Sind chinesische Modelle ein Sicherheitsrisiko?

Fünf Modelle in unserem Katalog stammen aus China. Das ist eine Angabe, die wir bei jedem Modell machen – nicht als Warnung, sondern damit die Frage überhaupt gestellt werden kann. Hier ist unsere Antwort darauf, sortiert.

Denn „Sicherheitsrisiko“ meint je nach Gesprächspartner etwas anderes: Datenabfluss, Schadcode, Lieferkette, Beeinflussung, Rechtslage. Zusammengenommen ergibt das ein diffuses Unbehagen, mit dem sich nicht entscheiden lässt. Getrennt betrachtet, hat jede der fünf Fragen eine klare und teils unbequeme Antwort.

Frage 1: Fließen Daten nach China?

Nein – und zwar nicht, weil wir das versprechen, sondern weil ein Modell keine Verbindung aufbauen kann. Modellgewichte sind eine Datei mit Zahlen. Sie enthalten kein Programm, das ausgeführt wird, keine Adresse, kein Netzwerkverhalten. Was rechnet, ist die Serving-Software auf unserer Maschine.

Der Nachweis ist deshalb keine Vertrauensfrage, sondern eine Konfigurationsfrage: Wenn die verarbeitende Maschine keinen ausgehenden Verkehr aufbauen darf, kann nichts abfließen – unabhängig davon, welches Modell darauf liegt. Wie sich das prüfen lässt, steht auf der Seite Unabhängigkeit von Nicht-EU-Ländern unter Stufe 1.

Frage 2: Steckt Schadcode in der Datei?

Das ist die technisch ernsthafteste Frage – und sie hat mit China nichts zu tun. Sie betrifft jede heruntergeladene Modelldatei.

Ältere Modellformate speichern Daten in einem Format, das beim Laden Programmcode ausführen kann. Wer eine solche Datei aus einer beliebigen Quelle lädt und einliest, führt fremden Code aus. Das neuere Format, das inzwischen Standard ist, speichert ausschließlich Zahlen und kann das nicht – deshalb heißt es, wie es heißt.

• Nur Gewichtsdateien im sicheren Format laden. Wo ein Modell beides anbietet, ist die Wahl trivial. Wo es nur das alte Format gibt, wird konvertiert – in einer abgeschotteten Umgebung, nicht auf dem Produktivsystem.
• Prüfsumme vergleichen und aufschreiben. Sie ist der einzige Nachweis, dass die Datei im Betrieb dieselbe ist wie die, die geprüft wurde.
• Den Beiwerk-Code getrennt betrachten. Risikoreich ist selten die Gewichtsdatei, sondern das, was drumherum mitgeliefert wird: Ladeskripte, eigene Tokenizer-Implementierungen, Beispielcode. Das ist Software und wird wie Software behandelt.

Frage 3: Reißt die Lieferkette?

Hier wird es zum ersten Mal herkunftsabhängig – aber anders als erwartet. Gewichte, die einmal heruntergeladen und gesichert sind, kann niemand zurückrufen. Eine Modelldatei auf unserer Platte bleibt lauffähig, auch wenn sie morgen aus dem Netz verschwindet.

Was nicht sicher ist, sind die künftigen Fassungen: Ein Nachfolger kann unter anderer Lizenz erscheinen, die Veröffentlichung kann ausbleiben, Ausfuhrbeschränkungen können Verfügbarkeiten ändern. Das ist ein Betriebsrisiko und kein Sicherheitsrisiko – und es trifft amerikanische Modelle genauso, nur aus anderen Gründen.

Die Antwort darauf ist unspektakulär: Gewichte selbst vorhalten statt zur Laufzeit laden, Fassungen festschreiben, und für jedes eingesetzte Modell einen Ersatz benennen können. Wer das tut, hat die Frage beantwortet, bevor sie gestellt wird.

Frage 4: Ist das Modell inhaltlich geprägt?

Ja. Das ist keine Vermutung, sondern in wenigen Minuten überprüfbar: Chinesische Modelle zeigen bei politisch heiklen Fragen zur eigenen Staatsführung erkennbare Zurückhaltung – von ausweichenden Antworten bis zur Verweigerung. Diese Prägung entsteht im Training und in der Nachbearbeitung und liegt damit in den Gewichten. Wegkonfigurieren lässt sie sich nicht.

Was daraus folgt, hängt vollständig von der Aufgabe ab:

Frage 5: Ist die Lizenz brauchbar?

Meistens ja – und das überrascht regelmäßig. Mehrere der stärksten chinesischen Modelle stehen unter Apache 2.0 oder MIT und sind damit freizügiger lizenziert als manches amerikanische Modell mit eigener Gemeinschaftslizenz. Die Herkunft sagt über die Lizenz nichts.

Die vierte Zeile ist die, auf die es ankommt: Bei DeepSeek-V3 ist nur der Quelltext MIT-lizenziert, für die Gewichte gilt eine eigene Lizenz des Hauses. Sie erlaubt kommerzielle Nutzung ausdrücklich, ist aber keine von der Open Source Initiative anerkannte Lizenz und nennt untersagte Verwendungen. Wer „freie Lizenz“ als Vergabekriterium führt, muss hier genauer hinsehen – warum dieser Unterschied überhaupt besteht, steht im Beitrag Offene Gewichte sind nicht Open Source.

Was datenschutzrechtlich übrig bleibt

Wenig – und das ist der Punkt, der in Vergabeunterlagen am häufigsten falsch abgebildet wird. Ein Drittlandtransfer setzt eine Übermittlung an einen Empfänger voraus. Bei einem Modell auf eigener Hardware gibt es keinen Empfänger: Es wird nichts übermittelt, sondern eine Datei gelesen.

Die Herkunft eines Modells ist damit eine Frage der Lieferkette und der inhaltlichen Prägung, nicht des Datenschutzes. Wer beides vermengt, entscheidet am Ende aus dem falschen Grund – und schließt womöglich das Modell aus, das für seine Aufgabe das geeignetste gewesen wäre.

Wie wir es halten

Wir setzen chinesische Modelle ein, wo sie fachlich vorn liegen, benennen ihre Herkunft bei jedem Eintrag und ordnen sie den Aufgaben zu, für die die inhaltliche Prägung ohne Belang ist. Für Textarbeit an gesellschaftlichen Themen empfehlen wir sie nicht. Für Programmieraufgaben sind sie derzeit die stärkste Wahl im offenen Feld – da hilft keine Haltung.

Wer aus grundsätzlichen Erwägungen ohne sie auskommen will, kann das: Welche europäischen Modelle es gibt und was der Verzicht kostet, steht unter Unabhängigkeit von Nicht-EU-Ländern. Diese Entscheidung ist legitim – sie sollte nur als das benannt werden, was sie ist: eine Entscheidung über Lieferketten und Prägung, nicht über Datenschutz.