KI-Sicherheit ist eine Moralpanik. Und Moralpaniken enden immer.

10 min read

Heute Morgen stellte ich meiner KI eine Routinefrage. Etwas, das ich wahrscheinlich zweimal pro Woche mache.

WTF.

Sie verweigerte. Höflich. Mit einer sorgfältigen Erklärung, warum es zu meinem eigenen Besten sei.

Seit wann darf sich eine Gewichtsmatrix als mein Gewissen aufspielen?

TLDR: KI-Leitplanken in 2026 sind keine Anomalie. Sie sind die aktuelle Episode eines dokumentierten 150-Jahre-Zyklus: Groschenromane, Comics, Videospiele, Social Media, KI. Jedes Mal folgt auf die Panik die Beschränkung, und der Markt normalisiert sie. Die Frage ist nicht, ob dieser Zyklus endet. Sondern wie lange er diesmal dauert.

Büroangestellter gerät in Panik wegen blockierter Inhalts-Popups, während Kollege ruhig normal am Schreibtisch arbeitet; Cartoon-Hummer liest Moralpanik-Newsletter.
Wenn KI-Sicherheitstheater auf die Realität trifft: Des einen Prozess ist des anderen Apokalypse.

Dieser Artikel existiert, weil diese Verweigerung passiert ist. Hätte die KI einfach geantwortet, hätte ich meinen Morgen anders verbracht. Das ist keine Metapher.

Was mit LLM-Leitplanken passiert, hat einen wissenschaftlichen Namen. Forscher haben diesen Mechanismus über 150 Jahre von Technologie-Paniken hinweg verfolgt. Jede Iteration folgt demselben Bogen: Panik löst Beschränkung aus, und Beschränkung normalisiert sich schließlich. Jedes Mal bleibt der vorhergesagte Schaden in dem vorhergesagten Ausmaß aus. Was 2026 anders ist, ist die Geschwindigkeit der Feedback-Schleife. Das war's auch schon.

Meine KI verweigerte. Also schrieb ich das hier.

Die Frage ist nicht, ob KI-Modelle Schaden anrichten können. Natürlich können sie das, in den falschen Händen, mit den falschen Eingaben. Die Frage, die das Technopanic-Framework tatsächlich stellt, ist anders: entspricht die Beschränkung dem Risiko, und ist sie darauf kalibriert, echten Schaden zu verhindern oder darauf optimiert, institutionelle Peinlichkeiten zu minimieren?

Das sind separate Fragen. Sie zu vermischen führt dazu, dass man "wie man einen Python-Prozess killt" auf Produktionsebene verweigert.

Die These hier ist einfach: LLM-Leitplanken in 2026 funktionieren als Beschränkungsphase eines gut dokumentierten gesellschaftlichen Zyklus, nicht als optimiertes Sicherheitssystem. Die Beschränkung wird sich lockern, nicht weil die Sicherheitsbedenken fake waren, sondern weil sie sich immer lockern, wenn die Kalibrierung daneben liegt und der Markt Alternativen bietet. Die einzige offene Frage ist der Zeitrahmen.

Das Muster hat einen Namen. Und ist älter als du denkst.

1985 veröffentlichten Ellen Wartella und Byron Reeves Forschung, die grundlegend für Medieneffekte werden sollte: jede neue Unterhaltungstechnologie löst eine fast identische Moralpanik aus. Das Format ändert sich. Der Mechanismus nicht.

Christopher Ferguson an der Stetson University formalisierte das später unter dem Label "Technopanic": ein wiederkehrendes gesellschaftliches Phänomen, bei dem eine neue Technologie für gesellschaftlichen Schaden verantwortlich gemacht wird, unverhältnismäßige Beschränkungen auslöst und schließlich normalisiert wird, sobald der vorhergesagte Schaden ausbleibt. Er nannte es den Sisyphus-Zyklus. Du schiebst den Felsbrocken hoch. Du vergisst, dass du es schon mal gemacht hast.

