Akash 2026: Vertrauliches Rechnen auf fremden GPUs

Man mietet auf Akash eine NVIDIA H100 für einen Bruchteil dessen, was die großen Cloud-Anbieter verlangen. Irgendwo auf der Welt nimmt ein anonymer Betreiber das Gebot an, der Container startet, das Modell beginnt zu rechnen. Für ein Bastelprojekt oder ein offenes Basismodell ist das ein hervorragendes Geschäft. Doch in dem Moment, in dem sensible Daten oder proprietäre Modellgewichte ins Spiel kommen, stellt sich eine unbequeme Frage: Wem gehört die Maschine, auf der das alles läuft, und was genau kann diese Person sehen?

Genau dort, nicht beim Preis, liegt die eigentliche Hürde für dezentrale KI-Infrastruktur. Den Preiskampf hat Akash längst gewonnen. Eine H100-Stunde kostet auf dem Marktplatz regelmäßig weniger als ein Drittel des Tarifs, den ein Hyperscaler aufruft. Was fehlte, war ein belastbares Versprechen, dass der Eigentümer der GPU die Daten des Mieters nicht mitlesen, kopieren oder protokollieren kann. Die Antwort des Projekts für das Jahr 2026 heißt Confidential Computing, und ihr technisches Fundament, die Spezifikation AEP-83, hat im Juli den Status „Final“ erreicht (akash.network).

Der AKT-Token notierte am 18. September bei rund 0,49 Euro (0,56 US-Dollar), ein Tagesplus von etwa neun Prozent, nachdem der breite Kryptomarkt die Zinsanhebung der US-Notenbank vom 16. September verdaut hatte (CoinGecko). Kurssprünge dieser Art sagen wenig über die Substanz aus. Die interessantere Frage ist, ob Akash das Vertrauensproblem technisch so löst, dass ernsthafte Anwender, also Kliniken, Banken und Modellanbieter, überhaupt erst zuhören. Dieser Text schaut sich an, was sich ändert, wenn die gemietete Maschine die Geheimnisse ihres Mieters nicht mehr lesen kann, und wo die Grenzen dieses Versprechens liegen.

Das eigentliche Hindernis ist nicht der Preis

Akash verkauft Rechenzeit, wie ein Marktplatz Werkzeug vermietet: Wer eine GPU übrig hat, stellt sie ein, wer eine braucht, bietet darauf. Das drückt den Preis, und genau das war jahrelang das Verkaufsargument. Doch Preis ist nur die halbe Rechnung. Wer ein Sprachmodell trainiert hat, das einen zweistelligen Millionenbetrag gekostet hat, betrachtet die fertigen Gewichte als Kronjuwelen. Diese Gewichte auf die Maschine eines wildfremden Anbieters zu laden, der physischen Zugriff auf den Server hat, ist für ein ernsthaftes Labor schlicht keine Option, so niedrig der Stundensatz auch sein mag.

Noch enger wird es bei regulierten Daten. Patientenakten, die Transaktionsdaten einer Bank, personenbezogene Informationen jeder Art unterliegen in der EU der Datenschutz-Grundverordnung. Sie auf einem unbekannten Rechner in einer unbekannten Rechtsordnung zu verarbeiten, ohne technische Garantie, dass niemand mitliest, ist ein Compliance-Problem, das kein Einkaufspreis wettmacht. Das erklärt, warum der dezentrale GPU-Markt bislang vor allem für offene, unkritische Arbeitslasten attraktiv war, während die wertvolle Arbeit auf teuren, aber vertrauten Clouds blieb.

Die Wette hinter Confidential Computing lautet: Wenn Akash das Vertrauensproblem technisch löst, öffnet sich ein Markt, der um ein Vielfaches größer und margenträchtiger ist als das heutige Geschäft mit Startups und Einzelentwicklern. Der Preisvorteil bleibt, das Vertrauensdefizit fällt. Ob die Rechnung aufgeht, hängt weniger an der Spezifikation, die inzwischen steht, als an Angebot und Nachfrage. Darauf kommen wir zurück.

Wie der Marktplatz überhaupt funktioniert

Wer verstehen will, warum das Vertrauensproblem so hartnäckig ist, muss die Mechanik kennen. Ein Mieter beschreibt seine Arbeitslast in einer SDL-Datei (Stack Definition Language): wie viele GPUs, wie viel Arbeitsspeicher, welches Container-Image. Diese Bestellung geht an den Marktplatz, Anbieter geben Gebote ab, und der Mieter wählt aus. Wichtig: Er muss nicht das billigste Angebot nehmen. Reputation, Standort und Verfügbarkeit fließen in die Entscheidung ein. Kommt ein Lease zustande, hinterlegt der Mieter AKT in einem Escrow, aus dem der Anbieter laufend bezahlt wird. Bedient wird das Ganze über die Akash Console oder Kommandozeilen-Werkzeuge.

