KIberblick

Wenn die Quelle für die KI geschrieben wurde

Zwei Staaten lassen Inhalte produzieren, die KI-Antwortmaschinen zitieren sollen. Die Absicht ist belegt, die Wirkung schwächer als behauptet.

26. August 202611 Min. Lesezeit

Auf der Website des Hanover Institute for Public Policy liegt eine Datei namens llms.txt. Solche Dateien gibt es, damit Sprachmodelle die Inhalte einer Seite leichter erfassen. In dieser steht ein Pflichthinweis nach US-Recht, und der nennt die Auftragskette: Verbreitet wird das Material von der Firma Piro, Inc., im Auftrag der Havas Media Germany GmbH, im Auftrag der israelischen Regierungs-Werbeagentur LaPam.

Ein Institut, das aussieht wie eine Denkfabrik, mit einer Datei, die Sprachmodellen das Lesen erleichtert, und einem Absender, der drei Stationen entfernt eine Regierung ist. Innerhalb von zwei Wochen sind zwei solcher Fälle öffentlich geworden. Beide lohnen ein genaues Hinsehen, und zwar auch dort, wo die Belege dünner sind als die Schlagzeilen.

Fall eins: eine Denkfabrik ohne Autoren

Politico hat den Vorgang am 14.08.2026 zuerst beschrieben, Responsible Statecraft und 404 Media haben nachgelegt. Was belegt ist:

Seit dem 06.08.2026 sind über 100 Berichte erschienen, keiner davon mit einem Autorennamen. Piro ist in den USA als Auslandsagent registriert und lädt die Artikel pflichtgemäß beim Justizministerium hoch. Mitgründer der Firma ist Daniel Rosenberg.

Bei den Geldbeträgen lohnt Genauigkeit, weil sie gerade munter vermischt werden. Aus den Registerunterlagen ergeben sich zwei Zahlen: Piro ordnet gut ein Dutzend Hanover-Artikel einer Kampagne über 100.000 Dollar zu. Daneben steht eine Rechnung von Havas an Piro über 900.000 Dollar vom 30.04.2026 für die Entwicklung des Projekts. Die 900.000 Dollar sind Projektgeld an Piro, nicht nachweislich das Budget des Hanover Institute. Wer schreibt, Israel habe 900.000 Dollar für eine Schein-Denkfabrik bezahlt, geht über die Quellen hinaus.

Dass die Texte maschinell erzeugt sind, ist ein starkes Indiz, aber kein Beweis. Zwei Redaktionen haben Stichproben durch Erkennungswerkzeuge geschickt: Responsible Statecraft ließ 12 zufällige Artikel durch GPTZero, 11 kamen als KI-geschrieben mit hoher Konfidenz zurück, einer mit mittlerer. 404 Media prüfte drei Artikel mit Pangram, alle drei wurden als vollständig maschinell eingestuft. Das sind kleine Stichproben, und Detektoren für KI-Text sind keine Beweismittel, sie irren in beide Richtungen. Belastbar ist deshalb nur die vorsichtige Formulierung: Zwei Redaktionen haben unabhängig voneinander Stichproben prüfen lassen, beide kamen zum selben Ergebnis.

Der beste Beleg steht auf der Website des Dienstleisters

Interessanter als jeder Detektor ist, dass die beteiligte Firma ihr Vorgehen selbst beschreibt. Auf Piros Produktseite zu "AI Story Optimization" heißt es, man verfasse Inhalte, die darauf ausgelegt sind, wie Sprachmodelle Glaubwürdigkeit bewerten. Man kartiere jede Oberfläche, die die Modelle lesen, von Reddit-Threads über YouTube-Transkripte bis zu Bewertungsportalen. Und dann steht dort der Satz, um den es eigentlich geht: Ausgeliefert werde die Arbeit auf der eigenen Seite des Kunden oder auf vertrauenswürdigen Drittseiten, die man selbst baue.

Das Anlegen von Drittseiten ist also nicht der Missbrauch eines Produkts, es ist das Produkt.

Dazu passt ein LinkedIn-Beitrag Rosenbergs, den beide Redaktionen zitieren. Sinngemäß: Wer heute ChatGPT, Gemini oder Perplexity zu einer Branche befrage, bekomme einen einzigen selbstbewussten Absatz zurück, und die wenigsten Marken wüssten, wie dieser Absatz entsteht. Man habe Monate damit verbracht, das zurückzuentwickeln. Den Beitrag selbst konnten wir nicht einsehen, LinkedIn gibt Inhalte an nicht angemeldete Besucher nicht heraus. Er liegt hier also in zweiter Hand vor.

Ein Dementi gibt es nicht. Rosenberg erklärte gegenüber Politico, Piro sei vom Staat Israel beauftragt worden, belegte Fakten öffentlich zugänglich zu machen und Falschinformationen entgegenzutreten. Zur Frage, ob die Texte von einer KI stammen, sagte er nichts. Havas, das Hanover Institute, LaPam und die israelische Botschaft antworteten nicht.

