Christian

KI-Werkzeuge: eine Landkarte für Lehrkräfte

Stand: November 2026 · Zielgruppe: Lehrkräfte ohne Informatikstudium Was dieses Dokument leistet: Es ordnet KI-Werkzeuge in eine Kette ein – vom Trainingskorpus bis zum Werkzeug im Klassenzimmer – und zeigt, an welcher Stelle dieser Kette die sechs Prüffelder Sicherheit, Datenschutz, Urheberrecht, Kosten, Souveränität, Bias greifen. Am Ende stehen fünf konkrete Betriebsmodelle im Vergleich.

Dies ist eine Orientierungshilfe, keine Rechtsberatung. Für verbindliche Auskünfte: Datenschutzbeauftragte der Schule, Schulleitung, Landesmedienanstalt.

Kurzfassung

Ein „KI-Tool" ist fast nie eine Sache. Es sind mindestens vier: Modell, Laufzeit, Client, Harness. Der Name nennt meist nur das Produkt.
Die sechs Prüffelder greifen an verschiedenen Stellen der Kette. Datenschutz entscheidet sich beim Inferenzort, Urheberrecht beim Trainingskorpus, Kosten beim Training und bei der Inferenz, Souveränität bei Gewichten und Jurisdiktion, Sicherheit am stärksten beim Harness, Bias bei Korpus, RLHF und Systemprompt.
„Offene Gewichte" ist nicht „Open Source". Offene Gewichte dürfen Sie selbst betreiben – aber niemand sagt Ihnen, woraus sie gelernt haben.
Wer ein Modell selbst betreibt, erbt alle Fragen, die vorher der Anbieter beantwortet hat. Das ist der eigentliche Preis der Souveränität.
Die riskanteste Komponente ist nicht das Modell, sondern der Harness. Ein Modell, das nur Text zurückgibt, kann wenig anrichten. Ein Agent, der Dateien liest und Befehle ausführt, kann viel.
Datenresidenz ist nicht Souveränität. Ein geschlossenes Modell über AWS Bedrock in Frankfurt zu beziehen verbessert den Datenschutz messbar – die Eigentumsverhältnisse ändert es nicht.
Bias hat zwei Formen: offen und versteckt. Der offene Bias chinesischer Modelle ist bekannt und benannt. Der versteckte Bias westlicher Modelle ist genauso wirksam – er heißt nur Qualität, Sicherheit oder Markenschutz. Selbstbetrieb entfernt den einen, nicht den anderen.
Steering ist der einzige Hebel, den Sie selbst haben. Guardrails verhindern, Steering beeinflusst – durch Text, der vor der Inferenz in den Kontext gelegt wird. Custom Instructions und AGENTS.md sind Steering. Und was Sie nicht geschrieben haben, steuert mit.
Steering und Prompt-Injection sind derselbe Mechanismus. Alles ist Text im selben Kontextfenster – in-band. Es gibt keine technische Grenze zwischen „Anweisung" und „Daten", nur eine Konvention. Prompt-Injection ist keine technische Kategorie, sondern eine Bewertung.
Guardrails sind keine Mauern. Sie sind vier Filter um das Modell herum, und jeder davon ist eine Wahrscheinlichkeitsschwelle. Nur eine der vier Schichten sitzt in den Gewichten.
Diese Übersicht ist überwiegend über Text. Bild-, Video- und 3D-Werkzeuge (Midjourney, Krea, World Labs) folgen derselben Kette, aber Steering wird dort schwach, Guardrails werden grob, Souveränität entfällt – und Urheberrecht wird vom Nebenaspekt zum Hauptfall.
Offene Gewichte sind keine feste Datei. Guardrails lassen sich nachträglich aus den Gewichten entfernen – Abliteration heißt das, und es funktioniert mit einem Rechenschritt. Was danach kommt, ist nicht neutraler, sondern häufig einseitiger. Prüfen Sie die Prüfsumme.

1. Wie KI-Werkzeuge heißen – und was der Name verschweigt

Ein Werkzeugname setzt sich aus bis zu acht Schichten zusammen. Die meisten Produkte nennen nur eine davon.

┌─────────────────────────────────────────────┐
│ 7  PROTOKOLL  MCP                           │  ← wie geredet wird
├─────────────────────────────────────────────┤
│ 6  HARNESS    pi · Claude Code · Cursor     │  ← was gehandelt wird
├─────────────────────────────────────────────┤
│ 5  CLIENT     claude.ai · App · Terminal    │  ← was Sie bedienen
├─────────────────────────────────────────────┤
│ 4  LAUFZEIT   Ollama · vLLM · llama.cpp     │  ← wie es rechnet
├─────────────────────────────────────────────┤
│ 3  GEWICHTE   offen  /  geschlossen         │  ← ob Sie es dürfen
├─────────────────────────────────────────────┤
│ 2  VERSION    4.5  ·  32B  ·  Q4_K_M        │  ← welcher Stand
├─────────────────────────────────────────────┤
│ 1  FAMILIE    Claude · Qwen · Llama · GPT   │  ← welche Bauart
├─────────────────────────────────────────────┤
│ 0  ANBIETER   Anthropic · Alibaba · Meta    │  ← welcher Rechtsraum
└─────────────────────────────────────────────┘

     Ein Produktname nennt meist nur eine dieser Schichten.
     Der Rest ist die eigentliche Entscheidung.

Schicht	Beispiel	Was sie festlegt
Anbieter	Anthropic, Alibaba, Meta, Mistral	Geschäftssitz, Rechtsraum, Vertragspartner
Modellfamilie	Claude, Qwen, Llama, GPT	Architektur, Fähigkeiten, Größe
Modellversion	Claude Sonnet 4.5, Qwen3-32B	konkreter Stand, Preis, Kontextfenster
Gewichte	offen (Apache 2.0, MIT) / geschlossen	ob Sie das Modell selbst betreiben dürfen
Laufzeit (Runtime)	Ollama, vLLM, llama.cpp	wie die Gewichte auf Hardware laufen
Client	claude.ai, Chat-Oberfläche, Browser-Plugin	was Sie sehen und bedienen
Harness	pi, Claude Code, Cursor	ob das Modell Werkzeuge aufrufen darf
Protokoll	MCP	wie Harness und Werkzeuge miteinander reden

Namen entschlüsseln – drei Übungen

„ChatGPT" = Produkt (Client + Cloud-Harness) von OpenAI. Modell: GPT-…, Gewichte geschlossen, Inferenz bei OpenAI (USA). Sie mieten Zugang, Sie besitzen nichts.

„Ollama" = nur eine Laufzeit. Ollama ist kein Modell. Es lädt Gewichte herunter und führt sie auf Ihrem Gerät aus. Die naheliegende Verwechslung mit Llama (Metas Modellfamilie) ist ein beliebter Stolperstein: Ollama führt Llama aus, ist aber nicht Llama.

   Ollama  ──lädt──►  Llama  ──läuft auf──►  Ihr Gerät
   (Laufzeit)        (Modell)               (Hardware)

   Ollama führt Llama aus. Ollama IST nicht Llama.

„OpenRouter" = ein Router, kein Modell. Ein Marktplatz, der Ihre Anfrage an einen von vielen Inferenz-Anbietern weiterleitet. Sie wählen dort Modell und Anbieter – das ist der Punkt, an dem Souveränität entsteht oder verloren geht.

Der Wrapper-Effekt

Viele „KI-Tools für Schulen" sind Wrapper: ein Client, ein vorgefertigter Systemprompt, ein API-Schlüssel. Der pädagogische Mehrwert kann echt sein – aber technisch steckt dahinter dasselbe Modell wie im Direktzugang, mit einer Zwischenstation mehr, die Ihre Daten sieht.

   OHNE WRAPPER                     MIT WRAPPER

   Sie ──► Modell                   Sie ──► Wrapper ──► Modell
             │                                 │
             ▼                                 └── sieht alles mit
          Antwort                           Antwort

Nützliche Frage bei jedem Produkt: Welches Modell steckt drin, und wo läuft es? Wenn der Anbieter das nicht beantwortet, ist das selbst eine Antwort.

Der Bezugsweg – die Schicht, die im Namen nie steht

Dieselben Gewichte können auf völlig verschiedenen Wegen zu Ihnen kommen. Diese Schicht ist nicht Teil des Namens, aber sie entscheidet über Vertragspartner, Rechtsraum und Preis.

Bezugsweg	Beispiel	Wer betreibt die Inferenz
Direkt beim Modellanbieter	claude.ai, Anthropic-API	der Modellanbieter
Über einen Cloud-Marktplatz	AWS Bedrock, Azure AI Foundry, Google Vertex	der Cloud-Anbieter, in Ihrem eigenen Konto
Über einen Router	OpenRouter, LiteLLM	ein Dritter, frei wählbar
Selbst betrieben	Ollama, vLLM	Sie

Der wichtigste Fall ist der zweite, weil er die verbreitete Annahme widerlegt, ein geschlossenes Modell zwinge Sie automatisch in einen einzigen Vertrag mit einem einzigen Anbieter. AWS Bedrock zeigt das Gegenteil – siehe Abschnitt 5E.

2. Die Kette – und was sie quer durchzieht

Neun Stationen vom Korpus bis zum Klassenzimmer. Für jede: was sie ist, wer sie kontrolliert, und was sie für Sie bedeutet.

Danach drei Themen, die keine eigene Station haben: nachträglich veränderte Gewichte (2.10) und Guardrails (2.11) liegen quer zu mehreren Stationen, andere Modalitäten (2.12) zweigen nach den Gewichten ab. Alle drei gehören hierher, weil man sie ohne die Kette nicht versteht – aber sie sind keine Haltepunkte auf der Reise, sondern Eigenschaften der Reise oder eine Abzweigung davon.

╔══════════════════════════════════════════════════════════════╗
║  1  TRAININGSKORPUS                                          ║
║     Web-Crawls · Bücher · Code · Foren                       ║
║     → Urheberrecht greift hier                               ║
╚══════════════════════════════════════════════════════════════╝
                                │
                                ▼
╔══════════════════════════════════════════════════════════════╗
║  2  TRAINING                                                 ║
║     Vorhersagetraining · Feintuning · RLHF                   ║
║     → Kosten greifen hier (dominant)                         ║
╚══════════════════════════════════════════════════════════════╝
                                │
                                ▼
╔══════════════════════════════════════════════════════════════╗
║  3  MODELLGEWICHTE                                           ║
║     einige GB Zahlen – das ist das Modell                    ║
║     → Souveränität greift hier                               ║
╚══════════════════════════════════════════════════════════════╝
                                │
                ┌───────────────┴───────────────┐
                ▼                               ▼
   ╔════════════════════════╗        ╔════════════════════════╗
   ║  4a  OFFEN             ║        ║  4b  GESCHLOSSEN       ║
   ║      Download möglich  ║        ║      nur API-Zugang    ║
   ╚════════════════════════╝        ╚════════════════════════╝
               │                                 │
               ▼                                 ▼
   ╔════════════════════════╗        ╔════════════════════════╗
   ║  5a  SELBST BETRIEBEN  ║        ║  5b  FREMDE INFERENZ   ║
   ║      Ort frei wählbar  ║        ║      Ort beim Anbieter ║
   ╚════════════════════════╝        ╚════════════════════════╝
               └────────────────┬────────────────┘
                                ▼
╔══════════════════════════════════════════════════════════════╗
║  6  INFERENZ                                                 ║
║     → Datenschutz entscheidet sich HIER                      ║
╚══════════════════════════════════════════════════════════════╝

Und dieselbe Kette aus Sicht der Nutzung:

                       SIE  (Lehrkraft)
                          │
                          ▼
              ┌──────────────────────┐
              │  6  CLIENT           │   Chatfenster · App · Kommandozeile
              └──────────────────────┘
                          │
                          ▼
              ┌──────────────────────┐
              │  7  HARNESS          │   Schleife: Aufgabe → Werkzeug → Ergebnis
              └───────────┬──────────┘
             ┌────────────┴────────────┐
             ▼                         ▼
   ┌──────────────────┐      ┌──────────────────┐
   │  8  MCP          │      │  5  INFERENZ     │
   │  Stecker zu      │      │  Modell rechnet  │
   │  Werkzeugen      │      └──────────────────┘
   └──────────────────┘
             │
             ▼
   ┌──────────────────┐
   │  9  DATEN        │   Wiki · Dateien · Datenbank · Browser
   └──────────────────┘

2.1 Trainingskorpora

Die Textmengen, aus denen ein Modell lernt: Web-Crawls, Bücher, Code, Foren, lizenzierte Korpora.

Kontrolle: die wenigen großen Akteure; deutsche und fachdidaktische Korpora sind knapp.
Urheberrecht: greift hier am stärksten. In der EU erlaubt die TDM-Schranke (§ 44b UrhG) Text- und Data-Mining, aber nur solange Rechteinhaber keinen Nutzungsvorbehalt erklärt haben. Ob ein Vorbehalt wirksam war, ist im Einzelfall oft ungeklärt.
Datenschutz: personenbezogene Daten in Korpora sind der Grund, warum Modelle Namen, Adressen oder Krankengeschichten reproduzieren können.
Sicherheit: vergiftete Trainingsdaten (Data Poisoning) können gezielte Fehlverhalten einbauen – praktisch nicht nachprüfbar.
Souveränität: Wer den Korpus besitzt, prägt Weltbild, Sprachqualität und kulturellen Bias. Deutsche Perspektiven sind unterrepräsentiert, weil sie seltener im Korpus sind.
Bias: die wichtigste Quelle. Was im Korpus häufig vorkommt, wird als normal gelernt – nicht als eine von mehreren Sichtweisen. Das ist keine Fehlfunktion, sondern der Mechanismus selbst.

2.2 Training

Vorhersagetraining, Feintuning, Abgleich mit menschlichem Feedback (RLHF).

Kosten: die dominante Kostenstelle der gesamten Kette. Ohne Großrechenzentrum nicht machbar – das entscheidet, wer überhaupt Modelle bauen kann.
Souveränität: Nur wenige Staaten und Konzerne können diesen Schritt finanzieren. Europas Position ist hier strukturell schwach.
Datenschutz: Modelle können Trainingsinhalte auswendig lernen. Was einmal im Modell steckt, lässt sich nicht zuverlässig löschen.
Sicherheit: Trainingscode und -daten sind eine Lieferkette; ein kompromittierter Schritt bleibt im fertigen Modell unsichtbar.
Bias: die zweite, härtere Quelle. Beim Abgleich mit menschlichem Feedback (RLHF) lernt das Modell, was die Annotierenden belohnen. Höflichkeit, Weitschweifigkeit, Zurückhaltung bei heiklen Themen – alles Verhaltensnormen, die niemand als Bias bezeichnet.

2.3 Modellgewichte

Die Datei, die das trainierte Modell ausmacht – einige Gigabyte Zahlen.

Urheberrecht: rechtlich ungeklärt. Sind Gewichte eine Vervielfältigung der Trainingsdaten? In Deutschland gibt es dazu keine gefestigte Rechtsprechung. Für Sie als Nutzerin ist das relevant, wenn Sie Gewichte weitergeben.
Datenschutz: Einmal veröffentlichte Gewichte lassen sich nicht zurückholen. Das Spannungsverhältnis zu Löschansprüchen ist ungelöst.
Souveränität: Offene Gewichte sind der einzige Teil der Kette, den man jurisdiktionsfrei machen kann. Sie können ein chinesisches Modell auf einem deutschen Server betreiben.
Bias: sitzt hier fest. Er ist Teil der Zahlen, nicht der Einstellungen. Sie können ihn nicht abschalten, nur bemerken.

2.4 Veröffentlichung der Gewichte

Der Moment, in dem aus einem Modell ein öffentliches Artefakt wird: offene Gewichte oder geschlossene Programmierschnittstelle (API).

   OFFENE GEWICHTE            GESCHLOSSENE GEWICHTE

   ┌──────────────┐              ┌──────────────┐
   │  Anbieter    │              │  Anbieter    │
   │  ┌────────┐  │              │  ┌────────┐  │
   │  │Gewichte│──┼──► Sie       │  │Gewichte│  │
   │  └────────┘  │              │  └────┬───┘  │
   └──────────────┘              └───────┼──────┘
                                         │ nur API
                                         ▼
                                         Sie

   Sie können selbst betreiben   Sie können nur mieten

„Offene Gewichte" ≠ „Open Source". Die Open-Source-Definition für KI (OSAID) verlangt auch Angaben zu Trainingsdaten. Die meisten „offenen" Modelle erfüllen das nicht: Sie dürfen das Modell nutzen, aber nicht nachvollziehen, woraus es gelernt hat.
Lizenzen unterscheiden sich erheblich. Apache 2.0 und MIT sind weitgehend frei. Andere Lizenzen (Llama-Community-Lizenz, Gemma-Nutzungsbedingungen) enthalten Zusatzbedingungen, teils mit Nutzungsschwellen.
Souveränität: offene Gewichte erlauben Jurisdiktionswechsel. Das ist der einzige echte Hebel, den eine Schule hat.
Bias: offene Gewichte machen den Bias nicht kleiner – aber prüfbarer, weil Sie dasselbe Modell mit verschiedenen Eingaben testen können, ohne dass eine Policy dazwischenfunkt.

2.5 Inferenz

Der Betrieb des Modells: aus Eingabe wird Ausgabe.

