Transferstationen: Wie Chinas Graumarkt Anthropics Claude-Sperren umgeht

Wer in China offiziell keinen Zugang zu Claude hat, muss trotzdem nicht verzichten: Ein florierender Graumarkt aus sogenannten Transferstationen verkauft Zugriff auf Anthropics Sprachmodelle zu einem Bruchteil des Listenpreises. Eine Analyse der Oxford-Forscherin Zilan Qian für den Newsletter ChinaTalk zeichnet erstmals detailliert nach, wie die Infrastruktur funktioniert, wer daran verdient und welche Risiken dabei entstehen, die weit über Anthropics Exportkontrollen hinausreichen.

Das Wichtigste in Kürze

• Transferstationen sind API-Proxys im Ausland, meist in Singapur gehostet, die Anfragen an Claude weiterleiten und Bezahlung in Yuan über WeChat oder Alipay abwickeln.
• Zugang kostet dort teils nur rund zehn Prozent des offiziellen Preises, ein Rabatt von 70 bis 90 Prozent.
• Umgangen werden Geoblocking, Kreditkartenprüfung und seit April 2026 auch Anthropics biometrische Ausweis- und Selfie-Verifizierung.
• Ein Teil der Anbieter tauscht heimlich teure Modelle wie Opus gegen günstigere wie Sonnet oder Qwen aus, ohne dass Nutzer es bemerken.
• Die eigentliche Gefahr liegt laut Qian nicht im Preis, sondern in den mitgeschnittenen Prompts, die als Trainingsdaten weiterverkauft werden.

Wie eine Transferstation funktioniert

Das Prinzip ist simpel und genau deshalb schwer zu unterbinden. Ein Betreiber registriert im Ausland ein Claude-Konto, oft mit kostenlosem Startguthaben, gestohlenen Kreditkartendaten oder Rabatten für Unternehmen und Bildungseinrichtungen. Chinesische Nutzer schicken ihre Anfragen dann nicht direkt an Anthropic, sondern an den Proxy-Server der Transferstation, der sie unter der fremden Identität weiterreicht und die Antwort zurückspielt. Bezahlt wird bequem in Yuan, ganz ohne VPN oder ausländische Kreditkarte. Laut Qians Recherche hat sich daraus eine dreistufige Lieferkette entwickelt: vorgelagert Kontohändler und Anbieter gefälschter SMS-Verifizierungen, in der Mitte die eigentlichen Transferstationen, nachgelagert Entwickler und Wiederverkäufer, die ihre Dienste offen auf Taobao anbieten. Sicherheitsforscher von Okta fanden nach Angaben von netzpalaver.de allein in einschlägigen Untergrundforen mehr als ein halbes Dutzend solcher Angebote, mit Namen wie „Poison Claude“ oder „Ecomagent“.

Ausweis, Selfie, Kreditkarte: Wie die Sperren umgangen werden

Anthropic hat seine Zugangskontrollen für nicht unterstützte Regionen in den vergangenen Monaten mehrfach verschärft. Im September 2025 kamen erste Verkaufsbeschränkungen für China, im April 2026 folgte eine biometrische Identitätsprüfung über den Anbieter Persona, bei der Nutzer einen Ausweis und ein Live-Selfie hochladen müssen. Der Graumarkt hat darauf reagiert, statt aufzugeben. Für die SMS-Verifizierung existieren spezialisierte Farmen mit echten Telefonnummern, für die biometrische Prüfung werden KI-generierte Fälschungen und Deepfake-Technik eingesetzt oder, wo das nicht reicht, echte Menschen aus einkommensschwachen Ländern in Afrika und Lateinamerika dafür bezahlt, ihr Gesicht für die Verifizierung herzugeben. Auch die eigenen Wasserzeichen-Mechanismen, mit denen Anthropic KI-generierte Texte kennzeichnen will, zeigen inzwischen, wie schnell Communitys um jede neue Schutzmaßnahme herum Umgehungstools bauen. Beim Graumarkt kommt hinzu, dass ein Teil der Anbieter zusätzlich am Modell selbst spart: Wer teuren Zugang zu Opus bucht, bekommt laut Qian mitunter unbemerkt Antworten von einem billigeren Modell wie Sonnet oder dem chinesischen Qwen zurückgespielt, was sich unter anderem an eingebrochenen Benchmark-Werten zeigen lässt.

Wer am Ende die Rechnung zahlt

Der niedrige Preis hat einen Haken, den viele Nutzer erst spät verstehen. Weil sämtlicher Datenverkehr über die Server der Transferstation läuft, protokollieren die Betreiber jede Anfrage, jede Antwort und jeden Werkzeugaufruf. Qian fasst es so zusammen, dass die eigentliche Marge längst nicht mehr im günstigen Zugang liege, sondern im Wert dieser Logs als Trainings- und Destillationsmaterial für eigene Modelle. Genau diese Art von großangelegter, unautorisierter Destillation hat Anthropic bereits einmal öffentlich gemacht: Bei einem früheren Vorfall nutzten Akteure, die mit chinesischen Anbietern wie Deepseek, Moonshot und MiniMax in Verbindung gebracht wurden, rund 24.000 gefälschte Konten für mehr als 16 Millionen Anfragen, um Claude-Antworten für das eigene Training abzugreifen. Für einzelne Entwickler bedeutet die Nutzung einer Transferstation zudem ein reales Betrugsrisiko: Konten werden ohne Vorwarnung gesperrt, gebuchte Modelle klammheimlich ausgetauscht, und wer seine biometrischen Daten für eine gefälschte Verifizierung hergegeben hat, weiß oft nicht, wo diese Aufnahmen am Ende landen.

Einordnung

Der Fall zeigt ein Muster, das über Anthropic und über China hinausreicht. Geoblocking und Exportkontrollen sind als Instrument gedacht, um Zugang zu leistungsfähigen KI-Modellen entlang nationaler Grenzen zu steuern. In der Praxis erzeugen sie aber genau die Grauzonen-Infrastruktur, die am Ende schwerer zu kontrollieren ist als der ursprünglich adressierte Zugang selbst: Kreditkartenbetrug, gehandelte Gesichtsscans und unautorisierte Modell-Destillation lassen sich schwer trennen von der Frage, wer offiziell Zugang zu Claude haben darf. Für Anthropic dürfte das mittelfristig zwei Konsequenzen haben. Erstens wird technische Verifizierung allein nicht reichen, solange sich jede neue Hürde binnen Wochen kommerziell umgehen lässt. Zweitens rückt die Frage in den Vordergrund, wie ein Unternehmen mit Datenschutzversprechen umgeht, wenn ein erheblicher Teil seiner tatsächlichen Nutzerinnen und Nutzer über Infrastruktur läuft, die es selbst weder sieht noch kontrolliert.