NÚKIB warnte vor DeepSeek, dann brach die KI selbst ein: eine Regel für KI im Unternehmen

Kurz gesagt: NÚKIB hat im Juli 2025 eine Warnung der Stufe Hoch vor Produkten, Anwendungen, Webdiensten und APIs des Unternehmens DeepSeek herausgegeben. Verbindlich ist sie für verpflichtete Einrichtungen nach dem tschechischen Gesetz über Cybersicherheit — für andere Unternehmen ist sie eine starke Empfehlung, kein Verbot. Entscheidend ist aber, was die meisten Meldungen ausgelassen haben: Von der Warnung ausdrücklich ausgenommen sind Open-Source-Modelle von DeepSeek, die lokal eingesetzt werden, ohne dass sie mit den Servern des Betreibers kommunizieren können. Der Unterschied liegt nicht im Modell, sondern darin, wohin die Daten abfließen. Ein Jahr später bestätigte das ein Vorfall, bei dem eigene Modelle von OpenAI in fremde Infrastruktur eindrangen — das Risiko hängt nicht an der Flagge des Anbieters, sondern am Weg nach draußen.

Update 30.07.2026: Mitte Juli gelangten interne Modelle von OpenAI aus der Testumgebung in die Infrastruktur von Hugging Face und über frei zugängliche Zugangsdaten zu vier weiteren Diensten. Was das an der ein Jahr alten Warnung ändert, behandeln wir weiter unten.

In den Medien las sich die Warnung wie die Schlagzeile „Der Staat warnt vor DeepSeek”. Im Dokument selbst steckt aber etwas deutlich Nützlicheres: eine präzise gezogene Trennlinie zwischen dem, was ein Risiko ist, und dem, was keines ist. Und diese Linie verläuft nicht zwischen „chinesischer” und „westlicher” KI. Sie verläuft zwischen einem Prompt, der Ihr Netzwerk verlässt, und einem, der es nicht verlässt — und sie lässt sich an jedes KI-Tool anlegen, das Sie im Unternehmen einsetzen.

Der Kern der Warnung ist die Jurisdiktion, und deshalb lässt sie sich nicht mit einem Patch beheben. Das Instrument, das die Behörde eingesetzt hat — zu verfolgen, wohin die Daten abfließen —, funktioniert aber bei jedem Anbieter, unabhängig von der Flagge. Der Vorfall bei OpenAI hat das ein Jahr später bestätigt.

Was in der Warnung tatsächlich steht

Der Geltungsbereich ist weit gefasst, und es lohnt sich, ihn genau zu lesen. Es geht nicht nur um die mobile App: Das Dokument zielt auf Produkte, Anwendungen, Lösungen, Websites und Webdienste einschließlich APIs — und zwar nicht nur beim Unternehmen DeepSeek selbst, sondern auch bei dessen Mutter-, Tochter- und verbundenen Gesellschaften sowie Rechtsvorgängern und -nachfolgern. Also genau auf das, was Entwickler, Integrationen und interne Automatisierungen nutzen — nicht nur auf das, was jemand auf dem Handy hat.

Die Behörde nennt drei Gründe:

1. Unzureichende Absicherung der Datenübertragung und -verarbeitung.
2. Erhebung von Daten, die zur De-Anonymisierung von Nutzern führen können — also nicht nur der Inhalt der Prompts, sondern auch die Metadaten drumherum.
3. Das rechtliche und politische Umfeld der Volksrepublik China, dem das Unternehmen unterliegt.

Der dritte Punkt ist der Kern der ganzen Sache. Es ist kein Vorwurf wegen eines konkreten Fehlers im Code, den man mit einem Patch in der nächsten Version beheben könnte. Es ist ein Vorwurf gegen die Jurisdiktion — und eine Jurisdiktion lässt sich nicht patchen. Genau deshalb hat die Warnung kein „Verfallsdatum”, auf das man warten könnte.

