Distillation-Abwehr: Laut Anthropic 90 bis 99 Prozent weniger abgeschöpfte Daten

Stellen Sie sich vor, ein Entwicklungsteam öffnet die Monatsabrechnung seiner KI-Schnittstelle und findet Posten für Anfragen, auf die nie eine Antwort kam. Sie wurden geblockt, bevor das Modell reagieren konnte. Berechnet werden sie trotzdem. Das ist kein Fehler im System, sondern eine Entscheidung, die Anthropic offen beschreibt, und sie gehört zu einem Paket gegen Distillation.

Am 2. Oktober haben wir darüber berichtet, wie OpenAI eine Distillation-Kampagne beschrieben hat. Am 12. Oktober folgte Anthropic mit einem eigenen Beitrag, in dem das Unternehmen seine Abwehr samt Kosten, Grenzen und Wirkungszahlen darlegt. Den Originalbeitrag von Anthropic sollten Sie im Zweifel selbst lesen. Im Zentrum steht das Reasoning, also der Denkprozess, den ein Modell vor seiner Antwort ausschreibt.

Was mich daran interessiert, ist nicht die Technik allein. Meine These lautet: Sicherheit hat hier ein Preisschild, und es wird nicht nur von dem bezahlt, der sie baut. Entwickelnde passen Integrationen an, legitime Nutzende tragen ein kleines Restrisiko für Fehlalarme, und der Anbieter verzichtet auf zahlenden Verkehr. Dazu kommt eine Lücke, die sich mit Geld allein nicht schließen lässt: Was nützt die teuerste Abwehr, wenn daneben ein gleich fähiges offenes Modell liegt, das keine vergleichbar robusten Anti-Distillation-Schutzmaßnahmen hat?

Das ist die Leitfrage dieses Artikels zur Distillation-Abwehr. Wer zahlt die Distillation-Abwehr, und was bleibt von ihr, wenn der Weg um sie herum offen ist?

Alle Wirkungszahlen stammen von Anthropic selbst und beruhen laut Unternehmen auf ersten Auswertungen auf der eigenen Plattform; unabhängig überprüft sind sie nicht.

Was Distillation laut Anthropic ist – und warum das Reasoning zählt

Laut Anthropic sind Distillation-Angriffe verdeckte Kampagnen im industriellen Maßstab. Ihr Ziel: die Fähigkeiten eines Modells ohne Erlaubnis der Entwickelnden in ein anderes zu übertragen, oft über Netzwerke betrügerischer Konten. Damit lassen sich Frontier-Fähigkeiten laut Anthropic für einen Bruchteil von Zeit und Kosten nachbilden. Das ist der Kern der Sache. Wer teuer entwickelt, will nicht, dass andere die Ergebnisse billig absaugen.

Anthropic nennt zwei Sorgen. Erstens seien destillierte Modelle in der Praxis ohne entsprechend robuste Schutzmaßnahmen veröffentlicht worden, mit möglichem Schaden etwa in Biologie und Cybersicherheit. Zweitens sieht das Unternehmen eine nationale Sicherheitsfrage, aus US-Perspektive betrachtet. Ich lasse diesen zweiten Punkt bewusst knapp, weil er eine politische Einordnung enthält, die sich von außen schwer prüfen lässt.

Interessanter ist, was Anthropic als wertvollstes Material beschreibt. Laut Anthropic sind das Transkripte von Claudes Reasoning, also des Denkprozesses, den Claude vor der Antwort ausschreibt. Die Abwehr konzentriert sich deshalb laut Anthropic „almost entirely“ darauf, dieses Reasoning für Distillierende schwer zugänglich zu machen. Das leuchtet ein: Nicht nur das Ergebnis, auch der Weg dorthin ist Lehrmaterial.

Als frühe Maßnahme fasst Claude sein Reasoning zusammen, bevor es Nutzenden gezeigt wird. Ob das wirkt, hat Anthropic getestet. Ein vortrainiertes Claude-Modell, trainiert auf Transkripten von Claude Opus 4.8, erreichte laut Anthropic im Coding-Benchmark SWE-bench Verified 80,4 Prozent mit vollen Transkripten, aber nur 71,8 Prozent mit zusammengefassten. Der Abstand beträgt 8,6 Prozentpunkte (unsere Rechnung). Das ist ein Anthropic-Test, kein unabhängiger Befund, und er zeigt vor allem eines: Die Zusammenfassung bremst, sie stoppt nicht.

