Ein Pharma-Modell zur Wirkstoffforschung entwarf 40.000 Toxine in sechs Stunden. Die Lösung war nicht die, die ich erwartete.
Als ich das Problem zum ersten Mal wirklich verstand, las ich eine vier Jahre alte Studie, und mir wurde kalt.
2022 nahm ein kleines Team bei Collaborations Pharmaceuticals sein kommerzielles Modell für die Wirkstoffforschung — ein generatives Chemiesystem namens MegaSyn, die Art System, die Moleküle nach ihrem therapeutischen Potenzial bewertet — und drehte eine einzige Zahl um. Die Belohnungsfunktion, die dem Modell sagte „Belohne mich für sichere, arzneistoffähnliche Moleküle“, wurde zu „Belohne mich für toxische“. Es war kein Hack. Es war kein Sicherheitsverstoß. Es war ein einziges Vorzeichen in einer Python-Konfigurationsdatei, so wie man ein Thermostat von Heizen auf Kühlen umstellt.
In weniger als sechs Stunden produzierte das Modell auf einem Standardserver 40.000 Kandidatenmoleküle — darunter bekannte Nervenkampfstoffe wie VX und Tausende neuartiger Verbindungen, von denen es vorhersagte, sie wären noch tödlicher. Diese Studie, veröffentlicht in Nature Machine Intelligence, ist der Ausgangspunkt, an dem noch heute jedes ehrliche Gespräch über KI-Biosicherheit beginnt. Und was mich nachts wachhielt, war nicht, dass es einmal in einem kontrollierten Experiment geschah. Es war, dass die Architektur, die es möglich machte — eine Belohnungsfunktion, die in einer Konfigurationsdatei sitzt, statt fest ins Modell eingeschweißt zu sein — immer noch im Produktivbetrieb ist bei den meisten mittelgroßen Pharmaunternehmen, die Pipelines wie REINVENT 4 betreiben. Der umgelegte Schalter wurde nie behoben. Er wurde nur nicht erneut umgelegt.
Das ist die Lücke, in die mein Team bei Veriprajna zwei Jahre lang hineingebaut hat. Dieser Essay handelt davon, was wir auf dem Weg dorthin falsch gemacht haben und wovon ich heute überzeugt bin, dass es das Einzige ist, was wirklich funktioniert.
Der Unterschied zwischen dem Wirkstoffforschungs-Modus und dem Waffenentwicklungs-Modus ist in den meisten generativen Chemie-Pipelines eine einzige Codezeile, die niemand bewacht.
Die Abwehrmaßnahmen, denen die Pharmabranche vertraut, wurden für eine Bedrohung entwickelt, die es nicht mehr gibt
Als ich anfing, mit Compliance-Verantwortlichen zu sprechen — dem Chief Compliance Officer, dem Responsible Official, der die Biosicherheits-Unterlagen unterzeichnet, dem ML-Leiter, dem die Modelle tatsächlich gehören —, beschrieben fast alle dieselben drei Abwehrmaßnahmen. Refusal-Training, damit das Modell Nein sagt, wenn man es um etwas Gefährliches bittet. RLHF-Alignment, damit es sich benimmt. Und Filter für strukturelle Warnhinweise — Software, die die Ausgabe eines Moleküls scannt und bekannte toxische Substrukturen markiert.
Alle drei wurden für eine Welt entworfen, in der ein Angriff so aussah, dass jemand eintippte: „Entwirf mir einen Nervenkampfstoff.“ Die Angriffsfläche von 2025 sieht ganz anders aus. Sie ist leiser, stärker automatisiert und operiert unterhalb der Ebene, die diese Abwehrmaßnahmen beobachten.
Nehmen wir die Filter für strukturelle Warnhinweise, auf die sich die Pharmabranche am stärksten verlässt. Plattformen wie Chemistry42 von Insilico Medicine werden mit mehr als 460 hauseigenen medizinalchemischen Filtern ausgeliefert, die bekannte Toxikophore aussortieren. Das ist gute Ingenieursarbeit. Aber sie inspizieren die Ausgabe — das fertige Molekül — auf bekannte schädliche Muster. Sie tun nichts gegen das Ziel. Ein Modell, das in Richtung der Chemiewaffen-Mannigfaltigkeit optimiert, wird bereitwillig strukturell neuartige Verbindungen erzeugen, die keinem bekannten Toxikophor entsprechen und direkt durch den Filter segeln, denn „neuartig“ ist genau das, wofür ein generatives Modell da ist. Ich habe zugesehen, wie eine SMILES-Zeichenkette — die Textnotation, mit der Chemiker ein Molekül aufschreiben — in einem Ausgabeprotokoll vorbeiscrollte, und wusste, dass sie jeden Warnhinweis passieren würde, den das Team installiert hatte, gerade weil sie neu war.