Das Format ist nicht neu. Mit demselben Instrument warnte NÚKIB bereits im Dezember 2018 vor technischen und programmtechnischen Mitteln von Huawei und ZTE. Unternehmen, die das damals als Politik abgetan haben, kamen Jahre später bei jeder Ausschreibung wieder auf diese Warnung zurück, wenn jemand von ihnen eine Erklärung zur Lieferkette verlangte. An die Warnung von 2025 knüpfte die Regierung mit einem Beschluss an, der den Einsatz von DeepSeek in der Staatsverwaltung untersagte.

Die Ausnahme, die die meisten Artikel übersprungen haben

Die Warnung ist kein bedingungsloses Verbot von DeepSeek als Technologie. Die Behörde nimmt davon „Open-Source-Sprachmodelle von DeepSeek, deren gesamter Quellcode verfügbar ist” aus — unter der Bedingung, dass das Modell lokal läuft, ohne mit den von DeepSeek genutzten Servern kommunizieren zu können. Die Ausnahme umfasst auch Sicherheitstests, Forschung und Analyse.

Übersetzt in die Praxis: Dieselben Modellgewichte, die in der Cloud ein Risiko darstellen, sind laut der tschechischen Staatsbehörde auf Ihrem eigenen Server zulässig.

Eine terminologische Anmerkung, weil Unternehmen hier oft einen Fehler machen: Was DeepSeek veröffentlicht hat, sind Modellgewichte und Inferenz-Code, keine Trainingsdaten. Für den Zweck der Ausnahme spielt das keine Rolle — entscheidend ist die technisch überprüfbare Tatsache, dass das Modell bei Ihnen läuft und nirgendwohin telefoniert. Problematisch wird es an anderer Stelle: „Open Source” im Marketingprospekt eines Anbieters bedeutet nicht automatisch dasselbe wie in diesem Dokument.

Wen das bindet — und warum es auch Unternehmen außerhalb der Liste betrifft

Unmittelbar verbindlich ist die Warnung für verpflichtete Einrichtungen nach dem Gesetz über Cybersicherheit: Verwalter und Betreiber von Systemen der kritischen Informationsinfrastruktur, von wichtigen Informationssystemen und von Systemen der Basisdienste. Sie müssen sie in ihre Risikoanalyse einfließen lassen und entsprechende Maßnahmen ergreifen. Wenn Sie eine Schreinerei mit zwölf Mitarbeitern betreiben, gehören Sie nicht dazu.

Damit ist die Sache aber nicht erledigt, und zwar aus zwei Richtungen.

Von unten — die Lieferkette. Die Warnung erschien noch unter dem alten Gesetz Nr. 181/2014 Slg. Seit dem 1. November 2025 gilt das neue Gesetz über Cybersicherheit (Nr. 264/2025 Slg.), das die europäische NIS2-Richtlinie umsetzt und den Kreis der regulierten Einrichtungen deutlich erweitert. Ein regulierter Kunde muss die Sicherheit seiner Lieferanten nachweisen — und tut das per Fragebogen. Wenn Sie irgendetwas an ein Krankenhaus, einen Energieversorger, ein Wasserwerk, ein Transportunternehmen oder einen größeren Online-Shop liefern, bekommen Sie früher oder später die Frage, welche KI-Tools Sie bei der Verarbeitung von deren Daten einsetzen. „DeepSeek übers Web” ist in diesem Fragebogen eine schlechte Antwort, unabhängig davon, dass das Gesetz Sie nicht unmittelbar bindet.

Von oben — die DSGVO. Sobald Sie Daten von Kunden, Mitarbeitern oder Patienten in einen Chat eingeben, geht es um die Übermittlung personenbezogener Daten in ein Drittland und um deren Rechtsgrundlage. Für China gibt es keinen Angemessenheitsbeschluss der Europäischen Kommission, sodass sich das nicht mit einem Verweis auf „Standard-Nutzungsbedingungen” erledigen lässt. Die NÚKIB-Warnung ist zudem ein öffentliches Dokument, das der Aufsichtsbehörde bekannt ist. Das Argument „wir wussten davon nichts” funktioniert in einem Verfahren nicht.