Diese Reverse-Auktion ist der Grund für die niedrigen Preise, und zugleich die Wurzel des Vertrauensproblems. Der Markt ist erlaubnisfrei: Prinzipiell kann jeder mit einer GPU und einem Kubernetes-Cluster Anbieter werden. Genau diese Offenheit macht die Kapazität billig, aber sie bedeutet auch, dass hinter einer angenommenen Wette ein Rechenzentrum in Frankfurt, eine Bastelmaschine in einem Keller oder ein Akteur mit unklaren Absichten stehen kann. Wer heute die GPUs liefert und warum das Angebot zuletzt geschrumpft ist, hat HOGE Wire in einer eigenen Analyse zur Angebotsseite aufgeschlüsselt. Für den vorliegenden Text zählt vor allem eine Konsequenz: Ohne technischen Schutz muss der Mieter dem Anbieter blind vertrauen.

Was auf einer fremden GPU alles schieflaufen kann

Es lohnt sich, das Bedrohungsmodell nüchtern durchzuspielen. Der Anbieter besitzt die physische Maschine und hat auf ihr die höchsten Rechte. Ohne besondere Vorkehrungen kann ein neugieriger oder böswilliger Betreiber den Arbeitsspeicher der laufenden Prozesse auslesen, den Grafikspeicher der GPU auslesen, in dem Modellgewichte und Zwischenergebnisse liegen, den Datenverkehr in den und aus dem Container mitschneiden, das Dateisystem des Containers kopieren oder still einen Mitschnitt einschleusen. Nichts davon erfordert einen Einbruch in die Software des Mieters; es genügt der Zugriff auf die Ebene darunter.

Übliche Schutzmaßnahmen greifen hier zu kurz. Festplattenverschlüsselung hilft nicht, wenn das Modell zur Laufzeit im Klartext im Arbeitsspeicher liegt. Eine verschlüsselte Verbindung schützt die Daten auf dem Weg, nicht am Ziel. Selbst ein sorgfältig gehärtetes Container-Image nützt wenig, wenn der Betreiber eine Ebene tiefer ansetzt, im Hypervisor oder direkt an der Hardware. Deshalb konnten reine Software-Lösungen dieses Problem nie vollständig lösen, und deshalb nimmt die Industrie den Umweg über die Hardware. Ohne eine im Chip verankerte Vertrauenswurzel bleibt jede Zusicherung eine Frage des guten Willens.

Der oft bemühte Vergleich mit einer Ferienwohnung trifft es fast, geht aber nicht weit genug. Es ist eine Ferienwohnung, in der der Vermieter einen Zweitschlüssel behält, die Post öffnen und die Gespräche mithören darf. In der überwiegenden Zahl der Fälle geschieht nichts davon. Doch „passiert wahrscheinlich nicht“ ist keine Sicherheitsarchitektur, mit der eine Rechtsabteilung oder ein Auditor leben kann. Genau diese Lücke soll Confidential Computing schließen: nicht das Verhalten des Anbieters bewerten, sondern ihm die technische Möglichkeit nehmen, überhaupt hineinzusehen.

Confidential Computing, in einem Absatz erklärt

Ein Trusted Execution Environment (TEE) ist ein abgeschotteter Bereich in einem Prozessor, dessen Arbeitsspeicher im laufenden Betrieb mit einem Schlüssel verschlüsselt ist, den nur der Chip selbst kennt. Weder das Betriebssystem noch der Hypervisor noch der Eigentümer der Maschine können den Klartext sehen. Die einschlägigen Technologien heißen bei AMD SEV-SNP und bei Intel TDX. Dazu kommt die sogenannte Remote Attestation: Der Chip stellt einen hardwaresignierten Bericht aus, der beweist, dass ein echtes Enclave mit einem bestimmten, gemessenen Software-Image läuft, bevor der Mieter überhaupt Geheimnisse überträgt. Daten im Ruhezustand (Festplattenverschlüsselung) und Daten in Bewegung (TLS) waren seit Langem gelöst; das TEE schließt die letzte offene Lücke, die Daten in Verarbeitung.

