Ding Linwei war Google-Ingenieur und Experte für KI. War er auch ein chinesischer Spion?

Das Bundesbezirksgericht für Nordkalifornien ist ein Betonklotz in San Franciscos Innenstadt, 21 Stockwerke hoch, 60 Jahre alt. An einem Mittwochmittag Ende Mai steht Ding Linwei im Eingangsbereich – gebügeltes blaues Hemd, saubere New-Balance-Turnschuhe. Nach dem Sicherheitscheck sammelt Ding seine Sachen ein, Schlüssel, Handy, viel hat er an diesem Tag nicht bei sich. 45 Minuten später sitzt er im 17. Stock im Gerichtsraum Nummer 4 auf der Anklagebank.

Die Vorwürfe gegen die gebürtigen Chinesen sind gewaltig. Er soll als Mitarbeiter von Google wichtige Firmengeheimnisse gestohlen und nach China verkauft haben. Es geht um Datenzentren für Supercomputer, also superschnelle Rechner, mit denen Google seine Modelle zur künstlichen Intelligenz trainiert. Google zählt weltweit zur Speerspitze in der KI-Forschung. Die Informationen, die Ding entwendet haben soll, sind so etwas wie die Kronjuwelen der amerikanischen Technologieforschung.

Für den 38-jährigen Ding steht viel auf dem Spiel: Für jeden der vier Anklagepunkte drohen ihm zehn Jahre Gefängnis und 250 000 Dollar Geldstrafe. Schon jetzt hat er viel verloren – seinen Topjob bei Google, seine Karriere im amerikanischen Technologiesektor, seine Zukunft in den USA. Nun steht auch noch seine Freiheit auf dem Spiel. Man fragt sich: Warum? Für wen oder was hat er all das riskiert?

Heute ist der erste Tag der Vorverhandlung, das bedeutet: Nur die Anwälte reden. Ding sitzt auf einem Holzstuhl an einem langgezogenen Tisch – links die Verteidigung, rechts die Anklage – und schaut sich im Gerichtssaal um. Auf den Bänken eine Handvoll Zuschauer und ein Sicherheitsmann, holzvertäfelte Wände, an einer prangt ein mannhohes Signet mit dem Wappen des Bundesgerichts. In einer Ecke steht die amerikanische Fahne, Stars and Stripes. Die Autorität der Justiz scheint greifbar.

In der Mitte sitzt Ding, schweigend. Mit seiner schwarzen Hornbrille und dem akkurat getrimmten Haar erinnert er an einen Studenten.

Sieht so ein Industriespion im 21. Jahrhundert aus? Die amerikanische Regierung glaubte: ja. Das machte der Justizminister Merrick Garland klar, als seine Behörde Anfang März die Anklage gegen Ding öffentlich machte. „Das Justizministerium wird nicht den Diebstahl von KI und anderen Technologien tolerieren, was unsere nationale Sicherheit in Gefahr bringen könnte“, teilte er mit. Auch der Chef der Bundespolizei FBI, Christopher Wray, vertrat die Auffassung: „Die heutigen Vorwürfe sind das jüngste Beispiel dafür, wie weit chinesische Firmen und ihre Vertreter zu gehen bereit sind, um amerikanische Innovationen zu stehlen.“

Agierte Ding allein – oder im Auftrag Pekings? Handelte er aus Gier, verführt von der Aussicht auf schnelles Geld und Ruhm? Oder war er Teil des größeren Plans des Partei- und Staatschefs Xi Jinping, China zur führenden KI-Macht zu machen?

Wie unter einem Vergrösserungsglas zeigt der Fall ganz konkret, welche Formen der technologische Wettlauf zwischen den Supermächten annimmt. Und wie dabei die Grenzen zwischen Staat, Industrie und Privatpersonen verschmelzen.

Im Mittelpunkt steht dabei die künstliche Intelligenz. Eineinhalb Jahre nach dem Start des Chatbots Chat-GPT revolutioniert sie jeden Industriezweig: Bildung, Forschung, bald wohl auch die Kriegsführung. KI dürfte die Dampfmaschine des 21. Jahrhunderts werden – eine Schlüsseltechnologie, die das Wirtschaftswachstum in neue Bahnen lenken und über Jahrzehnte hinaus antreiben wird.

