Privacy Gateway – kommerzielle KI nutzen, ohne Klardaten herauszugeben
Selbst gebaut, produktiv im Einsatz – kein anonymisiertes Beispiel. Geprüft am 31. Juli 2026.
- Aufgabentyp
- Compliance
- Betrieb
- Self-hosted
- Aufwand
- Groß
- Zeitrahmen
- Neun abgegrenzte Arbeitspakete, KI-gestützt entwickelt
- Quelle
- Eigenes Projekt, lauffähig, Erkennungsqualität gemessen
Aufgabe
Kommerzielle Sprachmodelle sind bei Zusammenfassungen, Formulierungen und Auswertungen den selbst betriebenen Modellen deutlich voraus. Nur enthalten die Unterlagen, um die es im Alltag geht – Rechnungen, Support-Mails, Kundenlisten – genau die Daten, die dort nicht hingehören. Die verbreitete Antwort, vor dem Prompt eben die Namen zu schwärzen, hält der Praxis nicht stand.
Lösungsweg
Selbst gebautes Gateway zwischen der eigenen Organisation und dem Anbieter. Eingaben und Dokumente werden pseudonymisiert, ein Mensch prüft jede Fundstelle, das Modell sieht nur Platzhalter, die Antwort wird nach Freigabe zurückübersetzt. Erkennung über Presidio mit eigenen deutschen Regeln, Weiterleitung über einen LiteLLM-Proxy, verschlüsselte Zuordnungstabelle mit Löschfrist, Auditbericht je Fall.
Kontrollpunkt Ein Mensch prüft oder gibt das Ergebnis frei.
Wie es technisch abläuft
Jeder Schritt bleibt einzeln prüfbar; Komponenten werden nur dort genannt, wo sie festgelegt sind.
- 01 Dokument oder Eingabe PDF, DOCX, E-Mail, Excel
- 02 Erkennung Presidio + eigene Regeln
- 03 Menschliche Prüfung Fundstellenansicht
- 04 Weiterleitung LiteLLM-Proxy
- 05 Rückübersetzung verschlüsselte Token-Map
Vorher und Nachher
Die Veränderung wird als Arbeitsablauf beschrieben, nicht als Erfolgsversprechen.
Vorher
- Vertrauliche Unterlagen bleiben von KI-Werkzeugen ausgeschlossen
- Oder sie landen von Hand geschwärzt trotzdem im Prompt
- Kein Nachweis, was der Anbieter tatsächlich gesehen hat
Nachher
- Jede Fundstelle einzeln entscheidbar, bevor etwas das Haus verlässt
- Antwort kommt mit echten Namen zurück, das Modell kannte sie nie
- Auditbericht je Fall als Grundlage für die Nachweispflicht
Dokumentierte Ergebniswerte
Die Werte gelten im jeweils beschriebenen Szenario und sind kein allgemeiner Benchmark.
- Abdeckung auf 479 geprüften Fundstellen
- 0,973
- Recall bei IBAN, Steuer-IdNr., Kennzeichen
- 1,000
- Befunde aus dem Sicherheits-Review, alle behoben
- 19
Grenzen und bewusste Entscheidungen
Diese Bedingungen gehören zum Lösungsweg und dürfen nicht aus dem Szenario herausgekürzt werden.
- Ersetzt weder Auftragsverarbeitungsvertrag noch Verarbeitungsverzeichnis
- Gesundheits- und Beschäftigtendaten ausgeschlossen
- Auf gescannten Unterlagen bricht die Erkennung bei Nummern mit Prüfziffer ein
- Ausgelegt auf einen kleinen Nutzerkreis, kein Mehrmandantenbetrieb
Werkzeug-Stack
Warum nicht einfach schwärzen
Ein Kundenname ist nicht das Problem. Das Problem ist die Kombination aus Postleitzahl, Vertragsnummer und Schadensdatum, aus der sich dieselbe Person rekonstruieren lässt, auch wenn der Name fehlt. Wer von Hand schwärzt, entfernt das Offensichtliche und übersieht das Rekonstruierbare.
Das Gateway macht daraus einen Vorgang mit einer festen Reihenfolge: erkennen, prüfen, ersetzen, senden, zurückübersetzen. Jeder Schritt hinterlässt einen Eintrag in einer verketteten Protokollspur, die selbst keine fachlichen Inhalte enthält.
