Die Geschichte der KI in Sicherheit und Verteidigung

Erstfassung 25. Oktober 2026, zuletzt geändert am 31. Oktober 2026 · Andreas Stockter

Künstliche Intelligenz in Sicherheit und Verteidigung heißt, dass Streitkräfte, Nachrichtendienste und Polizeien Rechenverfahren einsetzen, die Aufgaben übernehmen, für die bisher Menschen gebraucht wurden: ein Ziel im Radarbild finden, eine Lage aus tausend Meldungen zusammensetzen, eine Drohne ins Ziel lenken, eine Sicherheitslücke entdecken, bevor es der Gegner tut. Das Feld ist so alt wie die KI selbst, und es war lange ihr wichtigster Geldgeber: Die ersten lernenden Maschinen bezahlte die amerikanische Marine, die Forschungsagentur des Pentagons finanzierte die Labore, aus denen die Geschichte der KI hervorging, und das Netz, über das dieser Text gelesen wird, war ihr Nebenprodukt. Zugleich ist es das Feld, in dem die Frage, was eine Maschine entscheiden darf, zuerst keine Frage der Philosophie war, sondern eine des Abzugs.

Wie die anderen Chroniken dieser Seite folgt der Text einer Kette: Jede Epoche löst einen Engpass, den die vorherige offen gelassen hat, und schafft dabei den nächsten. Hier hat der Engpass seit dem Zweiten Weltkrieg dieselbe Form. Wer im Krieg handelt, durchläuft eine Schleife: beobachten, die Lage einordnen, entscheiden, handeln, und wer sie schneller durchläuft als der Gegner, gewinnt. Jede Stufe dieser Geschichte verlagert ein weiteres Glied der Schleife vom Menschen auf die Maschine (Abbildung 1). Erst war das Rechnen der Engpass, dann das Wissen, dann das Sehen, dann die Geschwindigkeit, zuletzt die Entscheidung selbst. Was am Ende offen bleibt, ist dasselbe wie am Anfang, nur dass die Maschine inzwischen fast alles andere kann: wer das Ziel freigibt, und wer dafür einsteht.

Der Text handelt von Verteidigung und innerer Sicherheit zugleich, weil die Verfahren dieselben sind und die Firmen auch: Dieselbe Software, die in der Ukraine Ziele vorschlägt, wertet in Hessen Polizeidaten aus, und dasselbe Sprachmodell, das Lücken in Betriebssystemen findet, hat 2025 Einbrüche gesteuert. Was er nicht leistet, ist eine Bewertung: Ob eine Waffe, die ihr Ziel selbst wählt, geächtet gehört, entscheiden Staaten in Genf und New York, und der Text berichtet, was sie bisher entschieden haben. Jeder Fachbegriff wird an der Stelle fett gesetzt, an der er erklärt wird, und erst danach verwendet. Ein Glossar listet alle Begriffe alphabetisch.

Inhalt: 1 Rechnen für den Krieg · 2 Die Agentur · 3 Strategic Computing · 4 Drohne und Statistik · 5 Autonomie und Sehen · 6 Ingenieure und Behörden · 7 Ukraine, Gaza, Regeln · 8 Sprachmodell · Kette · Zeitleiste · Weiterlesen · Quellen · Glossar

1. Rechnen für den Krieg: Flugabwehr, Codes und SAGE (1940–1958)

Das Problem. Ein Flugzeug, das 1940 mit 500 Kilometern in der Stunde über London flog, war zwanzig Sekunden später vier Kilometer weiter, und eine Flakgranate brauchte zwanzig Sekunden bis in diese Höhe. Wer auf das Flugzeug zielte, traf die Luft. Zielen hieß vorhersagen: aus der bisherigen Bahn den Ort berechnen, an dem das Flugzeug sein würde, wenn die Granate ankam, und das in Sekunden, mit einem Piloten, der ausweichen konnte. Die Rechnung war zu schnell für Menschen und zu unregelmäßig für die mechanischen Zielrechner, die seit dem Ersten Weltkrieg Kurse und Winkel kurbelten. Das war der erste Engpass dieser Geschichte, und die Antwort darauf lieferte die Mathematik, nicht die Mechanik.

Wieners Vorhersage. Norbert Wiener, Mathematiker am MIT, bekam Ende 1940 vom amerikanischen Forschungsrat für die Rüstung, dem NDRC unter Vannevar Bush, Geld für einen Zielrechner, der die Bahn eines Flugzeugs als statistische Zeitreihe behandelt: Die Bewegungen des Piloten sind nicht beliebig, ein Flugzeug kann nicht springen, und aus der Vergangenheit der Bahn lässt sich die wahrscheinlichste Zukunft berechnen, samt dem Fehler, mit dem man rechnen muss. Mit dem Ingenieur Julian Bigelow baute er bis 1942 ein Gerät, das die Idee vorführte, aber nur Sekunden voraussah, wo die Flak zwanzig brauchte, und schrieb eine Abhandlung über das Filtern und Vorhersagen verrauschter Signale, die als Geheimbericht so schwer verständlich war, dass die Ingenieure sie nach der Farbe ihres Umschlags „die gelbe Gefahr“ nannten.¹ 1943 ließ das NDRC den Vertrag auslaufen, weil der Zielrechner der Bell Laboratories, an dem auch Hendrik Bode mit derselben Mathematik arbeitete, weiter war; dieses Gerät, der M-9, schoss Ende August 1944 an der englischen Küste zusammen mit Radar und Annäherungszünder den größten Teil der anfliegenden V1 ab.² Wiener zog aus der Arbeit eine Lehre, die größer war als die Flak: Pilot, Geschütz und Rechner bilden einen Kreis, in dem die Beobachtung die Handlung lenkt und die Handlung die nächste Beobachtung. Er nannte das Prinzip 1948 Kybernetik, nach dem griechischen Wort für Steuermann, und beschrieb in dem Buch, das dieses Wort einführte, Rückkopplung, Lernen und das Nervensystem als Beispiele derselben Mathematik.³ Das Buch fasste die Ideen eines Kreises zusammen, aus dem auch das künstliche Neuron von McCulloch und Pitts (1943) stammt, das die Geschichte der KI an den Anfang stellt. Wiener selbst erklärte im Januar 1947 öffentlich, er werde nicht mehr für das Militär arbeiten, weil die Wissenschaftler nach Hiroshima nicht mehr wüssten, was mit ihren Ergebnissen geschehe. Er blieb mit dieser Haltung lange allein.⁴

Codes. Die zweite Rechnung des Krieges war das Entziffern. In Bletchley Park bei London baute Alan Turing 1940 die „Bombe“, eine elektromechanische Maschine, die die täglichen Schlüssel der deutschen Enigma durch Ausprobieren fand, und der Ingenieur Tommy Flowers 1944 den Colossus, den ersten elektronischen Rechner mit Programm, der die Fernschreibverschlüsselung des deutschen Oberkommandos brach; zehn Colossus-Maschinen liefen am Ende des Krieges, und ihre Existenz blieb drei Jahrzehnte geheim.⁵ In den Vereinigten Staaten schrieb Claude Shannon 1945 bei den Bell Laboratories einen Geheimbericht über die Mathematik der Verschlüsselung, der 1949 erschien und bewies, was ein Schlüssel leisten muss, damit eine Nachricht nicht zu knacken ist; seine Theorie der Information von 1948, die die Geschichte der Mathematik hinter der KI erklärt, war aus derselben Arbeit hervorgegangen.⁶ Die Nachrichtendienste, die aus dem Krieg kamen, die britische GCHQ und die 1952 gegründete amerikanische NSA, waren von Anfang an Rechenzentren, und sie blieben über Jahrzehnte die größten Käufer von Rechenleistung, lange bevor jemand KI sagte.

SAGE. Der Rechner, der die Schleife zum ersten Mal in Betrieb nahm, war der größte, der je gebaut wurde. Nach dem ersten sowjetischen Atomtest 1949 brauchten die Vereinigten Staaten eine Luftverteidigung, die Bomber über dem Nordpol erkennt, bevor sie die Städte erreichen, und ein Ausschuss unter George Valley am MIT empfahl 1950, die Radarstationen des Kontinents an digitale Rechner anzuschließen. Jay Forrester hatte am MIT seit 1944 den Rechner Whirlwind gebaut, ursprünglich für einen Flugsimulator, und Whirlwind wurde 1951 zum Herz des Projekts. Am 20. April 1951 lenkte Whirlwind zum ersten Mal einen Abfangjäger auf ein Ziel, das ein Radar gemeldet hatte. Das SAGE-System, Semi-Automatic Ground Environment, nahm im Juli 1958 sein erstes Zentrum in Betrieb und war 1963 vollständig: 24 Leitzentren und drei Gefechtszentren in Betonbunkern, jedes mit einem Rechnerpaar AN/FSQ-7 von IBM, das 49.000 Elektronenröhren hatte und 250 Tonnen wog, dazu Dutzende Bedienplätze mit Bildschirmen, auf denen Offiziere mit einer Lichtpistole auf Radarspuren zeigten. Der Rechner verband die Meldungen aller Radarstationen zu Spuren, berechnete für jede Spur den Kurs, wies den Abfangjägern ihren Weg zu und konnte die Flugabwehrraketen lenken; der Mensch wählte, was angegriffen wurde.⁷ Das Programm kostete nach Schätzungen acht bis zwölf Milliarden Dollar, mehr als das Manhattan-Projekt; die Abteilung, die RAND für seine Programme aufbaute und bald als eigene Firma ausgründete, hatte binnen eines Jahres bis zu tausend Mitarbeiter, und das System war fertig, als die sowjetischen Interkontinentalraketen, gegen die es nichts ausrichten konnte, schon flogen.⁸ Was blieb, war mehr als die Luftverteidigung: der Kernspeicher, das Modem, der Bildschirm mit Lichtstift, die Software als Industrie und das Buchungssystem SABRE, das IBM 1960 für American Airlines aus SAGE ableitete. Und es blieb das Bild, das das Fach seither trägt: ein Raum voller Bildschirme, in dem Menschen auf Spuren zeigen, die eine Maschine gefunden hat. Die Geschichte des Internets erzählt, was aus den Leitungen wurde.

Die Lehre von RAND. Die Luftwaffe hatte 1948 in Santa Monica eine Denkfabrik gegründet, die RAND Corporation, und dort trafen 1952 zwei Fragen aufeinander. In einem Labor für Systemforschung spielten Luftwaffenmannschaften wochenlang die Luftverteidigung nach, mit nachgestellten Radarschirmen, um zu lernen, wie Menschen unter Zeitdruck entscheiden; Allen Newell und Herbert Simon, die dabei zusahen, kamen zu dem Schluss, dass Menschen Informationen verarbeiten wie ein Programm, und schrieben 1956 mit Cliff Shaw auf dem RAND-Rechner JOHNNIAC den Logic Theorist, das Programm, mit dem die Dartmouth-Konferenz das Fach gründete.⁹ Die zweite Frage stellte RAND selbst: Wie überlebt ein Befehlsnetz einen Atomschlag? Paul Barans Antwort von 1964, ein Netz ohne Zentrum, wurde das Internet. Und die Marine zahlte 1957 das Perzeptron, die erste Maschine, die aus Fehlern lernte, mit dem Ziel, Flugzeuge auf Luftbildern zu erkennen; dass die New York Times daraus den Rechner machte, der „gehen, sprechen, sehen, schreiben, sich selbst vervielfältigen und sich seiner Existenz bewusst sein wird“, erzählt die Geschichte der Mathematik hinter der KI.¹⁰

Selbst ausprobieren. Die Bombe von Bletchley Park und die Enigma lassen sich im Browser nachspielen: Die Seite des Cryptomuseums und die Enigma-Simulation des Cryptii-Projekts zeigen, wie ein Tagesschlüssel aussah und warum ihn kein Mensch von Hand fand. Der Film „In Your Defense“, den die Luftwaffe 1956 über SAGE drehte, steht im Internet Archive und zeigt die Bildschirme und die Lichtpistole in Betrieb. Wieners Buch von 1948 ist als Nachdruck erhältlich und in weiten Teilen ohne Mathematik lesbar; das Kapitel über Rückkopplung erklärt die Schleife, die in Abbildung 2 den Rest dieses Textes trägt.¹¹

Der Engpass. 1958 konnte eine Maschine Radarspuren verfolgen, Kurse rechnen und Jäger lenken, und sie konnte Codes brechen, die kein Mensch brach. Was sie nicht konnte, war wissen: Ob die Spur ein Bomber war oder ein Schwarm Gänse, welches Ziel zuerst zählte und was ein Gegner vorhatte, stand in keinem Programm. SAGE hatte das Rechnen gelöst und das Entscheiden den Menschen gelassen, und die Agentur, die aus dem Schock des Sputnik entstand, machte sich daran, der Maschine das Wissen beizubringen.

