Diese Woche steht zweites Mal die eigene Strecke im Mittelpunkt, diesmal mit Abrechnung statt mit Benchmarks: 15.914 Anfragen an einem einzigen Tag am Gateway haben die Form dieser Last sichtbar gemacht, und die war der Grund für die ganze Rechnung. Der zweite Beitrag ist Pflicht statt Kür: Artikel 4 KI-Verordnung, seit dem 2. Februar 2025 in jedem Betrieb anwendbar, ohne Größenschwelle und ohne eigenen Bußgeldtatbestand. In beiden Fällen gilt, was für den Newsletter überhaupt gilt: Zahlen aus dem Betrieb, nicht aus der Pressemeldung.

Deep Dive: 261 Euro gegen 7.640 Euro, ein Monat Agentenbetrieb

Die Last hat eine Form

Ein Produktionstag am Gateway, alle Lanes: 15.914 Anfragen, 603 Millionen Prompt-Tokens, davon 546 Millionen aus dem Prefix-Cache, also 90,6 Prozent Treffer. Echtes Vorrechnen blieb bei 56,6 Millionen, Antwort-Tokens 5,4 Millionen. Das Verhältnis Eingabe zu Ausgabe liegt bei 111 zu 1, im Schnitt 37.904 Tokens rein und 341 raus. Ein Chatverhältnis läge eher bei 5 zu 1. Über den Monat sind so 18,3 Milliarden Tokens gelaufen.

Dagegen stehen 76 Euro Strom und 185 Euro Abschreibung für die Karten, zusammen 261 Euro im Monat. Der Beitrag sagt ausdrücklich, was das abdeckt: nur die GPU-Box, Gateway-Host, Embedding-Karte, Storage, Backup und die Betriebsarbeit sind nicht eingerechnet. Auf 18,3 Milliarden Tokens gerechnet sind das 1,4 Cent pro Million Token, davon 0,4 Cent Strom. Derselbe Token-Mix über den API-Listenpreis von Claude Sonnet 5 kostet 7.640 Euro im Monat, wenn der Anbieter die Wiederholungen genauso sauber als Cache erkennt wie unser Prefix-Cache, und bis zum 133-Fachen, wenn nicht. Der Listenpreis ist keine Messung, sondern claude.com/pricing vom 10. September multipliziert mit unserem Token-Mix. Details, Annahmen und die Lanen im vollständigen Beitrag.

Vergleichsbalken: API-Listenpreis pro Monat gegen eigene Hardwarekosten, logarithmisch — Derselbe Token-Mix über dreißig Tage, logarithmisch. Der grüne Balken ist die einzige Zahl, die unter unserer Kontrolle steht. (Quelle: eigene Messung)

Was die Rechnung nicht hergibt

Die API-Varianten sind keine Messwerte, ein Kopf-an-Kopf-Lauf gegen Claude Sonnet 5 ist nie gefahren, dafür fehlt im Bestand ein API-Key. Und die cache-freundlichste Variante setzt voraus, dass der Anbieter die Wiederholungen genauso sauber wiedererkennt wie unser automatischer Prefix-Cache, was dort mit Bruchpunkten gepflegt werden will und dessen Cache-Verweildauer kurz ist. Der Satz, der übrig bleibt, ist kleiner als die Schlagzeile: Bei dieser Lastform, also langem wiederholtem Kontext und wenig Ausgabe, liegt der Randpreis pro Aufgabe nahe null. Genau deshalb laufen bei uns Aufgaben, die sich pro Task nie amortisiert hätten. Engpass ist derzeit nicht der KV-Pool, sondern der Slot-Zähler, und die Hausaufgaben für den nächsten Monat heißen MTP aktiv testen und Kennzahlen mit getrenntem Vorrechnen und Dekodieren.

Bewertung: Die Spanne vom 29- bis 133-Fachen ist kein Argument gegen die Cloud, sondern eines gegen die Abrechnung pro Aufgabe. Wer seltene, kurze Anfragen hat, fährt mit API billiger und spart sich die Betriebsarbeit, die in den 261 Euro gar nicht enthalten ist. Wer Agenten mit langem Kontext laufen lässt, entscheidet nicht über den Tokenpreis, sondern über die Auslastung, und die lag in diesem Monat unter 30 Prozent.

