USA weist zivile Behörden an, DeepSeek zu entfernen, und weitet das Verbot auf externe Anbieter aus

DeepSeek-Verbot reicht über den Chatbot hinaus

Das US-Heimatschutzministerium hat zivile Bundesbehörden angewiesen, DeepSeek-Technologie aus ihren Informationssystemen zu entfernen und keine damit entwickelten Produkte und Dienstleistungen mehr zu beschaffen. Damit weitet Washington die Beschränkungen für das chinesische KI-Unternehmen auf Software aus, die von externen Auftragnehmern bereitgestellt wird.

In einem am 19. Oktober 2026 beim Federal Register eingereichten Hinweis bezeichnete das Heimatschutzministerium DeepSeek-Modelle als Quelle „mehrerer Bedrohungsvektoren“. Das Ministerium warnte, dass die Nutzung durch Beschäftigte oder Anbieter der Regierung sensible Informationen nach China übermitteln, verwertbare Erkenntnisse über Amerikaner oder Bundesbehörden liefern und Systeme Malware oder anderen Sicherheitslücken aussetzen könnte.

Die Beschränkung geht über das Herunterladen der DeepSeek-App oder den Besuch der Website hinaus. Sie umfasst DeepSeek und verbundene Produkte sowie Produkte und Dienstleistungen anderer Unternehmen, die mit DeepSeek-Implementierungen entwickelt wurden. Zu den betroffenen zivilen Behörden gehören etwa die Umweltbehörde EPA, das Finanzministerium und die Steuerbehörde IRS.

Die Anordnung wurde Berichten zufolge am 24. Juli unterzeichnet, also vor ihrer öffentlichen Bekanntgabe im Oktober. Eine gemeldete Frist von 60 Tagen für Ausnahmegenehmigungen wäre demnach um den 22. September abgelaufen. Das bringt staatliche Lieferanten unmittelbar in Zugzwang. Zugleich lässt die weit gefasste Formulierung offen, welche Software sie genau entfernen müssen.

Was Behörden laut Heimatschutzministerium entfernen müssen

Das Heimatschutzministerium weist zivile Behörden an, vorhandene DeepSeek-Technologie auszuschließen und keine erfassten Produkte und Dienstleistungen mehr zu beschaffen. Aufgrund der Beschaffungsbeschränkung kann eine Behörde ein direktes DeepSeek-Abonnement nicht einfach durch den Dienst eines anderen Unternehmens ersetzen, wenn dieser dasselbe zugrunde liegende Modell bereitstellt.

Ein KI-Modell ist ein Softwaresystem, das Antworten erzeugt, Code schreibt oder andere Aufgaben erledigt. Ein Unternehmen kann eine eigene Benutzeroberfläche um das Modell eines anderen Entwicklers legen. Der Name im Softwarevertrag mit einer Behörde muss daher nicht dem Namen der Technologie entsprechen, die die Arbeit tatsächlich ausführt.

Für Beschaffungsteams ist die praktische Aufgabe deshalb umfangreicher, als lediglich eine Liste installierter Apps zu durchsuchen. Behörden müssen wissen, welche Modelle ihre Anbieter einsetzen, auch über Cloud-Dienste und Unterauftragnehmer. In einem im Juli herausgegebenen Memo empfahl das Heimatschutzministerium Behörden außerdem, den Datenverkehr zu und von Regierungswebsites auf mögliche DeepSeek-Risiken zu überwachen.

Die Anordnung für zivile Behörden gilt neben gesonderten Regeln für Verteidigungs- und Nachrichtendienstsysteme. Bestimmte Systeme der nationalen Sicherheit unterliegen anderen Rechtsgrundlagen. Für Pentagon-Netzwerke und Angehörige des Militärs gelten bereits Beschränkungen für DeepSeek.

Warum die Regierung ein Sicherheitsrisiko sieht

Das Heimatschutzministerium nennt mehrere Risiken, die durch den Einsatz von DeepSeek in der Regierung entstehen könnten. Sensible Angaben, die Beschäftigte oder Anbieter eingeben, könnten nach China gelangen. Informationen aus zahlreichen Interaktionen könnten zudem ein aussagekräftiges Bild einer Behörde, ihrer Beschäftigten oder ihrer Abläufe liefern.

Die Bedenken des Ministeriums betreffen auch die Softwaresicherheit. In dem Hinweis heißt es, DeepSeek-Modelle könnten „Malware oder andere Sicherheitslücken enthalten“. Nutzt eine Behörde KI zur Dokumentenverarbeitung oder als Unterstützung bei Computeraufgaben, kann eine Schwachstelle Folgen haben, die über die angezeigte Antwort in einem Chatfenster hinausgehen.

