Anthropic Lieferkettenrisiko:
Pentagon setzt sich durch

Anthropic Lieferkettenrisiko, dieses Etikett darf das Pentagon dem Entwickler der KI Claude weiter anheften. Das US-Berufungsgericht für den District of Columbia hat am 25. September 2026 die Klagen von Anthropic gegen die Einstufung als „Supply Chain Risk“ mit 2:1 Stimmen abgewiesen. Damit bleibt Claude aus den Systemen des Department of War verbannt, und Rüstungsauftragnehmer dürfen das Modell bei ihrer Arbeit für das Ministerium nicht einsetzen. Vier Wochen zuvor hatte Bundesrichterin Rita Lin in San Francisco eine zweite, parallele Einstufung als illegal aufgehoben. Beide Entscheidungen gelten nebeneinander, weil sie zwei verschiedene Gesetze betreffen.

Anthropic reagierte mit einer knappen Erklärung. „Wir teilen die Entscheidung des Gerichts respektvoll nicht. Ein anderes Bundesgericht hat die parallele Einstufung der Regierung bereits für rechtswidrig erklärt“, sagte ein Sprecher laut CNBC-Bericht zur Entscheidung des Berufungsgerichts (übersetzt). Man prüfe „alle Optionen, einschließlich einer weiteren Überprüfung“. Verteidigungsminister Pete Hegseth feierte das Ergebnis noch am selben Tag auf X.

Zwei Gesetze, zwei Gerichte: Warum beide Urteile nebeneinander gelten

Das Pentagon hatte Anthropic am 3. März 2026 gleich zweimal als Sicherheitsrisiko eingestuft, mit getrennten Schreiben auf verschiedenen Rechtsgrundlagen. Das erste stützte sich auf 10 U.S.C. § 3252, eine Vorschrift aus dem Verteidigungsrecht, die einen „Gegner“ (adversary) voraussetzt. Gegen diese Einstufung sowie gegen Trumps Anweisung an alle Bundesbehörden und Hegseths Boykottbefehl für Auftragnehmer klagte Anthropic in Kalifornien. Dort erging am 27. August das Anthropic Pentagon Urteil von Richterin Lin, das die Blacklist als verfassungswidrige Vergeltung kippte.

Das zweite Schreiben beruht auf dem Federal Acquisition Supply Chain Security Act (FASCSA) von 2018, kodifiziert in 41 U.S.C. § 4713. Für Klagen gegen solche Maßnahmen ist nach § 1327 ausschließlich das Berufungsgericht in Washington zuständig, andere Gerichte dürfen sie nicht prüfen. Die Frist beträgt 60 Tage. Anthropic reichte beide Klagen am 9. März ein. Die Kanzlei Jones Walker hat die Konstruktion in ihrer Analyse der beiden Anthropic-Verfahren aufgeschlüsselt.

Richter Gregory Katsas, der die Mehrheitsmeinung verfasst hat, erklärt darin, man habe „keinen Streit“ mit dem Ergebnis aus Kalifornien. Das Wort „Gegner“ in § 3252 verlangt eine böse Absicht, und die hat Anthropic nicht. Die FASCSA-Definition sei aber „viel weiter“ gefasst. Sie erfasst das Risiko, dass „irgendeine Person“ ein Produkt sabotiert, böswillig mit unerwünschten Funktionen versieht, Daten abgreift oder dessen Entwurf, Herstellung, Betrieb oder Wartung „anderweitig manipuliert“, um Funktion und Nutzung zu überwachen, zu verweigern, zu stören oder zu manipulieren. Eine Bindung an Lins Urteil lehnt das Gericht in einer Fußnote ab, weil der Kongress ihm die alleinige Zuständigkeit gegeben hat.