Deep Dive: Artikel 4 KI-Verordnung, die Pflicht ohne Bußgeld

Kein Tatbestand, vier Wege

Artikel 4 verpflichtet Betreiber und Anbieter von KI-Systemen, Maßnahmen zur KI-Kompetenz ihres Personals zu ergreifen, anwendbar seit dem 2. Februar 2025, ohne Größen- und Branchenschwelle. Wer ChatGPT, Copilot oder Claude im Betrieb nutzt, ist dabei. Ein Bußgeld allein für fehlende Kompetenz ist nicht vorgesehen, Artikel 4 steht nicht im Sanktionskatalog von Artikel 99. Der Digital-Omnibus, Verordnung (EU) 2026/1744, hat diesen Katalog im Juli erweitert, erfasst wurden Artikel 25 Absatz 2 und 4, Artikel 4 wurde nicht ergänzt. Folgreich wird die Pflicht auf vier anderen Wegen: Auskunftsverlangen der Marktüberwachung, Bewertung der Personalbefähigung bei einem Haftungsfall, arbeitsrechtliche Zustimmungspflichten nach § 96a ArbVG, und die allgemeine Verkehrssicherungspflicht nach § 1313a ABGB. Der zuständige Beitrag mit allen Fundstellen: Artikel 4 KI-Verordnung: Was die Pflicht von einem Betrieb verlangt.

Österreich: gleiche Verordnung, anderer Behördentisch

Ein österreichisches Durchführungsgesetz zur KI-Verordnung existiert nicht, und es ist weiterhin keine Marktüberwachungsbehörde benannt. Die RTR betreibt eine KI-Servicestelle als Informationsdrehscheibe, das ist § 20c KOG und § 194a TKG, nicht Marktüberwachung mit Sanktionsrecht. Wer auf eine Behörde wartet, die einen Brief schreibt, wartet auf die falsche Stelle. In einem Haftungsfall fragt dagegen ein Sachverständiger, ob das Personal für die konkrete Tätigkeit befähigt war, und diese Frage landet automatisch auf dem Tisch.

Bewertung: Nachweisbar ist die Kompetenz mit drei Blättern, nicht mit einer Schulungsurkunde: eine Zeile je Person und Maßnahme, eine Zeile je KI-System im Einsatz, ein Protokoll je veröffentlichtem Inhalt mit KI-Beteiligung. Der Aufwand liegt für einen Betrieb mit dreißig Leuten im Bereich weniger halber Tage. Wer die drei Blätter hat, ist auch auf die Fragen vorbereitet, die in Österreich tatsächlich gestellt werden.

Digest: Weitere wichtige Nachrichten

Modelle und Inferenz

DeepSeek V4.1-Flash: 552 Milliarden Parameter, ein Achtel KV-Cache: Modellkarte am 10. September auf Hugging Face veröffentlicht, MIT-Lizenz, eine Million Token Kontext. Die Karte nennt 552 Milliarden Backbone-Parameter, die ausgelieferten Gewichtungsdateien kommen auf 763 Milliarden. Der architektonische Trick heißt CED: zwanzig Encoder- und zwanzig Decoder-Lagen, im Prefill 8 aktive Parameter pro Token, im Decode 16. Den persistierenden KV-Fußabdruck gibt DeepSeek mit etwa einem Achtel von V4-Flash an, eine eigene Messung ohne unabhängigen Benchmark. Für eine Einzelplatz-Box ist das Modell trotzdem nicht zu haben, interessant ist es auf Mehrkarten-Maschinen mit hohem Eingabeanteil, und dort ist der KV-Fußabdruck die Zahl, die über die Nebenläufigkeit entscheidet.
vLLM v0.29.0: Model Runner V2 ist Standard, und es gibt Brüche: 594 Commits von 277 Mitwirkenden, Release am 9. September. Model Runner V2 ist jetzt für alle Modelle die Laufzeit, Model Runner V1 läuft bis v0.32 aus. Zehn altmodellierte Architekturen sind entfernt, python -m vllm.entrypoints.openai.api_server ist deprecated und durch vllm serve ersetzt. Neu und für uns direkt relevant: zwei Admission-Control-Schwellen --max-num-queued-reqs und --max-num-queued-tokens, dazu FlashInfer-All-Reduce als Standard, Mamba-Prefix-Caching mit 9 bis 25 Prozent besserer Zeit bis zum ersten Token und ausgebaute NVFP4- und MXFP4-Pfade. Vor dem Update Startbefehle und Modelllisten durchsehen.
Kein Release der üblichen Verdächtigen: Qwen, Google mit Gemma, Mistral und Meta haben in dieser Woche nichts Neues ausgeliefert, die Organisationsprofile auf Hugging Face zeigen als letzten Qwen-Bau weiterhin Flash-Next vom 24. August. Ein Negativbefund, weil die Wochenplanung sonst auf eine Ankündigung zuläuft, die nicht kommt.

