The Evidence Layer - Deutsch Archiv

9. Juni 2026: Anthropic bringt Claude Fable 5 auf den Markt — das leistungsfähigste KI-Modell, das jemals für den allgemeinen Einsatz verfügbar gemacht wurde, mit Spitzenleistungen in Software-Engineering, Wissensarbeit und wissenschaftlicher Forschung. Drei Tage später, am 12. Juni um 17:21 Uhr ET, erhält Anthropic eine Exportkontrollanordnung der US-Regierung: Alle Zugänge für ausländische Staatsangehörige — einschließlich Anthropics eigener ausländischer Mitarbeiter — müssen sofort gesperrt werden. Fable 5 und Mythos 5 werden abrupt für alle Kunden weltweit abgeschaltet. Anthropic befolgte den Befehl, widersprach aber öffentlich: Die demonstrierte Jailbreak-Technik betraf bekannte, begrenzte Schwachstellen, die auch über andere öffentlich verfügbare Modelle gefunden werden können — darunter OpenAIs GPT-5.5. Dies ist das erste Mal, dass ein KI-Modell selbst als strategische Exporttechnologie behandelt wird. Michael und Nadine erarbeiten vier konkrete Szenarien: Eine EU AI Act-Prüfung, bei der ein Aufseher fragt, welche KI-Version welche Entscheidung unterstützte; ein Gerichtsverfahren, bei dem ein Kunde eine KI-gestützte Entscheidung anficht; Lieferantenabhängigkeit und Managementhaftung unter NIS2 und DORA; und eine Cyberversicherungsanspruch, der Nachweis der operationellen Auswirkungen erfordert. In jedem Szenario ist die Kernfrage dieselbe: Können Sie beweisen, was wirklich passiert ist — auch wenn das Modell nicht mehr verfügbar ist? Attesto verhindert nicht, dass ein Modell verschwindet oder eine Regierung Exportkontrollen verhängt. Aber Attesto stellt sicher, dass jede KI-Interaktion — Modellidentität, Version, Zeitstempel, Prompt-Hash, Output-Hash, digitale Signatur — über das Proof of Evolution-System kryptografisch unwiderlegbar dokumentiert ist. Die kryptografische Blackbox über KI-Systemen. Die Nova/IVC-Schicht läuft bereits live in Produktion.

US-Cloudanbieter kontrollieren mehr als 70 % der europäischen Cloud-Infrastruktur. Microsoft bestätigte 2025 unter Eid im französischen Senat, dass es bei einem rechtmäßigen US-Befehl keine Datensouveränität für europäische Kunden garantieren kann. Die Antwort des Marktes: europäische Sovereign Data Lakes, die Unternehmensdaten aus Buchhaltung, CRM, HR und ERP in einer privaten Datenbankumgebung ohne CLOUD-Act-Exposure zentralisieren. Sovereign-Cloud-Ausgaben in Europa wachsen 2026 um 83 % im Jahresvergleich. Michael und Nadine erklären, was ein europäischer Sovereign Data Lake leistet — und was nicht. Sie beschreiben, wie diese Plattformen EU-only-Datenresidenz, keine US-Unterauftragsverarbeiter, offene Standards und direkte KI-Konnektivität liefern. Aber sie stellen auch die Frage, die die meisten Anbieter nicht beantworten: Was passiert, wenn eine Aufsichtsbehörde nicht fragt, wo Ihre Daten liegen, sondern was damit gemacht wurde — wann, von wem, auf welcher Rechtsgrundlage? Ein Audit-Log in einer Datenbank ist kein Beweis — es ist eine Datei, die verändert werden kann. Protokollierung ohne kryptografische Verankerung ist nicht manipulationssicher. Und die Entwicklung von Compliance über die Zeit erfasst kein Data Lake. Das ist die fehlende Schicht, die Organisationen bei Untersuchungen nach EU AI Act Artikel 12, NIS2, DORA und DSGVO Kapitel V exponiert — auch wenn sie vollständig europäische Infrastruktur nutzen. Attesto liefert diese Schicht: kryptografisch unwiderlegbarer Nachweis über das Proof of Evolution-System, auf jedem Sovereign Data Lake. Die Nova/IVC-Schicht läuft bereits live in Produktion.

