US-Regierung sperrt KI-Modelle von Anthropic für Ausländer – Was deutsche Unternehmen jetzt wissen müssen

Veröffentlicht: 13. Juni 2026 | Kategorie: KI-Sicherheit, NIS2, IT-Compliance

Einleitung: Ein Paukenschlag mit globalen Folgen

Mit sofortiger Wirkung hat die US-amerikanische Bundesregierung den KI-Anbieter Anthropic angewiesen, den Zugang zu seinen leistungsfähigsten KI-Modellen – Claude Fable 5 und Mythos 5 – für alle ausländischen Nutzer zu sperren. Das Unternehmen erklärte am Freitag, es werde die Modelle „abrupt deaktivieren" – und zwar für sämtliche Nutzer außerhalb der USA, unabhängig davon, ob sie sich auf amerikanischem Boden befinden oder nicht. Die Begründung: nationale Sicherheitsinteressen der Vereinigten Staaten.

Die Order traf Anthropic laut eigenen Angaben um 17:21 Uhr Ortszeit (ET) – ein klares Zeichen dafür, wie kurzfristig und unangekündigt solche Maßnahmen umgesetzt werden können.

Für IT-Verantwortliche und Geschäftsführer in deutschen Unternehmen ist diese Entwicklung aus mehreren Gründen höchst relevant: Wer KI-Dienste US-amerikanischer Anbieter in Geschäftsprozesse integriert hat, muss damit rechnen, dass der Zugang ohne Vorwarnung und ohne Übergangsfrist entzogen werden kann. Das ist nicht nur ein technisches Problem – es ist ein Compliance-, Verfügbarkeits- und Risikomanagement-Problem mit direktem Bezug zur NIS2-Richtlinie.

Technischer Hintergrund: Was steckt hinter der Sperrung?

KI-Modelle als strategische Ressource

Anthropics Modelle Fable 5 und Mythos 5 gelten als die aktuell leistungsfähigsten Large Language Models (LLMs) des Unternehmens. Sie sind in der Lage, komplexe Analysen, Code-Generierung, juristische Texte und wissenschaftliche Inhalte auf einem Niveau zu erstellen, das bisher nur menschlichen Experten vorbehalten war.

Genau diese Leistungsfähigkeit macht sie zum Ziel regulatorischer Einschränkungen: Die US-Regierung stuft solche Modelle zunehmend als „Dual-Use-Technologien" ein – also Technologien, die sowohl für zivile als auch für militärische oder geheimdienstliche Zwecke genutzt werden können. Ähnliche Logiken kennen wir aus der Rüstungsexportkontrolle (ITAR, EAR) oder dem Bereich der Quantencomputer.

Der rechtliche Rahmen: Executive Orders und Commerce Controls

Die US-Regierung kann auf Basis verschiedener Rechtsinstrumente – darunter Executive Orders des Präsidenten, der Export Administration Regulations (EAR) und des International Emergency Economic Powers Act (IEEPA) – Technologieunternehmen anweisen, den Zugang zu bestimmten Produkten für ausländische Staatsangehörige oder ganze Ländergruppen zu sperren. Eine gerichtliche Überprüfung ist zwar möglich, aber in der Praxis selten kurzfristig wirksam.

Das bedeutet: US-Unternehmen sind an diese Anordnungen gebunden, auch wenn ihre europäischen Kunden vertragliche Zusicherungen besitzen.

Auswirkungen auf Deutschland und die NIS2-Relevanz

Abhängigkeit von US-KI-Diensten als systemisches Risiko

Zahlreiche deutsche Unternehmen – insbesondere im Finanz-, Gesundheits-, Energie- und Logistiksektor – haben KI-gestützte Dienste in ihre kritischen Geschäftsprozesse integriert. Eine plötzliche Abschaltung wie im Fall von Anthropic kann folgende Konsequenzen haben:

• Betriebsunterbrechungen in automatisierten Workflows
• Datenverlust oder Datenschutzkonflikte, wenn Daten in US-Systemen verbleiben
• Vertragliche Haftungsrisiken gegenüber eigenen Kunden
• Meldepflichten gegenüber Behörden, wenn kritische Dienste betroffen sind

NIS2 und die Pflicht zum Risikomanagement

Die NIS2-Richtlinie (EU 2022/2555), in Deutschland umgesetzt durch die BSIG-Novelle, verpflichtet betroffene Unternehmen zu einem systematischen Risikomanagement für ihre IKT-Lieferkette. Artikel 21 NIS2 schreibt explizit vor:

Maßnahmen zur Bewältigung von Risiken in der Lieferkette, einschließlich sicherheitsbezogener Aspekte der Beziehungen zwischen den einzelnen Einrichtungen und ihren unmittelbaren Anbietern oder Diensteanbietern.

Ein US-Anbieter, der auf Regierungsanweisung den Dienst einstellt, ist ein klassisches Third-Party-Risiko – und damit unmittelbar relevant für Ihre NIS2-Compliance.

Meldepflichten gegenüber dem BSI

Sollte die Sperrung eines KI-Dienstes zu einem erheblichen Sicherheitsvorfall oder einer Betriebsunterbrechung führen, greifen unter Umständen die Meldepflichten nach §30 BSIG (neu):

Das BSI empfiehlt darüber hinaus, Vorfälle im Zusammenhang mit ausländischen Dienstleistern und Cloudanbietern proaktiv zu dokumentieren – auch wenn die Meldeschwelle formal nicht erreicht wird.