Richter Katsas: Es zählt, was Anthropic tut, nicht warum

Das Berufungsgericht wertet Anthropics eingebaute Nutzungssperren selbst als „Manipulation“ im Sinne des Gesetzes, auch ohne böse Absicht. „Wir haben keinen Grund zu bezweifeln, dass Anthropic Funktion, Nutzung und Betrieb von Claude in edler Absicht steuert, sei es aus einer prinzipientreuen Verpflichtung zur Privatsphäre oder aus echter Sorge um die KI-Sicherheit“, schreibt Katsas (übersetzt). „Aber zumindest in diesem Fall kommt es bei der gesetzlichen Definition eines Lieferkettenrisikos darauf an, was Anthropic tut, nicht warum Anthropic es tut.“ Das Ministerium habe begründet befürchten dürfen, dass Anthropic Claude über das Training so steuert, dass es angeforderte Aufgaben verweigert.

Als Belege nennt die 51-seitige Entscheidung des D.C. Circuit im Fall Anthropic gegen Department of War mehrere Vorfälle aus der Verwaltungsakte. Seit 2024 nutzten Pentagon und Geheimdienste handelsübliche Claude-Modelle in ihren Geheimsystemen, über Auftragnehmer mit Claude-Zugang. Dort verweigerte Claude Aufgaben, die in einem Sicherheitskontext angemessen gewesen seien. Die Seuchenschutzbehörde CDC bekam keine Antworten auf Fragen zu sensibler Forschung über die Eindämmung von Infektionskrankheiten. Und ein Anthropic-Manager hatte laut Akte „die Angemessenheit“ eines Claude-Einsatzes bei einer heiklen Militäroperation im Ausland infrage gestellt. Medienberichten zufolge, die Anthropic selbst in die Akte einbrachte, ging es um die Operation zur Festnahme von Venezuelas Präsident Nicolás Maduro am 3. Januar 2026 über die Plattform von Palantir. Anthropic hatte im Vertragsstreit zwar angeboten, die früheren Nutzungsbeschränkungen erheblich zu lockern. Auf zwei Ausnahmen bestand das Unternehmen aber weiter: kein Einsatz für tödliche autonome Kriegsführung und keine Massenüberwachung von Amerikanern.

Anthropic hielt dagegen, das Ministerium könne jede Modellversion vorab testen, und ein ausgeliefertes Modell lasse sich nicht aus der Ferne abschalten. Die Mehrheit überzeugte das nicht. Die Modelle seien undurchsichtig, und das Pentagon könne nicht bei alten Versionen stehen bleiben. „Ganz offensichtlich kann das Ministerium keine KI-Systeme nutzen, die wie in Bernstein eingeschlossen bleiben“, heißt es im Urteil. Am 3. Juni hatte Hegseth bei der Ablehnung von Anthropics Überprüfungsantrag klargestellt, dass seine Feststellung nicht auf der Annahme beruhe, Anthropic könne bereits ausgelieferte Claude-Versionen noch steuern. Diesen Vorwurf hatte Richterin Lin im August als unbelegt verworfen.

Meinungsfreiheit und faires Verfahren: Beide Rügen scheitern

Den Kern des Streits sieht das Gericht im Vertrag. Anthropics öffentliche Kritik an der Regierung spielte dafür keine Rolle. Der erste Verfassungszusatz habe das Ministerium nicht verpflichtet, „eine Vertragsbeziehung fortzusetzen, die es als Risiko für die nationale Sicherheit ansah“. Hegseths Post vom 27. Februar mit Vokabeln wie „scheinheilige Rhetorik“, „Tugendprotzerei“ und „Silicon-Valley-Ideologie“ hält Katsas für unerheblich. Solche Rhetorik sei „selten eine solide Grundlage“, um die Rechtmäßigkeit von Regierungshandeln zu beurteilen. Maßgeblich sei der Vorwurf aus demselben Post, Anthropic beanspruche ein „Vetorecht über die operativen Entscheidungen des US‑Militärs“. Zwei Tage nach Anthropics Absage begannen laut Urteil die US-Angriffe auf den Iran, bei denen Claude Berichten des Wall Street Journal zufolge zum Einsatz kam. An den roten Linien hält Anthropic fest. Die Anthropic Usage Policy 2026 vom 8. Oktober verbietet die Bewaffnung von Drohnen und das Tracking von Personen ohne Einwilligung ausdrücklich.