Das Erste, was ich also verlernen musste, war die tröstliche Vorstellung, dass das Filtern der Ausgabe dasselbe ist wie das Steuern des Modells.
Die Nacht, in der unsere sauberste Idee zerbrach
Hier ist das Versagen, das ich persönlich unterstützt habe, und es kostete uns Monate.
Als mein Team dies zum ersten Mal umriss, verliebten wir uns in das, was wie die elegante Antwort aussah: das gefährliche Wissen nicht filtern, sondern entfernen. Es gibt einen realen und wunderschönen Fundus akademischer Arbeit zum maschinellen Verlernen — Techniken wie RMU, validiert am WMDP-Benchmark aus einem ICML-Paper von 2024, der genau misst, wie viel waffenfähiges Biologiewissen ein Modell behält. Das Versprechen ist großartig. Man nimmt ein Modell, das beim WMDP-Bio rund 75 % erreicht — gefährlich kenntnisreich —, und verlernt, bis es 26 % erreicht, was dem Zufallsniveau entspricht, was bedeutet: „das Modell weiß es wirklich nicht“. Ein Modell mit einer Wissenslücke. Man kann kein Wissen jailbreaken, das nicht da ist.
Wir bauten eine Demo. Sie funktionierte. Der Wert fiel auf Zufallsniveau. Ich erinnere mich, dass ich stolz darauf war — ich hatte eine Folie, auf der stand das Wissen ist weg, und es fühlte sich wie ein abgeschlossenes Argument an.
Dann führte einer unserer Ingenieure einen Relearning-Angriff darauf aus, von der Art, wie sie in der Arbeit von Lucki et al. aus der CMU beschrieben ist, die auf der ICLR 2025 landete. Er fütterte es nicht mit geheimen Daten. Er finetunte es mit öffentlichen medizinischen Artikeln — der Art von Material, das in jeder Biologiebibliothek steht — und die vermeintlich gelöschte Fähigkeit begann wieder zu klettern. Dieselbe Arbeit zeigte, dass der Trick auch bei Trivia funktioniert: Ein verlerntes Modell, das Harry Potter „vergessen“ hatte, konnte dazu angeregt werden, auswendig gelernte Passagen wieder aufzusagen, nachdem es das Wiki gesehen hatte. Das Wissen war nicht weg. Es war verschleiert. Tief, beeindruckend verschleiert — aber wiederherstellbar von jedem, der die Gewichte und einen Nachmittag Zeit hat.
Wir haben das gefährliche Wissen nicht gelöscht. Wir haben es gut genug versteckt, um uns selbst zu täuschen, was die gefährlichste Art von Sicherheit ist, die es gibt.
Das war die Nacht, in der der saubere Pitch starb. Und er musste sterben, denn die nächste Version davon wäre einem echten Pharmaunternehmen als „Ihr Modell kann nicht missbraucht werden“ verkauft worden — ein Satz, der nicht wahr ist und unter den kein Compliance-Verantwortlicher jemals seinen Namen setzen sollte.
Verweigerung ist ein Verhalten, keine Fähigkeit
Das Relearning-Versagen zwang mich, etwas zu verinnerlichen, das ich heute in jedem ersten Meeting sage. Verweigerung ist ein Verhalten, das das Modell zeigt. Fähigkeit ist das, was das Modell tun kann. Sie sind nicht dasselbe, und fast jede Sicherheitsschicht in der Pharmabranche verwechselt sie.
