Das war der stille Streitpunkt der letzten Monate: Mit Fable 5 und Mythos 5 hat Anthropic im Juni eine Pflicht eingeführt, sämtlichen Verkehr auf diesen Modellen 30 Tage lang zu speichern. Begründung: Missbrauch und komplexe Cyberangriffe lassen sich nur erkennen, wenn man Muster über Zeit und über mehrere Accounts hinweg vergleichen kann. Wer jede Anfrage einzeln prüft und sofort löscht, sieht die Angriffe nicht, die sich über Wochen und Dutzende Sessions verteilen.
Anthropic hat dabei stets betont, die Daten niemals fürs Training zu nutzen. Geholfen hat das wenig. Besonders in regulierten Branchen hieß es: Wir können ein Modell mit Datenspeicherung schlicht nicht einsetzen. Jeder zusätzliche Datenverarbeiter muss den eigenen Kunden gemeldet werden, Verträge müssen angepasst werden, und wer sich Einträge anschauen darf, ist bei Banken oder Kanzleien streng geregelt.
Am 1. September kam die Wende. Anthropic hat Enterprise Frontier Safeguards (EFS) angekündigt und spricht laut CNBC von „viel Feedback“ und mehreren hundert Stunden Gesprächen mit Kunden. Die Idee: Zero Data Retention bei Anthropic, aber trotzdem Überwachung. Die Aktivitätsdaten liegen in der Cloud des Kunden, also im eigenen S3-Bucket, in Azure Blob Storage oder Google Cloud Storage, unter eigenen Schlüsseln, eigenen Zugriffsregeln, eigenem Audit-Log. Anthropic lässt darauf automatisierte Systeme laufen, die ein rollierendes Zeitfenster nach ernsthaftem Missbrauch durchsuchen: Versuche, offensive Cyber- oder Biowaffenfähigkeiten aufzubauen, oder Hinweise auf gestohlene Zugangsdaten.
Der entscheidende Punkt: Schlägt das System an, geht die Meldung direkt an den Kunden. Dessen eigene Leute prüfen dann, ob da wirklich etwas faul ist. Kein Anthropic-Mitarbeiter muss die Daten je sehen. Kosten soll EFS nichts, und es funktioniert egal, ob man direkt über die Claude-API geht oder über Bedrock, Google Cloud oder Microsoft Foundry. Auch Claude Code und Claude Enterprise sind dabei.
Entwickelt wurde das mit über hundert Kunden, darunter die Sicherheitschefs der großen US-Banken über das Analysis and Resilience Center, dazu Firmen wie Comcast, KPMG, Mastercard, Salesforce und Visa. Der Rollout beginnt in Phasen im Herbst. Bis dahin bekommen berechtigte Kunden schon jetzt Zero Data Retention auf Fable 5 und Fable 5.1 als Übergang. Für Privatkunden auf Mythos-Klasse-Modellen bleibt die 30-Tage-Regel übrigens bestehen.
Was ich daran bemerkenswert finde: Anthropic hat die Speicherpflicht nicht einfach gestrichen, sondern das Problem umgedreht. Die Überwachung bleibt, nur die Daten wandern zum Kunden. Das ist technisch aufwendiger als eine simple Policy-Änderung, und es ist ein direkter Konter auf OpenAI, das seine eigene Zero-Data-Retention-Lösung erst vor zwei Wochen vorgestellt hat. Kurz vor dem Börsengang kann sich Anthropic verunsicherte Großkunden schlicht nicht leisten. Und mal ehrlich: Wer die Wahl hat zwischen „vertrau uns“ und „behalt deine Daten selbst“, dem fällt die Entscheidung nicht schwer.
Quellen: Anthropic: Developing Enterprise Frontier Safeguards with our customers · CNBC: Anthropic changes data retention policy after pushback from customers