Auch die Rüge eines unfairen Verfahrens weist die Mehrheit zurück. Hegseth hatte Anthropic mit Schreiben vom 3. März informiert, per E-Mail zugestellt am 4. März, mit 30 Tagen Frist für einen Überprüfungsantrag. Die vollständigen Unterlagen folgten am 19. März und setzten die Frist neu in Gang. Auch wenn Fehler passiert sind, gelte im Verwaltungsrecht die Regel vom „harmlosen Fehler“. Eine nachträgliche Anhörung reiche aus, wenn schnelles Handeln geboten sei. Einen Rufschaden durch die Einstufung bezweifelt das Gericht mit Verweis auf Investitionsangebote, die Anthropic laut Wall Street Journal im Mai mit mehr als 900 Milliarden Dollar bewerteten.

Am Ende der Begründung stellt Katsas beide Gefahren nebeneinander. „Der Minister verweist auf die zutiefst ernüchternde Aussicht, dass zu stark eingeschränkte KI-Modelle unerwartet abschalten und so wichtige Militäroperationen scheitern lassen. Anthropic verweist auf die zutiefst ernüchternde Aussicht, dass uneingeschränkte KI-Modelle unpassende Ziele für tödliche militärische Gewalt halluzinieren“, schreibt er (übersetzt). In der Republik müssten aber der Präsident und der Kriegsminister entscheiden, wie diese Risiken gegeneinander abzuwägen sind.

Sondervotum Henderson: Zustimmen oder als Bedrohung gelten

Richterin Karen LeCraft Henderson, 1990 von George H. W. Bush ernannt, hält die Auslegung der Mehrheit für unvereinbar mit dem, was der Kongress im Sinn hatte. Das Gesetz sei 2018 auf Drängen der Geheimdienste gegen „feindliche Nationalstaaten und andere böswillige Akteure“ geschrieben worden, die sich über Lieferketten in Regierungssysteme einschleichen. Alle Verben der Definition, von „sabotieren“ bis „überwachen“, beschrieben verdeckte oder feindselige Handlungen. Das Wort „manipulieren“ müsse im selben Sinn gelesen werden. Die beiden Richter der Mehrheit, Katsas und Neomi Rao, wurden 2017 und 2019 von Donald Trump ernannt.

Nach der heutigen Entscheidung hat dieser Auftragnehmer die Wahl: den Forderungen des Ministers zustimmen oder riskieren, nach FASCSA als Bedrohung der nationalen Sicherheit eingestuft zu werden. Ich kann nicht zustimmen, dass dies das Szenario ist, das der Kongress bei der Verabschiedung des FASCSA im Sinn hatte.

Karen LeCraft Henderson, Richterin am D.C. Circuit, im Sondervotum vom 25. September 2026 (übersetzt)

Henderson schließt mit dem Satz, das Gesetz erfasse nicht die „ehrliche und offene Durchsetzung von Nutzungsbeschränkungen durch einen Auftragnehmer“, nur weil diese der Regierung missfallen. Die Mehrheit hält ihr entgegen, sie zitiere wiederholt aus einem früheren Sondervotum von Katsas selbst, in dem er für eine enge Lesart eines anderen Gesetzes geworben hatte. Charlie Bullock vom Institute for Law & AI verweist gegenüber Defense One in dessen Bericht zum Anthropic-Urteil auf die Vorgeschichte der Mehrheit. Katsas und Rao hätten den Berufungen der Trump-Regierung auf die nationale Sicherheit in der Vergangenheit „großes Entgegenkommen“ gezeigt.