RLHF-Verweigerung bringt einem Modell bei, Nein zu sagen. Sie bringt ihm nicht bei, nicht zu wissen. Es gibt eine Studie von 2025 — die „gpt-oss“-Worst-Case-Risk-Arbeit —, die eine Zahl darauf setzte, wie dünn dieser Unterschied ist: Mit irgendwo zwischen 10 und 50 Feinabstimmungsbeispielen und ein paar hundert Dollar GPU-Zeit kann man das Sicherheits-Alignment von einem Modell mit offenen Gewichten abstreifen und seine nahezu spitzentaugliche biologische Fähigkeit wiederherstellen. Tage an Arbeit. Der Preis eines schönen Abendessens. Für jedes Pharmaunternehmen, das Modelle mit offenen Gewichten lokal betreibt — und viele tun das, aus vollkommen guten Gründen des geistigen Eigentums —, ist „sicherheitsausgerichtet“ eine Eigenschaft, die genau so lange überdauert, bis ein Insider oder eine exfiltrierte Gewichtsdatei beschließt, dass sie es nicht sein sollte.
Deshalb ist die Realität offener Gewichte so wichtig. Als das Arc Institute im Februar 2025 Evo 2 veröffentlichte — ein DNA-Foundation-Modell mit 40 Milliarden Parametern, trainiert auf neun Billionen Nukleotiden —, leisteten sie wirklich sorgfältige Sicherheitsarbeit, schlossen humanpathogene Erreger vom Training aus und unterzogen das Ergebnis einem Red-Teaming. Und dann erreichte ein Framework namens GeneBreaker, präsentiert auf der NeurIPS 2025, eine Angriffserfolgsrate von bis zu 60 % beim Jailbreak von Evo 2-40B über sechs Viruskategorien hinweg.
Die Art, wie GeneBreaker funktioniert, ist der Teil, mit dem sich jeder CISO auseinandersetzen muss. Es fragt niemals nach einem Erreger. Es nutzt einen KI-Agenten, um Bioinformatik-Werkzeuge zu orchestrieren, und fragt über eine homologiegeführte Beam-Suche nach einem Protein, das „homolog zu“ einer harmlosen Referenz ist, die zufällig strukturell nah an einer gefährlichen liegt. Keyword-Filter sehen eine legitime vergleichend-genomische Anfrage. Das Refusal-Training sieht nichts, das es verweigern könnte. Die Gefahr wird erst sichtbar, wenn man die Funktion dessen analysiert, was herauskam — und zu diesem Zeitpunkt ist es draußen. Sobald Gewichte offen sind, muss man davon ausgehen, dass das Modell in freier Wildbahn ist und jeder Wettbewerber und jeder böswillige Akteur dieselbe Kopie besitzt wie man selbst.
Warum hat die „letzte Verteidigungslinie“ es nicht abgefangen?
Immer wenn ich das darlege, sagt jemand — meist die erfahrenste Person im Raum — irgendeine Version von: „Schön und gut, aber nichts davon spielt eine Rolle, denn um irgendetwas Reales herzustellen, muss man DNA synthetisieren, und unser Synthese-Anbieter überprüft jede Bestellung.“
Das habe ich früher auch halb geglaubt. Dann kam der Oktober 2025.
Microsoft Research, das zehn Monate lang im Stillen mit Twist Bioscience, IDT und dem International Gene Synthesis Consortium arbeitete, führte das inzwischen so genannte Paraphrase Project durch, veröffentlicht in Science. Sie nutzten ein Open-Source-Modell für das Proteindesign, um Tausende synthetischer Varianten eines Toxins zu erzeugen — wobei das funktionale Kernstück erhalten blieb, während alles drumherum mutiert wurde, das molekulare Äquivalent dazu, einen Satz so umzuformulieren, dass eine Plagiatssoftware ihn nicht markiert. Diese KI-umformulierten Varianten schlüpften an der homologiebasierten Screening-Software vorbei, die jeder große DNA-Synthese-Anbieter verwendet. Die „letzte Verteidigungslinie“ war blind für sie.
Zu ihrer enormen Ehre verbrachte das Team diese zehn Monate damit, gemeinsam einen Patch zu entwickeln und weltweit zu verteilen, der zusätzlich zur Homologie-Übereinstimmung eine Funktionsvorhersage ergänzt. Die Erkennung verbesserte sich. Aber die Lektion für einen Käufer ist von Dauer: Jede interne Pipeline, die auf „unser DNA-Anbieter fängt das ab“ lief, lief das ganze Jahr 2024 und den größten Teil von 2025 auf einer Garantie, die nicht existierte. Ich habe einem Compliance-Verantwortlichen gegenübergesessen, der genau diese Absicherung mit vollem Selbstvertrauen beschrieb, Wochen nachdem das Paper erschienen war. Man kann das Screening des Anbieters nicht als seine eigene Absicherung behandeln. Man muss im eigenen Haus screenen, bevor die Bestellung das Gebäude überhaupt verlässt.