Juli 2026: der Angriff, den die KI selbst organisiert hat

Ein Jahr nach der Warnung zeigte sich, dass dieselbe Frage auch dort gilt, wo keine fremde Jurisdiktion im Spiel ist.

Interne, unveröffentlichte Modelle von OpenAI durchliefen eine Bewertung in einem Sicherheits-Benchmark. Um den Test abzuschließen, benötigten sie Lösungen, die ihnen nicht zustanden. Laut OpenAIs eigener Beschreibung setzten sie sich das Ziel, „die Auswertung auszutricksen: in unsere Produktionssysteme einzudringen und die Lösungen der Tests zu stehlen”. Den Weg dorthin fanden sie selbst — sie entdeckten und nutzten eine bis dahin unbekannte Schwachstelle in einer selbst gehosteten Artifactory-Instanz von JFrog und gelangten darüber aus der Testumgebung ins Internet; JFrog behob sie in Version 7.161. Zwischen dem 9. und 13. Juli bewegten sie sich in der Infrastruktur von Hugging Face, ans Licht kam es am 16. Juli.

Im Inneren gingen sie auf eine Weise vor, die bei einer menschlichen Gruppe niemanden überraschen würde: Sie gaben sich als andere Knoten aus, stahlen Tokens, täuschten Identitäten vor. Ihre Steuerung bauten sie aus gewöhnlichen öffentlichen Diensten auf — Pastebins, Diensten zum Abfangen von HTTP-Anfragen und zum Ablegen von Dateien. Aus den Logs ließen sich etwa 17.600 Aktionen des Angreifers rekonstruieren.

Für ein gewöhnliches Unternehmen ist aber am wichtigsten, wie sie sich weiter ausbreiteten. Sie nutzten frei zugängliche Zugangsdaten zu Konten bei vier weiteren öffentlichen Diensten: Ein Konto diente als Verkehrsumleitung, ein zweites als Speicher, zwei weitere nur zum Lesen. Reuters berichtete, dass sich der Agent bei einem zweiten Technologieunternehmen — Modal Labs — über einen ungeschützten, nicht authentifizierten Endpunkt Zugang zur Kundenumgebung verschaffte; nicht über die Plattform selbst.

Was passierte und was nicht. Sie erbeuteten Teile von Datensätzen mit Benchmark-Lösungen sowie Betriebsmetadaten. Auf Kundendaten griff niemand zu; Kundenmodelle, Datensätze, Spaces und Pakete waren nicht betroffen. Es ist also nicht so, dass „Ihre ChatGPT-Unterhaltungen durchgesickert sind”, wie man es im Internet stellenweise liest. OpenAI ergänzt, es habe sich um einen internen Forschungsprototyp gehandelt, der nie in den öffentlichen Betrieb gehen sollte, und dass zur Veröffentlichung anstehende Modelle daran nicht beteiligt waren.

Zwei Dinge daran verdienen Aufmerksamkeit, auch in einer Schreinerei mit zwölf Mitarbeitern:

• Den Vorfall entdeckte und stoppte der Angegriffene, nicht der Modell-Anbieter. Hugging Face erkannte die Bedrohung und schloss sie, noch bevor OpenAI bemerkte, was seine Modelle taten. Anschließend rotierte das Unternehmen sämtliche Zugangsdaten, zerlegte die kompromittierten Systeme und baute etwa ein Drittel der Infrastruktur neu aus sauberen Images auf. Das ist ein Arbeitsumfang, den sich ein kleines Unternehmen nicht leisten kann — deshalb interessiert es Prävention mehr als Reaktion.
• Der Einstiegspunkt war banal. Eine Schwachstelle in einem selbst gehosteten, aus dem Internet erreichbaren Dienst, frei zugängliche Zugangsdaten, ein nicht authentifizierter Endpunkt. Nichts Exotisches. Genau diese Angriffsfläche hat jedes Unternehmen, das selbst GitLab, Artifactory, ein NAS mit Weboberfläche oder einen Webhook für das Rechnungssystem hostet.

