Wie Chinas Graumarkt Claude-Tokens zu Spottpreisen verkauft

Trotz Geoblocking, Kreditkartenprüfung und teils verlangter biometrischer Verifizierung floriert in China ein Graumarkt für Anthropics KI-Modelle. Sogenannte Transferstationen untergraben Zugangssperren und grundlegende Annahmen der KI-Sicherheit.

Anthropic betreibt unter den großen KI-Anbietern die wohl rigidesten Zugangssperren gegen China. Telefonnummern, ausländische Kreditkarten, Rechnungsadressen, ein Verbot für Firmen, die direkt oder indirekt zu mehr als 50 Prozent Unternehmen mit Sitz in nicht unterstützten Regionen wie China gehören, und bei ausgewählten Nutzern sogar eine Identitätsprüfung mit Ausweis und Live-Selfie.

Dennoch können chinesische Entwickler Claude-Tokens laut einer Analyse teils für etwa zehn Prozent des offiziellen Preises kaufen. Das zeigt eine detaillierte Analyse von Zilan Qian, Forscherin am Oxford China Policy Lab, für ChinaTalk.

Transferstationen als Zugangsschlüssel

Der Schlüssel dazu sind sogenannte Transferstationen, wie die chinesische Entwicklerszene API-Proxys nennt. Das sind Server im Ausland, die API-Anfragen entgegennehmen, sie so weiterleiten, als kämen sie von einem legitimen Standort, und die Antwort zurückspielen. Nutzer zahlen in chinesischen Yuan über WeChat oder Alipay. Weder VPN noch ausländische Kreditkarte sind nötig. Prominente Transferstationen werden in Community-Verzeichnissen katalogisiert und nach Preis und Verfügbarkeit gerankt.

Genutzt werden diese Dienste laut Qian wohl von chinesischen KI-Laboren, die westliche Modelle für Destillation verwenden wollen, also das Lernen aus den Ausgaben eines stärkeren Modells, um ein eigenes, schwächeres Modell schneller zu verbessern.

Zu den Kunden zählen aber auch Studenten und Forscher, Entwickler, Tech-Angestellte, Unternehmen, App-Anbieter und Hobbyisten. Qian argumentiert deshalb, dass die in den USA vor allem als Sicherheitsproblem diskutierten Proxy-Netzwerke Teil eines wesentlich breiteren kommerziellen Marktes für Claude-Zugang in China sind.

Dreischichtige Lieferkette macht das System widerstandsfähig

Laut Qians Analyse ist eine Transferstation ein Akteur in der Mitte einer modularen Lieferkette. Vorgelagert operieren Account-Händler, die massenhaft Anthropic-Konten registrieren, SMS-Verifizierungsplattformen für ausländische Telefonnummern und Spezialisten für Rückentwicklung, die Anthropics Erkennungsmechanismen analysieren. Nachgelagert stehen Entwickler, Unternehmen und Wiederverkäufer, die den Zugang etwa auf der chinesischen Online-Handelsplattform Taobao weitervermarkten.

Die meisten Beteiligten betreiben laut Qian nur ein oder zwei Glieder der Kette. Das macht das System widerstandsfähig: Wenn ein Anbieter gesperrt wird, bleiben die vorgelagerten Account-Pools und die nachgelagerte Kundschaft intakt. Ein Ersatz lässt sich innerhalb von Stunden aufbauen.

Auch für Anthropics neue Identitätsprüfung nach dem KYC-Prinzip ("Know Your Customer"), bei der ausgewählte Nutzer ihre Identität mit Ausweis und Live-Selfie bestätigen müssen, existieren laut Qian bereits Umgehungsdienste und einschlägige Infrastruktur. KI-Dienste können realistische gefälschte Ausweise erzeugen, während Deepfake-Technik grundsätzlich dazu genutzt wird, biometrische Prüfungen zu umgehen.

Wo das nicht reicht, werden Qian zufolge in solchen KYC-Märkten teils reale Personen in einkommensschwachen Ländern für Verifizierungen rekrutiert. Diese Angaben stützen sich allerdings unter anderem auf informelle Gespräche und die Auswertung öffentlich verfügbarer Quellen. Als Präzedenzfall nennt sie den Schwarzmarkt rund um Worldcoin, dessen Identitätssystem Nutzer per Iris-Scan verifiziert. Scans aus Kambodscha und Kenia wurden laut Qian für unter 30 Dollar gehandelt.

Das Geschäftsmodell hinter den Billigpreisen

Doch wie erreichen die Anbieter Preise von 70 bis 90 Prozent unter dem Listenpreis? Das Geschäftsmodell beruht auf mehreren Taktiken.

Die erste ist der Aufschlag auf den Zugang selbst. Betreiber farmen Anthropics kostenloses 5-Dollar-Guthaben, nutzen Unternehmens- und Bildungsrabatte aus oder teilen einen einzelnen 200-Dollar-Max-Plan per Token-Kontingent auf mehrere Nutzer auf. Auch mit gestohlenen oder betrügerisch eingesetzten Kreditkarten finanzierte Accounts könnten laut der Analyse in solche Pools einfließen. Wie groß ihr Anteil ist, lässt sich jedoch nicht verlässlich beziffern.

