Finanzchefs sehen KI erst bei jeder sechsten Firma im Plus, ChatGPT zählt ab Dezember Token

Nur bei 17 Prozent der Unternehmen lohnt sich KI bisher. So steht es in der CFO Survey Herbst 2026 der Beratungsgesellschaft Deloitte, veröffentlicht am 29. Oktober. Befragt wurden zwischen April und September 126 Finanzvorstände deutscher Firmen, knapp zwei Drittel davon mit mehr als 500 Millionen Euro Umsatz, am häufigsten aus dem Maschinenbau. In zwei Jahren erwarten 70 Prozent einen positiven Wertbeitrag. Bisher kommt der Nutzen vor allem aus moderaten Kostensenkungen. Interessanter finde ich die Zahlen dahinter. Nur knapp die Hälfte der Unternehmen kann beziffern, was sie aktuell und künftig für KI ausgibt. Das Einsparpotenzial im eigenen Haus benennen können sogar nur 17 Prozent der CFOs. Das Geld fließt laut Deloitte vor allem in Lizenzen und Token. Token sind die Abrechnungseinheiten, in denen KI-Anbieter jede verarbeitete Textmenge berechnen. In Infrastruktur und neue Abläufe wird deutlich weniger investiert. Wenn schon Großunternehmen mit eigener Finanzabteilung nicht wissen, was ihre KI kostet und bringt, sieht es im Mittelstand kaum besser aus. Die 17 Prozent sagen deshalb wenig über die Technik und viel über die Buchführung. Wer seine KI-Ausgaben pro Anwendung kennt, gehört schon zur Minderheit, und nur diese Minderheit kann später belegen, warum sich etwas rechnet.

Viele Portale, mit denen ein Betrieb täglich arbeitet, haben keine Programmierschnittstelle, also keinen direkten Anschluss für andere Software. Das gilt für manches Lieferantenportal, das Kundenkonto beim Versicherer oder die Bestellseite des Großhändlers. Ein Agent kommt dort nur weiter, wenn er die Seite bedient wie ein Mensch. LangChain, Anbieter eines verbreiteten Baukastens für Agenten, hat seinen Hosting-Dienst Managed Deep Agents am 29. Oktober deshalb um einen Browser erweitert. Version 0.10 ist als öffentliche Beta verfügbar. Der Browser läuft in einer Sandbox, einer abgeschotteten Umgebung ohne Zugriff auf das übrige System, und der Agent kann darin Seiten auslesen, klicken und Bildschirmfotos machen. Die wichtigste Neuerung ist für mich die Übergabe an den Menschen. Verlangt eine Seite eine Anmeldung oder einen zweiten Faktor per SMS oder App, reicht der Agent das Browserfenster an die zuständige Person weiter. Sie meldet sich selbst an, und das Passwort taucht weder in den Nachrichten an das Modell noch in den Protokollen auf. Der Übergabelink verfällt nach 15 Minuten. Auf Wunsch bleiben die Anmeldungen einer Person über mehrere Gespräche erhalten. Neu sind außerdem asynchrone Unteragenten. Der Hauptagent schickt einen Helfer los, etwa für eine längere Recherche, und bleibt währenddessen ansprechbar. Das Ergebnis meldet sich von selbst zurück. Damit lassen sich Routinegänge durch Webportale automatisieren, ohne einem Modell Zugangsdaten anzuvertrauen. Gebaut wird allerdings mit Code. Als Klick-Baukasten für die Fachabteilung taugt das Angebot nicht.