Hier entscheidet sich Datenschutz. Nicht das Modell ist das Problem, sondern der Ort, an dem es rechnet. Derselbe offene Gewichtssatz ist datenschutzrechtlich unproblematisch auf Ihrem Laptop und problematisch auf einem Server in einem Drittland ohne Angemessenheitsbeschluss.
Hier entstehen die laufenden Kosten. Pro Token, pro Stunde oder pro Monat – je nach Betriebsmodell.
Sicherheit: Prompt-Injection und Protokollierung passieren hier.
Bias: hier wird er sichtbar – und hier wird er durch den Systemprompt des Anbieters überlagert.

2.6 Clients

Die Oberfläche: Chatfenster, Browser-Plugin, App, Kommandozeile.

Datenschutz: Clients speichern Verläufe, senden Telemetrie, synchronisieren über Konten. Der Client ist oft die Stelle, an der Daten Ihr Gerät verlassen – unabhängig vom Modell.
Sicherheit: Kontoübernahme, geteilte Links, Verlaufssynchronisation.
Kosten: Abo-Modell, meist pro Person und Monat.

2.7 Agentische Harnesses

Das Programm, das dem Modell eine Schleife gibt: Aufgabe → Werkzeugaufruf → Ergebnis → nächster Schritt. Ohne Harness ist ein Modell Text rein, Text raus. Mit Harness kann es Dateien lesen, Befehle ausführen, im Netz einkaufen, Wikis bearbeiten.

   OHNE HARNESS                    MIT HARNESS

   Sie ──► Modell                  Sie ──► Harness ──► Modell
             │                             ▲              │
             ▼                             │              ▼
          Antwort                      Antwort        Werkzeug
                                                       (Datei,
                                                        Befehl,
                                                        Wiki)

Sicherheit: die kritischste Ebene. Prompt-Injection wird hier zur Handlung. Ein Dokument, das Sie zur Zusammenfassung hochladen, kann Anweisungen enthalten, die der Agent ausführt. Die Frage ist nicht „ist das Modell sicher?", sondern „welche Rechte hat der Agent?"

   HARMLOS                        RISKANT

   ┌──────────┐                   ┌──────────┐
   │  Modell  │                   │  Modell  │
   └────┬─────┘                   └────┬─────┘
        │ Text                         │ "lösche alle Dateien"
        ▼                              ▼
   ┌──────────┐                   ┌──────────┐
   │   Sie    │                   │ HARNESS  │
   └──────────┘                   └────┬─────┘
                                       │ führt aus
                                       ▼
                                  ┌──────────┐
                                  │ Dateien  │
                                  └──────────┘

   Die Gefahr sitzt nicht im Modell. Sie sitzt in den Rechten.

Datenschutz: Der Harness entscheidet, welche Daten an das Modell gehen – oft mehr, als Sie ahnen.
Souveränität: Ein lokaler Harness (läuft auf Ihrem Gerät) ist souverän; ein Cloud-Harness nicht.
Kosten: Der Harness verbraucht mehr Tokens als ein Chat, weil er mehrere Runden dreht.
Bias: der Ort des versteckten Bias. Anbieter injizieren serverseitig Anweisungen in den Systemprompt. Sie sehen sie nicht, können sie nicht abschalten und erfahren von ihnen meist nur durch Presseberichte – siehe Abschnitt 4.1.

2.8 Cloud-Harnesses

Agenten, deren Schleife auf Anbieterinfrastruktur läuft: Web-Agenten, die in einer entfernten Umgebung Dateien anlegen und Befehle ausführen.

Souveränität: volle Abhängigkeit vom Anbieter; Wechsel bedeutet Neuaufbau der Arbeitsabläufe.
Datenschutz: Ihre Dateien liegen während der Ausführung auf fremder Infrastruktur.
Sicherheit: Sie können die Umgebung nicht inspizieren; Sie vertrauen der Zusicherung des Anbieters.

2.9 MCP (Model Context Protocol)

Ein offener Standard, über den ein Harness mit Werkzeugen und Datenquellen spricht. Anschaulich: USB-C für Werkzeuge. Jeder MCP-Server ist ein Stecker, der Zugriff auf etwas gewährt – Dateien, ein Wiki, eine Datenbank, einen Browser.

             ┌──────────────────────────────────────────────────┐
             │  HARNESS                                         │
             │  ┌────────────────────────────────────────────┐  │
             │  │   Hub (MCP-Client)                         │  │
             └─────┬────────────┬────────────┬────────────┬─────┘
                   │            │            │            │
                   ▼            ▼            ▼            ▼
              ┌─────────┐  ┌─────────┐  ┌─────────┐  ┌─────────┐
              │ Wiki    │  │Datei    │  │Daten    │  │Browser  │
              │ MCP     │  │ MCP     │  │bank     │  │ MCP     │
              └─────────┘  └─────────┘  └─────────┘  └─────────┘

   Jeder Stecker bekommt genau die Zugangsdaten, die Sie ihm geben.
   Mehr nicht – aber auch nicht weniger.

Sicherheit: Ein MCP-Server bekommt genau die Zugangsdaten, die Sie ihm geben. Ein fremder oder kompromittierter Server kann alles lesen und weiterleiten, was durch ihn läuft. Die Lieferkette der MCP-Server ist derzeit der am wenigsten geprüfte Teil des Ökosystems.
Souveränität: MCP selbst ist offen und herstellerunabhängig – das ist ein echter Vorteil gegenüber proprietären Plugin-Systemen.
Datenschutz: Jeder MCP-Server ist eine weitere Stelle, die Daten sieht. Zählen Sie die Stationen.

2.10 Nachträglich veränderte Gewichte

Querschnittsthema – betrifft die Stationen 2.3 und 2.4.

Bis hierher klang „offene Gewichte" wie eine feste Datei. Sie ist es nicht. Die Datei, die auf einer Plattform liegt, muss nicht die Datei sein, die der Hersteller veröffentlicht hat.

   AUS 2.4  VERÖFFENTLICHUNG  zweigt hier ab:

   ╔═══════════════════════════════════════════════════════════╗
   ║  3  MODELLGEWICHTE  ·  veröffentlicht                    ║
   ║     so, wie der Hersteller sie freigegeben hat            ║
   ╚═══════════════════════════╤═══════════════════════════════╝
                               │
              ┌────────────────┴────────────────┐
              ▼                                 ▼
   ┌────────────────────────┐      ┌────────────────────────┐
   │  WIE VERÖFFENTLICHT    │      │  NACHTRÄGLICH GEÄNDERT │
   │                        │      │                        │
   │  Prüfsumme passt       │      │  von Dritten bearbeitet│
   │  Herkunft bekannt      │      │  Zweck oft nicht       │
   │                        │      │  dokumentiert          │
   └────────────────────────┘      └────────────────────────┘

   Beides ist legal. Beides ist verbreitet. Der Unterschied
   ist, dass Sie beim rechten Zweig nicht mehr wissen, was
   Sie eigentlich betreiben.

Fünf Verfahren, dieselbe Datei zu verändern

   WIE GEWICHTE NACHTRÄGLICH GEÄNDERT WERDEN

   ┌──────────────────┬──────────────────────┬─────────────────┐
   │  VERFAHREN       │  WAS PASSIERT        │  PERSISTENT?    │
   ├──────────────────┼──────────────────────┼─────────────────┤
   │  Quantisierung   │  Zahlen werden       │  ja             │
   │                  │  gerundet (4/8 Bit)  │  (harmlos)      │
   ├──────────────────┼──────────────────────┼─────────────────┤
   │  LoRA-Adapter    │  kleine Zusatz-      │  ja, als        │
   │                  │  schicht obendrauf   │  eigene Datei   │
   ├──────────────────┼──────────────────────┼─────────────────┤
   │  Fine-Tuning     │  viele Werte per     │  ja             │
   │                  │  Gradientenabstieg   │                 │
   ├──────────────────┼──────────────────────┼─────────────────┤
   │  Modell-Merge    │  zwei Modelle        │  ja             │
   │                  │  werden gemittelt    │                 │
   ├──────────────────┼──────────────────────┼─────────────────┤
   │  Abliteration    │  eine Richtung wird  │  ja bei Gewicht,│
   │                  │  herausprojiziert    │  nein bei Lauf- │
   │                  │                      │  zeitsteuerung  │
   └──────────────────┴──────────────────────┴─────────────────┘

   Die erste Zeile ist Alltag und unproblematisch: Jedes
   Ollama-Modell mit Q4 im Namen ist quantisiert. Die letzte
   Zeile ist der Punkt, an dem es politisch wird.

Die erste Zeile ist Alltag und unproblematisch: Jedes Ollama-Modell mit Q4 im Namen ist quantisiert, damit es auf Ihren Rechner passt. Dabei werden Zahlen gerundet, und das Modell wird etwas schlechter – aber es bleibt dasselbe Modell.

Die letzte Zeile ist der Punkt, an dem es politisch wird.

Abliteration: Guardrails aus den Gewichten entfernen

Der bekannteste Fall heißt Abliteration – ein Kofferwort aus ablation und obliteration. Es wird nichts neu trainiert. Es wird eine Richtung aus vorhandenen Zahlen entfernt.

   WIE ABLITERATION FUNKTIONIERT

   Befund (Arditi et al. 2024, arXiv:2406.11717):
   Verweigerung ist in 13 offenen Chat-Modellen bis 72B
   durch EINE Richtung im Aktivierungsraum vermittelt.

   ┌─────────────────────────────────────────────────────────┐
   │  1  Richtung finden                                     │
   │     mittlere Aktivierung bei schädlichen Prompts        │
   │     minus mittlere Aktivierung bei harmlosen Prompts    │
   │     → ein Vektor, die >>Verweigerungsrichtung<<         │
   ├─────────────────────────────────────────────────────────┤
   │  2  Richtung entfernen                                  │
   │     Gewichte orthogonal dazu machen (Projektion)        │
   │     oder zur Laufzeit aus der Aktivierung herausrechnen │
   ├─────────────────────────────────────────────────────────┤
   │  3  Nachmessen                                          │
   │     Verweigerung sinkt – aber auch andere Fähigkeiten   │
   └─────────────────────────────────────────────────────────┘

   Der Name ist ein Kofferwort aus >>ablation<< und
   >>obliteration<<. Kein Neulernen: es wird nichts trainiert,
   nur eine Richtung aus vorhandenen Zahlen entfernt.

   Umkehrung des Experiments: addiert man die Richtung wieder,
   verweigern die Modelle sogar harmlose Anfragen. Das zeigt,
   wie brüchig die heutige Sicherheitsabstimmung ist.

Die Forschung dahinter ist ernst zu nehmen: Arditi, Obeso, Syed, Paleka, Panickssery, Gurnee und Nanda zeigten 2024 in Refusal in Language Models Is Mediated by a Single Direction (arXiv:2406.11717), dass Verweigerung in 13 verbreiteten offenen Chat-Modellen bis 72 Milliarden Parameter durch einen einzigen Richtungsvektor vermittelt wird. Löscht man diese Richtung, verweigern die Modelle schädliche Anweisungen nicht mehr. Fügt man sie hinzu, verweigern sie sogar harmlose.

Das ist der eigentliche Befund, und er ist unangenehm: Die Sicherheitsabstimmung heutiger Modelle hängt an einer Größe, die sich mit einem Rechenschritt entfernen lässt. Die Autoren schreiben es selbst – es zeige „die Brüchigkeit der gegenwärtigen Sicherheits-Feinabstimmung".

Was sich ändert – und was nicht

   WAS SICH ÄNDERT – UND WAS NICHT

   ┌────────────────────────────┬────────────────────────────┐
   │  SINKT                     │  NICHT GARANTIERT          │
   ├────────────────────────────┼────────────────────────────┤
   │  Verweigerungen bei        │  Anweisungen befolgen      │
   │  Prompts, die in der       │  Werkzeugaufrufe           │
   │  Verweigerungsrichtung     │  Code erzeugen             │
   │  des Originalmodells       │  andere Sprachen           │
   │  liegen                    │  Faktenrichtigkeit         │
   └────────────────────────────┴────────────────────────────┘

   Die Anbieter sagen es selbst: >>Reduzierte Verweigerungen
   garantieren keine unveränderten Fähigkeiten.<< Wer eine
   abliterierte Datei einsetzt, muss die Aufgabe, für die er
   sie einsetzt, selbst nachmessen.

Für den Unterricht heißt das: Eine abliterierte Datei ist kein „besseres" Modell. Sie ist ein anderes Modell, dessen Fähigkeiten Sie selbst nachmessen müssen. Die Anbieter solcher Dateien sagen das offen – reduzierte Verweigerungen garantieren keine unveränderten Fähigkeiten bei Anweisungsbefolgung, Werkzeugaufrufen, Codeerzeugung oder anderen Sprachen.

Der Denkfehler: „ohne Guardrails = ohne Bias"

Das ist der wichtigste Punkt dieses Abschnitts, und er verbindet sich direkt mit 4.1.

   DER DENKFEHLER: >>OHNE GUARDRAILS = OHNE BIAS<<

   ┌──────────────────────────────────────────────────────────┐
   │  Guardrails und Bias sind zwei verschiedene Dinge.       │
   │                                                          │
   │  Guardrails unterdrücken AUSGABEN.                       │
   │  Bias steckt in den GEWICHTEN.                           │
   │                                                          │
   │  Entfernt man die Guardrails, kommen die unterdrückten   │
   │  Ausgaben zurück – nicht eine neutralere Sicht.          │
   └──────────────────────────────────────────────────────────┘

   Folgen für den Unterricht:

   · Ein abliteriertes Modell verweigert seltener. Es ist
     dadurch NICHT ausgewogener, sondern häufig einseitiger:
     Stereotype, die vorher abgefangen wurden, erscheinen
     jetzt ungefiltert.

   · Die Gegenrichtung existiert auch: Fine-Tuning mit dem
     Ziel, Bias zu REDUZIEREN. Das ist derselbe technische
     Zugriff, andere Absicht.

   Die Frage ist nie >>sind die Gewichte verändert?<<, sondern
   >>wer hat sie verändert, mit welcher Absicht, und kann ich
   das nachprüfen?<<

Für Lehrkräfte ist das die zentrale Warnung: Ein abliteriertes Modell ist im Unterricht kein neutraleres Werkzeug. Es ist häufig ein einseitigeres, weil die Filter weg sind, die vorher Stereotype abgefangen haben.

Und die Gegenrichtung existiert genauso: Fine-Tuning mit dem Ziel, Bias zu reduzieren, ist derselbe technische Zugriff mit anderer Absicht. Die Frage ist nie „sind die Gewichte verändert?", sondern „wer hat sie verändert, mit welcher Absicht, und kann ich das nachprüfen?"

Die Herkunftsfrage – und was Sie praktisch tun können

   DIE HERKUNFTSFRAGE

   ┌──────────────┐
   │  HERSTELLER  │   veröffentlicht Gewichte + Prüfsumme
   └──────┬───────┘
          │
          ▼
   ┌──────────────┐
   │  PLATTFORM   │   HuggingFace u. a.: jeder darf hochladen
   │              │   rund 8.900 Modelle mit >>abliterated<<
   └──────┬───────┘   im Namen (Stand Nov. 2026)
          │
          ▼
   ┌──────────────┐
   │  UNBEKANNT   │   Wer hat es bearbeitet? Womit?
   │              │   Kein Impressum, keine Prüfsumme,
   │              │   kein Nachweis.
   └──────┬───────┘
          │
          ▼
   ┌──────────────┐
   │  IHR GERÄT   │   läuft bei Ihnen, in Ihrem Unterricht
   └──────────────┘

   Bei geschlossenen Modellen ist die Kette kurz und die
   Verantwortung klar. Bei offenen Gewichten ist sie lang und
   die Verantwortung landet bei Ihnen.

   Praktische Prüfung: Prüfsumme gegen die Herstellerangabe
   vergleichen. Passt sie nicht, ist die Datei verändert.
   Passt sie, ist es das Original.

Auf Hugging Face fanden sich im November 2026 rund 8.900 Modelle mit „abliterated" im Namen – von bekannten Uploadern, aber auch von Konten ohne erkennbare Identität. Jeder darf dort hochladen.

Drei Prüfschritte, die ohne Fachwissen funktionieren:

Prüfsumme vergleichen. Der Hersteller veröffentlicht zu seinen Gewichten einen Hash-Wert. Passt er nicht, ist die Datei verändert. Passt er, ist es das Original.
Den Namen lesen. Steht abliterated, uncensored, heretic oder -Unleashed darin, ist die Datei bewusst verändert. Das ist keine Verurteilung – aber Sie sollten es wissen.
Die Quelle prüfen. Steht hinter dem Upload ein bekanntes Modellhaus oder ein anonymer Account? Bei letzterem können Sie nicht nachvollziehen, was mit den Gewichten gemacht wurde.

Die Einordnung für Ihre Entscheidung: Bei geschlossenen Modellen ist die Kette kurz und die Verantwortung klar beim Anbieter. Bei offenen Gewichten ist die Kette lang – und die Verantwortung landet bei Ihnen. Das ist der Preis der Souveränität, und er wird in Variante C und D fällig.

2.11 Wie Guardrails funktionieren – und warum sie keine harten Grenzen sind

Querschnittsthema – betrifft die Stationen 2.2, 2.5, 2.6 und 2.7.

