Eine mehrschichtige Pipeline zur Bereinigung sensibler Daten in LLM-Anwendungen

KI-Anwendungen verarbeiten heute riesige Mengen unstrukturierter und halbstrukturierter Daten, und vieles davon ist sensibel: persönliche Angaben, Zugangsdaten, Finanzdaten, vertrauliche Geschäftsinformationen. Bevor davon irgendetwas geloggt, gespeichert, analysiert, weitergeschickt oder an ein nachgelagertes System übergeben wird, braucht man einen verlässlichen Weg, die sensiblen Teile zu finden und zu schützen, ohne die Daten unbrauchbar zu machen.

Wo einfaches Maskieren nicht reicht

Klassisches Maskieren stützt sich auf reguläre Ausdrücke und vordefinierte Muster. Für strukturierte Werte wie E-Mail-Adressen, Telefonnummern und Kreditkartennummern funktioniert das gut. Schwierig wird es, wenn die Sensibilität vom Kontext abhängt. Nehmen Sie diesen Satz:

Die Antwort des Kunden auf die Sicherheitsfrage lautet BlueMountain.

Für einen Musterabgleich wirkt die Zeichenkette BlueMountain in keiner Weise sensibel. NLP-Modelle erkennen Entitäten besser, können aber domänenspezifische Geheimnisse trotzdem übersehen. LLMs verstehen den Kontext, doch wer jede Eingabe durch ein LLM schickt, bekommt mehr Latenz, höhere Kosten und unberechenbares Verhalten. Die vernünftige Lösung ist eine Erkennung in Schichten.

Drei Schichten und eine Policy-Engine

Das Design kombiniert drei Erkennungsmechanismen:

1. Regeln, für vorhersehbare Muster.
2. NLP, für Entitäten und Erkennung auf Sprachebene.
3. Ein LLM, das kontextabhängige und domänenspezifische sensible Informationen klassifiziert.

Alles, was sie finden, geht an eine Policy-Engine, die die passende Schutzmaßnahme wählt. Ziel ist nicht, jede Schicht gleich klug zu machen. Ziel ist, für jede Art von Daten den einfachsten verlässlichen Mechanismus zu nutzen.

Architektur

Bauen Sie das als wiederverwendbare Bereinigungsschicht, die zwischen den Anwendungen, die Daten erzeugen, und den Systemen, die sie verarbeiten, sitzt.

Regeln mit Presidio

Microsoft Presidio ist eine gute Grundlage, um strukturierte und bekannte sensible Werte zu finden. Es bringt musterbasierte Erkenner mit, NLP-basierte Erkenner und die Möglichkeit, eigene zu schreiben. Typische Ziele sind E-Mail-Adressen, Telefon- und Kreditkartennummern, IP-Adressen, behördliche Kennungen, API-Schlüssel und alle internen Geschäfts-IDs, die Sie definieren. Regelbasierte Erkennung ist schnell, deterministisch und leicht zu erklären und damit die richtige erste Schicht.

Entitätserkennung mit NLP

Manche Entitäten lassen sich mit einer Regex nicht zuverlässig fassen: Personennamen, Orte, Organisationen, Datumsangaben und domänenspezifische Entitäten. Nehmen Sie "Rahul Sharma ist von Mumbai nach Bengaluru gezogen." Ein NLP-Modell erkennt die Namen und Orte, obwohl sie keinem festen Format folgen.

Eine gefundene Entität ist allerdings nicht automatisch sensibel. Ob sie Schutz braucht, muss trotzdem eine Policy-Schicht entscheiden.

LLM-Klassifizierung für den Kontext

Manche Informationen zeigen sich erst durch ihr Umfeld. Bei "Die Sicherheitsantwort des Kunden lautet BlueMountain" markiert ein klassischer Erkenner das Wort womöglich nicht, ein LLM dagegen kann seine Rolle aus dem umgebenden Text ableiten. Idealerweise arbeitet das Modell als Klassifizierer und nicht als freier Umschreiber. Seine Ausgabe könnte so aussehen:

{
  "text": "BlueMountain",
  "category": "SECURITY_ANSWER",
  "action": "MASK",
  "confidence": 0.96
}

Strukturierte Befunde lassen sich leichter validieren, prüfen und an eine deterministische Anonymisierungslogik weitergeben.