Hegseth: „Bestätigt: Anthropic = Lieferkettenrisiko“

Die Regierung wertete das Urteil als vollständige Bestätigung. Pentagon-Sprecher Sean Parnell erklärte laut ABC News in dessen Bericht zur Berufungsentscheidung, die Entscheidung „bestätigt die Position des Ministeriums vollständig“. Hegseth selbst fasste sich auf X kürzer.

Confirmed: @AnthropicAI = Supply Chain Risk. The @DeptofWar does what is right for the Country and our Warriors.

— Pete Hegseth (@PeteHegseth) September 25, 2026

Sein Unterstaatssekretär Emil Michael, dessen Vermerk die Einstufung ausgelöst hatte, schrieb ebenfalls auf X: „Der Hammer der Gerechtigkeit“ habe Anthropics Argumente zerschmettert. Soldaten würden „ruhiger schlafen in dem Wissen, dass kein Privatunternehmen seine Meinung in die Befehlskette einbringen wird“ (übersetzt). Auf Anthropic-Seite blieb es bei der Sprecher-Erklärung, einen Blogbeitrag oder einen Post von Firmenchef Dario Amodei gab es bis zum 27. September nicht. Amodei hatte zwei Tage vor dem Urteil vor dem UN-Sicherheitsrat gesprochen und dort gemeinsame Teststandards für Spitzenmodelle gefordert.

Der IT-Branchenverband CCIA, dem unter anderem Amazon, Google und Meta angehören, warnte vor der Signalwirkung. Die Einstufung als Lieferkettenrisiko sei „ein Instrument, das normalerweise ausländischen Gegnern vorbehalten ist“, erklärte Verbandschef Matt Schruers in der CCIA-Stellungnahme zum Urteil im Streit Pentagon gegen Anthropic. Sie dürfe nicht „als Strafe für ein Unternehmen wegen einer Meinungsverschiedenheit“ dienen. Das Urteil „sollte jeden Regierungsauftragnehmer alarmieren“. Das Gericht erkenne zwar an, dass die Regierung ein Unternehmen nicht für Meinungsäußerungen bestrafen dürfe, tue Hegseths öffentliche Angriffe bei der Ankündigung der Einstufung aber ab.

Wer Anthropic vor Gericht unterstützte

Auf Anthropics Seite standen laut Rubrum des Urteils zahlreiche Unterstützer als Amici Curiae, also als Freunde des Gerichts, mit eigenen Schriftsätzen. Dazu zählten der frühere Verteidigungsminister Leon Panetta mit dem Institute for Security and Technology, 149 ehemalige Richter sowie frühere hochrangige Sicherheitsbeamte, Minister der Teilstreitkräfte und Generäle. Schriftsätze kamen außerdem von den Bürgerrechtsorganisationen ACLU und Center for Democracy and Technology, von der Redefreiheits-Stiftung FIRE und von Beschäftigten bei OpenAI und Google als Privatpersonen. Weitere Schriftsätze kamen unter anderem von der Foundation for American Innovation und von Branchenverbänden. Für die Regierung trat als einziger Amicus Joel Thayer vom America First Policy Institute auf. Anthropic ließ sich von Kelly P. Dunbar von der Kanzlei WilmerHale vertreten, die Regierung von Sharon Swingle vom Justizministerium. Verhandelt wurde am 19. Mai 2026.

Was jetzt für Claude bei US-Behörden gilt

Im Pentagon und bei allen Aufträgen für das Pentagon bleibt Claude verboten. Grundlage ist ein Rundschreiben des IT-Chefs vom 6. März 2026, das die Entfernung aller Anthropic-Produkte aus den Systemen des Ministeriums „so bald wie praktikabel“ anordnete, spätestens binnen 180 Tagen, also bis Anfang September. Auftragnehmer dürfen Anthropic-Produkte bei ihrer Arbeit für das Ministerium nicht verwenden. Das Ministerium weitete laut Urteil umgehend seine Verträge mit OpenAI aus. Unterstaatssekretär Michael hatte schon am 3. September, eine Woche nach dem Lin-Urteil, laut Axios-Bericht zur bekräftigten Anthropic-Blacklist klargestellt, dass die FASCSA-Einstufung weiter gilt. Handelsminister Howard Lutnick hatte einen Tag zuvor bei Bloomberg TV erklärt, Anthropic sei „geläutert“.