Auf die Zusammenfassung haben die Angreifenden hinter Distillation-Angriffen laut Anthropic reagiert. Sie wechselten von passiver zu aktiver Extraktion. Mehr dazu gehört hier nicht hin, und das ist Absicht: Die Kategorie genügt, um die Entwicklung zu verstehen. Anthropic liefert dazu Größenordnungen. Ein Labor testete laut Anthropic 12.000 Anfragen, und ein Netzwerk verwaltete laut Anthropic-Bericht vom Februar mehr als 20.000 betrügerische Konten gleichzeitig. Hand aufs Herz: Distillation-Kampagnen dieser Größe klingen weniger nach Gelegenheitsneugier als nach Betrieb.

Drei Maßnahmen, in ganzen Sätzen

Anthropic beschreibt drei Maßnahmen. Ich gehe sie der Reihe nach durch, jeweils in dem Rahmen, den das Unternehmen selbst absteckt.

Die erste heißt „Preserved thinking“ und wurde laut Anthropic mit Claude Fable 5.1 und Claude Opus 5.5 eingeführt. Sie verhindert, dass neue API-Konten, angelegt am oder nach dem 31. August 2026, Claudes vorherigen Kontext bearbeiten. Zudem kann das Reasoning dieser Modelle laut Anthropic nicht von älteren Modellen mit schwächeren Schutzmaßnahmen gelesen werden. Bei Claude Sonnet 5.5 sind Reasoning-Transkripte laut Anthropic nur für die Organisation zugänglich, deren Anfrage sie erzeugt hat. Wie sich Claude Sonnet 5.5 bei Tempo und Kosten für API-Teams schlägt, haben wir in unserem Beitrag zu Sonnet 5.5 für API-Teams eingeordnet. Diese Regel gilt ausdrücklich für Sonnet 5.5, nicht für alle Modelle.

Die zweite Maßnahme ist ein zweistufiges Klassifikatorsystem, angelehnt an Anthropics Forschung zu „constitutional classifiers“. Es wurde laut Anthropic intern und extern per Red-Teaming geprüft und ist „roughly as robust“ wie die Schutzmaßnahmen, die Claude daran hindern, beim Bau von Biowaffen zu helfen. Die Fehlalarmquote, im Original „false positive rate“, liegt laut Anthropic unter 0,1 Prozent. Das System läuft laut Anthropic auf Claude Sonnet 5.5, Claude Opus 5 und 5.5 sowie Claude Fable 5 und 5.1. Zugleich erwartet Anthropic, dass Angreifende Wege drumherum finden, und aktualisiert laufend.

Die dritte Maßnahme betrifft Konten. Wer wiederholt versucht, Reasoning zu extrahieren, bekommt laut Anthropic strengere Nutzungslimits, bei hartnäckigen Wiederholungen folgen Sperren. Dazu kommt der Punkt, der in unserem Einstiegsbeispiel auf der Rechnung steht. Anthropic schreibt: „since September 24, we have resumed charging for requests that are blocked by our safeguards before Claude responds, in the specific areas (including distillation) where they have a <0.1% false positive rate.“

Beachten Sie die Einschränkungen. Seit dem 24. September werden vor der Antwort geblockte Anfragen wieder berechnet, es ist also keine Neuerung, sondern eine Rückkehr. Es gilt nur in bestimmten Bereichen, darunter Distillation, und nur dort, wo die Fehlalarmquote unter 0,1 Prozent liegt. Preise oder Beträge nennt Anthropic nicht, und ich will sie auch nicht erraten.

Meiner Einschätzung nach ist gerade diese dritte Maßnahme die ehrlichste. Sie verschiebt einen Teil der Abwehrkosten dorthin, wo der Missbrauch entsteht, nimmt aber in Kauf, dass auch ein harmloser Treffer zahlen muss. Ob man das fair findet, hängt davon ab, wie selten die Fehlalarme in der Praxis wirklich sind. Anthropic sagt: selten. Prüfen können wir das nicht.

Die Zahlen laut Anthropic und ihre Basis

Jetzt zur Wirkung. Anthropic nennt zwei verschiedene Kennzahlen, und sie dürfen nicht verwechselt werden. Wir bei digital-magazin.de lesen sie deshalb bewusst getrennt.