Noch haben die USA die Nase vorn, um genau zu sein: das Silicon Valley. Firmen wie Google, Nvidia und Open AI stehen an der Spitze der weltweiten KI-Forschung. Die schnellsten Chips und komplexesten Sprachmodelle stammen von ihnen. In Nordkalifornien, auf einer Fläche so groß wie der Schweizer Kanton Wallis, tüfteln die klügsten Köpfe Amerikas, ja der Welt daran, wie man die Technologie vorantreiben kann.

Doch China sitzt den USA im Nacken. In manchen Bereichen, etwa bei der Gesichtserkennung, liegt die Volksrepublik bereits vorne. „Im Bereich der Sprachmodelle stehen die beiden Länder dicht an dicht“, sagt der Computerexperte Bart Selman von der Cornell University im Gliedstaat New York. Amerikas Vorsprung betrage vielleicht ein Jahr. «Ich erwarte schon bald einen Forschungsdurchbruch, der aus China kommt.»

Technologie ist Geopolitik, das hat Xi Jinping begriffen. Bis 2030 haben die Machthaber angeordnet, solle, ja muss die Volksrepublik in dem Bereich geführt sein.

Um das Ziel zu erreichen, scheinen viele Mittel recht. Tatsächlich reiht sich der Fall Ding in einer bemerkenswerten Serie ähnlicher Vorfälle ein, bei denen chinesischstämmige Mitarbeiter Industriegeheimnisse von Silicon-Valley-Firmen stahlen und nach China verkauften. Das Ausmass ausländischer Industriespionage ist derart gewaltig geworden, dass das amerikanische Justizministerium vergangenes Jahr unter dem Namen Disruptive Technology Strike Force eine eigene Einsatzgruppe geschaffen hat.

Ein schüchternes Lächeln, Pulli mit Stehkragen, im Hintergrund der Colorado River als Symbol des amerikanischen Westens – auf der Karriereplattform Linkedin präsentierte sich Ding Linwei jahrelang als sympathischer junger Mann. Ding ist Mitte der achtziger Jahre in China geboren. Chinesische Medien beschreiben ihn als Überflieger, der schon in der Schule hervorstach. Bereits als Teenager arbeitet er laut NZZ-Recherchen als Softwareingenieur in der Küstenstadt Dalian. Mit 20 Jahren schafft es Ding an die chinesische Spitzenuniversität Dalian University of Technology.

Die Universität erhält im selben Jahr eine spezielle Geheimhaltungsstufe. Das ermöglicht es ihr, ein staatliches wie privates Projekt im Bereich der Verteidigungstechnologie zu fördern. Seitdem hat die Hochschule ihre Zusammenarbeit mit der chinesischen Armee ausgeweitet.

Das spiegelt sich auch in den Forschungsarbeiten wider. Im Jahr 2010 veröffentlichen Wissenschaftler der Universität eine bemerkenswerte Studie: Sie beschreibt, wie man nur ein kleines Teilstück des amerikanischen Stromnetzes angreifen müsste, um das gesamte Stromnetz an der Westküste erlahmen zu lassen. Im selben Jahr schliesst Ding sein Studium der Elektro- und Informationstechnik ab.

Den Bachelor frisch in der Tasche, verlässt Ding China, um in den USA weiterzustudieren. 2012 erhält er von der renommierten privaten Hochschule University of Southern California einen Masterabschluss in Elektroingenieurwissenschaften.

Von nun an pendelt er zwischen den Welten, wie NZZ-Recherchen zeigen: Zunächst arbeitet er in den USA für zwei amerikanische Firmen im Gesundheitssektor. 2014 kehrt er nach China zurück und wird vom Telekomriesen China Mobile gestellt. Doch noch im selben Jahr zieht er erneut in die USA und arbeitet für zwei Computerchip-Firmen. 2018 stellt ihn der führende chinesische Hersteller von Computerchips, Illuvatar Corex, an.

Ding sucht immer wieder die Verbindung mit seinem Heimatland – auch während er in den USA lebt. Dort schliesst er sich einem Verein für Überseechinesen aus Dalian an. Forschungsarbeiten zu diesen Vereinen zeigen, dass sie den Zweck verfolgen, Chinesen im Ausland auf Parteilinie zu halten oder einzelne gar für nachrichtendienstliche Arbeiten – wie Spionage – einzuspannen.