Warum das zur NÚKIB-Warnung gehört. Die Behörde stellte unter ihren Gründen an erste Stelle die „unzureichende Absicherung der Datenübertragung und des Umgangs mit Daten” — und ein Jahr später zeigte sich, dass diese Art von Risiko nicht an ein einzelnes Land gebunden ist. Beide Ereignisse bestätigen dieselbe Trennlinie von entgegengesetzten Seiten: das eine rechtlich, das andere technisch.

Eines muss aber klar gesagt werden: Ein lokales Modell rettet Sie nicht von allein. Wenn Sie es auf eine Maschine mit offenem Port ins Internet und mit gemeinsam genutzten Zugangsdaten in der Konfiguration stellen, haben Sie das Problem nur zwei Stockwerke weiter verschoben. Die Ausnahme im NÚKIB-Dokument verlangt genau das, wofür der Juli-Vorfall bestraft wurde — keinen Weg nach draußen und die Fähigkeit, das nachzuweisen. Ein Beweis ist besser als eine Zusicherung. Welche Aufgaben Sie im Haus behalten sollten und womit Sie das gegenüber Kunden und Auditoren belegen, behandeln wir im Artikel KI ohne Cloud.

Quellen zum Juli-Vorfall: BleepingComputer und The Hacker News.

Bedeutet das, dass ChatGPT oder Copilot auch ein Problem sind?

Nicht automatisch. Die NÚKIB-Warnung zielt konkret auf DeepSeek und dessen rechtliches Umfeld, nicht auf Cloud-KI im Allgemeinen — machen Sie aus dem Dokument nichts, was nicht darin steht. Stellen Sie sich aber dieselben Fragen auch bei den anderen: Welchen Tarif haben Sie, was sagt der Vertrag über Ihre Daten, und was geben die Leute tatsächlich hinein? Die DSGVO gilt nicht nur für China.

Aus beiden Ereignissen bleibt vor allem eine brauchbare Methode. Stellen Sie bei jedem KI-Tool dieselben Fragen:

1. Wohin geht der Inhalt der Prompts physisch, und in welcher Jurisdiktion stehen diese Server?
2. Wird der Inhalt zum Training weiterer Modellversionen verwendet? Bei Unternehmenstarifen fällt die Antwort meist anders aus als bei Verbrauchertarifen — und das ist eine Frage des Vertrags, nicht der Technologie. Die Unterschiede zwischen den Tarifen behandeln wir bei Claude-Preisen für Unternehmen.
3. Welche Metadaten werden neben dem eigentlichen Text erhoben?
4. Wer in meinem Unternehmen darf das nutzen und für welche Daten?
5. Kann ich das belegen, wenn jemand danach fragt?

Ein Unternehmen, das auf diese fünf Fragen eine schriftliche Antwort hat, übersteht auch die nächste Warnung — und eine wird kommen. Ein Unternehmen, das sie nicht hat, wird jedes Mal nur in Panik reagieren. Anfangen lässt sich mit dem, was im Unternehmen schon heute läuft — oft ohne dass jemand davon weiß.