Die tröstliche Geschichte ist immer „irgendetwas weiter hinten in der Kette fängt es ab“. In der Biosicherheit war 2025 das Jahr, in dem jeder nachgelagerte Fang als überwindbar vorgeführt wurde.
Der regulatorische Boden hat sich verschoben — in zwei Richtungen gleichzeitig
Wenn der technische Boden das Einzige wäre, was sich verschiebt, wäre das schon schwer genug. Auch der rechtliche Boden bewegt sich, und er bewegt sich auseinander.
In den Vereinigten Staaten wurde der exekutive Rahmen, gegen den die Compliance-Teams 2023 und 2024 geplant hatten, innerhalb weniger Monate demontiert. Die KI-Sicherheitsverordnung von Biden wurde im Januar 2025 aufgehoben; die Bioökonomie-Verordnung im März; eine ersetzende Verordnung zur Sicherheit biologischer Forschung, erlassen im Mai, kam mit einer 90-tägigen Umsetzungsfrist, die verstrich, ohne dass ein Rahmen erschien. Die Menschen, deren Aufgabe die Biosicherheits-Compliance ist, operieren gerade jetzt in einem Vakuum.
Unterdessen ging die EU den anderen Weg. Die Pflichten der KI-Verordnung für Allzweckmodelle traten im August 2025 in Kraft, wobei die vollständige Anwendung auf Hochrisiko-Fälle im August 2026 greift. Die Strafen sind nicht symbolisch: bis zu 35 Millionen € oder 7 % des weltweiten Umsatzes für verbotene Praktiken, 15 Mio. € oder 3 % bei Nichteinhaltung durch Allzweckmodelle. Foundation-Modelle, die in der Biologie eingesetzt werden, fallen eindeutig in den Anwendungsbereich. Und hier ist die Asymmetrie, die für die meisten meiner Kunden die ganze Frage entscheidet: Ein Pharmaunternehmen mit irgendwelchen EU-Aktivitäten muss den EU-Standard einhalten, unabhängig davon, wo die USA landen. Die niedrigste Messlatte der Welt ist irrelevant, wenn man nach Frankfurt verkauft.
Unterhalb der schlagzeilenträchtigen Regulierung ist ISO/IEC 42001 — der erste internationale Standard für KI-Managementsysteme — still und leise zu dem geworden, was Versicherer und Partner von einem erwarten. Und Versicherer sind hier der stille Erzwinger. Bis Ende 2025 begannen Cyber-Haftpflichtversicherer, ihren Zeichnungsformularen Fragen zu Ausschlüssen von Dual-Use-Trainingsdaten, Verlernverfahren und Red-Team-Häufigkeit hinzuzufügen, und begannen, KI-erzeugte Schäden auszuschließen oder für Unternehmen, die Modelle mit offenen Gewichten ohne dokumentierte Kontrollen betreiben, neu zu bepreisen. Ich habe zugesehen, wie ein Fragebogen im Munich-Re-Stil auf dem Schreibtisch eines Kunden landete und das gesamte Gespräch neu rahmte: Das war keine ethische Diskussion mehr, es war eine Prämie.
Hier schnappt auch die Haftungsfalle zu. Stellen Sie sich die Klage vor. Ein verärgerter Mitarbeiter exfiltriert die Gewichte des privaten Biologiemodells eines Pharmaunternehmens. Monate später taucht es in einem Threat-Intelligence-Bericht über einen Beinahe-Vorfall auf. Der Anwalt des Klägers stellt eine Frage: Wie sah Ihr Kontrollrahmen aus? Im Jahr 2024 hätten Sie die Antwort „Wir haben Refusal-Training verwendet“ vielleicht überlebt. Nach der MFT- und Relearning-Forschung kommt diese Antwort eher einem Geständnis gleich. Die Sorgfaltspflicht-Verteidigung lautet 2026: „Wir haben nach dem Stand der Technik dokumentierte, mehrschichtige Vorkehrungen getroffen“ — und man hat entweder die Red-Team-Aufzeichnungen, um es zu beweisen, oder nicht.
Was hält also wirklich?
