Pseudonymisierung & Anonymisierung
Namen schwärzen reicht nicht. Wie Eingaben technisch so vorbereitet werden, dass kommerzielle KI-Modelle nutzbar bleiben – und wo die Erkennung tatsächlich versagt.
Vor dieser Vertiefung: KI-Compliance
Das Thema in drei Schritten.
Inhalt 8 Kapitel
Zwei Begriffe, zwei Zwecke
Die beiden Wörter werden im Alltag synonym benutzt, meinen aber Gegensätzliches.
Pseudonymisierung ersetzt identifizierende Angaben durch Platzhalter und behält die Zuordnung. Sie ist umkehrbar, und genau deshalb ist sie für operative Vorgänge brauchbar: Eine zusammengefasste Support-Mail nützt nur, wenn am Ende wieder klar ist, um welchen Kunden es ging. Rechtlich bleiben solche Daten personenbezogen. Sie senken das Risiko, sie beenden es nicht.
Anonymisierung entfernt den Personenbezug so, dass er sich nicht wieder herstellen lässt. Keine Zuordnungstabelle, keine Rückübersetzung. Das ist der richtige Weg für Auswertungen und für Daten, die das Haus verlassen, und der falsche für jeden Vorgang, bei dem hinterher jemand handeln soll.
Wer beides verwechselt, baut entweder ein Verfahren, das im Alltag unbrauchbar ist, oder eines, das Schutz nur behauptet. Welcher Weg zu welcher Aufgabe gehört, steht ausführlicher in der Entscheidungskarte Pseudonymisieren vs. anonymisieren vs. lokal rechnen.
Warum Namen schwärzen nicht reicht
Ein Name ist der auffälligste, aber selten der gefährlichste Teil. Die Wiedererkennung läuft über Kombinationen: Postleitzahl und Vertragsnummer und Schadensdatum ergeben zusammen dieselbe Person, auch wenn der Name fehlt. Dazu kommen die Angaben, an die beim Schwärzen niemand denkt – die Signatur unter der weitergeleiteten Mail, die IBAN im Zahlungsavis, das Kennzeichen im Servicebericht, der Dateiname des Anhangs.
Und die Sache skaliert nicht. Von Hand geschwärzt wird das erste Dokument sorgfältig, das dritte am selben Tag nicht mehr. Deshalb gehört dieser Schritt in die Architektur und nicht in eine Schulungsfolie.
Wie die Erkennung aufgebaut ist
Ein Gateway, das diese Aufgabe übernimmt, arbeitet in Stufen, und die Stufen sind unterschiedlich zuverlässig:
- Feste Regeln für alles mit Format oder Prüfziffer: IBAN, Steuer-IdNr., Sozialversicherungsnummer, Kfz-Kennzeichen, deutsche Rufnummern, E-Mail-Adressen, dazu konfigurierbare Muster für Kunden-, Vertrags- und Rechnungsnummern.
- Statistische Erkennung für Personen, Organisationen und Orte, die keinem Muster folgen.
- Fallbezogene Wörterbücher: die Mitarbeiter-, Kunden- und Standortlisten eines Mandanten sind kurz, stabil und schließen die Lücken der ersten beiden Stufen.
- Prüfung durch einen Menschen vor dem Versand, mit einer Entscheidung je Fundstelle: ersetzen, entfernen, vergröbern oder bewusst freigeben.
- Prüfung der Antwort, bevor sie angezeigt wird – dieselbe Erkennung läuft noch einmal über das, was zurückkommt.
Entscheidend für die Antwortqualität ist, dass die Platzhalter innerhalb eines
Vorgangs stabil bleiben. Wenn dieselbe Person im ganzen Dokument PERSON-A12
heißt, versteht das Modell weiterhin, wer sich worauf bezieht. Einfache
Maskierungsdienste ersetzen alle Namen durch dasselbe Zeichen und zerstören
damit genau die Zusammenhänge, wegen derer man das Modell gefragt hat.
Wie gut das funktioniert
Über die Qualität solcher Erkennung wird viel behauptet und wenig gemessen. Auf einem eigenen Referenzdatensatz aus 66 erfundenen deutschen Geschäftstexten mit 593 annotierten Fundstellen ergibt sich folgendes Bild (54 Beispiele im Abnahmeumfang, 479 Fundstellen):
| Gruppe | Recall | Precision |
|---|---|---|
| Feste Regeln (IBAN, Steuer-IdNr., Kennzeichen, Rufnummern …) | 1,000 | 0,986 |
| Personen und Organisationen | 0,944 | 0,656 |
| Abdeckung insgesamt | 0,973 | — |
Die offenen dreizehn Fundstellen sind neun Ortsnamen, die zugleich gewöhnliche
Wörter oder Vornamen sind (Essen, Hagen, Kiel), und vier einzeln stehende
Namen aus schnell getippten internen Notizen, teils klein geschrieben. Beides
schließt eine gepflegte Fallliste zuverlässiger als ein größeres Modell.