Und funktioniert es?

Hier wird es dünn, und das gehört dazu.

Es gibt genau einen Wirkungsnachweis: Politico hat eigene Testfragen gestellt und berichtet, ChatGPT und Perplexity hätten Hanover-Material zitiert. Methodik, Prompts, Anzahl der Abfragen und Zeitpunkt sind nicht offengelegt. Weder Responsible Statecraft noch 404 Media haben einen eigenen Zitationsnachweis geführt, beide argumentieren über Form und Absicht der Inhalte.

Ein Indiz von unerwarteter Seite stützt den Befund allerdings: Piro bewirbt die Politico-Feststellung inzwischen selbst als Verkaufsargument auf der eigenen Produktseite. Wer die Enthüllung zum Werbetext macht, hält sie offensichtlich für zutreffend.

Trotzdem, sauber formuliert: Belegt sind Finanzierung, Absicht und Bauweise. Der Nachweis, dass Chatbots die Inhalte tatsächlich in nennenswertem Umfang zitieren, steht auf einem einzigen Redaktionstest.

Fall zwei: OpenAI sperrt Konten, und die Details überraschen

Am selben Tag, an dem 404 Media den Hanover-Fall veröffentlichte, hat OpenAI einen eigenen Fall dokumentiert. Es geht um das "International Burke Institute", eine Website, die im Februar 2025 registriert wurde.

Zwei Punkte daran werden in der Weiterberichterstattung regelmäßig verdreht.

Erstens wurden die Artikel nicht mit ChatGPT geschrieben. OpenAI schreibt das zweimal ausdrücklich. Von 36 geprüften Artikeln aus dem Zeitraum September 2025 bis Mai 2026 waren 34 von anderswo kopiert, teils falsch zugeschrieben. Mit ChatGPT erzeugt wurde die Ebene darüber: Social-Media-Beiträge und Kommentare, die auf diese Artikel verwiesen, auf X, LinkedIn, Facebook, Substack und Telegram. Die Prompts waren russisch, die Ausgabe meist englisch, mit der ausdrücklichen Anweisung, sprachliche Hinweise auf die russische Herkunft zu verbergen.

Für deutsche Leser besonders unangenehm: Darunter waren deutschsprachige Beiträge für einen Telegram-Kanal namens "Lahme Ente", die Ukraine, EU und Bundesregierung kritisierten und für bessere Beziehungen zu Russland warben. Die verbundenen Kanäle kommen auf je 10.000 bis 20.000 Follower.

Zweitens schreibt OpenAI die Kampagne dem russischen Staat nicht zu. Die Formulierung lautet, das Konten-Cluster stamme sehr wahrscheinlich aus Russland. Es gibt keinen Codenamen für die Operation und keine Zahl gesperrter Konten, beides wird in Sekundärberichten manchmal erfunden. Einige Spuren deuten auf reale Personen in Israel hin, die das Institut auf Konferenzen vertreten haben, und OpenAI sagt offen, das Verhältnis zwischen diesen Personen und den Betreibern in Russland nicht bestimmen zu können.

Eingestuft wird die Kampagne am unteren Ende der Kategorie drei auf der Breakout-Skala von Brookings. Die Skala hat sechs Stufen. Kategorie drei heißt: mehrere Plattformen und mehrere Communities, aber unterhalb der Schwelle, ab der etablierte Medien oder Politik die Inhalte weitertragen. Es ist also eine bewusst zurückhaltende Einstufung.

Der Punkt, den OpenAI selbst als den eigentlichen bezeichnet, ist nicht die Reichweite, sondern die aufgebaute Infrastruktur: eine glaubwürdig wirkende Institution mit angeblichen Experten, nachgedruckten wissenschaftlichen Arbeiten und einem eigenen Risiko-Index.

Der Fall, der die härtesten Zahlen hat

Beide Vorgänge sind Ableger eines größeren Musters, für das es bessere Daten gibt. Drop Site News hat am 28.07.2026 das Netzwerk der Firma Clock Tower X beschrieben: zehn Websites im Auftrag Israels, Vertragsvolumen 46,5 Millionen Dollar. In den Registerunterlagen steht die Absicht ausdrücklich, nämlich Websites und Inhalte einzusetzen, um die Rahmung von GPT-Antworten zu beeinflussen.

Dazu die Zahl, die das Ausmaß zeigt: Zwischen Januar und Juni 2026 wurden die zehn Seiten 912 Mal von Common Crawl erfasst, im Januar zweimal, im Mai 376 Mal. Rund 85 Prozent der etwa 900 Einzelseiten liegen im Archiv. Zum Vergleich beim russischen Pravda-Netzwerk: etwa 2,5 Prozent.