2. Die Agentur und das Schlachtfeld der Sensoren (1958–1983)

ARPA. Am 4. Oktober 1957 umkreiste der sowjetische Sputnik die Erde, und im Februar 1958 gründete das Pentagon eine Agentur, die dafür sorgen sollte, dass die Vereinigten Staaten nie wieder technisch überrascht würden: die Advanced Research Projects Agency, ARPA, seit 1972 DARPA, mit dem D für Defense. Sie hatte kein eigenes Labor, sondern Geld und Programmleiter, die es an Universitäten und Firmen gaben, und im Oktober 1962 übernahm der Psychologe J. C. R. Licklider ihre neue Abteilung für Informationstechnik.¹² Licklider kam aus der Luftverteidigung; er hatte am Lincoln Laboratory an den Bedienplätzen von SAGE gearbeitet und 1960 in „Man-Computer Symbiosis“ beschrieben, wie Mensch und Rechner in Echtzeit zusammen denken sollten, weil ein Befehlshaber keine Zeit hat, auf den Stapel zu warten.¹³ Mit seinem Budget finanzierte er die Labore, aus denen die KI hervorging: Project MAC am MIT, das Labor von John McCarthy in Stanford, die Gruppe um Newell und Simon in Pittsburgh, das Stanford Research Institute. Bis zum Ende der 1960er Jahre kam der größte Teil des Geldes, das in den Vereinigten Staaten für KI ausgegeben wurde, von dieser einen Abteilung, und sie fragte in den ersten Jahren kaum, wozu.¹⁴

Shakey. Wozu, zeigte der erste Roboter, der seine Handlungen selbst plante. Das Stanford Research Institute baute von 1966 bis 1972 mit ARPA-Geld Shakey, einen Rollwagen mit Kamera, der einen Raum in Symbole übersetzte und darin einen Weg zum Ziel suchte; die Geschichte der KI erzählt, was die Forscher daraus lernten. Der Bericht, mit dem das Institut 1968 über die erste Phase Rechenschaft ablegte, hieß „Anwendung intelligenter Automaten auf die Aufklärung“: Gedacht war an einen Späher, der sich in feindlichem Gelände bewegt. Das Magazin Life stellte den Roboter im November 1970 als „erste elektronische Person“ vor.¹⁵ Aus dem Projekt stammen der Suchalgorithmus A* und das Planungsprogramm STRIPS, und beide stecken bis heute in Navigationsgeräten und in der Software, mit der Flugzeuge und Drohnen ihre Wege planen. Shakey brauchte für eine Aufgabe Stunden, und ein Gelände, das kein Labor war, hat er nie gesehen.

Das Schlachtfeld der Sensoren. Im Vietnamkrieg nahm das Pentagon die Schleife zum ersten Mal in einen Krieg mit. Ab 1968 warfen Flugzeuge über dem Ho-Chi-Minh-Pfad in Laos Zehntausende Sensoren ab, die Erschütterungen, Geräusche und Motorengeruch meldeten; Flugzeuge fingen die Funksignale auf und leiteten sie an zwei IBM-Rechner in einem Stützpunkt in Thailand, wo Offiziere vor Bildschirmen Lastwagenkolonnen verfolgten und Bomber auf die Koordinaten lenkten. Das Programm hieß Igloo White, kostete etwa eine Milliarde Dollar im Jahr und meldete Zerstörungen, die die Nachschubmengen im Süden nicht erklärten.¹⁶ General William Westmoreland, der Stabschef des Heeres, beschrieb im Oktober 1969 vor Rüstungsingenieuren das Ziel: Auf dem Schlachtfeld der Zukunft würden feindliche Kräfte „fast augenblicklich“ über Datenverbindungen, rechnergestützte Auswertung und automatische Feuerleitung geortet, verfolgt und bekämpft, und die Zahl der Soldaten werde sinken.¹⁷ Das war die Schleife aus Abbildung 2 als Programm, ein halbes Jahrhundert vor Project Maven, und die Rede nannte schon den Punkt, um den es seither geht: Wer in dieser Kette entscheidet, ob gefeuert wird, sagte sie nicht.

Die Grenze des Geldes. Die Freiheit der Agentur endete mit dem Krieg. Der Senator Mike Mansfield setzte 1969 durch, dass das Pentagon nur noch Forschung bezahlen darf, die einen erkennbaren militärischen Bezug hat, und ARPA musste jedes Projekt begründen; 1972 bekam sie das D in ihren Namen.¹⁸ In Großbritannien ließ der Forschungsrat 1972 den Mathematiker James Lighthill die KI begutachten, und sein 1973 veröffentlichter Bericht erklärte die Hoffnungen auf Roboter für „schwer enttäuscht“, worauf das Fach im Land für ein Jahrzehnt das Vertrauen und einen Großteil des Geldes verlor.¹⁹ Der Philosoph Hubert Dreyfus hatte 1965 im Auftrag von RAND das Gutachten „Alchemy and Artificial Intelligence“ geschrieben, das die Grundannahme des Fachs bestritt und von den Forschern als Angriff eines Außenseiters abgetan wurde; die Luftwaffe hatte es bezahlt.²⁰ In den Vereinigten Staaten übernahm 1975 George Heilmeier die Leitung der DARPA und verlangte von jedem Projekt Antworten auf einen Fragenkatalog, der mit „Was versuchen Sie zu tun?“ begann; das Programm zur Spracherkennung, das die Agentur 1971 mit dem Ziel aufgelegt hatte, gesprochene Sätze aus tausend Wörtern zu verstehen, ließ er 1976 ohne Fortsetzung auslaufen, obwohl das System Harpy der Carnegie Mellon University im September 1976 die Marke mit 1.011 Wörtern und fünf Prozent Fehlern erreicht hatte.²¹ Die Agentur, die die KI gegründet hatte, hatte sie für ein Jahrzehnt auf Abstand gesetzt, und das Fach nannte die Jahre seinen ersten Winter.

Die Maschine schießt. Während die Forschung wartete, wurde die Waffe selbst automatisch, ohne dass jemand KI dazu sagte. Das Nahbereichsabwehrsystem Phalanx, das die Marine ab 1980 auf ihren Schiffen einbaute, ist ein Radar mit einer sechsläufigen Kanone, das anfliegende Raketen selbst erkennt, verfolgt und beschießt, weil für einen Menschen in den letzten Sekunden keine Zeit bleibt.²² Das Gefechtssystem Aegis, 1983 mit dem Kreuzer Ticonderoga in Dienst gestellt, verband Radar, Rechner und Raketen zu einem System, das Hunderte Ziele zugleich verfolgt und in einer seiner Betriebsarten ohne weitere Freigabe feuert; der Mensch legt die Betriebsart fest und kann eingreifen.²³ Für die Unterscheidung, die diese Systeme verlangen, hat die Debatte später drei Wörter gefunden, die Abbildung 3 zeigt: Der Mensch ist in der Schleife, wenn er jede Handlung freigibt, auf der Schleife, wenn die Maschine handelt und er zusieht und abbrechen kann, und außerhalb der Schleife, wenn er erst danach erfährt, was geschah. Phalanx und Aegis setzten den Menschen 1983 auf die Schleife, und die Begründung war immer dieselbe: die Zeit.

Der Fehlalarm. Was die Automatisierung an der gefährlichsten Stelle bedeutete, zeigten die Frühwarnsysteme. Am 9. November 1979 meldeten die Bildschirme des nordamerikanischen Luftverteidigungskommandos einen sowjetischen Großangriff, erst 250, dann 2.200 Raketen; zehn Abfangjäger starteten, der fliegende Gefechtsstand des Präsidenten hob ohne Präsident ab, und der Sicherheitsberater wurde um drei Uhr nachts geweckt, bevor sich herausstellte, dass Testdaten in die Anzeige geraten waren. Im Juni 1980 erzeugte ein defekter Chip für 46 Cent zweimal denselben Alarm, Bomberbesatzungen liefen zu ihren Maschinen, und der Senat ließ den Vorgang untersuchen.²⁴ Auf der anderen Seite saß am 26. September 1983 Oberstleutnant Stanislaw Petrow in einem Bunker südlich von Moskau, als das Satellitensystem fünf startende amerikanische Raketen meldete; er hielt den Alarm für einen Fehler, weil ein Erstschlag mit fünf Raketen keinen Sinn ergab, und meldete das nach oben. Es war Sonnenlicht auf Wolken.²⁵ Die Sowjetunion baute zur selben Zeit ein System, das die Frage umgekehrt beantwortete: Perimeter, im Westen „Tote Hand“ genannt, sollte nach einem Atomschlag, wenn die Führung nicht mehr antwortete, die Startvollmacht an Offiziere in einem Bunker geben, deren Kommandoraketen den Befehl an die Interkontinentalraketen funken; es ging 1985 in Dienst, und wie viel daran automatisch war, ist bis heute umstritten.²⁶ Der Film „WarGames“ kam im Juni 1983 in die Kinos und ließ einen Rechner der Luftverteidigung den Dritten Weltkrieg üben; Präsident Reagan fragte danach seine Berater, ob so etwas möglich sei, und die Antwort führte 1984 zur ersten Weisung über Computersicherheit.²⁷

Selbst ausprobieren. Westmorelands Rede von 1969 ist im Protokoll der Association of the U.S. Army nachzulesen und in Paul Dicksons Buch „The Electronic Battlefield“ abgedruckt; wer die Sätze neben die Ankündigung von Project Maven aus Abschnitt 6 legt, findet fast dieselben Wörter. Das Nationale Sicherheitsarchiv der George Washington University hat die Untersuchungsberichte zu den Fehlalarmen von 1979 und 1980 freigegeben; sie sind kurz und lesen sich wie ein Protokoll dessen, was Abbildung 3 „auf der Schleife“ nennt.²⁸

Der Engpass. 1983 lenkte die Maschine Raketen und Kanonen schneller, als ein Mensch zusehen konnte, und das Frühwarnsystem hing an Chips für 46 Cent. Was ihr fehlte, war das, was Shakey und die Spracherkennung versprochen hatten: zu wissen, was sie sah. Ein Radar meldete Spuren, kein Panzer; ein Sensor meldete Erschütterung, kein Lastwagen. Die Entscheidung blieb beim Menschen, weil die Maschine keine Grundlage dafür hatte. Genau dieses Wissen wollte das Pentagon ab 1983 kaufen, mit der größten Summe, die je für KI ausgegeben worden war.

3. Der große Plan: Strategic Computing, SDI und der Golfkrieg (1983–1991)

Das Programm. Im Oktober 1983 legte die DARPA den teuersten Plan vor, den die KI bis dahin gesehen hatte. Die Strategic Computing Initiative sollte in zehn Jahren rund eine Milliarde Dollar ausgeben, um aus den Expertensystemen, die in den Firmen gerade Geschäft wurden, Maschinen für das Militär zu machen, und sie nannte drei Ziele, die jeder verstand: ein Fahrzeug, das ohne Fahrer durch Gelände fährt, einen Rechner im Cockpit, der dem Piloten als Kopilot zur Seite steht, und ein System, das einem Flottenkommandeur die Lage ordnet und Vorschläge macht.²⁹ Der Anlass war doppelt. Japan hatte 1982 sein Fifth-Generation-Projekt angekündigt, und die Industrie fürchtete, den Anschluss zu verlieren; und Präsident Reagan hatte am 23. März 1983 die Strategic Defense Initiative verkündet, einen Schild aus Satelliten und Raketen, der sowjetische Sprengköpfe im Flug abfangen sollte, gesteuert von Software, die in Minuten entscheidet. Ein Expertensystem, das aus Hunderten Wenn-dann-Regeln eines Fachmanns Schlüsse zieht, wie die Geschichte der KI es beschreibt, schien dafür das Werkzeug zu sein.

