Der chinesische Markt für KI-Token und die Lieferkette dahinter

Ein Claude-Zugang für ein paar Dollar im Monat, beworben in chinesischen Telegram-Gruppen, ausgeliefert über eine in Hongkong registrierte Domain. Wer heute nach KI-Zugängen zu Dumpingpreisen sucht, findet sie schneller, als ihm lieb sein kann. Doch wie funktioniert dieses Geschäftsmodell technisch, und warum lässt es sich kaum durch Netzwerk-Blockaden stoppen?

Der Markt für erschlichene KI-Zugänge hat sich in den letzten zwei Jahren zu einem Segment entwickelt, das eigene Begriffe, eigene Werkzeuge und eigene Lieferketten hervorgebracht hat. „Shadow Relays”, „Antidetect-Browser” und „Carpooling” gehören heute zum Vokabular der Akteure. Das Problem ist damit kein klassischer Kartenmissbrauch mehr, sondern eine Frage der API- und Abonnement-Ökonomie.

Im Kern steht ein einfaches Geschäftsmodell: der Weiterverkauf von Claude-Kontingenten unter dem Listenpreis. Was die Sache kompliziert macht, ist die mehrstufige Infrastruktur, die diesen Weiterverkauf überhaupt erst skalierbar macht. Genau diese Infrastruktur soll hier auseinandergefaltet werden.

Überblick

Unter „Shadow Relays” versteht man Relay-Dienste, die Claudes API-Endpunkte emulieren und eingehende Anfragen an eine Flotte echter Anthropic-Konten weiterleiten. Für den Endkunden wirkt der Dienst wie ein normaler API-Zugang; tatsächlich sitzt dahinter eine Kette aus Provisionierung, Identitätsverschleierung und Auszahlung an Hehler. Was als grauer Markt für Entwickler erscheint, ist in der Realität ein Stück Software-Ökonomie, das auf drei Annahmen beruht: dass die Netzwerkebene weiterhin durchlässig bleibt, dass die operativen Kosten für tausende Konten niedrig genug sind, um Marge zu erlauben, und dass die Logs aus den Anfragen selbst einen Wert haben, der den Aufwand refinanziert.

Posten	Kosten
Erstellung eines vorbereiteten Kontos	~5–10 USD
Anthropics anfänglicher Freibetrag	Deckt Teile der Kosten
Max-Abonnement (200 $/Monat)	Wird in kleinere Einheiten („Carpooling”) aufgeteilt

Der Markt ist damit nicht primär ein Zahlungs-, sondern ein Identitäts- und Operations-Problem.

Funktionsweise der „Shadow Relays”

Shadow Relays kapseln den Zugang zu Anthropic hinter einer Open-Source-kompatiblen API-Schicht und leiten Anfragen aus einem Pool regulärer Konten weiter. Betreiber setzen dafür häufig auf Codebasen wie songquanpeng/one-api (Go, MIT-lizenziert), den chinesischen Fork QuantumNous/new-api mit Claude-Unterstützung oder Wei-Shaw/claude-relay-service. Diese Projekte sind quelloffen und lassen sich von jedermann auf einem VPS installieren. Aus Sicht des Endkunden verhält sich das Relay wie ein standardkonformes Anthropic-API und übernimmt Authentifizierung, Modell-Routing und Token-Buchhaltung.

Die Relays übersetzen dabei zwischen API-Protokollen – etwa von OpenAI Chat Completions auf Anthropic Messages – und verwalten Pools verschiedener Zugangsmethoden: OAuth-Tokens, API-Schlüssel und Session-Cookies. Anthropics OAuth-Flow und Header-Ketten wurden dafür vollständig reverse-engineert, sodass sich gefälschter Traffic von legitimen Anfragen kaum unterscheiden lässt.

Im Hintergrund verwalten die Betreiber Pools aus Anthropic-Konten, aus denen sie Anfragen bedienen. Diese Konten werden nicht über das offizielle Preismodell weiterverkauft, sondern zu Paketen geschnürt – eine Praxis, die in den einschlägigen Foren als „Carpooling” bezeichnet wird. Ein einzelnes Max-Abonnement zu 200 US-Dollar pro Monat liefert nur einen Bruchteil der Anfragen, die ein Endkunde bei Dumpingpreisen erwartet. Also werden Abonnements aufgeteilt, Konten mehrfach verwendet und im Rotationsverfahren durchgeschaltet.

Die Relay-Schicht selbst ist dabei nicht das Hauptrisiko, denn die Software ist quelloffen und damit legitim einsetzbar. Entscheidend ist, wer sie mit welchem Kontenbestand betreibt – und genau dieser Bestand entsteht in der Identitäts- und Provisionierungsschicht darüber.

Stilles Modell-Swapping

Eine besonders perfide Variante ist das stille Herabstufen der Modelle („Intelligenz senken”). Anfragen für leistungsstarke Modelle wie Opus werden im Relay still auf günstigere Modelle wie Haiku umgeleitet, während die Antwort weiterhin das ursprünglich angeforderte Modell vortäuscht. Für den Betreiber sinken so die Kosten pro Anfrage drastisch; der Endkunde merkt es bestenfalls an der Qualität. Der gemessene Leistungsabfall auf solchen gefälschten Endpunkten kann bis zu 45 % betragen.