Die Erkennung ist gemessen, nicht behauptet
Grundlage ist ein eigener Referenzdatensatz aus 66 erfundenen deutschen Geschäftstexten mit 593 annotierten Fundstellen: Rechnungen, Support-Mails, Außendienstnotizen, Verträge. Auf den 54 Beispielen im Abnahmeumfang liegt der Recall bei den Typen mit festem Format oder Prüfziffer bei 1,000, bei Personennamen und Organisationen bei 0,944. Typunabhängig sind 466 von 479 Fundstellen abgedeckt.
Die verbleibenden dreizehn sind neun Ortsnamen, die zugleich gewöhnliche Wörter
sind – Essen, Hagen, Kiel –, und vier einzeln stehende Vor- oder
Nachnamen aus schnell getippten Notizen, teils klein geschrieben. Beides
schließt eine gepflegte Fallliste, kein größeres Modell.
Alle Werte je Entitätstyp, die Methode und die Grenzen der Messung stehen unter Messung der Erkennung.
Der Befund, der nicht im Plan stand
Werden dieselben Beispiele mit den Fehlern versehen, die Tesseract auf deutschen Geschäftsunterlagen tatsächlich macht, fällt der Recall der deterministischen Typen von 1,000 auf 0,695. Die Sozialversicherungsnummer landet bei 0,000, die Steuer-IdNr. bei 0,333.
Der Grund ist die Prüfziffer. Sie macht diese Erkennung im sauberen Text so
präzise, und sie ist es, die ein O statt einer 0 zerstört. Namen und
Organisationen bleiben im selben Durchlauf bei 0,960, weil statistische
Erkennung ein vertauschtes Zeichen verkraftet.
Praktisch heißt das: Bei gescannten Unterlagen ist die Qualität der Texterkennung eine Sicherheitseigenschaft, keine Komfortfrage – und die Prüfung durch einen Menschen ist dort nicht Vorsicht, sondern notwendig.
Excel ist der unterschätzte Fall
Eine weitergegebene Tabelle enthält oft mehr, als sie zeigt: Formeln mit Bezügen auf gelöschte Spalten, ausgeblendete Blätter, Pivot-Zwischenspeicher, Kommentare. Das Gateway erzeugt deshalb eine reine Werte-Kopie und entfernt diese Bestandteile, statt nur die sichtbaren Zellen zu ersetzen. Je Spalte ist wählbar, ob sie tokenisiert, entfernt, vergröbert oder unverändert übernommen wird.
Rückübersetzung mit Freigabe
Die Antwort des Modells läuft vor der Anzeige noch einmal durch dieselbe Erkennung. Erst nach ausdrücklicher Freigabe werden die Platzhalter durch die Klarwerte ersetzt. Die Zuordnung liegt AES-GCM-verschlüsselt, fallbezogen und mit Ablaufdatum; nach Fristablauf ist die Rückübersetzung nicht mehr möglich.
Was der Sicherheits-Review gefunden hat
Nach Abschluss der Entwicklung wurde der Gesamtstand gegen das eigene Bedrohungsmodell geprüft. Ergebnis: 19 Befunde, inzwischen alle behoben, mit Regressionstests je Befundnummer.
Der wichtigste war unscheinbar. Ein Dokument, das nie analysiert wurde, galt als fertig bearbeitet – die Fundstellenliste war leer, also war nichts offen, also durfte es an das Modell. Im Klartext. Heute verlangen Export und Versand einen nachweislich abgeschlossenen Erkennungslauf.
Ein zweiter Befund betraf die Anmeldung: Hinter dem Reverse-Proxy sah die Anwendung nur dessen Container-Adresse, wodurch die Sperre nach zu vielen Fehlversuchen nicht einen Angreifer, sondern alle Nutzer gleichzeitig traf.
Was das Gateway nicht leistet
Pseudonymisierte Daten bleiben personenbezogen im Sinne der DSGVO. Die Übermittlung an ein kommerzielles Modell bleibt eine Verarbeitung, die eine Rechtsgrundlage und einen Auftragsverarbeitungsvertrag braucht. Das Gateway senkt das Risiko und liefert den Nachweis, es stellt keine Konformität her.
Für Auswertungen ohne Rückrechenbarkeit ist Pseudonymisierung ohnehin das falsche Werkzeug; das wäre echte Anonymisierung, und dafür gelten andere Verfahren. Der Unterschied ist unter Pseudonymisierung & Anonymisierung beschrieben.