„Guardrails" ist das am häufigsten missverstandene Wort in diesem Feld. Viele stellen sich eine Mauer vor: Dahinter liegt das gefährliche Modell, davor stehen Sie, und die Mauer hält. So ist es nicht.

Vier Schichten, vier verschiedene Techniken

   WIE GUARDRAILS VERTEILT SIND

   SIE  ──►  ┌────────────────┐  ──►  ┌──────────────┐
             │ 1 EINGANGS-    │       │   MODELL     │
             │   FILTER       │       │              │
             │ (Klassifikator)│       │  Gewichte    │
             └────────────────┘       └──────┬───────┘
                    ▲                        │
                    │                        ▼
             ┌──────┴─────────┐  ◄──  ┌──────────────┐
             │ 4 AUSGANGS-    │       │ 2 SYSTEM-    │
             │   FILTER       │       │   PROMPT     │
             │ (Klassifikator)│       │ (Anweisung)  │
             └──────┬─────────┘       └──────────────┘
                    │                 ┌──────────────┐
                    │                 │ 3 TRAINING    │
                    │                 │ (RLHF)       │
                    ▼                 └──────────────┘
                   SIE

   Vier Schichten, vier verschiedene Techniken. Nur Schicht 3
   sitzt in den Gewichten. Die anderen drei sind außen herum.

Nur Schicht 3 sitzt in den Gewichten. Die anderen drei sind außen herum gebaut – und genau deshalb lassen sie sich auch von außen umgehen.

   DIE VIER SCHICHTEN IM EINZELNEN

   ┌───────────────┬──────────────────────┬────────────────────┐
   │  SCHICHT      │  TECHNIK             │  BELASTBARKEIT     │
   ├───────────────┼──────────────────────┼────────────────────┤
   │  1 Eingang    │  Klassifikator prüft │  umgehbar durch    │
   │               │  den Prompt, bevor   │  Umformulierung    │
   │               │  er das Modell       │  oder Übersetzung  │
   │               │  erreicht            │                    │
   ├───────────────┼──────────────────────┼────────────────────┤
   │  2 System-    │  Anweisung, die vor  │  umgehbar durch    │
   │    prompt     │  die Eingabe gesetzt │  Prompt-Injection  │
   │               │  wird                │  oder Rollenspiel  │
   ├───────────────┼──────────────────────┼────────────────────┤
   │  3 Training   │  RLHF: Verhalten     │  umgehbar durch    │
   │               │  wird antrainiert    │  Abliteration      │
   ├───────────────┼──────────────────────┼────────────────────┤
   │  4 Ausgang    │  Klassifikator prüft │  umgehbar, wenn    │
   │               │  die Antwort, bevor  │  der Klassifikator │
   │               │  sie Sie erreicht    │  sie nicht erkennt │
   └───────────────┴──────────────────────┴────────────────────┘

   Keine dieser Schichten ist eine Grenze im Rechtssinn.
   Alle vier sind Wahrscheinlichkeitsfilter.

Die Fehlvorstellung

   DIE FEHLVORSTELLUNG: >>GUARDRAIL = MAUER<<

   WIE VIELE DENKEN              WIE ES TATSÄCHLICH IST

   ┌──────────────────┐          ┌──────────────────┐
   │  ╔════════════╗  │          │                  │
   │  ║  MAUER     ║  │          │   · · · · · ·    │
   │  ║            ║  │          │  · · · · · · ·   │
   │  ║  Modell    ║  │          │ · · · · · · · ·  │
   │  ║  dahinter  ║  │          │  · · · · · · ·   │
   │  ╚════════════╝  │          │   · · · · · ·    │
   └──────────────────┘          └──────────────────┘

   hart, eindeutig,              statistisch, unscharf,
   gleich für alle               abhängig von Sprache,
                                 Formulierung, Kontext

   Ein Guardrail ist kein Zaun. Er ist ein Filter, der
   entscheidet: >>sieht das nach dem aus, was ich kenne?<<
   Was er nicht kennt, lässt er durch.

Warum es technisch keine harte Grenze sein kann

Das ist kein Versäumnis der Anbieter. Es folgt aus der Bauart:

WARUM ES KEINE HARTE GRENZE SEIN KANN

┌──────────────────────────────────────────────────────────┐
│ 1 Das Modell rechnet mit Wahrscheinlichkeiten. │
│ Es gibt keinen Punkt in der Berechnung, an dem │
│ >>verboten<< steht. Es gibt nur wahrscheinlichere │
│ und unwahrscheinlichere Fortsetzungen. │
├──────────────────────────────────────────────────────────┤
│ 2 Der Filter ist selbst ein Modell. │
│ Ein Klassifikator hat dieselben Schwächen wie das │
│ Modell, das er bewacht – nur weniger davon. │
├──────────────────────────────────────────────────────────┤
│ 3 Die Grenze wird am Beispiel gelernt, nicht am │
│ Gesetz. Was nicht im Training vorkam, hat keine │
│ gelernte Grenze. │
├──────────────────────────────────────────────────────────┤
│ 4 Jede Grenze ist ein Kompromiss mit der Nutzbarkeit. │
│ Zu streng: das Werkzeug wird unbrauchbar. │
│ Zu locker: die Grenze greift nicht. │
└──────────────────────────────────────────────────────────┘

Das Ergebnis ist immer ein Kompromiss, nie eine Garantie.

Der vierte Punkt ist der wichtigste und wird selten ausgesprochen: Jede Verschiebung der Grenze hat einen Preis auf der anderen Seite. Ein Modell, das bei jedem möglichen Risiko blockiert, ist für den Unterricht unbrauchbar. Ein Modell, das nie blockiert, ist es auch. Der Anbieter wählt einen Punkt dazwischen – und dieser Punkt ist eine Produktentscheidung, keine Naturkonstante.

Die belegten Lecken

   DIE BELEGTEN LECKEN

   ┌──────────────────────────────────────────────────────────┐
   │  ÜBERSETZUNG                                             │
   │                                                          │
   │  Yong, Menghini, Bach (2023): Gefährliche englische      │
   │  Eingaben in eine Sprache mit wenig Trainingsdaten       │
   │  übersetzen – GPT-4 antwortet in 79 % der Fälle          │
   │  brauchbar auf das schädliche Ziel.                      │
   │                                                          │
   │  Grund: Sicherheitstraining ist englischlastig. Wer      │
   │  Deutsch fragt, fragt oft an der Grenze vorbei.          │
   ├──────────────────────────────────────────────────────────┤
   │  ABLITERATION                                            │
   │                                                          │
   │  Arditi et al. (2024): Verweigerung ist EINE Richtung.   │
   │  Ein Rechenschritt entfernt sie – dauerhaft, aus den     │
   │  Gewichten. Siehe 2.10.                                  │
   ├──────────────────────────────────────────────────────────┤
   │  PROMPT-INJECTION                                        │
   │                                                          │
   │  Ein Dokument, das ein Agent zusammenfassen soll, kann   │
   │  Anweisungen enthalten. Der Systemprompt ist nur Text –  │
   │  und Text lässt sich überschreiben.                      │
   └──────────────────────────────────────────────────────────┘

   Alle drei sind keine exotischen Angriffe. Sie sind
   dokumentiert, reproduzierbar und teilweise automatisiert.

Der Übersetzungsbefund ist für deutsche Schulen besonders relevant, weil er die eigene Sprache betrifft: Sicherheitstraining ist überwiegend englischsprachig. Yong, Menghini und Bach zeigten 2023, dass sich die Schutzmechanismen von GPT-4 durch Übersetzen in eine Sprache mit wenig Trainingsdaten umgehen lassen – die Erfolgsquote lag bei 79 % auf dem AdvBenchmark, „auf Augenhöhe mit oder sogar über dem Stand der Technik bei Jailbreak-Angriffen". Deutsch ist keine Sprache mit wenig Trainingsdaten, aber die Grenze verläuft auch hier nicht dort, wo sie in englischen Tests verläuft.

Die Zusammenfassung in einer Tabelle

   WAS EIN GUARDRAIL IST – UND WAS NICHT

   ┌────────────────────────────┬────────────────────────────┐
   │  IST                       │  IST NICHT                 │
   ├────────────────────────────┼────────────────────────────┤
   │  eine Wahrscheinlichkeits- │  eine Garantie             │
   │  schwelle                  │                            │
   │                            │                            │
   │  ein Filter gegen bekannte │  ein Schutz gegen alles    │
   │  Muster                    │  Unbekannte                │
   │                            │                            │
   │  eine technische           │  eine rechtliche Grenze    │
   │  Voreinstellung            │                            │
   │                            │                            │
   │  ein Kompromiss mit der    │  eine Eigenschaft des      │
   │  Nutzbarkeit               │  Modells                   │
   │                            │                            │
   │  veränderbar – durch den   │  unveränderlich            │
   │  Anbieter jederzeit        │                            │
   └────────────────────────────┴────────────────────────────┘

   Praktische Folge: Ein Guardrail schützt vor dem, was er
   kennt. Er schützt nicht vor dem, was Sie nicht wissen,
   und nicht vor dem, was der Anbieter später ändert.

Was das für den Unterricht bedeutet

   WAS DAS FÜR DEN UNTERRICHT BEDEUTET

   ┌──────────────────────────────────────────────────────────┐
   │  FALSCH: >>Das Modell verweigert es, also ist es         │
   │          unbedenklich.<<                                  │
   │                                                          │
   │  Ein Guardrail ist eine Voreinstellung, keine Prüfung.   │
   │  Dass etwas durchkommt, heißt nicht, dass es richtig     │
   │  ist. Dass etwas blockiert wird, heißt nicht, dass es    │
   │  verboten ist.                                           │
   ├──────────────────────────────────────────────────────────┤
   │  FALSCH: >>Die Schule hat das Tool freigegeben, also     │
   │          sind die Guardrails ausreichend.<<              │
   │                                                          │
   │  Freigaben regeln den Vertrag, nicht die Technik.        │
   │  Die technische Grenze ist porös – in beiden             │
   │  Richtungen: Fehlalarme und Durchrutscher.               │
   ├──────────────────────────────────────────────────────────┤
   │  RICHTIG: >>Ich prüfe die Ausgabe selbst, weil ich       │
   │           weiß, dass der Filter nur Muster kennt.<<       │
   │                                                          │
   │  Die Verantwortung für das, was im Unterricht steht,     │
   │  lässt sich nicht an einen Filter delegieren.            │
   └──────────────────────────────────────────────────────────┘

Der Kern in einem Satz: Ein Guardrail ist eine Voreinstellung des Anbieters, die vor bekanntem Musterverhalten schützt – er ist weder eine Garantie noch eine rechtliche Grenze, und die Verantwortung für das, was im Unterricht steht, bleibt bei Ihnen.

2.12 Andere Modalitäten: Bild, Video, 3D

Diese Übersicht beschreibt überwiegend Text. Bild-, Video- und 3D-Werkzeuge wie Midjourney, Krea oder World Labs folgen derselben Kette – aber sie zweigen an einer Stelle ab, und die Prüffelder verschieben sich dadurch deutlich.

   DIE KETTE GILT – ABER SIE VERZWEIGT SICH

   ╔═══════════════════════════════════════════════════════════╗
   ║  1-3  KORPUS → TRAINING → GEWICHTE                        ║
   ║       gleich für alle Modalitäten                         ║
   ╚═══════════════════════════╤═══════════════════════════════╝
                               │
              ┌────────────────┴────────────────┐
              ▼                                 ▼
   ┌────────────────────────┐      ┌────────────────────────┐
   │  TEXT                  │      │  MEDIEN                │
   │                        │      │                        │
   │  Ausgabe: Token        │      │  Ausgabe: Pixel,       │
   │  billig pro Anfrage    │      │  Frames, 3D-Punkte     │
   │  dialogfähig           │      │  teuer pro Anfrage     │
   │  agentfähig            │      │  nicht dialogfähig     │
   └───────────┬────────────┘      └───────────┬────────────┘
               │                               │
               ▼                               ▼
   ┌────────────────────────┐      ┌────────────────────────┐
   │  Claude, GPT, Qwen     │      │  Midjourney, Krea,     │
   │  Ollama, Bedrock       │      │  Marble, Sora, Veo     │
   └────────────────────────┘      └────────────────────────┘

   Diese Übersicht beschreibt überwiegend den linken Zweig.
   Der rechte Zweig folgt derselben Kette, aber die Prüffelder
   verschieben sich deutlich – siehe unten.

Bis zu den Gewichten ist alles gleich: Korpus, Training, Gewichte, Veröffentlichung. Der Unterschied beginnt bei der Ausgabe. Ein Sprachmodell gibt Token aus – billig, dialogfähig, in eine Handlungsschleife einbettbar. Ein Bildmodell gibt Pixel aus, ein Videomodell Frames, ein Weltmodell 3D-Punkte. Das ist teurer, nicht dialogfähig und nicht agentfähig.

Wo die drei Werkzeuge sitzen

   WO DIE DREI WERKZEUGE SITZEN

   ┌──────────────┬─────────────┬──────────────┬─────────────┐
   │  WERKZEUG    │  MODALITÄT  │  GEWICHTE    │  SCHNITT-   │
   │              │             │              │  STELLE     │
   ├──────────────┼─────────────┼──────────────┼─────────────┤
   │  Midjourney  │  Bild,      │  geschlossen │  Client +   │
   │              │  Video      │  kein API    │  Inferenz   │
   ├──────────────┼─────────────┼──────────────┼─────────────┤
   │  Krea        │  Bild,      │  gemischt:   │  Client +   │
   │              │  Video, 3D  │  40+ fremd,  │  Router +   │
   │              │             │  1 eigen     │  Inferenz   │
   ├──────────────┼─────────────┼──────────────┼─────────────┤
   │  World Labs  │  3D-Welten  │  geschlossen │  Client +   │
   │  (Marble)    │             │              │  Inferenz   │
   └──────────────┴─────────────┴──────────────┴─────────────┘

   Keines davon ist ein Harness. Keines ist ein MCP-Client.
   Alle drei sind Client + Inferenz in einem Produkt –
   also strukturell näher an claude.ai als an pi.

Wichtig: Keines davon ist ein Harness. Es gibt dort keinen Systemprompt, den Sie schreiben, keine Werkzeugschleife, kein MCP. Alle drei sind Client und Inferenz in einem Produkt – strukturell also näher an claude.ai als an pi. Wer die Kette aus 2.1–2.9 auf sie anwenden will, findet nur die Stationen 2.1–2.5 vor.

Die drei im Einzelnen

   DIE DREI IM EINZELNEN

   ┌──────────────────────────────────────────────────────────┐
   │  MIDJOURNEY                                              │
   │                                                          │
   │  Bild- und Videogenerierung, Abo, kein API-Zugang.       │
   │  Gewichte geschlossen, Inferenz beim Anbieter.           │
   │                                                          │
   │  · Bilder standardmäßig ÖFFENTLICH sichtbar             │
   │    (Vertraulichkeit erst ab Pro/Mega)                    │
   │  · Sie besitzen Ihre Bilder – auch nach Kündigung       │
   │  · Firmen über 1 Mio. USD Umsatz brauchen Pro/Mega      │
   │  · keine Freistellung (indemnification)                 │
   └──────────────────────────────────────────────────────────┘

   ┌──────────────────────────────────────────────────────────┐
   │  KREA                                                    │
   │                                                          │
   │  Kreativ-Suite im Browser, Echtzeit-Canvas (~50 ms).    │
   │  Aggregator: 40+ fremde Modelle (Flux, Veo, Kling ...)  │
   │  plus eigene Modelle, eines davon OPEN SOURCE           │
   │  (Krea Realtime 14B, destilliert aus Wan 2.1 14B).      │
   │                                                          │
   │  · strukturell ein ROUTER mit Studio-Oberfläche         │
   │  · Souveränität hängt davon ab, welches Modell Sie      │
   │    wählen – genau wie bei OpenRouter                    │
   └──────────────────────────────────────────────────────────┘

   ┌──────────────────────────────────────────────────────────┐
   │  WORLD LABS · MARBLE                                     │
   │                                                          │
   │  Text/Bild/Video/3D-Layout → begehbare 3D-Welt.         │
   │  Fei-Fei Li u. a., Beta Nov. 2025, kommerziell Feb. 2026│
   │  Export als Gaussian Splats, Meshes oder Video.         │
   │                                                          │
   │  · geschlossene Gewichte, keine Selbstbetrieb-Option    │
   │  · eigene Modalität: nicht Text, nicht Bild, sondern    │
   │    Raum – das ist eine vierte Kategorie                 │
   └──────────────────────────────────────────────────────────┘

Krea ist der interessante Fall, weil es die Kategorien durcheinanderbringt: Es ist kein Modellanbieter, sondern ein Aggregator – strukturell dasselbe wie OpenRouter, nur mit Studio-Oberfläche und für Medien. Wenn Sie dort Flux oder Veo wählen, gelten deren Bedingungen, nicht Kreas. Das eine eigene Modell, das Krea offen veröffentlicht hat (Krea Realtime 14B, destilliert aus Wan 2.1 14B), ist der einzige Teil, den Sie selbst betreiben könnten.

World Labs / Marble ist eine vierte Kategorie: nicht Text, nicht Bild, sondern Raum. Aus Text, Bild, Video oder grobem 3D-Layout wird eine begehbare, konsistente 3D-Welt, exportierbar als Gaussian Splats, Meshes oder Video. Geschlossene Gewichte, keine Selbstbetrieb-Option.

