Im April 2023 taten drei Ingenieure in Samsungs Halbleitersparte etwas Gewöhnliches, das sich als teuer erwies. Im Laufe weniger Wochen gab einer den Quellcode für ein Fabrikmeßsystem in ChatGPT ein, ein anderer lud Code hoch, der zur Fehlererkennung verwendet wird, und ein dritter fütterte interne Besprechungsnotizen ein und bat um eine Zusammenfassung. Samsung entdeckte das Sicherheitsproblem, begrenzte Prompts auf 1.024 Bytes als Notlösung und verbot das Tool schließlich ganz.
Das war vor drei Jahren, und das zugrunde liegende Problem ist nicht verschwunden. Es hat sich nur verlagert. Die Datenschutzrichtlinien von Anbietern sind 2026 deutlich ausgereifter als damals, aber die schwierigere Frage, der sich Führungskräfte jetzt stellen müssen, ist nicht mehr „verspricht der Anbieter, unsere Daten nicht missbrauchen zu wollen”. Es ist „wohin gehen unsere Daten wirklich, wer kann darauf zugreifen, und was passiert damit, sobald wir die direkte Kontrolle verlieren”. Diese Frage prägt, wie ein Engagement zur KI-Entwicklung vom ersten Gespräch an gestaltet wird, lange bevor jemand auch nur eine Zeile Code schreibt.
Dieser Artikel untersucht spezifisch, was mit sensiblen Geschäftsdaten und geistigem Eigentum passiert, sobald sie ein KI-System erreichen, API eines Drittanbieters oder selbstgehostet, und was sie tatsächlich schützt. Compliance-Frameworks und Vendor Lock-in sind auch echte Bedenken, aber das sind separate Fragen von der hier gestellten: wohin gehen die Daten und wer sonst kann sie sehen.
Was wirklich mit einem Betriebsgeheimnis passiert, sobald es ein KI-Tool erreicht
Die meisten Führungskräfte stellen sich ein einzelnes dramatisches Leck vor: einen Hacker, eine Schlagzeilenverletzung, einen Brief vom Regulator. Der häufigere Fehlschlag ist ruhiger und geschieht standardmäßig, jeden Tag, innerhalb normaler Arbeit.
Die Forschung von LayerX von 2025 zur KI am Arbeitsplatz ergab, dass 77 Prozent der Mitarbeiter irgendwann Unternehmensdaten in ein öffentliches KI-Tool eingegeben haben, und eine separate Anbieteranalyse des Prompt- und Dateiverkehrs fand sensible Informationen in über 4 Prozent der Prompts und 22 Prozent der an KI-Systeme hochgeladenen Dateien. Das erfordert keine Verletzung.
Ein Mitarbeiter, der einen Kundenvorschlag entwirft, klebt die Preisgestaltung eines Konkurrenten unter NDA ein. Ein Finanzanalyst lädt eine Tabelle mit unveröffentlichten Earnings hoch, um eine Zusammenfassung schneller zu erhalten. Ein Entwickler gibt einen proprietären Algorithmus in einen Coding-Assistent ein, um ihn zu debuggen.
Disney lernte die kaskadierende Version dieses Risikos 2024 kennen, als etwa ein Terabyte Daten aus seiner Slack-Umgebung abfloss, einschließlich Code und geistiges Eigentum, das an unveröffentlichte Projekte gebunden ist. Amazons eigene interne Mitteilungen haben Personal gewarnt, Unternehmensgeheimnisse nicht in ChatGPT zu kleben, nachdem durchgesickerte Mitarbeiterbeiträge beschrieben, wie Amazons interner KI-Assistent Rechenzentrumsstandorte und unveröffentlichte Funktionsdetails an die Oberfläche brachte, auf die er niemals hätte Zugriff haben dürfen. Keiner dieser Vorfälle erforderte einen ausgefeilten Angreifer. Er erforderte einen Mitarbeiter mit Frist und ein Tool, das die Aufgabe schneller machte.
