Graue Märkte für KI-Zugang in China: Ein Blick auf die Transferstationen und ihre Auswirkungen

Der Schattenmarkt für KI-Zugang in China: Eine Analyse der "Transferstationen"

Die Landschaft der Künstlichen Intelligenz ist von rasanten Entwicklungen und globaler Konkurrenz geprägt. Während führende KI-Anbieter wie Anthropic strenge Zugangsbeschränkungen für bestimmte Regionen, insbesondere China, implementieren, hat sich dort ein komplexer Graumarkt entwickelt. Dieser Markt ermöglicht den Zugang zu westlichen KI-Modellen wie Claude zu einem Bruchteil der offiziellen Kosten und wirft weitreichende Fragen hinsichtlich Sicherheit, Datenschutz und der Integrität von KI-Modellen auf.

Geoblocking und die Entstehung von Umgehungsstrategien

Anthropic, der Entwickler des KI-Modells Claude, gehört zu den Anbietern mit den wohl strengsten Zugangskontrollen für chinesische Nutzer. Diese umfassen Telefonnummernprüfungen, die Notwendigkeit ausländischer Kreditkarten, Rechnungsadressen außerhalb Chinas und sogar biometrische Verifizierungen für ausgewählte Nutzer. Unternehmen, die zu mehr als 50 Prozent von Entitäten in nicht unterstützten Regionen wie China kontrolliert werden, sind vom Zugang ausgeschlossen. Trotz dieser Maßnahmen hat sich in China ein florierender Graumarkt etabliert, der den Zugang zu Claude-Tokens zu etwa 10 Prozent des offiziellen Preises ermöglicht. Dies geht aus einer detaillierten Analyse von Zilan Qian, einer Forscherin am Oxford China Policy Lab, hervor.

Die Rolle der "Transferstationen"

Das Kernstück dieses Graumarktes sind sogenannte "Transferstationen". Hierbei handelt es sich um API-Proxys, die auf Servern außerhalb Chinas gehostet werden. Sie empfangen API-Anfragen von chinesischen Nutzern, leiten diese so weiter, als kämen sie von einem legitimen Standort, und übermitteln die Antwort zurück. Die Bezahlung erfolgt bequem in chinesischen Yuan über lokale Dienste wie WeChat oder Alipay, wodurch die Notwendigkeit von VPNs oder ausländischen Kreditkarten entfällt. Diese Transferstationen sind in Community-Verzeichnissen gelistet und werden nach Preis und Verfügbarkeit bewertet.

Die Nutzerbasis dieser Dienste ist breit gefächert und reicht von Studenten und Forschern über Entwickler und Technologieunternehmen bis hin zu Hobbyisten. Ein wesentlicher Anwendungsfall, so Qian, ist die sogenannte "Distillation" durch chinesische KI-Labore. Dabei lernen sie aus den Outputs leistungsfähigerer westlicher Modelle, um die eigenen, schwächeren Modelle schneller zu verbessern.

Eine modulare Lieferkette: Resilienz und Herausforderungen

Qians Analyse beschreibt die Transferstationen als Teil einer modularen Lieferkette, die sich als äußerst widerstandsfähig erweist. Vorgelagerte Akteure, sogenannte Account-Broker, registrieren massenhaft Anthropic-Konten. SMS-Verifizierungsplattformen stellen ausländische Telefonnummern bereit, und Reverse-Engineering-Spezialisten untersuchen Anthropic's Erkennungsmethoden. Nachgelagerte Akteure, darunter Entwickler, Unternehmen und Wiederverkäufer, vermarkten den Zugang auf chinesischen E-Commerce-Plattformen wie Taobao.

Die Stärke dieses Systems liegt in seiner Modularität: Die meisten Beteiligten betreiben nur ein oder zwei Glieder der Kette. Wird ein Anbieter gesperrt, bleiben die vorgelagerten Account-Pools und die nachgelagerten Kunden intakt. Ein Ersatz kann innerhalb weniger Stunden eingerichtet werden. Selbst neuere KYC-Identitätsprüfungen von Anthropic, die eine Verifizierung mit Ausweis und Live-Selfie erfordern, haben bereits Umgehungsmöglichkeiten und spezielle Infrastrukturen hervorgebracht. KI-Dienste können realistische gefälschte Ausweise generieren, und Deepfake-Technologie wird zur Umgehung biometrischer Prüfungen eingesetzt. In Fällen, in denen dies nicht ausreicht, werden laut Qian sogar reale Personen in Ländern mit niedrigem Einkommen für Verifizierungen in diesen KYC-Märkten rekrutiert. Als Präzedenzfall verweist sie auf den Schwarzmarkt um Worldcoin, dessen Identitätssystem Nutzer durch Iris-Scans verifiziert, wobei Scans aus Kambodscha und Kenia für unter 30 US-Dollar gehandelt wurden.

