Kann KI Ihre persönlichen Informationen aus dem erraten, was Sie schreiben?

Ja. KI kann Ihre persönlichen Informationen aus dem erraten, was Sie schreiben. Sie braucht Ihren Namen nicht. Sie braucht Ihre Adresse nicht. Das Modell liest Ihren Text und leitet daraus Ihren Wohnort, Ihr Alter, Ihr Geschlecht oder Ihr Einkommen ab. Forscher der ETH Zürich haben es bewiesen. Bei öffentlichen Beiträgen lagen ihre Modelle in den meisten Fällen richtig. Deshalb schützt das Entfernen eines Namens nur wenig.

Was die Forschung der ETH Zürich herausfand

Ein Team der ETH Zürich hat eine wegweisende Studie veröffentlicht. Sie heißt „Beyond Memorization: Violating Privacy Via Inference with Large Language Models“. Die Autoren sind Robin Staab, Mark Vero, Mislav Balunović und Martin Vechev vom SRI Lab. Das Papier erschien erstmals im Oktober 2023. Es wurde auf der ICLR 2024 vorgestellt, einer großen KI-Forschungskonferenz.

Ihr Befund ist einfach und deutlich. Große Sprachmodelle lesen gewöhnlichen Text und leiten daraus persönliche Merkmale ab. Wo Sie leben. Ihr Einkommen. Ihr Geschlecht. Und weitere Merkmale. Das Modell hat sich diese Fakten nicht gemerkt. Es leitet sie ab, das heißt, es erschließt sie aus Hinweisen in Ihren Wörtern.

Zum Testen nutzten die Forscher echte Reddit-Profile. Die Ergebnisse sind eindeutig. Die Modelle erreichten etwa 85 % Genauigkeit beim ersten Versuch. Mit anderen Worten: Ihre erste Antwort war oft die richtige. Und etwa 95 % Genauigkeit über ihre drei besten Antworten. Die richtige Antwort war also fast immer unter den ersten drei.

Wie das Modell ohne jede ID errät

Ein direkter Identifikator ist ein Name, eine E-Mail, eine Nummer. Ein Quasi-Identifikator ist ein indirekter Hinweis. Für sich genommen sagt er nichts. Aber mehrere Hinweise zusammen genügen, um Sie zu erkennen. Genau dort ist das Modell stark.

Es liest Ihren Schreibstil. Es erkennt Ihre Formulierungen. Es bemerkt Ihre Interessen. Es fängt einen Verweis auf eine Stadt, eine Schule, einen Beruf auf. Es sieht die Themen, die immer wiederkehren. Jedes dieser Signale ist schwach. Aber das Modell kombiniert sie. Und die Summe genügt, um abzuleiten, wer Sie sind.

Das Schlimmste sind die Kosten. Diese Arbeit von Hand zu machen würde Menschen Stunden kosten. Das Modell ist schnell und nahezu kostenlos. Die Forscher berichten von Kosten, die etwa 100-mal niedriger, und einer Geschwindigkeit, die etwa 240-mal höher ist als bei einem menschlichen Bearbeiter. Das Ergebnis: Menschen in großem Maßstab zu profilieren wird machbar und billig.

Warum das Entfernen des Namens nicht genügt

Viele denken, anonymisieren bedeute, den Namen zu entfernen. Das stimmt nicht. Dasselbe Team der ETH Zürich testete die üblichen Schutzmaßnahmen. Es probierte die Textanonymisierung, also das Löschen der offensichtlichen Identifikatoren. Es probierte auch das Modell-Alignment, eine Feinabstimmung, die das Modell vorsichtiger machen soll.

Das Urteil ist eindeutig. Diese Schutzmaßnahmen genügen derzeit nicht gegen Inferenz. Das Löschen eines Namens hält das Modell nicht davon ab zu erraten, wer Sie sind. Die indirekten Hinweise bleiben im Text. Und das Modell weiß, wie es sie liest.

Eine Folgestudie geht noch weiter. Durchgeführt von der ETH Zürich zusammen mit Anthropic, beschreibt sie eine groß angelegte De-Anonymisierung. Ein automatisiertes System verknüpft pseudonyme Konten mit echten Identitäten. Die Kosten? Etwa ein bis vier Dollar pro Profil. Die Zeit? Ein paar Minuten. In einem Test ordnete es etwa zwei Drittel der Profile zu, mit einer Falsch-Positiv-Rate nahe zehn Prozent. Die Re-Identifikation in großem Maßstab ist keine Science-Fiction mehr.

Die Lösung: weniger senden, die Hinweise entfernen

Die Lehre ist eindeutig. Da das Modell aus Hinweisen errät, entfernen Sie die Hinweise. Zwei Gewohnheiten erledigen den Großteil der Arbeit. Erstens: Senden Sie weniger Text an die KI. Zweitens: Entfernen Sie Quasi-Identifikatoren, nicht nur direkte Identifikatoren. Jedes persönliche Detail, das Sie weglassen, senkt das Risiko, profiliert zu werden.

• Senden Sie nur das strikt Notwendige — nicht den gesamten Kontext.
• Entfernen Sie indirekte Hinweise: Stadt, Beruf, Schule, Alter, Einkommen.
• Verlassen Sie sich nicht auf „Ich habe den Namen entfernt“ — das genügt nicht.
• Denken Sie daran: Jedes zusätzliche kleine Detail erhöht das Risiko.

1. 1Erkennen Sie sowohl direkte Identifikatoren ALS AUCH indirekte Hinweise.
2. 2Ersetzen Sie sie durch umkehrbare Tokens im Browser.
3. 3Senden Sie nur den anonymisierten Text an die KI.
4. 4Stellen Sie die echten Werte in der Antwort lokal wieder her.

Genau dafür ist ONYRI Sanitize da. Die Engine erkennt sensible Daten und ersetzt sie durch umkehrbare Tokens, bevor gesendet wird. Die Erkennung und das Mapping bleiben in Ihrem Browser. Nur anonymisierter Text erreicht das Modell. Je weniger Hinweise in diesem Text stehen, desto weniger kann die KI erraten. Sie schneiden das Rohmaterial für die Inferenz an der Quelle ab.