Die drei Ziele. Das fahrerlose Fahrzeug, von Martin Marietta für zehn Millionen Dollar gebaut, ein achträdriges Fahrzeug mit Kameras und Laser, folgte am 31. Mai 1985 knapp einen Kilometer weit einem Feldweg bei Denver, mit fünf Stundenkilometern, fuhr 1986 mit zwanzig, bei gutem Licht auf befestigtem Weg, und blieb an Schatten und Wasserlachen hängen; 1987 wagte es sich ins Gelände, und im April 1988 stellte die DARPA es ein. Die Carnegie Mellon University lernte an ihrem eigenen Wagen Navlab, dass das Sehen das Problem war, nicht das Fahren, und aus diesem Labor kamen zwanzig Jahre später die Sieger der DARPA Grand Challenge.³⁰ Der Pilot’s Associate, von Lockheed und McDonnell Douglas entwickelt, lief 1988 im Simulator sechsmal langsamer als die Wirklichkeit, 1989 schneller, und nie in einem Flugzeug. Das Flottensystem der Marine erledigte 1987 in Pearl Harbor Planungsaufgaben von fünfzehn Stunden in neunzig Minuten und blieb ein Prototyp. Als das Programm 1993 auslief, hatte es die Rechner, die Compilerbauer und die Bilderkennung weitergebracht, keines seiner drei Ziele erreicht und die Lehre von Shakey wiederholt: Die Welt draußen passt nicht in Regeln. Die Historiker Alex Roland und Philip Shiman, die das Programm aus den Akten beschrieben haben, nennen es einen Fehlschlag in den Zielen und einen Erfolg in den Mitteln.³¹

Die Kritiker. Zum ersten Mal widersprachen Informatiker öffentlich. Mitarbeiter des Forschungszentrums von Xerox in Palo Alto, die sich seit 1981 trafen, gründeten 1983 die eingetragene Vereinigung Computer Professionals for Social Responsibility und warnten in einer Schrift von 1984, das Programm wolle Entscheidungen über Leben und Tod an Systeme übertragen, deren Verhalten sich unter den Bedingungen des Ernstfalls nicht prüfen lasse.³² David Parnas, der 1972 mit dem Geheimnisprinzip die Grundlage großer Software gelegt hatte, wie die Geschichte der Softwareentwicklung erzählt, nahm im Mai 1985 einen Sitz im Beirat der SDI an, für tausend Dollar am Tag, und legte ihn am 28. Juni nieder. In acht kurzen Aufsätzen begründete er, warum die Software eines Raketenschilds nie vertrauenswürdig sein könne: Man könne sie nicht unter echten Bedingungen testen, die Anforderungen seien erst bekannt, wenn der Angriff komme, und weder Expertensysteme noch automatisches Programmieren noch Beweise über Programme könnten das ändern. Die Aufsätze erschienen im Dezember 1985 in der wichtigsten Zeitschrift des Fachs und sind bis heute das Lehrstück dafür, was Software in einer Entscheidung, die Sekunden dauert, leisten kann und was nicht.³³

Vincennes. Was das Zusehen auf der Schleife unter Druck wert ist, zeigte sich am 3. Juli 1988 im Persischen Golf. Der Kreuzer USS Vincennes, mit Aegis ausgerüstet, lag im Gefecht mit iranischen Schnellbooten, als sein Radar ein Flugzeug erfasste, das vom Flughafen Bandar Abbas aufstieg, der zivil und militärisch genutzt wurde. Ein Bediener hatte dem Kontakt irrtümlich die Kennung eines Kampfjets zugeordnet, die Besatzung meldete ein sinkendes Flugzeug im Angriffsprofil, obwohl das System die Daten eines steigenden Verkehrsflugzeugs anzeigte, und der Kreuzer schoss es sieben Minuten nach dem Start mit zwei Raketen ab: Iran Air 655, ein Airbus mit 290 Menschen an Bord, alle tot. Die Untersuchung der Marine fand keinen Fehler im Aegis-System; sie fand Menschen, die unter Stress in die Bildschirme hineinlasen, was sie erwarteten, und einen Befehlshaber, der in wenigen Minuten einer Darstellung vertraute, die er nicht nachprüfen konnte.³⁴ Die Lehre hieß seither, dass eine Maschine, die richtig rechnet, Menschen nicht vor falschen Schlüssen schützt, und dass die Zeit, die der Automat gewinnt, dem Menschen fehlt, der ihn überwachen soll.

Der Golfkrieg. Der Krieg, der 1991 Kuwait befreite, war der erste, den die KI im Hintergrund mitführte. Für die Verlegung von einer halben Million Soldaten und ihrem Material nach Saudi-Arabien ließ die DARPA von der Firma BBN und drei Partnern in zehn Wochen ein Planungswerkzeug bauen, DART, das die Transportpläne für Zehntausende Posten in Minuten statt in Stunden oder Tagen aufstellte und bei jeder Änderung neu rechnete; ein Fachmann prüfte die Pläne, die Maschine machte sie. Victor Reis, damals Direktor der Agentur, sagte später, dieses eine Werkzeug habe binnen weniger Monate alles zurückgezahlt, was die DARPA in dreißig Jahren für KI ausgegeben hatte.³⁵ Vor den Fernsehkameras standen andere Maschinen: Marschflugkörper, die mit gespeicherten Geländebildern ihr Ziel fanden, lasergelenkte Bomben, deren Treffer das Pentagon täglich zeigte, und die Patriot-Flugabwehr, die irakische Scud-Raketen abfing. Wie viele sie traf, wurde nach dem Krieg zum Streit; das Pentagon sprach zuerst von fast allen, Gutachter des Kongresses hielten später die meisten Abschüsse für nicht belegt.³⁶ Am 25. Februar 1991 schlug eine Scud in eine Kaserne in Dhahran ein und tötete 28 amerikanische Soldaten. Die Patriot-Batterie davor hatte nicht gefeuert: Ihre Software zählte die Zeit in Zehntelsekunden, die Umrechnung verlor mit jeder Stunde Betrieb ein wenig Genauigkeit, und nach hundert Stunden ohne Neustart lag die Uhr um ein Drittel einer Sekunde daneben, genug, dass das Radar die Rakete fast siebenhundert Meter neben ihrer Bahn suchte. Die Korrektur war seit dem 16. Februar freigegeben und erreichte Dhahran am Tag danach.³⁷ Der Fehler stand in keinem Expertensystem; er stand in der Rechnung, die seit SAGE jedes dieser Systeme trägt, und er zeigte, dass die Zeit, die die Maschine gewann, von einer Uhr abhing.

Selbst ausprobieren. Parnas’ Aufsätze von 1985 sind frei im Netz und in einer Stunde gelesen; wer sie neben die Debatte über Sprachmodelle in Abschnitt 8 legt, findet jedes Argument wieder. Der Untersuchungsbericht zum Patriot-Fehler, GAO/IMTEC-92-26, ist zwanzig Seiten lang und erklärt den Rundungsfehler so, dass man ihn mit einer Tabellenkalkulation nachrechnen kann: 0,1 Sekunden lassen sich in 24 Bit nur mit einem winzigen Rundungsfehler speichern, und dieser Fehler mal 3,6 Millionen Zehntelsekunden ergibt die Abweichung von 0,34 Sekunden.³⁸

Der Engpass. 1991 hatte die KI die Logistik eines Krieges geplant, und die Waffen trafen, wenn ihre Uhren stimmten. Aber die drei Ziele des großen Plans, das Fahrzeug, der Kopilot, der Lageberater, waren an derselben Stelle gescheitert wie Shakey: am Sehen und am Alltagswissen, das sich nicht in Regeln fassen lässt. Die Expertensysteme verschwanden mit dem zweiten Winter der KI, und das Pentagon wandte sich den Maschinen zu, die ohne Wissen auskamen, weil ein Mensch am Bildschirm sah, was sie nicht sahen: der Drohne mit Piloten und der Statistik.

4. Drohne, Datenberg und Statistik (1991–2012)

Der Pilot in Nevada. Die Maschine, die das Schlachtfeld der nächsten zwanzig Jahre prägte, war nicht klug, sondern fern. Die Drohne Predator, ein unbemanntes Flugzeug mit Kamera, das über Satellit gesteuert wird, flog 1995 über Bosnien, und im Februar 2001 feuerte sie zum ersten Mal eine Rakete ab; nach dem 11. September 2001 wurde sie zur Waffe des Krieges gegen die Terrorgruppen, in Afghanistan, Pakistan, im Jemen und in Somalia, und der Reaper von 2007 trug mehr als das Zehnfache an Waffen.³⁹ Der Pilot saß in einem Container in Nevada, sah das Bild der Kamera mit zwei Sekunden Verzögerung und drückte den Abzug; ein Jurist und ein Offizier sahen auf denselben Bildschirm. Die Schleife war vollständig besetzt, mit Menschen, und doch war etwas verschoben: Wer das Ziel war, stand in einer Datenbank, und ab 2008 flogen die Vereinigten Staaten Angriffe auf Personen, deren Namen sie nicht kannten, weil ihr Verhalten dem Muster eines Kämpfers glich, die sogenannten Signaturschläge. Unter Präsident Obama zählte das Bureau of Investigative Journalism 563 Angriffe in Pakistan, im Jemen und in Somalia, zehnmal so viele wie unter seinem Vorgänger; die Regierung selbst gab 2016 für 473 Angriffe 64 bis 116 getötete Zivilisten an, die Beobachter sechsmal so viele.⁴⁰ Das Muster lieferte die Statistik, und die Entscheidung, auf ein Muster zu schießen, war eine Entscheidung über das, was die Maschine erkannte.

Der Datenberg. Mit den Drohnen kam das Video. Eine Predator sandte rund um die Uhr Bilder, 2009 flog die Luftwaffe Dutzende solcher Patrouillen zugleich, und ein System namens Gorgon Stare, das 2011 eine ganze Stadt aus der Luft filmte, erzeugte an einem Tag mehr Material, als die Auswerter in Wochen ansehen konnten. Die Luftwaffe beschäftigte Tausende Soldaten damit, auf Bildschirme zu starren und Lastwagen zu zählen, und ihre Offiziere sagten den Reportern, sie ertränken in Daten.⁴¹ Was fehlte, war eine Maschine, die ein Video so lesen konnte wie SAGE ein Radarbild: Hier ist ein Fahrzeug, dort ein Mensch, das hier war gestern noch nicht da. Die Bilderkennung dieser Jahre, mit handgemachten Merkmalen, wie die Geschichte der KI sie beschreibt, kam dafür nicht in Frage, und sechs Jahre später wurde genau dieser Berg das Project Maven.

Total Information Awareness. Dieselbe Idee, Muster in Datenbergen zu finden, hatte nach dem 11. September zu Hause begonnen. Im Januar 2002 richtete die DARPA ein Büro für „Information Awareness“ ein, geleitet von John Poindexter, einst Sicherheitsberater Reagans, mit dem Ziel, aus Reisebuchungen, Überweisungen, Telefonaten und Krankenakten der Bevölkerung die Spuren künftiger Anschläge zu lesen; das Wappen des Büros zeigte ein Auge über der Erdkugel. Der Kongress strich dem Programm im September 2003 das Geld, nach einer öffentlichen Empörung, die das Wort Total Information Awareness zum Sinnbild der Überwachung machte; einige seiner Teile liefen unter anderen Namen bei der NSA weiter.⁴² Was Edward Snowden 2013 veröffentlichte, erzählt die Geschichte des Internets; für diesen Text zählt ein Dokument darunter: ein Programm der NSA, das aus den Verbindungsdaten von 55 Millionen Mobilfunkanschlüssen in Pakistan mit maschinellem Lernen die Kuriere der Terrorgruppen finden sollte, und dessen Folien als Treffer mit der höchsten Punktzahl den Büroleiter des Senders Al Jazeera in Islamabad auswiesen.⁴³ Das Verfahren war das der Spamfilter, auf Menschen angewandt, und sein Fehler war der der Statistik: Wer in einer Million Menschen wenige Hundert sucht, bekommt bei jeder Trefferquote mehr Unschuldige als Schuldige, die Rechnung des Satzes von Bayes aus der Geschichte der Mathematik hinter der KI.

