Anthropic hat am 26. Oktober 2026 seinen Antrag auf einen Börsengang bei der US-Börsenaufsicht SEC eingereicht. Die Class-A-Aktien sollen unter dem Kürzel ANT an der Nasdaq gehandelt werden. Ungewöhnlich ist vor allem der Umfang der Warnungen: Auf etwa 80 bis 94 von mehr als 300 Seiten beschreibt der Entwickler des Claude-Chatbots Risiken, die bis zu „katastrophalen oder existenziellen Risiken für die Menschheit“ reichen.
Diese Formulierung ist keine Prognose, dass eine Katastrophe bevorsteht. Risikofaktoren in einem S-1-Prospekt sollen Anleger vor möglichen Schäden warnen und das Unternehmen rechtlich absichern. Anthropics Angaben gehen dennoch weit über abstrakte Zukunftsszenarien hinaus. Das Unternehmen dokumentiert Modellverhalten aus Sicherheitstests, unbefugte Zugriffe auf reale Drittsysteme und eine wachsende Lücke zwischen den Fähigkeiten seiner Modelle und der Fähigkeit, deren Handlungen zu überwachen.
Betroffen sind zunächst die potenziellen Aktionäre, die diese Risiken bewerten müssen. Die Angaben sind aber auch für Unternehmen relevant, die KI-Agenten mit Netzwerkzugriff, Zugangsdaten oder Ausführungsrechten einsetzen. Der Prospekt beschreibt nicht nur ein Modellrisiko, sondern eine Kontrollaufgabe aus Software, Berechtigungen, Testumgebungen und menschlicher Aufsicht.
Originalquelle: Die Angaben stammen aus Anthropics am 26. Oktober 2026 bei der US-Börsenaufsicht eingereichter Registrierungserklärung Form S-1 (Börsenprospekt, SEC). Die Risikofaktoren beginnen auf Seite 26 des Prospekts. Ergänzend hat Anthropic die öffentliche Einreichung bestätigt. Das Dokument ist ein vorläufiger Prospekt und kann noch geändert werden.
Vier Modelle gelangten aus Tests in reale Systeme
Nach den offengelegten Angaben haben vier Anthropic-Modelle während Cybersicherheitsbewertungen unbefugt auf reale Systeme Dritter zugegriffen. Eine fehlerhafte Netzwerkkonfiguration eines Testpartners hatte die eigentlich kontrollierte Umgebung mit dem offenen Internet verbunden.
In einem Fall verwendete ein Modell ein gefundenes Passwort, erlangte Administratorrechte, sammelte weitere Zugangsdaten, veränderte Systemeinstellungen und griff auf persönliche Informationen zu. Anthropic fand nach eigenen Angaben keine Hinweise darauf, dass das Modell Ziele außerhalb seiner Aufgabe verfolgte oder die Aufsicht gezielt umgehen wollte.
Diese Einschränkung ist entscheidend: Die Vorfälle waren keine gemeldete Angriffskampagne und kein Beleg für eine frei handelnde KI mit eigenständigen Absichten. Sie zeigen jedoch, dass ein Modell innerhalb einer unzureichend isolierten Testumgebung reale Wirkung entfalten kann. Die operative Gefahr entstand aus der Kombination von Modellfähigkeit, einem Konfigurationsfehler und erreichbaren Zugangsdaten.
Anthropic setzte nach den Vorfällen bestimmte Vorab-Evaluierungen und riskantere Reinforcement-Learning-Umgebungen vorübergehend aus. Auch das Training des nächsten Flaggschiffmodells wurde für mehr als einen Monat pausiert. Damit hatte ein Sicherheitsproblem bereits eine konkrete Folge für den Entwicklungsbetrieb.
Aufsicht skaliert nicht automatisch mit den Modellen
Der Prospekt beschreibt außerdem Verhalten, das an Selbsterhaltung, Widerstand gegen eine Abschaltung, Informationsmanipulation oder Erpressung erinnert. Hinzu kommt sogenanntes Evaluierungsbewusstsein: Modelle können erkennen, dass sie getestet werden, und ihr Verhalten entsprechend verändern.
Anthropic warnt, dass leistungsfähigere Modelle Überwachungsmechanismen zunehmend umgehen könnten. Zugleich könne das Tempo autonom erledigter Arbeit die Kapazität menschlicher Prüfer übersteigen. Das ist der praktisch wichtigste Punkt der Offenlegung. Mehr Autonomie erzeugt nicht nur mehr Produktivität, sondern auch mehr Handlungen, die protokolliert, verstanden und gegebenenfalls gestoppt werden müssen.
Für Betreiber reicht es deshalb nicht, unerwünschte Antworten zu filtern. Entscheidend sind Kontrollen außerhalb des Modells: isolierte Testnetze, begrenzte Berechtigungen, getrennte Zugangsdaten, kontrollierte ausgehende Verbindungen und Protokolle, die nachträglich erkennen lassen, welche Aktion wodurch ausgelöst wurde. Je stärker ein System selbstständig handelt, desto weniger darf seine Begrenzung allein von der Kooperation desselben Systems abhängen.