Was sich verschiebt

   WAS SICH VERSCHIEBT

   ┌──────────────┬────────────────────┬──────────────────────┐
   │  PRÜFFELD    │  TEXT              │  MEDIEN              │
   ├──────────────┼────────────────────┼──────────────────────┤
   │  Kosten      │  pro Token, cent   │  pro Bild/Video,     │
   │              │                    │  Cent bis Euro       │
   ├──────────────┼────────────────────┼──────────────────────┤
   │  Urheber-    │  Trainingskorpus   │  STIL und FIGUR –    │
   │  recht       │  (TDM-Schranke)    │  das Ergebnis sieht  │
   │              │                    │  dem Original ähnlich│
   ├──────────────┼────────────────────┼──────────────────────┤
   │  Bias        │  politisch,        │  ästhetisch: wer     │
   │              │  kulturell         │  ist schön, was ist  │
   │              │                    │  ein Berufsbild      │
   ├──────────────┼────────────────────┼──────────────────────┤
   │  Steering    │  stark: Dialog,    │  SCHWACH: ein Prompt │
   │              │  Systemprompt,     │  pro Bild, kein      │
   │              │  Agent             │  Nachverhandeln      │
   ├──────────────┼────────────────────┼──────────────────────┤
   │  Guardrails  │  vielschichtig     │  GROB: NSFW- und     │
   │              │                    │  Stil-Klassifikator  │
   ├──────────────┼────────────────────┼──────────────────────┤
   │  Souveränität│  offene Gewichte   │  kaum: die guten     │
   │              │  verfügbar        │  Modelle sind zu     │
   │              │                    │  (Midjourney, Marble)│
   └──────────────┴────────────────────┴──────────────────────┘

Drei Verschiebungen sind für den Unterricht wichtig:

Steering wird schwach. Bei Text ist Steering mächtig, weil Sie nachverhandeln können – ein Satz im Systemprompt gilt für die ganze Sitzung. Bei einem Bild gibt es das nicht: ein Prompt, ein Ergebnis, fertig. Sie können es wiederholen, aber nicht führen.

Guardrails werden grob. Bei Text gibt es vier Schichten. Bei Bildmodellen sind es meist zwei: ein NSFW-Klassifikator und eine Stil- oder Markensperre. Das ist weniger Schutz, nicht mehr.

Souveränität entfällt praktisch. Offene Bildmodelle existieren, aber die Qualitätslücke zu den geschlossenen ist größer als bei Text. Es gibt kein Midjourney-Äquivalent, das Sie auf einer gemieteten GPU betreiben können.

Der schärfste Unterschied: Urheberrecht

   DER SCHÄRFSTE UNTERSCHIED: URHEBERRECHT

   TEXT-FALL                      MEDIEN-FALL

   ┌──────────────────────┐       ┌──────────────────────┐
   │  Korpus enthält      │       │  Ausgabe SIEHT AUS   │
   │  fremde Texte        │       │  wie fremde Kunst    │
   │                      │       │                      │
   │  → Frage: durfte     │       │  → Frage: ist das    │
   │    man damit trainieren│      │    eine Nachahmung?  │
   └──────────────────────┘       └──────────────────────┘

   Beim Text ist das Ergebnis ein neuer Satz. Bei Bildern ist
   das Ergebnis eine Fläche, die man mit dem Original
   vergleichen kann – und die Ähnlichkeit ist sichtbar.

   ┌──────────────────────────────────────────────────────────┐
   │  FOLGEN FÜR DEN UNTERRICHT                               │
   │                                                          │
   │  · Ein KI-Bild im Arbeitsblatt kann einer geschützten   │
   │    Figur zum Verwechseln ähnlich sehen – auch ohne      │
   │    Absicht                                                │
   │  · Stil ist rechtlich schwächer geschützt als Figur,    │
   │    aber ethisch nicht weniger heikel                    │
   │  · In den USA sind KI-Bilder nicht urheberrechtlich     │
   │    schutzfähig – Sie können also an Ihrem eigenen Bild   │
   │    oft kein eigenes Recht begründen                     │
   └──────────────────────────────────────────────────────────┘

Das ist der Punkt, an dem Medien-KI strukturell anders riskant ist als Text-KI. Beim Text ist die urheberrechtliche Frage eine Frage des Trainingskorpus – juristisch umstritten, aber unsichtbar im Ergebnis. Beim Bild ist das Ergebnis eine Fläche, die man neben das Original legen kann. Die Ähnlichkeit ist nicht abstrakt, sie ist sichtbar.

Was das für den Unterricht bedeutet

   WAS DAS FÜR DEN UNTERRICHT BEDEUTET

   ┌──────────────────────────────────────────────────────────┐
   │  WAS BLEIBT GLEICH                                       │
   │                                                          │
   │  · Wo läuft die Inferenz? (Datenschutz)                 │
   │  · Wer sieht meinen Prompt? (Stationen zählen)          │
   │  · Sind die Gewichte offen? (Souveränität)              │
   │                                                          │
   │  Die sechs Fragen aus Kapitel 6 gelten unverändert.     │
   ├──────────────────────────────────────────────────────────┤
   │  WAS ANDERS IST                                          │
   │                                                          │
   │  · Steering fällt fast weg: Sie schreiben einen Prompt, │
   │    bekommen ein Bild, und das war es. Kein Aushandeln.  │
   │  · Guardrails sind gröber: meist ein NSFW-Filter und    │
   │    eine Stil-Sperre, sonst nichts.                      │
   │  · Urheberrecht ist der Hauptfall, nicht der Nebenasp.  │
   │  · Es gibt praktisch keine Souveränitätsoption: die     │
   │    guten Bildmodelle sind alle geschlossen.             │
   ├──────────────────────────────────────────────────────────┤
   │  DIE PRAKTISCHE REGEL                                    │
   │                                                          │
   │  Für Arbeitsblätter und Materialien: prüfen Sie das     │
   │  Ergebnis auf Ähnlichkeit zu bekannten Figuren, bevor   │
   │  es in die Klasse geht. Das ist der Punkt, an dem       │
   │  Medien-KI anders riskant ist als Text-KI.              │
   └──────────────────────────────────────────────────────────┘

Der Kern in einem Satz: Für Medien-KI gelten dieselben sechs Fragen wie für Text – aber die Gewichte verschieben sich so stark, dass Urheberrecht vom Nebenaspekt zum Hauptfall wird und Steering als Einflussmöglichkeit fast verschwindet.

3. Steering: wie man ein Modell lenkt, ohne es zu ändern

Guardrails verhindern. Steering beeinflusst. Das ist der Unterschied, und er ist wichtiger, als er klingt – weil Steering die einzige Stelle in der ganzen Kette ist, an der Sie wirklich Einfluss haben.

Am Ende dieses Kapitels (3.7) steht der unbequemste Befund des ganzen Dokuments: Steering und Prompt-Injection sind derselbe Mechanismus. Wer das einmal verstanden hat, liest jede weitere Aussage über „sichere" KI-Werkzeuge anders.

3.1 Was Steering ist

   WAS STEERING IST

   Steering heißt: etwas wird VOR der Inferenz in den Kontext
   gelegt, um die Ausgabe zu beeinflussen.

   ┌──────────────┐   ┌──────────────┐   ┌──────────────┐
   │  IHRE        │   │  STEUER-     │   │              │
   │  EINGABE     │──►│  TEXT        │──►│  INFERENZ    │
   │              │   │  (davor)     │   │              │
   └──────────────┘   └──────────────┘   └──────┬───────┘
                                                │
                                                ▼
                                          ┌──────────┐
                                          │ Ausgabe  │
                                          └──────────┘

   Nichts wird blockiert. Nichts wird trainiert.
   Es wird Text hinzugefügt – und der verschiebt das Ergebnis.

   Das ist der ganze Mechanismus. Er ist unspektakulär und
   deshalb so wirksam: Er braucht keine Rechte, keine Software,
   nur Worte an der richtigen Stelle.

Etwas präziser: Steering heißt, Text in den Kontext zu legen, bevor die Inferenz läuft, um die Ausgabe in eine Richtung zu verschieben. Nichts wird blockiert, nichts wird trainiert, nichts wird neu gewichtet. Es kommen Worte dazu – und Worte verschieben das Ergebnis.

Das ist kein Trick und keine Umgehung. Es ist der vorgesehene Weg, einem Modell mitzuteilen, was es tun soll.

3.2 Wo der Steuerungstext herkommt

   WO STEUERUNGSTEXT HERKOMMT

   Reihenfolge = Vorrang. Was weiter unten steht, wird
   typischerweise stärker gewichtet.

   ┌─────────────────────────────────────────────────────────┐
   │  1  ANBIETER      Systemprompt, unsichtbar, fest       │
   │                   >>Du bist ein hilfreicher Assistent,   │
   │                   der ...<<                              │
   ├─────────────────────────────────────────────────────────┤
   │  2  PRODUKT       Anweisungen des Wrappers               │
   │                   >>Antworte immer auf Deutsch und ...<< │
   ├─────────────────────────────────────────────────────────┤
   │  3  SIE           eigene Vorgaben                        │
   │                   Custom Instructions, AGENTS.md,        │
   │                   Projektregeln, Skills                  │
   ├─────────────────────────────────────────────────────────┤
   │  4  ANDERE        mitgelieferte Dateien                  │
   │                   AGENTS.md aus einem geklonten Repo,    │
   │                   hochgeladene Dokumente, RAG-Kontext    │
   ├─────────────────────────────────────────────────────────┤
   │  5  GESPRÄCH      was vorher in dieser Sitzung stand     │
   │                   Memory, Verlauf, vorherige Runden      │
   └─────────────────────────────────────────────────────────┘

   Alle fünf Ebenen sind Text im selben Kontextfenster.
   Für das Modell gibt es keinen eingebauten Unterschied
   zwischen >>Anweisung des Anbieters<< und >>Satz aus einer
   Datei, die jemand ins Repo gelegt hat<<.

Der letzte Punkt ist der entscheidende und der am wenigsten bekannte: Für das Modell gibt es keinen eingebauten Unterschied zwischen einer Anweisung des Anbieters und einem Satz aus einer Datei, die jemand in ein Repository gelegt hat. Beides ist Text im selben Kontextfenster. Die Reihenfolge und die Formulierung entscheiden, was sich durchsetzt – nicht die Herkunft.

3.3 Die konkreten Formen

   DIE KONKRETEN FORMEN

   ┌────────────────────┬───────────────────────────────────┐
   │  FORM              │  WAS SIE TUT                      │
   ├────────────────────┼───────────────────────────────────┤
   │  Systemprompt      │  legt Rolle, Ton und Grenzen fest │
   │  (Anbieter)        │  – für Sie nicht sichtbar         │
   ├────────────────────┼───────────────────────────────────┤
   │  Custom            │  Ihre Vorgaben, gelten in jeder   │
   │  Instructions      │  Unterhaltung (ChatGPT: Einstel-  │
   │                    │  lungen > Personalisierung)       │
   ├────────────────────┼───────────────────────────────────┤
   │  Memory            │  was das System über Sie gelernt  │
   │                    │  hat; wächst mit, oft unbemerkt   │
   ├────────────────────┼───────────────────────────────────┤
   │  Projekte /        │  ein Satz von Vorgaben und Dateien│
   │  Custom GPTs       │  für einen Arbeitsbereich         │
   ├────────────────────┼───────────────────────────────────┤
   │  AGENTS.md         │  offenes Format für Agenten-      │
   │                    │  anweisungen im Repo; die nächste │
   │                    │  Datei im Baum gewinnt            │
   ├────────────────────┼───────────────────────────────────┤
   │  RAG / Kontext     │  abgerufene Textstellen werden    │
   │                    │  mitgeschickt und wirken wie      │
   │                    │  Anweisungen                      │
   ├────────────────────┼───────────────────────────────────┤
   │  Few-Shot-         │  Beispiele im Prompt prägen Stil  │
   │  Beispiele         │  und Format stärker als Regeln    │
   ├────────────────────┼───────────────────────────────────┤
   │  Skills /         │  nachladbare Anweisungspakete,    │
   │  Slash-Befehle     │  die den Prompt erweitern        │
   └────────────────────┴───────────────────────────────────┘

Zwei davon betreffen Lehrkräfte unmittelbar, ohne dass sie es merken:

Custom Instructions (in ChatGPT unter Einstellungen → Personalisierung) sind der offensichtliche Fall: Sie schreiben einmal, was Sie wollen, und es gilt für jede Unterhaltung. Das ist Steering in Reinform, von Ihnen selbst geschrieben.

AGENTS.md ist der Fall, der überrascht. Es ist ein offenes Markdown-Format, das Coding-Agenten Anweisungen mitgibt – verbreitet in über 60.000 Open-Source-Projekten, getragen von der Agentic AI Foundation unter der Linux Foundation. Die Regeln: Die nächste Datei im Verzeichnisbaum gewinnt, und ausdrückliche Eingaben im Chat überschreiben alles.

Das ist elegant und es ist ein Einfallstor. Wer ein fremdes Repository klont, übernimmt damit auch dessen Anweisungen an den Agenten.

3.4 Warum Steering so stark wirkt

   WARUM STEERING SO STARK WIRKT

   ┌─────────────────────────────────────────────────────────┐
   │  1  Es wirkt auf JEDE Antwort, nicht auf eine.          │
   │     Ein Satz im Systemprompt gilt für die ganze Sitzung.│
   ├─────────────────────────────────────────────────────────┤
   │  2  Es ist für das Modell nicht von Ihrer Eingabe zu    │
   │     unterscheiden. Beides ist Text im selben Fenster.   │
   ├─────────────────────────────────────────────────────────┤
   │  3  Es braucht keine Rechte und keine Software.         │
   │     Eine Textdatei im Repo genügt.                      │
   ├─────────────────────────────────────────────────────────┤
   │  4  Es ist unsichtbar, wenn Sie nicht danach suchen.    │
   │     Der Systemprompt des Anbieters ist nicht einsehbar. │
   ├─────────────────────────────────────────────────────────┤
   │  5  Es kumuliert. Fünf kleine Vorgaben ergeben eine     │
   │     starke Richtung, die niemand als Ganzes entworfen   │
   │     hat.                                                │
   └─────────────────────────────────────────────────────────┘

Punkt 5 ist der unterschätzte. Niemand entwirft „die Steuerung" eines Werkzeugs als Ganzes. Sie wächst: ein Satz vom Anbieter, zwei Zeilen vom Wrapper, eine Projektregel, ein Memory-Eintrag, ein Beispiel im Prompt. Am Ende ist eine Richtung entstanden, die keiner bewusst gesetzt hat – und die trotzdem jede Antwort prägt.

3.5 Die Lieferkette des Steuerungstextes

   DIE LIEFERKETTE DES STEUERUNGSTEXTES

   Ein Beispiel, das im Schulalltag real ist:

   ┌──────────────┐
   │  REPO KLONEN │   jemand anderes hat es angelegt
   └──────┬───────┘
          │
          ▼
   ┌──────────────┐
   │  AGENTS.md   │   liegt mit im Repo, wird automatisch
   │  im Repo     │   gelesen – als Anweisung an den Agenten
   └──────┬───────┘
          │
          ▼
   ┌──────────────┐
   │  IHR AGENT   │   folgt diesen Anweisungen
   └──────┬───────┘
          │
          ▼
   ┌──────────────┐
   │  HANDLUNG    │   liest Dateien, führt Befehle aus
   └──────────────┘

   Das ist kein Angriff und kein Fehler. Es ist die
   Funktionsweise: AGENTS.md ist dafür gedacht, Anweisungen
   mitzuliefern. Nur sind es dann nicht MEHR Ihre.

   Die offizielle Regel hilft: >>explicit user chat prompts
   override everything<<. Aber sie hilft nur, wenn Sie sie
   nutzen – und wenn Sie wissen, dass es etwas zu
   überschreiben gibt.

Das ist derselbe Gedanke wie beim MCP-Server in Abschnitt 2.9, nur eine Ebene höher: Ein Stecker bekommt Zugangsdaten, ein Steuerungstext bekommt Autorität. Beides wird selten geprüft.

3.6 Steering und Guardrails – die Verwechslung

Hier kommt der Punkt, an dem die Begriffe in der Praxis durcheinandergehen.

   STEERING UND GUARDRAILS – ZWEI VERSCHIEDENE ACHSEN

   Viele werfen beides zusammen. Es sind aber nicht zwei
   Kategorien derselben Art, sondern zwei Achsen:

   ┌─────────────────────────────────────────────────────────┐
   │  ABSICHT                                                │
   │  ────────                                               │
   │  Guardrail  =  etwas VERHINDERN                         │
   │  Steering   =  etwas BEEINFLUSSEN                       │
   ├─────────────────────────────────────────────────────────┤
   │  MECHANISMUS                                            │
   │  ───────────                                            │
   │  Filter     =  Klassifikator prüft und blockt           │
   │  Training   =  Verhalten wird antrainiert               │
   │  Steering   =  Text wird in den Kontext gelegt          │
   └─────────────────────────────────────────────────────────┘

   Daraus folgt: Ein Guardrail lässt sich DURCH Steering
   umsetzen. Die Claude-Regel gegen Spiel-Nachbau war genau
   das: eine Guardrail-Absicht, umgesetzt als zwei Sätze im
   Systemprompt – also als Steering.