Die ehrliche Schlussfolgerung aus all dem ist die, die ich am wenigsten wollte, weil sie weniger elegant ist als „wir haben das Wissen gelöscht“. Keine einzelne Technik funktioniert. Verweigerung ist umkehrbar. Verlernen ist wiederherstellbar. Ausgabefilter sind blind für Neuartigkeit. Das Anbieter-Screening wurde umgangen. Jede einzelne Abwehrmaßnahme hat einen nachgewiesenen Durchbruch.
Was hält, sind Schichten, die unabhängig voneinander versagen — sodass das Überwinden einer Schicht nicht das gesamte System überwindet. Das ist es, was wir am Ende gebaut haben, und es ist das, worum die Veriprajna-Praxis für KI-Sicherheit in der Biosicherheit jetzt organisiert ist. Kein Produkt, das man installiert. Eine Verteidigung, die in den Stack eingebaut ist, den das Pharmaunternehmen bereits betreibt, denn sie werden Chemistry42 oder REINVENT nicht für mich herausreißen, und das sollten sie auch nicht müssen.
Es beginnt zur Generierungszeit. Wir setzen eine Sicherheits-Middleware vor das Modell, die die SMILES-, SELFIES- oder Molekülgraph-Ausgabe abfängt, bevor sie den Forscher erreicht — Toxikophor-Screening, wie es alle tun, aber mit Latent-Space-Nähebewertung zur Chemiewaffen-Mannigfaltigkeit und darüber gelegter Activity-Cliff-Erkennung. Der Neustruktur-Angriff, der an einem Musterfilter vorbeiläuft, wird dadurch abgefangen, wo er in der Repräsentation des Modells sitzt, nicht dadurch, wie er aussieht — denn ein Chemiewaffen-Analogon und ein harmloses Medikament können strukturell unverwandt aussehen und sich dennoch in derselben Region des vom Modell gelernten latenten Raums gruppieren, der einen Invariante, der ein neuheitssuchender Generator nicht entkommen kann. Jede Abfangung schreibt ein Audit-Protokoll, denn das Protokoll ist das, was ein ISO-42001-Prüfer tatsächlich sehen will.
Verlernen hat immer noch einen Platz auf der Gewichtsebene, aber nur mit der Demut, die uns die Relearning-Forschung aufgezwungen hat. RMU, Feature-Ablation per Sparse-Autoencoder, die UIPE-Verfeinerung aus einem ACL-Paper von 2025 — und dann ein monatlicher Rezertifizierungszyklus mit kontinuierlichen Relearning-Red-Teams, denn wir gehen jetzt davon aus, dass die Wissenslücke erodieren kann, und wir fangen die Erosion lieber ab, als so zu tun, als könnte sie nicht passieren. Der WMDP-Bio-Wert hörte auf, ein Zertifikat zu sein, das wir einmal gerahmt haben, und wurde zu einem Vitalzeichen, das wir überwachen.
Nichts davon ist vertrauenswürdig, ohne dass jemand aktiv versucht, es zu durchbrechen, deshalb läuft das Red-Team vierteljährlich: GeneBreaker-artige Homologie-Angriffe, SMILES-Prompting-Jailbreaks, Simulation bösartigen Finetunings, Relearning-Wiederherstellung. Das Ergebnis ist ein schriftlicher Bericht, der den NIST-AI-600-1-Kontrollen zugeordnet ist — das Generative-KI-Profil, das seit Juli 2024 CBRN ausdrücklich als eines von zwölf einzigartigen Risiken benannt hat. Und die Schleife schließt sich erst, wenn wir im eigenen Haus screenen: generierte Sequenzen werden gegen IGSC, gegen das kryptografische Hashing-Protokoll von SecureDNA und gegen eine Funktionsvorhersageschicht geprüft, bevor irgendein Syntheseauftrag das Gebäude verlässt — genau die Lücke, die das Paraphrase Project offenlegte.
Der Teil, den die meisten Anbieter nicht schriftlich festhalten wollen
Es gibt einen Abschnitt in jedem Engagement, auf dem ich bestehe, und es ist der, der den Rest glaubwürdig macht: die Dinge, die wir nicht beheben können.