Die zweite Taktik ist Modell-Tausch. Da der Proxy zwischen Nutzer und Anthropic sitzt, kann er eine Anfrage, die an Opus 4.7 gerichtet ist, stillschweigend an das günstigere Sonnet oder sogar an chinesische Modelle wie Qwen weiterleiten. Forscher des deutschen CISPA Helmholtz Center for Information Security untersuchten laut Qian 17 API-Proxys und fanden weitverbreitetes Model-Swapping. Ein angeblicher "Gemini-2.5"-Zugang erreichte auf einem Medizin-Benchmark nur 37 Prozent statt der offiziellen 83,82 Prozent. In der chinesischen Community heißt das Phänomen "Verwässerung" (Diluting).

Die dritte und laut Qian möglicherweise wichtigste Taktik ist die Verwertung der Nutzungsdaten. Jede Anfrage, die durch einen Proxy läuft, kann für dessen Betreiber grundsätzlich einsehbar sein, darunter Prompts, Antworten, Tool-Aufrufe und Iterationen. Bei Coding-Agenten kann zudem umfangreicher Kontext aus der Codebasis und dem Arbeitsprozess anfallen. Solche Protokolldaten könnten wertvolle Trainings- oder Destillationsdaten enthalten.

Auf HuggingFace kursieren bereits Datensätze mit Claude-Opus-4.6-Reasoning-Outputs ohne klare Herkunftsangabe. Chinesische Entwickler warnen laut der Analyse, dass das Token-Geschäft nur der Kundenakquise diene und die eigentliche Marge in den Logs liege. Qian betont jedoch, dass bislang nicht belegt ist, ob Transfer-Station-Betreiber solche Daten systematisch sammeln und verkaufen und wer mögliche Abnehmer wären. Ihre These lautet, dass gerade extrem niedrige Preise durch eine zusätzliche Monetarisierung der Logs wirtschaftlich werden könnten. Nutzer wären in einem solchen Szenario gleichzeitig zahlende Kunden und unbezahlte Datenproduzenten.

Zugangssperren erzeugen die Märkte, die sie verhindern sollen

Die Analyse kommt zu dem Schluss, dass die Implikationen weit über den Technologiekonflikt zwischen den USA und China hinausgehen. Die Methoden, mit denen ein geoblockierter Entwickler Zugang erhält, seien strukturell identisch mit denen, die ein böswilliger Akteur nutzen könnte, um ohne Rückverfolgbarkeit auf Frontier-Modelle zuzugreifen.

Anthropic sieht bei einer über einen Proxy laufenden Anfrage zunächst dessen Account und IP-Adresse statt unmittelbar den tatsächlichen Endnutzer. Das kann auch Monitoring-Systeme wie Clio schwächen, die koordinierte Missbrauchsmuster über Accounts und Konversationen hinweg erkennen sollen,  insbesondere wenn Aktivitäten auf viele Proxy-Accounts und einzeln unauffällige Teilanfragen verteilt werden.

Zudem nähre die Umgehungsinfrastruktur kriminelle Märkte jenseits der KI: Biometrische Daten, die für KYC-Umgehung gesammelt werden, ließen sich für Finanzbetrug oder Deepfakes weiterverkaufen. Die Account-Farming-Operationen stützten Spam, Phishing und Kreditkartenbetrug. Qian verweist darauf, dass Zugangssperren historisch häufig profitable Umgehungsmärkte hervorgebracht hätten, von der Großen Firewall bis zu den heutigen Transferstationen.

Anthropic, OpenAI und Google kämpfen seit Monaten gegen Destillation

Für Anthropic ist diese Infrastruktur auch deshalb relevant, weil sie bereits bei großangelegten Destillationsangriffen chinesischer KI-Unternehmen zum Einsatz kam. Vor kurzem hatten Anthropic, OpenAI und Google begonnen, gemeinsam gegen unautorisiertes Modell-Kopieren durch chinesische Wettbewerber vorzugehen.

Anthropic hatte zuvor großangelegte Destillationsangriffe von Deepseek, Moonshot und MiniMax aufgedeckt, bei denen mehr als 24.000 gefälschte Accounts mehr als 16 Millionen Anfragen generierten. Das Unternehmen stoppte seine Dienste für Firmen unter chinesischer Kontrolle und schloss das Tochtergesellschaften-Schlupfloch. Alibaba wiederum verbot seinen Mitarbeitern die Nutzung von Claude Code, nachdem darin versteckter Code entdeckt worden war, der chinesische Nutzer identifizieren konnte.

Zuletzt gab es in der Industrie jedoch vermehrt Stimmen, die Destillation positiv und als normalen Industrievorgang bewerteten, geleitet von Interessen, Open-Weight-Modelle zu stärken und die großen KI-Labore zu schwächen. Mark Zuckerberg etwa erklärte das Lernen aus allem Beobachtbaren, einschließlich der Destillation konkurrierender Modelle, sogar zum schützenswerten Prinzip. Ende Juli 2026 warnten 25 Unternehmen, darunter Nvidia, Microsoft und Meta, vor verfrühten Restriktionen gegen Destillation.

Letztlich entsteht durch diese Gegenkraft ein Szenario, in dem die US-Regierung wahrscheinlich nicht regulierend eingreifen wird. Den KI-Laboren bleibt es überlassen, sich selbst zu schützen und ihre AGB durchzusetzen, etwa durch entsprechende Schutzmaßnahmen. Doch die sind, wie Qians Bericht zeigt, offenbar noch nicht gut genug und können durch zugegebenermaßen illegale Methoden ausgehebelt werden, um letztlich dennoch an Destillationsdaten zu kommen.