Risiken von Anonymisierungsprogrammen für KI-Chatanfragen

Die Nutzung von Frontier-KIs wie ChatGPT, Claude oder Gemini hat in Unternehmen, Kanzleien, Versicherungen und Gesundheitseinrichtungen stark zugenommen. Besonders attraktiv erscheinen sogenannte Anonymisierungs- oder Pseudonymisierungs-Gateways, die Chat-Anfragen automatisch bereinigen und anschließend an einen Cloud-KI-Dienst weiterleiten.

Der Gedanke dahinter ist nachvollziehbar: Sensible personenbezogene Daten (PII – Personally Identifiable Information) sollen erkannt, ersetzt oder entfernt werden, bevor der Text die eigene Infrastruktur verlässt.

Doch genau hier liegt ein häufig unterschätztes Risiko: Eine hohe Trefferquote ist nicht gleichbedeutend mit vollständigem Datenschutz.

Warum 99 % nicht ausreichen

Moderne PII-Filter arbeiten meist mit NER-Modellen (Named Entity Recognition), regulären Ausdrücken und statistischen Verfahren. Unter Laborbedingungen erreichen viele Systeme beeindruckende Werte von 95–99 % Erkennungsrate.

In der Praxis bedeutet das jedoch nicht, dass jede sensible Information erkannt wird.

Bereits ein einziger übersehener Wert kann problematisch sein:

Name einer Patientin oder eines Mandanten
seltene Ortsangabe
Versicherungsnummer
Telefonnummer in ungewöhnlichem Format
Freitext mit indirekten Identifikatoren
Kombination mehrerer harmlos wirkender Informationen

Gerade bei großen Dokumenten oder langen Chatverläufen steigt die Wahrscheinlichkeit, dass mindestens ein sensibles Merkmal unerkannt bleibt.

Das Problem indirekter Identifikation

Viele Systeme konzentrieren sich auf offensichtliche PII wie:

Vor- und Nachnamen
E-Mail-Adressen
Telefonnummern
Ausweis- oder Vertragsnummern

Schwieriger sind jedoch quasi-identifizierende Informationen:

„Der Chefarzt der einzigen neurologischen Reha-Klinik in Musterstadt behandelte am 14. März eine 47-jährige Patientin mit zementierter Duokopfprothese.“

Kein einzelnes Wort ist zwingend als klassische PII markiert. Die Kombination der Angaben kann jedoch eine Identifikation ermöglichen.

Solche Kontexte sind für automatische Systeme besonders anspruchsvoll.

Pseudonymisierung ist keine Anonymisierung

Viele Anbieter verwenden den Begriff „Anonymisierung“, obwohl technisch häufig nur eine Pseudonymisierung erfolgt:

Verfahren	Ergebnis
Anonymisierung	Rückschluss auf die Person praktisch ausgeschlossen
Pseudonymisierung	Identifikatoren werden ersetzt, ein Personenbezug kann jedoch erhalten bleiben

Beispiel:

Original	Pseudonymisiert
„Max Mustermann aus Bremen“	„PERSON_001 aus ORT_003“

Der Text enthält weiterhin Struktur, Beziehungen und Kontextinformationen. Für Analysen mag das ausreichend sein, datenschutzrechtlich ist dies jedoch nicht automatisch anonym.

Risiken bei Cloud-Frontier-KIs

Wird ein pseudonymisierter Text an einen externen KI-Dienst übertragen, entstehen zusätzliche Risiken:

Übertragung an Dritte
Speicherung in Logs oder Telemetriedaten
unklare Aufbewahrungsfristen
Verarbeitung außerhalb der eigenen Kontrolle
mögliche Rekonstruktion durch Kontextinformationen
Compliance-Probleme bei Berufsgeheimnisträgern

Besonders kritisch ist dies in Bereichen mit besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO, etwa Gesundheitsdaten oder strafrechtlich relevante Informationen.

Warum lokale Dokumentenwerkzeuge anders zu bewerten sind

Werkzeuge wie Redactwizard verfolgen einen anderen Ansatz. Sie sind dokumentenbezogen konzipiert und arbeiten lokal auf der eigenen Infrastruktur, ohne Texte automatisch an Cloud-KIs weiterzuleiten.

Der Fokus liegt auf:

irreversibler Schwärzung,
lokaler Verarbeitung,
manueller Kontrolle,
Export bereinigter Dokumente.

Dadurch wird das Risiko einer unbeabsichtigten Datenübertragung deutlich reduziert.

