Kundendaten vor dem KI-Prompt schwärzen: vier Muster, eine Grenze

Eine Reklamation verlässt das Haus mit Bankverbindung

Der Prompt ist eine Ausleitung. Wer im Service eine Kundenmail in ein Chatfenster kopiert und um einen Antwortentwurf bittet, schickt in derselben Bewegung Name, Kundennummer, Telefonnummer und Bankverbindung an einen Anbieter, dessen Server, Aufbewahrungsfristen und Prüfprozesse der Betrieb nicht kontrolliert.

Danach folgen meist zwei Extreme. Entweder wird KI im Kundenkontakt ganz verboten, womit die Werkzeuge in die privaten Konten der Beschäftigten wandern, oder es wird weggesehen, womit derselbe Datenabfluss entsteht, nur ohne Protokoll. Dieser Text beschreibt den dritten Weg: vier Textmuster ersetzen die heiklen Stellen vor dem Absenden, das Modell arbeitet mit Platzhaltern, und die fertige Antwort wird auf dem eigenen Rechner wieder aufgefüllt.

Vier Muster decken vier Datenarten ab

Namen kommen aus keinem Muster. Sie kommen aus einem Export der Vor- und Nachnamen aus Ihrer Kundenverwaltung, eine Zeile je Name, und werden von der längsten Zeile zur kürzesten ersetzt, weil sonst der Eintrag „Berger“ den Namen „Berger-Schmitt“ mitten im Wort zerlegt und der Rest als Bruchstück stehen bleibt.

Der Rest ist Textsuche. Diese vier regulären Ausdrücke, also Suchmuster, die statt fester Buchstaben ganze Zeichenklassen beschreiben, decken E-Mail-Adresse, IBAN, Telefonnummer und Kundennummer ab und finden damit vier der fünf Datenarten, die in einer Serviceanfrage überhaupt vorkommen:

• E-Mail-Adresse: [\w.+-]+@[\w-]+(?:\.[\w-]+)+
• IBAN: \b[A-Z]{2}\d{2}(?:\s?[A-Z0-9]){10,30}\b
• Telefonnummer: (?:\+49|0)[\d\s/()-]{8,}\d
• Kundennummer im Format KD-12345: \bKD-\d{4,}\b

Ein Wörterbuch macht die Maskierung umkehrbar

Jeder Treffer wird nummeriert. Aus dem Namen wird [NAME_1], aus der Kontonummer [IBAN_1], und derselbe Wert bekommt im gesamten Vorgang immer denselben Platzhalter, weil das Modell sonst den Zusammenhang zwischen Absender, Unterschrift und Rückrufnummer verliert und drei verschiedene Personen erfindet.

Das Wörterbuch bleibt im Arbeitsspeicher. In Python sind es zwei Funktionen und rund 25 Zeilen: die erste ersetzt zuerst die Namensliste und danach die vier Muster, die zweite tauscht im zurückgekommenen Entwurf die Platzhalter wieder gegen die Originale. Wer den Anbieter ganz aus der Kette nehmen will, betreibt das Modell stattdessen lokal auf dem eigenen Rechner. Wer den Ablauf erst an einem eigenen Text sehen will, öffnet unseren kostenlosen Prompt-Schwärzer im Browser; er arbeitet mit genau diesen Mustern und schickt nichts an einen Server.

Ein Durchlauf zeigt, was tatsächlich rausgeht

Der Eingang, mit erfundenen Daten: „Sehr geehrte Frau Berger, zu Ihrer Reklamation KD-10482: Die Gutschrift geht auf DE99 1234 5678 9012 3456 78. Rückfragen unter 0331 1234567. Herr Özdemir aus der Werkstatt hat den Schaden bestätigt.“

Das geht an das Modell: „Sehr geehrte Frau [NAME_1], zu Ihrer Reklamation [KDNR_1]: Die Gutschrift geht auf [IBAN_1]. Rückfragen unter [TEL_1]. Herr Özdemir aus der Werkstatt hat den Schaden bestätigt.“ Mit der Absenderadresse im Kopf der Nachricht verfährt das erste Muster genauso.

Das kommt zurück und wird lokal aufgefüllt: „Sehr geehrte Frau Berger, wir haben die Reklamation KD-10482 geprüft und erstatten den Betrag auf DE99 1234 5678 9012 3456 78.“ Der Entwurf ist vollständig, und weder Konto noch Rufnummer haben das Haus verlassen.

Der Kollege im Nebensatz bleibt stehen

Ein Name ist durchgerutscht. Herr Özdemir aus der Werkstatt steht in der maskierten Fassung unverändert da, weil er kein Kunde ist und deshalb nicht in der Namensliste auftaucht, und genau diese Lücke beschreibt die Orientierungshilfe der Datenschutzkonferenz vom 6. Mai 2024: Um die Eingabe personenbezogener Daten zu vermeiden, reicht es regelmäßig nicht, Namen und Anschriften einer Eingabe zu entfernen.

Der zweite Fehler war unserer. In unserem Testlauf ließ ein IBAN-Muster, das Viererblöcke zählt, bei einer deutschen IBAN die letzten beiden Ziffern im Text stehen; das Muster oben zählt deshalb Zeichen statt Blöcke. Lassen Sie den Ablauf über 20 echte Vorgänge laufen und lesen Sie jede maskierte Fassung Zeile für Zeile: Was dabei auffällt, gehört in die Namensliste oder in ein fünftes Muster für Aktenzeichen, Personalnummern oder Kfz-Kennzeichen.

