Datenflüsse in KI-Systemen: wo sensible Daten wirklich landen

Sensible Daten landen an mehr Stellen, als der Prompt vermuten lässt: im Upload, im Index der Knowledge-Base, im Systemkontext, in den Werkzeugen, die das Modell aufruft, bei Sub-Agents und in Protokollen. Wer Datenschutz für KI prüfen will, zeichnet diese Stationen zuerst auf.

Sieben Stationen, an denen Daten liegen bleiben

Ein KI-System ist selten nur ein Modell, dem jemand eine Frage stellt. Zwischen Eingabe und Antwort liegen Stationen, an denen Daten gespeichert, kopiert oder weitergereicht werden. Die Übersicht zeigt sie in der Reihenfolge, in der eine Anfrage sie durchläuft.

Prompt Die Frage selbst, oft mit hineinkopierten Kundendaten, Preisen oder Auszügen aus Verträgen.
Upload Dateien, Tabellen und Verträge, die zur Frage mitgegeben werden und beim Dienst gespeichert bleiben können.
RAG-Index Das Firmenwissen ein zweites Mal, zerlegt in Abschnitte und oft ohne die Berechtigungen der Ablage.
Systemkontext Der System Prompt mit Geschäftsregeln, Schwellenwerten und internen Abläufen, der nach außen dringen kann.
Modell Bei Cloud-Diensten findet die Verarbeitung beim Anbieter statt, bei lokalem Betrieb im eigenen Haus.
Werkzeuge und Datenbanken Alles, was das Modell über Schnittstellen liest und schreibt, vom ERP bis zum Postfach.
Sub-Agents und Protokolle Daten wandern an weitere Agenten weiter, und Logs halten Anfragen und Antworten dauerhaft fest.

Beim Zeichnen fällt meist auf, dass dieselbe Information an mehreren Stationen zugleich liegt. Ein Vertrag steht in der Ablage, als Abschnitte im RAG-Index, als Auszug im Protokoll und vielleicht in der Nachricht an einen Sub-Agent. Jede Kopie braucht denselben Schutz wie das Original, und jede wird beim Löschen gern vergessen.

Zwei Blickwinkel: das System und die Menschen davor

Der erste Blickwinkel ist das System selbst, im Englischen Workload genannt: KI-Anwendungen, RAG-Pipelines, der Vector Store mit den Embeddings und jede Transformation, bei der Daten zusammengefasst, übersetzt oder umgeformt werden. Diese Flüsse hat die IT gebaut, also lassen sie sich dokumentieren und prüfen.

Der zweite Blickwinkel sind die Mitarbeitenden, die Workforce. Sie laden Dateien hoch und herunter, kopieren Antworten in E-Mails, speichern abgeleitete Dateien und geben Ergebnisse an Kollegen weiter. Diese Flüsse plant niemand, und es gibt sie auch bei offiziell freigegebenen Werkzeugen. Ein Teil läuft über private Konten an der IT vorbei; wie verbreitet das ist und wie man es einfängt, beschreibt unsere Seite zu Schatten-KI. Eine Prüfung, die nur einen der beiden Blickwinkel einnimmt, sieht die Hälfte.

Was Data Lineage bedeutet

Data Lineage (Datenherkunft) beschreibt den Weg einer Information: woher sie stammt, wie sie umgeformt wurde und wo sie gelandet ist. Für KI-Systeme ist der mittlere Teil entscheidend. Die Zusammenfassung eines Personalgesprächs enthält dieselbe Information wie das Protokoll, nur in anderer Form.

Klassische DLP-Werkzeuge (Data Loss Prevention) suchen nach Mustern des Originals, etwa nach einer Sozialversicherungsnummer, einem Dokumententitel oder der Markierung „vertraulich“. Die Zusammenfassung trägt keines dieser Muster und passiert die Kontrolle. Dasselbe gilt für eine Übersetzung, für eine Tabelle, die das Modell aus einem Vertrag erstellt hat, und für die Antwort eines Sub-Agents. Die Nachverfolgung muss deshalb am Fluss ansetzen: Wer festhält, welche Quelle in welche Anfrage ging, kann auch der umgeformten Antwort ihre Herkunft zuordnen, ohne sie an einem Muster wiederzuerkennen.

Drei Fragen vor jedem KI-Projekt

Welche sensiblen Daten nutzt das System? Im KI-Sicherheitscheck beginnen wir mit der Datenflusszeichnung: Wir gehen die Stationen durch und halten fest, welche Datenarten wo liegen, von Personaldaten bis zu Kalkulationen. Erst diese Liste macht sichtbar, was überhaupt zu schützen ist.

Was davon ist wem gegenüber offengelegt, und war das freigegeben? Wir gleichen ab, wer die Antworten sieht und wer die Quelldaten sehen dürfte. Weichen beide voneinander ab, etwa weil der RAG-Index allen Nutzern alles zeigt, kommt das als Befund auf die Befundliste, bewertet nach Aufwand und Wirkung.

Wie lässt sich ein Vorfall nachvollziehen? Protokolle sind selbst eine Station des Datenflusses, deshalb gehört in die Zeichnung, wohin das System Anfragen, Antworten und Werkzeugaufrufe schreibt. Daran zeigt sich, ob sich eine Antwort später ihrer Quelle zuordnen lässt, und mit Köderdokumenten im Index meldet dasselbe Protokoll einen Abfluss schon, während er geschieht. Fehlt das, bleibt nach einem Vorfall nur die Vermutung.

