Vorwort: Warum dieser Artikel entstanden ist

Der Auslöser für diesen Artikel war ein Unbehagen an einer merkwürdigen Asymmetrie in der KI-Debatte.

Sobald LLM-Modelle oder KI-Dienste aus China ins Spiel kommen, ist die Skepsis oft sofort da: Datenschutz, Firmengeheimnisse, staatlicher Zugriff, unklare Datenwege. Diese Bedenken sind nicht aus der Luft gegriffen. Gerade aus europäischer Sicht gibt es gute Gründe, bei Datenübermittlungen nach China genau hinzusehen.

Gleichzeitig werden westliche KI-Infrastrukturen, Aggregatoren und Routing-Dienste häufig deutlich entspannter betrachtet. Ein Dienst wie OpenRouter erscheint schnell als praktische Entwicklerlösung: ein API-Zugang, viele Modelle, einfache Integration. Was dabei leicht aus dem Blick gerät: Auch hier werden Prompts, Outputs und Metadaten verarbeitet, weitergeleitet und abhängig von Konfiguration, Provider und Vertrag unterschiedlich behandelt.

Die Ausgangsfrage war deshalb nicht: „Ist China gefährlich und der Westen sicher?“ Sondern: Warum messen wir unterschiedliche KI-Infrastrukturen oft mit unterschiedlichem Maß?

---

Was läuft falsch bei der Debatte über LLM-Risiko?

Viele Unternehmen blicken skeptisch auf LLM-Angebote aus China. Gleichzeitig werden westliche Aggregatoren wie OpenRouter häufig als neutrale Entwickler-Infrastruktur behandelt. Diese Gegenüberstellung ist zu einfach. Aus europäischer Sicht ist weder die Herkunft eines Modells allein entscheidend noch der Komfort eines API-Gateways. Entscheidend ist die konkrete Datenkette: Welche Inhalte werden übertragen, an wen, in welche Region, mit welcher Retention, mit welcher Trainingsnutzung und auf welcher vertraglichen Grundlage?

Das Ausgangsproblem: China-Risiko ist real, aber nicht das einzige Risiko

Die Sorge vor chinesischen KI-Diensten ist nicht bloß politisches Bauchgefühl. Europäische Datenschutzbehörden haben konkrete Einwände gegen DeepSeek erhoben. Die Berliner Datenschutzbeauftragte meldete DeepSeek im Juni 2025 bei Apple und Google als rechtswidrigen Inhalt, mit der Begründung, personenbezogene Daten würden unrechtmäßig nach China übertragen; DeepSeek habe keine ausreichenden Garantien nach Art. 46 DSGVO nachgewiesen. (datenschutz-berlin.de)

Auch Italien ging gegen DeepSeek vor. Die italienische Datenschutzaufsicht blockierte die App Anfang 2025 wegen ungelöster Datenschutzfragen, darunter Fragen zur Art der erhobenen Daten, zu Rechtsgrundlagen, Zwecken und möglichen Speicherorten in China. (Reuters)

Der rechtliche Hintergrund ist klar: Für Datenübermittlungen in Drittländer braucht es nach der DSGVO entweder einen Angemessenheitsbeschluss oder geeignete Garantien. Die EU-Kommission beschreibt Angemessenheitsbeschlüsse als Instrument, mit dem festgestellt wird, ob ein Drittland ein angemessenes Datenschutzniveau bietet. (European Commission) Für China besteht ein solcher Angemessenheitsbeschluss nicht; deshalb müssen Unternehmen bei personenbezogenen Daten zusätzliche Transfermechanismen und Risikoanalysen prüfen.

Damit ist die Vorsicht gegenüber chinesischen Consumer-LLM-Diensten nachvollziehbar. Der Fehler beginnt aber dort, wo daraus der Umkehrschluss gezogen wird: „Nicht China“ bedeute automatisch „sicher“.

OpenRouter als Gegenbeispiel: Infrastruktur, nicht Modellanbieter

OpenRouter ist kein einzelnes LLM, sondern ein Routing-Dienst zu vielen Modellen und Providern. Genau darin liegt der Nutzen, aber auch das Risiko. Die Plattform bietet Zugriff auf zahlreiche Modelle über eine einheitliche API, mit zentralem Billing, Provider-Auswahl und Enterprise-Funktionen. (OpenRouter)

Für Datenschutz und Geschäftsgeheimnisse bedeutet das: Der Prompt geht nicht nur an „OpenRouter“, sondern wird je nach Auswahl und Konfiguration an einen nachgelagerten Modellanbieter weitergeleitet. OpenRouter selbst weist darauf hin, dass jeder AI-Provider eigene Regeln für Logging und Retention hat und dass Nutzer steuern müssen, welche Provider Zugriff auf ihre Daten erhalten. (OpenRouter)

Das unterscheidet OpenRouter von einem klassischen Einzelanbieter. Es entsteht eine Verarbeitungskette: Unternehmen → OpenRouter → Modellprovider → konkreter Endpoint → mögliche Unterauftragnehmer. Je komplexer diese Kette ist, desto wichtiger werden technische und organisatorische Kontrollen.