Ding ist erst Anfang 30 und bereits international erfahrener IT-Ingenieur, sowohl in China als auch in den USA. Doch der Höhepunkt seiner Karriere kommt erst.

Im August 2019 erhält Ding eine Stelle beim Technologieriesen Google – ein Lebenstraum für viele Ingenieure. Auch privat läuft es hervorragend: Mit einem gleichaltrigen Mann hat er ein paar Monate zuvor eine frisch renovierte Eigentumswohnung in Newark gekauft, am südlichen Ende der San Francisco Bay: vier Zimmer, drei Bäder, in einem hübschen Wohnkomplex gelegen.

Bei Google darf Ding im Hauptbereich des Konzerns arbeiten, bei der künstlichen Intelligenz. Es ist ein komplexes Feld. Google entwickelt spezielle Computermodelle, die Muster in riesigen Mengen von Bildern, Fotos, Programmcode und anderen Daten erkennen und daraus lernen, eigene Antworten zu generieren. Die Analyse all dieser Daten – das sogenannte maschinelle Lernen – frisst allerdings große Mengen an Rechenkapazität. In eigenen Supercomputing-Datenzentren stellt Google diese Rechenleistung bereit. Das Herzstück der Anlagen bilden hochmoderne Computerchips. Manche von ihnen, die sogenannten Tensor Processing Units (TPU), haben der Konzern in jahrelanger, teurer Forschungsarbeit selbst entwickelt.

Welche Berechnungen in dem Rechenzentrum wie ausgeführt werden, steuert Google über eine eigene Softwareplattform – und genau an dieser arbeitet Ding. Sie funktioniert wie das Gehirn des gesamten Rechenzentrums.

Google gibt sich alle Mühe, seine KI-Arbeiten zu schützen: Die Aktivitäten in den Systemen werden überwacht – wer loggt sich wann von wo ein? –, ebenso beobachten Kameras und Wachmänner die Gebäude mit den Rechenzentren. Selbst Google-Angestellte kommen nur hinein, wenn sie sich mit einem entsprechenden Mitarbeiterausweis einloggen können. Auch Ding muss Geheimhaltungsvereinbarungen unterzeichnen. Als Teil desselben verpflichtet er sich dazu, für keine andere Firma in einem verwandten Bereich zu arbeiten.

Er hält sich auch daran. Zunächst.

Im Jahr 2022 geht der KI-Wettlauf zwischen den USA und China in die nächste Runde. China macht rasche Fortschritte, doch die Amerikaner haben einen einzigartigen Vorteil in der Hand: Fast alle Maschinen zur Produktion von besonders leistungsstarken Chips stammen aus den USA, China ist abhängig von den USA. Gleichzeitig braucht China die hochmodernen Halbleiter, wenn es bei der KI-Entwicklung in der ersten Liga spielen will – auch aus militärischer Sicht. KI-Technologie könnte etwa bei Massenvernichtungswaffen, Hyperschallraketen oder autonomen Waffensystemen zum Einsatz kommen.

Der amerikanische Präsident Joe Biden verschärfte 2022 das globale Wettrennen um Chiptechnologie und ergreift bemerkenswerte Schritte: Erstens beschließt er, die heimische Chipindustrie mit über 50 Milliarden Dollar zu fördern. Zweitens verbietet er den Export von hochmodernen Computerchips nach China. Dritte schließen sich mit den Regierungen in den Niederlanden und Japan zusammen, sodass auch sie den Verkauf nach China stoppen. Die Exportbeschränkungen sind umfassend. Auch Maschinen für die Herstellung der Chips fallen darunter.

In China bleiben nun kaum noch Möglichkeiten, an Hochleistungschips zu kommen. Es könnte sie selbst entwickeln – das brauchte viel Zeit. Es könnte versucht werden, sie über Drittländer heimlich und illegal zu importieren. Oder es könnte seine Nachrichtendienste darauf einsetzen, ausländische Firmen auszuspionieren. Experten glauben, dass Letztgenanntes für Chinas Regierung Priorität hat.

Ding arbeitet im Jahr 2022 noch immer für Google – noch nie ist er so lange bei einer Firma geblieben. Doch im Mai beginnt er plötzlich, vertraulich Firmendokumente auf sein persönliches Google-Cloud-Konto zu laden.

