Privacy Gateway schützt sensible Daten bei generativer KI
Generative KI wie ChatGPT wird längst im Berufs- und Privatleben genutzt –
häufig auch für vertrauliche Inhalte. Forscher der FernUniversität in
Hagen haben daher ein sogenanntes Privacy Gateway entwickelt. Der Prototyp
erkennt nicht nur Namen oder Adressen, sondern auch scheinbar harmlose
Informationen, die in ihrer Kombination Rückschlüsse auf Personen oder
Geschäftsgeheimnisse zulassen. Sensible Inhalte werden automatisch
anonymisiert, bevor sie an externe KI-Dienste gelangen. Die Studie zeigt
einen möglichen Weg, Datenschutz und die Nutzung leistungsfähiger
Sprachmodelle besser miteinander zu verbinden. Vorgestellt wurde die
Arbeit auf dem Privacy Enhancing Technologies Symposium (PETS).
Mal eben einen Text zusammenfassen lassen, eine E-Mail formulieren oder
eine Idee weiterentwickeln – generative KI gehört für viele Menschen
inzwischen zum Alltag. Doch wer dabei vertrauliche Informationen eingibt,
gibt sie automatisch an die großen US-amerikanischen Technologiekonzerne
weiter. Ein Forschungsteam der FernUniversität in Hagen hat deshalb einen
Prototyp entwickelt, der sensible Inhalte automatisch erkennt und
entfernt, bevor sie an ein KI-Sprachmodell gesendet werden.
Entwickelt haben das sogenannte Privacy Gateway Pascal Tippe und Michael
Maximilian Grötzner am Informatik-Lehrstuhl Parallelität und VLSI der
FernUni (Prof. Dr. Jörg Keller). Tippe, Doktorand am Lehrstuhl, und
Masterstudent Grötzner sind gleichberechtigte Autoren der Studie. Grötzner
hat die Studie außerdem auf dem internationalen Privacy Enhancing
Technologies Symposium (PETS) präsentiert.
Datenschutz endet nicht bei Namen und Adressen
Viele Menschen achten bereits darauf, keine Namen oder Telefonnummern in
Anfragen an KI-Systeme einzutippen. Das reicht jedoch oft nicht aus. Denn
nicht nur einzelne Angaben verraten etwas über eine Person. Häufig genügt
schon die Kombination scheinbar harmloser Details, um Rückschlüsse auf
ihre Identität zuzulassen. „Diese Kombination ist eben nicht so leicht zu
verfremden oder zu bereinigen“, erklärt Pascal Tippe. „Gerade wenn
Menschen schnell mit einem Sprachmodell arbeiten, erkennen sie oft gar
nicht, welche Informationen zusammengenommen Rückschlüsse auf ihre
Identität zulassen.“
Aus vielen einzelnen Angaben können mit der Zeit persönliche Profile
entstehen – etwa zu Interessen, Gewohnheiten oder politischen Ansichten.
„Gelangen diese Daten in falsche Hände, zum Beispiel durch einen
Hackerangriff auf die KI-Systeme, können sie missbraucht werden“, warnt
Tippe. „Außerdem betreffen viele Eingaben nicht nur die eigene Person,
sondern auch Kolleginnen und Kollegen, Kundinnen und Kunden oder
Familienmitglieder, die einer Weitergabe ihrer Daten nie zugestimmt
haben.“
Besonders in Unternehmen kann das weitreichende Folgen haben.
Mitarbeitende jonglieren täglich mit Kundendaten, internen Dokumenten oder
Geschäftsgeheimnissen. Werden solche Inhalte an externe KI-Anbieter
übermittelt, kann dies gegen Datenschutzvorgaben verstoßen oder
vertrauliches Unternehmenswissen preisgeben. Ein vollständiges Verbot
generativer KI halten die Forschenden dennoch nicht für den richtigen Weg.
„Die eine Lösung wäre zu sagen: Dann benutzen wir es halt gar nicht und
verbieten es“, sagt Tippe. „Das hätte aber extreme Produktivitätseinbußen.
Und Leute tendieren dazu, es dann so oder so zu benutzen, egal, ob es
erlaubt ist oder nicht.“
Ein Dolmetscher zwischen Mensch und KI
Genau hier setzt das Privacy Gateway an. Der Prototyp arbeitet wie ein
intelligenter Vermittler zwischen Nutzenden und dem Sprachmodell. Bevor
eine Anfrage an einen externen KI-Dienst gesendet wird, prüft das System
den gesamten Text auf sensible Informationen. Anders als bisherige
Datenschutzfilter sucht es dabei nicht nur nach offensichtlichen Angaben
wie Namen, Adressen oder Kreditkartennummern. Es bewertet den gesamten
Zusammenhang einer Anfrage und erkennt auch Informationen, die erst im
Zusammenspiel Rückschlüsse auf Personen oder Unternehmen zulassen.
