Verschlüsselung ist eine gute Maßnahme gegen eine bestimmte Sorte Risiko. Gegen den Betreiber selbst wirkt sie nicht – und in einer Auswahlentscheidung wird sie regelmäßig so verstanden, als täte sie es.
Drei Zustände, drei verschiedene Aussagen
| Zustand | Was üblich ist | Wogegen es hilft |
|---|---|---|
| Im Ruhezustand – auf dem Datenträger | Standard, praktisch überall | Gestohlene oder ausgemusterte Datenträger, entwendete Sicherungen |
| Auf dem Transportweg – zwischen Ihnen und dem Dienst | Standard | Mitlesen im Netz |
| Bei der Verarbeitung – während gerechnet wird | Nicht üblich, technisch aufwendig | Zugriff auf das laufende System – und genau hier liegt die Frage |
Die ersten beiden Zeilen sind zu Recht selbstverständlich und deshalb kein Auswahlkriterium. Wer sie hervorhebt, hebt hervor, was jeder hat.
Warum die dritte Zeile bei Sprachmodellen nicht zu haben ist
Ein Modell rechnet nicht auf verschlüsseltem Text. Die Eingabe muss in Zahlen umgewandelt, durch das Netz geschickt und wieder in Text verwandelt werden – dafür liegt sie im Arbeitsspeicher und im Speicher der Beschleunigerkarte in Klarschrift. Das ist keine Nachlässigkeit einer Umsetzung, sondern die Funktionsweise.
Verfahren, die auf verschlüsselten Daten rechnen, gibt es. Für die Größenordnung eines Sprachmodells sind sie derzeit nicht praktikabel – der Aufwand liegt um Größenordnungen über dem normalen Betrieb. Wer eine solche Zusage findet, sollte sich zeigen lassen, was genau verschlüsselt bleibt.
Wer hält den Schlüssel, und wer kann ihn benutzen?
Liegt er beim Anbieter, ist die Verschlüsselung eine Maßnahme gegen Dritte und keine gegen ihn. Das ist völlig in Ordnung – es ist nur etwas anderes, als der Satz nahelegt.
Die drei Antworten auf die Schlüsselfrage
- Der Anbieter verwaltet den Schlüssel. Der Regelfall. Bequem, ohne Zusatzaufwand, und ohne Schutz gegen den Anbieter oder gegen eine Anordnung, die sich an ihn richtet.
- Sie stellen den Schlüssel bereit. Klingt nach mehr Kontrolle und ist es nur teilweise: Wenn der Anbieter den Schlüssel zum Entschlüsseln in sein System lädt, kann er entschlüsseln, solange er ihn hat. Der Gewinn liegt darin, dass Sie ihn zurückziehen können – ein Abschaltrecht, keine Zugriffssperre.
- Der Schlüssel verlässt Ihre Umgebung nie. Dann kann der Anbieter nicht entschlüsseln – und dann kann er auch nicht rechnen. Für Ablage und Übertragung ist das ein sinnvolles Modell, für die Verarbeitung durch ein Sprachmodell nicht.
Was das Datenschutzrecht dazu sagt
Art. 32 Abs. 1 lit. a DSGVO nennt Verschlüsselung ausdrücklich als geeignete technische Maßnahme – sie ist also erwünscht und in vielen Fällen geboten. Was sie nicht tut: den Personenbezug beseitigen. Verschlüsselte personenbezogene Daten bleiben personenbezogene Daten für jeden, der den Schlüssel hat oder erlangen kann.
Für die Frage des Drittlandtransfers heißt das: Eine Übermittlung wird durch Verschlüsselung nicht zu keiner Übermittlung. Sie kann eine ergänzende Maßnahme sein, wenn der Empfänger den Schlüssel gerade nicht hat – bei einem Dienst, der die Daten verarbeiten soll, hat er ihn.
Was ein Prüfgespräch tatsächlich klärt
- Wo liegen die Daten unverschlüsselt vor, und wie lange? Bei einem Sprachmodell: im Arbeits- und Grafikspeicher, für die Dauer der Anfrage. Ein Anbieter, der das offen sagt, hat verstanden, worum es geht.
- Wer kann auf das laufende System zugreifen? Namentlich nach Rollen, mit Angabe, aus welchem Land und unter welcher Kontrolle. Das ist die Frage, die Verschlüsselung ersetzen sollte und nicht kann.
- Wird der Zugriff protokolliert, und wer liest das Protokoll? Ein Zugriff, den niemand nachvollziehen kann, ist ein Zugriff ohne Spur.
- Was passiert bei einer behördlichen Anordnung? Wer den Schlüssel hat, kann herausgeben. Die Frage ist damit nicht technisch, sondern eine nach Sitz, Eigentümerstruktur und anwendbarem Recht.
- Was ist beim Ausmustern der Hardware geregelt? Hier wirkt Verschlüsselung tatsächlich – und hier wird sie am seltensten abgefragt.
Es gibt Verfahren, die den Speicher eines laufenden Systems auch gegenüber dem Betreiber abschirmen sollen. Sie verkleinern den Kreis derer, denen man vertrauen muss – sie beseitigen ihn nicht: An seine Stelle tritt das Vertrauen in den Hersteller der Hardware und in die Richtigkeit seiner Bescheinigung.
Für eine Auswahlentscheidung ist das eine Verschiebung, keine Auflösung. Und sie ist eine andere Aussage als „alles verschlüsselt“ – wer sie macht, sollte sie belegen können.
Der Weg, der die Frage kleiner macht
Wenn die Verarbeitung ohnehin im eigenen Haus oder bei einem Anbieter ohne fremde Zugriffsmöglichkeit stattfindet, verliert die Schlüsselfrage ihre Schärfe – nicht weil sie beantwortet wäre, sondern weil der Kreis der Zugriffsberechtigten klein und benennbar ist. Das ist der Grund, warum dieses Portal beim Verarbeitungsort so hartnäckig ist und bei der Verschlüsselung so knapp.
Was wir dazu im Betrieb vorsehen, steht unter Betrieb und Sicherheit. Welche Bestände nach einer Anfrage überhaupt entstehen, im Beitrag Löschkonzepte für KI-Anwendungen.