Anonymisieren vor dem Modell: Leistung und Grenzen

Eine Vorstufe zur Anonymisierung ist ein Dienst, der einen Text vor dem Hauptmodell durchsucht, personenbezogene Stellen markiert und sie durch Platzhalter oder erfundene Werte ersetzt. Gefragt wird danach immer in derselben Form: reicht es, wenn wir vorher anonymisieren?

Ob ein Vorgehen zulässig ist, steht hier nicht. Das entscheiden euer Datenschutzbeauftragter und eine Rechtsberatung.

Erkennungsklassen und Ersetzung

Die Vorstufe besteht aus zwei Schritten, einer Erkennung und einer Ersetzung, und beide arbeiten mit festen Kategorien. Formatierte Werte wie IBAN, Kreditkarte oder Steuernummer findet die Stufe über reguläre Ausdrücke und Prüfsummen, alles ohne Format über ein Sprachmodell, also Namen, Organisationen, Orte. Azures PII-Erkennung gibt pro Fund eine Kategorie und einen Konfidenzwert zurück und maskiert den Text auf Wunsch gleich mit. Presidio macht dasselbe als Baukasten, den man selbst betreibt.

Die Ersetzung hat zwei Bauformen, und die Wahl wiegt schwerer, als sie aussieht. Entweder steht danach ein Platzhalter im Text, also [PERSON_1], oder ein plausibel erfundener Wert. Für die zweite Variante nennt Microsoft zwei Nebenwirkungen: die kulturelle oder geschlechtliche Zuordnung eines Namens bleibt beim Tausch nicht erhalten, und Leser merken unter Umständen nicht mehr, dass überhaupt etwas ersetzt wurde.

Der Rückschluss aus dem Zusammenhang

Der Personenbezug eines Textes hängt nicht nur an den Namen darin, und genau darauf zielt die Kritik der deutschen Aufsichtsbehörden. In der Orientierungshilfe der Datenschutzkonferenz vom 6. Mai 2024 steht unter Randnummer 49:

Um die Eingabe personenbezogener Daten zu vermeiden, reicht es regelmäßig nicht, Namen und Anschriften einer Eingabe zu entfernen. Gegebenenfalls lässt sich aus dem Zusammenhang ein Personenbezug zu betroffenen Personen herstellen. Bei KI-Anwendungen, deren Bestimmung es ist, Querbezüge auch aus unstrukturierten Daten herzustellen, ist diese Gefahr besonders hoch.

Das Beispiel in der Orientierungshilfe ist unangenehm alltäglich: „Entwirf ein Arbeitszeugnis im befriedigenden Bereich für einen Kundenberater im Autohaus X.” Kein Name, keine Adresse, und laut DSK trotzdem möglicherweise personenbezogen, weil erkennbar ist, aus welchem Unternehmen die Eingabe zu welchem Zeitpunkt kam. Dieselbe Mechanik trifft den Ticket-Text mit Vertragsnummer und Ortsteil. Für diesen Rückschluss hat eine Vorstufe keine Kategorie: sie erkennt Zeichenketten, die aussehen wie Kennzeichen von Personen, nicht Kombinationen, die zusammen auf eine Person zeigen.

Erkennungsraten in einer kontrollierten Messung

Die veröffentlichten Trefferquoten liegen deutlich unter 100 Prozent, und sie brechen dort ein, wo die Daten am heikelsten sind. Der Benchmark REDACT vom 18. Juni 2026 hat fünf Erkenner an 1.000 Datensätzen gemessen, gezogen aus einem vollständig synthetisch erzeugten Korpus mit 51 Entitätstypen in 25 Sprachen, Deutsch darunter. Wie gut die Rangfolge auf echte Daten überträgt, beziffert das Papier ausdrücklich nicht.

Presidio fällt dort von einer Trefferquote von 0,23 bei Entitäten niedriger Risikostufe auf 0,07 bei der höchsten Risikostufe des Benchmarks, die neben den Artikel-9-Kategorien auch Straftatdaten und das Geburtsdatum umfasst. Bei ausgeschriebenen Fundstellen liegt es bei 0,23, bei teilweise genannten bei 0,02.