Kontoerstellung in großem Maßstab

Die Provisionierung neuer Claude-Konten läuft über drei Achsen: Browser-Fingerprint, IP-Routing und Identitätsdokumente. Alle drei werden gezielt gefälscht, und alle drei bestimmen, wie teuer ein einzelnes Konto ist. Anthropic hat laut CNBC die Begrenzung von Konten pro Person mehrfach verschärft; das hat den Markt nicht ausgetrocknet, sondern auf eine andere Provisionierungsebene verschoben.

Browser-Fingerprinting

Antidetect-Browser erzeugen für jede Session einen eigenen Fingerabdruck auf Engine-Ebene: Canvas-Rendering, WebGL-Ausgabe, AudioContext-Sampling, Schriftartenliste und WebRTC-Leak werden gezielt so gesetzt, dass ein Profil plausibel wirkt und sich nicht mit anderen Profilen desselben Operators deckt. Bei headless betriebenen Pipelines kommen zusätzlich TLS-Impersonation-Bibliotheken wie curl_cffi oder tls-client zum Einsatz, die das ClientHello moderner Browser exakt reproduzieren. Damit fällt es klassischen JA3/JA4-Profilen schwer, den Relay-Verkehr vom echten Browser-Verkehr zu trennen.

IP-Adressen

Residential-Proxies leiten Relay-Anfragen über gemietete Heimanschlüsse. Große Takedowns wie die Beschlagnahme von 911 S5 durch das FBI haben gezeigt, dass ein erheblicher Teil dieser IP-Pools aus kompromittierten Heimanschlüssen stammt, oft über „kostenlose VPN”-Installer eingebracht. IP-Reputation allein hat damit kaum noch Aussagekraft, weil der Relay-Verkehr aus denselben Adressräumen kommt wie echte Privatnutzer.

SIM-Karten-Farmen und Telefonverifizierung

Für die SMS-Verifizierung kommen SIM-Banken mit bis zu 128 SIM-Karten und HTTP-API zum Einsatz, die den Empfang von Bestätigungscodes automatisieren. Daneben verkaufen Plattformen für virtuelle Nummern SMS-Kontingente, vorkategorisiert nach Zieldienst (etwa „Anthropic”) – nötig, weil Nummern nach Mehrfachnutzung auf Blacklists landen.

Gefälschte Ausweisdokumente und Liveness-Checks

Für Konten, die ein höheres Verifikationslevel als die einfache E-Mail-Bestätigung erreichen müssen, kommen KI-generierte Ausweisdokumente zum Einsatz. Führerscheine oder Pässe für rund 15 USD mit korrekten MRZ-Prüfsummen (Machine Readable Zone) bestehen die OCR-Validierung und können Verifizierungsdienste wie Jumio umgehen.

Liveness-Checks werden per „Camera-Pipe Injection” ausgehebelt: KI-generierte Gesichter werden in Echtzeit auf eine virtuelle Webcam gestreamt. Tools wie iperov/DeepFaceLive oder hacksider/Deep-Live-Cam ermöglichen dabei hochfrequente Gesichts-Swaps, ohne dass eine reale Person vor der Kamera sitzt.

Die Logs als eigentliches Produkt

Das eigentliche Geschäftsmodell ist oft nicht der API-Weiterverkauf – es sind die gesammelten Nutzerdaten.

Die Relays leiten den SSE-Stream nicht nur an den Endkunden, sondern parallel an einen Logger weiter und erfassen dort: Benutzereingaben, Systemaufforderungen, Modellantworten, Tool-Aufrufe und Code-Entscheidungen. Diese Daten eignen sich als Trainingsmaterial für KI-Labore, die solche Interaktionsdaten nur schwer organisch generieren können. In Summe lassen sich daraus Datensätze im Umfang ganzer Pre-Training-Korpora aufbauen – der Anfragetext wird vom Beiwerk zum eigentlichen Wertgut.

Ökonomie des Betrugs

Faktor	Details
Kontoerstellungskosten	5–10 USD
Einnahmen	Weiterverkauf zu Bruchteilspreisen
Bruttogewinnmarge	>80 % (bei Model-Swapping oder kostenlosen Konten)
Eigentlicher Gewinn	Verkauf der gesammelten Nutzerlogs

Die Rechnung erklärt, warum der Markt so robust ist: niedrige Bereitstellungskosten, hohe Marge und ein zweites Wertgut in Form der Anfragelogs. Selbst wenn der reine Token-Weiterverkauf kaum trägt, refinanziert sich der Betrieb über die gesammelten Daten.

Fazit

Der graue Markt für Claude-Zugänge ist kein Phänomen, das sich durch eine einzelne Sperre oder ein neues Captcha lösen lässt. Was als Dumping-Angebot in einer Telegram-Gruppe beginnt, ist in Wahrheit eine durchorganisierte Lieferkette: SIM-Banken und gefälschte Ausweise für die Provisionierung, Antidetect-Browser und Residential-Proxies für die Tarnung, quelloffene Relay-Software für das Routing und ein Logger, der aus jeder Anfrage ein verkäufliches Datenpaket macht.

Wer die Schlagzeile vom „Claude-Account für 3 Dollar” liest, sieht nur die Preisspitze. Darunter liegt ein Markt, in dem die eigentliche Währung nicht der Token ist, sondern die Identität, mit der man ihn bezieht – und die Daten, die dabei abfallen.