Maskieren senkt den Schaden, nicht die Pflicht

Das Verfahren heißt Pseudonymisierung. Die DSGVO definiert sie in Artikel 4 Nummer 5 als eine Verarbeitung, bei der die Daten ohne Hinzuziehung zusätzlicher Informationen keiner Person mehr zugeordnet werden können, und diese zusätzliche Information ist in diesem Ablauf nichts anderes als Ihr Wörterbuch im Arbeitsspeicher.

Erwägungsgrund 26 zieht die Folge daraus: Daten, die sich durch Heranziehung solcher Zusatzinformationen wieder zuordnen lassen, gelten weiter als Informationen über eine identifizierbare Person. Rechtsgrundlage, Informationspflichten und der Vertrag zur Auftragsverarbeitung bleiben also bestehen, als hätten Sie gar nichts maskiert.

Was sich ändert, ist der Schaden. Wird beim Anbieter etwas offengelegt oder falsch gespeichert, stehen dort [NAME_1] und [IBAN_1] statt eines Namens und einer Kontonummer. Für eine halbe Stunde Arbeit ist das ein guter Tauschkurs.

Der Tarif entscheidet mehr als das Skript

Die Trainingsfrage beantwortet kein Skript. Die Datenschutzkonferenz hält Anwendungen für vorzugswürdig, die Ein- und Ausgabedaten nicht zu Trainingszwecken verwenden, und ob das zutrifft, steht in den Bedingungen des Anbieters und in der gebuchten Stufe, nicht in Ihrem Code.

OpenAI schreibt für die API, dass Daten nicht für das Training verwendet werden, solange der Kunde nicht ausdrücklich zustimmt; Protokolle zur Missbrauchserkennung liegen laut Anbieter in der Regel bis zu 30 Tage, und Zero Data Retention, also der Betrieb ganz ohne Speicherung, sowie eine Verarbeitung außerhalb der USA setzen eine Freigabe durch OpenAI voraus.

Google trennt in den Nutzungsbedingungen der Gemini-API schärfer: In der kostenlosen Stufe nutzt Google eingereichte Inhalte und Antworten zur Bereitstellung und Verbesserung eigener Produkte, mit möglicher menschlicher Prüfung, in der kostenpflichtigen Stufe nicht, dort wird nur befristet protokolliert. Daraus folgt eine harte Hausregel: Kundendaten gehen nie in eine kostenlose Stufe, auch nicht maskiert.

Für tägliche Kundentexte ja, für Personalakten nein

Wir würden das überall einrichten, wo täglich Kundentexte durch ein Cloudmodell laufen: Service, Buchhaltung, Auftragsabwicklung. Eine halbe Stunde kostet die erste Fassung, der Rest eines halben Tages der Durchlauf mit 20 echten Vorgängen, danach wächst nur die Namensliste mit, weil die vier Muster stabil bleiben.

Zwei Fälle sprechen dagegen. Läuft KI bei Ihnen nur für allgemeine Texte ohne Kundenbezug, gibt es nichts zu maskieren; bei Gesundheitsdaten, Bewerbungen und Personalakten reicht Maskieren nicht, weil sich der Personenbezug dort aus dem Zusammenhang ergibt, und dann gehört das Modell auf den eigenen Rechner oder die Aufgabe gar nicht zur KI.

Vier Fragen kommen immer wieder

Reicht Suchen und Ersetzen in Word? Für einen einzelnen Brief ja. Ab dem zehnten Vorgang wird es vergessen, und genau dann passiert der Fehler.

Kann das Modell die Platzhalter verdrehen? Das kommt vor. Weil die Rücksetzfunktion nur bekannte Marken ersetzt, bleibt ein verdrehter Platzhalter im Entwurf sichtbar stehen; wer den Entwurf vor dem Versand liest, sieht ihn sofort.

Muss das Verfahren dokumentiert werden? Halten Sie es als technische Maßnahme in Ihrer Datenschutzdokumentation fest, mit Datum und abgedeckten Datenarten. Die Datenschutzkonferenz nennt Schulungen und Leitfäden für Beschäftigte ausdrücklich, und dieselbe Einweisung zahlt auf die Pflicht zur KI-Kompetenz aus Artikel 4 der KI-Verordnung ein.

Was ist mit Anhängen? Das Verfahren greift nur im Text. Ein PDF muss vorher ausgelesen werden, so wie es der Ablauf für Eingangsrechnungen mit KI beschreibt.

Diese Woche schreiben Sie die erste Fassung

Vier Halbtage reichen für den ersten Durchgang:

• Tag 1: Vor- und Nachnamen aus der Kundenverwaltung als Textdatei exportieren, eine Zeile je Name, längste Namen zuerst sortiert.
• Tag 2: die vier Muster und die zwei Funktionen in eine Datei schreiben und das Wörterbuch nur im Arbeitsspeicher halten, nie als Datei.
• Tag 3: 20 echte Vorgänge durchlaufen lassen, jede maskierte Fassung vollständig lesen und jede Lücke in die Namensliste oder in ein fünftes Muster nachtragen.
• Tag 4: im Tarif nachsehen, dass Ein- und Ausgaben nicht ins Training gehen, und eine Seite Nutzungsregel schreiben: was maskiert wird und was gar nicht ins Werkzeug darf.
• Bleibt offen, ob Maskieren für Ihre Unterlagen genügt, klären wir das im kostenlosen Erstgespräch; der Rahmen dazu steht unter Leistungen rund um interne KI-Abläufe.