Souveräner KI-Coding-Stack für Energieversorger
Seit dem 26. Juli 2026 liegen die Gewichte des stärksten offenen Modells öffentlich auf Hugging Face. Für Stadtwerke und Netzbetreiber ändert das die Rechnung. Nicht wegen der Benchmarks, sondern weil NIS2 seit dem 6. Dezember 2025 ohne Übergangsfrist gilt und die Frage nach der Software-Lieferkette damit vom Wunsch zur Nachweispflicht geworden ist.
Energieversorger können KI-Coding-Agenten betreiben, ohne Quellcode in eine US-Cloud zu geben. Möglich macht das die Trennung von drei Schichten: das Werkzeug auf dem eigenen Rechner, ein Inferenz-Provider mit bekanntem Gerichtsstand und Modellgewichte, die frei verfügbar sind. Kimi K3, DeepSeek V4 Pro und GLM-5.2 liegen seit Juli 2026 unter MIT-nahen Lizenzen auf Hugging Face, DeepSeek erreicht 80,6 Prozent auf SWE-bench Verified. Der Druck kommt aus der Regulierung: Das NIS2-Umsetzungsgesetz gilt seit dem 6. Dezember 2025 ohne Übergangsfrist und erfasst nach BSI-Schätzung rund 29.500 Einrichtungen statt bisher etwa 4.500.
Werkzeug und Modell sind nicht mehr dasselbe
Der Coding-Agent und das Modell dahinter sind zwei getrennte Entscheidungen geworden. Das Werkzeug führt die Schleife aus Dateizugriff, Werkzeugaufrufen und Sitzungsverwaltung. Das Modell denkt. Wer beides trennt, kann die Frage nach dem Datenabfluss beantworten, ohne das Werkzeug zu wechseln.
Lange war das anders. Wer ein Werkzeug wählte, wählte den Modellanbieter gleich mit, und jede Diskussion über Datenhaltung endete bei der Frage, ob man das ganze Werkzeug aufgibt. Diese Kopplung ist weg.
OpenCode zeigt, wie weit das inzwischen geht: Terminal, Desktop-App und IDE-Erweiterung greifen auf dieselbe Agentenschleife zu, Modelle lassen sich über mehr als 75 Anbieter einbinden, bis hin zu einer lokalen Ollama-Instanz. Der Wechsel kostet eine Konfigurationszeile.
Über 60.000 Open-Source-Repositories nutzten die Datei im Mai 2026. Codex CLI, GitHub Copilot, Cursor, Windsurf, Zed und JetBrains Junie lesen sie nativ, Claude Code inzwischen auch. Das ist unspektakulär und genau deshalb wichtig: Die Projektregeln liegen im Repository, nicht im Konto eines Anbieters.
Für ein Stadtwerk ist das die Ausstiegsoption, die in jedem Auslagerungsvertrag gefordert wird und in der Praxis selten existiert.
Der Stack in drei Schichten
Ein souveräner KI-Coding-Stack besteht aus drei Schichten, und jede stellt eine eigene Prüffrage. Wer nur eine davon beantwortet, hat die anderen beiden übersehen. Genau das passiert in der Praxis am häufigsten, wenn eine Beschaffung sich auf das Modell konzentriert und den Betreiber übergeht.
Die oberste Schicht, das Harness, läuft auf dem Rechner der Entwicklerin. Hier zählt, welche Telemetrie das Werkzeug nach Hause meldet und ob es ohne Konto beim Hersteller funktioniert. Die mittlere Schicht ist der Inferenz-Provider, und dort sitzt die eigentliche Entscheidung: Wer betreibt die GPUs, in welchem Land stehen sie, welchem Recht unterliegt das Unternehmen, gibt es einen Auftragsverarbeitungsvertrag. Die unterste Schicht sind die Modellgewichte mit ihrer Lizenz und ihrer Herkunft.
Erst wenn alle drei Schichten geklärt sind, trägt der Satz "unser Quellcode bleibt in der EU". Eine Schicht allein beantwortet die Frage nicht, auch wenn sie sich gut anhört.
Warum Energieversorger jetzt hinschauen müssen
Der Auslöser ist nicht Technikbegeisterung, sondern Haftung. Seit dem NIS2-Umsetzungsgesetz gelten die Sorgfaltspflichten ohne Übergangsfrist, und sie erfassen deutlich mehr Unternehmen als das alte IT-Sicherheitsgesetz. Wer Software für Netzführung, Messwesen oder Abrechnung entwickelt oder entwickeln lässt, muss belegen können, wohin dieser Code geht.