Die niedrige Precision bei Organisationen ist eine bewusste Einstellung, kein Mangel. Für diesen Zweck ist ein zu viel maskiertes Wort billiger als ein übersehener Firmenname; die Fehltreffer sind in der Prüfansicht mit je einem Klick erledigt, eine übersehene Nummer dagegen wäre bereits beim Anbieter.
Wo es kippt: gescannte Dokumente
Der aufschlussreichste Teil der Messung betrifft Unterlagen, die nicht getippt,
sondern eingescannt sind. Versieht man dieselben Beispiele mit den Fehlern, die
Texterkennung auf deutschen Geschäftsunterlagen tatsächlich macht – 0 als
O, 1 als l, Trennstriche am Zeilenende, Leerzeichen mitten in Nummern –,
verschiebt sich das Ergebnis scharf:
| Gruppe | sauberer Text | mit Lesefehlern |
|---|---|---|
| Recall feste Regeln | 1,000 | 0,695 |
| Recall Personen und Organisationen | 0,944 | 0,960 |
| Abdeckung insgesamt | 0,973 | 0,868 |
Alles mit Prüfziffer bricht ein. Die Sozialversicherungsnummer fällt auf 0,000,
die Steuer-IdNr. auf 0,333. Der Grund ist dieselbe Eigenschaft, die diese
Erkennung im sauberen Text so präzise macht: Ein falsch gelesenes Zeichen
verändert die Prüfsumme, und die Regel greift nicht mehr. Die statistische
Namenserkennung bleibt dagegen stabil – ein Mirlam Falkenhain ist für sie
weiterhin eine Person.
Daraus folgen zwei Dinge, die in Ratgebertexten zu diesem Thema selten stehen. Die Qualität der Texterkennung ist eine Sicherheitseigenschaft, keine Komfortfrage: Ein schlecht erkannter Scan bedeutet nicht schlechteren Text, sondern eine unerkannte Sozialversicherungsnummer im Prompt. Und die Prüfung durch einen Menschen ist bei gescannten Unterlagen nicht Vorsicht, sondern notwendig.
Sonderfall Tabellen
Eine weitergegebene Excel-Datei enthält regelmäßig mehr, als sie anzeigt: Formeln mit Bezügen auf gelöschte Spalten, ausgeblendete Blätter, Pivot-Zwischenspeicher, Kommentare, Metadaten. Wer nur die sichtbaren Zellen ersetzt, gibt den Rest mit heraus. Der tragfähige Weg ist eine reine Werte-Kopie, bei der diese Bestandteile entfernt werden, und eine Entscheidung je Spalte statt je Zelle: tokenisieren, entfernen, vergröbern oder unverändert lassen.
Was das nicht ersetzt
Pseudonymisierte Daten bleiben personenbezogen im Sinne der DSGVO. Die Übermittlung an ein kommerzielles Modell bleibt eine Verarbeitung und braucht eine Rechtsgrundlage und einen Auftragsverarbeitungsvertrag mit dem Anbieter; bei US-Anbietern kommt die Prüfung der Übermittlungsgrundlage dazu. Ein Gateway senkt das Risiko erheblich und liefert mit Protokoll und Löschkonzept den Nachweis. Es ersetzt weder das Verarbeitungsverzeichnis noch die Informationspflichten.
Für Berufsgeheimnisträger nach § 203 StGB ändert Pseudonymisierung nichts an der Grundlage: Dort ist die Frage nicht, wie gut maskiert wird, sondern ob die Übermittlung überhaupt zulässig ist. Siehe DSGVO & KI.
Und ein bestandener statistischer Test in der Anonymisierung ist eine Risikobewertung, keine Anonymitätsgarantie. Wer ihn als solche ausweist, hat den Unterschied aus dem ersten Abschnitt wieder eingeebnet.
Vertiefungen
- Die vollständige Messung → – Datensatz, Methode, Zahlen je Entitätstyp, Grenzen und Reproduktion
- Pseudonymisieren vs. anonymisieren vs. lokal rechnen → – welcher Weg zu welcher Aufgabe gehört
- Privacy Gateway → – ein umgesetztes Beispiel mit gemessener Erkennungsqualität
- DSGVO & KI → – Datenklassen, Ampel-Logik, formale Pflichten