PII-Erkennung in Echtzeit: So schützt ein Secure Gateway Ihre Daten

Was sind PII und warum sind sie das größte KI-Risiko?

PII steht für Personally Identifiable Information, im Sinne der DSGVO also personenbezogene Daten: alle Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen. Besonders geschützt sind die besonderen Kategorien nach Art. 9 DSGVO, etwa Gesundheitsdaten oder Gewerkschaftszugehörigkeit.

In KI-Prompts landen solche Daten fast beiläufig. Ein typisches Beispiel: „Fasse den Vertrag mit Max Mustermann zusammen, IBAN DE89 3704 0044 0532 0130 00, und formuliere eine Mahnung.“ Wird das in ein öffentliches Chat-Tool eingegeben, gehen Name und Bankverbindung an einen Drittanbieter, möglicherweise außerhalb der EU. Laut IBM Cost of a Data Breach Report 2025 betrafen Sicherheitsvorfälle mit Schatten-KI in 65 % der Fälle personenbezogene Kundendaten. Die PII-Erkennung setzt genau an dieser Stelle an: am Prompt selbst, bevor er übertragen wird.

Die drei Erkennungsmethoden der PII-Erkennung

Keine einzelne Methode findet alles. Belastbare Systeme kombinieren drei Verfahren.

1. Reguläre Ausdrücke für strukturierte Daten

Reguläre Ausdrücke erkennen Daten mit festem Format schnell und nachvollziehbar:

• IBAN (für Deutschland „DE“ plus 20 Ziffern),
• E-Mail-Adressen und URLs mit Session-Tokens,
• deutsche Telefonnummern in verschiedenen Schreibweisen,
• IPv4- und IPv6-Adressen,
• Kreditkartennummern.

2. Prüfsummen zur Validierung

Muster allein erzeugen Fehlalarme: Nicht jede 11-stellige Zahl ist eine Steuer-ID. Prüfsummen reduzieren das deutlich. IBANs werden über das Modulo-97-Verfahren validiert, Kreditkartennummern über den Luhn-Algorithmus, die Steuer-Identifikationsnummer über ihr eigenes Prüfziffernverfahren. Erst wenn Format und Prüfsumme stimmen, gilt ein Treffer als sicher.

3. Named Entity Recognition (NER) für Freitext

Namen, Organisationen und Anschriften folgen keinem festen Muster. Hier arbeiten NER-Modelle, die Entitäten aus dem Satzkontext erkennen. Für deutsche Texte ist ein auf Deutsch trainiertes Modell entscheidend: „Herr Wagner“ ist eine Person, „Wagner-Gruppe“ eine Organisation, „Wagnerstraße 5“ eine Anschrift. Typische Entitäten sind Personen, Organisationen, Adressen, Geburtsdaten, Sozialversicherungsnummern und Kfz-Kennzeichen.

Der Maskierungs-Workflow Schritt für Schritt

1. Analyse: Der Prompt und gegebenenfalls angehängte Dokumente werden an das Gateway übergeben.
2. Erkennung: Muster, Prüfsummen und NER markieren die gefundenen Entitäten.
3. Ersetzung: Jede Entität erhält einen konsistenten Platzhalter, etwa [PERSON_1] oder [IBAN_1]. Taucht derselbe Name mehrfach auf, bekommt er immer denselben Platzhalter, damit das Modell den Zusammenhang versteht.
4. Verarbeitung: Die maskierte Anfrage geht an das KI-Modell.
5. Rekonstruktion: Das Gateway setzt in der Antwort die Originalwerte wieder ein. Die Zuordnungstabelle ist dafür ausgelegt, im Gateway zu verbleiben, und wird nicht an das Modell übertragen.
6. Protokollierung: Anfrage, ausgelöste Regeln und Modell werden im Audit-Trail festgehalten, ohne Klardaten zu speichern.

Die zusätzliche Latenz ist bei gut implementierten Systemen in der Regel gering im Vergleich zur Antwortzeit des Sprachmodells selbst. Messen Sie sie dennoch mit Ihren realen Dokumentgrößen, denn lange Anhänge brauchen spürbar mehr Analysezeit als kurze Prompts.

Konfigurierbare Schutzlevel

Nicht jede Abteilung braucht dieselben Regeln. Bewährt hat sich eine Staffelung, die pro Abteilung oder Nutzergruppe festgelegt wird:

• Strikt: Alle erkannten PII werden maskiert, und die Anfrage wird ausschließlich an das lokal betriebene Modell gesendet. Geeignet für Personalwesen, Rechtsabteilung, Finanzbuchhaltung.
• Standard: PII werden maskiert, die maskierte Anfrage darf an freigegebene Cloud-Modelle gehen. Geeignet für die meisten Fachbereiche.
• Permissiv: Das Gateway warnt bei erkannten PII, der Nutzer entscheidet. Geeignet für Bereiche mit geringem Risiko oder Pilotphasen.

Wichtig ist, die Regeln mit dem Datenschutzbeauftragten abzustimmen und nach der Einführung anhand der Protokolle nachzuschärfen.

Grenzen und typische Fehler

Seriös betrachtet ist PII-Erkennung eine starke Risikoreduktion, aber kein lückenloser Schutz:

• Indirekter Personenbezug: „Der einzige Abteilungsleiter in unserem Werk in Augsburg“ enthält keinen Namen, identifiziert aber trotzdem eine Person. Solche Fälle erkennt kein Verfahren zuverlässig.
• Maskierung ist Pseudonymisierung: Da das Gateway die Zuordnung kennt, handelt es sich rechtlich um Pseudonymisierung (Art. 4 Nr. 5 DSGVO), nicht um Anonymisierung. Die Daten bleiben für Ihr Unternehmen personenbezogen.
• Anhänge und Bilder: Gescannte PDFs oder Screenshots müssen vorab per OCR verarbeitet werden, sonst bleiben sie ungeprüft.
• Zu viele Fehlalarme: Werden Produktnamen oder Ortsnamen ständig maskiert, sinkt die Antwortqualität und die Akzeptanz. Ausnahmelisten helfen.

Deshalb gehört zur PII-Erkennung immer eine zweite Verteidigungslinie: Sensible Abteilungen arbeiten mit einem lokalen Modell, bei dem die Daten die eigene Infrastruktur ohnehin nicht verlassen.

PII-Erkennung mit VerdaGate und Verdacloud

Die PII-Erkennung ist Kernbestandteil von VerdaGate, dem Gateway unserer Schwestermarke VerdaGen.ai. Verdacloud betreibt VerdaGate zusammen mit einem lokalen Sprachmodell als Managed Service: Local LLM & Secure Gateway in ISO-27001-zertifizierten Rechenzentren in Bayern und Sachsen. Wie sich die PII-Maskierung in das Gesamtkonzept eines Gateways einfügt, erklärt der Beitrag Was ist ein Secure AI Gateway?. Aktuelle Pakete finden Sie auf der Preisseite.