Pseudonymisierungs-Proxy für ChatGPT und andere KI-Dienste: So funktioniert die Technik

Was macht ein Pseudonymisierungs-Proxy?

Ein Pseudonymisierungs-Proxy ist eine Software, die zwischen der Eingabe einer Person und einem externen Sprachmodell liegt, etwa ChatGPT oder den Modellen anderer Anbieter. Sie verändert den Text auf dem Hinweg und auf dem Rückweg. Das Modell selbst bleibt beim Anbieter; der Proxy soll erreichen, dass dort keine Namen und Kennungen ankommen.

In welchen Schritten läuft das ab?

1. Erkennen: Der Proxy durchsucht die Eingabe nach personenbezogenen Angaben. Feste Muster wie IBAN, Telefonnummer, E-Mail-Adresse oder Versichertennummer findet er über Regeln. Namen, Orte und Organisationen erkennt er mit einem Sprachmodell zur Erkennung benannter Einheiten (Named Entity Recognition). Viele Produkte erlauben eigene Listen, etwa für Aktenzeichen oder Stationsnamen.
2. Ersetzen: Jede erkannte Angabe wird durch einen Platzhalter ersetzt, etwa „PERSON_1“ oder „PATIENT_17“. Manche Produkte setzen erfundene, aber plausible Namen ein, damit der Text für das Modell natürlich bleibt. Die Zuordnung zwischen Platzhalter und Original speichert der Proxy in einer Tabelle.
3. Senden: Der verfremdete Text geht an das Sprachmodell.
4. Wiederherstellen: In der Antwort sucht der Proxy die Platzhalter und setzt die Originale wieder ein. Die Person sieht eine Antwort mit den echten Namen.

Ein Beispiel, ausdrücklich erfunden: Eine Ärztin bittet um eine Zusammenfassung des Falls „Maria Müller, 43, Starnberg, seltene Stoffwechselerkrankung“. Der Proxy schickt „PATIENT_17, 43, Starnberg, seltene Stoffwechselerkrankung“ an das Modell und setzt in der Zusammenfassung den Namen wieder ein.

Wo läuft der Proxy, und wer hält den Schlüssel?

Hier unterscheiden sich die Produkte stark, und davon hängt ab, wem Sie vertrauen:

Aufbau	Wer sieht das Original?	Was das bedeutet
Proxy läuft bei Ihnen (im Browser, auf einem Server im eigenen Haus)	nur Ihre Organisation	die Zuordnungstabelle verlässt Ihr Haus nicht
Proxy läuft beim Proxy-Anbieter	Ihre Organisation und der Proxy-Anbieter	der Proxy-Anbieter ist regelmäßig Auftragsverarbeiter; AVV nach Art. 28 DSGVO nötig
Proxy läuft beim Anbieter in geschützter Hardware	nach Herstellerangaben nur Ihre Organisation	Vertrauen verschiebt sich zu Hardware und Attestierung (Confidential Computing)

Bleiben die Platzhalter über mehrere Anfragen gleich, versteht das Modell Zusammenhänge besser. Gleichzeitig kann ein Empfänger dann Anfragen über dieselbe Person miteinander verknüpfen. Fragen Sie den Anbieter, wie lange eine Zuordnung gilt und ob sie je Gespräch oder dauerhaft vergeben wird.

Wo liegen die technischen Grenzen?

Ein Proxy kann eine sinnvolle Schutzmaßnahme sein, ersetzt aber keine Prüfung. Typische Grenzen:

• Nicht erkannte Angaben: Freitext, Abkürzungen, Tippfehler, Spitznamen, Handschrift in Scans oder Angaben in Metadaten rutschen durch. Auch Werkzeuge mit guter Erkennung geben keine Garantie; das Open-Source-Werkzeug Presidio weist selbst darauf hin, dass automatische Erkennung nicht alle sensiblen Angaben findet.
• Kombination von Merkmalen: Alter, Ort und seltene Diagnose zusammen können eine Person erkennbar machen, auch ohne Namen. Die Datenschutzkonferenz hält deshalb fest, dass es regelmäßig nicht reicht, Namen und Anschriften zu entfernen. Die Datenschutzbehörden prüfen das als Herausgreifen, Verknüpfung und Rückschluss (Re-Identifikation).
• Verlorener Zusammenhang: Ersetzt der Proxy Angaben, die das Modell zum Verständnis braucht, wird die Antwort schlechter, etwa bei Ortsbezug in Bürgeranfragen oder Alter in medizinischen Texten (Kontextverlust).
• Fehlerhafte Rückzuordnung: Fasst das Modell zwei Platzhalter zusammen, übersetzt es sie oder schreibt es sie um, setzt der Proxy die Namen falsch oder gar nicht ein.
• Weitere Wege nach außen: Dateianhänge, Websuche, Agenten, angebundene Werkzeuge und Protokolle können Daten übertragen, die nicht durch den Proxy laufen.

Was sollten Sie einen Anbieter fragen?

• Wo läuft die Erkennung, und wo liegt die Zuordnungstabelle?
• Welche Angaben erkennt das Produkt, in welchen Sprachen und Dateiformaten? Gibt es gemessene Erkennungsraten für Ihre Textart?
• Wie lange gelten Platzhalter, und wann wird die Tabelle gelöscht?
• An welches Modell geht der Text, in welchem Land, mit welchem Vertrag?
• Was wird protokolliert, beim Proxy und beim Modellanbieter?

Eine Checkliste für Patientendaten finden Sie im Ratgeber Checkliste Anonymisierungs-Proxy.

Wie geht das mit basebox?

basebox ist kein Proxy, sondern eine andere Architekturentscheidung: Plattform und KI-Modell laufen auf einem Server in Ihrem Haus oder in unserer Cloud im Rechenzentrum München-Ost. Daten werden deshalb nicht verfremdet, sondern verlassen diesen Rahmen standardmäßig nicht. Ein externes Modell gibt es nur als eigene App, wenn Sie sie ausdrücklich einrichten lassen (Einzelheiten). Welcher Weg zu Ihren Daten passt, vergleicht der Ratgeber Anonymisierung oder eigene KI-Infrastruktur.