„Attestierung“ ist dabei das eigentliche Kernstück, nicht die Verschlüsselung allein. Der signierte Bericht enthält eine Messung (einen Hashwert) des gebooteten Images. Der Mieter vergleicht diesen Wert mit dem, was er erwartet, und übergibt Modell oder Daten erst, wenn er stimmt. Fällt die Prüfung durch, etwa weil der Anbieter eine manipulierte Firmware fährt, bleibt der geheime Kanal geschlossen. Aus einem „Vertrau mir“ des Anbieters wird so ein „Beweise es mir“ der Hardware. Genau diese Umkehr macht Confidential Computing für regulierte Branchen überhaupt erst interessant.

AEP-83: Akashs Antwort in der Praxis

Der zugehörige Akash Engineering Proposal trägt die Nummer 83 und den Titel Confidential Compute via Kata Containers. Er hat den Status „Final“ erreicht, mit Abschlussdatum 17. Juli 2026 und letzter Änderung am 16. Juni 2026 (akash.network). Bemerkenswert ist die Einfachheit an der Oberfläche: Der Mieter setzt in seiner SDL genau eine Zeile, den Rest erledigt die Plattform.

• Der Mieter setzt in seiner SDL-Datei eine einzige Zeile: params.tee auf cpu oder cpu-gpu.
• Der Anbieter erkennt seine Hardware automatisch und wählt AMD SEV-SNP oder Intel TDX; der Mieter legt keinen Hersteller fest, sondern nur die gewünschte Fähigkeit.
• Die Arbeitslast läuft in einer Kata-Micro-VM, die auf eine passende RuntimeClass abgebildet wird, etwa kata-qemu-snp oder kata-qemu-tdx, samt automatisch gesetzter Knoten-Affinität.
• Ein Attestierungs-Sidecar wird automatisch eingespielt und stellt HTTP-Endpunkte bereit; über den /quote-Endpunkt prüft der Mieter, ob wirklich ein echtes Enclave läuft, bevor er Modell oder Daten schickt.

Begleitet wird die Spezifikation von einem quelloffenen SDK für Confidential Compute, das Entwicklern und Anbietern die Integration erleichtern soll (GitHub, Akash Network). Für ein Krypto-Projekt ist diese Tiefe ungewöhnlich. Es handelt sich nicht um ein Whitepaper-Versprechen, sondern um handfeste Systemtechnik: RuntimeClasses, Attestierungs-Sidecars, hardwaregestützte Messungen. Das ist die gute Nachricht. Die weniger gute betrifft, wie viele Anbieter die dafür nötige Hardware tatsächlich betreiben, dazu weiter unten.

Der Weg über Kata Containers ist eine bewusste Designentscheidung. Statt Entwickler zu zwingen, ihre Anwendungen für ein spezielles Enclave-SDK umzuschreiben, kapselt Akash die gewohnte Container-Arbeitslast in eine leichtgewichtige virtuelle Maschine, die im TEE läuft. Der Mieter ändert im Idealfall nichts an seinem Image, nur eine Zeile in der SDL. Der Preis dafür ist eine zusätzliche Virtualisierungsschicht mit etwas Overhead. Für die Verbreitung ist dieser Kompromiss klug: Die Hürde, vertraulich zu deployen, sinkt von „Anwendung neu schreiben“ auf „ein Flag setzen“.

Die GPU im versiegelten Umschlag

Der schwierige Teil ist die GPU. Ein verschlüsselter Arbeitsspeicher auf der CPU nützt wenig, wenn die Modellgewichte anschließend ungeschützt über den PCIe-Bus in den Grafikspeicher wandern. NVIDIAs Datacenter-GPUs der Hopper- und Blackwell-Generation lösen das über einen Confidential-Computing-Modus. Auf Akash wird die GPU per VFIO in die Kata-Micro-VM durchgereicht und muss dabei im CC-Modus laufen. Die CPU im TEE fungiert als Vertrauensanker: Die GPU ist kein eigenständiges TEE, sondern hängt an der CPU, die den sicheren Kanal (eine SPDM-Sitzung) aufbaut und den Attestierungsablauf steuert (NVIDIA-Dokumentation).