Dazu kommt der sektorspezifische Teil. Der IT-Sicherheitskatalog nach Paragraf 11 Absatz 1a und 1b EnWG, seit 2015 mit ISO/IEC 27001 und 27019 als Grundlage, wird durch neue Kataloge nach Paragraf 5c EnWG abgelöst. Im März 2026 lagen die finalen Entwürfe der Bundesnetzagentur noch nicht vor. Das ist unbequem, weil die Pflicht schon gilt und der Maßstab noch verhandelt wird.
Neu sind die Anforderungen an Belastbarkeit: Business Impact Analyse, Fortführungsplanung, Krisenkommunikation. Für als kritisch eingestufte Systeme gilt keine Risikotoleranz mehr. Wer schon an der Norm IEC 62443 und am Cyber Resilience Act für OT-Security in Energieanlagen gearbeitet hat, kennt die Denkweise. Sie erreicht jetzt auch die Entwicklungsumgebung.
Deutsche und europäische Einordnung
Die Nachfrage nach europäischen Alternativen ist messbar gestiegen und längst keine Haltungsfrage mehr. Unternehmen sind bereit, für Datenhaltung in Deutschland Abstriche zu machen. Und der regulatorische Rahmen für KI-Modelle ist seit wenigen Tagen schärfer.
Der Bitkom Cloud Report 2026 hat im Frühjahr 603 Unternehmen ab 20 Beschäftigten befragt. 85 Prozent halten Deutschland für zu abhängig von US-Cloud-Anbietern, im Vorjahr waren es 78. 71 Prozent nutzen US-Anbieter, aber nur 8 Prozent bevorzugen sie. Diese Lücke zwischen Nutzung und Wunsch ist die eigentliche Zahl des Reports.
Quelle: Bitkom Cloud Report 2026, telefonische Befragung von 603 Unternehmen ab 20 Beschäftigten, 17. Juni 2026
Der Sprung von 42 auf geplante 69 Prozent bei KI-Diensten aus der Cloud fällt genau in den Bereich, der souveränitätskritisch ist. Und seit dem 2. August 2026 kann die EU-Kommission die Pflichten für Modelle mit allgemeinem Verwendungszweck aktiv durchsetzen, mit Auskunftsverlangen, Modellzugang und im äußersten Fall Rückruf. Der Sanktionsrahmen liegt bei 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes.
Anbieter mit EU-Sitz und Auftragsverarbeitungsvertrag gibt es inzwischen genug: IONOS, STACKIT, Scaleway, OVHcloud, Nebius und Mistral gehören dazu. Das Argument "es gibt keine Alternative" trägt 2026 nicht mehr. Was die Debatte um Cloud-Souveränität in Europa zeigt: Der Unterschied liegt selten in der Technik, fast immer im Vertrag.
Wo privat nicht souverän heißt
Hier liegt der häufigste Denkfehler. Ein Anbieter, der verspricht, keine Prompts zu speichern, löst ein Datenschutzproblem. Kein Souveränitätsproblem. Souveränität ist eine Frage der Rechtsordnung, nicht der Speicherpolitik.
Venice ist ein gutes Beispiel, weil das Angebot ehrlich beschrieben ist. Im privaten Modus laufen offene Modelle ohne Speicherung von Anfrage und Antwort auf eigenen GPUs oder bei Partnern ohne Datenhaltung. Im anonymisierten Modus wandern Anfragen an OpenAI, Anthropic, Google oder xAI weiter, die sie dann verarbeiten. Zwei sehr unterschiedliche Dinge unter einem Dach.
Die API-Dokumentation von Venice trifft keine Aussage zu Gerichtsstand, Aufbewahrungsfristen, DSGVO-Konformität oder Auftragsverarbeitung. Für ein privates Projekt ist das egal. Für eine NIS2-Nachweisführung reicht es nicht.
Daten in einer EU-Region eines US-Unternehmens sind EU-ansässig und bleiben trotzdem über den CLOUD Act erreichbar. Für die Nachweisführung zählt der Sitz des Betreibers, nicht der Standort der Festplatte.
