Jemand bietet dir KI zum Bruchteil des Preises. Was du dabei wirklich bezahlst.

Was gerade dokumentiert wurde

Zilan Qian vom Oxford China Policy Lab hat am 23. August auf ChinaTalk beschrieben, wie chinesische Entwickler an Claude kommen, obwohl Anthropic dort nicht verkauft. Der Weg heißt Transferstation: ein Proxy-Server im Ausland, oft in Singapur, der die Anfrage entgegennimmt, sie an Anthropic weiterreicht, als käme sie von einem zugelassenen Standort, und die Antwort zurückschickt. Bezahlt wird in Yuan über WeChat oder Alipay, ohne ausländische Kreditkarte, ohne VPN.

Der Preis liegt bei etwa einem Yuan pro Dollar Nutzung, also 70 bis 90 Prozent unter Liste. Die Angebote stehen offen auf GitHub, Taobao und Telegram, sortiert nach Preis und Verfügbarkeit. Woher die Marge kommt, ist der interessante Teil: aufgekaufte und teils gestohlene Konten, geteilte Max-Abos, umgeleitete Anfragen und der Weiterverkauf dessen, was durch die Leitung läuft.

Wen das trifft, und wen nicht

Hier bremse ich kurz, sonst wird daraus die falsche Panik. Dieser Markt bedient chinesische Entwickler, die durch Geoblocking ausgesperrt sind. Wer in Deutschland ein Konto direkt bei Anthropic, OpenAI oder Microsoft hat, ist davon nicht betroffen. Eigener Vertrag, eigener Endpunkt, eigene Abrechnung.

Nur kauft so fast kein KMU seine KI ein. Ein Betrieb kauft ein Tool, eine Plattform, einen Dienstleister. Irgendwo dahinter liegt ein API-Schlüssel, und wessen Schlüssel das ist, steht in keinem Angebot. Ich baue selbst Systeme, die auf solchen Schlüsseln laufen, und in Gesprächen kommt die Frage nach dem Bezugsweg praktisch nie. Gefragt wird nach Preis, Funktion und Datenschutzerklärung. Nicht danach, wer zwischen dem eigenen Betrieb und dem Modell sitzt.

Der chinesische Fall ist deshalb vor allem eine Vorführung von drei Dingen, die überall gelten, wo ein Vermittler dazwischensteht.

Du siehst nicht, welches Modell antwortet

Das ist die für den Alltag unangenehmste Erkenntnis. Wer bei einer Transferstation Opus bestellt, bekommt laut dem Bericht oft Sonnet, Haiku oder im schlechtesten Fall ein ganz anderes Modell wie Qwen oder GLM, umetikettiert auf den teuren Namen. Chinesische Nutzer haben dafür ein eigenes Wort, 降智, sinngemäß verringerte Intelligenz. Eine Fehlermeldung gibt es nicht. Auffällig wird es daran, dass komplexe Aufgaben schlechter laufen.

Wie groß der Abstand wird, zeigt eine Messung aus derselben Recherche. Ein Endpunkt, der als Gemini 2.5 verkauft wurde, kam bei einem medizinischen Benchmark auf 37 Prozent, wo das echte Modell 83,82 Prozent erreicht. Das ist kein Nuancenunterschied. Das ist ein anderes Werkzeug.

Der Vermittler liest mit

Der zweite Punkt ist simpler. Qian formuliert ihn sehr direkt: Jede Anfrage, die durch einen Proxy läuft, liegt vollständig auf dessen Server. Der komplette Prompt, die komplette Antwort, Werkzeugaufrufe, Zwischenschritte. Dafür braucht es keinen Angriff, das ist die normale Funktionsweise.

Dieses Material hat einen Marktwert. Der Bericht geht davon aus, dass der Weiterverkauf als Trainings- und Destillationsdaten für manche Betreiber das eigentliche Geschäft ist und der billige Token nur der Köder. Modellausgaben unklarer Herkunft zirkulieren bereits öffentlich auf Plattformen wie HuggingFace.

Übersetzt auf einen normalen Betrieb wären das Angebotskalkulationen, Kundenmails, Lieferantenkonditionen, Bewerbungsunterlagen. Alles, was man einer KI in einer gewöhnlichen Arbeitswoche hinlegt. Wie man verhindert, dass personenbezogene Daten überhaupt erst in so eine Leitung geraten, habe ich an anderer Stelle aufgeschrieben: So darf eine KI mit deinen Kundendaten arbeiten, ohne die DSGVO zu brechen.

Drei Fragen an deinen Anbieter

Dafür braucht niemand ein Sicherheitsaudit. Es reichen drei Fragen, und die Art der Antwort sagt oft mehr als die Antwort selbst.

• Über welches Konto läuft das? Habt ihr einen eigenen Vertrag beim Modellanbieter, oder teile ich mir einen Zugang mit anderen Kunden? Ein seriöser Anbieter beantwortet das in einem Satz.
• Wo steht der Endpunkt, den ihr ansprecht? Direkt beim Hersteller, bei einem Hyperscaler wie Azure oder AWS, oder bei einem Zwischenhändler. Wer hier ausweicht, hat einen Grund dafür.
• Was steht im Auftragsverarbeitungsvertrag über Prompts und Ausgaben? Nicht über Daten im Allgemeinen, sondern über genau diese beiden. Werden sie gespeichert, wie lange, und werden sie zum Training verwendet.

Dazu eine Faustregel zum Preis. Ein deutlicher Abstand nach unten beweist für sich genommen nichts, aber er braucht eine Erklärung. Es gibt gute: Volumenrabatt, konsequentes Caching, ein kleineres Modell, das für den Zweck reicht. Wer die Frage sauber beantworten kann, tut es gern. Wer nur auf den Preis zeigt, hat seine Marge woanders.

Fazit

Kauf deinen KI-Zugang so, dass du den Weg vom Prompt bis zum Modell in einem Satz erklären kannst. Direkt beim Hersteller oder über einen Hyperscaler ist die langweilige Antwort und für die meisten Betriebe die richtige. Welcher der beiden Wege zu dir passt, habe ich hier durchgespielt: Claude über Microsoft buchen oder direkt bei Anthropic? Sitzt ein Dienstleister dazwischen, ist das völlig in Ordnung, aber dann gehören die drei Fragen ins Angebotsgespräch und die Antworten in den Vertrag.

Und wenn dir jemand KI zum Bruchteil des üblichen Preises anbietet, ohne erklären zu können warum, dann ist Nachrechnen die passende Reaktion. Rechenzeit kostet Geld. Wenn du sie nicht bezahlst, bezahlt sie jemand anderes, und dann steht die Frage im Raum, womit.

Quellen: Zilan Qian (Oxford China Policy Lab), How to Buy Cheap Claude Tokens in China, ChinaTalk, 23. August 2026, zu Transferstationen, Preisniveau, Model Substitution und Datenweitergabe. Ergänzend The Decoder zur Einordnung und zum Benchmark-Vergleich. Einschätzung zum Einkauf aus eigener Arbeit mit KI-Systemen im Mittelstand, August 2026. Dieser Text ist keine Rechtsberatung.