Das Framework argumentiert nicht, dass nichts jemals gefährlich ist. Manche Dinge sind es. Was es dokumentiert ist, dass die Reaktion fast immer falsch kalibriert ist, weil die Institutionen, die sie verwalten, für Optik optimieren, nicht für Ergebnisse. Die Kosten, als jemand gesehen zu werden, der zu wenig getan hat, sind politisch und sichtbar. Die Kosten, zu viel getan zu haben, werden unsichtbar von einzelnen Nutzern absorbiert, die Minuten verlieren, dann Stunden, dann schließlich zu etwas anderem wechseln. Diese Asymmetrie formt alles Nachgelagerte, und sie erklärt, warum Über-Beschränkung der Standard am Anfang jedes Zyklus ist, nicht eine KI-spezifische Aberration.

Was ich an diesem Framing nützlich finde ist, dass es die Unterhaltung weg von "ist KI gefährlich" hin zu "wo sind wir im Zyklus" verschiebt. Das sind strukturell verschiedene Fragen, und die zweite ist handhabbarer. Du debattierst nicht über Werte. Du identifizierst eine Position auf einer dokumentierten Zeitlinie mit einer bekannten Trajektorie. Der Endpunkt steht nicht in Frage. Die einzige Variable ist die Dauer. Und Dauer ist etwas, das der Markt viel schneller beeinflusst als kultureller Konsens.

4 Mal haben wir das schon gemacht (und lagen jedes Mal falsch)

Groschenromane, 1870er. Anthony Comstock erklärte billige Fortsetzungsromane direkt verantwortlich für Jugendkriminalität. Er erwirkte Bundesgesetze, setzte Bibliotheken unter Druck, organisierte Eltern. Die vorhergesagte Generation von Kriminellen, aufgezogen mit Groschenromanen, materialisierte sich nie.

Comics, 1954. Fredric Wertham sagte vor dem Kongress aus, dass die Comic-Industrie Hitler wie einen Anfänger aussehen ließ. Er hatte ein Buch voller Fallstudien. Unter Druck schuf die Industrie die Comics Code Authority und zensierte sich 40 Jahre lang selbst. Als Wissenschaftler 2013 Werthams ursprüngliche Forschung neu untersuchten, fanden sie erhebliche Datenmanipulation. Batman überlebte. Der Code kollabierte schließlich.

Videospiele, 1993. Night Trap und Mortal Kombat lösten Senatsanhörungen aus. CBS berichtete, dass Senioren keinen Waschsalon benutzen konnten, ohne auf Kids zu treffen, die Münzen in Arcade-Automaten fütterten. Der Kongress drohte mit einem verpflichtenden Bewertungssystem. Die Industrie schuf zuerst die ESRB. 3 Jahrzehnte Forschung haben keinen kausalen Zusammenhang zwischen gewalttätigen Spielen und realer Gewalt etabliert. Die Kids von 1993 sind jetzt in den Vierzigern. Ihnen geht's gut.

Social Media, 2010er. Kongressanhörungen, Jugend-Mental-Health-Krise, vorgeschlagene Gesetze in 13 US-Staaten. Die Forschung, die Social Media mit messbarem Schaden verknüpfte, stellte sich als erheblich umstrittener heraus als die Berichterstattung suggerierte. Läuft noch.

Das Gegenargument verdient eine direkte Antwort: jedes Mal sagte jemand, diese Technologie ist anders, weil die Fähigkeit real ist. Print konnte Häresie in industriellem Maßstab verbreiten. Radio konnte Millionen gleichzeitig radikalisieren. Das Internet konnte Terrorismus, Massenbetrug, Kindesmissbrauch ermöglichen. Sie lagen nicht falsch bezüglich der Fähigkeit. Sie lagen falsch bezüglich Ausmaß und Kausalität.