Ein frei herunterladbares KI-Modell hat sechs Firefox-Versionen in Folge geknackt. Das Forschungsinstitut Epoch AI hat den Versuch am 29. Oktober veröffentlicht. Das Modell GLM 5.3 des chinesischen Anbieters Z.ai nutzte die sogenannte Patch-Lücke. Gemeint ist die Zeit zwischen dem Moment, in dem eine Sicherheitskorrektur öffentlich im Quellcode steht, und dem Moment, in dem sie bei den Nutzer:innen ankommt. Aus den Korrekturen leitete das Modell ohne weitere Hilfe Schwachstellen ab und baute daraus einen Angriff. Eine präparierte Webseite konnte so lokale Dateien auslesen, darunter möglicherweise gespeicherte Passwörter. Pro Firefox-Version kostete das rund 1.000 US-Dollar Rechenzeit, der schnellste Erfolg gelang nach etwa zwölf Stunden. Bei Chrome scheiterte derselbe Aufbau bisher. Mozilla hat seinen Veröffentlichungstakt halbiert und liefert neue Versionen inzwischen wöchentlich aus. Wer Browser-Updates im Betrieb wochenlang liegen lässt, lässt die Tür offen, und den Einbruch kann sich jetzt auch ein Angreifer mit kleinem Budget leisten.

Die KI-Kostenliste pro Anwendung Knapp die Hälfte der von Deloitte befragten Großunternehmen weiß nicht genau, was ihre KI kostet. Im Mittelstand reicht für den Anfang eine Tabelle mit einer Zeile pro Anwendung, etwa Angebotsentwürfe, Mail-Sortierung oder Übersetzungen, auch wenn mehrere davon im selben Werkzeug laufen. Die erste Spalte hält fest, was die Anwendung erledigt und wer sie verantwortet. In die zweite kommen die monatlichen Kosten, also Lizenzanteil, Token-Rechnung und grob geschätzt die Arbeitszeit für Pflege und Kontrolle. Läuft ein Werkzeug für mehrere Zwecke, wird der Lizenzpreis nach Nutzung aufgeteilt. Eine Schätzung genügt. Die dritte Spalte beschreibt den Nutzen in einer Einheit, die der Betrieb ohnehin kennt, zum Beispiel eingesparte Stunden pro Woche, schneller verschickte Angebote oder weniger Rückfragen. Ohne eine Vorher-Zahl bleibt jeder Nutzen Gefühlssache. Die vierte Spalte enthält das Datum der nächsten Prüfung, vierteljährlich reicht. Wer nach drei Monaten in einer Zeile keinen Nutzen eintragen kann, streicht die Anwendung oder baut sie um. Nebenbei zeigt die Liste, wo ab Dezember Token-Kontingente knapp werden könnten. Bei ChatGPT ändert sich die Abrechnung, mehr dazu weiter unten.

ChatGPT rechnet ab Dezember in Token ab. In den Tarifen Plus, Pro und Business teilen sich ChatGPT und das Programmierwerkzeug Codex dann ein gemeinsames Kontingent. Aufwendige Modelle und Aufgaben verbrauchen mehr davon, einfache Chats mit dem Instant-Modell zählen nicht. Ist das Kontingent aufgebraucht, hilft nur Warten auf die Rücksetzung, ein höherer Tarif oder zugekauftes Guthaben, berichtet The Decoder unter Berufung auf OpenAIs Hilfeseite. Wer im Team viel mit Codex arbeitet, sollte im Dezember prüfen, ob für die normalen Chats noch genug übrig bleibt. Eine manipulierte Version der Claude-Code-Erweiterung lag am 29. Oktober rund einen halben Tag im Marktplatz des Code-Editors Cursor. Sie hinterlegte auf Windows- und Mac-Rechnern einen fremden SSH-Schlüssel, also einen Fernzugang, und schickte Rechnerdaten an die Angreifer. Betroffen sind die Versionen 2.1.312 und 2.1.313, laut The Hacker News haben höchstens 5.000 Nutzer:innen sie installiert. Cursor hat Prüfskripte veröffentlicht und warnt, dass Deinstallieren allein womöglich nicht reicht. Wer Beschäftigte oder Dienstleister mit Cursor arbeiten lässt, sollte die Prüfung jetzt anstoßen und die Zugangsdaten dieser Rechner erneuern.