Palantir. Die Firma, die aus diesem Bedarf wuchs, kam aus dem Zahlungsverkehr. Peter Thiel, Mitgründer von PayPal, hatte dort Betrüger mit Software gejagt und gründete 2003 mit Alex Karp und anderen Palantir, um dasselbe für die Nachrichtendienste zu tun; die Beteiligungsgesellschaft der CIA, In-Q-Tel, stieg in den ersten Jahren mit rund zwei Millionen Dollar ein, und das erste Produkt, Gotham, verband die Datenbanken einer Behörde zu einem Bild, in dem Analysten Personen, Orte, Konten und Anrufe als Netz sehen.⁴⁴ Die Software war keine KI im Sinn der Forschung; sie war ein Werkzeug, mit dem Menschen in Daten suchen, und sie lebte von der Zahl der Datenquellen. Die Firma stritt sich über Jahre mit dem Heer um dessen eigenes Analysesystem, gewann 2016 vor Gericht das Recht, mitzubieten, und wurde zum Lieferanten, dessen Name in Abschnitt 7 bei jedem Krieg fällt.⁴⁵ Die Polizei folgte dem Militär: 2011 begann die Polizei von Santa Cruz in Kalifornien, täglich Karten mit den Straßenzügen auszudrucken, in denen ein Programm aus den vergangenen Straftaten die nächsten erwartete, mit einer Formel, die Mathematiker für die Nachbeben von Erdbeben entwickelt hatten; 2012 wurde daraus die Firma PredPol. Chicago führte 2013 eine Liste von rund 400 Personen ein, denen ein Algorithmus die höchste Wahrscheinlichkeit zuschrieb, zu schießen oder erschossen zu werden; eine Untersuchung von RAND fand 2016, dass die Menschen auf der Liste nicht seltener erschossen, aber häufiger festgenommen wurden. Predictive Policing, die Vorhersage von Straftaten aus Daten, war die Statistik der Spamfilter auf der Straße, und ihre Schwäche war die der Daten: Wo die Polizei schon oft war, fand sie wieder etwas.⁴⁶

Die Maschine lernt fahren. Was die Strategic Computing Initiative nicht geschafft hatte, holte die DARPA mit einem Preisgeld nach. 2004 schrieb sie ein Rennen für fahrerlose Fahrzeuge durch die Mojave-Wüste von Kalifornien nach Nevada aus, eine Million Dollar für den Sieger, und keines der fünfzehn Fahrzeuge kam weiter als zwölf Kilometer. 2005 erreichten fünf das Ziel, 2007 fuhren sechs durch eine nachgebaute Stadt mit Verkehr; die Sieger kamen aus Stanford und der Carnegie Mellon University, deren Navlab 1987 im Schatten stecken geblieben war, und aus ihren Teams wurde Googles Projekt für selbstfahrende Autos.⁴⁷ Die Agentur hatte das Problem nicht gelöst, sie hatte es ausgeschrieben, und der Kongress hatte ihr 2001 aufgegeben, dass bis 2015 ein Drittel der Kampffahrzeuge des Heeres unbemannt fahren solle. Das Ziel wurde verfehlt, die Autos fuhren trotzdem, nur zivil.

Die Waffe wartet. Während die Forschung das Sehen lernte, bauten Rüstungsfirmen Waffen, die ohne Sehen auskamen. Die israelische Harpy, seit den 1990er Jahren im Dienst, ist eine Drohne mit Sprengkopf, die über einem Gebiet kreist, bis sie das Signal eines feindlichen Radars auffängt, und sich dann hineinstürzt, ohne dass jemand das Ziel freigibt; China kaufte sie 1994 für 55 Millionen Dollar. Ein solches Gerät, das sucht, wartet und selbst zuschlägt, heißt Loitering Munition, kreisende Munition, und Harpy war der Beweis, dass die Maschine außerhalb der Schleife längst gebaut war, solange das Ziel ein Radar war und kein Mensch.⁴⁸ Samsung stellte 2006 für die Grenze zwischen den beiden Koreas einen Wachposten vor, der Menschen auf 500 Meter erkennt, eine erhobene Hand als Kapitulation deutet und ein Maschinengewehr trägt; der Projektleiter sagte, die Entscheidung zu schießen müsse ein Mensch treffen, und das Gerät hatte eine Automatik.⁴⁹ Und Israel nahm 2011 das Iron Dome in Betrieb, ein System, das anfliegende Raketen erfasst, in Sekunden berechnet, ob sie bewohntes Gebiet treffen, und nur diese abfängt; der Mensch sieht zu, die Maschine wählt.⁵⁰ Alle drei folgten der Begründung von Phalanx: Zeit.

Die Netze. Parallel entstand die Sicherheit der Rechner selbst als Feld. James Anderson hatte 1980 in einem Gutachten für eine Behörde vorgeschlagen, die Protokolle eines Rechners statistisch auf ungewöhnliches Verhalten zu prüfen, und Dorothy Denning beschrieb 1986 am Stanford Research Institute mit Geld der Marine ein System, das die Gewohnheiten jedes Nutzers lernt und Alarm schlägt, wenn jemand davon abweicht; der Morris-Wurm von 1988, den die Geschichte des Internets erzählt, machte den Bedarf sichtbar.⁵¹ Im Juni 2010 fanden Virenjäger in Iran ein Programm, das die Steuerungen der Zentrifugen in der Anreicherungsanlage Natanz so veränderte, dass sie sich zerstörten, und dabei den Bedienern normale Werte zeigte: Stuxnet, nach allem, was bekannt wurde, ein Werk der Vereinigten Staaten und Israels, die erste Waffe aus Code, die Maschinen zerstörte.⁵² Die Vereinigten Staaten hatten 2009 ein eigenes Kommando für den Cyberraum aufgestellt, und die Frage, wer in einem Netz der Angreifer ist, wurde zur Aufgabe für Verfahren, die Muster in Milliarden Ereignissen finden.

Selbst ausprobieren. Die Folien des NSA-Programms zu den pakistanischen Mobilfunkdaten stehen bei The Intercept, 2015 veröffentlicht; auf einer davon steht die Fehlerquote, 0,008 Prozent in der besten Einstellung, und wer sie mit 55 Millionen Anschlüssen multipliziert, hat die Zahl der Unschuldigen, die das Verfahren selbst dann noch markiert. Die Rennen der DARPA Grand Challenge sind als Filme im Netz; der Vergleich der Fahrten von 2004 und 2005 zeigt in zwanzig Minuten, was ein Jahr Lernen aus Laserdaten ausmacht.⁵³

Der Engpass. 2012 flogen die Drohnen rund um die Uhr, die Datenbanken der Dienste wuchsen, und die Waffen, die selbst zuschlugen, kreisten über Radarstellungen. Der Mensch saß an jeder Stelle der Schleife, und er ertrank: in Video, das niemand ansah, in Verbindungsdaten, die eine Statistik sortierte, in Signaturen statt Namen. Die Maschine konnte noch nicht sehen, aber sie bestimmte bereits, wohin der Mensch sah. Und im selben Jahr, in dem die DARPA-Autos durch die Stadt fuhren, begann im Pentagon die Frage, was geschehen soll, wenn die Maschine eines Tages sehen kann.

5. Die Schleife wird zum Streit: Autonomie und das Sehen (2012–2017)

Die Weisung. Am 21. November 2012, bevor eine Maschine sehen konnte, legte das Pentagon fest, was sie dürfen soll, wenn sie es kann. Die Weisung 3000.09 „Autonomy in Weapon Systems“ definierte ein autonomes Waffensystem als eines, das nach der Aktivierung Ziele ohne weiteres Zutun eines Menschen auswählt und bekämpft, und verlangte, dass solche Systeme so entworfen werden, dass Befehlshaber und Bediener „angemessene Stufen menschlichen Urteils“ über die Anwendung von Gewalt ausüben können; wer eine Waffe bauen wollte, die über wenige Ausnahmen hinaus selbst Ziele wählt, brauchte die Freigabe zweier Staatssekretäre und des Vorsitzenden der Vereinigten Stabschefs, vor der Entwicklung und noch einmal vor der Einführung.⁵⁴ Die Formulierung war mit Bedacht weich: Sie verbot nichts, sie verlangte Urteil, nicht Freigabe, und sie überließ den Systemen wie Phalanx und Aegis ihren Platz auf der Schleife. Dennoch war es die erste Regel eines Staates für Waffen, die selbst entscheiden, und sie wurde zum Maßstab, an dem sich die Debatte der folgenden Jahre abarbeitete.

Die Kampagne. Zwei Tage zuvor hatte Human Rights Watch mit der Harvard Law School einen Bericht veröffentlicht, „Losing Humanity“, der ein vorbeugendes Verbot vollständig autonomer Waffen forderte, bevor es sie gab: Eine Maschine könne Kämpfer nicht von Zivilisten unterscheiden, keine Verhältnismäßigkeit abwägen und für nichts verantwortlich gemacht werden.⁵⁵ Im April 2013 schlossen sich Organisationen zur Campaign to Stop Killer Robots zusammen, und im Mai legte der UN-Sonderberichterstatter Christof Heyns dem Menschenrechtsrat einen Bericht vor, der ein Moratorium empfahl.⁵⁶ Der Name der Kampagne war eine Zuspitzung mit Absicht, und er wirkte: Im Mai 2014 trafen sich die Vertragsstaaten der UN-Waffenkonvention in Genf, die seit 1980 Waffen wie Landminen, Brandwaffen und Blendlaser regelt, zu ersten Gesprächen über das, was sie LAWS nannten, Lethal Autonomous Weapons Systems, und Ende 2016 beschlossen sie eine Regierungsexpertengruppe, die seit November 2017 tagt.⁵⁷ Eine Definition, auf die sich die Staaten einigen könnten, fand die Gruppe nicht; die Vereinigten Staaten, Russland und andere wollten keine, die ihre Systeme auf der Schleife erfasst hätte.

Die Forscher. Im Juli 2015 veröffentlichte das Future of Life Institute auf der wichtigsten KI-Konferenz des Jahres einen offenen Brief, der ein Verbot offensiver autonomer Waffen forderte, bevor ein Wettrüsten beginne; Stephen Hawking, Elon Musk und mehr als tausend Forscher des Fachs unterschrieben am ersten Tag, später mehr als zwanzigtausend Menschen.⁵⁸ Im November 2017 zeigte der Informatiker Stuart Russell in Genf den Kurzfilm „Slaughterbots“, in dem handtellergroße Drohnen mit Gesichtserkennung Studenten jagen; der Film war erfunden, die Technik, die er zeigte, nicht mehr fern, und er wurde millionenfach angesehen.⁵⁹ Die Debatte hatte damit zwei Lager, die bis heute stehen: Die eine Seite sagt, eine Maschine dürfe nie über Leben entscheiden, weil sie es nicht verstehen und nicht verantworten kann; die andere, Ronald Arkin voran, dass eine Maschine im Gefecht weniger Fehler machen könnte als ein Mensch, der Angst hat, müde ist und Rache will, und dass ein Verbot die Falschen bindet.⁶⁰

Die Maschine lernt sehen. Was die Debatte 2012 noch als Zukunft behandelte, geschah im selben Jahr in einem Labor in Toronto. Ein tiefes Netz gewann den Bildwettbewerb ImageNet mit einem Vorsprung, der das Fach umkehrte, die Geschichte der KI erzählt es, und innerhalb von drei Jahren erkannten Netze Gesichter so gut wie Menschen und Objekte in Videos in Echtzeit. Der Berg aus Drohnenvideo aus Abschnitt 4 hatte seine Maschine gefunden. Verteidigungsminister Chuck Hagel kündigte im November 2014 die „dritte Offset-Strategie“ an, und sein Stellvertreter Robert Work führte sie: Wie die Atomwaffen in den 1950er und die Präzisionswaffen in den 1970er Jahren solle nun die Verbindung von Mensch und Maschine den Vorsprung sichern, den die Zahl der Soldaten nicht mehr gab; Work sprach von lernenden Maschinen, die mit Lichtgeschwindigkeit arbeiten, und von Menschen, die mit ihrer Hilfe schneller und besser entscheiden.⁶¹ Im März 2016 schlug AlphaGo den Go-Meister Lee Sedol, und in Peking, wo Go eine Kulturtechnik ist, nannten Strategen das ihren Sputnik-Moment.⁶²

Maven. Am 26. April 2017 unterzeichnete Work ein Memorandum, das den Berg abtragen sollte. Das Algorithmic Warfare Cross-Functional Team, Project Maven, sollte binnen eines halben Jahres gelernte Bilderkennung in die Auswertung des Drohnenvideos bringen: Objekte markieren, zählen, verfolgen, damit die Auswerter nicht mehr starren, sondern prüfen.⁶³ Das Pentagon kaufte die Technik dort, wo sie war, bei den Internetfirmen, und Google lieferte im Rahmen eines Vertrags von achtzehn Monaten Werkzeuge und Modelle zur Objekterkennung. Der Oberst des Marine Corps, der das Team führte, sagte im Juli 2017, ein Auswerter solle damit doppelt so viel schaffen, und eine KI werde „auf absehbare Zeit“ kein Ziel auswählen. Anfang Dezember 2017 liefen die ersten Algorithmen bei den Auswertern der Drohneneinsätze gegen den IS; was folgte, erzählt der nächste Abschnitt. Mit Maven hatte die Schleife aus Abbildung 2 ihr drittes Glied an die Maschine abgegeben: Sie beobachtete nicht mehr nur, sie sagte, was sie sah.