Praktische Schutzmaßnahmen: Was Sie jetzt tun sollten

1. 📋 KI-Dienste im Unternehmen vollständig inventarisieren

Erstellen Sie ein vollständiges Register aller genutzten KI-APIs und -Plattformen – inklusive Anbieter, Sitz, Datenflüssen und Kritikalität für Geschäftsprozesse. Viele Unternehmen wissen schlicht nicht, wie tief KI-Dienste bereits in ihre Systeme integriert sind (sogenannte „Shadow AI").

Tipp: Prüfen Sie dabei auch indirekte Abhängigkeiten – etwa wenn Ihre ERP- oder CRM-Software im Hintergrund auf US-amerikanische LLM-APIs zugreift.

2. 🔄 Fallback-Szenarien und Business Continuity planen

Definieren Sie für jeden kritischen KI-Dienst einen Notfallplan (Business Continuity Plan, BCP), der greift, wenn der Dienst unerwartet ausfällt. Fragen Sie sich:

• Welcher manuelle Prozess kann den KI-Dienst ersetzen?
• Gibt es eine europäische oder Open-Source-Alternative?
• Wie lange kann der Betrieb ohne den Dienst aufrechterhalten werden?

3. 🇪🇺 Europäische und souveräne KI-Alternativen prüfen

Die Abhängigkeit von US-Anbietern ist ein strukturelles Risiko. Prüfen Sie Alternativen wie:

• Aleph Alpha (Deutschland) – europäische LLM-Lösungen mit Datensouveränität
• Mistral AI (Frankreich) – leistungsstarke Open-Source-Modelle
• Open-Source-Modelle (z. B. Llama 3, Falcon) – on-premises betreibbar, keine externen Abhängigkeiten
• GAIA-X-konforme Cloud-Angebote – für regulierte Branchen besonders relevant

4. 📄 Verträge mit KI-Anbietern auf Force-Majeure-Klauseln prüfen

Lassen Sie Ihre IT-Verträge mit US-amerikanischen KI-Anbietern juristisch prüfen – insbesondere im Hinblick auf:

• Force-Majeure-Klauseln (schließen US-Regierungsanordnungen ein?)
• Service Level Agreements (SLAs) und Haftungsausschlüsse bei regulatorischen Sperrungen
• Datenlöschpflichten bei Vertragsende oder unfreiwilliger Terminierung
• Gerichtsstand und anwendbares Recht

5. 🔔 Internes Frühwarnsystem und Monitoring etablieren

Richten Sie ein Monitoring für regulatorische Entwicklungen in den USA ein, das für Ihr Unternehmen relevante Änderungen frühzeitig identifiziert. Abonnieren Sie:

• BSI-Newsletter und Lageberichte
• ENISA Threat Landscape Reports
• Herstellerkommunikation Ihrer KI-Anbieter (Statusseiten, Security Advisories)

Definieren Sie intern klare Eskalationspfade, wenn ein KI-Dienst unerwartet ausfällt oder eingeschränkt wird.

6. 🛡️ Lieferkettenrisiko in ISMS integrieren

Wenn Ihr Unternehmen unter NIS2 fällt oder sich an ISO 27001 orientiert, sollte das Risiko des plötzlichen Wegfalls von Drittanbieterdiensten explizit in Ihr Information Security Management System (ISMS) aufgenommen werden – als dokumentiertes Risikoszenario mit Bewertung, Maßnahmen und Verantwortlichkeit.

Fazit: KI-Abhängigkeit ist ein unterschätztes Compliance-Risiko

Der Fall Anthropic ist kein Einzelfall – er ist ein Vorgeschmack auf eine neue Realität, in der KI-Dienste zum Gegenstand geopolitischer und regulatorischer Auseinandersetzungen werden. Für deutsche Unternehmen bedeutet das: Wer KI-Dienste ohne Risikomanagement einsetzt, handelt nicht nur leichtfertig, sondern möglicherweise auch nicht NIS2-konform.

Die gute Nachricht: Die NIS2-Richtlinie bietet einen klaren Rahmen, um genau solche Risiken strukturiert zu adressieren. Unternehmen, die ihre Lieferkette bereits analysiert, Fallback-Szenarien definiert und ihre Drittanbieter bewertet haben, sind deutlich besser aufgestellt.

💡 Call-to-Action: NIS2-Compliance strukturiert angehen

Die Verwaltung von Lieferkettenrisiken, Meldepflichten und Risikobewertungen ist manuell kaum noch zu bewältigen – besonders wenn KI-Dienste in kritische Prozesse eingebunden sind. Spezialisierte NIS2-Compliance-Software kann dabei helfen, Drittanbieter systematisch zu bewerten, Vorfälle zu dokumentieren und Meldepflichten fristgerecht einzuhalten. Wenn Sie noch kein strukturiertes Tool für Ihr NIS2-Management nutzen, ist jetzt der richtige Zeitpunkt, sich am Markt umzusehen – bevor der nächste ungeplante Ausfall Sie unvorbereitet trifft.

Quellen: BSI (bsi.bund.de), BSIG-Novelle 2024, NIS2-Richtlinie EU 2022/2555, ENISA Threat Landscape 2025, Anthropic Pressemitteilung (13.06.2026)