehr nach Preis, sondern nach Vertrauensstufe – wer auf der Partnerliste des Project Glasswing steht, bekommt vollen Zugang, alle anderen ein gedrosseltes Modell. Am 12. Juni ist die Geschichte: Ein Staat entzieht den Zugang ganz, für alle. Das sind nicht zwei Themen. Das ist ein Thema, zweimal gesehen. Spitzenfähigkeit an der Frontier wird immer weniger vom Markt regiert und immer mehr von der Jurisdiktion, in der der Anbieter sitzt.
Für eine europäische Bank, die ein solches Modell unter dem Digital Operational Resilience Act (DORA) als kritischen IKT-Drittdienstleister behandelt, verschiebt das die Risikofrage. Sie lautet nicht mehr in erster Linie: Wie gut ist das Modell? Sie lautet: Wer kann es mir abschalten, und was tue ich, wenn er es tut? Eine Fähigkeit, deren Verfügbarkeit an einer fremden Behörde hängt, ist kein Werkzeug, das man besitzt. Sie ist eine Abhängigkeit, die man verwaltet – und gegen die kein Auslagerungsvertrag schützt, wenn am Ende eine Exportkontroll-Anweisung steht.
Ich verstehe den Reflex – das Verfahren überzeugt mich nicht
Ich will die Gegenseite ernst nehmen, denn sie hat ein Argument. Ein Staat, der glaubt, eine unkontrollierbare offensive Cyber-Fähigkeit sei in Umlauf, darf handeln – das ist die Aufgabe nationaler Sicherheit. Und Anthropic ist hier teils im eigenen Netz gefangen: Wer selbst erklärt, dieses Modell sei zu gefährlich für offenen Zugang, und es deshalb in eine abgesicherte und eine zugangsbeschränkte Variante spaltet, hat die Logik geliefert, die die Regierung nun einen Schritt weiterführt. Die Trennlinie vom 9. Juni und der Eingriff vom 12. Juni teilen dieselbe Prämisse: dass diese Fähigkeit kontrolliert gehört.
Was mich dennoch irritiert, ist nicht das Ob, sondern das Wie. Ein Brief um 17:21 Uhr, kein transparentes, gesetzlich geregeltes Verfahren, keine offengelegte Sachgrundlage – und das gegen eine Fähigkeit, die nach Darstellung des Anbieters anderswo längst verfügbar ist. Anthropic warnt, bei branchenweiter Anwendung würde dieser Maßstab praktisch jede neue Modellauslieferung stoppen. Man muss diese Warnung nicht teilen, um den Kern zu sehen: Wenn der Zugang zu einer Infrastruktur, die hunderte Millionen Menschen nutzen, per Exekutiv-Entscheidung und ohne nachvollziehbares Verfahren widerrufbar ist, dann wiegt der Präzedenzfall schwerer als der Einzelfall. Beides lässt sich halten: Der Eingriff mag berechtigt sein. Die Art, wie er erfolgt, ist es nicht.
Was Europas Banken jetzt tun müssen
Ob das eigene Haus Fable 5 morgen einsetzt oder nicht, ändert wenig: Der Vorgang schreibt die Drittparteien-Risikorechnung um. Vier Konsequenzen ergeben sich daraus – und keine davon ist ein protektionistischer Reflex.
Ein europäischer Frontier-Anbieter muss vom Nice-to-have zur gepflegten Option werden. Konkret heißt das: Mistral gehört evaluiert und qualifiziert – nicht aus Patriotismus, sondern weil ein Anbieter unter EU-Jurisdiktion mit self-hostbaren Modellgewichten genau die Abhängigkeit auflöst, die der 12. Juni offengelegt hat: den fremden Kill-Switch. Eine europäische Lösung zu pushen ist hier eine Risikomanagement-Entscheidung, kein industriepolitisches Schlagwort.