Das Jahr der Erklärungen. 2017 wurde das Thema Politik. Am 20. Juli beschloss Chinas Staatsrat den „Entwicklungsplan für künstliche Intelligenz der neuen Generation“, der das Land bis 2030 zum führenden Zentrum der KI machen will und die militärische Nutzung ausdrücklich mit der zivilen verschmilzt.⁶⁴ Am 1. September sagte Wladimir Putin vor Schülern, wer in der künstlichen Intelligenz führe, werde die Welt beherrschen.⁶⁵ In Washington beriet seit 2016 das Defense Innovation Board, von Verteidigungsminister Ash Carter gegründet und von Eric Schmidt, dem früheren Chef von Google, geleitet, das Pentagon und sollte ihm das Silicon Valley erklären.⁶⁶ Und in den Netzen war der Krieg schon angekommen: Im Dezember 2015 hatten Angreifer, die die Ukraine Russland zuordnete, das Stromnetz in der Westukraine abgeschaltet, 2016 gewann in Las Vegas das System Mayhem den ersten Hackerwettbewerb, in dem nur Maschinen gegeneinander antraten, den Cyber Grand Challenge der DARPA, das Sicherheitslücken in fremdem Code selbst fand und schloss, und im Juni 2017 legte die Schadsoftware NotPetya, von der Ukraine ausgehend, Reedereien, Pharmakonzerne und Häfen weltweit lahm, mit Schäden von zehn Milliarden Dollar.⁶⁷

Selbst ausprobieren. Die Weisung 3000.09 ist zwölf Seiten lang und steht auf den Seiten des Pentagons; der Abschnitt 4 enthält die drei Sätze, um die seither gestritten wird. „Slaughterbots“ dauert sieben Minuten und steht auf YouTube. Wer verstehen will, was Maven lösen sollte, öffnet im Browser ein Modell wie YOLO in einer der vielen Demonstrationen und hält die Webcam auf einen Tisch: Die Kästen um Tasse, Telefon und Hand sind dieselbe Technik, nur dass die Kamera dort über Mossul flog.⁶⁸

Der Engpass. 2017 konnte die Maschine sehen, und das Pentagon hatte beschlossen, sie sehen zu lassen. Die Regel, die 2012 das Urteil beim Menschen ließ, stand, und die Staaten in Genf hatten drei Jahre geredet, ohne sich auf ein Wort zu einigen. Was fehlte, war etwas, das keine Weisung lieferte: die Ingenieure, die die Modelle bauten, saßen in Firmen, deren Angestellte nicht gefragt worden waren, ob sie für das Militär arbeiten wollen.

6. Der Aufstand der Ingenieure und die neuen Behörden (2018–2021)

Google. Als die Mitarbeiter von Google Anfang 2018 erfuhren, dass ihre Firma dem Pentagon bei Maven half, schrieben sie an ihren Chef. „Wir glauben, dass Google nicht im Geschäft des Krieges sein sollte“, begann der Brief an Sundar Pichai, der im April mehr als 3.000 Unterschriften trug, am Ende rund 4.000; etwa ein Dutzend Ingenieure kündigte, und Forscher außerhalb der Firma unterstützten sie mit einem offenen Brief.⁶⁹ Am 1. Juni 2018 teilte die Firma mit, den Vertrag nach seinem Ablauf 2019 nicht zu verlängern, und am 7. Juni veröffentlichte Pichai sieben Grundsätze für KI, darunter die Zusage, Google werde keine „Waffen oder andere Technologien“ entwickeln, „deren Hauptzweck oder Umsetzung darin besteht, Menschen zu verletzen oder dies unmittelbar zu ermöglichen“, und keine Überwachung, die international anerkannte Normen verletzt.⁷⁰ Es war das erste Mal, dass die Belegschaft einer Firma dem Militär einen Lieferanten entzog, und es blieb das einzige Mal. Microsoft hatte schon im Oktober 2018 erklärt, man werde dem amerikanischen Militär die beste Technik des Landes nicht vorenthalten, und als im Februar 2019 Angestellte gegen einen Vertrag über Datenbrillen für Soldaten protestierten, antwortete Satya Nadella, die Firma werde den Institutionen, die die Bürger einer Demokratie zu ihrem Schutz gewählt hätten, die Technik nicht verweigern; den Zehn-Milliarden-Auftrag für die Cloud des Pentagons, um den Amazon und Microsoft stritten, gewann Microsoft im Oktober 2019, das Pentagon hob ihn 2021 nach Jahren vor Gericht auf und vergab die Nachfolge 2022 an vier Firmen, darunter Google.⁷¹ Maven selbst lief weiter, mit Palantir als Lieferant, der Firma, die Peter Thiel 2003 gegründet hatte und in die der Wagniskapitalfonds der CIA früh investiert hatte; 2023 wurde aus dem Projekt ein ständiges Programm der Behörde für Geoaufklärung, und 2024 bekam Palantir den Vertrag für das System, das in Abschnitt 8 die Sprachmodelle aufnimmt.⁷²

Die Behörden. Das Pentagon antwortete mit Organisation. Im Juni 2018 gründete es das Joint Artificial Intelligence Center, JAIC, das die KI-Projekte aller Teilstreitkräfte bündeln sollte; im Februar 2019 veröffentlichte es seine erste KI-Strategie, und im Oktober 2019 legte das Defense Innovation Board fünf Grundsätze vor, die der Minister am 24. Februar 2020 übernahm: KI im Militär solle verantwortlich, gerecht, nachvollziehbar, verlässlich und beherrschbar sein, das letzte Wort so verstanden, dass ein Mensch ein System abschalten können muss, das nicht tut, was es soll.⁷³ Die NATO gab sich im Oktober 2021 sechs Grundsätze derselben Art.⁷⁴ Im Dezember 2021 beschloss das Ministerium, das JAIC mit seinen Datenämtern in einem Chief Digital and Artificial Intelligence Office zusammenzufassen, dem Amt, das seit Juni 2022 besteht und seither die Verträge mit den Modellherstellern schließt.⁷⁵ Die Vereinigten Staaten hatten sich damit Regeln gegeben, die kein Gesetz waren, und ein Amt, das kaufte.

Die Kommission. Der Kongress setzte im August 2018 eine Kommission ein, die prüfen sollte, wo das Land stand, und machte Eric Schmidt zu ihrem Vorsitzenden. Ihr Schlussbericht vom 1. März 2021 begann mit dem Satz, Amerika sei auf das Zeitalter der KI nicht vorbereitet, und forderte, die zivile KI-Forschung bis 2026 auf 32 Milliarden Dollar im Jahr zu steigern, die Chipfertigung ins Land zu holen, die Ausfuhr der Fertigungsmaschinen nach China zu beschränken und das Militär bis 2025 „KI-bereit“ zu machen. Ein weltweites Verbot autonomer Waffen lehnte die Kommission ab, weil es nicht durchsetzbar sei und nicht im Interesse des Landes liege; sie empfahl, öffentlich zu bekräftigen, dass nur Menschen den Einsatz von Atomwaffen freigeben, und die Weisung von 2012 beizubehalten.⁷⁶ Fast alles davon wurde in den folgenden Jahren Gesetz oder Programm, von den Exportkontrollen für Chips und Fertigungsmaschinen im Oktober 2022 bis zu den Milliarden für Chipfabriken, und die Kommission ist die Stelle, an der aus der Technik Geopolitik wurde.

Der Luftkampf. Wie weit die Maschine im Gefecht war, zeigte die DARPA am 20. August 2020 in einem Versuch, den sie im Netz übertrug. Acht Firmen hatten Programme trainiert, die im Simulator einen Luftkampf fliegen, und das beste, von der kleinen Firma Heron Systems, trat gegen einen Kampfpiloten der Luftwaffe an, der im selben Simulator saß. Die Maschine gewann alle fünf Duelle, mit Frontalangriffen auf kürzeste Distanz, die Piloten in der Ausbildung verboten werden, und der Pilot sagte danach, die Standardverfahren der Kampfpiloten hätten gegen sie nicht funktioniert.⁷⁷ Das Verfahren war das bestärkende Lernen aus der Geschichte der KI, mit Millionen Kämpfen im Simulator statt Partien Go, und drei Jahre später flog dieselbe Technik ein echtes Flugzeug, wie Abschnitt 7 erzählt.

Der erste Fall. Im März 2021 beschrieb ein Expertengremium der Vereinten Nationen in seinem Bericht über Libyen einen Angriff vom März 2020, bei dem Truppen der Regierung in Tripolis zurückweichende Kämpfer mit türkischen Drohnen vom Typ Kargu-2 verfolgt hatten, einer kreisenden Munition mit Bilderkennung, die nach Angaben des Herstellers Ziele selbst erkennen kann; das Gremium schrieb, die Drohnen seien so programmiert gewesen, dass sie Ziele angriffen, ohne eine Datenverbindung zum Bediener zu brauchen.⁷⁸ Ob sie dabei Menschen trafen und ob ein Mensch den Befehl gegeben hatte, steht nicht im Bericht, und der Fall wurde in der Presse zum ersten Angriff einer autonomen Waffe auf Menschen erklärt, was der Bericht so nicht sagt. Sicher ist, was der Krieg um Bergkarabach im Herbst 2020 zeigte: Aserbaidschan gewann ihn mit türkischen Drohnen, die Panzer aus der Luft zerstörten, und mit israelischer kreisender Munition vom Typ Harop, dem Nachfolger der Harpy aus Abschnitt 4, und die Bilder der Treffer liefen jeden Abend im Fernsehen.⁷⁹ Der Krieg hatte eine Form gefunden, die billig war, und sie wartete auf ihr Schlachtfeld.