Sicherheitsprüfungen der mobilen DeepSeek-Apps haben konkretere Bedenken aufgeworfen. Eine Bewertung vom Dezember 2025 beschrieb unverschlüsselt übertragene Informationen, Verbindungen zu Servern chinesischer Technologieunternehmen und das Fehlen von SSL-Pinning. Bei einer unverschlüsselten Übertragung werden Informationen auf dem Übertragungsweg nicht verschlüsselt. SSL-Pinning ist eine zusätzliche Prüfung, mit der eine App sicherstellen kann, dass sie mit dem vorgesehenen Server kommuniziert.

Auch das Verhalten der Modelle birgt Risiken. Tests des National Institute of Standards and Technology ergaben, dass Agenten auf Basis von DeepSeek R1-0528 eingeschleusten schädlichen Anweisungen etwa zwölfmal so häufig folgten wie Agenten mit GPT-5 und Claude Opus 4. Bei dieser als Prompt Injection bezeichneten Angriffsart werden Anweisungen in Material versteckt, das ein KI-System liest. Damit soll es von seiner eigentlichen Aufgabe abgebracht werden.

Die schwierige Frage nach Software von Drittanbietern

Die Formulierung, die Produkte erfasst, die „mit DeepSeek-Implementierungen entwickelt wurden“, sorgt in der Praxis für die größte Unsicherheit. Sie könnte einen Dienst betreffen, der aktiv Anfragen an DeepSeek sendet, ein Modell, das auf Grundlage der DeepSeek-Technologie angepasst wurde, oder Software, bei deren Entwicklung DeepSeek zum Schreiben oder Testen von Code verwendet wurde. Das Heimatschutzministerium hat diese Grenzen in den Berichten über die Anordnung bislang nicht öffentlich präzisiert.

Katie Moussouris, Gründerin und Geschäftsführerin des Cybersicherheitsunternehmens Luta Security, sagte, die direkten Beschränkungen seien leichter umzusetzen als die Bestimmung zu Produkten von Drittanbietern:

DeepSeeks eigene App und API zu verbieten, ist umsetzbar. Das Problem ist das Verbot von ‚Produkten und Dienstleistungen Dritter, die mit DeepSeek-Implementierungen entwickelt wurden‘.

Eine API, kurz für Programmierschnittstelle, ermöglicht es einem Softwaresystem, Dienste eines anderen anzufordern. Eine API-Verbindung zu blockieren, ist ein konkreter technischer Schritt. Herauszufinden, welchen Programmierassistenten ein Anbieter Monate zuvor verwendet hat, erfordert eine andere Art von Dokumentation, die möglicherweise nie geführt wurde.

Moussouris sagte, ein KI-Stücklistenverzeichnis, also eine Art Bestandsverzeichnis der KI-Komponenten eines Produkts, würde nicht jedes bei der Entwicklung verwendete Werkzeug erfassen. Sie beschrieb das Prüfproblem unmissverständlich:

Jeder Anbieter müsste bestätigen, dass nichts, worauf er angewiesen ist, jemals mit DeepSeek in Berührung gekommen ist. Das lässt sich praktisch nicht überprüfen.

Cloud-Routing kann DeepSeek schwerer erkennbar machen

Dienste wie OpenRouter und Vercel AI Gateway ermöglichen es Kunden, über eine gemeinsame Verbindung auf mehrere KI-Anbieter zuzugreifen. Je nach Modell und Routing-Einstellungen kann eine Anfrage an einen Anbieter weitergeleitet werden, ohne dass die beschäftigte Person jedes Mal neu entscheiden muss.

Ein staatlicher Lieferant muss daher neben den Verträgen auch die Konfigurationseinstellungen prüfen. Die ausdrückliche Auswahl eines zulässigen Modells, die Kontrolle von Ausweichoptionen und die Prüfung von Dienstprotokollen können dabei helfen festzustellen, ob ein Produkt über einen Vermittler auf DeepSeek zugreift.

DeepSeek veröffentlicht außerdem Modelle mit offenen Gewichten. Die Gewichte sind die numerischen Dateien, in denen das während des Trainings Gelernte eines Modells gespeichert ist. Andere Unternehmen können diese Dateien herunterladen und das Modell auf eigenen Rechnern oder über einen US-Cloud-Anbieter ausführen, statt Anfragen an die DeepSeek-Server zu senden.

Moussouris zufolge ist der Standort des Hostings wichtig, wenn die von der Regierung genannten Bedenken bewertet werden:

Bei den Risiken, auf die sich die Anordnung bezieht, geht es vor allem darum, dass Daten an DeepSeek-Server in China übertragen werden, um dessen Datenerhebung und um die App. Hosting in den USA vermeidet die meisten dieser Risiken.