Beim Datenaustausch zwischen CPU und GPU werden die Inhalte über den PCIe-Bus mit AES-GCM-256 verschlüsselt und über sogenannte Bounce Buffers geschleust. Die Attestierung ist zusammengesetzt: Über die NVIDIA-Treiber innerhalb der Kata-VM werden pro GPU signierte Berichte eingesammelt und gegen NVIDIAs Reference Integrity Manifest (RIM) geprüft, zusätzlich zur CPU-Attestierung. Erst wenn beide Berichte stimmen, ist die Kette vom Prozessor bis zum Grafikchip geschlossen. Das kostet Leistung: Verschlüsselung über den Bus und Bounce Buffers bremsen den Durchsatz, in vielen Fällen im einstelligen bis niedrigen zweistelligen Prozentbereich. Für vertrauliche Arbeitslasten ist das ein akzeptabler Aufpreis, für ein maximal ausgereiztes Trainingsbudget möglicherweise nicht.

Eine praktische Einschränkung bleibt: Confidential Computing auf der GPU setzt bestimmte NVIDIA-Generationen voraus, in der Praxis Hopper (H100, H200) und Blackwell. Ältere Karten und Consumer-Modelle fallen heraus. Auch Aufbauten mit mehreren über NVLink gekoppelten GPUs im vertraulichen Modus sind technisch jung und noch nicht überall verfügbar. Für einzelne Inferenz-Instanzen ist die Technik heute einsatzreif, für sehr große, eng gekoppelte Trainingsläufe steht der reibungslose Betrieb im vertraulichen Modus vielerorts noch aus. Das verschiebt den ersten realistischen Anwendungsfall klar Richtung Inferenz, nicht Training.

Vertraulich heißt nicht überprüfbar

An dieser Stelle lohnt eine Unterscheidung, die im Marketing oft verschwimmt. Confidential Computing schützt zwei Dinge: die Vertraulichkeit der Daten und die Integrität des geladenen Images. Weil die Attestierung misst, welcher Code gebootet ist, kann ein Anbieter nicht heimlich ein anderes Programm unterschieben, ohne dass die Messung und damit die Attestierung fehlschlägt. Das ist stark. Es ist aber nicht dasselbe wie Verifizierbarkeit.

Die gesamte Garantie eines TEE ruht darauf, dass man den Chip-Herstellern (Intel, AMD, NVIDIA) und ihren Attestierungsdiensten vertraut. TEEs haben zudem eine dokumentierte Geschichte von Seitenkanalangriffen und Firmware-Schwächen. Sie sind nicht vertrauenslos, sie verlagern das Vertrauen nur von einem anonymen Anbieter auf eine Handvoll Halbleiterkonzerne. Verifizierbares Rechnen mit kryptografischen Beweisen, etwa zkML, geht den anderen Weg: Es belegt mathematisch, dass eine Berechnung korrekt ausgeführt wurde, ganz ohne Hardware-Vertrauen, kostet dafür aber oft das Hundert- bis Tausendfache an Rechenleistung. Wer die Frage „lief wirklich mein Modell, und lief es richtig?“ kryptografisch beantworten will, landet bei Ansätzen, wie sie HOGE Wire am Beispiel von opML und tokenisierten Modellen beschrieben hat. Akash ist eine Confidential-Compute-Plattform, kein Verifizierbarkeitsnetz. Die folgende Tabelle stellt beide Ansätze gegenüber.

Haben die Anbieter überhaupt die passende Hardware?

Eine fertige Spezifikation ist nicht dasselbe wie ein verfügbares Angebot. Vertrauliche GPU-Berechnung setzt sowohl SEV-SNP- oder TDX-fähige CPUs als auch Hopper- oder Blackwell-GPUs mit CC-Unterstützung voraus. Die entscheidende Frage lautet also: Wie viele der Akash-Anbieter betreiben diese Kombination? Die jüngsten belastbaren Zahlen stammen aus Messaris Bericht zum ersten Quartal 2026, und sie zeichnen ein ernüchterndes Bild der Angebotsseite (Messari).

• 58 aktive Anbieter, ein Rekordtief (nach 63 im Vorquartal).
• 334 verfügbare GPUs, ein Rückgang von rund 57,5 Prozent gegenüber dem Vorquartal.
• Auslastung von 33,7 Prozent.
• 43.540 neue Leases, ein Plus von 27,1 Prozent.
• Lease-Umsatz von rund 253.000 US-Dollar (etwa 221.000 Euro), ein Minus von 45 Prozent.