„Wer beispielsweise von einer Reise erzählt, den Abflughafen nennt, den
Reisezeitraum beschreibt und nebenbei noch den eigenen Beruf oder
besondere Hobbys erwähnt, liefert bereits genügend Informationen, um
identifiziert zu werden“, warnt Tippe. „Solche indirekten Hinweise kann
das Privacy Gateway erkennen und verallgemeinern, ohne dass der
eigentliche Sinn der Anfrage verloren geht.“
Im Einklang mit der DSGVO
Hinter dem Privacy Gateway steckt deshalb mehr als ein technischer Filter.
Die Forschenden haben die Vorgaben der Datenschutz-Grundverordnung und den
Schutz von Geschäftsgeheimnissen in ein Regelwerk übersetzt, das ein
Sprachmodell anwenden kann. „Wir haben ein Codebook erstellt“, erklärt
Tippe. „Darin haben wir die rechtlichen Definitionen der Datenschutz-
Grundverordnung, also Artikel 4 und Artikel 9 zu personenbezogenen Daten,
sowie das deutsche Geschäftsgeheimnis in eine Menge an Anweisungen
übersetzt.“ Dadurch könne das System nicht nur erkennen, dass sensible
Informationen enthalten sind, sondern auch begründen, warum sie geschützt
werden müssen, bevor die Anfrage an ein externes KI-System weitergeleitet
wird.
„Wir haben festgestellt, dass dieses Sprachmodell Dinge sehr, sehr gut
klassifizieren und sanitarisieren, also unkenntlich machen kann“, sagt
Tippe. „Es erkennt im Text, wo personenbezogene Daten sind, und kann das
entsprechend begründen.“ Damit unterscheidet sich der Ansatz von
herkömmlichen Filtern, die vor allem nach einzelnen Begriffen oder
Zahlenfolgen suchen und diese schwärzen.
Den Prototyp überprüften Tippe und Grötzner anhand eines umfangreichen
Datensatzes mit unterschiedlichen Alltagsszenarien und sensiblen
Anwendungsfällen. Dabei untersuchten sie nicht nur, wie zuverlässig
vertrauliche Informationen erkannt und anonymisiert werden, sondern auch,
welchen Einfluss dies auf die Qualität der Antworten hat. Die Ergebnisse
zeigen, dass sich sensible Informationen in vielen, aber eben nicht allen
Fällen wirksam entfernen lassen, ohne dass die Qualität der KI-Antworten
deutlich leidet.
Perspektiven und Grenzen
„Bei den meisten Anfragekategorien haben wir gesehen, dass die wichtigsten
Informationen erhalten bleiben und das Ganze noch relativ gut benutzbar
ist“, sagt Tippe. Gleichzeitig zeige die Untersuchung aber auch Grenzen
auf: „Bei Prompts, die extrem viele personenbezogene Daten enthalten,
beispielsweise bei umfangreichen medizinischen Diagnosen, die man gerne
mal mit der KI bespricht, geht relativ viel verloren, was wichtig sein
könnte.“ Damit macht die Studie deutlich, dass Datenschutz und Nutzbarkeit
nicht immer vollständig miteinander vereinbar sind.
Noch ist das Privacy Gateway ein Forschungsprototyp. Perspektivisch könnte
eine solche Lösung jedoch direkt in Unternehmen betrieben werden. Sensible
Informationen würden dann bereits auf den eigenen Servern geprüft und
anonymisiert, bevor sie überhaupt an externe KI-Anbieter gelangen. „Wenn
in Zukunft leistungsfähige Sprachmodelle lokal betrieben werden können,
wäre das ein realistischer Anwendungsfall“, sagt Tippe.
Mit ihrer Forschung zeigen Pascal Tippe und Michael Maximilian Grötzner,
wie sich Datenschutz und generative KI besser miteinander verbinden
lassen. Statt Menschen vor die Wahl zwischen Datensicherheit und den
Möglichkeiten moderner KI zu stellen, verfolgt ihr Ansatz das Ziel, beides
zusammenzudenken: die Potenziale leistungsfähiger Sprachmodelle zu nutzen,
ohne dabei sensible Informationen aus der Hand zu geben.
Wissenschaftliche Ansprechpartner:
https://www.fernuni-hagen.de/p
Originalpublikation:
Grötzner, M. M., & Tippe, P. (2026). Operationalizing the motivated
intruder: A codebook-guided inference framework for semantic input privacy
in LLMs. Proceedings on Privacy Enhancing Technologies, 2026(3), 441–466.
https://doi.org/10.56553/popet