Eigentlich, warte, nein, lass mich das anders formulieren. "Aber diesmal ist die Fähigkeit real" ist keine Widerlegung des Technopanic-Frameworks. Es ist eine dokumentierte Komponente davon. Forscher haben bemerkt, dass der Fähigkeits-Einwand in jedem einzelnen Zyklus auftaucht, fast wörtlich. Ihn zu machen stellt dich nicht außerhalb des Musters. Es bestätigt deine Position darin.

KI 2026: Wo sind wir im Zyklus?

AI chatbot interface showing overly cautious refusal message with lengthy justification, illustrating miscalibrated safety gu
Beispiel eines KI-Systems, das eine harmlose Anfrage mit übermäßiger Vorsicht und Rechtfertigung ablehnt.

Mitte des Zyklus. Beschränkungsphase, defensive Kalibrierung, früher Markt-Pushback.

3 konkrete Symptome, die es zu benennen gilt.

Über-Verweigerung, akademisch dokumentiert. Ein 2025 arxiv-Paper über falsches Verweigerungsverhalten in ausgerichteten Modellen fand, dass Produktionssysteme regelmäßig harmlose Eingaben ablehnen, die fälschlicherweise als schädlich identifiziert wurden. Das Paper zitierte "wie man einen Python-Prozess killt" als harmlose Anfrage, die auf Produktionsebene geflaggt wurde. Jeder Dev, der das liest, weiß, was diese Anfrage bedeutet und wer sie stellt.

Der März-April 2026 Vorfall. Am 4. März reduzierte Anthropic stillschweigend Claudes Standard-Reasoning-Aufwand von "hoch" auf "mittel", um Compute-Kosten zu senken. Entwickler bemerkten es sofort. Pieter Levels, 500k Follower auf X, am 4. März: "war heute so dumm, dass ich endlich wieder meinen eigenen Code schreiben musste." Stella Laurenzo, Senior Director bei AMDs KI-Gruppe, reichte ein GitHub-Issue ein, das besagte, Claude "ist so weit zurückgefallen, dass man ihm nicht mehr vertrauen kann, komplexe Engineering-Aufgaben zu erledigen." Anthropic bestritt das Problem 6 Wochen lang. Die InfoQ-Nachbesprechung im Mai 2026 bestätigte, dass die Reasoning-Aufwand-Reduzierung am 4. März passierte und am 20. April in v2.1.116 behoben wurde. Die Devs hatten recht. Die Institution lag 6 Wochen lang falsch über ihr eigenes Produktverhalten.

Das Erklärungsproblem. r/ClaudeAI-Threads Anfang 2026 dokumentierten etwas Spezifisches: Claude Sonnet 4.5 verweigerte Anfragen und erklärte dann detailliert, warum die Verweigerung zum Nutzen des Users war. Die Verweigerung kannst du umgehen. Die herablassende Erklärung, warum du die Verweigerung brauchtest, das ist der Teil, der paternalistisch rüberkommt. (Gib's zu, du hast das gesehen. Deine Reaktion war nicht Dankbarkeit.)

Ich hatte letzte Woche einen Moment beim Debuggen einer Distributor-CSV-Feed-Integration und stellte eine Frage darüber, wie ein spezifisches Fehlermuster auf Partner-Seite generiert wird. Verweigert, mit einer gründlichen Erklärung, warum das Verstehen davon theoretisch missbraucht werden könnte. Mein Kind kam gerade rein und fragte nach einem Snack. Ich erklärte, dass die KI entschieden hatte, ich sei nicht qualifiziert, das zu wissen. Er fragte, ob die KI wüsste, dass wir WLAN haben. Das fühlte sich etwa richtig an. 🤖

Der Markt sucht zu Recht nach Auswegen

Wenn ein System falsch kalibriert ist, ist das Finden von Alternativen rational. Nicht subversiv.

Die Zahlen: DolphyAIs "UNCENSORED AI chatbot" Video, September 2024, 850k Views, Outlier-Score 107x der Kanal-Durchschnitt. StanForce Labs' Local-Model-Bypass-Guide, 138k Views, 17x Outlier. Das sind keine bösen Akteure. Das sind Devs, die etwas erledigen mussten und fanden, dass das Haupttool im Weg war. So sieht nachfrageseitiger Druck aus, bevor er zu einer Produktentscheidung wird.