Vor diesem Hintergrund ist vertrauliche Kapazität heute eher dünn gesät. Homenode, Akashs seit Februar 2026 im Early Access laufender Weg für Privatpersonen, zielt auf Consumer-Karten wie die GeForce RTX 4090 und 5090 und verzichtet auf Kubernetes. Diese Karten bringen den Confidential-Computing-Funktionsumfang der Datacenter-GPUs in der Regel nicht mit, dieser Bottom-up-Zufluss erhöht also kaum die vertrauliche Kapazität. Realistischer kommt sie aus dem protokolleigenen Cluster: StarCluster finanziert über die regulierten Starbonds rund 7.200 NVIDIA-GB200-GPUs (Blackwell), betrieben von geprüften Nodekeepern (Messari). Blackwell unterstützt CC, hier liegt also die glaubwürdige Quelle für vertrauliche Rechenzeit. Die ehrliche Lesart lautet: Spezifikation fertig, Ausrollen im Gange, konzentriert auf den protokolleigenen Teil statt auf die lange Reihe kleiner Anbieter. Wie viele der 58 Anbieter tatsächlich ein TEE-Flag anbieten, veröffentlicht Akash bislang nicht; das wäre der wichtigste Datenpunkt für die nächsten Quartale.

Zum Vergleich lohnt der Blick auf die zentralen Anbieter. Azure, Google Cloud und AWS führen vertrauliche VMs und teils vertrauliche GPU-Instanzen längst als reguläres Produkt, mit Service-Level-Garantien und einem Vertragspartner, der haftet. Akash liefert dieselbe Bausteintechnik erlaubnisfrei und günstiger, aber ohne diese vertragliche Absicherung. Für einen Käufer heißt das heute: Die Technik ist vorhanden, die Auswahl an Anbietern mit passender Hardware und nachweisbarer Attestierung ist noch klein. Wer vertraulich auf Akash deployen will, muss aktuell gezielt nach solchen Anbietern suchen, statt sie als Selbstverständlichkeit vorauszusetzen.

Der Inferenz-Pivot und warum Vertraulichkeit jetzt zählt

Parallel zum Marktplatz hat Akash eine Inferenz-Ebene aufgebaut. AkashML und der zugehörige Chat-Dienst hosten offene Modelle und verarbeiteten Anfang Juli 2026 nach eigenen Angaben mehr als zehn Milliarden Token pro Tag; als Nutzer werden unter anderem Venice, ElizaOS, Morpheus und Gensyn genannt. Genau bei der Inferenz beißt die Vertraulichkeit am stärksten: Die Eingabe eines Nutzers, die Dokumente eines Unternehmens, die Schlüssel eines autonomen Agenten sollen nicht auf der Festplatte eines Fremden landen. Autonome KI-Agenten, die eigene Wallets verwalten und Werte bewegen, brauchen eine Rechenumgebung, der sie trauen können, ein Zusammenhang, den HOGE Wire am Beispiel der Prognosemärkte als Testfeld autonomer Agenten beleuchtet hat.

Gründer Greg Osuri hat die Dringlichkeit hinter dem Ausbau prägnant zusammengefasst: „AI moves in months, energy moves in years“, die KI bewege sich in Monaten, die zugrunde liegende Energie- und Infrastruktur-Ebene in Jahren (Akash Q1-2026-Bericht). Übersetzt heißt das: Wer die Kapazität und das Vertrauensmodell nicht heute aufbaut, verpasst die Nachfrage von morgen. Vertrauliches Rechnen ist in dieser Logik kein Nice-to-have, sondern die Eintrittskarte in das Segment, in dem überhaupt Geld verdient wird.

Ein konkretes Szenario macht den Wert greifbar. Eine Klinik will ein diagnostisches Modell auf Patientendaten anwenden, darf diese Daten aber nicht ungeschützt an einen Dritten geben. Mit Attestierung kann ihre Software prüfen, dass die Berechnung in einem echten Enclave mit dem erwarteten Image stattfindet, bevor auch nur ein Datensatz das Haus verlässt. Der Betreiber der GPU sieht in diesem Ablauf nur verschlüsselten Speicher. Genau solche Fälle, in denen Vertraulichkeit die Bedingung und nicht die Kür ist, entscheiden darüber, ob dezentrales Compute den Sprung von der Bastelnische in den regulierten Ernstfall schafft.

Was das für den AKT-Token bedeutet

Reale Nachfrage nach Rechenzeit ist das eine, Wertfluss zum Token das andere. Seit dem 23. März 2026 läuft über Mainnet 17 (Proposal 318) das Burn-Mint-Equilibrium: Der Mieter verbrennt AKT für eine an den US-Dollar gekoppelte Abrechnungsgutschrift, der Anbieter wird zum Abrechnungskurs in AKT ausbezahlt. Der entscheidende Punkt, der in Hype-Texten gern untergeht: Der dauerhafte On-Chain-Burn liegt nahe null. Eine Netto-Vernichtung entsteht nur, wenn AKT zwischen Prägung und Abrechnung im Wert steigt. Es ist ein Burn, der kaum brennt.