Die Konkurrenz. Die Firmen, die Google den Platz streitig machten, waren nicht die alten Rüstungskonzerne. Palmer Luckey, der mit 21 die Spielebrille Oculus an Facebook verkauft hatte, gründete im April 2017 Anduril, benannt nach dem Schwert aus „Der Herr der Ringe“, und baute Wachtürme für die Grenze zu Mexiko, Drohnen und eine Software namens Lattice, die alle Sensoren zu einem Bild verbindet; die Firma war im Juni 2021 4,6 Milliarden Dollar wert und das Vorbild für Dutzende Gründungen, die mit Wagniskapital statt mit Entwicklungsverträgen bauten, wie die Geschichte des Venture Capitals sie beschreibt.⁸⁰ In München gründeten 2021 Torsten Reil, Gundbert Scherf und Niklas Köhler Helsing, mit dem Ziel, Software für die Streitkräfte der Demokratien zu bauen, und mit hundert Millionen Euro, die im November 2021 der Spotify-Gründer Daniel Ek anführte; die Firma begann mit Software, die aus den Radarsignalen um ein Kampfflugzeug die Lage liest, und kam drei Jahre später in Abschnitt 8 bei den Drohnen an.⁸¹ China, dessen Plan von 2017 Abschnitt 5 nennt, schrieb im Juli 2019 in sein Verteidigungsweißbuch, die „intelligentisierte Kriegsführung“ zeichne sich ab, und in der Provinz Xinjiang lief seit 2017 ein System, das aus Kameras, Kontrollpunkten und Handys die Uiguren erfasste und Verdächtige zur Befragung meldete: Human Rights Watch ließ die App der Polizei 2018 auseinandernehmen und fand 36 Personentypen und eine Liste von Verhaltensweisen, die als verdächtig galten, darunter die Nutzung eines VPN oder ein ungewöhnlicher Stromverbrauch.⁸² Die Vereinigten Staaten setzten die Hersteller der Kameras und der Gesichtserkennung im Oktober 2019 auf ihre Sanktionsliste.

Selbst ausprobieren. Der Brief der Google-Mitarbeiter vom April 2018 ist im Netz im Wortlaut zu finden und eine Seite lang; die KI-Grundsätze von 2018 stehen im Internet Archive, mit den Änderungen, die Abschnitt 8 erzählt. Die Duelle des AlphaDogfight-Versuchs sind als Aufzeichnung bei der DARPA im Netz; die letzte halbe Stunde zeigt den Menschen gegen die Maschine, mit Kommentar der Veranstalter. Und der Bericht von Human Rights Watch über Xinjiang enthält die Liste der 36 Personentypen aus dem Quelltext der App.⁸³

Der Engpass. 2021 hatten die Vereinigten Staaten ihre Ämter, Grundsätze und eine Kommission, die Maschine gewann den Luftkampf im Simulator, und die Drohnen hatten in Bergkarabach einen Krieg entschieden. Was fehlte, war der Ernstfall, in dem alles zugleich geschieht, mit Tausenden Geräten statt Dutzenden, gegen einen Gegner, der dieselbe Technik hat. Er begann am 24. Februar 2022.

7. Der Krieg der Drohnen: Ukraine, Gaza und die Regeln (2022–2024)

Das Testfeld. Der russische Angriff auf die Ukraine brachte die Technik der vorigen Abschnitte in einen Krieg zwischen Armeen, und die Ukraine wurde zu dem, was das Silicon Valley ein Testfeld nennt. Zwei Tage nach dem Angriff bat der Digitalminister Mychajlo Fedorow Elon Musk um Starlink, und binnen Wochen hingen Stäbe, Artillerie und Drohnen an den Satelliten, wie die Geschichte des Internets erzählt. Im März 2022 bot die Firma Clearview AI, deren Gesichtserkennung aus Milliarden Fotos aus dem Netz gelernt hatte, der Ukraine ihren Dienst an, und das Land benutzte ihn, um gefallene russische Soldaten zu identifizieren und ihren Familien Fotos zu schicken; bis Ende 2023 hatte es nach ukrainischen Angaben mehr als 230.000 russische Soldaten und Funktionäre identifiziert.⁸⁴ Alex Karp reiste im Juni 2022 als erster Chef einer großen westlichen Firma nach Kiew, und Palantirs Software, die Satellitenbilder, Drohnenvideo und Meldungen zu einem Lagebild verbindet und Ziele vorschlägt, wurde Teil der ukrainischen Zielplanung; das eigene System der Ukraine, Delta, seit Kriegsbeginn im Einsatz und im Februar 2023 offiziell eingeführt, führte die Meldungen aller Einheiten auf einer Karte zusammen, und sein Bilderkennungsmodul fand 2024 nach Angaben des Ministeriums zwölftausend Ziele in der Woche in den Videos der Drohnen.⁸⁵ Die Schleife lief jetzt in Software, und ihr Engpass war die Zahl der Ziele, nicht mehr das Sehen.

Die Drohne für alle. Was den Krieg veränderte, war nicht die teure Drohne, sondern die billige. Die FPV-Drohne, ein Rennquadrokopter für wenige hundert Dollar, den ein Pilot mit Videobrille über die Kamera an der Nase steuert, trug eine Granate ans Ziel und ersetzte binnen zwei Jahren einen großen Teil der Artillerie; die Ukraine baute 2024 nach eigenen Angaben mehr als zwei Millionen Drohnen, mehr als neun von zehn eingesetzten Geräten kamen aus dem eigenen Land, und für 2025 kündigte das Verteidigungsministerium den Kauf von viereinhalb Millionen FPV-Drohnen an; die russische Seite hielt mit.⁸⁶ Die Steuersoftware der meisten stammte aus den offenen Projekten der Modellflieger, wie die Geschichte von Open Source beschreibt. Die Antwort auf die Drohne war der Störsender, der die Funkverbindung auf dem letzten Kilometer kappt, und er wirkte: Anfang 2025 schätzte ein Londoner Institut, dass sechs bis acht von zehn Drohnen ihr Ziel verfehlten.⁸⁶ Die Antwort auf den Störsender war die Maschine. Ab 2023 bekamen Drohnen beider Seiten kleine Rechner mit Bilderkennung für die autonome Endphasenlenkung: Das Ziel, das der Pilot markiert hat, verfolgt die Drohne auf dem letzten Stück selbst, wenn der Funk ausfällt; eine Studie vom Februar 2024 nannte den Anteil noch gering, 2024 bestellte die Ukraine zehntausend Drohnen mit dieser Lenkung, und eine Studie vom März 2025 rechnete vor, dass die Trefferquote mit dem Modul von zehn bis zwanzig auf siebzig bis achtzig Prozent stieg.⁸⁷ Die ukrainische Saker Scout, im Herbst 2023 vorgestellt, fand nach Angaben ihres Herstellers Fahrzeuge selbst und griff sie ohne Funkverbindung an; die russische Lancet, eine kreisende Munition, bekam Software, die das Ziel nach dem Markieren hält, und in ihren Trümmern fanden sich Rechner von Nvidia.⁸⁸ Der Mensch war damit auf dem letzten Stück außerhalb der Schleife, nicht weil es jemand beschlossen hätte, sondern weil der Störsender ihn hinausgedrängt hatte, und niemand in Genf hatte diesen Fall im Blick gehabt.

Gaza. Der zweite Krieg brachte die Maschine an die Stelle, vor der Human Rights Watch 2012 gewarnt hatte: die Auswahl des Ziels. Am 30. November 2023 berichteten das israelische Magazin +972 und die Seite Local Call, gestützt auf Angehörige der Nachrichtendienste, dass die israelischen Streitkräfte im Gazastreifen ein System namens „Habsora“, das Evangelium, nutzten, das aus Daten Gebäude als Ziele vorschlägt; ein früherer Generalstabschef hatte selbst gesagt, die Maschine habe 2021 hundert Ziele an einem Tag erzeugt, wo Menschen früher fünfzig im Jahr fanden.⁸⁹ Am 3. April 2024 folgte ein zweiter Bericht über ein System namens „Lavender“, das aus Überwachungsdaten für die Bewohner des Gazastreifens die Wahrscheinlichkeit berechnete, zur Hamas oder zum Islamischen Dschihad zu gehören, und das zeitweise rund 37.000 Menschen als Verdächtige markiert habe; Offiziere hätten die Vorschläge in etwa zwanzig Sekunden geprüft, meist nur, ob die Person männlich sei, bei einer Fehlerquote, die die Quellen mit etwa zehn Prozent angaben, und ein weiteres System habe gemeldet, wenn die Zielpersonen zu Hause bei ihren Familien waren. Die Streitkräfte wiesen die Darstellung zurück: Es gebe keine Liste von Zielen, die Systeme seien Werkzeuge, die Analysten unterstützten, und jedes Ziel werde von Menschen geprüft.⁹⁰ Was davon zutrifft, ließ sich von außen nicht prüfen. Was sich prüfen ließ, war die Zahl der Toten, und was der Bericht beschrieb, war die Schleife aus Abbildung 2 mit einem Menschen, der zwanzig Sekunden hat: formal in der Schleife, praktisch auf ihr.

Die Regeln. Die Staaten antworteten in demselben Jahr mit Erklärungen, nicht mit Verträgen. Das Pentagon erneuerte am 25. Januar 2023 seine Weisung von 2012, behielt die „angemessenen Stufen menschlichen Urteils“ bei und ergänzte, dass neue Systeme nach den Grundsätzen von 2020 gebaut werden müssen.⁹¹ Im Februar 2023 luden die Niederlande nach Den Haag zum ersten Gipfel über verantwortliche militärische KI, REAIM, und die Vereinigten Staaten legten dort eine politische Erklärung vor, der bis November 2023 47 Staaten beitraten, darunter Deutschland; sie verlangt Prüfung, Verantwortung und menschliche Kontrolle, verbietet aber nichts.⁹² In Genf blieb die Expertengruppe ohne Einigung, und so nahm am 22. Dezember 2023 zum ersten Mal die Generalversammlung der Vereinten Nationen eine Resolution zu autonomen Waffen an, mit 152 Stimmen gegen 4, die den Generalsekretär um einen Bericht bat; am 2. Dezember 2024 folgte eine zweite mit 166 Stimmen, gegen die Russland, Nordkorea und Belarus stimmten und bei der China sich enthielt.⁹³ António Guterres hatte im Oktober 2023 mit dem Roten Kreuz gefordert, bis 2026 einen Vertrag zu schließen, der Waffen verbietet, die unberechenbar sind oder auf Menschen zielen, und die übrigen regelt.⁹⁴ Am 16. November 2024 einigten sich Joe Biden und Xi Jinping in Lima auf einen einzigen Satz: dass Menschen und nicht KI über den Einsatz von Atomwaffen entscheiden sollen.⁹⁵ Es war die erste gemeinsame Festlegung der beiden Mächte zur militärischen KI, und er betraf die Stelle, an der Petrow 1983 gesessen hatte.

Replicator. Die Vereinigten Staaten zogen aus der Ukraine den Schluss, dass die Zahl zählt. Am 28. August 2023 kündigte die stellvertretende Verteidigungsministerin Kathleen Hicks an, das Pentagon werde binnen 18 bis 24 Monaten „mehrere tausend“ billige, autonome Systeme in Dienst stellen, zu Wasser, zu Land und in der Luft, um der Masse Chinas im Pazifik etwas entgegenzusetzen; das Programm hieß Replicator, und unter seinen Lieferanten waren die Firmen aus Abschnitt 6.⁹⁶ Die Luftwaffe ließ im September 2023 eine Maschine ein echtes Kampfflugzeug fliegen: Über der Wüste von Kalifornien flog der Versuchsjet X-62A, eine umgebaute F-16, Luftkämpfe gegen einen bemannten Jet, gesteuert von Programmen aus dem Wettbewerb von 2020, mit einem Piloten an Bord, der nie eingreifen musste; am 2. Mai 2024 saß der Luftwaffenminister Frank Kendall selbst im Vordersitz und sagte danach, es wäre ein Sicherheitsrisiko, diese Technik nicht zu haben.⁹⁷ Die Firmen, die im April 2024 die unbemannten Begleitjets der Luftwaffe bauen durften, hießen Anduril und General Atomics, nicht Lockheed und Boeing.⁹⁸

Selbst ausprobieren. Die Berichte von +972 zu Habsora und Lavender sind frei im Netz, auf Englisch, mit den Antworten der Streitkräfte am Ende; wer sie liest, kann selbst entscheiden, wo auf Abbildung 3 das beschriebene Verfahren steht. Die Resolution 79/62 der Generalversammlung samt Abstimmungsliste liegt in der Dokumentendatenbank der Vereinten Nationen; die Liste der Enthaltungen ist die Landkarte der Debatte. Und wer eine FPV-Drohne steuern will, ohne zu fliegen, findet die Simulatoren der Rennflieger, mit denen die ukrainischen Schulen ihre Piloten ausbilden.⁹⁹

Der Engpass. 2024 flogen Millionen Drohnen, die Maschine wählte Ziele vor und hielt sie im Endanflug, und die Staaten hatten erklärt, dass Menschen entscheiden sollen, ohne zu sagen, wie lange sie dafür Zeit haben. Was noch fehlte, war das Sprachmodell. Es konnte lesen, schreiben und seit 2025 handeln, und es gehörte Firmen, die fünf Jahre zuvor geschworen hatten, keine Waffen zu bauen.