Er weiß, dass dies verboten ist, und geht vorsichtig vor: Er kopiert die Informationen aus den vertraulichen Firmendokumenten erst in ein separates Notizen-Programm auf seinem Mac-Computer. Dann wandelt er die Notiz in PDF-Dokumente um, bevor er sie auf sein privates Google-Konto hochlädt. Auf diese Weise wird es geschafft, dass Googles interne Systeme zunächst keinen Alarm schlagen.

Mehr als 500 Dokumente werden in den nächsten Monaten verwendet. Was genau darin steht, sei nicht abschliessend bekannt, sagt der Computerspezialist Selman, aber „sehr wahrscheinlich sind die Unterlagen sehr detailliert“. Klar sei, dass die entwendeten Daten, erstens, die von Google entwickelte Rechenplattform beschreiben. Diese zählen zu den fortschrittlichsten für das Training von KI-Modellen überhaupt. „Wir reden von mindestens einem Jahrzehnt Forschung“, sagt Selman. Wie sich der Diebstahl auf Googles Führungsstellung in der KI auswirke, hänge ganz davon ab, wie weit diese Informationen bereits verbreitet worden seien.

Zweitens sind unter den entwendeten Daten auch Baupläne für Googles Hochleistungschips – genau die Chips, die China unbedingt braucht, um in der KI-Entwicklung die nächsten entscheidenden Fortschritte zu erzielen.

In der Tat scheint es so, dass Ding diese Dateien als Hebel nutzt, um in China Geschäftskontakte zu knüpfen. Keine drei Wochen nachdem er die ersten Daten gestohlen hat, erhält Ding E-Mails vom CEO eines Tech-Startups in Peking namens Beijing Rongshu Lianzhi Technology. Rongshu will Trainingsplattformen für KI-Modelle entwickeln – also genau das, was Google tut. Der CEO wird Ding als Cheftechnologen bewerben und bietet ihm umgerechnet 14 800 Dollar monatlich, plus Boni und Firmenanteile.

Das ist ein großes Gehalt in China, aber weniger als das, was ein Topingenieur bei Google verdient hat. Doch Ding hat nicht vor, bei Google zu kündigen. Er sagt bei Rongshu zu. Sein Doppelleben beginnt.

Ende Oktober 2022 fliegt Ding nach China und bleibt mehrere Monate, was Google nicht aufzufallen scheint. Er soll für Rongshu auf Investorenkonferenzen Kapital antworten. Auf der Website der Firma wird er ab April 2023 als der Technologiechef genannt. Auf dem Foto präsentiert er sich ganz anders als auf seinem Linkedin-Profil in den USA: Er trägt keine Brille, dafür Anzug und Jackett, die Haare sind gestutzt. Ding wirkt reifer – genau so, wie sich chinesische Investoren einen Cheftechnologen mit Arbeitserfahrung in den USA wünschen.

Google wiederum hat keine Ahnung von Dings Zweitkarriere in China. Monatelang läuft Dings Doppelleben verblüffend reibungslos. Offenbar ermutigt von seinen Erfolgen, geht er immer mehr Risiken ein. Im Mai 2023 gründete er ein eigenes Startup in China: Shanghai Zhisuan Technology. Im Oktober desselben Jahres wurde er das Unternehmen offiziell registriert.

Auch in einer internen Chat-Gruppe von Dings chinesischer Firma Zhisuan zirkulierte ein Dokument, in dem die Firma dreist mit Dings Verbindung zu Google wirbt: „Wir haben Erfahrung mit dem Supercomputer von Google. Wir müssen ihn nur kopieren und verbessern, um einen Supercomputer zu entwickeln, der an Chinas nationale Bedingungen angepasst ist.»

Für KI-Unternehmer wie Ding ist China ein Eldorado: viele staatliche Förderprogramme, wenig regulatorische Hindernisse. Allerdings lässt sich im Privatsektor nur schwer das nötige Geld für Grundlagenforschung auftreiben.

Das macht Industriespionage umso attraktiver. Sie ermöglicht, Zeit und Kosten langfristiger Forschung und Entwicklung zu überspringen und direkter zum Ziel zu kommen. Genau das haben die zwei Startups vor, an denen Ding beteiligt ist.

