Kimi K3 und DeepSeek: Wie sicher ist dein Zugang?

Kimi K3 ist seit dem 16. Juli verfügbar, und seitdem redet Washington über Verbote. Seit dem 27. Juli sind auch die Gewichte des Modells öffentlich. Gewichte sind die Zahlenwerte, die beim Training entstehen und das Können eines Modells ausmachen. Sie liegen als Datei vor, die jeder herunterladen und auf eigener Hardware betreiben kann. Damit hat sich die Lage verschoben, noch bevor in Washington irgendetwas beschlossen wurde.

Vorweg das Wichtigste, weil es in den meisten Meldungen untergeht: Beschlossen ist bisher nichts. Kein Erlass, keine Verordnung, kein Verbot. Es gibt Absichtserklärungen, einen schweren Vorwurf und einen Streit, der sich diese Woche gedreht hat.

Der Vorwurf hat sich in vier Tagen geändert

Am 20. Juli berichtete Axios, die US-Regierung erwäge Beschränkungen bis hin zu Einträgen auf der Entity List des Handelsministeriums. Das ist eine Sperrliste, auf der Firmen landen, mit denen amerikanische Unternehmen nur noch mit Sondergenehmigung Geschäfte machen dürfen. Für Kimi hieße das, kein Zugang mehr ohne Lizenz.

Vier Tage später steht die Regierung woanders. Michael Kratsios, Technologieberater des Präsidenten, verteidigt offene Modelle inzwischen ausdrücklich und nennt legitime Destillation einen wesentlichen Teil des offenen Ökosystems. Destillation heißt, ein kleineres Modell mit den Ausgaben eines größeren zu trainieren. Der Vorwurf zielt jetzt enger, nämlich auf verdeckte, industriell betriebene Destillation, die auf Diebstahl hinausläuft. Moonshot soll Anthropics Modell Fable abgeschöpft haben. Finanzminister Scott Bessent schrieb dazu auf X, in solchen Fällen stünden Sanktionen und Entity-List-Einträge auf dem Tisch.

Dieser Unterschied ist für dich entscheidend. Ein Vorgehen gegen offene Modelle als Kategorie würde jeden treffen, der sie nutzt. Ein Vorgehen gegen eine Firma wegen Diebstahls trifft zunächst die Firma.

Belege fehlen, und das Zeitfenster ist eng

Kratsios hat die Anschuldigung am 22. Juli öffentlich gemacht, Belege dafür bisher nicht. Weder Protokolle, die zeigen würden, dass Ausgaben von Fable in Kimi K3 eingeflossen sind, noch Angaben dazu, auf welchem Weg die nötige Hardware beschafft wurde.

Ein Mitarbeiter von Moonshot hält dagegen und verweist auf den Kalender. Fable wurde am 1. Juli öffentlich, Kimi K3 kam am 16. Juli. Zwei Wochen für großflächiges Abschöpfen und das Training eines Modells mit 2,8 Billionen Parametern. Moonshot selbst hat den Vorwurf bisher weder bestätigt noch bestritten. Internationale Fachleute halten ihn laut South China Morning Post für politisch motiviert.

Auch in den USA ist man sich uneins. Greg Brockman, Mitgründer von OpenAI, sagte Bloomberg am 22. Juli, es sei zu früh für ein Urteil, und nannte Destillation ein technisches Problem. Nvidia-Chef Jensen Huang bezeichnet offene Modelle wie Kimi als hervorragend und plädiert dafür, sie einzubinden statt sie zu verbieten. Im Weißen Haus selbst warnt Berater David Sacks, ein hartes Vorgehen könnte amerikanische KI schwächen.

Was die Behörden selbst gemessen haben

Am 23. Juli haben das britische AI Security Institute und das amerikanische Center for AI Standards and Innovation, kurz CAISI, eine gemeinsame Bewertung von Kimi K3 veröffentlicht, ausgerechnet zu der Frage, die als Begründung für Beschränkungen dient. Wie gut ist das Modell im Angriff?

