PII in KI-Prompts maskieren: was Sie verbergen und wie

PII in einem KI-Prompt zu maskieren heißt, die Angaben, die eine Person identifizieren (Namen, Kontaktdaten, Konto- und Ausweisnummern, Geburtsdaten), durch neutrale Bezeichnungen zu ersetzen, bevor Sie den Text in ChatGPT, Claude oder Gemini einfügen. Behalten Sie die Rollen, Beträge und Ereignisdaten, die die KI braucht, maskieren Sie alles, was verrät, wer die Person ist, und lesen Sie den maskierten Text vor dem Senden noch einmal.

Was PII ist und worin es sich von personenbezogenen Daten unterscheidet

PII steht für personally identifiable information, also personenbezogen identifizierbare Informationen. Der Begriff stammt aus Leitlinien der US-Bundesverwaltung. OMB Circular A-130 definiert ihn als Informationen, mit denen sich die Identität einer Person unterscheiden oder zurückverfolgen lässt, allein oder zusammen mit anderen Informationen, die mit dieser Person verknüpft oder verknüpfbar sind. NIST SP 800-122, der Leitfaden des NIST zum Schutz der Vertraulichkeit von PII, nennt Beispiele: Name, Sozialversicherungsnummer, Geburtsdatum und -ort, biometrische Daten sowie mit einer Person verknüpfte Informationen wie medizinische, finanzielle oder berufliche Angaben.

Die EU und das Vereinigte Königreich verwenden einen anderen Begriff. Nach Artikel 4 Nr. 1 DSGVO und demselben Artikel der UK GDPR sind personenbezogene Daten „alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen“, einschließlich der Identifizierung über Standortdaten, eine Online-Kennung oder besondere Merkmale der physischen, wirtschaftlichen, kulturellen oder sozialen Identität einer Person.

Für einen Prompt ist der Unterschied vor allem eine Frage der Gewohnheit. Wer in „PII“ denkt, sucht eher nach Feldern: Name, Sozialversicherungsnummer, E-Mail. Die Definition der DSGVO lässt Sie zusätzlich fragen, ob ein Satz zusammen mit dem Rest auf eine bestimmte Person verweist. Sitzen Ihre Mandanten in der EU oder im Vereinigten Königreich, arbeiten Sie mit dieser weiteren Definition. Ob eine bestimmte KI-Nutzung für Ihre Kanzlei rechtmäßig ist, ist eine Frage für Ihren Anwalt oder Datenschutzbeauftragten, nicht für ein Maskierungstool.

Warum harmlose Angaben sich summieren

Identifikatoren fallen in zwei Gruppen. Direkte Identifikatoren verweisen für sich allein auf eine Person: ein vollständiger Name, eine Passnummer, eine E-Mail-Adresse. Quasi-Identifikatoren tun das nicht, grenzen den Kreis aber ein: eine Postleitzahl, ein Geburtsdatum, eine Funktionsbezeichnung, eine seltene Diagnose.

Die bekannteste Messung, wie schnell sie ihn eingrenzen, stammt von Latanya Sweeney. Anhand der US-Volkszählung von 1990 schätzte sie in „Simple Demographics Often Identify People Uniquely“, dass 87 % der US-Bevölkerung wahrscheinlich schon durch drei Felder eindeutig bestimmt waren: fünfstellige ZIP-Postleitzahl, Geschlecht und Geburtsdatum. Eine spätere Neuauswertung von Philippe Golle kam für die Volkszählung von 2000 auf etwa 63 %. So oder so genügten drei gewöhnliche Fakten, um die meisten Menschen herauszufiltern.

In einem Prompt verstecken sich Quasi-Identifikatoren meist im Fließtext: „die einzige Partnerin im Büro in Leeds“, „der Mandant, der letztes Frühjahr die Bäckerei in der Hauptstraße verkauft hat“. Unsere Liste dazu, was vor dem Senden an eine KI aus einem Dokument raus muss, geht diese Kombinationen Typ für Typ durch.