Die erste: Laut Anthropic deuten frühe Hinweise („early evidence suggests“) darauf hin, dass die abgeschöpfte Datenmenge, im Original „amount of data harvested by distillers“, um rund 90 bis 99 Prozent gesunken ist. Das stützt sich laut Anthropic auf erste Auswertungen.

Die zweite ist eine andere Größe. Die von Distillierenden extrahierten Reasoning-Tokens, von Anthropic auf der eigenen Plattform geschätzt, liegen seit dem Klassifikator laut Anthropic „consistently 10 to 100 times lower“ als vorher. In der zugehörigen Grafik steht der Faktor „10 to 100+“, an manchen Tagen war die Menge laut Anthropic zu klein zum Messen. Das eine ist ein Rückgang bei Daten insgesamt, das andere ein Faktor bei Reasoning-Tokens. Gleichsetzen lässt sich beides nicht.

Dazu kommen drei weitere Angaben. Der Klassifikator fängt laut Anthropic auf den fähigsten allgemein verfügbaren Modellen alle im September-Bericht beschriebenen Techniken ab. Laut Anthropic wurden zudem Zehntausende Konten gesperrt, oft in weniger als zwei Stunden nach Beginn einer Distillation-Kampagne durch das Konto.

Klingt beeindruckend. Aber was heißt das genau? Es heißt: Ein Unternehmen berichtet über die Wirkung seiner eigenen Maßnahmen, gemessen auf der eigenen Plattform, ohne dass Dritte die Messung nachvollziehen können. Das macht die Zahlen nicht falsch. Es macht sie zu einer Selbstauskunft, und genau so sollten Sie sie behandeln. Wie belastbar ein Rückgang von 90 bis 99 Prozent ist, wenn niemand außerhalb von Anthropic die Ausgangsbasis kennt, bleibt offen.

Die Rechnung: Wer die Distillation-Abwehr mitbezahlt

Schutz vor Distillation kostet. Das klingt banal, wird in der Debatte aber gern übersehen. Anthropic benennt die Kosten erstaunlich offen: „We’ve turned away meaningful revenue and trillions of tokens’ worth of paying traffic from distillers.“ Das Unternehmen hat also nach eigener Aussage Umsatz abgelehnt, und zwar nicht in kleinem Umfang. Dazu kam laut Anthropic viel Zeit in den Forschungs- und Produktteams.

Interessanter finde ich den zweiten Teil der Rechnung. Einige Änderungen verlangten laut Anthropic von legitimen Nutzenden, ihre Integrationen anzupassen. Das betrifft vor allem „preserved thinking“: Manche Entwickelnde mussten ihre Anbindungen aktualisieren. Das ist kein Drama, aber es ist Arbeit, und diese Arbeit taucht in keiner Bilanz von Anthropic auf. Sie landet in den Sprints fremder Teams.

Hinzu kommt das Restrisiko bei den Klassifikatoren der Distillation-Abwehr. Laut Anthropic können sie in weniger als 0,1 Prozent der Fälle harmlose Anfragen falsch einordnen oder blocken. Diese geblockten Anfragen werden berechnet, in den Bereichen, in denen die Fehlalarmquote unter 0,1 Prozent liegt. Wer also zu den wenigen Fehlalarmen gehört, zahlt für eine Antwort, die es nie gab.

Anthropic räumt das selbst ein. Im Februar hatte das Unternehmen sich vorgenommen, Distillation zu erschweren, ohne die Erfahrung legitimer Nutzender zu beeinträchtigen. Der Kommentar dazu lautet: „We haven’t met this goal completely.“ Dennoch hält Anthropic die Maßnahmen für „clearly worth the cost“.

Hier kommt meine These ins Spiel, und ich kennzeichne sie ausdrücklich als meine Einschätzung: Sicherheit ist in diesem Fall ein Posten, den auch die legitime Kundschaft mitträgt. Nicht in Form einer neuen Gebühr, sondern in drei kleineren Währungen: Anpassungsaufwand, ein winziges Fehlalarm-Risiko und die Abhängigkeit von der Entscheidung des Anbieters, wo die Grenze verläuft. Ob dieser Preis angemessen ist, kann ich nicht für Sie entscheiden. Ich finde nur, dass er in der Diskussion sichtbar sein sollte, statt unter „Schutzmaßnahmen“ zu verschwinden.