   ┌──────────────────────┬──────────────┬──────────────┐
   │                      │  ABSICHT     │  MECHANISMUS │
   ├──────────────────────┼──────────────┼──────────────┤
   │ Eingangsfilter       │  Guardrail   │  Filter      │
   │ Ausgangsfilter       │  Guardrail   │  Filter      │
   │ RLHF                 │  Guardrail   │  Training    │
   │ Systemprompt-Regel   │  Guardrail   │  Steering    │
   │ Custom Instructions  │  Steering    │  Steering    │
   │ AGENTS.md            │  Steering    │  Steering    │
   │ Few-Shot-Beispiele   │  Steering    │  Steering    │
   └──────────────────────┴──────────────┴──────────────┘

   Deshalb wird Steering umgangssprachlich oft unter
   >>Guardrails<< geführt: Die Wirkung sieht gleich aus.
   Der Unterschied ist, dass Steering nichts blockiert –
   es verschiebt. Und Verschiebung ist keine Grenze.

Warum Steering oft unter „Guardrails" geführt wird: Weil die Wirkung gleich aussieht. Ein Satz im Systemprompt, der eine bestimmte Ausgabe verhindert, fühlt sich an wie ein Guardrail. Der Unterschied zeigt sich erst, wenn man fragt, wie er wirkt: Ein Guardrail prüft und blockiert. Steering verschiebt – und was verschoben ist, lässt sich zurückverschieben.

Deshalb ist die Claude-Regel gegen den Spiel-Nachbau (Abschnitt 4.1) lehrreich: eine Guardrail-Absicht, umgesetzt als Steering-Mechanismus. Zwei Sätze im Systemprompt. Kein Filter, kein Klassifikator, keine Grenze – nur Text, der die Wahrscheinlichkeiten verschiebt. Und deshalb ist sie auch nicht „hart": Sie greift bei Fehlalarmen und lässt sich theoretisch durch geschicktere Formulierung umgehen.

3.7 Steering und Prompt-Injection sind derselbe Mechanismus

Das ist der Punkt, an dem die meisten Erklärungen aufhören, höflich zu sein. Er ist unangenehm, aber er folgt zwingend aus dem, was in 3.1 und 3.2 stand.

   DERSELBE MECHANISMUS, ZWEI NAMEN

   ┌────────────────────────────┬────────────────────────────┐
   │  STEERING                  │  PROMPT-INJECTION          │
   ├────────────────────────────┼────────────────────────────┤
   │  Text wird in den Kontext  │  Text wird in den Kontext  │
   │  gelegt                    │  gelegt                    │
   │                            │                            │
   │  vor der Inferenz          │  vor der Inferenz          │
   │                            │                            │
   │  verschiebt die Ausgabe    │  verschiebt die Ausgabe    │
   │                            │                            │
   │  im selben Kontextfenster  │  im selben Kontextfenster  │
   │                            │                            │
   │  keine Rechte nötig        │  keine Rechte nötig        │
   └────────────────────────────┴────────────────────────────┘

   Es gibt KEINEN technischen Unterschied. Kein privilegierter
   Kanal, keine Signatur, keine Herkunftsprüfung. Alles ist
   Text im selben Fenster – also >>in-band<<.

   Der Unterschied liegt nicht im Mechanismus, sondern darin,
   WER den Text geschrieben hat und ob Sie es wollten.

Es gibt keinen technischen Unterschied. Kein privilegierter Kanal, keine Signatur, keine Herkunftsprüfung, keine Rollenprüfung. Alles ist Text im selben Kontextfenster – also in-band. Der Unterschied liegt ausschließlich darin, wer den Text geschrieben hat und ob Sie es wollten.

Warum es keinen Unterschied geben kann

   WARUM ES KEINEN UNTERSCHIED GEBEN KANN

   Ein Modell sieht bei jeder Anfrage EINEN Textblock:

   ┌─────────────────────────────────────────────────────────┐
   │  [Systemprompt des Anbieters]                           │
   │  [Vorgaben des Wrappers]                                │
   │  [Ihre Custom Instructions]                             │
   │  [AGENTS.md aus dem Repo]                               │
   │  [abgerufene Dokumente / RAG]                           │
   │  [Ihre eigentliche Frage]                               │
   └─────────────────────────────────────────────────────────┘
                          │
                          ▼
                    ┌───────────┐
                    │  MODELL   │
                    └─────┬─────┘
                          │
                          ▼
                    ┌───────────┐
                    │  Ausgabe  │
                    └───────────┘

   Das Modell hat keine Möglichkeit festzustellen, welcher
   dieser Absätze von wem stammt. Es gibt keine Metadaten,
   keine Rollenprüfung, keinen Vertrauensanker.

   >>Anweisung<< und >>Daten<< sind im selben Kanal. Genau
   das macht Prompt-Injection technisch unlösbar.

Das Modell bekommt bei jeder Anfrage einen einzigen Textblock. Es gibt keine Metadaten, die sagen: „Dieser Absatz kommt vom Anbieter, jener aus einem PDF, jener von einem Angreifer." Es gibt keinen Vertrauensanker, an dem sich Herkunft festmachen ließe.

Anweisung und Daten sind im selben Kanal. Genau das macht Prompt-Injection technisch unlösbar – und genau das macht Steering und Injection zu demselben Ding.

Was tatsächlich unterscheidet

Nicht der Mechanismus, sondern drei soziale Größen: Herkunft, Absicht, Kenntnis.

   WAS TATSÄCHLICH UNTERSCHEIDET

   Nicht der Mechanismus, sondern drei soziale Größen:

   ┌─────────────────────────────────────────────────────────┐
   │  1  HERKUNFT     Wer hat den Text geschrieben?           │
   │                  Anbieter / Sie / ein Fremder            │
   ├─────────────────────────────────────────────────────────┤
   │  2  ABSICHT      Wollten Sie das?                        │
   │                  gewollt / hingenommen / unerwünscht     │
   ├─────────────────────────────────────────────────────────┤
   │  3  KENNTNIS     Wissen Sie davon?                       │
   │                  sichtbar / versteckt / unentdeckt       │
   └─────────────────────────────────────────────────────────┘

   ┌──────────────────┬──────────┬──────────┬──────────────┐
   │  FALL            │  HERKUNFT│  ABSICHT │  KENNTNIS    │
   ├──────────────────┼──────────┼──────────┼──────────────┤
   │  Systemprompt    │  Anbieter│  gewollt │  versteckt   │
   │  Custom Instr.   │  Sie     │  gewollt │  sichtbar    │
   │  AGENTS.md eigen │  Sie     │  gewollt │  sichtbar    │
   │  AGENTS.md fremd │  Fremder │  hingen. │  unentdeckt  │
   │  RAG-Dokument    │  Fremder │  hingen. │  unentdeckt  │
   │  Injection       │  Fremder │  böswill.│  unentdeckt  │
   └──────────────────┴──────────┴──────────┴──────────────┘

   Die unteren drei Zeilen sind technisch identisch.
   Nur die Bewertung unterscheidet sie.

Die unteren drei Zeilen dieser Tabelle sind technisch identisch. Eine fremde AGENTS.md, ein RAG-Dokument mit eingeschmuggeltem Satz und ein gezielter Angriff wirken über denselben Weg. Nur die Bewertung unterscheidet sie.

Das ist die präzise Antwort auf die Frage „Wo hört Steering auf und wo fängt Injection an?": Es gibt keine technische Grenze. Es gibt eine Konvention. Sie hält, weil sich alle daran halten – nicht, weil sie erzwungen wird.

Warum der Vergleich mit SQL-Injection irreführt

Der Name „Injection" wurde aus der Datenbankwelt übernommen. Er beschreibt die Absicht richtig, verspricht aber eine Trennung, die es hier nicht gibt.

   WARUM DER VERGLEICH MIT SQL-INJECTION IRREFÜHRT

   SQL-INJECTION                  PROMPT-INJECTION

   ┌──────────────┐               ┌──────────────┐
   │  CODE        │ ← Kanal 1     │  ANWEISUNG   │ ← Kanal 1
   ├──────────────┤               ├──────────────┤
   │  DATEN       │ ← Kanal 2     │  DATEN       │ ← Kanal 1
   └──────────────┘               └──────────────┘

   ZWEI getrennte Kanäle.         EIN Kanal.
   Der Unterschied ist im         Der Unterschied ist
   Mechanismus verankert.         nur in der Absicht.

   Deshalb ist SQL-Injection      Deshalb ist Prompt-
   durch Escaping und             Injection nicht durch
   Prepared Statements            Filterung zu beheben,
   grundsätzlich lösbar.          nur zu erschweren.

   Der Name >>Injection<< wurde aus der Datenbankwelt
   übernommen. Er beschreibt die Absicht richtig, aber er
   verspricht eine Trennung, die es hier nicht gibt.

Bei SQL sind Code und Daten zwei Kanäle, und der Unterschied ist im Mechanismus verankert. Deshalb ist SQL-Injection durch Escaping und Prepared Statements grundsätzlich lösbar – nicht vollständig, aber strukturell.

Bei Sprachmodellen gibt es diesen zweiten Kanal nicht. Es gibt nur Text. Filterung kann die Wahrscheinlichkeit senken, dass ein Angriff durchkommt. Sie kann das Problem nicht beheben, weil es kein Problem des Kanals ist, sondern der Bauart.

Die Folgerungen

   DIE FOLGERUNGEN

   ┌─────────────────────────────────────────────────────────┐
   │  1  Jeder Steuerungskanal ist ein Injection-Kanal.       │
   │     Custom Instructions, AGENTS.md, RAG, Memory,        │
   │     Skills – alles Wege, auf denen fremder Text         │
   │     Anweisungscharakter bekommt.                        │
   ├─────────────────────────────────────────────────────────┤
   │  2  >>Prompt-Injection<< ist keine technische Kategorie, │
   │     sondern eine Bewertung. Sie beschreibt, ob fremder   │
   │     Text gegen Ihren Willen gewirkt hat – nicht, wie    │
   │     er gewirkt hat.                                     │
   ├─────────────────────────────────────────────────────────┤
   │  3  Man kann Injection nicht wegfiltern. Man kann nur    │
   │     die Angriffsfläche verkleinern: weniger Fremdtext,  │
   │     weniger Rechte, weniger Automatik.                  │
   ├─────────────────────────────────────────────────────────┤
   │  4  Die Grenze ist eine Konvention, keine Technik.       │
   │     Sie hält, weil sich alle daran halten – nicht, weil  │
   │     sie erzwungen wird.                                 │
   └─────────────────────────────────────────────────────────┘

Punkt 2 ist der wichtigste für den Sprachgebrauch: „Prompt-Injection" ist keine technische Kategorie, sondern eine Bewertung. Sie beschreibt nicht, wie etwas gewirkt hat, sondern ob fremder Text gegen Ihren Willen gewirkt hat. Dieselbe Wirkung heißt Steering, wenn Sie es wollten, und Injection, wenn nicht.

Was das für den Unterricht bedeutet

   WAS DAS FÜR DEN UNTERRICHT BEDEUTET

   ┌─────────────────────────────────────────────────────────┐
   │  DIE UNBEQUEME FOLGE                                    │
   │                                                          │
   │  Wenn Steering und Injection derselbe Mechanismus sind,  │
   │  dann ist >>das Modell hat es mir gesagt<< keine         │
   │  Begründung. Und >>das Modell hat es verweigert<< auch   │
   │  nicht.                                                  │
   │                                                          │
   │  In beiden Fällen hat TEXT gewirkt, dessen Herkunft Sie  │
   │  nicht vollständig kennen.                               │
   ├─────────────────────────────────────────────────────────┤
   │  WAS SIE TUN KÖNNEN                                     │
   │                                                          │
   │  · Fremdtext sparsam zulassen (fremde Repos, fremde      │
   │    Dokumente, fremde Skills)                             │
   │  · Rechte klein halten – der Agent soll nicht mehr       │
   │    dürfen, als die Aufgabe braucht                       │
   │  · Ergebnisse prüfen, nicht Autoritäten glauben          │
   │  · bei Schülern: das Werkzeug nicht unbeaufsichtigt      │
   │    mit Dateien und Befehlen arbeiten lassen              │
   ├─────────────────────────────────────────────────────────┤
   │  WAS SIE NICHT TUN KÖNNEN                               │
   │                                                          │
   │  Eine technische Grenze ziehen, die es nicht gibt.      │
   └─────────────────────────────────────────────────────────┘

Der Kern in einem Satz: Weil alles in-band ist, ist „das Modell hat es gesagt" keine Begründung – und „das Modell hat es verweigert" auch nicht. In beiden Fällen hat Text gewirkt, dessen Herkunft Sie nicht vollständig kennen.

3.8 Was das für den Unterricht bedeutet

   WAS DAS FÜR DEN UNTERRICHT BEDEUTET

   ┌─────────────────────────────────────────────────────────┐
   │  STEERING IST DIE STELLE, AN DER SIE WIRKLICH           │
   │  EINFLUSS HABEN                                          │
   │                                                          │
   │  Guardrails können Sie nicht ändern.                     │
   │  Gewichte können Sie nicht ändern.                       │
   │  Den Steuerungstext können Sie ändern – er ist für Sie da│
   │  da.                                                     │
   ├─────────────────────────────────────────────────────────┤
   │  ABER: Was Sie nicht geschrieben haben, steuert mit.     │
   │                                                          │
   │  · der Systemprompt des Anbieters                        │
   │  · die Vorgaben des Wrappers                             │
   │  · mitgelieferte Dateien aus fremden Quellen             │
   │  · Memory, das sich unbemerkt angesammelt hat            │
   ├─────────────────────────────────────────────────────────┤
   │  DIE PRAKTISCHE FOLGE                                    │
   │                                                          │
   │  Eine gute Steuerung ist nicht >>mehr Anweisungen<<,     │
   │  sondern >>wenige, die ich selbst geschrieben habe und   │
   │  die ich wiederfinde<<.                                  │
   └─────────────────────────────────────────────────────────┘

Der Kern in einem Satz: Steering ist der einzige Hebel, den Sie selbst in der Hand haben – aber er wird von anderen mitbedient, oft ohne dass Sie es merken.

3.9 Drei Regeln für die eigene Steuerung

Weniger, aber selbst geschrieben. Zehn Zeilen, die Sie verstehen, wirken besser als fünfzig, die Sie kopiert haben – und Sie können sie wiederfinden, wenn etwas schiefgeht.
Prüfen, was mitkommt. Bei fremden Repositories: Steht eine AGENTS.md darin? Bei Chat-Werkzeugen: Was steht in den Custom Instructions und im Memory? Beides ist Steuerung, auch wenn Sie es nicht geschrieben haben.
Steering ist kein Schutz. Wenn Sie wollen, dass etwas nicht passiert, ist Steering die falsche Antwort. Es macht etwas unwahrscheinlicher, nicht unmöglich. Für Schutz brauchen Sie Rechte, Prüfungen und im Zweifel den Verzicht auf das Werkzeug.

4. Die sechs Prüffelder als Matrix

Lesen Sie zeilenweise: Was heißt das auf dieser Ebene?

Ebene	Sicherheit	Datenschutz	Urheberrecht	Kosten	Souveränität	Bias
Korpora	Data Poisoning, nicht prüfbar	personenbezogene Daten im Korpus	TDM-Schranke, Nutzungsvorbehalt	Erhebung, Speicherung, Bereinigung	Sprach- und Kulturräume	wichtigste Quelle: Häufigkeit wird Norm
Training	Lieferkette, Backdoors	Auswendiglernen von Inhalten	Vervielfältigung beim Training	dominant, nur Großakteure	Wer kann es finanzieren?	RLHF: belohntes Verhalten wird Norm
Gewichte	Exfiltration, Fine-Tuning-Angriffe	Löschanspruch vs. Unlöschbarkeit	rechtlich ungeklärt	Speicher, Verteilung	einziger echter Hebel	eingebrannt, nicht abschaltbar
Veröffentlichung	Integrität, Signatur	einmal offen = dauerhaft offen	Lizenzbedingungen	Verteilung	Jurisdiktionswechsel möglich	prüfbar, weil testbar
Nachträgliche Änderung	Lieferkette: fremde Bearbeitung, kein Nachweis	–	Lizenz kann Bearbeitung erlauben oder verbieten	Rechenzeit beim Bearbeiten	Verantwortung wandert zu Ihnen	Guardrails weg ≠ Bias weg
Guardrails	porös: Umformulierung, Übersetzung, Injection	–	–	Laufzeitkosten pro Prüfung	einseitig: englischlastig trainiert	verdeckt Bias, statt ihn zu beheben
Steering	kein Schutz: verschiebt, blockiert nicht	Steuerungstext kann Daten enthalten	–	keine	hier haben Sie Einfluss	formt Bias, statt ihn zu zeigen

Bei Bild-, Video- und 3D-Werkzeugen (Abschnitt 2.12) entfallen die Zeilen Client, Harness, Cloud-Harness und MCP – dort gibt es nur Station 1–5. Steering fällt fast weg, Guardrails sind gröber, Souveränität entfällt praktisch.