Sicherheit

Vier Tage, vierzehn Einträge, jeder einzelne mit bestätigtem Angriff im Feld. Der Stand 07.09. war leer. (Quelle: CISA KEV, Katalog 2026.09.11)

Windows-Patchday: rund 1.000 Fixes, zwei davon aktiv ausgenutzt: CVE-2026-81963 ist eine Link-Following-Schwachstelle im Windows Update Stack, CVE-2026-85880 ein Heap-Überlauf über ALPC, beide mit Rechteerweiterung, beide am 8. September in die KEV-Aufnahme gekommen. Die Zahl der Patches schwankt je nach Zählart zwischen 964 und 974, Krebs schreibt von „nearly 1.000" und 113 als kritisch eingestuften Löchern. Wer im Januar angefangen hat zu zählen, vergleicht am besten keine Zahlen, sondern den Ständebericht.
GitLab CE/EE: unauthentifiziertes Datei-Lesen: CVE-2026-85706 ist eine Pfadtraversierung, betroffen sind alle Stände ab 18.7, gefixt in 19.1.8, 19.2.6 und 19.3.2. Die Bewertung mit CVSS 10,0 stammt von GitLab selbst als CNA, NVD führte den Eintrag bei unserer Prüfung noch unanalysiert als „Received“. Aufnahme in die KEV am 11. September, also bestätigte Ausnutzung. Wer GitLab selbst hostet, patcht heute, nicht am Monatsende.
MikroTik RouterOS: zwei Aufnahmen an einem Tag: CVE-2026-86060 und CVE-2026-67277 betreffen den SSH-Login-Handler, ein Benutzername mit verbotenen Startzeichen erlaubt den Wechsel der Policy-Maske und damit die Rechteerweiterung. Die Sicherheitsseite von MikroTik war zum Zeitpunkt der Prüfung nicht erreichbar, die Liste der betroffenen Stände ist damit offen. Router sind im Mittelstandsnetz fast immer die Geräte, auf die seit Jahren kein Auge fällt.
Die KEV ist ein nachlaufender Indikator: am 9. September hat CISA CVE-2026-19490 für Citrix NetScaler aufgenommen, gemeldet war die Sache seit dem 19. August, und CVE-2025-25249 für mehrere Fortinet-Produkte, ein Eintrag aus dem Vorjahr. Wer sein Patch-Fenster an KEV-Aufnahmen bindet, patcht im Schnitt einige Wochen zu spät.
Chrome: CVE-2026-87491: Out-of-bounds-Write in V8, Rechteausbruch aus der Sandbox über eine präparierte Seite, behoben in 153.0.8010.36, am 9. September in der KEV.
Beruhigender Negativbefund für den eigenen Stall: keine KEV-Aufnahme und keine gelesene Sicherheitsadvisory dieser Woche für Postfix, nginx, containerd, Kubernetes, Proxmox, vLLM, Ollama, PostgreSQL und Samba. Next.js 16.3.5 vom 11. September bringt ausschließlich Fehlerbehebungen.

Regulierung

Cyber Resilience Act: seit dem 11. September meldepflichtig: Hersteller müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle melden, Frühwarnung innerhalb von 24 Stunden, vollständige Meldung innerhalb von 72 Stunden, Abschlussbericht 14 Tage nach Verfügbarkeit der Korrektur oder einen Monat nach der Erstmeldung. Gemeldet wird über die Single Reporting Platform der ENISA, die am Stichtag den Betrieb aufgenommen hat, weitergeleitet an das CSIRT des Hauptniederlassungslandes. Anbieter von quelloffener Software sind vor dem 11. Dezember 2027 nicht berichtspflichtig. Am Rand bemerkt: die deutschsprachige Seite der Kommission ist maschinell übersetzt und schreibt durchgehend „Ratingagentur" statt Cyber Resilience Act, wer daraus zitiert, nimmt besser die englische Fassung.
Österreich: zur Netzsicherheitsgesetz-Registrierung war in dieser Woche keine belastbare Primärquelle zu finden, das Behördenportal bleibt leer, wir lassen es für diese Woche dabei und berichten nach, wenn das Register selbst etwas sagt.

