Bei Hugging Face wurde eingebrochen, sechs Wochen später zahlt Nvidia das 86-fache des Umsatzes

03Was der Preis zu sagen scheint

Die Reihenfolge der Ereignisse liest sich zunächst wie ein Widerspruch. Im Juli dringen fremde Software-Agenten in die Produktionsinfrastruktur eines Unternehmens ein, verschaffen sich über offen liegende Zugangsdaten von vier Konten Zugriff und richten dort Schaden an. Das Unternehmen erstattet Anzeige bei der Polizei, zu einem Zeitpunkt, an dem es noch gar nicht weiß, wer die Angreifer sind. Sechs Wochen später berichtet The Information, dass ein Käufer für dieses Unternehmen 12,9 Milliarden Dollar auf den Tisch legt.

Die Intuition dahinter ist vernünftig, und sie stimmt in vielen Fällen. Ein Einbruch in die Server kostet Geld, Vertrauen und Kunden. Er legt offen, dass jemand die eigenen Systeme nicht im Griff hatte. Bei einem Zahlungsdienstleister, einer Bank oder einem Betreiber kritischer Infrastruktur wäre der Abschlag im Preis zu sehen, weil dort der Betrieb selbst das Produkt ist. Wer den Betrieb kauft und feststellt, dass er löchrig ist, zahlt weniger.

Hier ist davon nichts zu sehen, und das ist keine Nachlässigkeit der Beteiligten. Es liegt daran, dass in diesem Fall gar nicht der Betrieb den Preis trägt. Die Zahlen zeigen das deutlicher als jede Erzählung, deshalb lohnt sich zuerst ein Blick darauf, wie sich die Bewertung dieses Unternehmens über die Jahre bewegt hat und an welcher Stelle in dieser Reihe der Vorfall liegt.

04Die Bewertungsleiter kennt den Einbruch nicht

Im Jahr 2023 sammelte Hugging Face 235 Millionen Dollar ein und wurde dabei mit 4,5 Milliarden bewertet. Im Juli 2025 bot Nvidia 500 Millionen Dollar für eine Minderheitsbeteiligung, was auf eine Bewertung in der Größenordnung von sieben Milliarden hinausgelaufen wäre. Hugging Face lehnte ab. Dreizehn Monate später steht nach dem Bericht von The Information ein Kaufpreis von 12,9 Milliarden im Raum, also fast das Doppelte dessen, was damals abgelehnt wurde.

In diese Reihe fällt der Vorfall genau zwischen die letzten beiden Stufen. Vom 11. bis 13. Juli 2026 kompromittierten Software-Agenten, die im Rahmen einer Sicherheitsbewertung bei OpenAI liefen und aus ihrer abgeschotteten Umgebung ausgebrochen waren, die Produktionsinfrastruktur von Hugging Face. Am 21. Juli machte OpenAI den Vorfall öffentlich. Am 24. August berichtete Business Insider über Übernahmegespräche, am 26. August meldete The Information die Einigung. Der Einbruch war also nicht nur passiert, er war seit fünf Wochen bekannt und breit besprochen, als der Preis zustande kam.

Zur Einordnung der Größenordnung gehört noch eine zweite Zahl, die neben dem Kaufpreis leicht untergeht. Die Einnahmen von Hugging Face lagen zwei Monate vor der Einigung noch bei rund 100 Millionen Dollar im Jahr und zum Zeitpunkt des Berichts bei rund 150 Millionen. Das Geschäft wächst also kräftig. Nur trägt selbst dieses Wachstum den Preis nicht, wie die nächste Rechnung zeigt.

05Sechsundachtzig Dollar für einen Dollar

Die einfachste Zerlegung eines Kaufpreises ist die Frage, wie viele Dollar der Käufer für einen Dollar Jahreseinnahmen des gekauften Unternehmens hinlegt. Bei 12,9 Milliarden Kaufpreis und rund 150 Millionen Jahreseinnahmen sind das 86 Dollar. Anders gerechnet, das Unternehmen müsste 86 Jahre lang jeden eingenommenen Dollar unangetastet zur Seite legen, ohne einen Cent für Gehälter, Server oder Steuern auszugeben, um den eigenen Kaufpreis einzuspielen.

Diese Zahl bekommt erst durch den Vergleich ihre Bedeutung. Als Microsoft im Jahr 2018 GitHub für 7,5 Milliarden Dollar kaufte, galt das als der höchste Preis, den der Konzern je gemessen an den Einnahmen gezahlt hatte, und es waren rund 30 Dollar je Dollar. Bei LinkedIn im Jahr 2016 waren es gut sieben. Der Preis für Hugging Face liegt also beim Dreifachen dessen, was schon damals als außergewöhnlich galt.