Dazu kommt die Ausgabeseite: Die Inflation ist per Proposal 283 auf maximal acht Prozent gedeckelt, die nominale Staking-Rendite liegt bei rund sieben Prozent, real aber dünn bis negativ, weil ein erheblicher Teil der Emission in den Community-Pool statt an die Staker fließt. Vor allem aber veröffentlicht Akash nicht, wie viel AKT das BME netto vernichtet. Die Analystin Zoha Imdad Ali brachte diese Lücke in einem Beitrag bei TECHi auf den Punkt: Akash betreibe echtes KI-Compute, könne aber nicht belegen, dass der Token diesen Wert einfängt (TECHi). Confidential Computing ändert daran nur dann etwas, wenn es höherwertige, margenträchtigere Arbeitslasten anzieht, die mehr Gebühren durch das System schleusen. Der Mechanismus, der Gebühren in Tokenwert übersetzt, bleibt der schwächste Teil der Geschichte, unabhängig davon, wie elegant die TEE-Technik ist.

Die Diskrepanz zeigt sich in den Zahlen. Akash verweist auf über fünf Millionen US-Dollar kumulierten Compute-Umsatz über alle Produkte hinweg (Akash Q1-Bericht), während Messari für das erste Quartal 2026 nur rund 253.000 Dollar reinen Lease-Umsatz auf der Kette erfasst. Das ist kein Widerspruch, sondern ein Unterschied in Umfang und Zeitraum, doch Akash hat die Brücke zwischen beiden Zahlen nie öffentlich geschlagen. Solange diese Abstimmung fehlt und der Netto-Burn im Dunkeln bleibt, bewertet der Markt den Token vorsichtig, ganz gleich wie viele Token pro Tag die Inferenz-Ebene verarbeitet.

Preisvergleich: die H100-Stunde und der Vertraulichkeits-Aufpreis

Der Preisvorteil bleibt das stärkste Argument, und er ist real. Die folgenden Werte sind Näherungen, die Quellen unterscheiden sich teils um den Faktor zwei, doch die Größenordnung ist eindeutig (yellow.com).

Der Confidential-Modus verschiebt diese Rechnung leicht. Die Verschlüsselung über den PCIe-Bus und die Bounce Buffers kosten Durchsatz, der effektive Preis pro nutzbarer Rechenleistung steigt also etwas. Entscheidend ist der Vergleich mit dem Wettbewerb: Auch die Hyperscaler verlangen für ihre vertraulichen VM-Angebote einen Aufschlag. Selbst mit TEE-Overhead bleibt eine dezentrale H100 damit deutlich unter dem zentralen Tarif. Zur Einordnung der Größenverhältnisse: Der gesamte dezentrale GPU-Sektor kommt annualisiert auf etwa 180 bis 220 Millionen US-Dollar Umsatz. Der zentrale Spezialist CoreWeave setzt das in einem einzigen Quartal um ein Vielfaches um. Preis gewinnt Akash, Größe nicht.

Der Wettbewerb und ein TEE-nativer Rivale

Auf der Preisachse konkurriert Akash mit einer bekannten Gruppe dezentraler Netze. Render, io.net und Nosana bespielen ähnliche Nischen; Bittensor folgt einem anderen Modell (subnetzbasierte Belohnungen für ML-Beiträge) und gehört nicht in denselben Vergleich. Interessanter für den Vertraulichkeits-Winkel ist ein Name, der sonst selten in dieser Tabelle auftaucht: Phala Network hat seine gesamte These von Beginn an auf TEEs gebaut und ist damit der eigentliche Rivale auf genau der Achse, die Akash mit AEP-83 besetzt.