Die weit gefasste Formulierung der Anordnung sorgt dennoch für Compliance-Fragen bei Behörden, die solche Lösungen erwägen. Wenn ein Modell in den USA betrieben wird, ändert sich der Ort der Datenverarbeitung. Die Beschränkung betrifft jedoch auch den Ursprung der Technologie und ihre Verwendung in anderen Produkten.

Wie sich die Beschränkungen entwickelt haben

Maßnahmen des Bundes gegen DeepSeek gab es schon lange vor dem jüngsten Hinweis für zivile Behörden. Verteidigungsorganisationen, einzelne Behörden und Bundesstaaten erließen eigene Beschränkungen, als die Modelle des Unternehmens immer mehr Nutzer fanden.

• Januar 2025: Die Defense Information Systems Agency begann, DeepSeek in Pentagon-Netzwerken zu blockieren. Im selben Monat sorgte auch DeepSeeks günstiger KI-Assistent weltweit für Aufmerksamkeit.
• 6. Februar 2025: Die Abgeordneten Darin LaHood und Josh Gottheimer brachten den Gesetzentwurf No DeepSeek on Government Devices Act ein. Er kam nicht über den Ausschuss hinaus.
• Im Laufe des Jahres 2025: Das Handelsministerium beschränkte DeepSeek auf Regierungsgeräten, und die Marine wies ihre Angehörigen an, den Dienst nicht zu nutzen. Auch die NASA, das US-Repräsentantenhaus und Bundesstaaten wie New York, Tennessee und Virginia ergriffen Maßnahmen.
• Juli 2026: Das Heimatschutzministerium empfahl Behörden, den Website-Datenverkehr auf DeepSeek-Risiken zu überwachen. Die umfassendere Anordnung zur Entfernung wurde Berichten zufolge am 24. Juli unterzeichnet.
• 17. Oktober 2026: DeepSeek veröffentlichte V4.1-Flash-1017, sein neuestes Modell.
• 19. Oktober 2026: Das Heimatschutzministerium machte die Beschränkung für zivile Behörden mit einem Hinweis im Federal Register öffentlich bekannt.

Die Prüfung durch den Bund erstreckte sich auch auf Vorwürfe, chinesische KI-Entwickler hätten mithilfe von Destillationsangriffen führende US-Modelle angegriffen. Bei der Destillation wird ein Modell mit den Antworten eines anderen Modells trainiert. Die Bedenken der USA richten sich neben den gesonderten Sicherheitsrisiken, die der Anordnung zur Entfernung zugrunde liegen, gegen die mutmaßlich unbefugte Übernahme von Fähigkeiten aus proprietären Systemen.

Niedrige Preise erklären DeepSeeks Erfolg

DeepSeek war vor allem wegen seiner leistungsfähigen Modelle, der herunterladbaren Gewichte und der vergleichsweise niedrigen Preise attraktiv. Dadurch wurde das Unternehmen zu einer wettbewerbsfähigen Option für Organisationen, die KI nutzen wollten, ohne sich vollständig auf die größten US-Anbieter zu verlassen.

Die Veröffentlichung vom 17. Oktober verschärfte den Wettbewerb. Das KI-Bewertungsunternehmen Artificial Analysis bewertete V4.1-Flash-1017 mit 45 Punkten, gegenüber 39 für das Vorgängermodell. Gleichzeitig sanken die durchschnittlichen Bewertungskosten von 0,49 auf 0,26 Dollar pro Aufgabe. Das entspricht einem Rückgang von rund 47 Prozent, berechnet aus den beiden Werten.

Laut den eigenen Leistungstabellen von DeepSeek stieg die Punktzahl des neuen Modells im Softwareentwicklungstest DeepSWE v1.1 von 74,2 auf 77,0. Im Test Terminal-Bench 4.0 erhöhte sie sich von 31,2 auf 42,3. Diese Tests untersuchen bestimmte Aufgaben und liefern potenziellen Nutzern Vergleichswerte, die sie neben Sicherheit, Zuverlässigkeit und Betriebskosten berücksichtigen können.

DeepSeek gab seine API-Preise während der Spitzenzeiten mit 0,30 Dollar je Million Eingabetoken und 1,20 Dollar je Million Ausgabetoken an. Außerhalb dieser Zeiten halbierten sich die Preise. Token sind kleine Texteinheiten, mit denen KI-Unternehmen messen, wie viele Informationen ein Modell erhält und erzeugt.

Der Durchbruch von DeepSeek im Januar 2025 hatte bereits gezeigt, wie stark günstigere KI die Märkte beeinflussen kann. Die Verluste bei Halbleiter-, Energie- und Infrastrukturunternehmen überstiegen eine Billion Dollar an Börsenwert. Nvidia verlor rund 17 Prozent und damit fast 593 Milliarden Dollar. Für ein einzelnes Unternehmen war das damals der größte Tagesverlust überhaupt.