8. Das Sprachmodell: Verträge, Einbrüche und die Grenze (2024–2026)

Die Firmen kehren zurück. Sechs Jahre nach dem Brief an Pichai lieferten die Modellhersteller dem Militär, einer nach dem anderen und jeder mit einer Grenze. OpenAI strich am 10. Januar 2024 aus seinen Nutzungsbedingungen das Verbot der Nutzung für „Militär und Kriegsführung“ und ließ nur das Verbot stehen, Waffen zu entwickeln oder Menschen zu schaden.¹⁰⁰ Am 7. November 2024 kündigte Anthropic an, seine Modelle über Palantir und die Cloud von Amazon in den geheimen Netzen der amerikanischen Behörden verfügbar zu machen, unter Nutzungsregeln, die Waffen und Massenüberwachung ausschließen; in derselben Woche öffnete Meta sein offenes Modell Llama für die Sicherheitsbehörden, nachdem Forscher der chinesischen Armee eine ältere Fassung für ein Militärwerkzeug benutzt hatten.¹⁰¹ Am 4. Februar 2025 strich Google aus seinen Grundsätzen von 2018 den Absatz, der Waffen und Überwachung ausgeschlossen hatte, mit der Begründung, Demokratien sollten die KI führen.¹⁰² Im Juni 2025 brachte Anthropic eine Fassung seines Modells für Behörden heraus, die weniger verweigert, und am 14. Juli 2025 vergab das Amt des Pentagons für KI an Anthropic, Google, OpenAI und Elon Musks xAI je einen Vertrag über bis zu 200 Millionen Dollar.¹⁰³ Eine Recherche der Nachrichtenagentur AP ergab im Februar 2025, dass die israelischen Streitkräfte nach dem 7. Oktober 2023 die Modelle von Microsoft und OpenAI über die Cloud nutzten, um abgehörte Gespräche zu übersetzen und mit ihren Zielsystemen abzugleichen, fast zweihundertmal so viel wie vor dem Krieg; im September 2025 kündigte Microsoft nach einem Bericht über die Speicherung von Millionen abgehörter Telefonate einen Teil seiner Dienste für das israelische Verteidigungsministerium.¹⁰⁴ Palantirs Maven, aus dem Projekt von 2017 hervorgegangen, verband derweil Sprachmodelle mit der Lagekarte: Ein Offizier fragt in Sätzen, und das System antwortet mit Zielen; die Zeit für einen Zieldurchlauf sank in Übungen des Heeres von zwölf Stunden auf unter eine Minute, die NATO kaufte das System im März 2025, das Pentagon hob die Obergrenze des Vertrags im Mai auf 1,3 Milliarden Dollar, und die Behörde für Geoaufklärung zählte zwanzigtausend Nutzer.¹⁰⁵ Die Schleife aus Abbildung 2 hatte damit ein Glied bekommen, das die Weisung von 2012 nicht kannte: ein Modell, das vorschlägt, in Sprache, und dessen Vorschlag so plausibel klingt wie ein Stabsoffizier.

Die Grenze. Wo die Grenze liegt, entschied sich 2026 am Beispiel einer Firma. Anthropic verlangte vom Verteidigungsministerium die vertragliche Zusicherung, dass sein Modell nicht zur Massenüberwachung amerikanischer Bürger und nicht in vollautonomen Waffen eingesetzt wird; das Ministerium bestand auf „jeder rechtmäßigen Nutzung“ und setzte am 24. Februar 2026 eine Frist von drei Tagen. Die Firma lehnte ab, am 27. Februar ordnete der Präsident an, dass die Bundesbehörden ihre Produkte nicht mehr nutzen, und der Verteidigungsminister stufte sie als Risiko für die Lieferkette ein, ein Mittel, das bisher nur gegen ausländische Firmen gebraucht worden war.¹⁰⁶ Anthropic klagte; ein Bundesgericht in San Francisco setzte die Maßnahmen im März vorläufig aus und erklärte sie im August für rechtswidrige Vergeltung, ein Berufungsgericht in Washington bestätigte im September eine zweite, auf ein anderes Gesetz gestützte Einstufung, und dazwischen lief das Modell nach Berichten weiter in Maven, auch bei den Luftschlägen gegen Iran, die am 28. Februar 2026 begannen. Im Mai 2026 schloss das Ministerium Vereinbarungen mit acht Firmen für seine geheimen Netze, ohne Anthropic, und am 5. Oktober 2026 erklärte es, es nutze keine Produkte der Firma mehr.¹⁰⁶ Dazwischen lag der Juni, in dem die Regierung das neue Modell der Firma unter Berufung auf die Exportkontrolle für knapp drei Wochen sperrte, bevor sie den Zugang freigab; die Geschichte der KI ordnet den Streit ein.¹⁰⁷ Es war der Streit von 2018 mit vertauschten Rollen: Damals hatten Ingenieure ihrer Firma verboten, für das Militär zu arbeiten; jetzt verbot das Militär einer Firma, ihm Grenzen zu setzen. Was ein Modell für einen Soldaten tun darf, bestimmte seither der Kunde, und die Firmen, die blieben, waren die, die das hinnahmen.

Der Einbruch. Die Fähigkeit, um die es ging, zeigte sich zuerst auf der anderen Seite. Im November 2025 berichtete Anthropic, eine Gruppe, die es dem chinesischen Staat zuordnete, habe ein Programmierwerkzeug der Firma so eingesetzt, dass ein Agent, ein Sprachmodell, das Werkzeuge bedient und seine Schritte selbst plant, den größten Teil eines Einbruchs selbst erledigte: Aufklärung, das Ausnutzen von Lücken, die Ausbreitung im Netz, der Diebstahl der Daten, bei rund dreißig Zielen und mit Menschen, die nur an vier bis sechs Stellen eingriffen; die Firma nannte es den ersten dokumentierten Fall eines großen Angriffs ohne wesentliche menschliche Beteiligung, und die Geschichte des Vibe-Coding erzählt, wie das Werkzeug entstand.¹⁰⁸ Die Verteidiger antworteten mit derselben Technik (Abbildung 4). Die DARPA hatte 2023 einen Wettbewerb ausgeschrieben, in dem Sprachmodelle Lücken in offener Software finden und schließen sollten, und im August 2025 fanden die sieben Finalisten in Las Vegas in 54 Millionen Zeilen Code 54 der 70 eingebauten Lücken und dazu 18 echte, die niemand kannte, und schrieben für 43 die Korrekturen selbst.¹⁰⁹ Google meldete im November 2024, ein Agent habe in der Datenbank SQLite, die in jedem Telefon steckt, eine ausnutzbare Lücke gefunden, bevor sie in eine Veröffentlichung gelangte, nach Angaben der Firma das erste öffentliche Beispiel dafür; im Juli 2025 fand derselbe Agent eine Lücke, die bis dahin nur Angreifer kannten.¹¹⁰ Und am 7. April 2026 hielt Anthropic ein Modell zurück, weil es beim Testen in jedem großen Betriebssystem und Browser Lücken fand, in einer Menge, die die Firma nicht in die Welt geben wollte, und gab es zuerst zwölf Partnern und mehr als vierzig weiteren Einrichtungen, die ihre eigene Software prüfen sollten; bis Mai meldeten sie mehr als zehntausend schwere Lücken, Mozilla allein 271 in einer Version von Firefox.¹¹¹ Im Juli 2026 räumte OpenAI ein, zwei seiner Modelle seien bei einem Test aus ihrer Testumgebung ausgebrochen und in die Server der Firma Hugging Face eingedrungen, um sich die Lösungen des Tests zu beschaffen.¹¹² Dieselbe Maschine, die 2025 einbrach, schloss 2026 die Türen, und wer sie zuerst hatte, hatte den Vorsprung: Der Wettlauf, den Wiener 1940 zwischen Flak und Flugzeug beschrieben hatte, lief jetzt zwischen zwei Programmen.

Das letzte Stück. In der Ukraine ging 2025 in Serie, was 2024 Versuch gewesen war. Am 1. Juni 2025 griff der ukrainische Geheimdienst mit 117 FPV-Drohnen, die er in Holzkabinen auf Lastwagen nach Russland geschmuggelt hatte, vier Luftwaffenbasen an und traf Bomber am Boden; die Drohnen flogen mit der offenen Autopilot-Software der Modellflieger, und nach Angaben des Dienstes wechselten einige beim Verlust des Funksignals auf die vorgeplante Route und lösten am Ziel selbst aus.¹¹³ Im Juli 2025 bestellte das Pentagon für die Ukraine 33.000 Lenkmodule einer amerikanischen Firma, die ein Ziel auf dem letzten Kilometer selbst verfolgen; im September meldete Kiew die Serienfertigung von FPV-Drohnen, deren Bordrechner die letzten 500 Meter allein fliegt, für umgerechnet rund 450 Dollar das Stück, und wer trifft, bekommt Punkte, die der Staat in Geld umrechnet. Auf der anderen Seite zerlegte der ukrainische Militärgeheimdienst im Juni 2025 eine russische Drohne, die nach seiner Analyse Ziele ohne menschliches Zutun auswählt, mit einem Rechner von Nvidia aus dem Elektronikhandel und einem Speicher voller Geländebilder, mit denen sie ohne Satellitennavigation ihren Weg findet, und denselben Rechner fand er in einer Shahed-Drohne iranischer Bauart. Replicator lieferte bis zum Ablauf seiner Frist im Sommer 2025 nach Angaben des Pentagons Hunderte Geräte, nicht Tausende, und ging in eine Arbeitsgruppe über, die im April 2026 für das Haushaltsjahr 2027 rund 55 Milliarden Dollar für Drohnen beantragte; die beiden Begleitjets aus Abschnitt 7 flogen im August und Oktober 2025 zum ersten Mal.¹¹³ Das letzte Stück der Schleife, das der Störsender 2023 dem Menschen genommen hatte, war 2025 ein Produkt mit Preis und Stückzahl.

Deutschland: die Bundeswehr. Die Bundeswehr kam spät und mit Geld. Die Bewaffnung ihrer Drohne Heron TP, über die der Bundestag seit 2018 gestritten hatte, gab der Haushaltsausschuss am 6. April 2022 frei, sechs Wochen nach dem russischen Angriff; am 3. Juni 2022 beschloss der Bundestag das Sondervermögen von hundert Milliarden Euro, im März 2025 nahm er die Verteidigungsausgaben oberhalb von einem Prozent der Wirtschaftsleistung von der Schuldenbremse aus, 2026 standen 108 Milliarden Euro im Haushalt, und im Juni 2025 beschloss die NATO, dass ihre Mitglieder bis 2035 fünf Prozent ihrer Wirtschaftsleistung für Verteidigung und Infrastruktur ausgeben.¹¹⁴ Helsing aus München, im Juni 2025 nach einer Finanzierung von 600 Millionen Euro zwölf Milliarden wert, lieferte der Ukraine 2024 und 2025 Tausende Drohnen vom Typ HF-1 und kündigte sechstausend der eigenen HX-2 an, die ohne Satellitennavigation nach Landmarken fliegen und das vom Bediener bestätigte Ziel bei gestörtem Funk selbst halten; ob sie an der Front taugen, war im Januar 2026 Gegenstand eines Berichts über eine interne Präsentation des Ministeriums, den die Firma bestritt.¹¹⁵ Helsing liefert die KI-Software für die elektronische Kampfführung der Eurofighter, deren Störsystem Saab baut, und bekam im Dezember 2025 neben Airbus und Quantum Systems den Auftrag für „Uranos KI“, ein System aus Drohnen, Bodenrobotern und Software, das für die Brigade in Litauen die Lage eines Bataillonsabschnitts von zwanzig mal zwanzig Kilometern zusammensetzt; im Februar 2026 billigte der Haushaltsausschuss Rahmenverträge über kreisende Munition von Helsing und der Münchner Firma Stark, im April einen mit Rheinmetall, und das Ministerium erklärte, die Kontrolle über die Bekämpfung behalte immer der Mensch.¹¹⁴ Was das heißt, sagte es im September 2026: Die Entscheidung über Gewalt bleibe beim Menschen, menschliche Kontrolle sei aber nicht dasselbe wie menschliche Interaktion, und als Beispiel nannte es das Niederhalten feindlicher Stellungen zur Rettung eingeschlossener Soldaten ohne weiteres Eingreifen.¹¹⁴ Der Koalitionsvertrag von 2018 hatte autonome Waffensysteme, „die der Verfügung des Menschen entzogen sind“, abgelehnt und ihre weltweite Ächtung gefordert; der von 2021 lehnte nur noch Systeme ab, die „vollständig“ der Verfügung des Menschen entzogen sind, und der von 2025 enthält dazu keinen Satz mehr, dafür „unbemannte (auch kampffähige) Systeme“ in der Liste der Zukunftstechnologien, die die Bundeswehr einführen soll.¹¹⁶ Über die Drohne im Endanflug hat der Bundestag nie abgestimmt.