Anonymisierung nach Richtlinien

Die Erkennung liefert nur Kandidaten. Was mit jedem passiert, entscheidet die Policy-Engine, und die Maßnahme hängt von der Kategorie ab:

• E-Mail-Adressen werden maskiert, Telefonnummern nur teilweise
• API-Schlüssel werden komplett entfernt
• Kunden-IDs werden durch Tokens ersetzt
• Sicherheitsantworten werden geschwärzt
• Der Name eines börsennotierten Unternehmens kann unverändert durchgehen

Wenn diese Zuordnung getrennt bleibt, lassen sich Datenschutzregeln ändern, ohne ein Erkennungsmodell neu zu trainieren oder auszutauschen.

Sequenziell oder parallel

Üblicherweise gibt es zwei Arten, die Schichten zu betreiben. Bei einem sequenziellen Aufbau sieht das LLM nur Text, den frühere Schichten bereits bereinigt haben. Das begrenzt, wie viele sensible Daten es erreichen, kann aber Kontext entfernen, den der Klassifizierer gebraucht hätte. Bei einem parallelen Aufbau arbeiten alle Detektoren gleichzeitig auf der Roheingabe. Der Kontext bleibt erhalten, aber Rohdaten können beim LLM-Klassifizierer landen.

Was passt, hängt von der Vertrauensgrenze des Modells, der Einsatzumgebung, den Latenzanforderungen und den Datenschutzvorgaben ab. Eine Möglichkeit, Rohdaten nicht preiszugeben, sind On-Premise-Modelle.

Kosten, Sicherheit und Nutzen

Jede Eingabe an ein LLM zu schicken ist weder bezahlbar noch nötig. Ein gestaffelter Aufbau ist effizienter:

• Strukturierte Felder gehen an die regelbasierte Erkennung
• Bekannte Entitäten gehen an Presidio oder NLP
• Mehrdeutiger Freitext geht zur Klassifizierung an das LLM
• Hochrisikodaten fallen unter strenge Maskierungsrichtlinien

Außerdem darf das System nicht übermaskieren. Alles zu entfernen schützt zwar die Privatsphäre, macht Logs und Traces aber nahezu wertlos. Ein gutes Design wägt Datenschutz, Erkennungsgenauigkeit, Performance und Nutzwert der Daten gegeneinander ab.

Ein durchgerechnetes Beispiel

Ein Rohdatensatz:

{
  "email": "rahul@example.com",
  "customer_name": "Rahul Sharma",
  "recovery_answer": "BlueMountain",
  "transaction_id": "TXN-123456"
}

Und die bereinigte Fassung:

{
  "email": "<EMAIL>",
  "customer_name": "<PERSON>",
  "recovery_answer": "<SECURITY_ANSWER>",
  "transaction_id": "<TRANSACTION_ID>"
}

Bewerten Sie das System nach Precision und Recall, der Rate falsch negativer und falsch positiver Treffer, der Latenz der Bereinigung, wie oft Eingaben an das LLM eskaliert werden, den Kosten pro verarbeitetem Datensatz und danach, wie viel die Daten nach dem Maskieren noch wert sind.

Warum Schichten

Keine einzelne Technik erkennt sensible Daten verlässlich. Regeln bringen Tempo und Determinismus, NLP verbessert die Entitätserkennung, LLMs ergänzen das Verständnis für Kontext, und die Policy-Engine macht aus Befunden die richtige Schutzmaßnahme. Zusammen schützen sie, was wichtig ist, und lassen den Rest der Daten nutzbar, und genau das ist das eigentliche Ziel, denn alles zu maskieren war es nie.