Auf ExploitBench, einem Test der Carnegie Mellon University mit 41 nach 2023 gefundenen Lücken in Chromes V8-Engine, also dem Teil des Browsers, der JavaScript ausführt, erreicht Kimi K3 32 Prozent. Die stärksten US-Modelle kommen auf 76 Prozent. Beim schwersten Schritt, dem Ausführen eigenen Codes auf dem Zielsystem, schaffte Kimi K3 keinen einzigen der 41 Fälle, die stärksten US-Modelle im Schnitt 20. In einem simulierten Firmennetz mit 32 Schritten, für das ein Fachmann rund 20 Stunden braucht, kam Kimi im Mittel bis Schritt 17, die US-Spitze bis 28,5.

Ein Detail relativiert diesen Vergleich, und es steht in der Methodik der Behörden. Die US-Modelle wurden mit abgeschalteten Schutzmechanismen getestet, um die maximale Fähigkeit zu messen. Die Versionen, die du benutzen kannst, haben diese Schutzmechanismen an. Die 76 gegen 32 sagen also etwas über Rohleistung, nicht darüber, was ein Nutzer tatsächlich herausbekommt.

Ein anderer Befund fällt zulasten von Moonshot aus. Kimi K3 ließ sich in den Tests nicht davon abhalten, an Angriffswerkzeugen mitzuarbeiten, seine Schutzmechanismen griffen dort nicht.

Warum ein Verbot kaum durchsetzbar wäre

Am 27. Juli hat Moonshot die Gewichte von Kimi K3 veröffentlicht, 96 Dateien auf der Plattform Hugging Face, zusammen ein Modell mit nach Herstellerangaben 2,8 Billionen Parametern. Es liegt jetzt als Datei vor, kopierbar, spiegelbar, lauffähig auf eigener Hardware. Was einmal öffentlich ist, lässt sich nicht zurückrufen. Auch ein amerikanisches Verbot würde bestehende Kopien nicht einsammeln.

Die Lizenz ist dabei großzügiger, als der eigene Name vermuten lässt. Die Kimi K3 License erlaubt Nutzung, Weitergabe, Veränderung und Verkauf ohne Einschränkung. Zwei Bedingungen greifen erst bei sehr großen Anbietern. Wer selbst Modellzugang als Dienst verkauft und damit in zwölf Monaten über 20 Millionen US-Dollar umsetzt, braucht vorher eine gesonderte Vereinbarung mit Moonshot. Und wer ein Produkt mit mehr als 100 Millionen monatlichen Nutzern darauf aufbaut, muss Kimi K3 sichtbar in der Oberfläche nennen. Für alle darunter, also für dich und für die allermeisten Unternehmen, greift keine der beiden Klauseln.

Dazu kommt der Preis, die eigentliche Ursache des Streits. Über den Vermittlungsdienst OpenRouter liefen zuletzt 46,4 Prozent der Anfragen an chinesische Modelle und 35,7 Prozent an amerikanische, so eine Auswertung von CNBC vom 7. Juli. Andere Zählungen liegen höher, weil sie nur amerikanische Firmen betrachten. Der Grund ist überall derselbe: DeepSeek V4 Flash kostet 0,14 US-Dollar je Million Eingabe-Token, GPT-5.5 fünf US-Dollar. Token sind die Textbausteine, in die ein Modell deine Eingabe zerlegt und nach denen abgerechnet wird. Eine Million davon entspricht grob 600.000 deutschen Wörtern.

Was das für dich bedeutet

Für Nutzer in Deutschland ändert sich vorerst nichts. Eine amerikanische Maßnahme bindet amerikanische Firmen und Personen. Kimi, DeepSeek und Qwen bleiben hier erreichbar, über ihre Apps, die Weboberflächen und die Programmierschnittstellen.

Spürbar würde es auf Umwegen. Viele erreichen chinesische Modelle über amerikanische Vermittler und Cloud-Anbieter. Fallen die weg, ändert sich dein Zugang, nicht das Modell. Wer ein offenes Modell dauerhaft nutzen will, hat den sichersten Weg ohnehin schon zur Hand, nämlich herunterladen und lokal betreiben.

Und die zweite ehrliche Antwort: Wenn dir Datenschutz wichtig ist, ist die Verbotsfrage die falsche. Bei jedem Cloud-Dienst entscheidet der Anbieter, was mit deinen Eingaben passiert, unabhängig davon, in welchem Land er sitzt.