Datenabfluss durch KI: wie Personendaten über die API entweichen

Ein Datenabfluss durch KI passiert in eigenen Anwendungen selten durch einen Angriff. Er passiert, weil jeder API-Aufruf an ein Sprachmodell Text aus Ihrem Haus mitnimmt und weil dieser Text an mehr Stellen liegen bleibt, als im Verarbeitungsverzeichnis steht. Prompts, Protokolle, Suchkontexte aus der Wissensbasis und Werkzeugaufrufe sind die üblichen Wege.

Nonimo Gateway läuft auf Ihren eigenen Servern. Tarife ansehen und Kontakt aufnehmen.

Schließen lässt sich das Leck in vier Schritten: weniger hinausschicken, Kennungen vor dem Aufruf ersetzen, die Zuordnung im Haus behalten und die echten Werte erst in der Antwort wieder einsetzen. Dieser Leitfaden zeigt die fünf Wege, auf denen Daten entweichen, und was gegen jeden einzelnen hilft.

Fünf Wege für einen Datenabfluss durch KI

Weg	Was dort landet	Was dagegen hilft
Prompt	alles, was Nutzer oder Code in die Anfrage schreiben	Kennungen vor dem Aufruf ersetzen
Protokolle	Kopien der Prompts und Antworten bei Ihnen, im Gateway, im Auswertungswerkzeug	Inhalte nicht protokollieren, nur Zählungen
RAG-Kontext	Abschnitte aus Ihren Dokumenten, die zur Frage passen	Wissensbasis klein halten, Abschnitte vor dem Aufruf ersetzen
Tool-Aufrufe	Argumente und Ergebnisse von Funktionen, etwa Datenbankabfragen	dieselbe Ersetzung auf Werkzeugdaten anwenden, Ergebnisse begrenzen
Aufbewahrung beim Anbieter	Anfragen, die der Anbieter nach seinen Bedingungen eine Zeit lang speichert	Vertrag prüfen, und vor allem weniger hinausschicken

Der Prompt

Der offensichtliche Weg und trotzdem der größte. Entwickler bauen Prompts aus Vorlagen und Variablen zusammen, und in den Variablen steht, was gerade in der Datenbank liegt: Name, Anschrift, Geburtsdatum, Steuer-ID, IBAN. Nach Art. 5 Abs. 1 Buchst. c DSGVO müssen Daten auf das für den Zweck notwendige Maß beschränkt sein. Ob ein Modell den echten Namen braucht, um einen Brief zu formulieren, sollte man bei jedem Feld einzeln fragen.

Die Protokolle

Jede Schicht zwischen Anwendung und Modell protokolliert gern: die Anwendung selbst, ein LLM-Gateway, ein Werkzeug zur Auswertung. So entstehen Kopien, die niemand bewusst angelegt hat. Ein Beispiel aus einer Herstellerdokumentation: AWS schreibt zu den Bedrock Guardrails, dass das Feld input in den CloudWatch-Protokollen immer die ursprüngliche, unveränderte Anfrage enthält, auch wenn der Filter maskiert hat. Was ein Gateway mit Protokollen anstellt, erklärt unser Leitfaden was ein LLM Gateway ist.

Der RAG-Kontext

Bei Retrieval Augmented Generation sucht das System passende Abschnitte aus Ihren Dokumenten und hängt sie an die Frage an. Die Datenschutzkonferenz weist in ihrer Orientierungshilfe zu RAG-Systemen vom Oktober 2025 darauf hin, dass sich Zugriffsrechte in der Vektordatenbank steuern lassen, im Sprachmodell selbst aber nicht. Wer also eine Personalakte in die Wissensbasis legt, schickt Teile davon an das Modell, sobald eine Frage dazu passt.

Die Tool-Aufrufe

Moderne Anwendungen lassen das Modell Funktionen aufrufen, etwa „Kunde suchen“ oder „Rechnung abrufen“. Die Ergebnisse gehen an das Modell zurück, oft als vollständiger Datensatz. Schutzfilter decken das nicht immer ab: AWS schreibt in derselben Dokumentation, dass die Filter für sensible Informationen bei Werkzeugaufrufen die Argumente, Ergebnisse und Definitionen nicht prüfen.

Die Aufbewahrung beim Anbieter

Auch wenn ein Anbieter nicht mit API-Daten trainiert, bewahrt er Anfragen je nach Vertrag und Einstellung eine Zeit lang auf. Was OpenAI konkret zusagt, steht in unserem Leitfaden zu ChatGPT und Datenschutz. Für Berufsgeheimnisträger zählt dabei nicht nur die DSGVO, sondern auch § 203 StGB.

Ist das schon ein Datenleck?

Nicht jede Übermittlung an einen KI-Anbieter ist eine Datenpanne. Art. 4 Nr. 12 DSGVO definiert die Verletzung des Schutzes personenbezogener Daten als Verletzung der Sicherheit, die unter anderem zur unbefugten Offenlegung führt. Wenn Ihre Anwendung personenbezogene Daten an einen Anbieter schickt, mit dem ein Auftragsverarbeitungsvertrag besteht, ist das zunächst eine geplante Verarbeitung.

Zum Datenleck wird es, wenn etwas außerhalb dieses Plans geschieht: ein Protokoll mit vollständigen Prompts, auf das zu viele Leute Zugriff haben, ein Testsystem, das mit echten Daten an einen anderen Dienst angebunden wurde, oder eine Wissensbasis, aus der Abschnitte an Nutzer gelangen, die sie nicht sehen dürften. Dann gilt Art. 33 DSGVO: Meldung an die Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten der Betroffenen. Wie Sie das in der Kanzlei entscheiden, zeigt unser Leitfaden Datenpanne in der Kanzlei melden.