Die stärkste Verteidigung von OpenRouter

Die Gegenthese lautet: OpenRouter ist nicht automatisch riskanter, sondern kann Risiken sogar reduzieren, wenn es als kontrollierter Policy-Layer betrieben wird.

OpenRouter dokumentiert Zero Data Retention, kurz ZDR. ZDR bedeutet laut OpenRouter, dass ein Provider Daten nicht speichert; die Plattform erlaubt, Requests nur an Endpunkte zu routen, die eine ZDR-Policy haben. Diese Vorgabe kann global, pro Modellgruppe, pro Guardrail oder pro Request erzwungen werden. (OpenRouter)

OpenRouter bietet außerdem EU-In-Region-Routing für Enterprise-Kunden. Wenn diese Funktion aktiviert ist, sollen Prompts und Completions innerhalb der EU verarbeitet werden und die EU während des Request-Lebenszyklus nicht verlassen. Dafür muss die EU-Base-URL genutzt werden; das Feature ist nur für Enterprise-Kunden auf Anfrage verfügbar. (OpenRouter)

Hinzu kommt ein vertraglicher Punkt: OpenRouter verweist in seinen Terms auf ein Data Processing Agreement für Organisationen bzw. kommerzielle Nutzung. (OpenRouter) Für europäische Unternehmen ist das relevant, weil bei Auftragsverarbeitung unter der DSGVO vertragliche Regelungen erforderlich sind.

Diese Argumente sind stark. Ein sauber konfigurierter Enterprise-Zugang mit DPA, EU-Routing, ZDR, Provider-Whitelist und Logging-Verbot kann deutlich besser kontrollierbar sein als eine unkoordinierte Nutzung vieler einzelner LLM-Dienste durch einzelne Entwickler.

Die Schwäche dieser Verteidigung

Die Verteidigung trägt aber nur unter bestimmten Bedingungen. Sie beschreibt eine mögliche sichere Nutzung, nicht automatisch die Standardnutzung.

Erstens ist ZDR kein kryptografischer Schutz, sondern eine Policy-Zusage. Der Prompt muss während der Inferenz weiterhin beim Router und beim Modellprovider im Klartext verarbeitet werden. Forschung zu vertraulicher LLM-Nutzung betont genau dieses Grundproblem: Bei cloudbasierten LLMs müssen Nutzer typischerweise detaillierte Prompts an externe Server übertragen, was bei sensiblen Daten ein Datenschutzproblem erzeugt. (arXiv)

Zweitens ist EU-Routing laut OpenRouter ein Enterprise-Feature, das auf Anfrage aktiviert werden muss. (OpenRouter) Für normale Entwickleraccounts, private API-Keys oder Teams ohne Enterprise-Konfiguration folgt daraus keine automatische Datenresidenz in der EU.

Drittens bleiben internationale Transfers auch mit Standardvertragsklauseln prüfpflichtig. Der Europäische Datenschutzausschuss beschreibt SCCs als Transferinstrument, verweist aber zugleich auf die Pflicht zu einem Transfer Impact Assessment, das die konkreten Umstände, das Recht des Ziellandes und zusätzliche Schutzmaßnahmen dokumentiert. (EDPB) Ein Vertrag ersetzt also nicht die technische und organisatorische Risikoanalyse.

Viertens können auch Metadaten sensibel sein. OpenRouter gibt in seiner FAQ an, grundlegende Request-Metadaten wie Zeitstempel, verwendetes Modell und Tokenzahlen zu loggen; Prompts und Completions würden standardmäßig nicht geloggt, außer Nutzer aktivieren dies. (OpenRouter) Für viele Datenschutzfälle ist das weniger kritisch als Promptlogging. Für Geschäftsgeheimnisse können aber Modellwahl, Nutzungsfrequenz, Zeitpunkte, Tokenvolumen oder Projektmuster ebenfalls Rückschlüsse ermöglichen.

Datenschutz ist nicht gleich Geschäftsgeheimnisschutz

Ein weiterer blinder Fleck: Die Debatte wird oft nur entlang der DSGVO geführt. Firmengeheimnisse sind aber nicht immer personenbezogene Daten. Ein Prompt kann Quellcode, Produktpläne, Sicherheitsarchitektur, Vertragsentwürfe, Preismodelle oder Kundentaktiken enthalten, ohne dass zwingend personenbezogene Daten im Mittelpunkt stehen.

Für Unternehmen ist deshalb die Frage nicht nur: „Ist das DSGVO-konform?“ Sondern auch: „Können wir später nachweisen, dass wir angemessene Geheimhaltungsmaßnahmen getroffen haben?“ Ein unkontrollierter Multi-Provider-Router, private API-Keys, aktiviertes Logging oder freie Modellwahl durch einzelne Mitarbeitende sind dafür schwerer zu rechtfertigen als ein geprüftes Enterprise-Setup.