Maskieren, Schwärzen, Pseudonymisieren: was die KI noch kann

Die drei Begriffe werden oft unscharf verwendet. Für einen Prompt zählt, womit die KI bei jedem noch arbeiten kann. Nehmen Sie einen Satz: „Anna Weber schrieb Tom Hale am 3. Mai eine E-Mail; Anna bestreitet Toms Rechnung.“

Verfahren	Aus dem Satz wird	Was die KI noch kann	Lassen sich die Namen wiederherstellen?
Schwärzen (entfernen oder abdecken)	„[█████] schrieb [█████] am 3. Mai eine E-Mail; [█████] bestreitet die Rechnung von [█████].“	Wenig: Sie kann nicht erkennen, wer geschrieben hat, wer bestreitet und wem Geld zusteht.	Nein
Maskieren mit einer Typbezeichnung	„[NAME] schrieb [NAME] am 3. Mai eine E-Mail; [NAME] bestreitet die Rechnung von [NAME].“	Sie weiß, dass es Personen sind, aber nicht, wer wer ist.	Nein
Pseudonymisieren (einheitliche Platzhalter)	„Person_1 schrieb Person_2 am 3. Mai eine E-Mail; Person_1 bestreitet die Rechnung von Person_2.“	Verfolgen, wer was getan hat, und in denselben Begriffen antworten.	Ja, mit der Tabelle, die Platzhalter mit Namen verknüpft und auf Ihrer Seite bleibt

Für die meisten KI-Aufgaben liefern einheitliche Platzhalter die besten Antworten, weil die KI der Geschichte weiter folgen kann. Die DSGVO nennt das Pseudonymisierung (Artikel 4 Nr. 5) und behandelt das Ergebnis weiterhin als personenbezogene Daten. Unser Beitrag zu Anonymisierung, Pseudonymisierung und Schwärzung erklärt die drei Begriffe ausführlich.

Was Sie in einem Prompt maskieren und was Sie behalten

Maskieren Sie, was die Person identifiziert. Behalten Sie, worum es in der Frage geht.

Maskieren	Behalten
Namen von Personen und Firmen, Spitznamen, Initialen	Rollen: Käufer, Mieter, Arbeitnehmer, unser Mandant, die Gegenseite
E-Mail-Adressen, Telefonnummern, Anschriften	Land oder Rechtsordnung, wenn die Antwort davon abhängt
Kontonummern, IBANs, Kartennummern, Steuer- und Ausweisnummern, Akten- und Policennummern	Beträge, es sei denn, der Betrag selbst würde den Mandanten verraten
Geburtsdaten	Daten von Ereignissen: Unterzeichnung, Kündigung, Zahlung, Frist
Details im Fließtext, die jemanden herausheben: eine seltene Funktionsbezeichnung, eine Kleinstadt, ein namentlich genannter Angehöriger	Die Fakten, auf die es bei der Frage ankommt, allgemein formuliert

Das Alter ist eine häufige Ausnahme von „Geburtsdaten maskieren“: Hängt die Antwort davon ab, ob jemand über 18 oder kurz vor der Rente ist, schreiben Sie das Alter oder „über 65“ statt des Datums.

Ein kurzer Prompt, vorher und nachher:

Vorher:
Maria Lopez (geboren am 12. März 1981, maria.lopez@example.com) mietet
eine Wohnung von Greenfield Lettings Ltd. Ihre Kaution von 2.400 $ wurde
nach ihrem Auszug am 30. Juni nicht zurückgezahlt. Was kann sie tun?

Nachher:
Person_1 (geboren am Date_1, Email_1) mietet eine Wohnung von Company_1.
Die Kaution von Person_1 in Höhe von 2.400 $ wurde nach dem Auszug von
Person_1 am 30. Juni nicht zurückgezahlt. Was kann Person_1 tun?
Übernimm die Platzhalter genau so, wie sie geschrieben sind.

Der Betrag und das Auszugsdatum bleiben, weil die Antwort davon abhängt. Trägt das Geburtsdatum nichts zur Frage bei, löschen Sie es, statt es zu maskieren.

Drei Wege zum Maskieren

Von Hand

Bei einem einzelnen kurzen Prompt lesen Sie den Text und ersetzen jeden Identifikator selbst. Notieren Sie die Platzhalter dabei (Person_1 = Maria Lopez), damit dieselbe Person immer dieselbe Bezeichnung erhält. Maskieren von Hand ist langsam und scheitert bei langen Texten: Ein Name, der zwölfmal vorkommt, wird elfmal ersetzt.

Mit Suchen und Ersetzen nach Mustern

Manche Identifikatoren folgen einem festen Muster, und eine Suche mit regulären Ausdrücken findet sie alle auf einmal. Texteditoren wie Notepad++ und VS Code unterstützen das, und Word hat eine Platzhaltersuche mit eigener Syntax. Zwei Muster für den Anfang:

Email:  [A-Za-z0-9._%+-]+@[A-Za-z0-9.-]+\.[A-Za-z]{2,}
IBAN:   \b[A-Z]{2}[0-9]{2}(?: ?[A-Z0-9]){11,30}\b

Das IBAN-Muster folgt dem Aufbau im SWIFT IBAN Registry: zwei Buchstaben Ländercode, zwei Prüfziffern, dann bis zu dreißig Buchstaben und Ziffern. Muster erfassen Formate, keine Bedeutung. Eine Telefonnummer, die als „null-sieben-sieben“ ausgeschrieben ist, übersehen sie, und einen Namen finden sie nie.