Auf der Modellseite gilt dieselbe Vorsicht, nur mit anderem Vorzeichen. Die Gewichte von Kimi K3, DeepSeek V4 Pro und GLM-5.2 stammen aus China. Die Lizenzen sind permissiv, die politische Lage ist es nicht. Die US-Regierung erwog Ende Juli 2026 gezielte Verbote einzelner chinesischer Modelle statt eines pauschalen Banns, und Peking führt Gespräche mit Alibaba, ByteDance und Zhipu über Exportkontrollen für offene Gewichte. Zwei Regierungen, die dasselbe Werkzeug aus entgegengesetzten Gründen einschränken wollen.
Ein heruntergeladenes Modell lässt sich nicht abschalten. Genau darin liegt die Absicherung gegen beide Szenarien.
Kernargument für offene GewichteHerausforderungen und Risiken
Der Eigenbetrieb, den offene Gewichte theoretisch ermöglichen, ist für die meisten Versorger praktisch nicht darstellbar. Das verschiebt die Souveränitätsfrage vom Modell zum Betreiber und macht die Anbieterauswahl zur eigentlichen Entscheidung. Ein Blick auf die Hardware erklärt, warum.
| Modell | Parameter | Lizenz | Eigenbetrieb |
|---|---|---|---|
| Kimi K3 | 2,8 Bio. gesamt, 16 von 896 Experten aktiv | Modified MIT | rund 594 GB Download, ab 8 H100 |
| DeepSeek V4 Pro | 1,6 Bio. gesamt, 49 Mrd. aktiv | MIT | vergleichbarer Bedarf wie K3 |
| GLM-5.2 | 744 Mrd. gesamt, rund 40 Mrd. aktiv | MIT | über 1 TB VRAM in BF16 |
Alle drei tragen ein Kontextfenster von einer Million Token. Die Rechenleistung dafür rechnet sich erst bei hohem, gleichmäßigem Durchsatz. Ein Stadtwerk mit einem zweistelligen Entwicklerteam erreicht diesen Punkt selten, und die Frage, ob sich lokale KI-Modelle auf eigener Hardware lohnen, beantwortet sich bei dieser Modellgröße meist mit nein.
Ein Modellwechsel ändert Antwortverhalten und Werkzeugnutzung. Wer den Anbieter tauscht, braucht eine Regressionsprüfung für die eigenen Agenten-Abläufe. Sonst verlagert sich das Risiko nur, statt kleiner zu werden.
Qualitätsunterschiede bestehen weiter. Sicherheitsbewertungen sehen chinesische offene Modelle bei Cybersecurity-Aufgaben hinter westlichen Spitzenmodellen, was bei sicherheitsrelevantem Code ins Gewicht fällt. Und der Konsultationsentwurf zu den neuen EnWG-Katalogen spart Beschaffung und Lieferkettensicherheit ausdrücklich aus. Das entlastet niemanden: Die Nachweispflicht aus NIS2 bleibt bestehen, ähnlich wie bei den Datenpflichten aus dem Data Act für Energieversorger.
Was Energieversorger jetzt tun sollten
Die Entscheidung lässt sich nicht aussitzen, weil die Entwicklungsteams KI-Werkzeuge ohnehin schon nutzen. Ohne Vorgabe entsteht Schatten-IT, und die ist im Audit schwerer zu erklären als eine bewusst getroffene Wahl. Der Einstieg beginnt deshalb nicht bei der Modellauswahl.
Der Stack in vier Schritten
-
Code klassifizieren
Trenne Repositories nach Schutzbedarf. Leitstellen- und Messstellenumfeld, Abrechnung und Kundendaten auf der einen Seite, Webauftritt und interne Werkzeuge auf der anderen. Diese Liste ist in einem Nachmittag erstellt und entscheidet alles Weitere.
-
Anbieter prüfen statt Versprechen glauben
Verlange Gerichtsstand, Auftragsverarbeitungsvertrag, eine Aussage zum Training auf Eingaben und die Speicherfristen schriftlich. Fehlt eines davon, fällt der Anbieter für schutzbedürftigen Code aus. Ohne Diskussion.
-
Harness portabel halten
Lege die Projektregeln in AGENTS.md ab und halte die Datei frei von anbieterspezifischer Konfiguration. Das ist deine Ausstiegsoption, und sie kostet dich beim Aufsetzen nichts.