Was heißt das für Entwickelnde? Erstens: Die Kosten sind klein, aber sie sind real. Zweitens: Sie lassen sich planen, wenn man sie kennt. Und drittens: Wer Anthropics Zahlen glaubt, bekommt dafür etwas, nämlich einen Anbieter, der Missbrauch in großem Stil bekämpft. Wer ihnen nicht glaubt, zahlt trotzdem. Das ist der Knackpunkt.

Was Anthropic selbst noch nicht weiß

Anthropic nennt drei Grenzen, und ich finde sie bemerkenswert deutlich. Ich gebe sie wörtlich wieder und übersetze sie.

• „We don’t yet know how long these gains will last.“ – Wir wissen noch nicht, wie lange diese Fortschritte anhalten.
• „Cat-and-mouse game“ – ein Katz-und-Maus-Spiel. Auf jede Abwehr folgt eine Anpassung der Gegenseite, und umgekehrt.
• „We have yet to see a highly sophisticated and persistent attempt to circumvent them.“ – Wir haben noch keinen hochentwickelten und hartnäckigen Umgehungsversuch gesehen.

Lesen Sie den dritten Satz zweimal. Er bedeutet nicht, dass die Abwehr hält. Er bedeutet, dass sie noch nicht ernsthaft auf die Probe gestellt wurde, jedenfalls nach Anthropics Beobachtung. Das ist ein Unterschied wie zwischen einem Schloss, das nie aufgebrochen wurde, und einem, das jemand mit Ruhe und Werkzeug geprüft hat.

Meiner Einschätzung nach ist diese Zurückhaltung die glaubwürdigste Stelle im ganzen Beitrag. Sie ordnet die Zahlen ein, bevor es andere tun. Gleichzeitig heißt sie: Wer aus 90 bis 99 Prozent weniger abgeschöpften Daten schließt, das Problem sei gelöst, liest mehr hinein, als dort steht. Die Zahlen beschreiben einen Zwischenstand auf einer einzelnen Plattform.

Die Lücke bei offenen Modellen

Dieses Bild wurde komplett mit KI generiertProviderhiggsfieldModellgpt_image_2PromptSecurity analyst reviewing blocked API request logs on multiple screens in a dimly lit office, professional calm atmosphere. Photorealistic editorial magazine photo, 16:9. Absolutely no text, no letters, no numbers, no logos, no brand marks.

Und damit zur eigentlichen Frage: Was nützt eine teure Abwehr, wenn daneben ein gleich fähiges Modell ohne vergleichbar robuste Anti-Distillation-Schutzmaßnahmen liegt?

Anthropic führt dafür ein konkretes Beispiel an, und ich betone: Es ist ein Vorwurf von Anthropic, keine bewiesene Tatsache. Laut Anthropic hat Zhipu bei der Entwicklung von GLM-5.3 die Cyber-Fähigkeiten führender US-Modelle destilliert. Das Unternehmen habe versucht, Claude Fable 5 zu destillieren. Nachdem Anthropics Cyber-Schutzmaßnahmen die Angriffe verschlechtert hätten, sei es laut Anthropic auf ein älteres Claude-Modell und das Modell eines anderen Labors ausgewichen. Das Original lautet: „Zhipu, for example, distilled the cyber capabilities of leading US models during the development of GLM-5.3. The company tried to distill Claude Fable 5—although, after finding that our cyber safeguards degraded its attacks, it switched to an older Claude model and another lab’s model.“

Der Kernsatz für unsere Frage folgt direkt darauf: „Our efforts would be undermined if attackers could easily access similarly capable models that lack similarly robust anti-distillation safeguards, as Zhipu did for GLM-5.3.“ Sinngemäß: Anthropics Bemühungen würden untergraben, wenn Angreifende leicht auf gleich fähige Modelle ohne vergleichbar robuste Anti-Distillation-Schutzmaßnahmen zugreifen könnten, so wie Zhipu es laut Anthropic bei GLM-5.3 tat.

Eine Stellungnahme von Zhipu zu Anthropics Distillation-Vorwurf haben wir bis Redaktionsschluss nicht gefunden.