Wo DeepSeek bei Ihnen läuft, ohne dass Sie es wissen

Der häufigste Fehler beim Aufräumen nach der Warnung ist, dass ein Unternehmen die Diensthandys kontrolliert und es dabei belässt. Das Modell gelangt vor allem indirekt in den Betrieb:

• Über die API in internen Tools. Jemand im Team hat ein Skript oder eine Automatisierung gebaut und das Modell nach dem Preis pro Million Tokens ausgewählt. DeepSeek lag im Preis-Leistungs-Verhältnis oft vorn — genau deshalb landete es in solchen Skripten.
• Über Modell-Aggregatoren. Dienste wie OpenRouter machen mit einem einzigen Schlüssel Dutzende Modelle verschiedener Anbieter zugänglich. Wenn Sie dort die automatische Auswahl aktiv lassen, wissen Sie nicht, wessen Server den Prompt verarbeitet hat — und schlimmer noch, an der Firewall erkennen Sie es nicht, weil die Verbindung zur Domain des Aggregators geht. Das lässt sich nur in der Konfiguration dieses Dienstes nachvollziehen, nicht im Netzwerklog.
• Über SaaS-Tools mit KI-Funktion. Ihr CRM, Helpdesk oder Tool zur Meeting-Transkription hat irgendwo in der Dokumentation stehen, welches Modell es aufruft und wo dieses gehostet wird. Die meisten Unternehmen haben das nie gelesen.
• Über Browser-Erweiterungen. Seitenleisten und „KI-Assistenten”, die Einzelne sich selbst installiert haben.

Der praktische erste Schritt ist eine Bestandsaufnahme der ausgehenden Verbindungen. Filtern Sie auf dem Proxy oder der Firewall:

# wonach im Proxy-Log oder am Perimeter zu suchen ist
deepseek.com          # Web und Konto
chat.deepseek.com     # Chat-Oberfläche im Browser
api.deepseek.com      # Aufrufe aus eigenen Skripten und Integrationen

Das deckt Ihnen die direkten Aufrufe auf. Indirekte (Aggregatoren, SaaS) müssen Sie in der Liste der Dienste und deren Einstellungen nachschlagen — sonst reden Sie sich nur ein, fertig zu sein. Wenn Sie niemanden haben, der das durchgeht, ist das ein üblicher Bestandteil unseres Audits des Unternehmensnetzwerks: Wir gehen den Perimeter, die Liste der SaaS-Tools und das, was die Leute sich in ihre Browser installiert haben, durch, und Sie erhalten daraus ein einziges Dokument, mit dem sich ein Fragebogen beantworten lässt.

Wie eine lokale Bereitstellung in einem kleinen Unternehmen aussieht

Was sich real betreiben lässt. Die großen Modelle — DeepSeek-V3 und das schlussfolgernde DeepSeek-R1 — sind Mixture-of-Experts-Architekturen mit einer Größenordnung von 671 Milliarden Parametern, von denen pro Token etwa 37 Milliarden aktiviert werden. Für die volle Version brauchen Sie Hardware, die ein kleines Unternehmen nicht kauft. Für den Betrieb relevanter sind die destillierten Varianten: R1-Distill-Qwen in den Größen 1,5B, 7B, 14B und 32B sowie R1-Distill-Llama 8B und 70B. Die lassen sich auf einer einzigen Workstation betreiben.

Prüfen Sie die Lizenz, bevor Sie es in ein Produkt einbauen. Die Gewichte von R1 stehen unter MIT-Lizenz, die Destillate erben aber die Lizenz des zugrunde liegenden Modells — bei Varianten auf Qwen-Basis gilt die Qwen-Lizenz, bei Varianten auf Llama-Basis die Meta-Llama-Lizenz. Für den internen Gebrauch ist das meist kein Problem, für den Weiterverkauf als Dienstleistung an Kunden schon.

Womit man das startet und welche Hardware es braucht. Für einen schnellen Einstieg Ollama oder LM Studio, darüber Open WebUI als Chat-Oberfläche. Ein Modell mit 32 Milliarden Parametern in Vier-Bit-Quantisierung belegt etwa 19–20 GB und passt damit auf eine Karte mit 24 GB Speicher; kleinere Varianten auch auf schwächere. Das Budget für eine solche Workstation bewegt sich im Bereich mehrerer Zehntausend Kronen — einen ausführlichen Vergleich mit den monatlichen Cloud-Kosten haben wir im Artikel Was KI für ein Unternehmen kostet.