Die Kurse stammen von CoinGecko (Render, io.net, Nosana, Phala). Über allen steht der zentrale Maßstab: CoreWeave meldete für das zweite Quartal 2026 einen Umsatz von rund 2,58 Milliarden US-Dollar (etwa 2,25 Milliarden Euro), ein Plus von 112 Prozent gegenüber dem Vorjahr, bei einem Auftragsbestand von rund 104 Milliarden Dollar und 51 Rechenzentren mit 1,5 Gigawatt aktiver Leistung (CNBC). Vorstandschef Michael Intrator formulierte den eigentlichen Engpass so: „The constraint in AI is no longer whether enterprises and AI labs want to deploy. It is how quickly high-performance, reliable AI cloud capacity can be delivered“, die Frage sei nicht mehr, ob Unternehmen KI einsetzen wollten, sondern wie schnell verlässliche Kapazität bereitgestellt werde. Genau in diese Lücke will Akash mit billiger und vertraulicher Kapazität stoßen.

Der Unterschied zwischen Akash und Phala ist dabei aufschlussreich. Phala hat Vertraulichkeit von Anfang an ins Zentrum gestellt und ein Netz darum herum gebaut; Akash war zuerst ein Preis-Marktplatz und rüstet Vertraulichkeit nun nach. Beide Wege haben ihre Logik. Ein TEE-natives Netz kann tiefer integrieren, ein bestehender GPU-Marktplatz bringt bereits Angebot und Nachfrage mit. Für Anwender zählt am Ende weniger die Herkunft der Architektur als die schlichte Frage, wo genügend attestierbare Hardware zu einem konkurrenzfähigen Preis bereitsteht. Diese Frage ist 2026 für keines der beiden Netze abschließend beantwortet.

Cosmos-Ausstieg, BaFin und die DSGVO-Dimension

Confidential Computing ist nicht die einzige Großbaustelle. Parallel bereitet Akash den Abschied von seiner eigenen Cosmos-Kette vor. Unter AEP-79 sucht das Projekt eine Shared-Security-Grundlage; eine Kette ist noch nicht gewählt, Solana gilt als aussichtsreicher Kandidat, das Zeitziel liegt im vierten Quartal (The Block, akash.network). Beschleunigt wurde der Schritt durch eine Lizenzänderung an einer zentralen Cosmos-Komponente, die von Apache-2.0 auf eine restriktivere Evaluierungslizenz wechselte. Osuri nannte den Vorgang öffentlich „hostile“, also feindlich (x.com).

Für die Tokenhalter ist der Umzug mehr als eine technische Fußnote. Eine Shared-Security-Grundlage bedeutet, dass Akash die Sicherheit seiner Kette nicht mehr allein über gestaktes AKT finanziert, sondern von einem größeren Netz mietet. Das kann Kapital effizienter einsetzen, wirft aber die Frage auf, welche Rolle Staking und die damit verbundene Rendite künftig noch spielen. Osuri betont, Staking verschwinde nicht, sondern entwickle sich weiter; einen fertigen technischen Entwurf dafür gibt es bislang nicht. Bis die Zielkette feststeht, bleibt dieser Teil der Tokenomics ein offener Posten.

Regulatorisch bleibt AKT peripher. Die BaFin und die MiCA-Verordnung regulieren Dienstleister und Emittenten, also Handelsplätze, Verwahrer und Herausgeber von Stablecoins, nicht das Protokoll selbst; das entsprechende Merkblatt der Aufsicht ist die saubere Referenz für diese Abgrenzung (bafin.de). AKT liest sich als infrastruktureller Utility-Token und steht damit am Rand des MiCA-Kerns. Wichtig ist die Trennung: Die zur StarCluster-Finanzierung genutzten Starbonds sind ein in den USA reguliertes Investmentinstrument, ein anderes rechtliches Objekt als der frei handelbare AKT-Token.

Für europäische Anwender kommt eine eigene Dimension hinzu. Wer personenbezogene Daten auf einem unbekannten Anbieter verarbeiten will, muss das mit der Datenschutz-Grundverordnung in Einklang bringen, ein für dezentrale Netze notorisch schwieriges Unterfangen. Ein TEE mit Attestierung liefert genau hier eine technische Maßnahme (Schutz der Daten in Verarbeitung), die dezentrales Compute für regulierte Daten überhaupt erst verteidigbar machen könnte. Ob Aufsichtsbehörden das anerkennen, ist offen; die Debatte um Code ohne Gesetz, die HOGE Wire nach dem Scheitern des CLARITY Act nachgezeichnet hat, zeigt, wie unterschiedlich die USA und die EU diese Fragen beantworten.

Ausblick: Vertrauen als Produkt

Die These ist bestechend einfach. Wenn Akash Rechenzeit anbieten kann, die zugleich billig, vertraulich und irgendwann verifizierbar ist, dann verkauft das Projekt etwas, für das die Hyperscaler einen Aufschlag verlangen. Der erste Baustein steht: Die Spezifikation ist fertig, die GPU-Integration technisch durchdacht, die Werkzeuge quelloffen. Der zweite und dritte Baustein, Angebot und Nachfrage, sind es nicht.