REDACT-Benchmark, 18. Juni 2026, Tabelle 1 und Abschnitt 5.2

Über alle Fundstellen der Stichprobe gerechnet kommt Presidio in derselben Tabelle auf 0,195 im micro-F1 bei teilweiser Überlappung (partial-overlap micro-F1), über die 51 Typen gemittelt auf 0,063, GLiNER auf 0,320, der Privacy Filter von OpenAI auf 0,512, GPT-4.1 auf 0,597 und Claude Sonnet 4.6 auf 0,636. Die Autoren ordnen ihren Befund selbst ein: die Sprachmodelle könnten auf der hohen Risikostufe auch deshalb vorn liegen, weil diese Kategorien im generierten Text besonders deutlich benannt sind. Der Befund gilt damit für diesen Benchmark und diese Werkzeuge, nicht für echte Betriebsdaten.

Die Anbieter sagen dasselbe in Prosa. Im Presidio-Repository steht es als Warnhinweis direkt unter der Funktionsliste: „Weil automatische Erkennung im Spiel ist, gibt es keine Garantie, dass Presidio alle sensiblen Informationen findet. Weitere Systeme und Schutzmaßnahmen sind deshalb nötig.” Microsoft rät in der Transparenznotiz zur PII-Erkennung von automatischer Maskierung in Szenarien mit hohem Risiko ab, nennt für Maskierungsfälle eine menschliche Prüfung und rechnet damit, dass eure Daten Angaben enthalten, die als personenbezogen gelten, aber von keiner unterstützten Kategorie abgedeckt sind.

Aufsicht und Gerichtshof

Aufsichtsbehörden beschreiben Anonymisierung als Maßnahme, die im Einzelfall geprüft und belegt werden muss, nicht als Zustand, der durch den Einsatz eines Werkzeugs eintritt. Der Europäische Datenschutzausschuss hält in seiner Stellungnahme 28/2024 vom 17. Dezember 2024 in Randnummer 34 fest, dass mit personenbezogenen Daten trainierte Modelle nicht in allen Fällen als anonym gelten können. Zu bewerten ist das anhand aller Mittel, die der Verantwortliche oder ein Dritter nach vernünftigem Ermessen einsetzen dürfte, im Original „all the means reasonably likely to be used”. Die DSK hat ihre Linie fortgeschrieben: in der Orientierungshilfe zu RAG-Systemen vom Oktober 2025 steht die Anonymisierung als Anforderung an die Referenzdokumente, soweit die Daten nicht erforderlich sind. Was hinter so einem Referenzdokument steckt, haben wir im Vergleich von RAG, Fine-Tuning und Prompt auseinandergenommen.

Der Gerichtshof der Europäischen Union setzt den Akzent anders, im Urteil vom 4. September 2025. In der Pressemitteilung Nr. 107/25 zur Sache C-413/23 P steht, pseudonymisierte Daten seien nicht in jedem Fall und für jede Person personenbezogene Daten im Sinne der Verordnung 2018/1725, weil die Pseudonymisierung je nach Umständen andere Personen als den Verantwortlichen wirksam daran hindern könne, die betroffene Person zu identifizieren. Ob jemand identifizierbar ist, hängt laut Gerichtshof von den Umständen der Verarbeitung im Einzelfall ab.

Das Verfahren betraf die Verordnung 2018/1725 für die EU-Organe, nicht unmittelbar die DSGVO, und die Sache ging ans Gericht zurück. Zur Anonymisierung selbst hat der Ausschuss am 7. Juli 2026 die Leitlinien 02/2026 zur Konsultation angenommen, Frist 30. Oktober 2026. Sie beziehen das Urteil C-413/23 P ausdrücklich ein und prüfen Anonymität an drei Kriterien: keine Isolierung eines Datensatzes, keine Verknüpfung, kein Rückschluss. Die Leitlinien 01/2025 zur Pseudonymisierung sind weiter nicht endgültig beschlossen.

