AI und Datenschutz: Werkzeuge, die offline bleiben

Geschäftsführern ist längst klar, welche Wirkung AI hat; es geht selten um Begeisterung oder Ablehnung, sondern um sehr konkrete Sorgen. Erstens: Daten wandern unbemerkt in fremde Dienste ab, oft an der IT vorbei. Zweitens: Was einmal in einem fremden Modell steckt, lässt sich nicht zuverlässig zurückholen. Drittens: Jede Anbindung eines Sprachmodells an bestehende Systeme schafft eine Angriffsfläche, die es vorher nicht gab. Dazu kommt ein vierter, eigenständiger Gedanke: Es entstehen laufende Kosten und eine Abhängigkeit von einem Anbieter, der Preise, Modelle und Bedingungen jederzeit ändern kann.

Diese Sorgen beschreiben die Lage ziemlich genau, und sie lassen sich mit Zahlen belegen.

Woher die Sorge kommt

Der Datenabfluss lässt sich beziffern. Cyberhaven hat Anfang 2023 die ChatGPT-Nutzung von 1,6 Millionen Beschäftigten ausgewertet: 11 % dessen, was Mitarbeiter damals einfügten, waren vertrauliche Unternehmensdaten – Quellcode, Kundendaten, interne Unterlagen. Die Folgeberichte desselben Anbieters zeigen, dass dieser Anteil seither weiter gestiegen ist; 2025 lag er über alle AI-Werkzeuge hinweg bei rund einem Drittel. Das passiert meist nicht böswillig, sondern nebenbei, oft über private Zugänge, an der IT vorbei. Wer AI im Betrieb nutzt, ohne den Datenweg zu kennen, verliert die Kontrolle über etwas, das er nie bewusst herausgegeben hat.

Was mit diesen Daten weiter geschieht, ist Gegenstand der Forschung. Ein Überblicksartikel zur Datensicherheit großer Sprachmodelle beschreibt das Spektrum von passivem Informationsabfluss bis zu gezielten Angriffen, mit denen sich Trainings- und Eingabedaten wieder herausholen lassen. Was einmal in einem fremden System war, ist nicht zuverlässig zurückzuholen.

Unterschätzt wird meist die Anbindung selbst: Sobald ein Sprachmodell an andere Systeme angeschlossen wird, entsteht eine Angriffsfläche, die es vorher nicht gab. Eine Untersuchung an 36 realen, produktiv eingesetzten AI-Anwendungen ergab, dass 31 davon angreifbar waren – über eingeschleuste Anweisungen, die das Modell dazu bringen, etwas anderes zu tun als vorgesehen. Ein neuerer Übersichtsartikel ordnet über dreißig solcher Angriffstechniken in vier Kategorien, von manipulierten Eingaben bis zu Schwachstellen in den Protokollen, über die AI-Agenten miteinander sprechen.

Je tiefer AI im laufenden Betrieb steckt und je mehr sie dort selbstständig tun darf, desto größer sind Angriffsfläche und Abhängigkeit. Das folgt aus der Bauweise und lässt sich durch die Wahl des Anbieters nicht abstellen.

Wo die AI sitzt, entscheidet

Weil das an der Bauweise liegt, kommt es darauf an, wo die AI sitzt: Für uns ist sie ein Werkzeug in der Werkstatt und kein Teil Ihres Betriebs.

Wir nutzen AI, um Software zu bauen – schnell, günstig und in einer Qualität, die vor drei Jahren so nicht bezahlbar war. Was wir ausliefern, ist aber das fertige Werkzeug. Und das läuft ohne Internet, ohne Abo und ohne den AI-Dienstleister, mit dem wir es gebaut haben. Es kann gar nichts nach draußen schicken, weil es dafür keinen Weg gibt.

Dieser Unterschied ergibt sich aus der Bauweise selbst und muss deshalb weder eingestellt noch vertraglich zugesichert werden: Wo keine Verbindung existiert, kann auch keine missbraucht werden. Ein Werkzeug ohne Netzzugang lässt sich nicht über eine eingeschleuste Anweisung fernsteuern und verursacht keine laufenden Kosten. Es hört auch dann nicht auf zu funktionieren, wenn ein Anbieter sein Modell abkündigt oder die Preise verdoppelt.

Was das konkret ist

Meistens sind es unspektakuläre Dinge, die im Alltag viel bewegen:

• HTML-Dashboards und Übersichten, die als einzelne Datei laufen – im Browser, ohne Server, ohne Installation.
• Kleine Apps und Effizienz-Software für Abläufe, für die es keine passende Standardlösung gibt oder für die eine zu teuer wäre.
• CAD-Werkzeuge und Automatisierungen, die wiederkehrende Konstruktions- und Auswertungsarbeit abnehmen.
• Auswertungen und Generatoren, die aus vorhandenen Daten machen, was bisher jemand von Hand zusammengetragen hat.

Diese Website ist selbst ein Beispiel: Die Bilder der Projekte entstehen in einem CAD-Bildgenerator, den wir für uns gebaut haben. Er läuft lokal, braucht kein Internet, und niemand außer uns sieht die Modelle, die hineingehen.

„Ein Werkzeug ohne Netzanschluss lässt sich weder fernsteuern noch abkündigen – es kann nur das, wofür es gebaut wurde.“

Was wir nicht behaupten

Offline heißt nicht sicher. Ein lokales Werkzeug schützt nicht vor einem schlechten Passwort, einem ungepatchten Rechner oder einem Mitarbeiter, der Daten weiterträgt. Es nimmt genau eine Risikoklasse vom Tisch – den unkontrollierten Abfluss über einen fremden Dienst – und lässt alle anderen bestehen.

Und es gibt Aufgaben, für die ein Sprachmodell zur Laufzeit tatsächlich nötig ist. Wenn das so ist, sagen wir es, statt eine Lösung zu bauen, die das Problem nicht löst. Dann sprechen wir über lokal betriebene Modelle, über klare Datengrenzen und darüber, welche Daten das Haus wirklich verlassen dürfen.

Was wir nicht tun: Ihnen ein Abonnement verkaufen, das Sie nicht kündigen können, ohne dass die Arbeit stehen bleibt.

---

Quellen

1. Cyberhaven Labs: 11 % of data employees paste into ChatGPT is confidential – Auswertung der tatsächlichen Nutzung bei 1,6 Mio. Beschäftigten: 4,7 % haben vertrauliche Daten eingefügt, 11 % des eingefügten Materials ist sensibel.
2. Yan et al. (2024): On Protecting the Data Privacy of Large Language Models – A Survey – Überblick über passiven Informationsabfluss und aktive Angriffe auf Sprachmodelle sowie die Wirksamkeit der Gegenmaßnahmen.
3. Liu et al. (2023): Prompt Injection attack against LLM-integrated Applications – 31 von 36 real eingesetzten AI-Anwendungen ließen sich über eingeschleuste Anweisungen kompromittieren.
4. Ferrag et al. (2025): From Prompt Injections to Protocol Exploits – Systematik von über dreißig Angriffstechniken auf AI-Agenten, von manipulierten Eingaben bis zu Protokoll-Schwachstellen.