Ein Exportkontrollsystem wird nicht nur an Häfen, Flughäfen und Grenzen angegriffen. Es wird dort angegriffen, wo Lieferadressen, Endverbleibserklärungen, Zahlungsströme und Frachtpapiere zusammenpassen sollen. Genau an dieser Stelle setzt der Fall Greg Lui an.
Der 38-jährige kalifornische Tech-CEO wurde am 2. Oktober 2026 festgenommen. US-Bundesanwälte werfen ihm vor, über seine Firma Earthmade Computer Inc. aus City of Industry Nvidia-KI-Server im Wert von mehr als 300 Millionen US-Dollar unter Verstoß gegen US-Exportregeln nach China gebracht zu haben. Die Ausrüstung soll zwischen 2023 und 2024 beschafft, mit falschen Angaben dokumentiert und über Malaysia sowie Singapur weitergeleitet worden sein. Lui wird unter anderem Verschwörung zur Verletzung des Export Control Reform Act, illegaler Export und Verschwörung zur Geldwäsche vorgeworfen. Bei einer Verurteilung drohen lange Haftstrafen; einzelne Vorwürfe sehen bis zu 20 Jahre vor.
Die Anklage ist noch kein Urteil. Für die Sicherheitsbewertung ist der Fall trotzdem relevant, weil er eine konkrete Umgehungsroute beschreibt: regulärer Einkauf, scheinbar zulässiger Zielort, anschließender Re-Export in ein gesperrtes Ziel.
Die mutmaßliche Route war der Angriffspunkt
Nach Darstellung der US-Behörden nutzten Lui und ungenannte Mitverschwörer Earthmade Computer Inc., um exportkontrollierte Server mit Nvidia-GPUs zu kaufen. Gegenüber US-Herstellern sollen falsche Unterlagen eingereicht worden sein. Diese Dokumente hätten demnach einen Endverbleib angegeben, der nicht China war. Die Server sollen anschließend nach Malaysia und Singapur verschifft worden sein, also in Länder, die in den Unterlagen nicht als China ausgewiesen waren. Von dort sollen sie nach China re-exportiert worden sein.
Mutmaßliche Umgehungsroute der KI-Server
Die Grafik zeigt die in der Anklage beschriebene Lieferkette: Einkauf in den USA, mutmaßlich falsche Endverbleibsangaben, Versand über Malaysia und Singapur und mutmaßlicher Re-Export nach China.
Ein Beispiel aus der Anklage macht die Dimension greifbar: Im Januar 2024 soll Lui 27 Server mit Nvidia H100-GPUs für rund 7,6 Millionen US-Dollar bestellt und von Los Angeles nach Kuala Lumpur verschifft haben. Zwischen Januar und Oktober 2024 erhielt Earthmade laut den vorliegenden Angaben mehr als 176 Millionen US-Dollar von zwei in Malaysia ansässigen Versandunternehmen. Das wäre kein Randfall einzelner Komponenten im Gepäck. Es geht um eine mutmaßlich organisierte Beschaffungskette mit erheblichen Zahlungsströmen.
Warum Papier zur Schwachstelle wird
Exportkontrollen für KI-Hardware hängen nicht nur an der physischen Kontrolle eines Containers. Sie hängen an Vertrauen in Angaben: Wer kauft? Wer nutzt? Wer zahlt? Wohin wird geliefert? Was passiert nach der ersten Lieferung? Wenn diese Angaben absichtlich falsch sind, entsteht eine klassische Angriffsfläche im Compliance-Prozess.
Bei Hochleistungshardware wie Servern mit Nvidia H100-GPUs ist diese Schwachstelle besonders relevant. Die Chips und Systeme sind nicht bloß Handelsware. Sie können für große KI-Trainings- und Inferenzcluster eingesetzt werden und fallen deshalb unter Beschränkungen, die die USA mit nationalen Sicherheitsinteressen begründen. Eine Exportbeschränkung kann aber nur so belastbar sein wie die Prüfungen entlang der Lieferkette.
Die mutmaßliche Methode im Fall Lui zielte auf genau diese Lücke: Die Ausrüstung sollte auf dem Papier an zulässige Ziele gehen. Die tatsächliche Endverwendung lag nach Darstellung der Staatsanwälte woanders. Damit wird nicht die technische Sperre eines Chips umgangen, sondern die administrative Sicherung des Handelswegs. Für Ermittler ist das schwerer als ein einfacher Grenzverstoß, weil die Transaktion zunächst wie ein normaler Export in einen legitimen Markt aussehen kann.