Zum Hintergrund: In seinem Bericht vom 29. September zitiert Anthropic das Center for AI Standards and Innovation (CAISI) des US-Instituts NIST. Das CAISI stufte GLM-5.3 am 17. September als „the most cyber-capable open-weight model released to date“ ein, mit etwa vier Monaten Rückstand auf die US-Frontier in den Cyber-Benchmarks des CAISI. Den Anthropic-Bericht zu GLM-5.3 finden Sie im Original. Exploit- oder Umgehungsdetails gehören nicht hierher, und der Bericht ist für unsere Frage auch nicht nötig.

Open Weight heißt: Die Gewichte des Modells sind frei herunterladbar. Und das ist der strukturelle Punkt. Eine Abwehr, die an der API ansetzt, also an der Schnittstelle, über die Anfragen laufen, greift bei einem Modell nicht, das man herunterladen und selbst betreiben kann. Das ist keine Aussage über einen Fehler von Anthropic, sondern eine Einordnung von mir: Die Abwehr schützt das, was hinter der API liegt. Was daneben als Gewichtsdatei im Umlauf ist, erreicht sie nicht.

Meine zweite These, ebenfalls als solche gekennzeichnet: Je besser offene Modelle werden, desto stärker hängt der Wert jeder einzelnen API-Abwehr davon ab, ob die Angreifenden Alternativen haben. Eine Distillation-Abwehr verteuert den Weg über die Schnittstelle. Sie verschließt nicht die Umgehung. Anthropic sagt das im Kern selbst.

Wettbewerb und Eigeninteresse

Sachlich gehört dazu: Anthropic ist ein Wettbewerber von Zhipu. Der Vorwurf kommt also von einem Konkurrenten. Das ist keine Unterstellung, sondern eine Information, die Lesende für ihre eigene Gewichtung brauchen. Ein Unternehmen, das Distillation bekämpft, hat zugleich ein wirtschaftliches Interesse daran, dass die eigene Abwehr als wirksam und notwendig erscheint.

Das entwertet die Argumente nicht. Es verlangt nur, Behauptung und Beleg auseinanderzuhalten. Die CAISI-Einstufung zu GLM-5.3 stammt laut Anthropic-Bericht von einer staatlichen Stelle. Dass Zhipu destilliert habe, ist Anthropics Darstellung.

Auffällig ist ein Absatz, den ich für den ehrlichsten des Beitrags halte. Anthropic schreibt: „The incentives in the industry often cut the other way. Defenses are expensive, and illicit distillers are still paying customers.“ Auf Deutsch: Die Anreize in der Branche wirken oft in die Gegenrichtung. Abwehr ist teuer, und unlautere Distillierende sind weiterhin zahlende Kundschaft.

Das ist ein unbequemer Satz, gerade für ein Unternehmen, das von Umsatz lebt. Laut Anthropic verteilen Distillierende ihren Traffic über Anthropics API, über Cloud-Plattformen Dritter und über andere Inferenz-Anbietende. Plattformen und Entwickelnde haben deshalb eine Rolle: Missbrauch schnell erkennen und unterbinden, betrügerische Konten entfernen. Anthropic veröffentlicht seine Methoden, um eine „workable alternative“ zu zeigen, eine praktikable Alternative.

Aus meiner Sicht ist das der eigentliche Appell. Eine Distillation-Abwehr, die nur ein Anbieter baut, verlagert den Traffic zum nächsten. Sie wirkt erst, wenn genug Beteiligte mitziehen, und das kostet jeden von ihnen Umsatz. Ob die Branche dazu bereit ist, wissen wir nicht. Anthropic selbst sieht die Anreize skeptisch.

Europa: Was Artikel 55 sagt – und was nicht

Gibt es in Europa einen Rahmen für die Distillation-Abwehr? Ein Blick in Artikel 55 des AI Act lohnt sich, auch wenn er keine Antwort liefert.

Dort stehen die Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck mit systemischem Risiko. Sie müssen unter anderem:

• a) „eine Modellbewertung … durchführen, wozu auch die Durchführung und Dokumentation von Angriffstests beim Modell gehören“,
• b) mögliche systemische Risiken auf Unionsebene „bewerten und mindern“,
• c) Informationen über schwerwiegende Vorfälle erfassen, dokumentieren und das Büro für Künstliche Intelligenz unverzüglich unterrichten,
• d) „ein angemessenes Maß an Cybersicherheit für die KI-Modelle mit allgemeinem Verwendungszweck mit systemischem Risiko und die physische Infrastruktur des Modells gewährleisten“.