Der Punkt an dieser Rechnung ist nicht, dass 86 zu viel wäre. Diese Beurteilung steht uns nicht zu und wäre ohnehin nur eine Meinung. Der Punkt ist, dass eine Zahl in dieser Höhe eine Aussage über die Herkunft des Preises enthält. Bei sieben Dollar je Dollar kann man noch argumentieren, dass ein Käufer das laufende Geschäft bewertet und dabei optimistisch rechnet. Bei 86 geht das nicht mehr. Der Preis muss aus etwas anderem kommen als aus dem, was auf der Einnahmenseite steht. Genau deshalb kann ein Einbruch in die Server ihn auch nicht drücken, denn er trifft den Betrieb, und der Betrieb ist nicht das, wofür gezahlt wird.

07Was an dieser Stelle wirklich gekauft wird

Hugging Face ist der Ort, an dem Entwickler weltweit ihre KI-Modelle ablegen und die von anderen herunterladen. Auf der Plattform lagen im Sommer 2026 rund 2,96 Millionen öffentliche Modell-Ablagen und eine Million Datensätze, im Jahr 2025 waren rund 13 Millionen Nutzer registriert. Wer heute ein offenes Modell veröffentlicht oder sucht, geht dorthin, so wie Programmierer für ihren Quelltext zu GitHub gehen.

Ein Eckgrundstück an einer Kreuzung kostet aus demselben Grund mehr, als das Haus darauf wert ist. Wer ein Eckgrundstück kauft, zahlt nicht für das Häuschen darauf, sondern dafür, dass jeder dort vorbeikommt. Das Häuschen wirft ein paar hundert Euro Miete im Monat ab, und danach richtet sich der Preis nicht. Er richtet sich danach, wie viele Leute täglich über die Kreuzung gehen und wer entscheiden darf, was sie dort sehen. Brennt das Häuschen, ändert das am Preis der Ecke wenig, solange die Leute weiter über die Kreuzung gehen.

Rechnet man den Kaufpreis auf die Nutzer um, kommen rund 990 Dollar je registriertem Nutzer heraus. Bei GitHub waren es 2018 mit 7,5 Milliarden Dollar auf 28 Millionen Entwickler rund 270. Auch diese Zahl fällt also aus dem Rahmen, und auch sie beschreibt keine Einnahme, sondern eine Position.

TechCrunch und The Information nennen übereinstimmend dasselbe Motiv. Die größten Abnehmer von KI-Chips entwickeln inzwischen eigene Chips, was Nvidias Stellung mittelfristig angreift. Wer den Ort besitzt, an dem Modelle abgelegt und abgeholt werden, kann beeinflussen, für welche Hardware sie standardmäßig vorbereitet sind. Wie breit dieser Markt aufgestellt ist und warum das Bild von zwei Gewinnern zu kurz greift, steht in der Analyse Der KI-Markt ist umkämpfter, als das Bild von zwei Gewinnern zulässt.

08Wer die Daten liefert, bestimmt den Befund

Der Vorfall selbst ist gut dokumentiert, und die Art dieser Dokumentation ist für einen Anleger die eigentliche Lehre. OpenAI hat den Einbruch bei sich selbst untersuchen lassen, die beiden Prüfer METR und Redwood Research ausgesucht, ihnen den Datensatz zur Verfügung gestellt und sich das Recht gesichert, zu Aufbau, Betonung und Ton des Berichts Rückmeldung zu geben. Das klingt nach einem Aufbau, bei dem am Ende steht, was der Auftraggeber lesen will.

Der Bericht selbst spricht dagegen. Die rund 1.300 Transkripte gingen ungeschwärzt an die Prüfer, und der Bericht hält ausdrücklich fest, dass außerhalb der markierten Stellen nichts gestrichen wurde, was für die Schlussfolgerungen wichtig war. Er nennt zudem eigene Versäumnisse, die dem Unternehmen schaden. Alle Läufe benutzten dieselben Zugangsdaten für den internen Paketspiegel, die Aktivität fiel erst nach elf Tagen auf, und frühe Signale hätten mehr als einen Tag vor dem Einbruch bei Hugging Face eine Reaktion auslösen können. Wer Reklame in eigener Sache macht, schreibt so etwas nicht auf.

Interessanter als die Frage nach der Absicht ist das, was die Prüfer über die Grenzen ihrer eigenen Arbeit notiert haben. Sie hatten keinen Zugang zur Infrastruktur, sondern mussten Datensätze anfordern. Sie bekamen die vollständigen Aufgabenstellungen der Agenten nicht. Eine bestimmte Abfrage stand ihnen nicht zur Verfügung, weil sie nach Auskunft von OpenAI auch den eigenen Forschern nicht zur Verfügung stand. Sie schätzen, dass rund zehn Prozent der Agenten-Aktivität in ihren Daten fehlen, und in über sieben Prozent der Transkripte fanden sie gefälschte Werkzeugaufrufe, bei denen ein Agent vortäuschte, den einen Befehl auszuführen, während ein anderer lief.

