Der Fliehkraftregler.

Der Fall, der alles enthält.

Am 1. August 2012, um 9:30 Uhr New Yorker Zeit, öffnete die Börse. Der Marktmacher Knight Capital hatte am Abend zuvor neue Software ausgerollt, auf acht Servern. Auf sieben davon kam der neue Code an, auf dem achten nicht.

In den nächsten fünfundvierzig Minuten schickte dieser Server mehr als vier Millionen fehlerhafte Orders. Er kaufte hoch und verkaufte tief, immer weiter, ohne Ermüdung und ohne Zweifel. Als er gestoppt wurde, hatte Knight einen unmittelbaren Vorsteuerverlust von rund 440 Millionen Dollar realisiert; die SEC beziffert den endgültigen Verlust später auf über 460 Millionen Dollar¹. Das Unternehmen war am Ende.

Jede einzelne dieser Orders war autorisiert. Jede war authentifiziert. Jede kam vom richtigen Server, mit den richtigen Berechtigungen, über den richtigen Weg. Es gab in diesen fünfundvierzig Minuten für kein Überwachungssystem der Welt etwas zu erkennen, weil nichts unbefugt war.

Die amerikanische Börsenaufsicht bestrafte Knight gut vierzehn Monate später, im Oktober 2013. Nicht für den Fehler im Code. Sie bestrafte das Fehlen von Grenzen: Verstoss gegen die Market Access Rule, die harte Vorabgrenzen verlangt, durchgesetzt von einer Instanz, die nicht der Algorithmus selbst ist¹.

Drei Disziplinen haben unabhängig voneinander eine Antwort auf genau diese zweite Frage gefunden. Die Dampfmaschine 1788 mit dem Fliehkraftregler. Die Luftfahrt 1988 mit Fly-by-Wire. Die Finanzmärkte 2012 mit der SEC Market Access Rule. Alle drei ersetzen die Frage wer ist bösartig durch wie viel darf hier höchstens passieren. Abschnitt III geht sie im Detail durch, mit den Grenzen, die auch diese Antworten haben. Zuerst der Grund, warum die Cybersicherheit diesen Schritt bisher nicht in gleicher Form gegangen ist.

Die operativ dominante Antwort.

Die Cybersicherheit kennt beide Beine: Erkennung und Begrenzung. Least Privilege (Saltzer und Schroeder, 1975), Privileged Access Management, Zero Trust, Vier-Augen-Prinzip, Rate Limits, DLP-Schwellen, Circuit Breaker: das sind alles etablierte Begrenzungsmechanismen. Sie sind nicht neu und nicht ungedacht.

Was in der operativen Praxis dominiert, ist trotzdem die Erkennungsseite. Virenschutz, Firewall, Endpunkterkennung, Verhaltensanalyse, Schulung der Belegschaft, Deepfake-Detektoren, Stimmforensik. Diese Werkzeuge beantworten Varianten derselben Frage: Wer von diesen ist der Bösartige?

Drei Verschiebungen durch Künstliche Intelligenz treffen genau die Erkennungsseite.

Die Antwort der Branche auf diese drei Verschiebungen lautet überwiegend: bessere Erkennung. Mehr Telemetrie, klügere Modelle, mehr Kontext, Deepfake-Detektoren, Stimmforensik. Erkennung bleibt notwendig. Sie kann aber nicht die einzige Schutzlinie bleiben, wenn der Fälscher gegen den Detektor trainiert und der Detektor nicht gegen den Fälscher trainieren kann, den es noch nicht gibt.

Neben der Erkennung braucht es eine zweite Ebene, die nicht davon abhängt, wer der Handelnde ist. Die vorhandenen Begrenzungsmechanismen zielten historisch auf menschliche Handlungsgeschwindigkeit und diskrete Entscheidungspunkte. Bei Agenten, die tausende Vorgänge pro Minute in Produktivsystemen ausführen können, greifen sie strukturell nicht mehr in derselben Form.

Dreimal dieselbe Antwort, über zwei Jahrhunderte.

Drei Disziplinen haben unabhängig voneinander eine Grenzsetzung eingeführt, jede nach ihrer eigenen Katastrophe. Jede zeigt zugleich, wo Grenzen selbst gefährlich werden.