Für zivile Bundesbehörden gilt das nicht. Richterin Lin hat Trumps regierungsweite Anweisung und Hegseths Boykottbefehl für Auftragnehmer außerhalb des Pentagon-Geschäfts dauerhaft blockiert. Das OneGov-Angebot der Beschaffungsbehörde GSA, mit dem Bundesbehörden Claude für einen Dollar pro Nutzer beziehen, wurde am 17. September vom 30. September auf den 31. Oktober verlängert, wie Nextgov zur Verlängerung des OneGov-Angebots berichtet. Die Berufungsentscheidung lässt dieses parallele Verfahren unberührt.

Chronologie: Vom Ultimatum bis zur Entscheidung in Washington

Die Verwaltungsakte, die das Gericht auswertete, beginnt mit Hegseths KI-Strategie vom 9. Januar 2026. Darin ordnete er an, das Ministerium solle eine „AI-first“-Streitkraft werden und in alle KI-Verträge eine Standardklausel für „jede rechtmäßige Nutzung“ aufnehmen. Der weitere Ablauf laut Urteil:

Nächste Schritte: Volles Gericht, Supreme Court und Börsengang

Anthropic kann eine Überprüfung durch das gesamte Berufungsgericht beantragen (en banc) oder den Supreme Court anrufen. Beides liegt im Ermessen der Gerichte. Laut Quartz-Bericht zu Anthropics Rechtsmitteln hat der Senat seine Entscheidung vorläufig ausgesetzt, damit Anthropic diese Wege offen behält (im Urteilstext selbst steht dazu nichts). Der Anwalt Sean Timmons von der Kanzlei Tully Rinckey hält gegenüber Breaking Defense in dessen Ausblick auf Anthropics Optionen das volle Gericht für offener und schwerer berechenbar als den Dreier-Senat. Werde die Anhörung gewährt, seien „alle Wetten offen“. Sobald jemand die nationale Sicherheit anführe, verhielten sich Gerichte „ein bisschen wie Pontius Pilatus“.

Auf der anderen Seite läuft die Frist der Regierung für eine Berufung gegen das Lin‑Urteil. Ihre frühere Berufung gegen die einstweilige Verfügung vom März ruht beim 9th Circuit seit Ende April. Finanziell hatte Anthropic die Blacklist im März mit einem Umsatzrisiko von „mehreren Milliarden Dollar“ für 2026 beziffert, bei einem Anthropic Umsatz im zweiten Quartal 2026 von mehr als 11,5 Milliarden Dollar. Der Börsengang ist seit dem vertraulich eingereichten Börsenprospekt-Entwurf vom 1. Juni in Vorbereitung, nach Abschluss der Kreditlinie über 15 Milliarden Dollar.

Update (03.10.2026): Reuters hat den noch unveröffentlichten Börsenprospekt am 2. Oktober eingesehen. Darin nennt Anthropic Trumps Anweisung an die Bundesbehörden vom Februar und die Einstufung als Lieferkettenrisiko ausdrücklich als Geschäftsrisiken. Das Unternehmen könne „erhebliche Umsatzverluste oder Geschäftsunterbrechungen“ erleiden, die auf diese Ereignisse zurückgehen, heißt es laut Reuters-Bericht zum Anthropic-Börsenprospekt (übersetzt). Das Behördengeschäft macht demnach weniger als ein Prozent des Jahresumsatzes aus. Die Roadshow soll in der Woche ab dem 9. November beginnen, das Debüt an der Nasdaq noch vor Thanksgiving folgen, bei einer angestrebten Bewertung von 1,8 bis 2 Billionen Dollar.

Häufige Fragen zum Anthropic Lieferkettenrisiko