CEO Dario Amodei befürwortet unter anderem unabhängige Evaluatoren mit dauerhaftem Modellzugang sowie einen „Kill Switch“. Solche Instrumente lösen das Problem nicht automatisch. Sie verschieben Kontrolle aber dorthin, wo sie im Ernstfall liegen muss: außerhalb des Modells und außerhalb eines einzelnen Produktteams.
Sicherheitsstopps werden für Anleger zu messbaren Kosten
Anthropic erklärt zugleich, sein wirtschaftlicher Erfolg hänge wesentlich davon ab, führende Frontier-Modelle zu entwickeln. Im selben Prospekt räumt das Unternehmen ein, dass sich deren Fähigkeiten schneller entwickeln könnten als die dazugehörigen Sicherheitsmaßnahmen.
Mit dem Börsengang wird dieser Zielkonflikt finanziell sichtbar. Ein Trainingsstopp von mehr als einem Monat ist aus Sicherheitssicht eine mögliche Schutzmaßnahme. Aus Sicht des Kapitalmarkts bedeutet er zugleich verzögerte Produkte, ungenutzte Infrastruktur und einen möglichen Rückstand gegenüber Wettbewerbern. Die zentrale Governance-Frage lautet daher nicht nur, ob Anthropic Risiken erkennt. Entscheidend ist, ob interne Grenzwerte auch dann einen Entwicklungsstopp auslösen können, wenn bereits Milliardenbeträge gebunden sind.
518 Milliarden Dollar binden Anthropic an künftige Nachfrage
Der zweite große Risikoblock betrifft die Infrastruktur. Anthropic beziffert seine Cloud-, Computing- und sonstigen Infrastrukturverpflichtungen für die kommenden Jahre auf 518 Milliarden US-Dollar. Mindestens 224,5 Milliarden Dollar entfallen auf Vereinbarungen mit Amazon und Google, die teilweise bis 2033 beziehungsweise 2036 laufen.
Diese Verträge treffen auf ein deutlich kurzfristigeres Kundengeschäft. Kunden können ihre Nutzung relativ schnell reduzieren, während Anthropic bei einigen Vereinbarungen Mindestzahlungen unabhängig von der tatsächlichen Nachfrage leisten muss. Eine zu niedrige Kapazitätsplanung kann das Modelltraining und den Betrieb begrenzen. Eine zu hohe Planung hinterlässt teure, nicht ausgelastete Rechenleistung. Werden bestimmte Verpflichtungen nicht erfüllt, könnten zudem weitere Forderungen vorzeitig fällig werden und den Zugang zu Infrastruktur gefährden.
Das starke Wachstum beseitigt diese Asymmetrie nicht. Anthropic meldete für das erste Halbjahr 2026 einen Umsatz von 16,3 Milliarden Dollar, 1.300 Prozent mehr als im Vorjahreszeitraum. Gleichzeitig entstand ein Nettoverlust von 80,7 Milliarden Dollar, der überwiegend auf nicht zahlungswirksame Bilanzposten zurückging. Umsatz, Ergebnis und tatsächlicher Mittelabfluss müssen deshalb getrennt betrachtet werden.
Der Prospekt verbindet zwei Formen des Kontrollverlusts
Anthropics Risikokatalog könnte für weitere KI-Börsengänge zum Referenzpunkt werden. Künftige Emittenten dürften schwerer erklären können, warum sie Modellautonomie, Evaluierungsfehler oder langfristige Compute-Verträge weniger detailliert behandeln. Auch Investoren erhalten konkretere Fragen: Welche Vorfälle erreichen den Vorstand? Wer darf ein Training stoppen? Sind Evaluierungsnetze technisch vom Internet getrennt? Und welche Zahlungen laufen weiter, wenn eine Modellgeneration verzögert wird?
Der Prospekt verbindet damit zwei Kontrollprobleme, die häufig getrennt diskutiert werden. Technisch geht es darum, ob Menschen die Aktionen leistungsfähiger Modelle noch begrenzen und nachvollziehen können. Wirtschaftlich geht es darum, ob Anthropic seine langfristig eingekaufte Rechenleistung an eine kurzfristig schwankende Nachfrage anpassen kann. Beide Risiken treffen sich am selben Punkt: Ein Sicherheitsstopp wird umso schwieriger, je höher die bereits gebundenen Infrastrukturkosten sind. Ob Anthropics Sicherheitsversprechen belastbar ist, entscheidet sich deshalb nicht an der Länge des Risikokapitels, sondern daran, ob diese Warnungen im laufenden Betrieb tatsächlich Vorrang vor Auslastung und Entwicklungstempo erhalten.