Ein Beispiel aus dem Kundenservice

Ein Elektrogroßhändler in Bielefeld mit 60 Beschäftigten hat einen Assistenten für den Kundenservice gebaut. Er liest eingehende E-Mails, sucht per Werkzeugaufruf den Kundendatensatz und schlägt eine Antwort vor. Eine Reklamation von Herrn Bernd Kowalczyk, Gütersloher Straße, Kundennummer und IBAN für die Gutschrift, nimmt so diesen Weg:

1. Die E-Mail geht als Prompt an die API.
2. Der Werkzeugaufruf liefert den vollständigen Kundendatensatz mit Telefonnummer und Lieferadressen zurück, und auch der geht an das Modell.
3. Die Anwendung protokolliert Prompt und Antwort zur Fehlersuche, unbefristet.
4. Ein Auswertungswerkzeug eines Drittanbieters erhält dieselben Protokolle.

Aus einer Reklamation werden so vier Kopien an drei Orten. Mit Minimierung schickt der Werkzeugaufruf nur Bestellnummer und Artikel zurück. Mit Pseudonymisierung vor dem Aufruf kommt beim Anbieter „[PERSON_1], [ADRESSE_1], IBAN [IBAN_1]“ an. Die Zuordnung bleibt auf dem eigenen Server, die Antwort erhält die echten Angaben zurück, und das Protokoll enthält Zählungen statt Inhalt.

Vier Schritte gegen das Datenleck durch KI

1. Minimieren. Nur die Felder in Prompt und Werkzeugergebnis aufnehmen, die das Modell für die Aufgabe braucht. Wissensbasis sichten, bevor sie wächst.
2. Vor dem Aufruf pseudonymisieren. Namen, Anschriften, Konto- und Kennnummern durch Platzhalter ersetzen, auch im RAG-Kontext und in Werkzeugdaten. Art. 32 Abs. 1 Buchst. a DSGVO nennt die Pseudonymisierung ausdrücklich als Schutzmaßnahme. Die rechtliche Einordnung steht im Leitfaden zu Pseudonymisierung nach DSGVO.
3. Die Zuordnung behalten. Die Tabelle, welcher Platzhalter für welchen Wert steht, verlässt Ihr Netz nicht. So bleibt der Text beim Anbieter ohne Schlüssel.
4. In der Antwort zurücksetzen. Die echten Werte erst einsetzen, wenn die Antwort wieder bei Ihnen ist, auch beim Streaming.

Wer das selbst bauen will, findet in unseren Vergleichen zu LiteLLM und Cloudflare AI Gateway, welche Bausteine es gibt und wo sie aufhören. Ob statt alldem ein eigenes Modell eher passt, klärt der Leitfaden lokales LLM oder Datenschutz-Proxy.

Nonimo Gateway für die Schritte zwei bis vier

Nonimo Gateway übernimmt Pseudonymisierung, Zuordnung und Rücksetzung auf Ihren eigenen Servern. Es bildet die OpenAI-Schnittstelle nach, Sie ändern base_url und behalten Ihren eigenen OpenAI-Schlüssel. Die echten Werte kommen in der Antwort zurück. Es kennt die Ausweise und Nummern der Länder, die wir bedienen, etwa die Steuer-ID. Für LiteLLM gibt es ein Plugin. Tarife und Preise stehen auf der Seite von Nonimo Gateway.

Weniger hinaus, weniger zu melden

Ein Datenabfluss durch KI lässt sich nicht mit einer Richtlinie allein verhindern, weil er im Code entsteht. Wer Kennungen vor dem Aufruf ersetzt und die Zuordnung im Haus behält, verkleinert alle fünf Wege zugleich. Für die Regeln, an die sich die Beschäftigten daneben halten, hilft unser Muster für eine KI-Richtlinie. Sehen Sie sich die Tarife von Nonimo Gateway an und nehmen Sie Kontakt auf.

Quellen

Alle Fundstellen am 20. Oktober 2026 auf den offiziellen Seiten geprüft.

• Verordnung (EU) 2016/679 (DSGVO). Art. 4 Nr. 12 (Verletzung des Schutzes personenbezogener Daten), Art. 5 Abs. 1 Buchst. c (Datenminimierung), Art. 32 Abs. 1 Buchst. a (Pseudonymisierung), Art. 33 Abs. 1 (Meldung binnen 72 Stunden).
• DSK, Orientierungshilfe zu datenschutzrechtlichen Besonderheiten generativer KI-Systeme mit RAG-Methode, Version 1.0, Stand Oktober 2025. Abschnitt 3.3: Zugriffsrechte lassen sich in der Vektordatenbank steuern, im Sprachmodell selbst nicht.
• § 203 StGB, Verletzung von Privatgeheimnissen, Gesetze im Internet.
• AWS, Bedrock Guardrails, Filter für sensible Informationen. Ursprüngliche Anfrage im Feld input der CloudWatch-Protokolle; keine Prüfung von Argumenten, Ergebnissen und Definitionen bei Werkzeugaufrufen.

---

Diese Seite dient der Information. Die Produktangaben anderer Anbieter wurden am 20. Oktober 2026 auf deren offiziellen Seiten geprüft und können sich ändern.