Nach Absatz 2 können Anbieter die Erfüllung über Praxisleitfäden nach Artikel 56 nachweisen, bis eine harmonisierte Norm veröffentlicht ist.

Das Wort Distillation kommt im Wortlaut nicht vor. Ob Schutz vor Distillation unter das „angemessene Maß an Cybersicherheit“ fällt, sagt der Text nicht. Ich lasse das bewusst als Frage stehen. Ich behaupte nicht, dass ein bestimmter Anbieter unter diese Pflichten fällt, und ich unterstelle auch keinen Verstoß. Es geht um die Auslegung eines Begriffs, der offen genug ist, um in beide Richtungen gelesen zu werden.

Spannend ist die Anschlussfrage: Wer setzt solche Standards? Wenn Praxisleitfäden und später harmonisierte Normen den Maßstab bilden, entscheidet sich dort, ob Abwehr gegen Distillation zum erwarteten Niveau gehört oder zur freiwilligen Zugabe. Wie Brüssel mit seinem Scientific Panel Fragen an Modell-Entwickler vorbereitet, haben wir an anderer Stelle beschrieben. Wir bei digital-magazin.de beobachten diese Entwicklung, weil dort, in unscheinbaren Leitfäden, oft mehr entschieden wird als in großen Gesetzestexten.

Was heißt das für Sie?

Wenn Ihr Team Claude oder andere Modelle per API nutzt, ergibt sich aus alldem keine Aufregung, aber eine kleine Liste. Das ist keine Rechtsberatung, sondern Orientierung:

• Prüfen Sie Ihre Integrationen. Wo Sie auf Reasoning-Inhalte oder auf bearbeiteten Kontext setzen, können Änderungen wie „preserved thinking“ Anpassungen nötig machen.
• Machen Sie geblockte Anfragen im Kostenmonitoring sichtbar. Wenn sie berechnet werden, sollten Sie sie als eigenen Posten erkennen, statt sie in der Gesamtsumme zu übersehen.
• Kontaktieren Sie bei einem vermuteten Fehlalarm den Support des Anbieters. Fehlalarme sind laut Anthropic selten, aber nicht ausgeschlossen, und nur gemeldete Fälle lassen sich klären.
• Beziehen Sie den Schutz des Anbieters in die Modellauswahl ein. Nicht als einziges Kriterium, aber als eines neben Leistung, Preis und Datenschutz.
• Ordnen Sie offene Modelle bewusst ein. Sie bieten Kontrolle und Unabhängigkeit, bringen aber keine API-seitigen Schutzmaßnahmen eines Anbieters mit. Was das für Ihren Einsatz heißt, hängt vom Anwendungsfall ab.

Mehr braucht es zunächst nicht. Wichtig ist, dass die Kosten und Grenzen der Abwehr in Ihrer Planung auftauchen, nicht erst in der Rechnung.

Und jetzt?

Ich gebe zu, dass ich mit gemischten Gefühlen aus diesem Beitrag komme. Einerseits respektiere ich, dass Anthropic Kosten, Fehlalarme und Unsicherheiten so offen benennt. Das ist keine Selbstverständlichkeit. Andererseits bleibt der Eindruck, dass eine Abwehr an der Schnittstelle immer nur einen Teil des Problems erfasst, solange gleich fähige Modelle frei verfügbar sind.

Meine Haltung: Die Distillation-Abwehr ist sinnvoll, aber sie ist kein Schlusspunkt. Sie verschafft Zeit und erhöht den Aufwand für Angreifende. Ob daraus ein dauerhafter Schutz wird, hängt weniger von einem einzelnen Anbieter ab als davon, ob Plattformen, Anbietende und Regulierende an einem Strang ziehen. Und davon, wer bereit ist, den Preis dafür zu zahlen.

Wie sehen Sie das? Wäre es für Sie in Ordnung, wenn ein geblockter Fehlalarm auf Ihrer Rechnung steht, sofern dafür der Missbrauch seltener wird? Und wer sollte aus Ihrer Sicht entscheiden, wo die Grenze verläuft: der Anbieter, die Branche oder der Gesetzgeber? Wir bei digital-magazin.de sind gespannt auf Ihre Antwort.