In China ist Ding Startup-Gründer und Cheftechnologe, im Silicon Valley Google-Ingenieur. Dass Google davon immer noch nichts bemerkt hat, erklärt sich auch damit, dass sich Ding Hilfe von einem Kollegen holt. Der Scannt Dings Badge morgens am Arbeitsplatz. So sieht es für Googles Systeme aus, als erscheine Ding nach wie vor zur Arbeit. Alles läuft wunderbar reibungslos – bis Ding einen Fehler macht.

Ende November 2023 reiste er wieder nach China. Erneut loggt er sich in Googles Netzwerk ein und lädt vertrauliche Dokumente herunter. Doch dieses Mal schlägt Googles Systeme Alarm.

Wurde Ding diesmal falsch gemacht? War er leichtsinnig geworden und hatte seinen Aufenthalt außerhalb der USA nicht mit dem passenden VPN-Zugang verheimlicht? Hatte er die Dateien direkt kopiert und so die Sicherheitssysteme alarmiert? Die Anklageschrift der amerikanischen Justizbehörden gibt keine Antworten, aber Hinweise: Während Ding in China Googles Dateien kopiert, scannt in Kalifornien ein Kollege Dings Badge am Arbeitsplatz ein. Dings Ausweis verortet ihn auch in Mountain View, sein Computer aber andersorts – das dürfte einen Alarm ausgelöst haben.

Google konfrontierte ihn mit dem Datendiebstahl, doch Ding spielt den Vorfall herunter. Seine Vorgesetzten lassen sich schriftlich bestätigen, dass er alle vertraulichen Informationen von seinen privaten Geräten gelöscht hat. Ding stimmte zu. Dass er bereits zuvor Hunderte Dokumente entwendet hatte, verschweigt er. Auch über seine Arbeiten bei Rongshu oder Zhisuan verliert er kein Wort. Er beteuert, dass er nicht vorhabe, zu kündigen.

Tatsächlich beschließt das Ding aber, sein Doppelleben zu beenden. Er setzt alles auf eine Karte: China. Es muss schnell gehen. Am 14. Dezember 2023 bucht er einen Flug für den 7. Januar von San Francisco nach Peking – ohne Rückflug. Kurz nach Weihnachten reicht er bei seinem Manager die Kündigung bei Google ein. Sein letzter Arbeitstag soll der 5. Januar sein.

Bei Google wird man jedoch misstrauisch. Die Firma fängt an zu recherchieren und findet heraus, dass Ding an einer Investorenkonferenz eines Gründerzentrums in Peking Ende November als CEO des Startups Zhisuan aufgetreten ist. Später werden Fotos und Videos im Netz von dieser Konferenz auftauchen, die zeigen, wie selbstsicher sich Ding Linwei vermarktet – und wie verblüffend offen er mit seiner Arbeit bei Google wirbt: In rotem T-Shirt steht er auf der Bühne, hinter ihm eine riesige Leinwand . Darauf stehen Dings eigene Worte, mit denen er seine Erfahrung anpreist: „Es gibt weniger als zehn Personen weltweit, die in der Lage sind, eine Rechenplattform mit zehntausend Hochleistungschips zu entwerfen und aufzubauen.“

Ding schaffte es auch, dass ein Förderprogramm sein Startup Zhisuan aufnahm – und außerdem Anteile an Zhisuan kaufte, 7 Prozent für umgerechnet 300 000 Dollar.

Google sperrt sofort den Zugriff auf das Firmennetzwerk und seinen Computer. Kurz darauf fliegt auch auf, dass zwischen Mai 2022 und Dezember 2023 Hunderte vertrauliche Dokumente heruntergeladen wurden. Videoaufnahmen der Überwachungskameras enthüllen außerdem, wie ein anderer Mitarbeiter immer wieder Dings Ausweis am Arbeitsplatz eingescannt hat. Nun Google schaltet die Bundespolizei FBI ein.

Am 4. Januar taucht Googles Sicherheitspersonal in Dings Wohnung auf und konfisziert seinen Geschäftslaptop und sein Firmenhandy. Kurz danach durchsucht auch das FBI die Wohnung. Auf elektronischen Geräten und in seinen Google-Drive-Konten werden die geheimen Dokumente gefunden, die unter das Betriebsgeheimnis gefallen sind.