-
Den Wechsel einmal proben
Wähle ein Modell für den Alltag und spiele den Anbieterwechsel bewusst einmal durch, bevor du ihn im Ernstfall brauchst. Ein Wechsel, der nie getestet wurde, ist keine Ausstiegsoption, sondern eine Absichtserklärung.
Vier Dinge gehören noch dazu. Erfasse, welche KI-Coding-Werkzeuge im Haus tatsächlich im Einsatz sind, einschließlich privater Konten. Formuliere eine kurze Richtlinie mit zwei Klassen, erlaubt und gesperrt, statt eines Regelwerks, das niemand liest. Nimm den KI-Coding-Stack in die Lieferkettenbetrachtung nach NIS2 auf. Und prüfe, ob eure bestehenden Rahmenverträge, etwa über kommunale Verbünde wie Thüga, schon eine geeignete Inferenz-Option enthalten. Ein vorhandener Vertrag ist schneller als eine neue Ausschreibung.
Bewertet werden Anbieter und Betriebsart, nicht ein einzelnes Modell. Das Modell, das ihr heute wählt, ist in sechs Monaten ersetzt. Der Vertrag nicht.
Weiterführende Informationen
Häufig gestellte Fragen
Ein souveräner KI-Coding-Stack ist eine Kombination aus drei getrennt austauschbaren Schichten: einem Coding-Agenten, der lokal läuft, einem Inferenz-Provider mit bekanntem Gerichtsstand und Auftragsverarbeitungsvertrag, und Modellgewichten unter einer Lizenz, die den Eigenbetrieb erlaubt. Erst wenn alle drei Schichten geklärt sind, ist die Aussage belastbar, dass Quellcode und Prompts die EU nicht verlassen.
Ein pauschales Verbot gibt es nicht. Das NIS2-Umsetzungsgesetz verlangt seit dem 6. Dezember 2025 Maßnahmen nach dem Stand der Technik und eine belegbare Betrachtung der Lieferkette. Praktisch heißt das: Code aus dem Leitstellen-, Messstellen- und Abrechnungsumfeld gehört nur zu einem Anbieter, dessen Gerichtsstand, Speicherfristen und Trainingspraxis vertraglich geklärt sind. Für unkritischen Code sind die Anforderungen niedriger.
Nein. Private Inferenz beschreibt, dass Anfragen und Antworten nicht gespeichert werden. Souveränität beschreibt, welchem Recht der Betreiber unterliegt. Ein US-Unternehmen mit Servern in Frankfurt verarbeitet Daten in der EU und bleibt trotzdem über den CLOUD Act erreichbar. Für einen NIS2-Nachweis zählt der Sitz des Betreibers und der Auftragsverarbeitungsvertrag, nicht das Versprechen, nichts zu protokollieren.
Drei Modelle führen das offene Feld an, alle mit einer Million Token Kontext. Kimi K3 von Moonshot AI hat 2,8 Billionen Parameter und liegt auf dem Artificial-Analysis-Intelligence-Index bei rund 57 Punkten. DeepSeek V4 Pro erreicht 80,6 Prozent auf SWE-bench Verified. GLM-5.2 von Zhipu AI hat 744 Milliarden Parameter, davon rund 40 Milliarden aktiv, und steht unter MIT-Lizenz auf Hugging Face.
In den meisten Fällen nicht. Kimi K3 wiegt als MXFP4-Download rund 594 Gigabyte und braucht mindestens acht H100-Beschleuniger, GLM-5.2 in BF16 über ein Terabyte VRAM. Diese Kosten rechnen sich erst bei hohem, gleichmäßigem Durchsatz. Ein Team mit zweistelliger Entwicklerzahl erreicht das selten. Die Souveränitätsfrage verschiebt sich damit vom Modell zum Provider.
AGENTS.md ist eine schlichte Markdown-Datei mit den Projektregeln für Coding-Agenten, ohne Schema und ohne Pflichtfelder. OpenAI hat das Format im August 2025 veröffentlicht und Ende 2025 an die Agentic AI Foundation der Linux Foundation übergeben. Codex CLI, GitHub Copilot, Cursor, Windsurf, Zed, OpenCode und inzwischen auch Claude Code lesen sie. Wer seine Regeln dort ablegt statt in anbieterspezifischer Konfiguration, kann das Werkzeug wechseln, ohne die Regeln neu zu schreiben.