Betroffen sind Hersteller, Händler, Spediteure und Banken
Der unmittelbare Beschuldigte ist Greg Lui. Operativ reicht das Risiko aber weiter. Hersteller und Systemintegratoren, die Server mit exportkontrollierten GPUs verkaufen, müssen sich auf Angaben ihrer Kunden stützen und zugleich Hinweise auf Umgehung erkennen. Distributoren müssen prüfen, ob ein Käufer zur Größenordnung der Bestellung passt. Spediteure können Teil einer Route werden, ohne die finale Bestimmung sicher zu kennen. Banken und Zahlungsdienstleister sehen wiederum Geldflüsse, die auf ungewöhnliche Konstruktionen hindeuten können.
Malaysia und Singapur sind dabei keine automatischen Risikostaaten. Genau das macht die Prüfung komplizierter. Beide Länder sind wichtige Logistik- und Handelsstandorte. Eine pauschale Blockade wäre wirtschaftlich kaum praktikabel und würde legitime Lieferketten treffen. Die relevante Frage lautet deshalb nicht nur, in welches Land geliefert wird. Sie lautet: Passt der Empfänger zum Produkt, zur Menge, zur Finanzierung und zum späteren Warenfluss?
Für Unternehmen entsteht daraus eine unangenehme Pflicht zur Kontextprüfung. Ein vollständiger Satz Dokumente reicht nicht aus, wenn die Dokumente selbst Teil des Umgehungsplans sein können. Die stärkeren Signale liegen oft in Mustern: neu auftretende Zwischenhändler, hohe Bestellvolumina, kurze Weiterleitungswege, Zahlungsströme über Frachtfirmen, Empfänger ohne erkennbare Infrastruktur für den Betrieb der bestellten Systeme.
Gegenmaßnahmen müssen näher an die Lieferkette
Der Fall zeigt, welche Kontrollen praktisch wichtiger werden. Erstens brauchen Anbieter eine bessere Prüfung des wirtschaftlich Berechtigten. Wer tatsächlich hinter einer Bestellung steht, ist für exportkontrollierte KI-Systeme nicht nebensächlich. Zweitens müssen Endverbleibserklärungen durch operative Nachweise ergänzt werden: Lieferbestätigung, Installationsort, Betreiber, Nutzungskontext und plausibler Bedarf.
Drittens sollten Zahlungs- und Versanddaten zusammen betrachtet werden. Wenn eine Firma in Kalifornien hochpreisige KI-Server bestellt, die Zahlungen aber über ausländische Versandunternehmen laufen, ist das mindestens ein Prüfpunkt. Viertens kann die Nachverfolgung einzelner Systeme helfen, etwa über Seriennummern, Serviceverträge, Firmware-Registrierungen oder Wartungsanfragen. Solche Maßnahmen verhindern keinen Missbrauch allein, erhöhen aber das Risiko, dass eine Umleitung sichtbar wird.
Für Logistikunternehmen bedeutet das mehr Druck, Re-Export-Risiken ernst zu nehmen. Für Hersteller bedeutet es mehr Aufwand vor dem Verkauf. Für kleinere Händler kann genau dieser Aufwand zum Problem werden, weil professionelle Compliance-Strukturen teuer sind. Die Alternative ist allerdings ein System, in dem mutmaßlich falsche oder manipulierte Unterlagen reichen, um strategisch relevante Hardware aus dem Kontrollbereich zu bewegen.
Die Grenze der Kontrolle liegt im Re-Export
Der Fall Lui macht keine neue technische Schwachstelle in Nvidia-Hardware sichtbar. Er zeigt eine operative Schwachstelle in der Durchsetzung von Exportregeln. Sobald Ware ein erstes Zielland erreicht hat, verlagert sich die Kontrolle auf lokale Akteure, Frachtwege, Dokumente und spätere Prüfungen. Genau dort entstehen Spielräume für Umgehung.
Für die USA ist das Verfahren deshalb mehr als ein einzelner Strafprozess. Es ist ein Test, ob Exportkontrollen für KI-Hardware auch dann wirken, wenn Käufer Drittländer nutzen und die Papierspur manipulieren. Für Unternehmen in der Lieferkette ist die Botschaft einfacher: Bei Hochleistungsservern reicht formale Plausibilität nicht mehr. Wer solche Systeme verkauft, transportiert oder finanziert, muss damit rechnen, dass Endverbleib und Zahlungsfluss deutlich härter geprüft werden.
Ob Lui schuldig ist, muss das Gericht klären. Der beschriebene Mechanismus bleibt davon unabhängig relevant: Die Angriffsfläche liegt nicht am Chip allein. Sie liegt in der Strecke zwischen Bestellung, Dokumentation, Zahlung, Fracht und Re-Export.
Jens analysiert seit Jahren digitale Märkte, Preisbewegungen und Plattform-Strategien. Als Betreiber mehrerer datengetriebener Systeme wertet er täglich große Mengen an Produkt- und Trenddaten aus. Sein Fokus liegt auf Einordnung statt Hype: Was bedeutet eine Entwicklung wirklich für Nutzer, Preise und Märkte?