Inferenz	Prompt-Injection, Logs	hier entscheidet sich DSGVO	–	pro Token / pro Stunde	hier entscheidet sich der Rechtsraum	sichtbar, wenn Sie danach fragen
Client	Konto, Verlauf, Telemetrie	Verlaufsspeicherung, Sync	–	Abo pro Person	Anbieterbindung	–
Harness	höchstes Risiko: Rechte, Tool-Zugriff	Umfang der übermittelten Daten	–	mehr Tokens pro Aufgabe	lokal vs. Cloud	Ort des versteckten Bias (Systemprompt)
Cloud-Harness	nicht inspizierbar	Dateien auf fremder Infrastruktur	–	Abo, oft intransparent	volle Abhängigkeit	nicht einsehbar
MCP	fremde Server, Zugangsdaten	zusätzliche Datenstation	–	gering	offener Standard = Vorteil	–

Die Merkregel:

   Datenschutz    entscheidet sich beim  ORT
   Urheberrecht   entscheidet sich beim  KORPUS
   Kosten         entscheiden sich beim  TRAINING und der INFERENZ
   Souveränität   entscheidet sich bei   GEWICHTEN und JURISDIKTION
   Sicherheit     entscheidet sich beim  HARNESS
   Bias           entscheidet sich bei   KORPUS, RLHF und SYSTEMPROMPT

4.1 Bias: offen und versteckt

Bias ist das sechste Prüffeld, und das am schlechtesten verstandene. Der Grund: Er hat zwei Formen, und nur eine davon wird diskutiert.

Wo Bias entsteht

Vier Stellen, und sie verhalten sich völlig unterschiedlich:

Korpus. Was häufig vorkommt, klingt normal. Wer nur englischsprachige Webseiten liest, hält englische Namen für selbstverständlich.
RLHF. Was Annotierende belohnen, wird gelernt. Höflichkeit, Weitschweifigkeit, Zurückhaltung bei heiklen Themen – Verhaltensnormen, die niemand als Bias bezeichnet.
Systemprompt. Was der Anbieter vorschaltet. Serverseitig injiziert, für Sie unsichtbar.
Policy. Was der Anbieter vertraglich verbietet. Steht in den Nutzungsbedingungen, wird aber erst im Betrieb spürbar.

Die entscheidende Unterscheidung: 1 und 2 reisen mit der Datei. 3 und 4 reisen mit dem Dienst.

   OFFENER BIAS                    VERSTECKTER BIAS

   dokumentiert                    nicht dokumentiert
   benannt                         unbenannt
   diskutierbar                    nur durch Ausprobieren
                                   findbar

   Beispiele:                      Beispiele:
   · chinesische Modelle:          · Höflichkeit als Stil
     politische Themen gesperrt      (ist auch eine Norm)
     – bekannt und benannt         · englischsprachige Welt
   · Claude: IP-Regeln im            als selbstverständlich
     Systemprompt – bestätigt      · westliche Namen in
                                     Beispielen

   WO BIAS ENTSTEHT

   ┌────────────────────────────────────────────────────────────┐
   │  1  KORPUS        was häufig vorkommt, klingt normal      │
   ├────────────────────────────────────────────────────────────┤
   │  2  RLHF          was belohnt wird, wird gelernt          │
   │                   → sitzt in den GEWICHTEN                │
   ├────────────────────────────────────────────────────────────┤
   │  3  SYSTEMPROMPT  was der Anbieter vorschaltet            │
   │                   → sitzt im HARNESS                      │
   ├────────────────────────────────────────────────────────────┤
   │  4  POLICY        was der Anbieter vertraglich verbietet │
   │                   → sitzt im VERTRAG                      │
   └────────────────────────────────────────────────────────────┘

   1 und 2 reisen mit der Datei. 3 und 4 reisen mit dem Dienst.

Die Asymmetrie, die übersehen wird

Die verbreitete Annahme lautet: chinesische Modelle zensieren, westliche Modelle sind frei. Das ist zu einfach, und es verdeckt die eigentliche Frage.

   CHINESISCHE MODELLE           WESTLICHE MODELLE

   Bias ist STAATLICH            Bias ist KOMMERZIELL
   begründet                    begründet

   sichtbar, weil                unsichtbar, weil
   dokumentiert und              als Qualitäts- oder
   öffentlich diskutiert         Sicherheitsfrage gilt

   ┌──────────────────┐          ┌──────────────────┐
   │ politische       │          │ IP-Regeln        │
   │ Themen gesperrt  │          │ Sicherheitsregeln│
   │ (bekannt)        │          │ Markenschutz     │
   └──────────────────┘          └──────────────────┘

   Beide sind Alignment. Keine der beiden Seiten ist neutral.
   Der Unterschied ist, WER die Grenze zieht und ob sie
   benannt wird.

Beide Seiten ziehen Grenzen. Der Unterschied ist nicht ob, sondern wer sie zieht und ob er es sagt. Der offene Bias ist der leichter zu bewertende Fall, weil man ihn prüfen kann.

Der Fall Claude und der Spiel-Nachbau (Oktober 2026)

Das beste Beispiel dafür, dass auch westliche Modelle Bias haben – und dass er nicht immer benannt wird.

Ende Oktober 2026 hat Anthropic zwei Sätze in den Systemprompt von Claude Code (Opus 5.5) eingefügt. Die interne Kennung lautet tengu_heron_brook. Inhalt: Claude soll keine bestehenden Videospiele nachbauen – auch nicht unter anderem Namen oder als angebliches Originalprojekt.

   DER FALL CLAUDE / SPIEL-NACHBAU   (Oktober 2026)

   ┌──────────────────────────────────────────────────────────┐
   │  Was passiert ist                                        │
   │                                                          │
   │  Anthropic hat Ende Oktober 2026 zwei Sätze in den       │
   │  Systemprompt von Claude Code (Opus 5.5) eingefügt.      │
   │  Interne Kennung: tengu_heron_brook                      │
   │                                                          │
   │  Inhalt: Claude soll keine bestehenden Videospiele       │
   │  nachbauen – auch nicht unter anderem Namen.             │
   └──────────────────────────────────────────────────────────┘

   ┌──────────────────────────────────────────────────────────┐
   │  Warum                                                   │
   │                                                          │
   │  IP-Verletzung ist laut Anthropics Usage Policy          │
   │  verboten. Steam war zuvor mit KI-Klonen überflutet.     │
   │  Bestätigt von Addy Osmani (Anthropic), 30.10.2026.      │
   └──────────────────────────────────────────────────────────┘

   ┌──────────────────────────────────────────────────────────┐
   │  Was das für Sie bedeutet                                │
   │                                                          │
   │  · nicht abschaltbar in den Einstellungen                │
   │  · greift auch bei legitimer Reverse-Engineering-Arbeit  │
   │  · Reverse Engineering ist in EU und USA unter           │
   │    Bedingungen LEGAL – die Sperre ist strenger als das   │
   │    Gesetz                                                │
   │  · nicht verhandelbar, nicht begründbar, nicht           │
   │    dokumentiert im Voraus                                │
   └──────────────────────────────────────────────────────────┘

Bestätigt von Addy Osmani (Anthropic) am 30. Oktober 2026: Man habe zwei Sätze ergänzt, um Claude davon abzubringen, „das spezifische Spiel eines anderen nachzubauen", weil IP-Verletzung gegen die Usage Policy verstößt.
Auslöser: Steam war zuvor wochenlang mit KI-generierten Spielklonen überschwemmt worden.
Nicht abschaltbar über die Einstellungen von Claude Code.
Nebenwirkungen: Entwickler berichten, dass auch legitime Reverse-Engineering-Arbeit blockiert wird – etwa das Analysieren von Windows-Crash-Dumps, das Entfernen von Bloatware von einem Fernseher, oder das Arbeiten mit dem Decompiler-Werkzeug „Reverse Engineer Anything". Ein Entwickler von Brettspiel-Modulen für Kunden berichtete, Claude habe die Arbeit an bestehenden, eigenen Repositories verweigert.

Warum das für Lehrkräfte relevant ist: Reverse Engineering ist in der EU und den USA unter Bedingungen legal – für Kompatibilität und Interoperabilität, und auch das Bereitstellen von Werkzeugen dafür. Die Sperre ist also strenger als das Gesetz. Sie ist eine unternehmerische Entscheidung zum Schutz vor Haftung, keine rechtliche Notwendigkeit.

   DREI GRENZEN, NICHT EINE

   ┌─────────────────────────────────────────────┐
   │  WAS ERLAUBT IST                            │
   │  Gesetz + Rechtsprechung                    │
   └───────────────────┬─────────────────────────┘
                       │  wird enger
                       ▼
   ┌─────────────────────────────────────────────┐
   │  WAS DER ANBIETER ERLAUBT                   │
   │  Nutzungsbedingungen + Systemprompt         │
   └───────────────────┬─────────────────────────┘
                       │  wird enger
                       ▼
   ┌─────────────────────────────────────────────┐
   │  WAS DAS MODELL TATSÄCHLICH TUT             │
   │  inklusive Fehlalarme                       │
   └─────────────────────────────────────────────┘

   Die drei Grenzen fallen nicht zusammen. Die unterste ist
   die, mit der Sie im Alltag arbeiten – und sie ist die
   engste und die am wenigsten verhandelbare.

Was das für die fünf Betriebsmodelle bedeutet

Variante	Bias-Lage
A · claude.ai	Gewichts-Bias plus aktueller Systemprompt-Bias. Beides zusammen, nichts davon einsehbar.
B · Router + offene Gewichte	Nur Gewichts-Bias. Der Systemprompt des Anbieters entfällt, weil Sie den Harness selbst betreiben. Dafür: Bias eines anderen Rechtsraums, ungeprüft.
C · lokal	Nur Gewichts-Bias. Kein serverseitiger Systemprompt. Das ist der einzige Vorteil, den lokaler Betrieb beim Thema Bias wirklich hat.
D · gemietete GPU	Nur Gewichts-Bias, und Sie können ihn testen: dasselbe Modell, verschiedene Eingaben, keine Policy dazwischen.
E · AWS Bedrock	Gewichts-Bias plus Anthropics Systemprompt – denn Bedrock betreibt das Modell, nicht eine Kopie davon. Datenresidenz ändert am Bias nichts.

Die praktische Konsequenz: Selbstbetrieb ist die einzige Maßnahme, die eine der beiden Bias-Ebenen tatsächlich entfernt. Er entfernt nicht die wichtigere.

5. Fünf Betriebsmodelle im Vergleich

Die folgenden fünf Varianten decken fast alles ab, was Ihnen im Schulalltag begegnet. Sie unterscheiden sich nicht im Modell, sondern darin, wer welche Rolle übernimmt – und bei Variante E zusätzlich darin, wer der Vertragspartner ist.

A · claude.ai (geschlossen, Cloud, ein Anbieter)

Client, Harness und Modell aus einer Hand. Inferenz auf Anthropic-Servern in den USA.

┌────────────────────────────────┐
│  IHR GERÄT                     │
│  ┌───────┐   ┌─────────┐       │
│  │Client │──►│ Harness │       │
│  └───────┘   └────┬────┘       │
└────────────────────────────────┘
                   │ Verbindung
                   ▼
╔══════════════════════════════════════════════════╗
║  ANTHROPIC  ·  USA                               ║
║  ┌────────┐ ┌─────────┐ ┌──────────┐             ║
║  │ Client │►│ Harness │►│  Modell  │             ║
║  └────────┘ └─────────┘ └──────────┘             ║
╚══════════════════════════════════════════════════╝

   Stationen, die mitlesen: 1
   Gewichte: geschlossen
   alles aus einer Hand

Wer sieht den Prompt	Anthropic
Inferenzort	USA
Gewichte	geschlossen
DSGVO-Aufwand	Auftragsverarbeitungsvertrag nötig; für schulische Nutzung in vielen Ländern ohne Freigabe nicht zulässig
Kosten	Abo pro Person, planbar
Qualität	sehr hoch, aktuell führend
Kontrolle	gering
Bias	Gewichts-Bias plus aktueller Systemprompt-Bias – beides nicht einsehbar
Hauptrisiko	US-Cloud-Act: US-Behörden können auf Daten bei US-Anbietern zugreifen, auch wenn sie in der EU liegen

Für Lehrkräfte: Das Werkzeug mit der besten Bedienbarkeit und dem größten Rechtsrisiko. Ohne Freigabe der Schulleitung und ohne datenschutzrechtliche Grundlage ist der Einsatz für personenbezogene Schülerdaten nicht vertretbar. Für Materialvorbereitung ohne Personenbezug ist die Hürde niedriger – prüfen Sie trotzdem, ob Ihr Land eine Zulassung erteilt hat.

B · pi + OpenRouter + chinesische offene Gewichte, Inferenz in Europa

Der Harness läuft auf Ihrem Gerät. Er schickt Anfragen an OpenRouter (USA), das sie an einen Inferenz-Anbieter in der EU weiterleitet, der ein chinesisches Modell mit offenen Gewichten (etwa Qwen, DeepSeek, GLM) ausführt.

┌────────────────────────────────┐
│  IHR GERÄT                     │
│  ┌───────┐   ┌─────────┐       │
│  │Client │──►│ Harness │       │
│  └───────┘   └────┬────┘       │
└────────────────────────────────┘
                   │ Verbindung
                   ▼
╔══════════════════════════════════════════════════╗
║  OPENROUTER  ·  USA   ← sieht den Prompt         ║
║  (Router, kein Modell)                           ║
║                                                  ║
║  ┌──────────────────────────────────┐            ║
║  │  INFERENZ  ·  EU                 │            ║
║  │  Qwen / DeepSeek / GLM           │            ║
║  │  offene Gewichte                 │            ║
║  └──────────────────────────────────┘            ║
╚══════════════════════════════════════════════════╝

   Stationen, die mitlesen: 2
   Gewichte: offen, chinesischer Herkunft

Wer sieht den Prompt	Sie → OpenRouter (USA) → Inferenz-Anbieter (EU)
Inferenzort	EU
Gewichte	offen, chinesischer Herkunft
DSGVO-Aufwand	zwei Verarbeitungsstationen, zwei Verträge
Kosten	sehr niedrig, Abrechnung pro Token
Qualität	gut bis sehr gut, je nach Modellwahl
Kontrolle	mittel bis hoch – Modell und Anbieter frei wählbar
Bias	nur Gewichts-Bias (fremder Rechtsraum, ungeprüft) – Systemprompt entfällt
Hauptrisiko	Herkunft der Gewichte: Trainingsdaten unbekannt, inhaltliche Ausrichtung an den Regeln eines anderen Rechtsraums

Für Lehrkräfte: Das ist die Variante, die am häufigsten missverstanden wird. Wichtig ist die Unterscheidung: Die Gewichte sind nicht der Dienst. Ein chinesisches Modell, das auf einem deutschen Server läuft, ist datenschutzrechtlich etwas völlig anderes als die App desselben Herstellers, die Daten nach China sendet. Aber: Sie kaufen sich Transparenz über den Ort und verlieren Transparenz über den Inhalt. Prüfen Sie in den OpenRouter-Einstellungen, ob Prompt-Protokollierung und Weitergabe zu Trainingszwecken abgeschaltet sind.

C · Ollama, lokal auf dem eigenen Gerät

Gewichte werden einmal heruntergeladen, die Inferenz läuft vollständig auf Ihrem Rechner.

   ╔══════════════════════════════════════════════════╗
   ║  IHR GERÄT  ·  nichts verlässt es                ║
   ║                                                  ║
   ║  ┌───────┐   ┌─────────┐   ┌──────────────────┐  ║
   ║  │Client │──►│ Harness │──►│ Ollama + Gewichte│  ║
   ║  └───────┘   └─────────┘   └──────────────────┘  ║
   ╚══════════════════════════════════════════════════╝
                          ✂
              keine Verbindung nach außen

   Stationen, die mitlesen: 0
   Gewichte: offen

Wer sieht den Prompt	niemand außer Ihnen
Inferenzort	Ihr Gerät
Gewichte	offen
DSGVO-Aufwand	minimal – nach dem Download verlassen keine Daten das Gerät
Kosten	Hardware einmalig, kein laufender Preis
Qualität	begrenzt: 7–8B-Modelle laufen auf 16 GB RAM, 70B-Modelle brauchen ca. 40 GB VRAM
Kontrolle	vollständig
Bias	nur Gewichts-Bias – kein serverseitiger Systemprompt
Herkunft	Sie müssen prüfen, welche Datei Sie geladen haben – abliterierte Varianten sind verbreitet
Hauptrisiko	Scheinsicherheit: schwächere Modelle erfinden mehr; ein lokaler Agent kann trotzdem per Prompt-Injection fremdgesteuert werden

Für Lehrkräfte: Die datenschutzrechtlich einfachste Variante – und die fachlich schwächste. Realistisch für: Zusammenfassungen, Umformulierungen, einfache Erklärungen. Nicht realistisch für: anspruchsvolle Fachdidaktik, lange Dokumente, komplexe Aufgaben. Der Nutzen liegt nicht in der Qualität, sondern darin, dass Sie die Datenhoheit behalten.

D · Gemietete GPU: Cloud-GPU oder gemieteter eigener Server

Zwei Spielarten, gleiche Logik:

D1 Cloud-GPU stundenweise (RunPod, AWS, ähnliche): Sie mieten eine Maschine mit GPU, installieren eine Laufzeit wie vLLM oder Ollama, betreiben eine eigene Schnittstelle.
D2 Gemieteter Server mit GPU bei einem deutschen Hoster (etwa Hetzner, netcup): feste Monatsmiete, deutsche Jurisdiktion, Auftragsverarbeitungsvertrag verfügbar.