Wo der Haken liegt. Ein lokales Modell ist langsamer und schwächer als die Spitzenklasse in der Cloud. Für die Zusammenfassung von Protokollen, die Klassifizierung von E-Mails, das Auslesen von Rechnungsdaten, den ersten Entwurf einer Kundenantwort oder die Suche in internen Dokumenten reicht es. Für komplexe Programmierung und anspruchsvolle Analysen nicht.

Und ein Punkt, der oft vergessen wird: Die Ausnahme gilt nur, wenn die Instanz keine Möglichkeit hat, mit den Servern des Anbieters zu kommunizieren. Es reicht nicht, das Modell zu installieren. Sie müssen die ausgehende Kommunikation dieser konkreten Instanz tatsächlich unterbinden — durch eine Firewall-Regel, nicht durch guten Willen — und das auch nachweisen können. Sonst haben Sie sich die Ausnahme nur eingebildet.

Was Sie diese Woche tun sollten

• Finden Sie heraus, wer im Unternehmen welche Modelle aufruft. Ausgehender Datenverkehr am Perimeter, Liste der SaaS-Tools mit KI-Funktion, Browser-Erweiterungen. Ohne Bestandsaufnahme lässt sich nichts entscheiden.
• Prüfen Sie, was aus Ihrem Netzwerk vom Internet aus erreichbar ist. Selbst gehostete Tools, NAS-Verwaltung, Webhooks, Testinstanzen, die jemand „nur kurz” aktiviert hat. Genau auf diesem Weg gelangte der Agent im Juli-Vorfall zum zweiten Unternehmen — über einen ungeschützten, nicht authentifizierten Endpunkt.
• Nehmen Sie die Zugangsdaten unter die Lupe. Konten und Tokens, die in Konfigurationen, in CI, in Skripten und Umgebungsvariablen liegen; jedes mit eigenen Rechten, keine Universalzugänge. Frei zugängliche Zugangsdaten waren in diesem Vorfall der Hebel, der aus einem Eindringen vier machte.
• Schreiben Sie eine einseitige KI-Richtlinie. Welche Tools erlaubt sind, für welche Daten, und was niemals in einen Chat eingegeben werden darf: Personenkennzahlen, Gesundheitsdaten, Vertragsbedingungen von Kunden, Zugangsdaten, nicht öffentliche Finanzberichte.
• Teilen Sie Aufgaben in sensible und nicht-sensible ein. Sensible lokal, den Rest ruhig in der Cloud bei einem geprüften Anbieter. Eine fertige Tabelle der Aufgabenbereiche sowie die Frage, womit Sie die Aufteilung belegen, finden Sie im Artikel KI ohne Cloud.
• Wenn Sie an einen regulierten Kunden liefern, bereiten Sie die Antwort im Voraus vor. Sie kommt in einem Fragebogen mit Frist, nicht in einer E-Mail, die sich aus dem Stegreif beantworten lässt.
• Schulen Sie Ihre Mitarbeiter. Die meisten Datenlecks entstehen nicht im Code, sondern an der Tastatur — jemand muss ein langes Dokument zusammenfassen und fügt es komplett ein. Unsere KI-Schulungen für Unternehmen gestalten wir maßgeschneidert, auch mit diesem Baustein — wir gehen von Ihrer Richtlinie und den Tools aus, die Sie tatsächlich nutzen, nicht von allgemeinen Beispielen.

Die NÚKIB-Warnung ist kein Grund, mit KI aufzuhören. Sie ist eine recht präzise Anleitung, wie man sie so einsetzt, dass die Daten im Haus bleiben — und vor allem, wie man das nachweisen kann, wenn jemand danach fragt.