Eine faire Gesamtbewertung

Die pauschale Angst vor chinesischen LLMs ist zu grob, aber nicht unbegründet. Es gibt reale rechtliche und aufsichtsbehördliche Bedenken, insbesondere bei Datenübermittlungen nach China ohne ausreichende Garantien. (datenschutz-berlin.de)

Die pauschale Gelassenheit gegenüber OpenRouter ist ebenfalls zu grob. OpenRouter kann ein nützlicher Governance-Layer sein, aber nur, wenn die angebotenen Kontrollmechanismen tatsächlich genutzt werden: ZDR, EU-Routing, Provider-Whitelisting, DPA, deaktiviertes Promptlogging, klare Account-Strukturen und interne Richtlinien.

Die sachlichere Position lautet daher:

Nicht das Herkunftsland allein entscheidet über das Risiko, sondern die konkrete Datenverarbeitungskette. Chinesische LLM-Dienste können wegen Drittlandtransfer, Behördenzugriff und fehlender EU-Angemessenheit besonders problematisch sein. Westliche Aggregatoren wie OpenRouter sind aber nicht automatisch sicher, nur weil sie westlich oder bequem sind. Sie sind nur dann vertretbar, wenn technische, vertragliche und organisatorische Kontrollen nachweisbar greifen.

Praktische Konsequenz für Unternehmen

Für öffentliche oder nicht-sensitive Prompts kann ein LLM-Router akzeptabel sein. Für personenbezogene Daten, Quellcode, Kundendaten, Security-Informationen oder strategische Dokumente sollte dagegen mindestens geprüft werden:

Gibt es ein DPA? Ist ZDR verpflichtend aktiviert? Werden Provider mit Retention oder Training ausgeschlossen? Ist EU-Routing aktiv, falls Datenresidenz erforderlich ist? Sind Free-Modelle und unbekannte Provider gesperrt? Werden Prompts und Completions geloggt? Gibt es eine Transfer-Folgenabschätzung? Ist die Nutzung über private Accounts ausgeschlossen? Sind Mitarbeitende geschult, welche Inhalte nicht in externe Modelle gehören?

Fazit

Die Debatte sollte weg von der einfachen Frage „China oder Westen?“ und hin zur Frage „kontrollierte oder unkontrollierte Datenkette?“. Chinesische LLM-Dienste verdienen aus europäischer Sicht besondere Aufmerksamkeit. OpenRouter und ähnliche Aggregatoren aber ebenfalls, gerade weil sie bequem sind und dadurch leicht unterschätzt werden.

Die nüchterne Schlussfolgerung: OpenRouter ist nicht per se unsicher. Aber OpenRouter ist auch nicht per se sicherer als ein chinesischer Anbieter. Sicher wird ein solcher Dienst erst durch überprüfbare Governance — nicht durch Herkunft, Marke oder Entwicklerkomfort.

---

Epilog: Wie dieser Artikel entstanden ist

Dieser Artikel entstand aus einer bewusst schrittweisen Prüfung einer zunächst zugespitzten Beobachtung: Viele Unternehmen reagieren skeptisch auf LLM-Angebote aus China, verwenden aber westliche Aggregatoren wie OpenRouter mit deutlich weniger Vorbehalten.

Der erste Schritt war, diese Beobachtung nicht sofort als These stehen zu lassen, sondern sie anhand öffentlich zugänglicher Quellen zu prüfen. Dabei zeigte sich: Die Bedenken gegenüber chinesischen LLM-Diensten haben eine konkrete regulatorische Grundlage, insbesondere bei Datenübermittlungen nach China und fehlenden Garantien im Sinne der DSGVO.

Im zweiten Schritt wurde gezielt nach Gegenthesen gesucht. Dabei kamen die stärksten Argumente zugunsten von OpenRouter in den Blick: Zero Data Retention, Provider-Filter, Enterprise-Verträge, Data Processing Agreement und EU-In-Region-Routing. Diese Punkte zeigen, dass ein westlicher LLM-Router unter bestimmten Bedingungen durchaus ein kontrollierbares Governance-Werkzeug sein kann.

Im dritten Schritt wurden diese Gegenthesen wiederum kritisch geprüft. Dabei verschob sich der Fokus: Nicht OpenRouter als Marke ist das eigentliche Problem, sondern die konkrete Nutzung. Viele Sicherheitsargumente gelten nur bei aktiver Enterprise-Konfiguration, klaren Provider-Policies, deaktiviertem Logging, geprüften Transfers und organisatorischer Kontrolle. Ohne diese Bedingungen bleibt ein Multi-Provider-Router eine komplexe Datenverarbeitungskette.

Der Artikel ist deshalb kein Plädoyer gegen OpenRouter und auch kein pauschales Plädoyer gegen chinesische Modelle. Er ist der Versuch, eine oft emotional geführte Debatte in eine überprüfbare Frage zu übersetzen: Welche Daten gehen wohin, unter welchen Bedingungen, mit welchen Garantien — und kann ein Unternehmen das im Zweifel nachweisen?

Gerade diese Entstehungsgeschichte ist Teil der Aussage: Eine belastbare Einschätzung entsteht nicht aus dem ersten Impuls, sondern aus These, Gegenthese und erneuter Prüfung.