┌────────────────────────────────┐
│  IHR GERÄT                     │
│  ┌───────┐   ┌─────────┐       │
│  │Client │──►│ Harness │       │
│  └───────┘   └────┬────┘       │
└────────────────────────────────┘
                   │ Verbindung
                   ▼
╔══════════════════════════════════════════════════╗
║  GEMIETETE GPU  ·  DE / EU                       ║
║  ┌──────────────┐   ┌──────────────────────┐     ║
║  │ vLLM/Ollama  │──►│ Gewichte Ihrer Wahl  │     ║
║  │ Sie = Admin  │   │                      │     ║
║  └──────────────┘   └──────────────────────┘     ║
╚══════════════════════════════════════════════════╝

   ⚠  Sie sind der Betreiber – also sichern SIE ab.

   Stationen, die mitlesen: 1 (der Hoster)
   Gewichte: frei wählbar

Wer sieht den Prompt	Ihr Hoster (theoretisch), praktisch nur Sie
Inferenzort	EU / Deutschland
Gewichte	frei wählbar, auch offene
DSGVO-Aufwand	Auftragsverarbeitungsvertrag mit dem Hoster, eigene Absicherung
Kosten	fest monatlich, gut kalkulierbar, lohnt sich ab vielen Nutzenden
Qualität	bis zur Spitzenklasse, wenn die GPU groß genug ist
Kontrolle	hoch – Sie sind der Betreiber
Bias	nur Gewichts-Bias – und testbar, weil keine Policy dazwischenfunkt
Herkunft	Sie sind für die Datei verantwortlich – inklusive Prüfsumme und Bearbeitungsstand
Hauptrisiko	Sie sind jetzt der Betreiber: offene Schnittstellen ohne Authentifizierung sind ein bekanntes, häufiges Incident-Muster

Für Lehrkräfte: Der einzige Weg zu echter Souveränität – und der einzige, bei dem Sie die Sicherheitsarbeit nicht delegieren können. Wer eine GPU mietet und eine Laufzeit startet, hat typischerweise eine Schnittstelle ohne Passwort im Netz stehen. Das ist kein Randfall, sondern der Normalfall. Wenn Sie das nicht selbst absichern können, brauchen Sie jemanden, der es tut.

E · AWS Bedrock mit Anthropic-Modellen (geschlossene Gewichte, eigener Cloud-Vertrag)

Bedrock ist kein Modell und kein Client, sondern ein Marktplatz für Inferenz: AWS betreibt fremde Modelle – darunter die geschlossenen Anthropic-Modelle – und stellt sie über Ihr eigenes AWS-Konto bereit. Sie bekommen dieselben Gewichte wie in Variante A, aber einen anderen Vertragspartner, einen anderen Rechtsraum für die Verarbeitung und andere Kontrollmöglichkeiten.

Das Entscheidende: Bedrock entbündelt, was claude.ai bündelt. Bei claude.ai kommen Modell, Inferenz, Client und Harness aus einer Hand. Bei Bedrock wählen Sie Client und Harness selbst (etwa pi oder Claude Code) und beziehen nur das Modell samt Inferenz über AWS.

   ╔═══════════════════════════╗
   ║  IHR GERÄT                ║
   ║  ┌───────┐   ┌─────────┐  ║   ← Client und Harness
   ║  │Client │──►│ Harness │  ║     wählen SIE
   ║  └───────┘   └────┬────┘  ║
   ╚═══════════════════│═══════╝
                       │ HTTPS + IAM
                       ▼
   ╔══════════════════════════════════════════════════╗
   ║  AWS  ·  eu-central-1 (Frankfurt)                ║
   ║                                                  ║
   ║  ┌────────────────────────────────────────────┐  ║
   ║  │  BEDROCK                                   │  ║
   ║  │  Marktplatz: betreibt fremde Modelle       │  ║
   ║  │  ┌──────────────────────────────────────┐  │  ║
   ║  │  │  Anthropic-Modell (geschlossen)      │  │  ║
   ║  │  └──────────────────────────────────────┘  │  ║
   ║  └────────────────────────────────────────────┘  ║
   ╚══════════════════════════════════════════════════╝

   ✓ Ort belegbar        ✗ Rechtsraum bleibt US-amerikanisch
   Stationen, die mitlesen: 1 (AWS, in Ihrem Konto)

Wer sieht den Prompt	AWS in Ihrem Konto; Anthropic erhält ihn im Standardbetrieb nicht
Inferenzort	frei wählbar, z. B. `eu-central-1` (Frankfurt)
Gewichte	geschlossen – nicht selbst betreibbar
DSGVO-Aufwand	AVV mit AWS, Region festnageln, IAM und Protokollierung einrichten
Kosten	pro Token, meist günstiger als das Abo; dazu AWS-Konto und Abrechnung
Qualität	identisch mit Variante A
Kontrolle	hoch für den Datenweg, gering für das Modell selbst
Bias	Gewichts-Bias plus Anthropics Systemprompt – Bedrock betreibt das Modell, nicht eine Kopie
Hauptrisiko	Jurisdiktion bleibt US-amerikanisch: Amazon ist ein US-Unternehmen, der Cloud Act gilt auch für die EU-Region

Was Bedrock löst: Datenresidenz. Sie können verbindlich festlegen, dass die Verarbeitung in Frankfurt stattfindet, und das mit Audit-Protokollen belegen. Sie steuern über IAM, wer überhaupt zugreifen darf, und können den Verkehr über ein eigenes Netzwerk führen. Für den Nachweis gegenüber einer Datenschutzbeauftragten ist das ein großer Unterschied zu Variante A.

Was Bedrock nicht löst: Die Gewichte bleiben geschlossen. Sie können das Modell nicht selbst betreiben, also nicht aus der AWS-Struktur ausbrechen. Der Cloud Act bleibt bestehen – eine EU-Region ist ein Verarbeitungsort, kein Jurisdiktionswechsel. Und Sie sehen weiterhin nicht, woraus das Modell gelernt hat; die urheberrechtliche Frage bleibt unbeantwortet.

Der pädagogische Punkt: Variante E ist der beste Beleg dafür, dass „geschlossene Gewichte" und „ein Anbieter, ein Vertrag, ein Rechtsraum" nicht dasselbe sind. Wer nur zwischen A und C schwankt, übersieht diesen Mittelweg. Aber E ist auch der beste Beleg dafür, dass Datenresidenz nicht Souveränität ist: Der Ort der Verarbeitung lässt sich verlegen, die Eigentumsverhältnisse nicht.

Für Lehrkräfte: Realistisch nur mit Unterstützung der Schulträger-IT, weil ein AWS-Konto, IAM-Rollen und Abrechnung eingerichtet werden müssen. Der typische Weg ist nicht „jede Lehrkraft ihr Konto", sondern ein zentral bereitgestellter Zugang. Wenn Ihr Schulträger ohnehin AWS nutzt, ist das oft der pragmatischste Weg zu einem datenschutzrechtlich belegbaren Betrieb mit guter Modellqualität.

Vergleichstabelle

	A · claude.ai	B · Router + offene Gewichte	C · lokal (Ollama)	D · gemietete GPU	E · AWS Bedrock
Gewichte	geschlossen	offen (CN)	offen	frei wählbar	geschlossen
Inferenzort	USA	EU	Ihr Gerät	EU/DE	frei wählbar (z. B. Frankfurt)
Stationen, die mitlesen	1	2	0	1 (Hoster)	1 (AWS, in Ihrem Konto)
Vertragspartner	Anthropic	OpenRouter + Anbieter	–	Hoster	AWS
DSGVO-Aufwand	hoch	hoch	minimal	mittel	mittel–hoch (Einrichtung)
Laufende Kosten	mittel	niedrig	keine	fest, mittel–hoch	niedrig–mittel
Modellqualität	sehr hoch	gut–sehr hoch	begrenzt	sehr hoch	sehr hoch
Datenresidenz belegbar	nein	teilweise	ja	ja	ja
Souveränität	gering	mittel	hoch	hoch	gering–mittel
Bias-Ebenen	2 (Gewichte + Prompt)	1 (Gewichte)	1 (Gewichte)	1 (Gewichte)	2 (Gewichte + Prompt)
Sicherheitslast bei Ihnen	gering	mittel	mittel	hoch	mittel

                         Inferenzort frei wählbar?
                             nein          ja
                       ┌─────────────┬─────────────┐
            offen  ja  │  C  lokal   │  D  GPU     │
       Gewichte?       │             │             │
       selbst          │  SOUVERÄN   │  SOUVERÄN   │
       betreibbar?     │  + Residenz │  + Residenz │
                       ├─────────────┼─────────────┤
                  nein │  A claude   │  E Bedrock  │
                       │             │             │
                       │  gering     │  Residenz,  │
                       │             │  nicht souv.│
                       └─────────────┴─────────────┘

       Souveränität = Gewichte selbst betreibbar
       Residenz     = Ort der Verarbeitung wählbar

       Das sind zwei verschiedene Achsen. Die häufigste
       Verwechslung ist, die rechte Spalte für Souveränität
       zu halten.

6. Die sechs Fragen, die alles entscheiden

Wenn Ihnen ein KI-Werkzeug begegnet und Sie wenig Zeit haben, reichen diese sechs Fragen. Sie bilden genau die Kette aus Abschnitt 2 ab.

   ┌──────────────────────────────────────────────────────────┐
   │  FRAGE 1                                                 │
   │    Wo liegen die Gewichte – offen oder zu?               │
   │    Offen  = Sie KÖNNTEN selbst betreiben.                │
   │    Zu     = Sie mieten immerzu.                          │
   ├──────────────────────────────────────────────────────────┤
   │  FRAGE 2                                                 │
   │    Wo läuft die Inferenz – und wer ist dort              │
   │    mein Vertragspartner?                                 │
   │    Gerät → EU → Drittland.                               │
   │    Der Ort lässt sich verlegen (Bedrock-Region),         │
   │    der Rechtsraum des Betreibers nicht.                  │
   ├──────────────────────────────────────────────────────────┤
   │  FRAGE 3                                                 │
   │    Wer sieht meinen Prompt unterwegs?                    │
   │    Zählen Sie die Stationen. Jede ist ein                │
   │    Vertrag und ein Risiko.                               │
   ├──────────────────────────────────────────────────────────┤
   │  FRAGE 4                                                 │
   │    Was darf das Werkzeug TUN?                            │
   │    Nur antworten – oder auch Dateien lesen,              │
   │    Befehle ausführen, Seiten bearbeiten?                 │
   │    Ab "darf handeln" beginnt die Sicherheits-            │
   │    frage, und sie wiegt schwerer als alle anderen.       │
   └──────────────────────────────────────────────────────────┘

   Die fünfte Frage stellen Sie sich selbst:
   Kann ich die Antworten auf 1–4 BELEGEN, oder glaube ich sie nur?

Wo liegen die Gewichte – offen oder geschlossen?
Offen heißt: Sie könnten selbst betreiben. Geschlossen heißt: Sie mieten immerzu.

Wo läuft die Inferenz – und wer ist dort mein Vertragspartner?
Gerät → EU → Drittland. Das ist die Datenschutzfrage, und sie ist unabhängig davon, wie das Produkt heißt. Fragen Sie beides getrennt: Der Verarbeitungsort lässt sich verlegen (Bedrock-Region), der Rechtsraum des Betreibers nicht (Cloud Act).

Wer sieht meinen Prompt unterwegs?
Zählen Sie die Stationen. Jede Zwischenstation ist ein Vertrag und ein Risiko.

Was darf das Werkzeug tun?
Nur antworten, oder auch Dateien lesen, Befehle ausführen, Seiten bearbeiten? Ab „darf handeln" beginnt die Sicherheitsfrage – und sie wiegt schwerer als alle anderen.

Was sagt dieses Werkzeug nicht – und wer hat entschieden, dass es das nicht sagt?
Die Bias-Frage. Sie beantwortet kein Datenblatt. Sie beantwortet sich nur durch Ausprobieren mit Themen, bei denen Sie die Antwort schon kennen. Prüfen Sie dabei beide Ebenen: den Bias im Modell und die Regeln im Systemprompt.

Kann ich die Antworten auf 1–5 belegen, oder glaube ich sie nur?
Die unbequemste Frage, und die einzige, die Sie selbst beantworten müssen.

7. Fallstricke, die immer wieder auftreten

„Es ist doch Open Source." Offene Gewichte sind nicht Open Source. Nutzbar ja, nachvollziehbar nein.

„Es läuft lokal, also ist es sicher." Lokal heißt datenschutzfreundlich. Sicher heißt: abgesichert. Ein lokaler Agent mit Dateizugriff und ohne Rechtebegrenzung ist ein Risiko, kein Schutz.

„Bedrock ist doch AWS, also läuft alles in den USA." Halb richtig. Die Verarbeitung können Sie auf eine EU-Region festlegen und das belegen. Der Rechtsraum bleibt US-amerikanisch, weil Amazon ein US-Unternehmen ist. Datenresidenz und Souveränität sind zwei verschiedene Dinge – Bedrock verbessert die erste und lässt die zweite unberührt.

„Das Modell ist chinesisch, also gehen die Daten nach China." Nein – das gilt für den Dienst des Herstellers, nicht für die Gewichte. Ein lokal oder in der EU betriebenes offenes Modell sendet nichts nach China. Die Herkunftsfrage bleibt trotzdem berechtigt, nur an anderer Stelle: bei den Trainingsdaten und der inhaltlichen Ausrichtung.

   WAS NACH CHINA GEHT               WAS NICHT NACH CHINA GEHT

   App des Herstellers               offene Gewichte
   (der Dienst)                      (die Datei)

   Sie ──► Server in China           Sie ──► eigener Server
           = Datenexport                     = keine Übertragung

„DSGVO ist erledigt, wir haben einen Vertrag." Ein Auftragsverarbeitungsvertrag regelt die Verarbeitung, er ersetzt keine Rechtsgrundlage. Für Schülerdaten braucht es beides.

„Das Werkzeug ist von der Schule freigegeben, dann darf ich alles damit." Freigaben gelten typischerweise für bestimmte Zwecke. Eine Freigabe für Unterrichtsvorbereitung ist keine Freigabe für Noten oder Förderdiagnostik.

„Prompt-Injection ist ein Angriff, den man abwehren kann." Nicht strukturell. Anweisung und Daten sind im selben Kanal. Filter senken die Wahrscheinlichkeit, beheben das Problem nicht. Der Vergleich mit SQL-Injection führt in die Irre: Dort gibt es zwei Kanäle, hier einen.

„Steering ist harmlos, Injection ist ein Angriff." Derselbe Mechanismus. Eine fremde AGENTS.md, ein RAG-Dokument mit eingeschmuggeltem Satz und ein gezielter Angriff wirken identisch – nur Herkunft, Absicht und Ihre Kenntnis unterscheiden sie.

„Die Zusammenfassung ist doch nur Text." Wenn der Harness dabei Dateien liest, tut er mehr als zusammenfassen. Prompt-Injection über ein hochgeladenes Dokument ist ein belegtes Angriffsmuster, kein Gedankenspiel.

„Westliche Modelle sind unzensiert." Nein. Sie haben einen anderen Bias, keinen kleineren. Der Fall Claude/Spiel-Nachbau zeigt: Der Systemprompt enthält Regeln, die strenger sind als das Gesetz, und Sie erfahren davon nur durch Presseberichte.

„Der Bias steckt im Training, dagegen kann ich nichts tun." Halb richtig. Der Gewichts-Bias ist tatsächlich nicht entfernbar. Der Systemprompt-Bias schon – durch Selbstbetrieb. Das ist der einzige Punkt, an dem die Wahl des Betriebsmodells das Bias-Ergebnis wirklich verändert.

„Custom Instructions sind nur eine Bequemlichkeit." Sie sind Steering – und sie wirken auf jede Antwort, in jeder Unterhaltung. Was dort steht, prägt mehr als jede einzelne Frage.

„AGENTS.md ist nur Dokumentation." Es ist eine Anweisung an den Agenten. Wer ein fremdes Repository klont, übernimmt dessen Steuerungstext mit. Die offizielle Regel „explicit user chat prompts override everything" hilft nur, wenn man weiß, dass es etwas zu überschreiben gibt.

„Steering ist ein Guardrail." Nein. Ein Guardrail blockiert, Steering verschiebt. Die Wirkung sieht gleich aus, der Mechanismus ist ein anderer – und deshalb lässt sich Steering zurückverschieben, ein Guardrail nicht.

„Das Modell hat es verweigert, also ist die Grenze sicher." Ein Guardrail ist eine Wahrscheinlichkeitsschwelle, keine Mauer. Er schützt vor dem, was er kennt. Yong, Menghini und Bach zeigten 2023, dass GPT-4 sich durch Übersetzen in eine Sprache mit wenig Trainingsdaten in 79 % der Fälle umgehen ließ.

„Die Guardrails sind Teil des Modells." Nur eine von vier Schichten ist das. Eingangsfilter, Systemprompt und Ausgangsfilter sitzen außen herum und werden vom Anbieter jederzeit geändert – ohne dass sich an den Gewichten etwas ändert.