Mit einem Erkennungstool

Erkennungstools suchen neben Mustern auch nach Namen, Firmen und Orten. Bei einem langen Dokument sind sie viel schneller als die Arbeit von Hand, aber keines findet alles. Die Dokumentation des Open-Source-Erkennungstools Presidio sagt das offen: Weil es automatische Erkennung nutzt, „gibt es keine Garantie, dass Presidio alle sensiblen Informationen findet“.

Die Erkennung braucht deshalb einen Prüfschritt. Gehen Sie durch, was das Tool gefunden hat, und entfernen Sie das Häkchen bei falschen Treffern, etwa einem Straßennamen, der auch ein Nachname ist. Lesen Sie dann den Text auf Übersehenes: Spitznamen, kleingeschriebene Namen, eine Person, die beschrieben statt genannt wird. Der Beitrag Pseudonymisierungstools: worauf Sie achten sollten vergleicht die verfügbaren Arten von Tools.

In ClientSafe fügen Sie die Dokumente einem Fall hinzu, und es findet auf Ihrem PC Namen, Firmen, Adressen, Telefonnummern, E-Mail-Adressen, Konto- und Ausweisnummern sowie Geburtsdaten. Sie entfernen das Häkchen bei allem, was keine personenbezogenen Daten sind, und markieren, was übersehen wurde. Dann kopieren Sie die sichere Kopie in den KI-Chat. Dieselbe Person erhält in jedem Dokument des Falls denselben Platzhalter.

Die Antwort kommt mit Platzhaltern zurück

Maskieren wirkt in beide Richtungen. Die KI antwortet in den Begriffen, die Sie verwendet haben, also schreibt sie „Person_1 kann von Company_1 verlangen …“ statt „Maria Lopez kann verlangen …“. Die Bitte, die Platzhalter genau so zu übernehmen, wie im Beispiel oben, macht das wahrscheinlicher.

Setzen Sie die echten Namen auf Ihrem eigenen Computer wieder ein, nicht im Chat: mit Suchen und Ersetzen anhand Ihrer Platzhalterliste oder mit demselben Tool, mit dem Sie maskiert haben. Lesen Sie die wiederhergestellte Antwort dann einmal durch: Ein Platzhalter, den die KI verändert hat („Person 1“ statt „Person_1“), wurde womöglich nicht ersetzt. Unsere Anleitung zum Wiederherstellen echter Namen in der Antwort der KI beschreibt den Hin- und Rückweg Schritt für Schritt.

Häufige Fragen

Ist maskierter Text anonym?

Meist nicht. Führen Sie eine Tabelle, die Platzhalter mit Namen verknüpft, ist der Text pseudonymisiert und nach der DSGVO weiterhin personenbezogen. Maskieren verringert, was der KI-Dienst erhält. Es nimmt den Text nicht aus dem Datenschutzrecht heraus.

Sollte ich Firmennamen maskieren?

Maskieren Sie die Firma des Mandanten und jede Firma, die den Mandanten verraten würde, etwa einen kleinen Familienbetrieb. Ein großes börsennotiertes Unternehmen, das als Lieferant oder Vertragspartner genannt wird, kann oft bleiben, wenn die Frage es braucht.

Macht das Maskieren die Antwort der KI schlechter?

Mit einheitlichen Platzhaltern selten: Die KI sieht weiterhin, wer was getan hat. Schlechter wird sie, wenn die Antwort von etwas Maskiertem abhängt, etwa dem Land oder dem Alter einer Person. Ergänzen Sie diese Angabe in allgemeiner Form.

Kann ich der KI einfach sagen, sie soll die personenbezogenen Daten ignorieren?

Nein. Wenn die KI die Anweisung liest, sind die Daten bereits gesendet. Das Maskieren muss vor dem Einfügen passieren.

ClientSafe ersetzt auf Ihrem PC Namen, Adressen, Telefonnummern, E-Mail-Adressen, Konto- und Ausweisnummern sowie Geburtsdaten durch Platzhalter und setzt die echten Namen wieder in die Antwort der KI ein. Die Erkennung ist nicht perfekt, prüfen Sie die Liste also, bevor Sie kopieren.