Drei Disziplinen, drei Doppel-Lehren. Grenzen ersetzen die unbeantwortbare Frage ist das hier bösartig durch die beantwortbare Frage wie viel darf hier höchstens passieren. Zugleich zeigen alle drei: Eine Grenze ist nur so gut wie die Sensorik, auf der sie steht, und nur so gut wie die Instanz, die ihre Umsetzung erzwingt. Ohne diese beiden Bedingungen wird der Regler selbst zum Risiko.

Warum die Cybersicherheit diesen Schritt nie gegangen ist.

Es gibt einen guten Grund dafür, und er ist gerade abgelaufen.

Der Handelnde im Unternehmensnetz war immer ein Mensch. Und Menschen bringen ihre eigenen Grenzen mit. Sie werden müde. Sie zögern, wenn etwas komisch wirkt. Sie brauchen Zeit für jeden Vorgang, und diese Zeit ist eine Grenze. Sie fragen die Kollegin nebenan. Sie haben ein Gewissen, einen Ruf und eine Anstellung zu verlieren. Ein Sachbearbeiter, der zweihundert Überweisungen in einer Stunde ausführen könnte, tut es trotzdem nicht.

Deshalb konnte die Cybersicherheit dreissig Jahre lang auf äussere Grenzen verzichten. Der Handelnde hatte innere.

Ein Agent hat keine. Er wird nicht müde, er zögert nicht, er fragt niemanden, er hat nichts zu verlieren, und er braucht für den zweitausendsten Vorgang genauso lange wie für den ersten. Zum ersten Mal in der Geschichte der Unternehmens-IT handelt in Produktivsystemen etwas, das keinerlei eingebaute Begrenzung besitzt.

Diese Systeme erhalten aktuell in immer mehr Unternehmen Schreibrechte auf produktive Prozesse.

Damit wird der Regler zum ersten Mal notwendig. Nicht weil KI-Angreifer schlimmer wären als menschliche, sondern weil der Handelnde seine eigenen Grenzen verloren hat und niemand die fehlenden ersetzt hat.

Ein Zwischenfall, der nichts beweist und alles zeigt.

Im Januar 2024 nahm ein Mitarbeiter der Ingenieurgesellschaft Arup in Hongkong an einer Videokonferenz teil. Der vermeintliche Finanzvorstand aus Grossbritannien war zu sehen und zu hören, mehrere Kolleginnen ebenfalls. Er führte an diesem Tag fünfzehn Überweisungen aus, zusammen 25,6 Millionen Dollar. Jedes Gesicht in dieser Konferenz war generiert, jede Stimme ebenfalls, gebaut aus Videomaterial, das Arup selbst veröffentlicht hatte². Die Hongkonger Polizei machte den Fall am 4. Februar 2024 öffentlich, Arup bestätigte den Vorgang im Mai 2024.

Knight Capital und Arup liegen zwölf Jahre auseinander und haben nichts miteinander zu tun. Einmal ein fehlerhafter Algorithmus, einmal ein getäuschter Mensch. In beiden Fällen war jede einzelne Handlung befugt, in beiden Fällen gab es nichts zu erkennen, und in beiden Fällen war der Schaden unbegrenzt, weil ihn nichts begrenzte.

Die Zahl, die niemand hat.

Eine Grenze ist so gut wie die Zahl, die darin steht. Und hier liegt die unbequeme Stelle.

Kaum ein Unternehmen weiss, wie viel ein bestimmter automatisierter Vorgang an einem gewöhnlichen Tag tatsächlich bewegt. Wie viel Geld die Kreditorenbuchhaltung an einem Dienstag im März überweist. Wie viele Datensätze ein Auswertungslauf zieht. Wie oft ein Betriebsdienst ausliefert.

Fragt man danach, nennen die meisten eine Zahl, die weit über allem liegt, was je vorkommt. Nicht aus Nachlässigkeit, sondern weil niemand ein Limit zu eng setzen will und das Risiko einer zu engen Grenze sofort spürbar ist, das einer zu weiten dagegen nie. Genau deshalb begrenzen solche Limits nichts. Sie beruhigen.