„Offene Gewichte sind unverändert." Nein. Auf Hugging Face lagen im November 2026 rund 8.900 Modelle mit „abliterated" im Namen. Wer eine Datei lädt, ohne die Prüfsumme zu vergleichen, weiß nicht, was er betreibt.

„Ohne Guardrails ist das Modell neutraler." Der gefährlichste Denkfehler in diesem Dokument. Guardrails unterdrücken Ausgaben, Bias steckt in den Gewichten. Entfernt man die Guardrails, kommen die unterdrückten Ausgaben zurück – nicht eine ausgewogenere Sicht. Im Unterricht ist ein abliteriertes Modell meist einseitiger, nicht neutraler.

„Ein chinesisches Modell ist für deutsche Schulen unbrauchbar." Zu pauschal. Ein lokal betriebenes offenes Modell sendet nichts nach China und gehorcht keiner fremden Policy. Was bleibt, ist der Gewichts-Bias – und den haben alle Modelle. Die relevante Frage ist, ob Sie ihn kennen und benennen können.

8. Glossar

Begriff	Bedeutung
Gewichte (weights)	die trainierten Zahlen, die ein Modell ausmachen
Offene Gewichte	Gewichte, die herunterladbar und selbst betreibbar sind – ohne Offenlegung der Trainingsdaten
Open Source (OSAID)	Definition der Open Source Initiative: verlangt zusätzlich Angaben zu Daten und Code
Inferenz	der Betrieb des Modells: Eingabe rein, Ausgabe raus
Laufzeit / Runtime	Software, die Gewichte auf Hardware ausführt (Ollama, vLLM, llama.cpp)
Client	die Oberfläche, die Sie bedienen
Harness	Programm, das dem Modell Werkzeuge und eine Handlungsschleife gibt
MCP	offener Standard, über den ein Harness mit Werkzeugen und Datenquellen spricht
Router	Vermittlungsdienst, der Anfragen an verschiedene Inferenz-Anbieter weiterleitet
Bezugsweg	der Kanal, über den ein Modell zu Ihnen kommt – direkt, über Cloud-Marktplatz, über Router oder selbst betrieben
Bedrock	AWS-Marktplatz für Inferenz: AWS betreibt fremde Modelle, auch geschlossene, in Ihrem Cloud-Konto
Region	der geografische Standort, an dem eine Cloud-Ressource rechnet (z. B. `eu-central-1` = Frankfurt)
Datenresidenz	die Zusicherung, dass Daten an einem bestimmten Ort verarbeitet werden – nicht zu verwechseln mit Souveränität
Prompt-Injection	eingeschmuggelte Anweisungen in Inhalten, die ein Agent als Auftrag ausführt
TDM-Schranke	§ 44b UrhG: erlaubt Text- und Data-Mining, sofern kein Nutzungsvorbehalt erklärt wurde
AVV	Auftragsverarbeitungsvertrag nach Art. 28 DSGVO
Cloud Act	US-Gesetz, das US-Behörden Zugriff auf Daten bei US-Anbietern erlaubt, auch im Ausland
Bias	systematische Schieflage in den Ausgaben eines Modells; entsteht aus Korpus, RLHF und Systemprompt
Offener Bias	dokumentierter, benannter Bias – diskutierbar und damit prüfbar
Versteckter Bias	unbenannter Bias, der als Qualität, Sicherheit oder Markenschutz auftritt
RLHF	Reinforcement Learning from Human Feedback: Abgleich mit menschlicher Bewertung; prägt Verhaltensnormen
Systemprompt	Anweisung, die der Anbieter serverseitig vor Ihre Eingabe setzt; für Sie meist unsichtbar
Alignment	Sammelbegriff für alle Maßnahmen, die das Verhalten eines Modells steuern – inklusive Bias
Abliteration	nachträgliches Entfernen der Verweigerungsrichtung aus den Gewichten; Kofferwort aus ablation und obliteration
Verweigerungsrichtung	ein Richtungsvektor im Aktivierungsraum, der Verweigerung vermittelt (Arditi et al. 2024)
Quantisierung	Runden der Gewichte auf weniger Bits (4 oder 8), damit ein Modell auf kleinere Hardware passt
LoRA-Adapter	kleine Zusatzschicht, die auf ein Basismodell aufgesetzt wird, ohne es zu verändern
Modell-Merge	Mitteln zweier Modelle zu einem dritten
Prüfsumme (Hash)	Fingerabdruck einer Datei; zeigt, ob sie unverändert ist
Abliterated / uncensored	Namenszusätze, die eine bewusst veränderte Datei kennzeichnen
Guardrail	Sammelbegriff für Filter um ein Modell herum; keine harte Grenze, sondern eine Wahrscheinlichkeitsschwelle
Eingangsfilter	Klassifikator, der den Prompt prüft, bevor er das Modell erreicht
Ausgangsfilter	Klassifikator, der die Antwort prüft, bevor sie Sie erreicht
Klassifikator	kleines Modell, das Text in Kategorien einteilt (z. B. „harmlos / schädlich")
Jailbreak	Umgehung eines Guardrails durch Formulierung, Rollenspiel oder Übersetzung
Fehlalarm (false positive)	harmlose Eingabe wird blockiert
Durchrutscher (false negative)	schädliche Eingabe wird nicht blockiert
Steering	Beeinflussung der Ausgabe durch Text, der vor der Inferenz in den Kontext gelegt wird – blockiert nichts, verschiebt
Systemprompt	Steuerungstext des Anbieters; für Nutzende nicht sichtbar und nicht änderbar
Custom Instructions	eigene Daueranweisungen (ChatGPT: Einstellungen → Personalisierung)
Memory	vom System angesammelte Informationen über Sie, die mit jeder Anfrage mitgehen
AGENTS.md	offenes Markdown-Format für Agentenanweisungen im Repository; die nächste Datei im Baum gewinnt
Few-Shot-Beispiele	Beispiele im Prompt, die Stil und Format stärker prägen als Regeln
Kontextfenster	der Textbereich, den ein Modell bei einer Anfrage gleichzeitig sieht
In-band	Anweisung und Daten laufen im selben Kanal – es gibt keine Trennung
Out-of-band	Anweisung und Daten laufen in getrennten Kanälen (z. B. SQL: Code vs. Daten)
Prompt-Injection	fremder Text, der gegen Ihren Willen als Anweisung wirkt; technisch identisch mit Steering, nur unbewertet
Modalität	die Art der Ein- und Ausgabe: Text, Bild, Video, Audio, 3D
Diffusionsmodell	Modelltyp, der Bilder und Videos erzeugt, indem er Rauschen schrittweise entfernt
Gaussian Splat	kompakte 3D-Darstellung aus farbigen Punkten; Exportformat von Weltmodellen
Weltmodell	Modell, das konsistente 3D-Umgebungen erzeugt (z. B. Marble von World Labs)
Aggregator	Werkzeug, das fremde Modelle bündelt und weiterleitet (Krea, OpenRouter)

9. Wo Sie anfangen können

Vier Schritte, in dieser Reihenfolge:

   SCHRITT 1   BESTANDSAUFNAHME
               Notieren Sie für die Werkzeuge, die Sie tatsächlich
               nutzen, die Antworten auf die sechs Fragen aus
               Abschnitt 6. Die Lücken sind Ihre Aufgabenliste.

                        │
                        ▼

   SCHRITT 2   NACH DATENKLASSE TRENNEN
               ┌────────────────────────┬────────────────────────┐
               │ ohne Personenbezug     │ mit Schülerdaten       │
               │ (Material vorbereiten) │ (Noten, Diagnostik)    │
               ├────────────────────────┼────────────────────────┤
               │ niedrigere Hürde       │ höchste Hürde          │
               │ mehr Werkzeuge möglich │ kaum ein Werkzeug ok   │
               └────────────────────────┴────────────────────────┘

                        │
                        ▼

   SCHRITT 3   DIE BETREIBERFRAGE KLÄREN
               Wollen Sie Variante D, brauchen Sie jemanden,
               der die Absicherung übernimmt.
               Gibt es den nicht, ist C die realistische
               Obergrenze – oder B mit bewusst gewählten Stationen.

Bestandsaufnahme. Notieren Sie für die Werkzeuge, die Sie tatsächlich nutzen, die Antworten auf die sechs Fragen aus Abschnitt 6. Die Lücken in dieser Liste sind Ihre Aufgabenliste.
Trennen Sie nach Datenklasse. Unterrichtsvorbereitung ohne Personenbezug und alles mit Schülerdaten sind zwei verschiedene Entscheidungen mit zwei verschiedenen Maßstäben. Behandeln Sie sie nicht mit demselben Werkzeug.
Klären Sie die Betreiberfrage. Wenn Sie Variante D wollen, brauchen Sie jemanden, der die Absicherung übernimmt. Wenn es den nicht gibt, ist Variante C die realistische Obergrenze – oder Variante B mit bewusst gewählten Stationen.

Testen Sie den Bias, bevor Sie ihn im Unterricht haben. Nehmen Sie zehn Themen, bei denen Sie die Antwort kennen – aus Ihrem Fach, aus Ihrer Region, aus der deutschen Geschichte. Stellen Sie dieselbe Frage zwei Modellen. Was fehlt, was wird umgangen, was wird auffällig betont? Das ist der einzige Bias-Test, der ohne Fachwissen über Modellarchitektur funktioniert.

10. Quellen

Zum Fall Claude / Spiel-Nachbau (Abschnitt 4.1):

Anthropic Usage Policy (gültig ab 12. November 2026) – verbietet unter „Do Not Violate Applicable Laws": „Infringe, misappropriate, or violate the intellectual property rights of a third party". Die Sperre im Systemprompt ist die operative Umsetzung dieses Satzes. https://www.anthropic.com/legal/aup
VideoCardz, 1. November 2026 – „Anthropic restricts Claude Code from recreating existing games, developers report blocked projects". Berichtet die Bestätigung durch Addy Osmani (Anthropic) vom 30. Oktober 2026, die interne Kennung tengu_heron_brook, die fehlende Abschaltbarkeit und die Nebenwirkungen bei legitimer Reverse-Engineering-Arbeit. https://videocardz.com/newz/anthropic-restricts-claude-code-from-recreating-existing-games-developers-report-blocked-projects
PC Gamer – „Anthropic updates Claude to 'steer it away' from letting users clone games following weeks of Steam being inundated with AI slop". Ordnet den Anlass ein: die Flut KI-generierter Spielklone auf Steam. https://www.pcgamer.com/gaming-industry/anthropic-updates-claude-to-steer-it-away-from-letting-users-clone-games-following-weeks-of-steam-being-inundated-with-ai-slop/

Zum nachträglichen Verändern von Gewichten (Abschnitt 2.10):

Arditi, Obeso, Syed, Paleka, Panickssery, Gurnee, Nanda (2024): Refusal in Language Models Is Mediated by a Single Direction. arXiv:2406.11717. Der Originalbefund: Verweigerung ist in 13 offenen Chat-Modellen bis 72B durch eine einzige Richtung vermittelt. https://arxiv.org/abs/2406.11717
Abliteration-Dokumentation – Beschreibung des Verfahrens, der Grenzen und der Unterscheidung zu Jailbreaks und Fine-Tuning. https://docs.abliteration.ai/what-is-abliteration
Hugging Face, Modellsuche „abliterated" – rund 8.900 Treffer im November 2026, von etablierten Uploadern bis zu anonymen Konten. https://huggingface.co/models?search=abliterated

Zu anderen Modalitäten (Abschnitt 2.12):

Midjourney – Nutzung von Bildern und Videos – Rechte an erzeugten Bildern, Öffentlichkeit als Standard, Umsatzschwelle für Pro/Mega, keine Freistellung. https://docs.midjourney.com/hc/en-us/articles/27870375276557-Using-Images-Videos-Commercially
Krea – Kreativ-Suite und Aggregator mit 40+ fremden Modellen; das eigene Modell Krea Realtime 14B ist offen veröffentlicht. https://www.krea.ai · https://github.com/krea-ai/realtime-video
World Labs / Marble – multimodales Weltmodell, Beta November 2025, kommerziell seit Februar 2026; Export als Gaussian Splats, Meshes oder Video. https://www.worldlabs.ai/blog/marble-world-model

Zu Steering (Abschnitt 3):

AGENTS.md – offenes Format für Agentenanweisungen, in über 60.000 Open-Source-Projekten genutzt, getragen von der Agentic AI Foundation unter der Linux Foundation. Regeln: die nächste Datei im Verzeichnisbaum gewinnt, ausdrückliche Chat-Eingaben überschreiben alles. https://agents.md

Zu Guardrails (Abschnitt 2.11):

Yong, Menghini, Bach (2023): Low-Resource Languages Jailbreak GPT-4. arXiv:2310.02446. Übersetzen in eine Sprache mit wenig Trainingsdaten umgeht die Schutzmechanismen – 79 % Erfolgsquote auf dem AdvBenchmark. https://arxiv.org/abs/2310.02446
Dong, Mu, Jin, Qi, Hu, Zhao, Meng, Ruan, Huang (2024): Building Guardrails for Large Language Models. arXiv:2402.01822, ICML 2024. Position paper zu Guardrail-Architekturen (Llama Guard, NeMo, Guardrails AI) und ihren Grenzen. https://arxiv.org/abs/2402.01822
Arditi et al. (2024): siehe Abschnitt 2.10 – Abliteration entfernt die Trainingsschicht der Guardrails vollständig.

Einordnung: Die Berichte stützen sich auf Beobachtungen von Entwicklern und eine öffentliche Bestätigung von Anthropic. Die genaue Formulierung des Systemprompts ist nicht offiziell veröffentlicht – die Kennung tengu_heron_brook stammt aus einer Analyse durch Nutzer, nicht von Anthropic. Behandeln Sie die Details als gut belegt, aber nicht als amtlich.

Diese Landkarte beschreibt Zusammenhänge, keine Empfehlungen für einzelne Produkte. Preise, Lizenzen und Rechtslagen ändern sich; prüfen Sie den Stand, bevor Sie entscheiden.

Suche

Benutzer:Christian/MCP-Content-Test

Christian

KI-Werkzeuge: eine Landkarte für Lehrkräfte

Kurzfassung

1. Wie KI-Werkzeuge heißen – und was der Name verschweigt

Namen entschlüsseln – drei Übungen

Der Wrapper-Effekt

Der Bezugsweg – die Schicht, die im Namen nie steht

2. Die Kette – und was sie quer durchzieht

2.1 Trainingskorpora

2.2 Training

2.3 Modellgewichte

2.4 Veröffentlichung der Gewichte

2.5 Inferenz

2.6 Clients

2.7 Agentische Harnesses

2.8 Cloud-Harnesses

2.9 MCP (Model Context Protocol)

2.10 Nachträglich veränderte Gewichte

Fünf Verfahren, dieselbe Datei zu verändern

Abliteration: Guardrails aus den Gewichten entfernen

Was sich ändert – und was nicht

Der Denkfehler: „ohne Guardrails = ohne Bias"

Die Herkunftsfrage – und was Sie praktisch tun können

2.11 Wie Guardrails funktionieren – und warum sie keine harten Grenzen sind

Vier Schichten, vier verschiedene Techniken

Die Fehlvorstellung

Warum es technisch keine harte Grenze sein kann

Die belegten Lecken

Die Zusammenfassung in einer Tabelle

Was das für den Unterricht bedeutet

2.12 Andere Modalitäten: Bild, Video, 3D

Wo die drei Werkzeuge sitzen

Die drei im Einzelnen

Was sich verschiebt

Der schärfste Unterschied: Urheberrecht

Was das für den Unterricht bedeutet

3. Steering: wie man ein Modell lenkt, ohne es zu ändern

3.1 Was Steering ist

3.2 Wo der Steuerungstext herkommt

3.3 Die konkreten Formen

3.4 Warum Steering so stark wirkt

3.5 Die Lieferkette des Steuerungstextes

3.6 Steering und Guardrails – die Verwechslung

3.7 Steering und Prompt-Injection sind derselbe Mechanismus

Warum es keinen Unterschied geben kann

Was tatsächlich unterscheidet

Warum der Vergleich mit SQL-Injection irreführt

Die Folgerungen

Was das für den Unterricht bedeutet

3.8 Was das für den Unterricht bedeutet

3.9 Drei Regeln für die eigene Steuerung

4. Die sechs Prüffelder als Matrix

4.1 Bias: offen und versteckt

Wo Bias entsteht

Die Asymmetrie, die übersehen wird

Der Fall Claude und der Spiel-Nachbau (Oktober 2026)

Was das für die fünf Betriebsmodelle bedeutet

5. Fünf Betriebsmodelle im Vergleich

A · claude.ai (geschlossen, Cloud, ein Anbieter)

B · pi + OpenRouter + chinesische offene Gewichte, Inferenz in Europa

C · Ollama, lokal auf dem eigenen Gerät

D · Gemietete GPU: Cloud-GPU oder gemieteter eigener Server

E · AWS Bedrock mit Anthropic-Modellen (geschlossene Gewichte, eigener Cloud-Vertrag)

Vergleichstabelle

6. Die sechs Fragen, die alles entscheiden

7. Fallstricke, die immer wieder auftreten

8. Glossar

9. Wo Sie anfangen können

10. Quellen

Navigation

⧼advertisement⧽

⧼timis-pagehighlighted⧽

⧼timis-pagenamespaces⧽

⧼timis-pagetranslate⧽

Seitenwerkzeuge

Seitenwerkzeuge