Drei Datenpunkte entscheiden über die nächsten Monate. Erstens die Kettenwahl unter AEP-79, die das Fundament unter dem Token verändert. Zweitens die Messari-Daten für das zweite und dritte Quartal, an denen sich zeigt, ob die Anbieterzahl aus dem Rekordtief kommt. Drittens, und am wichtigsten für diese Geschichte, ein Adoptionswert für Confidential Compute: Wie viele Anbieter bewerben tatsächlich ein TEE-Flag, und routen ernsthafte Anwender ihre privaten Arbeitslasten dorthin? Akash war im September auf dem Token2049 in Singapur vertreten, doch Konferenzauftritte ersetzen keine Auslastungszahlen.

Das nüchterne Fazit: Eine wirklich private, wirklich günstige GPU-Cloud ist ein reales Produkt, kein Marketingversprechen mehr. Der Markt hat AKT bislang aber nicht bepreist, als existiere dieses Produkt schon, und das ist angesichts der ungeklärten Wertabschöpfung nachvollziehbar. Vertrauen lässt sich technisch herstellen; ob es sich in Tokenwert übersetzt, bleibt die offene Frage des Jahres.

Häufig gestellte Fragen

Was ist Confidential Computing bei Akash Network?

Confidential Computing bezeichnet Rechnen in einer hardwareverschlüsselten Umgebung, einem Trusted Execution Environment (TEE), das der Betreiber der Maschine nicht einsehen kann. Auf Akash beschreibt die Spezifikation AEP-83, wie Arbeitslasten in Kata-Micro-VMs auf AMD-SEV-SNP- oder Intel-TDX-Hardware laufen und wie eine NVIDIA-GPU sicher eingebunden wird, sodass ein anonymer Anbieter die Daten und Modellgewichte des Mieters nicht mitlesen kann.

Was bedeutet AEP-83?

AEP-83 ist der Akash Engineering Proposal für Confidential Compute über Kata Containers. Er erreichte im Juli 2026 den Status Final und legt fest, dass der Mieter in seiner SDL-Datei nur eine Zeile setzt (params.tee auf cpu oder cpu-gpu), während der Anbieter die passende TEE-Plattform automatisch wählt und ein Attestierungs-Sidecar dem Mieter beweist, dass ein echtes Enclave läuft.

Ist vertrauliches Rechnen dasselbe wie verifizierbares Rechnen?

Nein. Vertrauliches Rechnen (TEE) schützt die Vertraulichkeit der Daten und die Integrität des geladenen Images, verlagert das Vertrauen aber auf die Chip-Hersteller und deren Attestierungsdienste und ist gegen Seitenkanäle nicht immun. Verifizierbares Rechnen mit kryptografischen Beweisen (etwa zkML) belegt die Korrektheit eines Ergebnisses ohne jedes Hardware-Vertrauen, kostet aber ein Vielfaches an Rechenleistung. Akash ist eine Confidential-Compute-Plattform, kein Verifizierbarkeitsnetz.

Ist Akash wirklich günstiger als AWS?

In der Regel ja. Eine H100-Stunde kostet auf Akash oft rund 1,15 bis 1,75 Euro, während zentrale Anbieter je nach Tarif zwischen etwa 3,40 und über 10 Euro verlangen. Der Preisvorteil liegt am Reverse-Auktions-Modell und an Anbietern mit günstigem Strom; die Vertraulichkeit über TEE kostet etwas Leistung, bleibt aber deutlich unter den Aufschlägen, die Hyperscaler für ihre Confidential-VM-Angebote verlangen.

Reguliert die BaFin Akash oder den AKT-Token?

Die BaFin und die MiCA-Verordnung regulieren Dienstleister und Emittenten, etwa Handelsplätze, Verwahrer oder Stablecoin-Herausgeber, nicht das Protokoll selbst. AKT liest sich als infrastruktureller Utility-Token und steht damit am Rand des MiCA-Kerns. Die zur StarCluster-Finanzierung genutzten Starbonds sind dagegen ein in den USA reguliertes Investmentinstrument und rechtlich vom AKT-Token zu trennen.

Von Jonas Weber, der für HOGE Wire über die Schnittstelle von KI, dezentraler Infrastruktur und Krypto-Regulierung berichtet.