Preissenkung und Modelltausch: Die Mechanismen des Graumarktes

Die Betreiber der Transferstationen erzielen die drastische Preissenkung durch eine Kombination von Methoden:

- Ausnutzung der kostenlosen 5-Dollar-Guthaben von Anthropic. - Inanspruchnahme von Unternehmens- und Bildungsrabatten. - Aufteilung eines einzelnen 200-Dollar-Max-Plans auf mehrere Nutzer durch Token-Kontingente. - Es wird vermutet, dass auch Konten, die mit gestohlenen oder betrügerisch verwendeten Kreditkarten finanziert wurden, in diese Pools einfließen, wobei der genaue Anteil schwer zu bestimmen ist.

Ein weiterer wichtiger Aspekt ist das "Modell-Swapping". Da der Proxy zwischen dem Nutzer und Anthropic sitzt, kann er eine Anfrage, die für das teurere Opus 4.7 gedacht ist, stillschweigend an das günstigere Sonnet oder sogar an chinesische Modelle wie Qwen umleiten. Forscher des CISPA Helmholtz-Zentrums für Informationssicherheit in Deutschland untersuchten 17 API-Proxys und stellten ein weit verbreitetes Modell-Swapping fest. Ein angeblicher "Gemini-2.5"-Endpunkt erreichte beispielsweise bei einem medizinischen Benchmark lediglich 37 Prozent statt der offiziellen 83,82 Prozent. Diese Praxis wird in der chinesischen Community als "Verdünnung" bezeichnet.

Monetarisierung von Nutzungsdaten und Datenschutzrisiken

Der größte Hebel zur Preissenkung könnte laut Qian die Monetarisierung von Nutzungsdaten sein. Jede Anfrage, die durch einen Proxy läuft, ist potenziell für den Betreiber sichtbar, einschließlich Prompts, Antworten, Tool-Aufrufe und Iterationen. Code-Agenten können noch mehr Kontext aus der Codebasis und dem Workflow offenlegen. Diese Protokolle könnten wertvolle Trainings- oder Destillationsdaten enthalten.

Datensätze mit Claude Opus 4.6 Reasoning-Outputs ohne klare Herkunft sind bereits auf HuggingFace im Umlauf. Chinesische Entwickler warnen, dass das Token-Geschäft lediglich zur Kundenakquise dient und die eigentliche Marge in den Protokollen liegt. Qian betont, dass es derzeit keine Beweise dafür gibt, dass Betreiber von Transferstationen diese Daten systematisch sammeln und verkaufen oder wer die Käufer sein könnten. Ihre Argumentation besagt jedoch, dass extrem niedrige Preise durch eine zusätzliche Monetarisierung der Protokolle rentabel werden könnten. In diesem Szenario wären Nutzer gleichzeitig zahlende Kunden und unbezahlte Datenproduzenten.

Die unbeabsichtigten Folgen von Zugangsbeschränkungen

Qian kommt zu dem Schluss, dass die Auswirkungen weit über die technologische Rivalität zwischen den USA und China hinausgehen. Die Methoden, die ein geoblockierter Entwickler nutzt, um Zugang zu erhalten, sind strukturell identisch mit denen, die ein böswilliger Akteur verwenden könnte, um auf Frontier-Modelle zuzugreifen, ohne zurückverfolgt zu werden. Wenn eine Anfrage über einen Proxy erfolgt, sieht Anthropic zunächst das Konto und die IP-Adresse des Proxys, nicht den tatsächlichen Endnutzer. Dies kann auch Überwachungssysteme wie Clio schwächen, die darauf ausgelegt sind, koordinierte Missbrauchsmuster über Konten und Konversationen hinweg zu erkennen, insbesondere wenn die Aktivität über viele Proxy-Konten verteilt und in individuell unauffällige Unteranfragen aufgeteilt wird.

Die Umgehungsinfrastruktur nährt zudem kriminelle Märkte jenseits der KI. Biometrische Daten, die für KYC-Umgehungen gesammelt werden, könnten für Finanzbetrug oder Deepfakes weiterverkauft werden. Account-Farming-Operationen unterstützen Spam, Phishing und Kreditkartenbetrug. Qian weist darauf hin, dass Zugangsbeschränkungen historisch profitable Umgehungsmärkte geschaffen haben, von der Großen Firewall bis zu den heutigen Transferstationen.