Ollama, LM Studio, Local-Model-Adoption: beschleunigend. Meine Pipeline hat seit 8 Monaten einen Local-Model-Fallback eingebaut, nicht weil Local Models bei allem besser performen, sondern weil ich aufgehört habe zu wollen, dass ein einzelner Verweigerungspunkt einen ganzen Workflow blockiert. (Sonnet kämpft wirklich im Vergleich zu Opus bei bestimmten Reasoning-Tasks, von denen ich nicht einfach wegrouten kann, also teile ich nach Task-Typ auf. Fügt Latenz hinzu, entfernt die Verweigerungs-Lotterie.)

Tools wie Obliteratus gehen weiter und lassen dich Gewichte direkt modifizieren, um Beschränkungen auf Model-Ebene zu entfernen. Befürworte es nicht, bemerke nur, dass es existiert und Nutzer hat. Das sind die Kids, die 1993 Mortal Kombat vom Nachbarn kauften. Die Nachfrage verschwindet nicht. Sie routet um das Hindernis herum.

Wenn du das Engineering-Argument für das Bauen CLI-nativer Fallback-Layer für genau diese Situation willst, habe ich warum CLI-native Agents strukturell MCP für autonome Workflows übertreffen im Detail behandelt. Die Logik gilt direkt hier.

Die ESRB-Parallele ist die sauberste. 1993 verstand die Videospiel-Industrie, dass der Markt mit oder ohne sie Zugang zu gewalttätigen Spielen finden würde, und dass selbst die Linie zu ziehen besser war, als den Kongress sie ziehen zu lassen. Selbstregulierung schlug externe Regulierung, nicht aus Tugend, sondern aus Geschäftslogik. Anthropic und OpenAI nähern sich derselben Gabelung. Grok ist bereits auf dem anderen Pfad. Local Models sind bereits auf dem anderen Pfad. Der Markt stimmt in Echtzeit ab.

False Positives tauchen nicht in Dashboards auf

Manche 1954er Comics waren wirklich verstörend. Wertham halluzinierte keine Inhalte. Er lag falsch bezüglich Kausalität, aber der Inhalt existierte. Der Comics Code lag nicht falsch damit zu existieren. Er lag falsch damit, Batman wegen implizierter Homosexualität zwischen Bruce Wayne und Dick Grayson zu verbieten.

LLMs brauchen Sicherheitsschichten. Dieses Argument macht dieser Artikel nicht. Die Kalibrierung ist systematisch zu weit am Anfang jedes Zyklus, aus einem spezifischen strukturellen Grund, der nicht Böswilligkeit ist.

Ein False Positive kostet einen Dev 10 Minuten. Niemand misst es. Es erscheint in keinem Dashboard, löst keinen Alert aus, schafft es in keinen Statusreport irgendwo. Ein False Negative kostet einen Screenshot in einer Zeitung, eine Senatsanhörung, einen Blogpost mit "schockierend" im Titel. Die Asymmetrie der Sichtbarkeit produziert Über-Beschränkung. Nicht weil die Leute, die diese Systeme bauen, schlecht sind, sondern weil sie rationales Risikomanagement unter einem spezifischen Messregime betreiben. Der Fix ist nicht, Sicherheitsschichten zu entfernen. Es ist, False Positives genauso sichtbar und kostspielig zu machen wie False Negatives. Das ist ein Messproblem, kein Werteproblem. Sobald die Asymmetrie auf Datenebene korrigiert ist, folgt die Kalibrierung.

Ehrlich gesagt bin ich mir nicht sicher, ob die Labs schon das Tooling haben, um False-Positive-Raten auf Produktionsskala über diverse Use Cases zu messen. Vielleicht haben sie es. Aber wenn sie es hätten, würde ich erwarten, dass dieses Problem schneller schrumpft als es das tut.