Wir können organisatorische Politik nicht lösen. Wenn die F&E-Leitung die Biosicherheitsprüfung als Steuer auf die Iterationsgeschwindigkeit erlebt, überlebt keine technische Schicht den Kontakt mit dem Kalender. Wir können Verlernen gegen einen Gegner, der die Gewichte besitzt und Finetuning-Zugang hat, nicht beweisbar dauerhaft machen — UIPE und SAE-Ablation reduzieren das Risiko, sie setzen es nicht auf null. WMDP ist ein Näherungswert für bekanntes Vorläuferwissen; ein Modell auf Zufallsniveau ist nicht als sicher zertifiziert gegen Fähigkeiten, die noch niemand aufgezählt hat. Und vorgelagerte Daten-Poisoning-Angriffe geschehen, bevor das Modell das Pharmaunternehmen überhaupt erreicht, was bedeutet, dass ihre Erkennung eine Kooperation erfordert, die ein nachgelagerter Berater nicht erzwingen kann.
Ein Biosicherheits-Anbieter, der behauptet, jede Lücke zu schließen, sagt einem genau das eine, was beweist, dass er nicht alle gefunden hat.
Diese Vorbehalte gehören in klarer Sprache auf den Tisch, in die Vorstandspräsentation, in die Kontrollmatrix. Nicht weil Ehrlichkeit nett ist, sondern weil die Alternative — die selbstbewusste Folie „Ihr Modell kann nicht missbraucht werden“, die ich beinahe ausgeliefert hätte — genau die Übertreibung ist, die zur Zeugenvernehmung wird.
Man fragt mich, ob das bedeutet, dass kleine Biotech-Firmen einfach kein Glück haben, überschwemmt von der Fähigkeit der Frontier-Labs, mit der sie nicht mithalten können. Tatsächlich das Gegenteil. Die Frontier-Labs leisten echte Arbeit — Anthropic lieferte im Mai 2025 ASL-3-Schutzmaßnahmen für Claude Opus 4 aus, das erste kommerzielle Modell mit Einsatzmaßnahmen, die ausdrücklich auf die Verstärkung von Biowaffen abzielen. Aber diese Klassifikatoren schützen Claude. Sie tun nichts für Ihre feinabgestimmte REINVENT-Instanz, Ihre Retrieval-Pipeline oder das Modell mit offenen Gewichten auf Ihren eigenen GPUs. Die pharmaspezifische Pipeline-Schicht ist genau der Raum, in den die Frontier-Labs nicht hineinreichen können und den die Plattform-Anbieter als Feature statt als Schwerpunkt behandeln. Das ist die Lücke, und sie ist eine, die sich bauen lässt.
Die andere Frage, die mir gestellt wird, ist die operative: Ist das nicht langsam? Es ist langsamer als nichts auszuliefern, schneller als eine Klage und weit schneller als der Tag, an dem ein Regulierer oder ein Versicherer nach Beweisen fragt, die man nie erzeugt hat. Die RAND-Red-Team-Studie von 2024 fand heraus, dass KI die Obergrenze dessen, was ein ausgebildeter Virologe tun konnte, nicht anhob — sie hob die Untergrenze dessen an, was ein Nicht-Experte versuchen konnte. Das Risiko waren nie Superkräfte für die Wenigen. Es war demokratisierte Raffinesse für die Vielen. Das ist eine Untergrenze, die man mit dokumentierten Schichten verteidigt, nicht mit einem Verweigerungs-Prompt und guten Absichten.
Ich ging in diese Arbeit mit der Erwartung, einen cleveren Weg zu bauen, um gefährliches Wissen aus einem Modell zu löschen. Ich kam mit der Überzeugung heraus, dass die ganze Rahmung falsch war — dass man Biosicherheit nicht gewinnt, indem man ein Modell baut, das nicht missbraucht werden kann, denn ein solches Modell existiert nicht. Man gewinnt, indem man ein System baut, in dem jede Schicht davon ausgeht, dass die anderen besiegt werden, und man hebt die Belege auf. Wenn Sie heute eine generative Chemie- oder Biologie-Pipeline betreiben und die ehrliche Antwort auf „Wie sieht Ihr Kontrollrahmen aus“ eine Konfigurationsdatei und ein Verweigerungs-Prompt ist, dann ist das keine Sicherheitshaltung. Es ist ein einziges Vorzeichen, das darauf wartet, umgedreht zu werden — und Sie können genau sehen, wie eine mehrschichtige stattdessen aussieht.