Der Kampf gegen die Modelldistillation

Diese Graumarkt-Infrastruktur schadet dem Geschäft von Anthropic, da sie bereits für groß angelegte Destillationsangriffe durch chinesische KI-Unternehmen genutzt wurde. Anthropic, OpenAI und Google haben kürzlich begonnen, gemeinsam gegen die unautorisierte Modellkopie durch chinesische Konkurrenten vorzugehen.

Anthropic hatte zuvor groß angelegte Destillationsangriffe von Deepseek, Moonshot und MiniMax aufgedeckt, bei denen mehr als 24.000 gefälschte Konten über 16 Millionen Anfragen generierten. Das Unternehmen stellte seine Dienste für Unternehmen unter chinesischer Kontrolle ein und schloss die Tochtergesellschafts-Schlupfloch. Alibaba verbot seinen Mitarbeitern die Verwendung von Claude Code, nachdem versteckter Code gefunden wurde, der chinesische Nutzer identifizieren konnte.

Die Branche ist jedoch gespalten, ob Distillation überhaupt ein Problem darstellt. Stimmen aus dem Sektor haben begonnen, dies als normale Geschäftspraxis zu betrachten, angetrieben von Interessen an der Stärkung von Open-Weight-Modellen. Mark Zuckerberg bezeichnete das Lernen aus allem Beobachtbaren, einschließlich der Destillation konkurrierender Modelle, als ein schützenswertes Prinzip. Ende Juli 2026 warnten 25 Unternehmen, darunter Nvidia, Microsoft und Meta, vor verfrühten Beschränkungen der Distillation.

Dieser Widerstand macht es unwahrscheinlich, dass die US-Regierung allein wegen der Distillation regulatorisch eingreifen wird, obwohl sie aus Gründen der Cybersicherheit oder einfach zur Verlangsamung Chinas handeln könnte. Derzeit bleibt es den KI-Laboren überlassen, sich selbst zu schützen und ihre eigenen Nutzungsbedingungen durchzusetzen. Doch wie Qians Bericht zeigt, sind ihre Schutzmaßnahmen noch nicht ausreichend und können durch zugegebenermaßen illegale Methoden umgangen werden, die dennoch Destillationsdaten liefern.

Die Entwicklungen auf dem chinesischen Graumarkt für KI-Zugang verdeutlichen die komplexen Herausforderungen, denen sich KI-Anbieter in einem globalisierten und technologisch fortgeschrittenen Umfeld gegenübersehen. Die Balance zwischen Innovation, Zugangskontrolle und der Verhinderung von Missbrauch bleibt eine zentrale Aufgabe für die Zukunft der Künstlichen Intelligenz.

Bibliography: - Bezmalinović, T. (2026, 23. August). How China's gray market sells Claude tokens at a fraction of the price. The Decoder. - Qian, Z. (2026, 5. Mai). How to Buy Cheap Claude Tokens in China - by Zilan Qian - ChinaTalk. ChinaTalk. - Ottinger, L. (2025, 5. Juni). How to Use Banned US Models in China. ChinaTalk. - Schmalbach, V. (2026, 18. Mai). How China’s Shadow AI API Market Works - Vincent Schmalbach. Vincent Schmalbach. - James, L. (2026, 9. Mai). Chinese grey market sells Claude API access at 90% off by using stolen credentials, model substitution, and harvesting users' prompts and outputs for resale as AI training data — 'transfer stations' operate through proxy networks that harvest user data | Tom's Hardware. Tom's Hardware. - Analytics, D. (2026, 5. Juni). Middlemen Package Extra Tokens, Hijack IDs to Resell, Distill Models. DeepLearning.AI. - Markovic, S. (2026, 6. August). Discounted Claude access bought on the gray market may expose every prompt you send - Help Net Security. Help Net Security. - Kasanmascheff, M. (2026, 3. Juli). China’s Cheap Claude Tokens: Relay Proxy Markets and Chat-Log Selling for Distillation. WinBuzzer. - Felicity, T. (2026, 26. Juni). Turns Out There's a Huge Black Market for Claude AI Tokens in China and It's Selling at Up to 93% Cheaper | IBTimes UK. IBTimes UK. - Toki AI. (2026, 12. Mai). A grey market resells Claude access in China at 5 percent of the… Diary of a Token.