Die Datenschutzrichtlinien der Anbieter sind ausgereifter geworden, und das Kleingedruckte ist wichtig
Geben Sie den großen KI-Anbietern Anerkennung, wo sie verdient ist. Ab Mitte 2026 veröffentlichen OpenAI, Anthropic, Google, Microsoft und Mistral alle Enterprise-Tier-Zusicherungen, die Kundendaten standardmäßig vom Modelltraining ausschließen, und bieten alle Verträge über Datenverarbeitungsverträge für regulierte Daten an.
| Anbieter | Trainiert standardmäßig mit Enterprise-Daten | Standardmäßige Speicherung | Reduzierte oder Null-Speicherung |
|---|---|---|---|
| OpenAI (Business/Enterprise/API) | Nein | 30 Tage | Null-Speicherung auf berechtigten Endpunkten verfügbar |
| Anthropic (Claude for Work/Enterprise) | Nein | 7 Tage (API, seit Sept. 2025) | Null-Speicherung für qualifizierte Enterprise-Kunden |
| Google Gemini (API/Workspace) | Nein | Standardmäßig nicht zum Training protokolliert | Null-Speicherung über API-Einstellung |
| Microsoft Copilot | Nein | Durch Aufbewahrungsrichtlinie der Organisationen geregelt | US- und EU-Datenspeicherort seit April 2026* |
| Mistral | Nein | 30 Tage standardmäßig | Null-Speicherung verfügbar; EU-Residenz ist Standard |
* Microsofts „Flex Routing”, das im selben Monat eingeführt wurde, kann EU-Inferenzen außerhalb der EU-Datengrenze während Spitzenlast weiterleiten, daher sollten Sie die aktuelle Routing-Konfiguration bestätigen, statt Residenz als absolut Standard vorauszusetzen.
Diese Tabelle ist die gute Nachricht, und sie zeigt echten Fortschritt. Zwei Vorbehalte halten sie davon ab, die ganze Geschichte zu sein. Erstens decken keine dieser Richtlinien Sub-Processor ab, d. h. die Cloud-Infrastruktur, Analytics-Tools und Legal-Hold-Prozesse, die hinter den eigenen Systemen des Anbieters stehen, und die meisten Organisationen haben begrenzte vertragliche Sichtbarkeit in dieser Kette. Zweitens, und das ist das, das Aufmerksamkeit verdient: ein Consumer-Tier-Konto ist ein anderes Produkt mit anderen Standardeinstellungen. OpenAIs kostenlose und Plus Consumer-Pläne erlauben Benutzern immer noch, sich für Training auf Weise anzumelden, die Enterprise-Pläne nicht zulassen, und das praktische Risiko zeigt sich, wenn Mitarbeiter ihre eigenen persönlichen ChatGPT-Konten für Arbeitsaufgaben verwenden, ohne dass IT jemals erfährt, dass Daten das Unternehmen verlassen haben.
Wo „Null-Speicherung” aufhört, Null zu sein
Anbieter, die Null-Speicherung versprechen, meinen es unter normalen Betriebsbedingungen ernst. Normale Betriebsbedingungen sind nicht die einzigen Bedingungen, die für ein Unternehmen, das echte Geheimnisse hält, von Bedeutung sind.
Zwischen Mai 2025 und Januar 2026 ordnete ein US-amerikanischer Bundesrichter OpenAI an, alle ChatGPT-Gesprächslogs auf unbestimmte Zeit im Rahmen des Rechtsstreits New York Times v. OpenAI zu bewahren. OpenAI war konform und behielt Daten, die Benutzer bereits gelöscht hatten. Im Januar 2026 ging ein Bundesrichter weiter und ordnete an, dass OpenAI 20 Millionen de-identifizierte Gesprächslogs an die Kläger abgeben sollte.
Eine Beschreibung für diese Datenkategorie, die unter Datenschutzfachleuten kursiert: „Zombie-Daten”, vom Benutzer gelöscht, aber trotzdem lebendig, weil ein Gericht dies angeordnet hat.
Zwei weitere Vorfälle von 2025 bis 2026 zeigen den gleichen Punkt aus einem anderen Winkel. Im Juli 2025 erfasste Googles Suchindex Tausende von ChatGPT-Gesprächslinks, die Benutzer für privat geteilt hielten, wobei persönliche und geschäftliche Inhalte öffentlicher Suche ausgesetzt wurden. Anfang 2026 gaben Forscher eine DNS-basierte Seitenkanal-Schwachstelle in ChatGPT bekannt, die hätte sensible Gesprächsdaten jenseits normaler Sperrmechanismen durchsickern lassen können; OpenAI patcht sie am 20. Februar 2026, ohne bestätigte Ausbeutung.