Am 6. März 2024 wird Ding zu Hause in Newark festgenommen.

Ding hat eine zweite Hypothek auf seine Wohnung aufgenommen, um seine Gerichtskosten zu decken. Gegen eine Kaution von 150 000 Dollar ist er zur Zeit auf freiesm Fuss. Er plädiert auf nicht schuldig. Doch die Beweislast ist erdrückend. Sein Anwalt dürfte versuchen, sich mit der Staatsanwaltschaft auf ein Schuldeingeständnis zu einigen, um mit einer milderen Strafe für Ding davonzukommen. Das deuten beide Parteien bei der Vorverhandlung an diesem Mittwoch im Mai an.

Ding sagt selber an dem Tag nichts. Mit Journalisten wolle er nicht sprechen, lässt sein Verteidiger ausrichten. Nach dem Ende der Verhandlung, im Aufzug eingepfercht zwischen seinen Anwälten, Reportern, Fremden, wirkt Ding nervös. Er nickt mehrfach, obwohl niemand redet, und murmelt kaum hörbar zu sich selbst. Im zweiten Stock – Cafeteria – gehen die Türen auf. Ding und seine Anwälte steigen aus, sie wollen sich nun besprechen.

Auch Google dürfte es kommen, falls sich die Parteien vorab außergerichtlich einigten. Tech-Firmen haben solche Gerichtsprozesse: Im Zuge einer ordentlichen Verhandlung drängt meist Interna an die Öffentlichkeit.

In einem ähnlichen Fall bei Apple kam der Angeklagte dank eines Schuldeingeständnis mit 120 Tagen Haft davon. Ein paar Monate Gefängnis für den Diebstahl millionenschwerer Handelsgeheimnisse? Sollten bei Ding keine Verbindungen zum chinesischen Geheimdienst festgestellt werden und es tatsächlich zu einer außergerichtlichen Einigung mit Google kommen, könnte die Strafe für Ding verhältnismäßig gering ausfallen. Das glaubt auch der Computerexperte Selman von der Cornell University und weist darauf hin, dass Ding seine Arbeitsbewilligung in den USA verlieren dürfte.

Und auch in China könnte es für ihn in den nächsten Jahren schwer werden, Arbeit zu finden. Mehrere, unter staatlicher Kontrolle stehende Medien schreiben, Ding habe aus Profitgier gehandelt und damit dem Ruf aller Chinesen im Ausland geschadet – außerdem sein Mutterland in Verruf gebracht. In einem Online-Firmenverzeichnis ist sein Startup Zhisuan zwar aufgeführt, aber auch dort ist vermerkt, dass Ding verhaftet wurde, weil er KI-Informationen gestohlen habe. Das offizielle China distanziert sich auch von Ding.

Viele Fragen bleiben offen. Handelte Ding wirklich allein? Oder war er in Wahrheit ein Wirtschaftsspion im Auftrag Pekings? Die Anklageschrift zieht keine direkte Verbindungslinie zwischen Ding und der Regierung von Xi Jinping. Doch auch indirekt könnte die chinesische Volkspartei eine Rolle gespielt haben, sagt Selman. „China verfügt über sehr aktive Investitionsfonds, um seine KI-Fähigkeiten rasch voranzutreiben. Bei diesen Fonds handelt es sich häufig um Partnerschaften zwischen privaten Unternehmen und der Regierung. Es scheint, dass Ding diese Möglichkeiten aktiv verfolgt hat.»

Ganz gleich, ob Ding aus persönlichem Geldgier oder in staatlichem Auftrag handelt: Tatsache ist, dass die neusten amerikanischen KI-Technologien in China gelandet sind. Ohne milliardenschwere und langjährige Forschungsinvestitionen, trotz der massiven Handelsbarrieren. Den Schaden tragen die Tech-Konzerne und letztlich die USA. Eine Schätzung des amerikanischen Repräsentantenhauses bestätigt das: Der Diebstahl geistigen Eigentums durch China kostete die amerikanische Wirtschaft jährlich 600 Milliarden Dollar.

Das Rennen um die Vorherrschaft bei der künstlichen Intelligenz ist knapp. China holt auf. Auch dank Personen wie Ding Linwei.