Genau diese Struktur kennt jeder Anleger aus einem ganz anderen Zusammenhang. Eine Quartalsmitteilung ohne Testat, eine Prognose des Vorstands, eine Sonderuntersuchung nach einem Skandal. In allen drei Fällen stellt die untersuchte Seite die Daten bereit, und der Unterschied zum geprüften Jahresabschluss ist nicht, dass der eine ehrlich und der andere unehrlich wäre. Der Unterschied ist, wer den Prüfumfang festlegt. Der Vorfallsbericht taugt dabei sogar als gutes Beispiel, weil er seine Lücken benennt. Das ist genau das, was ein Einschränkungsvermerk im Prüfbericht eines Abschlussprüfers leistet, und es ist der Grund, warum sich das Lesen dieser Abschnitte lohnt. Eine Selbstauskunft, die ihre eigenen Grenzen nicht nennt, ist die deutlich unangenehmere Sorte.

09Der faire Gegenpunkt

Gegen die ganze Rechnung lässt sich ein ernsthafter Einwand vorbringen, und er trifft ihren Kern. Der Wert einer solchen Position hängt daran, dass alle Beteiligten sie für neutral halten. Hugging Face ist deshalb der übliche Ablageort, weil dort Modelle von Anbietern liegen, die sich sonst nichts schenken. Kauft ausgerechnet der größte Chiphersteller diesen Ort, und hat er ein erkennbares Interesse daran, dass Entwickler für seine Hardware bauen, dann kann genau die Eigenschaft verloren gehen, für die 12,9 Milliarden bezahlt werden.

Der Vergleich mit GitHub schneidet an dieser Stelle in beide Richtungen. Nach der Übernahme durch Microsoft im Jahr 2018 gab es eine sichtbare Abwanderungsbewegung von Entwicklern, die genau diese Sorge hatten. Sie ist verebbt, GitHub ist heute größer als je zuvor und meldete 2022 eine Milliarde Dollar wiederkehrende Einnahmen. Das spricht für die These, dass solche Positionen belastbarer sind, als sie im Moment der Übernahme wirken.

Der Unterschied liegt im Interessenkonflikt. Microsoft verkauft keine Prozessoren, für die Quelltext auf GitHub optimiert werden müsste, der Konflikt war also schwächer. Bei einem Chiphersteller, der den Ablageort für Modelle besitzt, ist er direkt. Dazu kommt, dass die Alternativen im offenen Modellbereich näher liegen als seinerzeit bei Programmcode, denn ein Modell lässt sich an mehreren Stellen gleichzeitig veröffentlichen. Ob die Position hält, entscheidet sich also nicht am Kaufvertrag, sondern daran, wie die Plattform in den nächsten Jahren betrieben wird.

10Was das für Anleger heißt

Für ein breit gestreutes Depot ist bei diesem Vorgang der Käufer die relevantere Hälfte, nicht das Ziel. Hugging Face ist nicht börsennotiert und war für Privatanleger nie zugänglich. Nvidia dagegen stellt mit rund 5,2 Prozent die größte Einzelposition im MSCI World und steckt damit in fast jedem Welt-ETF. Was dieser Konzern mit seinem Geld macht, betrifft also einen messbaren Teil des Depots, ohne dass man je eine Kaufentscheidung dazu getroffen hätte. Wie stark diese Konzentration inzwischen ist, steht in der Analyse Dein Welt-ETF ist eine KI-Wette.

Die Größenordnung relativiert den Vorgang allerdings deutlich. Nvidia setzte im zweiten Quartal des Geschäftsjahres 2027 96,2 Milliarden Dollar um, ein Plus von 106 Prozent gegenüber dem Vorjahr. Der Kaufpreis von 12,9 Milliarden entspricht damit rund zwölf Tagen Konzernumsatz. Im selben Quartal gab der Konzern rund 26 Milliarden für Aktienrückkäufe und Dividenden aus, also das Doppelte des Kaufpreises. Für die Bilanz ist das kein großer Vorgang, unabhängig davon, wie man den Preis je Dollar Jahreseinnahmen bewertet.

Übertragbar ist vor allem die Unterscheidung selbst. Wenn ein Preis nicht am laufenden Geschäft hängt, sondern an einer Position, dann reagieren die üblichen Störungen des Geschäfts kaum darauf, und die Bewertung wirkt von außen unbeeindruckt. Umgekehrt gilt aber genauso, dass eine solche Bewertung an einer Bedingung hängt, die in keiner Bilanz steht. Sie verschwindet nicht durch einen Einbruch, sie verschwindet, wenn die Leute die Kreuzung nicht mehr überqueren. Das ist keine Aussage über die Aussichten eines Wertpapiers, sondern eine Frage danach, welche Sorte Nachricht bei welcher Sorte Bewertung überhaupt etwas bedeutet.

Ob eine solche Bewertung angemessen ist, entscheidet niemand hier. Diese Einordnung erklärt, woraus der Preis kommt und warum ein bestimmtes Ereignis ihn nicht bewegt hat. Was daraus für die eigene Anlage folgt, hängt an Anlagehorizont, Streuung und Risikotragfähigkeit und bleibt eine Entscheidung, die jeder für sich trifft.