Und hier gibt es echte Zitationsnachweise mit Screenshots. Auf die Frage, ob eine engere Militärkooperation mit Israel für die USA vorteilhaft sei, antwortete Perplexity mit Ja und führte als Topquelle eine Seite aus diesem Netzwerk an, ohne den staatlichen Auftraggeber zu kennzeichnen. Copilot und Gemini zitierten in weiteren Tests ebenfalls aus dem Netzwerk.

Eine Einschränkung, die Drop Site selbst liefert und die man nicht glätten sollte: Das Kennzeichnungsverhalten hängt von der Frageform ab. Fragt man direkt nach einer bestimmten Seite, weisen Claude, ChatGPT und Gemini in einem Test auf den Hintergrund hin. Stellt man eine reine Sachfrage, unterbleibt das. Pauschalurteile über einzelne Anbieter sind hier fehl am Platz.

Was fast alle falsch erzählen

An dieser Stelle taucht in fast jedem Text zum Thema eine Anthropic-Studie vom Oktober 2025 auf: 250 vergiftete Dokumente reichten aus, um eine Hintertür in ein Modell zu bekommen, unabhängig von der Modellgröße.

Das stimmt, aber es zeigt etwas anderes, als es soll. Die Hintertür erzeugt Kauderwelsch. Es ist ein Angriff, der ein Modell bei einem bestimmten Auslöser unbrauchbaren Text ausgeben lässt. Anthropic schreibt selbst, es handle sich um eine eng umrissene Hintertür, die in großen Modellen kaum ein ernsthaftes Risiko darstelle. Die Studie zeigt nicht, dass 250 Dokumente die politische Haltung eines Modells drehen. Wer sie so zitiert, überdehnt sie.

Die Arbeit, die tatsächlich zum Thema passt, kommt vom DFRLab und ist methodisch die sauberste im Feld. Ergebnisse: Bis November 2025 lagen rund 40.000 englischsprachige Seiten des Pravda-Netzwerks in Common Crawl, ein Jahr zuvor waren es 37. Ein einzelner Propagandaartikel ließ sich aus einem großen offenen Basismodell nahezu wortgetreu reproduzieren.

Genauso lehrreich sind die Gegenbeispiele. Ein anderes russisches Netzwerk mit fast 10.000 archivierten Seiten war nicht reproduzierbar. Und ein chinanahes Netzwerk scheiterte an der eigenen Technik: Die Seiten luden ihre Inhalte per JavaScript nach, der Crawler führt kein JavaScript aus und archivierte leere Hüllen. Das DFRLab hält ausdrücklich fest, dass die Aufnahme in Common Crawl keine Aufnahme in die Trainingsdaten irgendeines Modells garantiert.

Diese Unterscheidung ist die wichtigste des ganzen Themas:

Zum Größenvergleich noch die bekannteste Zahl: NewsGuard hat im März 2025 zehn führende Chatbots mit 15 Falschbehauptungen aus dem Pravda-Netzwerk konfrontiert. In 33 Prozent der Antworten gaben sie die Behauptungen wieder. Das Netzwerk produzierte 2024 rund 3,6 Millionen Artikel.

Was das für eure Arbeit heißt

Das ist kein Sicherheitsproblem eurer Werkzeuge. Prompt Injection greift das Werkzeug an, hier wird das Material vergiftet, aus dem das Werkzeug seine Antwort baut. Und es ist die Zwillingsschwester dessen, was wir bei vergifteten Modellgewichten beschrieben haben, nur eine Ebene weiter vorn.

Drei Dinge, die sich daraus praktisch ableiten lassen:

  1. Eine saubere Quelle ist kein Qualitätssignal mehr. Fußnoten, Inhaltsverzeichnis, Statistiken, neutraler Ton: Genau diese Merkmale werden gezielt hergestellt, weil sie zitierfähig machen. Was früher nach Sorgfalt aussah, ist heute auch billig herstellbar.
  2. Bei Rechercheergebnissen zählt der Absender, nicht die Formulierung. Wenn eine KI-Antwort eine Organisation nennt, die ihr nicht kennt, ist die erste Frage, wer sie finanziert. Im Fall Hanover steht die Antwort sogar in einer Datei auf der Seite selbst. Man muss nur hinsehen.
  3. Für belastbare Aussagen reicht die Zusammenfassung nicht. Die Fälle hier zeigen es im Kleinen: Wir mussten Registerunterlagen, Originalberichte und Produktseiten gegeneinander halten, um zu sehen, welche Zahl wozu gehört. Das leistet keine Antwortmaschine, und es ist genau der Teil der Arbeit, der bleibt.

Was übrigens gegen den Reflex spricht, KI-Recherche deshalb ganz zu lassen: Beide Fälle sind aufgeflogen, weil es Offenlegungspflichten gibt und weil Journalisten in Register geschaut haben. Die Instrumente funktionieren. Sie brauchen nur jemanden, der sie benutzt.

Quellen9