Ehrlich gerechnet, auf demselben Benchmark (SWE-bench Verified, agentisches Coding, Stand 9. Juni 2026):
| Modell | Anbieter (Jurisdiktion) | SWE-bench Verified |
|---|---|---|
| Claude Fable 5 | Anthropic (US) | 95,0 % |
| Claude Opus 4.8 | Anthropic (US) | 88,6 % |
| GPT-5.5 | OpenAI (US) | 82,6 % |
| Mistral Medium 3.5 | Mistral (EU) | 77,6 % |
Die Lücke ist real und sollte nicht schöngeredet werden: rund fünf Punkte hinter GPT-5.5, rund siebzehn hinter Fable 5. Dagegen stehen rund 1,50 US-Dollar je Million Input- und 7,50 je Million Output-Token (Fable 5: 10 / 50), Modellgewichte, die sich auf wenigen GPUs selbst betreiben lassen, EU-Jurisdiktion und offene Architektur. Ein Nachtrag in eigener Sache: Man achte auf die Benchmark-Variante – SWE-bench Verified ist nicht SWE-Bench Pro. Es bleibt dieselbe Lehre wie am 9. Juni: Man muss wissen, welche Zahl man zitiert. Und der Spitzenwert ist die falsche Kennzahl, wenn die stärkere Alternative aus Washington abgeschaltet werden kann.
Agentische Systeme binden ein Modell tiefer ein als eine simple Chat-Schnittstelle: in Tool-Calling, Orchestrierung, Speicher und Evaluation. Jede Schicht, die das API-Format, die Prompt-Struktur oder das Verhalten eines einzigen Anbieters fest verdrahtet, vertieft die Abhängigkeit, bis ein Wechsel einem Neubau gleichkommt. DORA nennt Konzentration auf wenige IKT-Drittdienstleister und Lock-in ausdrücklich als zu steuernde Risiken. Für agentische Architekturen heißt das: eine Abstraktionsschicht zwischen Orchestrierung und Modell von Tag eins an. Beim Entwurf vermiedener Lock-in ist günstig; an einem Freitag um 17:21 Uhr entdeckter Lock-in ist es nicht.
Die Antwort ist die, die Banken in der Cloud bereits gelernt haben: kein einzelner Anbieter als Single Point of Failure. Eine tragfähige Multi-Vendor-Strategie bedeutet modell-agnostische Orchestrierung, je kritischem Anwendungsfall mindestens eine austauschbare Alternative und einen hybriden Mix aus API-basierten Frontier-Modellen und self-hostbaren beziehungsweise EU-ansässigen Modellen für jene Lasten, die nicht von einem fremden Kill-Switch abhängen dürfen. Nicht jeder Anwendungsfall braucht das stärkste Modell. Die Frage ist, welche weiterlaufen müssen, wenn das stärkste ausfällt.
Souveränität ist keine Standortdebatte mehr
Lange klang der Ruf nach europäischer KI-Souveränität wie ein protektionistischer Reflex – ein langsameres, teureres Modell, aus Prinzip verteidigt. Der 12. Juni hat die Tonlage geändert. Wenn eine fremde Regierung den Zugang zu einer kritischen Fähigkeit über Nacht entziehen kann, ohne offengelegte Gründe, ist Souveränität keine Industriepolitik mehr, sondern operative Verfügbarkeit. Was ich in den kommenden Monaten am genauesten beobachten werde, ist, ob die europäische Aufsicht diesen Vorgang als das liest, was er ist – ein Verfügbarkeitsrisiko bei einem Drittdienstleister, in den eigenen Büchern – oder ob sie auf den nächsten Brief um 17:21 Uhr wartet, der das Argument für sie macht. Das stärkste Modell ist beeindruckend. Aber die wichtigste Frage ist nicht mehr, wie gut es ist. Sie ist, wer es abschalten kann.
Christian Schablitzki
Strategy & Management Consultant · Agentic-AI-Experte für Finanzinstitute
Über 20 Jahre in Investmentbanking und Derivatehandel, anschließend mehr als 10 Jahre als Berater für Finanzinstitute. Aktuell Partner bei Infosys Consulting in Deutschland. Zertifiziert in Google AI, Generative AI Leader (Google Cloud) und IBM RAG and Agentic AI.
LinkedIn-Profil →Lesen Sie weiter – alle 14 Tage in Ihrem Postfach.
Kapitalmarkt-Insights, Regulierungs-Updates und AI-Trends. Kompakt, fundiert, kostenlos.
DSGVO-konform. Jederzeit abbestellbar.