Speicherrichtlinie ist eine Schutzschicht. Plattformsicherheit und rechtliche Exposition sind separate Schichten, und eine starke Speicherrichtlinie deckt keine von beiden ab.
Es verdient, klar ausgesprochen zu werden, weil es beiläufig behauptet wird und sollte es nicht: „Null-Datenspeicherung” ist keine absolute Garantie. Es ist eine starke betriebliche Verpflichtung, die eine Gerichtsentscheidung oder eine Plattformschwachstelle immer noch außer Kraft setzen kann.
Mitarbeiter sind der größte Leckvek tor, und Richtlinien allein werden ihn nicht stoppen
Wenn Sie jeden Anbietervertrag korrigieren und trotzdem Mitarbeitern erlauben, vertrauliche Arbeitsaufgaben über persönliche KI-Konten auszuführen, haben Sie Ihre Exposition nicht wirklich reduziert. Sicherheitsteams sind sich fast einhellig einig, dass der dominierende Verlustvek tor nicht das Fehlverhalten des Anbieters ist. Es sind Mitarbeiter, die nicht genehmigte, ungepflegte Tools verwenden.
Es gibt hier auch eine juristische Wendung, die die meisten Führungskräfte noch nicht bemerkt haben. In United States v. Heppner (Februar 2026) entschied ein Bundesgericht, dass die Austausche eines Angeklagten mit einem KI-Tool auf Consumer-Ebene nicht privilegiert waren, obwohl er glaubte, das Gespräch sei vertraulich. Der Fall betraf die Nutzung des Tools durch den Angeklagten selbst statt durch seine Anwälte, aber Rechtskommentatoren lesen es weit verbreitet als Warnung auch für Anwaltskanzleien: Ein General-Counsel-Büro kann nicht sicher davon ausgehen, dass ein persönliches ChatGPT-Konto das Privileg für rechtliche Analysen schützt, weil das Privileg selbst das Tool nicht überlebt.
Die finanzielle Belastung durch diese Lücke ist messbar. IBMs Cost of a Data Breach Report von 2025 ergab, dass Verstöße mit Shadow AI, d. h. KI-Tools, die ohne Genehmigung oder Governance bereitgestellt oder verwendet werden, durchschnittlich 670.000 Dollar zu den Gesamtkosten des Vorfalls addieren. Diese Prämie existiert, weil ungepflegte Tools keine Audit-Spur haben, keine Datenzuordnung haben und oft niemand im Unternehmen, der Bescheid weiß, dass die Exposition überhaupt stattgefunden hat, bis lange nach der Tatsache.
Was Selbsthosting wirklich kauft, und wo es kurz greift
Hier kommt der Instinkt für Selbsthosting her, und der Instinkt ist nicht falsch. Die Ausführung von Inferenzen auf Infrastruktur, die Sie kontrollieren, beseitigt den Anbieter als Dritte mit irgendeinem Datenzugriff. Keine Sub-Processor-Kette, keine zu berücksichtigende grenzüberschreitende Übertragung, kein Anbieter-Rechtsstreit, der Jahre später gelöschte Gespräche wieder an die Oberfläche bringen kann.
Es ist auch keine Abkürzung. Nach Wiz’ State of AI in the Cloud Research von 2026 verwenden 81 Prozent der Unternehmen verwaltete KI-Dienste und 90 Prozent führen selbstgehostete Modelle aus, was bedeutet, dass die meisten großen Unternehmen beide ausführen, statt eines als universelle Antwort zu behandeln. Sicherheitsteams, die eine selbstgehostete Bereitstellung erben, stellen häufig fest, dass sie niemals eine Schwachstellenbewertung, einen Penetrationtest oder grundlegende Protokollierung konfiguriert hatte, was in der Praxis eine schlechtere Sicherheitshaltung als eine verwaltete API eines Anbieters mit signiertem DPA sein kann.
DSGVO und das EU-KI-Gesetz erschlaffen sich auch nicht für selbstgehostete Systeme: Transparenzverpflichtungen nach Artikel 50, die am 2. August 2026 in Kraft traten, gelten unabhängig davon, wo das Modell läuft. Selbsthosting verlagert die gesamte Compliance-Last in Ihre Wände. Es beseitigt sie nicht.