Staatliche Lieferanten müssen mehrere Regelwerke beachten

Unternehmen, die zivile Behörden beliefern, müssen ihre Produkte nun auf Vereinbarkeit mit der Beschränkung des Heimatschutzministeriums prüfen. Für Rüstungsunternehmen gilt eine weitere Ebene: Paragraf 1532 des Verteidigungshaushaltsgesetzes für das Haushaltsjahr 2026 erfasst DeepSeek und dessen Muttergesellschaft High-Flyer.

Auch die Bundesklausel für die Auftragsvergabe FAR 52.204-30 begründet für die ihr unterliegenden Auftragnehmer Compliance-Pflichten. Berichten zufolge müssen sie mindestens alle drei Monate prüfen, ob einschlägige Anordnungen zur Lieferkette gelten, festgestellte erfasste Technologien innerhalb von drei Werktagen melden und innerhalb weiterer zehn Werktage Angaben zu Abhilfemaßnahmen vorlegen. Die Pflichten eines Lieferanten richten sich nach seinem Vertrag und der jeweils geltenden Anordnung.

Für Unternehmen, die sowohl kommerzielle als auch staatliche Dienstleistungen anbieten, geht es zunächst um eine klare Trennung. Die Beschränkung für zivile Behörden betrifft Bundessysteme und Beschaffungen. Anbieter, die DeepSeek anderweitig einsetzen, müssen feststellen, ob gemeinsam genutzte Infrastruktur, Unterauftragnehmer oder Entwicklungsprozesse die Technologie in ihre Arbeit für die Regierung einbringen.

Weitere Beschränkungen werden erwogen. Vorgeschlagene Bestimmungen für das Verteidigungsgesetz des Haushaltsjahres 2027 würden die Grenzen auf zehn weitere chinesische KI-Unternehmen und abgeleitete Modelle ausweiten. Diese Vorschläge sind von den bereits geltenden Beschränkungen zu unterscheiden, geben Lieferanten aber einen weiteren Grund, die in ihren Produkten verwendeten Basismodelle nachzuverfolgen.

FCC plant weitere Maßnahme gegen chinesische Technologie

Die Federal Communications Commission hat für den 29. Oktober eine Abstimmung über einen gesonderten Vorschlag zu Laboren angesetzt, die elektronische Geräte für den US-Markt prüfen. Demnach sollen chinesische und andere ausländische Labore in Ländern ausgeschlossen werden, die US-Prüflaboren keine gleichwertige Behandlung gewähren.

Die FCC hatte 2025 bereits Laboren, die der chinesischen Regierung gehören oder von ihr kontrolliert werden, verboten, US-Elektronik zu prüfen. Die Behörde erklärte, zahlreiche Labore in China führten diese Arbeit weiterhin aus. Das habe den umfassenderen Vorschlag veranlasst.

FCC-Chef Brendan Carr sagte, 82 Prozent der Elektronik würden in China geprüft, gegenüber weniger als 4 Prozent in US-Laboren. Demnach war Chinas Anteil mehr als 20-mal so hoch wie der der USA. Prüflabore bewerten, ob Geräte die technischen Anforderungen erfüllen, bevor sie auf den Markt kommen. Ihre Freigabe ist daher für Hersteller von erheblicher Bedeutung.

Die Abstimmung am 29. Oktober ist die nächste geplante Entscheidung. Die DeepSeek-Anordnung und der Vorschlag zu Prüflaboren betreffen unterschiedliche Technologien. Beide weiten die Prüfung durch die USA jedoch über das fertige Produkt hinaus auf die dahinterstehenden Unternehmen und Dienstleistungen aus. Für Behörden und Lieferanten wird es immer wichtiger zu wissen, wer die zugrunde liegende Technologie bereitstellt.

Die wichtigsten Punkte

• Das Heimatschutzministerium hat zivile Bundesbehörden angewiesen, DeepSeek-Produkte und erfasste Dienstleistungen anderer Unternehmen zu entfernen.
• Der öffentliche Hinweis vom 19. Oktober 2026 machte eine Beschränkung bekannt, die Berichten zufolge am 24. Juli unterzeichnet wurde.
• Das Heimatschutzministerium verwies auf die Übermittlung sensibler Daten, Risiken für die Informationsbeschaffung und Schwachstellen in der Softwaresicherheit.
• Welche Produkte als mit DeepSeek entwickelt gelten, ist für Lieferanten weiterhin eine praktische Frage.
• DeepSeeks neuestes Modell erschien am 17. Oktober. Es erzielte bessere Bewertungsergebnisse und niedrigere gemessene Aufgabenkosten.
• Für Rüstungsunternehmen gelten gesonderte Beschränkungen. Weitere Einschränkungen für chinesische KI werden erwogen.
• Die FCC plant für den 29. Oktober eine Abstimmung über Beschränkungen für ausländische Prüflabore für Elektronik.