Genauigkeitsverlust im Ergebnis

Jede Ersetzung nimmt dem Hauptmodell Information, und manchmal genau die, die es braucht. Ein Angebotstext ohne Firma, Ort und Ansprechpartner lässt sich nicht personalisieren. Eine Ticket-Antwort ohne Kundennummer schlägt keinen Vertrag nach. Eine Zusammenfassung, in der drei Namen zu [PERSON_1] bis [PERSON_3] geworden sind, verwechselt sie, sobald die Rollen im Text nicht eindeutig sind.

Der übliche Ausweg ist Rückersetzung: die Vorstufe behält die Zuordnung, nach der Modellantwort werden die Platzhalter wieder gefüllt. Das verschiebt das Problem nur. Die Zuordnungstabelle liegt jetzt bei euch und braucht dieselbe Sorgfalt wie die Ursprungsdaten, und sie trägt nur, solange das Modell die Platzhalter unverändert durchreicht. Bei Umformulierungen und Übersetzungen sagt das niemand zu. Dazu kommt die unangenehmere der beiden Fehlerrichtungen: ein Fehltreffer macht den Text unbrauchbar und fällt sofort auf, eine übersehene Stelle fällt nie auf.

Kosten pro Gigabyte und pro Datensatz

Die Erkennung wird nach Textmenge abgerechnet und bleibt bei den geprüften Anbietern unter drei Dollar je Gibibyte. Google Cloud Sensitive Data Protection kostet 3,00 US-Dollar je geprüftes Gibibyte im Bereich von 1 GiB bis 1 TiB, wenn Inhalte einzeln übergeben werden (Content-Methode). Das erste Gibibyte pro Monat und Konto ist frei. Eine Ersetzung kostet 2,00 US-Dollar je Gibibyte zusätzlich. Beim EZB-Referenzkurs von 1,1481 US-Dollar je Euro (17. September 2026) sind das 2,61 und 1,74 Euro.

Bei Azure ist die Rechengröße ein Textdatensatz von 1.000 Zeichen, und interessanter als der Preis sind die Grenzen: synchron sind 5.120 Zeichen pro Dokument erlaubt, pro Anfrage höchstens fünf Dokumente, bei der Gesprächsvariante 1.000 Zeichen pro Durchgang. Wer längere Texte prüfen will, zerlegt sie und nimmt der Erkennung damit genau den Zusammenhang, den Microsoft bei Personennamen als Voraussetzung für gute Trefferquoten nennt.

Der eigentliche Posten steht in keiner Preisliste: eigene Erkenner für eure Kennzeichen, also Kunden- und Auftragsnummern und interne Kürzel, dazu eine handausgezeichnete Stichprobe echter Texte, an der die Trefferquote überhaupt messbar wird. Ohne sie kennt niemand die Maschenweite des Filters, den er eingebaut hat. Dieselbe Arbeit steht vor jedem KI-Vorhaben an, siehe Datenqualität vor KI.

Was wir empfehlen

Behandelt die Vorstufe als eine Schicht von mehreren, nicht als die Antwort auf die Frage. Drei Dinge zuerst.

Den Feldzuschnitt vor den Filter setzen. Welche Spalten, Absätze und Anhänge braucht die Aufgabe wirklich? Was nie in die Anfrage kommt, muss kein Erkenner finden, und dieser Schritt kostet nichts außer einer Entscheidung.

Die Trefferquote an euren Texten messen. Hundert echte Beispiele, von Hand ausgezeichnet, ergeben eine Zahl, die für euch gilt. Die Zahlen aus Benchmarks gelten für Benchmarks.

Den Vertrag als zweite Schicht behandeln. Auftragsverarbeitung, Trainingsausschluss, Löschfristen und Speicherort bleiben relevant, auch wenn vorne ein Filter steht. Welche fünf Klauseln zählen, steht in unserem Artikel zum AVV mit KI-Anbietern. Dazu eine Liste dessen, was nie in eine Eingabe gehört, siehe Schatten-KI.

Wenn ihr wissen wollt, welche dieser Schichten in eurem Fall tragen und wo ihr sie einsparen könnt, sprecht dreißig Minuten mit uns.

Häufige Fragen zur Anonymisierung vor dem Modell