Was lokaler Betrieb ändert und was nicht

Mit lokalem Betrieb fällt Station 5 als Risiko weg: Die Verarbeitung findet auf eigener Hardware statt, und sofern auch Oberfläche und angebundene Dienste im Haus laufen, verlassen Anfragen und Uploads das Haus nicht. Für viele Unternehmen ist das der wichtigste Schritt, und er ist der Kern unserer Projekte mit lokaler KI.

Die übrigen sechs Stationen bleiben. Ein lokaler RAG-Index ohne Berechtigungen gibt Gehaltsdaten genauso an die falsche Person aus wie einer in der Cloud, und ein Protokoll auf dem eigenen Server ist eine Kopie, die gesichert und irgendwann gelöscht werden will. Welche Daten ein Modell in seinen Antworten preisgeben kann, behandelt die Seite zu Sensitive Information Disclosure (OWASP LLM02).

Pflichten, die daran hängen

Sobald personenbezogene Daten durch eine der Stationen laufen, verlangt die DSGVO angemessene technische Maßnahmen. Die Datenflusszeichnung ist dafür eine brauchbare Grundlage, weil sie zeigt, wo solche Daten liegen und wer sie sieht.

Der EU AI Act regelt Genauigkeit, Robustheit und Cybersicherheit ausdrücklich in Artikel 15, und der gilt für Hochrisiko-Systeme. Die meisten Werkzeuge im Mittelstand fallen nicht darunter. Kunden fragen im Lieferantenfragebogen trotzdem zunehmend nach Sicherheitsmaßnahmen, und die Datenflusszeichnung ist eine gute Grundlage für die Antworten. Welche Pflichten Sie im Einzelnen treffen, klärt unsere Seite zum EU AI Act.

Fazit

Datenschutz für KI beginnt mit einer Zeichnung, nicht mit einem Werkzeug. Wer die sieben Stationen kennt, weiß, wo Kopien liegen und welche davon ein klassisches DLP-Werkzeug übersieht. Den Überblick über die übrigen Risiken eines KI-Systems gibt unsere Seite zur KI-Sicherheit.

Weiterführend

AI Is Exposing Your Data: An AI Security Problem You Can't See, IBM Technology, 27.9.2026
Vector and Embedding Weaknesses (OWASP LLM08): was im Vector Store einer RAG-Anwendung schiefgeht
KI-Sicherheit im Überblick: alle Angriffswege nach OWASP und der Sicherheitscheck

Häufige Fragen

Reicht es, wenn das Modell lokal läuft?

Für den Schutz vor dem Zugriff eines Anbieters ja, für den Rest nicht. Achten Sie darauf, dass auch die Bausteine rund um das Modell im Haus bleiben: Ein lokales Modell mit einer Oberfläche aus der Cloud, einem externen Embedding-Dienst oder einer angebundenen Übersetzungs-API schickt die Daten trotzdem nach außen. Prüfen Sie außerdem, ob die eingesetzte Software Nutzungsdaten an den Hersteller sendet und ob ein Rückfall auf ein Cloud-Modell eingerichtet ist, wenn das lokale ausgelastet ist.

Was passiert mit hochgeladenen Dateien in einem Cloud-Chatbot?

Das hängt vom Zugang ab. Bei kostenlosen Endkundenzugängen liegen Eingaben und Dateien beim Anbieter und können zur Verbesserung der Modelle herangezogen werden; für ein Angebot oder eine Personalakte ist das der falsche Ort. Geschäftskundenzugänge regeln Speicherung und Nutzung vertraglich, die Bedingungen unterscheiden sich je Anbieter und Tarif. Prüfen Sie die Bedingungen Ihres Zugangs, bevor vertrauliche Dateien hochgeladen werden, und legen Sie fest, welche Datenarten hineindürfen.

Müssen wir den RAG-Index wie die Originaldokumente schützen?

Ja. Der Index enthält dieselben Inhalte wie die Ablage, nur in Abschnitte zerlegt und als Embeddings abgelegt. Aus Embeddings lassen sich nach OWASP erhebliche Teile des Ausgangstexts zurückgewinnen, und die Abschnitte selbst liegen meist im Klartext daneben. Übernimmt der Index die Berechtigungen der Ablage nicht, sieht jeder Nutzer des Assistenten alles, was je indexiert wurde. Wie die Berechtigung bis in den einzelnen Treffer kommt, beschreibt die Seite zu Vector and Embedding Weaknesses.

Wie finden wir heraus, welche Daten schon in KI-Werkzeugen liegen?

Am verlässlichsten über die Zugänge, die Sie selbst verwalten: Die Administrationsansichten freigegebener KI-Dienste zeigen, sofern vorhanden, Verläufe und hochgeladene Dateien, und die Protokolle angebundener Schnittstellen zeigen, welche Daten abgerufen wurden. Was über private Konten lief, sehen Sie dort nicht. Dafür hilft eine anonyme Kurzbefragung der Mitarbeitenden, welche Werkzeuge sie wofür nutzen. Anonym deshalb, weil eine namentliche Abfrage gerade die Fälle verschweigt, um die es geht.

Welche Protokolle sollten wir aufbewahren?

Mindestens die Anfrage, die verwendeten Abschnitte aus dem RAG-Index, die Antwort und jeden Werkzeugaufruf mit Parametern, jeweils mit Nutzer und Zeitpunkt. Damit lässt sich ein Vorfall rekonstruieren. Weil diese Protokolle selbst sensible Daten enthalten, gehören sie zugriffsbeschränkt gespeichert und nach einer festgelegten Frist gelöscht; die Frist stimmen Sie mit dem Datenschutzbeauftragten ab. Ein Protokoll, das jeder Administrator lesen kann, ist eine weitere Station, an der Daten liegen bleiben.