Daten auf einem europäischen Server sind nicht automatisch europäisch. Der US CLOUD Act verpflichtet amerikanische Cloud-Anbieter zur Herausgabe von Daten auf US-Regierungsanforderung — unabhängig vom Serverstandort. Europäische Aufsichtsbehörden verhängten 2025 über 7,1 Milliarden Euro DSGVO-Bußgelder, ein erheblicher Teil davon für Verstöße gegen grenzüberschreitende Datenübermittlungen. Die Frage ist nicht mehr, ob Daten die EU verlassen — die Frage ist, ob Organisationen es beweisen können, wenn es passiert, und ob sie nachweisen können, dass die Rechtsgrundlage zum Zeitpunkt des Transfers gültig war. Michael und Nadine erklären den gesamten Rechtsrahmen: DSGVO Kapitel V mit den Schrems-II-Pflichten (Transfer-Folgenabschätzung Pflicht für jede Art.-46-Übermittlung), den EU Data Act (Verordnung EU 2023/2854, anwendbar seit 12. September 2025) mit seiner Verpflichtung für Cloud-Anbieter, EU-Daten vor nicht-EU-Regierungszugriff zu schützen, und den Data Governance Act als Grundlage europäischer Datenräume. Sie besprechen GAIA-X Trust Framework 3.0 "Danube" (November 2025) und über 15 operative europäische Datenräume — von Catena-X in der Fertigung bis GAIA-X Health. Und sie erklären den entscheidenden Unterschied: Datenresidenz bedeutet, dass Daten auf einem europäischen Server liegen. Datensouveränität bedeutet, dass Daten nachweisbar unter europäischem Recht stehen — und das sind zwei grundlegend verschiedene Dinge. Die zentrale Erkenntnis: Verträge, SCCs und TIAs belegen Absicht, nicht Ausführung. Aufsichtsbehörden fragen nach technischen Nachweisen des tatsächlichen Datentransports. Attesto liefert diese Schicht — manipulationssichere Protokollierung jedes Datenereignisses als kryptografisch unwiderlegbarer Nachweis über das Proof of Evolution-System. Die Nova/IVC-Schicht läuft bereits live in Produktion.

Der Cyber Resilience Act — Verordnung EU 2024/2847 — ist am 10. Dezember 2024 in Kraft getreten und verändert die Spielregeln für jeden, der Software oder Hardware auf dem EU-Markt anbietet. Von smarten Thermostaten bis hin zu industriellen Firewalls: Alle Produkte mit digitalen Elementen müssen künftig verbindliche Cybersicherheitsanforderungen erfüllen. Wer das nicht nachweisen kann, darf sein Produkt nicht mehr in Europa verkaufen. Bußgelder können bis zu 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes betragen. Das BSI hat mit der technischen Leitlinie TR-03183 bereits eine praxisnahe Umsetzungshilfe veröffentlicht. Michael und Nadine erklären die vier Risikokategorien — von der Standardkategorie (rund 90 % aller Produkte, Selbstbewertung zulässig) bis hin zu Wichtig Klasse I und II (Identitätsmanagementsysteme, Firewalls, Intrusion-Detection — Pflichtbewertung durch Dritte) und Kritisch (Anhang IV). Sie gehen ausführlich auf die Kernpflichten aus Anhang I ein: Secure-by-Design, Schwachstellenmanagement über den gesamten Lebenszyklus, Pflicht-SBOM-Dokumentation, mindestens 5 Jahre Sicherheitsupdates und Meldefristen von 24 Stunden (Frühwarnung) und 72 Stunden (vollständiger Bericht) über die ENISA Single Reporting Platform. Zwei CRA-Pflichten gelten bereits vor dem Enddatum 11. Dezember 2027: Ab 11. Juni 2026 müssen Konformitätsbewertungsstellen notifiziert sein, ab 11. September 2026 greift die Meldepflicht. Die zentrale Erkenntnis dieser Folge: Der CRA verlangt keine Momentaufnahme, sondern fortlaufende, nachweisbare Belege für Sicherheit über den gesamten Produktlebenszyklus. Attesto liefert diese Beweisschicht — über manipulationssichere Protokollierung für alle Anhang-I-Anforderungen und über das Proof of Evolution-System für den nachweisbaren Fortschritt bei Schwachstellenmanagement und Sicherheitsupdates. Die Nova/IVC-Kryptografieschicht läuft bereits live in Produktion.