Ein weiterer Irrglaube verdient eine direkte Korrektur, da er echte Budgetfehler verursacht: ein „Enterprise”-Plan von einem großen KI-Anbieter bedeutet nicht, dass das Modell auf Ihrer Infrastruktur läuft. Es bedeutet fast immer bessere Vertragsbedingungen, die auf die Cloud des Anbieters überlagert sind, ein DPA, Audit Logging und stärkere Speicherkontrollen, während Inferenzen immer noch auf Servern erfolgen, die Sie nicht kontrollieren. Falls Datenresidenz in Ihrem eigenen Netzwerk die echte Anforderung ist, erfüllt ein Enterprise-Vertrag dies nicht; nur eine Architektur, die Inferenzen auf Infrastruktur, die Sie besitzen oder unter Ihrer Gerichtsbarkeit mieten, erfüllt dies. Unsere begleitenden Artikel, wer tatsächlich selbstgehostete KI erfolgreich aufbaut und was es kostet, einen lokalen Inferenzcluster zu betreiben, gehen darüber hinweg, wie diese Engineering-Verpflichtung in der Praxis aussieht, einschließlich wo die Token-Kostenmathematik Hardware-Kauf bevorzugt und wo nicht.
Erstellen Sie eine echte Datengrenze, egal für welchen Weg Sie sich entscheiden
Die Wahl zwischen API und Selbsthosting ist nicht die echte Entscheidung. Die echte Entscheidung ist, welche Daten jemals ein KI-System erreichen, und unter welchen Kontrollen, und diese Frage gilt gleichermaßen für beide Bereitstellungswege.
Eine verteidigbare Grenze umfasst normalerweise:
- Klassifizieren Sie, bevor Sie verbinden. Kennen Sie, welche Datenkategorien (Kundendateien, nicht offengelegtes IP, regulierte persönliche Daten) überhaupt in der Nähe eines KI-Systems erlaubt sind, und welche erst Redaktion oder Pseudonymisierung erfordern.
- Beenden Sie Consumer-Account-Shadow-AI. Blockieren Sie persönliche ChatGPT-, Gemini- und Claude-Konten auf verwalteten Geräten, und geben Sie Mitarbeitern eine genehmigter Enterprise-Alternative, damit das Verbot das Verhalten nicht einfach weiter in den Untergrund treibt.
- Beschaffen Sie einen signierten DPA für alles, das persönliche Daten berührt, ob der Empfänger eine Anbieter-API oder ein internes Team ist, das ein selbstgehostetes Modell aufbaut, das ein Datenverarbeiter unterstützt. Unser Leitfaden zu KI-Agenten und DSGVO behandelt, was diese Vereinbarung enthalten muss.
- Kennen Sie Ihre tatsächliche Speicherungs- und Rechtsstreit-Exposition jenseits der Marketing-Seite. Fragen Sie den Anbieter direkt, was mit Ihren Daten bei einer Vorladung passiert, und dokumentieren Sie die Antwort.
- Wiegen Sie Anbieterabhängigkeit als sein eigenes Risiko, getrennt von Datenexposition. Unser Artikel über KI-Agent-Plattform-Lock-in behandelt, was passiert, wenn ein Anbieter Bedingungen ändert, nachdem Ihre Workflows bereits um sie herum aufgebaut sind.
- Falls Sie selbst hosten, budgetieren Sie für laufende Sicherheitsarbeiten neben der Hardware. Patching, Zugriffskontrolle und Überwachung sind wiederkehrende Kosten, die weit über die ursprüngliche Einrichtung hinausgehen.
Wer davon profitiert, selbst zu hosten: Organisationen, die Daten bearbeiten, die wirklich reguliert sind oder von einer NDA abgedeckt sind, mit anhaltend hohem Nutzungsvolumen und einem Team, das jahrelang die Sicherheitsarbeit übernehmen kann.
Wer nicht passt: Teams mit niedriger oder unvorhersehbarer KI-Nutzung, allgemeiner Sensibilität wie Marketing-Entwürfe oder interne Brainstorming-Sitzungen, und niemand verfügbar, um die laufende Infrastruktursicherheit zu übernehmen. Für dieses Profil wird eine Enterprise-Tier-API eines renommierten Anbieters mit signiertem DPA und disziplinierten internen Datenkontrollen Betriebsgeheimnisse zuverlässiger schützen als eine selbstgehostete Bereitstellung, deren Verwaltung niemand die Bandbreite hat.
