KI-Dienste plötzlich offline: Was wir aus der Claude Fable - Abschaltung lernen müssen

Mitten im laufenden Betrieb bricht ein zentrales Arbeitswerkzeug zusammen. Keine Ankündigung, keine Übergangsfrist, keine Alternative. Was nach einem IT-Albtraum klingt, wurde im Juni 2026 für zahlreiche Unternehmen weltweit zur Realität. Zwei hochleistungsfähige KI-Modelle von Anthropic – Claude Fable 5 und Mythos 5 – wurden innerhalb kürzester Zeit vom Netz genommen. Der Grund: eine Exportkontroll-Anordnung aus den USA.

Dieser Vorfall wirft grundlegende Fragen auf: Wie sicher sind Cloud-basierte KI-Dienste aus den USA? Welche rechtlichen Risiken entstehen für deutsche Unternehmen? Und vor allem: Wie können Sie sich vor solchen Ausfällen schützen?

Der Vorfall: Vom Launch zur Claude Fable – Abschaltung in 72 Stunden

Am 9. Juni 2026 stellte Anthropic zwei neue KI-Modelle vor. Nur drei Tage später waren beide nicht mehr verfügbar. Das US-Handelsministerium hatte eine Exportkontroll-Anordnung erlassen, die den Zugang für ausländische Staatsangehörige untersagte. Da eine technische Differenzierung nicht möglich war, zog Anthropic die Notbremse und schaltete beide Modelle global ab.

Für Unternehmen, die diese Modelle in ihre Geschäftsprozesse integriert hatten, bedeutete das: sofortiger Stillstand. Automatisierungen funktionierten nicht mehr, Kundenprojekte stockten, Verträge konnten nicht erfüllt werden. Und das alles aufgrund einer politischen Entscheidung, auf die sie keinerlei Einfluss hatten.

Warum dieser Fall auch Ihr Unternehmen betrifft

Vielleicht setzen Sie weder Claude noch vergleichbare Modelle ein. Dennoch sollten Sie diesen Vorfall ernst nehmen. Er zeigt exemplarisch, welche Abhängigkeiten entstehen, wenn Unternehmen ausschließlich auf Cloud-Dienste aus den USA setzen.

Rechtliche Einordnung: US-Recht gilt auch in Deutschland

Wer einen US-amerikanischen Cloud-Dienst nutzt, hat gezwungenermaßen fast immer einen Bezug zum US-Recht – unabhängig davon, ob der Vertrag mit einer europäischen Tochtergesellschaft geschlossen wurde. Konkret: Exportkontrollen, Sanktionen oder andere hoheitliche Maßnahmen der US-Regierung können jederzeit durchgreifen. Ihr Unternehmen hat darauf keinen Einfluss.

Aus datenschutzrechtlicher Sicht kommt hinzu: Der Transfer personenbezogener Daten in die USA ist rechtlich komplex. Zwar gibt es mit dem EU-US Data Privacy Framework einen neuen Angemessenheitsbeschluss, doch auch dieser steht unter Beobachtung und könnte erneut gekippt werden. Die Rechtsunsicherheit bleibt bestehen.

Praktische Folgen: Wenn geschäftskritische Prozesse stillstehen

Stellen Sie sich vor, Ihre Kundenbetreuung läuft über ein KI-gestütztes System, das plötzlich nicht mehr verfügbar ist. Oder Ihre Vertragsprüfung basiert auf einem Tool, das von heute auf morgen abgeschaltet wird. Die Konsequenzen reichen von Reputationsschäden über Vertragsstrafen bis hin zu Haftungsfragen.

Hinzu kommt: Viele Unternehmen dokumentieren ihre technischen Entscheidungen nicht ausreichend. Wenn dann ein Dienst ausfällt, fehlt oft die Grundlage, um schnell auf Alternativen umzuschwenken oder gegenüber Kunden und Aufsichtsbehörden nachzuweisen, dass man sorgfältig gehandelt hat.

Digitale Souveränität: Mehr als ein politisches Schlagwort

Digitale Souveränität bedeutet für Unternehmen vor allem eines: Handlungsfähigkeit. Es geht darum, die Kontrolle über die eigenen digitalen Werkzeuge zu behalten und nicht von externen Faktoren abhängig zu sein, die Sie nicht beeinflussen können.

Was heißt das konkret?

Digitale Souveränität heißt nicht, dass Sie auf US-Dienste verzichten müssen. Sie sollten jedoch wissen, welche Risiken damit verbunden sind, und Alternativen kennen. Dazu gehört auch, sich mit europäischen Anbietern oder selbst betriebenen Lösungen auseinanderzusetzen.

Ein Beispiel: Open-Source-KI-Modelle können Sie auf eigenen Servern betreiben. Das erfordert zwar technisches Know-how und Investitionen in die Infrastruktur, gibt Ihnen aber die volle Kontrolle. Sie sind nicht mehr abhängig von Lizenzentscheidungen, politischen Entwicklungen oder plötzlichen Abschaltungen.

Self-Hosting als strategische Option?

Self-Hosting bedeutet, dass Sie KI-Modelle auf Ihrer eigenen IT-Infrastruktur betreiben. Das klingt zunächst aufwendig, bietet aber erhebliche Vorteile:

• Sie behalten die Kontrolle über Ihre Daten und müssen diese nicht an Dritte übertragen.

• Sie sind unabhängig von externen Anbietern und deren Geschäftsentscheidungen.