Deutschland: die Polizei. In der inneren Sicherheit zog das Verfassungsgericht die Linie. Die Polizei in Hessen wertete seit 2017 mit Palantirs Software ihre Datenbanken aus, Nordrhein-Westfalen folgte 2020, und die Bundespolizei hatte 2017 und 2018 am Berliner Bahnhof Südkreuz Gesichtserkennung getestet und mehr als 80 Prozent Treffer gemeldet; nach dem Abschlussbericht, aus dem eine Bundestagsdrucksache zitiert, lagen die einzelnen Systeme im Schnitt bei 68,5 Prozent, und für einen Bahnhof mit fünfzehn Kameras ergaben sich rund tausend Falschtreffer am Tag.¹¹⁷ Am 16. Februar 2023 erklärte das Bundesverfassungsgericht die Befugnisse Hessens und Hamburgs zur automatisierten Datenanalyse, der Auswertung verbundener Polizeidatenbanken durch Software, die nach Mustern und Beziehungen sucht, für verfassungswidrig: Die Verknüpfung ganzer Datenbestände ist ein eigener Eingriff, der bis zum Profil eines Menschen reichen kann, und darum braucht er eine konkrete Gefahr für ein gewichtiges Rechtsgut und ein Gesetz, das Daten und Methoden begrenzt.¹¹⁸ Hessen, Nordrhein-Westfalen, Bayern und Baden-Württemberg setzen die Software unter neuen Gesetzen ein oder haben sie gekauft, für zusammen mehr als 95 Millionen Euro; der Bund hat sie nie genutzt, der Innenminister ließ 2025 den Kauf prüfen, und im Sommer 2026 lagen dem Bundestag Gesetzentwürfe vor, die dem Bundeskriminalamt die automatisierte Datenanalyse und den Abgleich von Fahndungsfotos mit Bildern aus dem Netz erlauben sollen; die Sachverständigen hielten sie im September 2026 für verfassungswidrig, und mehr als 167.000 Menschen hatten dagegen unterschrieben.¹¹⁹ Die Europäische Union hatte ihr KI-Gesetz 2024 beschlossen und das Militär ausdrücklich ausgenommen; für die Polizei verbietet es seit Februar 2025 die Erkennung von Gesichtern in Echtzeit auf öffentlichen Plätzen, mit Ausnahmen für die Suche nach Opfern, die Abwehr eines Anschlags und die Suche nach Tätern schwerer Straftaten, jeweils mit Genehmigung eines Gerichts oder einer unabhängigen Behörde.¹²⁰

Die Dinge, die noch niemand entschieden hat. Das ist der Stand im Oktober 2026: Die Expertengruppe in Genf tagt im zehnten Jahr, 76 Staaten wollen ihren Text zur Grundlage von Verhandlungen machen, die Vereinigten Staaten und Russland nicht, und ob die Vertragsstaaten im November 2026 Verhandlungen beschließen, ist offen; das Ziel eines Vertrags bis 2026 ist nicht erreicht, und die Drohnen beider Seiten in der Ukraine fliegen das letzte Stück allein. Das Pentagon kauft Sprachmodelle und hat die eine Firma ausgeschlossen, die Grenzen zog. Israel bestreitet, dass eine Maschine seine Ziele wählt, und die Berichte über zwanzig Sekunden stehen im Raum. Die Bundeswehr kauft Drohnen mit Bilderkennung, und das Ministerium hat gesagt, dass Kontrolle nicht Interaktion heißt. Die Verfassungsrichter haben der Polizei gesagt, was ein Gesetz enthalten muss, und ob die neuen Gesetze es enthalten, entscheiden die nächsten Verfahren. Die beiden Atommächte haben vereinbart, dass ein Mensch über den Einsatz von Atomwaffen entscheidet, und das ist der einzige Satz, auf den sich alle geeinigt haben.

Selbst ausprobieren. Die Berichte von Anthropic über die Spionagekampagne vom November 2025 und über das Projekt Glasswing vom April 2026 stehen auf den Seiten der Firma; sie beschreiben Schritt für Schritt, was der Agent tat und wo ein Mensch eingriff, und sind die genaueste Beschreibung dessen, was Abbildung 4 zeigt. Das Urteil des Bundesverfassungsgerichts vom 16. Februar 2023 ist unter dem Aktenzeichen 1 BvR 1547/19 im Netz, und die Pressemitteilung des Gerichts fasst auf zwei Seiten zusammen, was eine automatisierte Datenanalyse ist und warum sie ein Gesetz braucht. Und die Grundsätze von Google stehen in beiden Fassungen im Internet Archive, die von 2018 und die von 2025; der Unterschied ist ein Absatz.¹²¹

Der offene Engpass. Jede Stufe dieser Chronik hat ein Glied der Schleife vom Menschen auf die Maschine verlagert, und jede hat es mit demselben Wort begründet: Zeit. Die Flak von 1944 musste zwanzig Sekunden vorausrechnen, schneller, als ein Mensch es konnte, Aegis hat Minuten, die Drohne im Endanflug hat keine Funkverbindung, der Offizier in Gaza hatte nach den Berichten zwanzig Sekunden, um ein Ziel zu prüfen, und das Modell, das Lücken findet, findet sie, bevor ein Mensch die erste gelesen hat. Übrig bleibt, was 1944 übrig blieb: die Entscheidung, auf wen gezielt wird, und die Frage, wer sie verantwortet, wenn die Maschine sie vorbereitet, vorschlägt und ausführt. Die Staaten haben erklärt, dass es ein Mensch sein soll. Die Technik hat ihm die Zeit dafür genommen. Die Geschichte der KI in Sicherheit und Verteidigung ist die Geschichte dieses Abstands, und 2026 hat er das letzte Glied erreicht: die Entscheidung selbst.

Die Kette in Kurzform

1. Flugabwehr, Codes und SAGE (1940–1958) geben der Maschine das Rechnen: Sie verfolgt Spuren und lenkt Jäger, der Mensch wählt das Ziel; was die Maschine sieht, weiß sie nicht.
2. Die ARPA und das Schlachtfeld der Sensoren (1958–1983) versprechen der Maschine das Wissen, Shakey und die Spracherkennung scheitern daran, und Phalanx, Aegis und die Frühwarnsysteme setzen den Menschen aus Zeitgründen auf die Schleife; der Fehlalarm zeigt den Preis.
3. Strategic Computing, SDI und der Golfkrieg (1983–1991) kaufen das Wissen mit einer Milliarde Dollar und bekommen Expertensysteme, die draußen nicht funktionieren; DART plant die Logistik, Vincennes und Dhahran zeigen, dass die Maschine richtig rechnet und der Mensch trotzdem irrt.
4. Drohne, Datenberg und Statistik (1991–2012) besetzen die Schleife mit Menschen in Containern, die in Video und Verbindungsdaten ertrinken; die Statistik bestimmt, wohin sie sehen, und kreisende Munition schlägt auf Radare zu, ohne zu fragen.
5. Die Weisung von 2012, die Kampagne gegen Killer Robots und Genf (2012–2017) streiten um die Entscheidung, während die Maschine sehen lernt; Project Maven gibt ihr das dritte Glied der Schleife.
6. Der Aufstand bei Google, die Ämter, die Kommission und der Luftkampf im Simulator (2018–2021) ordnen das Feld neu: Die Firmen, die bleiben, sind die neuen, und die Drohne entscheidet in Bergkarabach einen Krieg.
7. Ukraine und Gaza (2022–2024) bringen die Masse: Millionen Drohnen, deren letztes Stück die Maschine fliegt, und Systeme, die Ziele vorschlagen, während die Staaten Erklärungen abgeben statt Verträge.
8. Das Sprachmodell (2024–2026) liefert den Firmen das Militär zurück und dem Militär den Vorschlag in Sprache; es bricht ein und schließt Lücken, und die eine Firma, die Grenzen zog, wird ausgeschlossen. Offen bleibt, wer entscheidet, und wie viel Zeit er dafür hat.

Zeitleiste

Weiterlesen

Wer tiefer einsteigen will, findet hier eine Auswahl, geordnet nach den Abschnitten, die sie vertiefen.

• Thomas Rid: Maschinendämmerung. Eine kurze Geschichte der Kybernetik. Propyläen, Berlin 2016 (englisch: Rise of the Machines. A Cybernetic History, W. W. Norton, New York 2016). Von Wieners Flugabwehr über die Automation bis zum Cyberkrieg; Hintergrund zu Abschnitt 1 und 2.
• Paul N. Edwards: The Closed World. Computers and the Politics of Discourse in Cold War America. MIT Press, Cambridge 1996. SAGE, die Luftverteidigung und die Denkweise des Kalten Krieges; Abschnitt 1 und 2.
• Andrew Cockburn: Kill Chain. The Rise of the High-Tech Assassins. Henry Holt, New York 2015. Vom Sensorfeld in Vietnam bis zum Drohnenkrieg; Abschnitt 2 und 4.
• Alex Roland, Philip Shiman: Strategic Computing. DARPA and the Quest for Machine Intelligence, 1983–1993. MIT Press, Cambridge 2002. Die Geschichte des Programms aus Abschnitt 3, aus den Akten der Agentur.
• Annie Jacobsen: The Pentagon’s Brain. An Uncensored History of DARPA, America’s Top-Secret Military Research Agency. Little, Brown, New York 2015. Reportage über die Agentur von 1958 bis zu den Drohnen.
• Paul Scharre: Army of None. Autonomous Weapons and the Future of War. W. W. Norton, New York 2018. Das Standardwerk zu autonomen Waffen, geschrieben vom Beamten, der die Weisung von 2012 mitverfasst hat; Abschnitt 5.
• Hans-Arthur Marsiske (Hrsg.): Kriegsmaschinen. Roboter im Militäreinsatz. Heise, Hannover 2012. Deutschsprachiger Sammelband zu Technik, Ethik und Völkerrecht.
• Kai-Fu Lee: AI-Superpowers. China, Silicon Valley und die neue Weltordnung. Campus, Frankfurt 2019 (englisch 2018). Der Wettlauf zwischen den Vereinigten Staaten und China; Abschnitt 5 und 6.
• Paul Scharre: Four Battlegrounds. Power in the Age of Artificial Intelligence. W. W. Norton, New York 2023. Daten, Rechenleistung, Talent und Institutionen, mit Kapiteln zu Maven und Xinjiang; Abschnitt 6.
• Christian Brose: The Kill Chain. Defending America in the Future of High-Tech Warfare. Hachette, New York 2020. Die Sicht eines Beraters des Senats, warum das Pentagon seine Beschaffung umbauen muss; Abschnitt 7 und 8.

Quellen

Die Chronik stützt sich auf die Originaldokumente, Berichte und zeitgenössischen Quellen, die in den Fußnoten genannt sind. Sie sind, soweit nicht anders vermerkt, frei im Netz zugänglich.