Ad-hoc-Texteingabe als zusätzliche Sicherheitsstufe

Für einzelne Textpassagen kann eine Ad-hoc-Texteingabe genutzt werden, um Inhalte vor einer KI-Anfrage gezielt zu prüfen.

Ein wichtiger Sicherheitsmechanismus ist dabei eine Blacklist-/Wortlisten-Funktion. Kritische Begriffe, Namen, Aktenzeichen oder interne Kennungen können explizit definiert werden und werden dann unabhängig vom KI-Modell immer maskiert.

Beispiel:

Blacklist-Eintrag	Ergebnis
„Mustermann“	█████████
„4711-AB-99“	█████████
„Klinik Sonnenhöhe“	█████████

Dadurch lässt sich die Erkennung für bekannte kritische Begriffe praktisch auf 100 % erhöhen, weil sie nicht mehr von statistischen Modellentscheidungen abhängt.

Das ist ein wesentlicher Unterschied zu rein KI-basierten Pseudonymisierungs-Gateways.

Empfohlener Sicherheitsworkflow

1. Lokale Vorverarbeitung

Dokument öffnen
automatische PII-Erkennung ausführen
manuelle Prüfung durchführen

2. Blacklist anwenden

Mandantennamen
Patientenkennungen
Projektnamen
interne IDs
vertrauliche Orte oder Einrichtungen

3. Pseudonymisierten Text exportieren

Erst nach manueller Kontrolle sollte der Text in eine externe Frontier-KI eingefügt werden.

Beispiel für einen sicheren Ablauf

Unsicher

Internes Dokument → Automatischer PII-Filter → ChatGPT

Problem: Nicht erkannte PII gelangen direkt an den Cloud-Dienst.

Deutlich sicherer

Sicherer Workflow
Internes Dokument

Lokale PII-Erkennung

Blacklist-Maskierung

Manuelle Kontrolle

Pseudonymisierter Text

ChatGPT / andere Frontier-KI

Die zusätzliche menschliche Kontrollinstanz bleibt dabei entscheidend.

Die Illusion der vollautomatischen Sicherheit

Hersteller werben häufig mit Aussagen wie:

„DSGVO-konforme KI-Nutzung“
„vollautomatische Anonymisierung“
„sichere ChatGPT-Integration“

Solche Formulierungen sollten kritisch hinterfragt werden. Aus technischer Sicht gilt:

Kein probabilistisches KI-Modell kann garantieren, jede personenbezogene Information in jedem Kontext zu erkennen.

Selbst bei einer theoretischen Trefferquote von 99,9 % verbleibt ein Restrisiko. Bei sensiblen Daten muss dieses Restrisiko bewusst bewertet werden.

Besondere Vorsicht in regulierten Bereichen

Folgende Organisationen sollten automatische Chat-Pseudonymisierung nur mit besonderer Vorsicht einsetzen:

Krankenhäuser und Arztpraxen
Reha- und Pflegeeinrichtungen
Rechtsanwaltskanzleien
Versicherungen
Steuerberatungen
Behörden
Unternehmen mit Forschungs- oder Personaldaten

Hier können bereits einzelne Datenlecks erhebliche rechtliche und wirtschaftliche Folgen haben.

Merke:

Automatische Anonymisierungsprogramme für KI-Chatanfragen sind hilfreiche Assistenzwerkzeuge, aber keine Garantie für vollständigen Datenschutz.

Die wichtigsten Punkte:

99 % Erkennungsrate bedeuten nicht 100 % Sicherheit.
Pseudonymisierung ersetzt keine echte Anonymisierung.
Indirekte Identifikatoren bleiben ein erhebliches Risiko.
Cloud-Frontier-KIs sollten nur mit sorgfältig geprüften Daten verwendet werden.
Lokale dokumentenbezogene Werkzeuge wie Redactwizard reduzieren das Übertragungsrisiko erheblich.
Eine Blacklist-basierte Zusatzmaskierung kann bekannte kritische Begriffe zuverlässig erfassen und die praktische Sicherheit deutlich erhöhen.

Der entscheidende Grundsatz lautet daher:

Automatische KI-gestützte Pseudonymisierung sollte als Unterstützung verstanden werden – nicht als alleinige Sicherheitsmaßnahme für die Weitergabe sensibler Daten an Cloud-KIs.

Wer personenbezogene oder vertrauliche Informationen verarbeitet, sollte stets eine Kombination aus lokaler Verarbeitung, expliziter Blacklist-Maskierung und manueller Endkontrolle einsetzen, bevor Inhalte an externe Frontier-KI-Dienste übermittelt werden.