Hardware

NVIDIA® und das NVIDIA-Logo sind eingetragene Marken der NVIDIA Corporation.

RTX Spark: NVIDIA-Bausteine mit Windows on Arm ab Oktober: auf der IFA waren die Geräte gezeigt, zwei Konfigurationen mit N1X und bis zu 128 GB einheitlichem Speicher, Lenovo hat das Yoga Pro 9n damit benannt. Preise nannte NVIDIA auf der Produktseite nicht, die Kernzahlen kursieren nur über Zweitquellen, weil sich die Herstellerseite nicht vollständig auslesen ließ. Für Inferenz gilt wie im letzten Digest: entscheidend ist die Speicherbandbreite, und die ist bei dieser Klasse bisher unbestätigt.
AMD Ryzen AI Halo: 3.999 US-Dollar gegen 4.699 für den DGX Spark: AMDs eigene Messseite stellt dem 128-GB-Strix-Halo-Gerät dasselbe Modell gegenüber, gemessen im Mai, mit 700 US-Dollar Preisvorteil. Die DGX-Spark-Erhöhung von 3.999 auf 4.699 US-Dollar hatte im Sommer den Speichermarkt als Ursache. Herstellerselbst gemessen, Vergleichbarkeit also mit Vorsicht.

Dasselbe Referenzmodell, von AMD auf der eigenen Messseite gegenübergestellt. Herstellerzahlen, keine eigene Messung. (Quelle: AMD Produktseite, Fußnote SHO-61)

Quellen dieser Ausgabe

Eigene Messung: LiteLLM-Gateway-Statistik, vLLM-Metadaten und Strommessung vom 07. bis 13. September 2026, nachzulesen in 261 Euro eigene KI-Strecke statt 7.640 Euro API.
CISA, Katalog bekannt ausgenutzter Schwachstellen, Stand 11. September 2026, als JSON im Original, abgerufen am 13. September. Alle CVE-Nummern und Aufnahmedaten in dieser Ausgabe stammen daraus.
National Vulnerability Database für die Einzeltexte zu CVE-2026-85706, CVE-2026-86060, CVE-2026-87491 und CVE-2025-25249.
Projektveröffentlichungen: vLLM v0.29.0, Next.js 16.3.5 und die Modellkarte DeepSeek V4.1-Flash.
Rechtsgrundlagen: Verordnung (EU) 2024/1689 Artikel 4 und 99, Verordnung (EU) 2026/1744, dazu die CRA-Berichtspflichten der Kommission und die Single Reporting Platform der ENISA, abgerufen am 13. September.

Was wir in dieser Woche nicht belegen konnten: die österreichische Registrierungspraxis nach dem Netzsicherheitsgesetz, weil das Behördenportal leer bleibt; die betroffene RouterOS-Stande von MikroTik, weil die Sicherheitsseite des Herstellers beim Abruf 404 lieferte; und die Kernzahlen von RTX Spark, weil wir sie nur über Zweitquellen hatten.

Aus dem Blog

261 Euro eigene KI-Strecke statt 7.640 Euro API — ein Monat Agentenbetrieb über LiteLLM und vLLM auf vier RTX 5090, gemessen am Gateway.
Artikel 4 KI-Verordnung: Was die Pflicht zur KI-Kompetenz verlangt — warum es kein Bußgeld gibt, in Österreich keine Behörde, und welche drei Blätter den Nachweis tragen.

Zusammengestellt am 14. September 2026. Quellen: eigene Gateway- und Strommessung, Hugging Face, GitHub (vLLM, Next.js), CISA KEV, NVD, Krebs on Security, ENISA, Europäische Kommission, NVIDIA, AMD, Anthropic Pricing.

IT-News KW37/2026: 261 Euro eigene KI-Strecke gegen 7.640 Euro API, Artikel 4 KI-Verordnung ohne Bußgeld, und was der Slot-Zähler wirklich kostet