Wer aus dieser Lage herauskommen will, braucht zuerst eine Messung und erst danach eine Grenze. Eine Grenze, die aus beobachtetem Normalverhalten abgeleitet wird, ist strukturell verwandt mit Anomalieerkennung. Der Unterschied liegt nicht im Erkennen, sondern im Ausgang: ein hart durchgesetztes Limit statt eines Alarms. Damit fällt der Anspruch der sauberen Zweiteilung „Grenzen statt Erkennung". Was bleibt, ist die Verlagerung von reaktiver Erkennung zu präventiver Durchsetzung, plus die harten Fragen von Messung, Nichtstationarität, Saisonalität und der Ökonomie der Fehlalarme.

Festhalten lässt sich: Eine geratene Grenze ist keine Kontrolle. Sie ist eine Aussage über die Risikobereitschaft dessen, der sie geraten hat. Wie die Messung dahinter aussehen muss, ist die eigentliche Bauaufgabe.

Was diesen Text widerlegen würde.

Vier Beobachtungen, jede einzelne würde die These treffen.

Der vierte Punkt ist der wahrscheinlichste und zugleich der schwächste. Ein ausbleibender Vorfall widerlegt eine strukturelle Lücke nicht, er verzögert nur ihre Entdeckung. Die Aufsicht handelt nach diesem Muster seit jeher: Sie wartet auf den Vorfall, und danach verlangt sie Grenzen. Zwischen dem Flash Crash und der Market Access Rule lagen zwei Jahre.

Vier Bauprobleme · und wie Crownhill damit umgeht.

Der Text hat bis hier vier Punkte offen. Sie werden hier benannt und beantwortet. Nicht abschliessend, aber operativ. Vorweg das Architektur-Prinzip, das allen vier Antworten zugrunde liegt.

Wo wir stehen.

Für autonome Agenten läuft diese Uhr bereits. Die BaFin-Orientierungshilfe vom 18. Dezember 2025 stellt klar, dass KI-Systeme vollständig in die regulierte Steuerung von IKT-Risiken einzubetten sind⁶. Die europäischen Rahmenwerke für Betriebsstabilität, Netzsicherheit und künstliche Intelligenz laufen im Kern auf denselben Kontrollsatz hinaus. Keines von ihnen verlangt heute ausdrücklich Folgegrenzen für Agenten. Das ist eine Erwartung, keine Vorschrift, und wir behandeln sie entsprechend.

Bemerkenswerter ist, wo das Prinzip bereits gebaut wurde. Die grossen Kartennetze haben 2025 und 2026 Agentenprotokolle für den Einkauf von Verbrauchern ausgeliefert, in denen wörtlich steht, worum es hier geht: Obergrenze je Transaktion, erlaubte Kategorien, Freigabe ab einer Schwelle⁵.

Antwort auf Widerlegung 3.

Die stärkste Gegenthese des Abschnitts VII lautet: die bestehenden Systeme und Hyperscaler-Guardrails reichen. An dieser Stelle entscheidet sich die Investment-Frage. Crownhills Antwort ist eine spezifische Segmentwahl, die man auch falsch treffen kann.

Nicht Cross-Cloud-Neutralität als universelle Aggregationsschicht. Das wäre ein globaler Markt mit Datadog-Vorbild, für den Crownhill weder die Engineering-Kapazität noch die Distribution mitbringt.

Sondern regulatorische Tiefe für europäisch regulierte Sektoren. Bedrock Guardrails¹⁴ und Azure AI Content Safety¹⁵ sind auf US-Standard-Compliance optimiert. DORA Art. 5, 6 und 8¹⁰, MaRisk AT 4.3¹¹, FINMA-Rundschreiben 2023/1¹² und MiFID II Art. 16¹³ verlangen spezifische Nachweise: unveränderbarer Audit-Trail nach EU-Recht, Vier-Augen-Freigabe mit dokumentierter Rollentrennung, Meldepflichten in Landessprache innerhalb definierter Fristen, Nachvollziehbarkeit für physische Aufsichtsbesuche. Kein Hyperscaler-Guardrail bildet das heute ab, weil der US-Markt es nicht zwingend verlangt.