Beide Wege funktionieren, wenn sie absichtlich gebaut werden, mit einer klaren Antwort auf welche Daten das Modell erreichen und wer danach darauf sehen kann. Keiner funktioniert als Standardannahme, die aus einer Anbieter-Marketing-Seite oder einem Wochenend-Projekt eines Ingenieurs entliehen ist.
Häufige Fragen
Schützt das Selbsthosting eines KI-Modells automatisch Ihre Daten?
Nein. Selbsthosting beseitigt den Anbieter als Partei, die Ihre Daten sehen, speichern oder vor Gericht geladen werden kann, macht das Deployment aber nicht automatisch sicher oder konform. Ohne Zugriffskontrolle, Verschlüsselung, Überwachung und regelmäßige Patches kann ein selbstgehostetes Modell Daten genau so leicht wie eine Cloud-API verlieren, und Sicherheitsforscher berichten, dass selbstgehostete Deployments häufig ungewartet werden, sobald das ursprüngliche Projekt abgeschlossen ist.
Was ist Shadow AI und warum ist es das größte Datenschutzrisiko?
Shadow AI ist, wenn Mitarbeiter nicht genehmigte KI-Tools verwenden, häufig private ChatGPT- oder Gemini-Konten, um Arbeitsaufgaben zu erledigen, ohne dass IT davon erfährt. Es ist die Quelle der meisten dokumentierten Lecks: Samsung-Ingenieure gaben 2023 proprietären Quellcode in ChatGPT ein, und IBM fand 2025, dass Shadow-AI-Vorfälle durchschnittlich 670.000 Dollar zu Verletzungskosten hinzufügen. Eine Datenschutzrichtlinie eines Anbieters kann keine Undichtigkeit schützen, die die Anbietersysteme von Anfang an nie berührt.
Sind die Richtlinien zur „Datenspeicherung Null" von KI-Anbietern zuverlässig?
Sie sind zuverlässig für alltägliche betriebliche Datenschutzbedenken, aber nicht absolut. OpenAI, Anthropic und Google bieten alle Optionen für Null-Training und reduzierte Speicherung bei Enterprise-Plänen, doch ein US-amerikanisches Bundesgerichtsurteil von 2025 zwang OpenAI, Chatlogs unbegrenzt für Rechtsstreitigkeiten zu bewahren und außer Kraft zu setzen, was Nutzer bereits gelöscht hatten. Betrachten Sie eine Speicherrichtlinie als echten Schutz gegen routinemäßigen Missbrauch. Sie bietet keinen Schutz, sobald ein Gericht eine Aufbewahrungsanordnung erlässt oder einen Rechtsstreit einleitet.
Bedeutet ein „Enterprise"-Plan für KI-Systeme, dass das Modell auf unserer Infrastruktur läuft?
Nein, in den meisten Fällen ist dies nicht der Fall. Ein Enterprise-Plan von OpenAI, Anthropic oder Microsoft bedeutet in der Regel signierte Datenverarbeitungsverträge, Audit Trails und stärkere Speicherkontrollen, aber die Inferenz erfolgt immer noch auf der vom Anbieter betriebenen Infrastruktur. Falls Datenresidenz innerhalb Ihres eigenen Netzwerks die tatsächliche Anforderung ist, erfüllt nur ein echtes selbstgehostetes oder dediziertes Private-Cloud-Deployment dieses Anforderung.
Wann macht Selbsthosting Sinn zum Schutz von Betriebsgeheimnissen?
Es macht Sinn, wenn die Daten wirklich reguliert oder vertraglich sensibel sind, z. B. unter einer NDA stehende unveröffentlichte IP, Gesundheitsakten oder Finanzdaten, wenn das Nutzungsvolumen hoch genug ist, um den Engineeringaufwand zu rechtfertigen, und wenn Ihr Team die laufende Wartung und Überwachung übernehmen kann. Bei weniger sensiblen Arbeiten wie Marketing-Text oder allgemeinen Entwürfen ist die Enterprise-Tier-API eines renommierten Anbieters mit signiertem DPA meist der einfachere Weg.