KI-Gateway
PII-Maskierung: Personenbezogene Daten aus Prompts heraushalten
Die häufigste Datenschutzlücke beim KI-Einsatz ist keine Sicherheitslücke, sondern Kopieren und Einfügen. Maskierung setzt genau dort an: Namen, Adressen und Nummern werden ersetzt, bevor die Anfrage das Haus verlässt. Was das leistet – und was nicht.
Von Christoph Weiß · Veröffentlicht · 3 Min. Lesezeit
Das Problem entsteht im Alltag
Eine Mitarbeiterin kopiert eine Kundenmail in den Assistenten und fragt: „Wie antworte ich darauf?“ In der Mail stehen Name, Anschrift, Kundennummer, vielleicht eine Vertragsnummer. Niemand handelt böswillig – trotzdem sind personenbezogene Daten gerade an ein externes Modell gegangen.
Dieselbe Situation entsteht automatisiert: Ein Workflow schickt Tickets, Rechnungen oder Bewerbungen zur Zusammenfassung an ein Modell. Was darin steht, hat vorher niemand geprüft.
Wie Maskierung funktioniert
Zwischen Anwendung und Modell liegt eine Prüfstelle – typischerweise ein KI-Gateway. Dort läuft die Anfrage durch zwei Erkennungsarten:
- Mustererkennung für alles mit fester Form: IBAN, Steuer-Identifikationsnummer, Telefonnummern, E-Mail-Adressen, Kreditkartennummern. Zuverlässig, weil die Formate definiert sind.
- Named Entity Recognition für alles ohne feste Form: Personennamen, Firmen, Orte, Adressen. Ein Modell erkennt sie am Kontext – dazu mehr in unserer FAQ-Antwort zu NER.
Gefundene Stellen werden durch Platzhalter ersetzt, etwa `[NAME_1]` oder `[IBAN_1]`. Das Modell arbeitet mit dem maskierten Text. Beim Zurückschreiben können die Platzhalter wieder durch die echten Werte ersetzt werden, sodass die Antwort für den Nutzer vollständig wirkt – die Daten selbst haben den geschützten Bereich aber nie verlassen.
Was Maskierung nicht leistet
Drei Grenzen, die man kennen sollte, bevor man sich auf das Verfahren verlässt:
- Keine Erkennung ist vollständig. Ein seltener Nachname, ein Tippfehler, eine ungewöhnliche Schreibweise – es bleibt eine Fehlerquote. Maskierung senkt das Risiko, sie beseitigt es nicht.
- Kontext kann trotzdem verraten. „Unser Geschäftsführer in Deggendorf, seit 2019 im Amt“ enthält keinen Namen und identifiziert die Person trotzdem. Solche Umschreibungen erkennt kein Maskierungsverfahren.
- Zu strenge Erkennung stört. Wird zu viel ersetzt, verliert das Modell den Zusammenhang und antwortet schlechter. Maskierung braucht eine Abstimmung zwischen Schutz und Nutzbarkeit.
Deshalb ist Maskierung ein Baustein, kein Ersatz für Regeln. Es braucht weiterhin eine Richtlinie, welche Daten überhaupt in welches System dürfen, und eine Einweisung der Mitarbeitenden.
Maskierung oder gar nicht erst rausschicken?
| Maskierung vor dem Cloud-Modell | Lokales Modell | |
|---|---|---|
| Wo bleiben die Daten | Maskiert draußen, Original intern | Vollständig im eigenen Haus |
| Restrisiko | Erkennungsfehler, Umschreibungen | Interne Berechtigungen und Protokolle |
| Aufwand | Gering, zentral konfiguriert | Hardware, Betrieb, Modellauswahl |
| Geeignet für | Gemischte Nutzung, viele Anwendungsfälle | Dauerhaft sensible Aufgaben |
In der Praxis kombinieren viele Unternehmen beides: sensible Aufgaben lokal, den Rest über maskierte Anfragen an Cloud-Modelle. Die Abwägung dazu steht im Beitrag Lokale KI oder Cloud-KI?
Worauf Sie bei der Auswahl achten sollten
- Wo läuft die Erkennung? Sie muss vor dem Verlassen des geschützten Bereichs greifen – nicht beim Anbieter des Modells.
- Welche Kategorien werden erkannt, und lassen sich eigene ergänzen, etwa Kunden- oder Vertragsnummern in Ihrem Format?
- Ist Deutsch belegt getestet? Lassen Sie sich Beispiele zeigen oder testen Sie mit echten, unkritischen Texten.
- Was wird protokolliert? Idealerweise nur, dass und wie viele Treffer es gab – nicht die gefundenen Inhalte.
- Lässt sich das Verhalten pro Anwendungsfall einstellen? Ein Übersetzungsdienst braucht andere Regeln als ein Bewerbungs-Assistent.
Der Markt bewegt sich hier: Auch große Gateway-Anbieter werben inzwischen damit, personenbezogene Daten zu entfernen, bevor sie den Modellanbieter erreichen. Der Unterschied liegt in der Sprachabdeckung und darin, wie fein sich das Verhalten je Anwendungsfall steuern lässt.