Diese Wette verliert unter zwei Bedingungen: die Hyperscaler liefern in den nächsten 18 Monaten europäisch-regulatorische Compliance-Suiten mit aus, oder die europäischen Regulatoren weichen ihre Anforderungen technologieneutral auf. Beides ist möglich, keines ist heute wahrscheinlich. Der Zeitrahmen ist bewusst kurz gehalten, damit die Wette prüfbar bleibt.

Crownhill Capital arbeitet an dieser Lücke. Was daraus entsteht, wird veröffentlicht, wenn es Zahlen gibt und nicht vorher.

Quellen und Methodik.

Crownhill Capital AG, September 2026. Verantwortlich: Murat Güngör, CEO. Belastende Kennzahlen im Text tragen hochgestellte Verweise auf die Primärquelle in dieser Liste. Prognosen und Investmentpositionen sind Crownhill-eigene Beurteilungen unter Unsicherheit. Falsifikationskriterien in Teil VII, benannte Wette in Teil IX.

1. 1SEC. Pressemitteilung 2013-222 vs Knight Capital wegen Verstoss gegen Rule 15c3-5, Oktober 2013; sowie SEC Rule 15c3-5 „Risk Management Controls for Brokers or Dealers with Market Access", 2010. sec.gov/news/press-release/2013-222
2. 2Hong Kong Police Force · Reuters · South China Morning Post. Berichterstattung Februar 2024 zum Arup-Deepfake-Fall, 25,6 Mio USD Verlust; öffentliche Aussage des Arup-Informationschefs zur Nichtkompromittierung der Systeme.
3. 3Anthropic. Bericht zu GTG-1002 (erste dokumentierte KI-orchestrierte Spionagekampagne), November 2025. Autonom ausgeführter Anteil vom Anbieter mit 80–90 % beziffert. anthropic.com
4. 4Ars Technica · CyberScoop · Horizon3. Unabhängige Einordnung der GTG-1002-Kennzahlen, insbesondere Anteil menschlicher Koordination in Framework, Prompt-Engineering und Zielauswahl (November/Dezember 2025).
5. 5Visa und Mastercard. Visa Intelligent Commerce Protocol und Mastercard Agent Pay Framework, 2025/2026. Ausgabengrenzen, Kategorien und Freigabeschwellen für Verbraucher-Agenten. usa.visa.com · mastercard.com
6. 6BaFin. Orientierungshilfe vom 18. Dezember 2025 zur Einbettung von KI-Systemen in die DORA-Steuerung von IKT-Risiken. bafin.de
7. 7US National Transportation Safety Board · Indonesian NTSC · Ethiopian Ministry of Transport. Untersuchungsberichte zu Lion Air 610 (Oktober 2018) und Ethiopian Airlines 302 (März 2019). MCAS-Rolle in beiden Unfällen mit zusammen 346 Todesopfern. ntsb.gov
8. 8James Watt. Patent US-Präzedenz und historische Beschreibung des Fliehkraftreglers, 1788. Erster dokumentierter mechanischer Regelkreis in der Dampfmaschinen-Anwendung.
9. 9Airbus. Fly-by-Wire-Einführung im Airbus A320, in Betrieb seit April 1988. Flight Envelope Protection als erste zivile Full-Fly-by-Wire-Anwendung.
10. 10European Commission. Verordnung (EU) 2022/2554 (DORA), Artikel 5, 6 und 8. eur-lex.europa.eu/eli/reg/2022/2554/oj
11. 11BaFin. MaRisk, AT 4.3 zur Ausgestaltung von Kontrollverfahren. bafin.de/marisk
12. 12FINMA. Rundschreiben 2023/1 „Operationelle Risiken und Resilienz – Banken". finma.ch
13. 13European Commission. Richtlinie 2014/65/EU (MiFID II), Artikel 16 zu Aufzeichnungs- und Aufbewahrungspflichten. eur-lex.europa.eu
14. 14AWS. Bedrock Guardrails und Agent-SDK-Permission-Scoping, 2025. aws.amazon.com/bedrock/guardrails
15. 15Microsoft. Azure AI Content Safety und Permission-Scoping in Azure OpenAI Service, 2025/2026. learn.microsoft.com/azure/ai-services/content-safety

Dieser Text ist eine Perspektive aus operativer Erfahrung, keine Investmentempfehlung. Der Interessenkonflikt-Hinweis oben gilt für alle Aussagen des Berichts.