• Sie erfüllen die Anforderungen der DSGVO leichter, da keine Drittstaatentransfers stattfinden.

• Sie zahlen keine laufenden Lizenzgebühren, sondern investieren in Ihre eigene Infrastruktur.

Natürlich gibt es auch Herausforderungen: Sie benötigen technisches Know-how, müssen die Infrastruktur warten und sind selbst für Updates und Sicherheit verantwortlich. Doch für viele Unternehmen überwiegen langfristig die Vorteile.

Datenschutzrechtliche Anforderungen beim Einsatz von KI

Unabhängig davon, ob Sie Cloud-Dienste oder selbst betriebene Lösungen nutzen: Der Einsatz von KI unterliegt den Vorgaben der DSGVO. Das bedeutet, Sie müssen mehrere Anforderungen erfüllen:

Rechtsgrundlage für die Verarbeitung

Jede Verarbeitung personenbezogener Daten benötigt eine Rechtsgrundlage. In der Regel kommen hier eine Einwilligung, die Erfüllung eines Vertrags oder berechtigte Interessen in Betracht. Wichtig ist, dass Sie die gewählte Rechtsgrundlage dokumentieren und nachweisen können.

Informationspflichten

Betroffene Personen müssen darüber informiert werden, dass und wie ihre Daten verarbeitet werden. Das gilt auch dann, wenn die Verarbeitung durch ein KI-System erfolgt. Die Information muss transparent, verständlich und leicht zugänglich sein.

Technische und organisatorische Maßnahmen

Sie müssen geeignete technische und organisatorische Maßnahmen treffen, um die Sicherheit der Daten zu gewährleisten. Dazu gehören unter anderem Verschlüsselung, Zugriffskontrollen und regelmäßige Sicherheitsupdates.

Drittstaatentransfer

Wenn Sie einen Dienst nutzen, der Daten in ein Land außerhalb der EU überträgt, müssen Sie prüfen, ob ein angemessenes Datenschutzniveau besteht. Bei US-Diensten ist das nach wie vor eine rechtliche Grauzone. Selbst das EU-US Data Privacy Framework bietet keine absolute Sicherheit, da es jederzeit erneut gerichtlich überprüft werden kann.

Dokumentationspflicht

Alle Verarbeitungstätigkeiten müssen dokumentiert werden. Das umfasst unter anderem das Verzeichnis von Verarbeitungstätigkeiten, Auftragsverarbeitungsverträge und Datenschutz-Folgenabschätzungen. Diese Dokumentation ist nicht nur rechtlich vorgeschrieben, sondern hilft Ihnen auch, den Überblick zu behalten und im Ernstfall schnell reagieren zu können.

So minimieren Sie Ihre Abhängigkeit von US – Anbietern

Die Abschaltung von Claude Fable 5 und Mythos 5 zeigt: Wer ausschließlich auf einen Anbieter oder eine Region setzt, geht ein erhebliches Risiko ein. Doch wie können Sie Ihre Abhängigkeit reduzieren?

Schritt 1: Bestandsaufnahme

Verschaffen Sie sich einen Überblick darüber, welche Cloud-Dienste Sie nutzen und wo diese betrieben werden. Prüfen Sie, welche davon geschäftskritisch sind und welche Alternativen es gibt. Dokumentieren Sie Ihre Erkenntnisse.

Schritt 2: Risikoanalyse

Bewerten Sie für jeden Dienst das Risiko: Was passiert, wenn dieser Dienst plötzlich nicht mehr verfügbar ist? Welche Auswirkungen hat das auf Ihre Geschäftsprozesse? Wie schnell können Sie auf eine Alternative umsteigen?

Schritt 3: Alternativen prüfen

Informieren Sie sich über europäische Anbieter oder selbst betriebene Lösungen. Nicht für jeden Dienst gibt es eine gleichwertige Alternative, aber oft gibt es Optionen, die Sie bisher nicht in Betracht gezogen haben.

Schritt 4: Backup-Strategie entwickeln

Entwickeln Sie für geschäftskritische Dienste eine Backup-Strategie. Das kann bedeuten, dass Sie parallel einen zweiten Anbieter nutzen oder eine selbst betriebene Lösung als Fallback vorhalten. Wichtig ist, dass Sie im Ernstfall handlungsfähig bleiben.

Schritt 5: Rechtliche Absicherung

Lassen Sie Ihre Verträge mit Cloud-Anbietern prüfen. Achten Sie auf Kündigungsfristen, Datenlöschung und Haftungsregelungen. Stellen Sie sicher, dass Sie im Fall einer Abschaltung Ihre Daten vollständig zurückerhalten.

Fazit: Handeln Sie jetzt, bevor es zu spät ist

Die Abschaltung von Claude Fable 5 und Mythos 5 ist kein Einzelfall. Sie ist ein Weckruf für alle Unternehmen, die auf Cloud-Dienste setzen. Digitale Souveränität ist keine Zukunftsfrage mehr – sie ist eine unternehmerische Notwendigkeit.

Sie müssen nicht von heute auf morgen alle US-Dienste ersetzen. Aber Sie sollten wissen, wo Ihre Abhängigkeiten liegen und wie Sie diese schrittweise reduzieren können. Denn am Ende geht es um Ihre Handlungsfähigkeit, Ihre Unabhängigkeit und die Zukunftssicherheit Ihres Unternehmens.