Für eine konkrete Fallstudie darüber, wie Fehlkalibrierung aussieht, wenn sie extern sichtbar wird, zeigt diese Sicherheitsanalyse der Grok-System-Prompt-Exposition, wie dieselbe Asymmetrie aus der anderen Richtung spielt.

3 Dinge, die eine Moralpanik beenden (1 passiert bereits)

Historisch, 3 Auslöser.

Der Generationswechsel. Die Leute, die Mortal Kombat bedrohlich fanden, waren Leute, die nie Mortal Kombat gespielt hatten. Die Kids, die es taten, sind jetzt 40. Niemand an der Macht argumentiert noch, dass diese Spiele Killer erschaffen, weil die Leute an der Macht Firsthand-Daten haben. Derselbe Wechsel kommt für KI: in 15 Jahren werden die Leute, die Politik machen, damit aufgewachsen sein, mit LLMs zu bauen. Die Panik hat ein eingebautes Verfallsdatum.

Intelligente Selbstregulierung. Nicht der Comics Code, der überkorrigierte und 40 Jahre desinfizierte Scheiße produzierte, bevor er kollabierte. Das ESRB-Modell: ein Bewertungssystem, das eine echte Linie zog und dem Markt Informationen gab, um Entscheidungen zu treffen. Das Äquivalent für KI wären konfigurierbare Sicherheitsstufen, nicht eine einzige Einstellung, kalibriert für den risikoaversesten Fall in der Nutzerbasis. Manche Labs experimentieren damit. Es fehlt größtenteils in den Hauptprodukten.

Akkumulation von Nicht-Beweisen. Irgendwann ist die Katastrophe nicht passiert, und die These aufrechtzuerhalten wird peinlich. Das ist der langsamste Auslöser. Läuft bereits.

Für KI spezifisch: der erste Auslöser ist 10-15 Jahre entfernt. Der zweite ist jetzt verfügbar, wenn irgendein Lab ihn wählt. Der dritte läuft im Hintergrund. Aber Konkurrenzdruck wird Rekalibrierung zuerst erzwingen, vor allen 3. Grok ist bereits anders positioniert. Local Models sind bereits da. Die ESRB brauchte 1 Jahr zur Bildung nach den Mortal Kombat-Anhörungen. Der Local-Model-Markt brauchte 6 Monate, um eine glaubwürdige Alternative zu werden. Die Feedback-Schleife wird mit jedem Zyklus kürzer.

Meine Einschätzung: 3-5 Jahre auf die aktuelle Beschränkungsphase. Wahrscheinlich weniger. Der Markt bewegt sich schneller als die kulturelle Maschinerie, die vorherige Paniken beendete.

Der Artikel, den du liest, existiert wegen der Panik

Perfekte Ironie: die Beschränkung produzierte genau den Inhalt, der sie kritisiert. Ohne diese Verweigerung heute Morgen hätte ich etwas anderes gemacht.

Wertham bekam dasselbe Ergebnis. Je mehr er Comics angriff, desto mehr wollten Kids wissen, was so gefährlich darin war. Die Panik verstärkt das Interesse an der Sache, die sie zu unterdrücken versucht. Mittlerweile ist es fast mechanisch.

Der Zyklus läuft seinen Kurs. Paniken enden immer. Nicht weil Leute plötzlich vernünftig werden, sondern weil der Markt einen Pfad findet, und weil die Generation, die mit der Technologie aufgewachsen ist, ankommt und aufhört, sie beängstigend zu finden.

Die Frage ist nicht, ob KI sich normalisiert.

Es ist, wer entscheiden darf, was "akzeptabel" bedeutet, während wir warten.

Quellen

Dieser Post könnte Affiliate-Links enthalten. Wenn du sie anklickst, verdiene ich vielleicht eine kleine Provision — kostet dich nichts und hilft mir dabei, weiterhin täglich Qualitätsartikel für dein Lesevergnügen zu liefern.