Der Digital Operational Resilience Act — Verordnung EU 2022/2554 — gilt seit dem 17. Januar 2025 für rund 22.000 Finanzinstitute in der EU: Banken, Versicherungen, Wertpapierfirmen, Zahlungsdienstleister und ihre kritischen ICT-Drittanbieter. Dennoch ist nur die Hälfte vollständig compliant. Bußgelder können bis zu 10 % des weltweiten Jahresumsatzes betragen, und nationale Aufsichtsbehörden haben mit der aktiven Durchsetzung begonnen. In Deutschland wird die Umsetzung durch das DORA-Vollzugsgesetz geregelt, das ebenfalls am 17. Januar 2025 in Kraft trat. Michael und Nadine gehen in dieser Folge die fünf DORA-Säulen systematisch durch. Säule 1 schreibt ein vollständiges ICT-Risikomanagement-Rahmenwerk mit Governance-Verantwortung auf Vorstandsebene vor. Säule 2 verlangt standardisierte Klassifizierung und unverzügliche Meldung schwerwiegender ICT-Vorfälle an zuständige Behörden. Säule 3 macht regelmäßige Resilienztests zur Pflicht — einschließlich Threat-Led Penetration Testing (TLPT) für bedeutende Institute. Säule 4 hält Finanzinstitute für die ICT-Risiken ihrer Lieferanten verantwortlich: Auslagerung entbindet nicht von der Haftung. Säule 5 verpflichtet zur strukturierten Weitergabe von Informationen über Cyberbedrohungen zwischen Finanzinstituten. Die zentrale Erkenntnis dieser Folge: DORA verlangt keine einmalige Zertifizierung, sondern fortlaufende, nachweisbare Belege für operative Resilienz. Genau das liefert Attesto — über manipulationssichere Protokollierung für Säulen 1 und 2 und über das Proof of Evolution-System für Säulen 3 und 4. Die Nova/IVC-Kryptografieschicht läuft bereits live in Produktion.

Der 2. August 2026 rückt näher. Michael und Nadine erklären, was Artikel 12 des EU AI Act technisch von Organisationen verlangt, warum NIS2 Geschäftsführer persönlich in die Pflicht nimmt und wie Unternehmen nachweisbar compliant werden — nicht durch Absichtserklärungen, sondern durch kryptografisch gesichertes Beweismaterial.

KI kann heute Bilder, Videos, Stimmen und Dokumente erzeugen, die kaum noch von der Realität zu unterscheiden sind. Da synthetische Inhalte immer häufiger werden, stellt sich eine neue Frage: Wie können wir feststellen, was authentisch ist? In dieser Folge beschäftigen wir uns mit C2PA (Coalition for Content Provenance and Authenticity), dem offenen Standard für Herkunftsnachweise und Transparenz bei digitalen Inhalten. Wir erklären, wie Content Credentials funktionieren, welche Unternehmen die Technologie unterstützen und warum Herkunftsnachweise zu einem der wichtigsten Vertrauensbausteine im Zeitalter der KI werden könnten. Von Deepfakes und manipulierten Medien bis hin zu Journalismus, Compliance und digitalen Beweisen untersuchen wir, wie C2PA eine Antwort auf eine der wichtigsten Fragen unserer Zeit geben möchte: Können wir dem, was wir online sehen, noch vertrauen?