Prompt-Anonymisierung: Sensible Daten vor der KI schützen

Prompt-Anonymisierung bedeutet: Namen, Adressen, Kontonummern, Aktenzeichen und andere identifizierende Angaben werden aus einer Eingabe entfernt oder durch Platzhalter ersetzt, bevor der Text ein KI-Modell erreicht. Dies reduziert das Risiko, dass Personendaten oder Geschäftsgeheimnisse bei einem Anbieter landen, gespeichert oder zum Training verwendet werden. Nach Schweizer Datenschutzrecht ist die Methode jedoch nur dann eine echte Anonymisierung, wenn eine Re-Identifikation praktisch ausgeschlossen ist. In den meisten Fällen handelt es sich rechtlich um eine Pseudonymisierung, und das Datenschutzgesetz bleibt anwendbar. Der folgende Leitfaden erklärt Begriffe, Technik, Grenzen und das Vorgehen für Schweizer Unternehmen.

TL;DR

• Definition: Prompt-Anonymisierung erkennt identifizierende Angaben in einer Eingabe und ersetzt sie vor der Übermittlung an das KI-Modell, etwa durch Platzhalter wie [PERSON_1].
• Rechtliche Einordnung: Werden Platzhalter nach der Antwort wieder durch die Originaldaten ersetzt, liegt eine Pseudonymisierung vor. Die Daten bleiben Personendaten im Sinne des DSG.
• Grenze: Kontextangaben (Funktion, Ort, Datum, seltene Diagnose) erlauben oft eine Re-Identifikation, auch wenn alle Namen entfernt sind.
• Ergänzung: Anonymisierung ersetzt nicht die Frage, wo der Anbieter Daten speichert, ob er damit trainiert und welche Protokolle er führt.
• Praxis: Für Unternehmen gehören Prompt-Anonymisierung, Hosting-Standort, Zugriffssteuerung und Audit-Trails in ein gemeinsames Schutzkonzept.

Inhaltsverzeichnis

• Was Prompt-Anonymisierung konkret bedeutet
• Anonymisierung oder Pseudonymisierung: die Einordnung nach DSG
• Welche Angaben in einem Prompt identifizierend sind
• So läuft eine Prompt-Anonymisierung technisch ab
• Grenzen: Was Anonymisierung allein nicht löst
• Ansätze im Vergleich
• Checkliste für den KI-Einsatz im Unternehmen
• Unsere Perspektive: Anonymisierung ist eine Schicht, kein Fundament
• Prompt-Anonymisierung in Nectos
• Häufige Fragen
• Quellen

Was Prompt-Anonymisierung konkret bedeutet

Ein Prompt ist jede Eingabe an ein Sprachmodell: eine Frage, ein eingefügter E-Mail-Verlauf, ein Vertragsentwurf, ein Gesprächsprotokoll. In der Praxis enthalten solche Eingaben häufig mehr Personendaten, als den Nutzenden bewusst ist. Ein typisches Beispiel aus einer Treuhandkanzlei:

«Formuliere eine Mahnung an Herrn Marco Keller, Bahnhofstrasse 12, 8001 Zürich. Offener Betrag CHF 4'820.–, IBAN CH93 0076 2011 6238 5295 7.»

Nach der Anonymisierung lautet derselbe Prompt:

«Formuliere eine Mahnung an [PERSON_1], [ADRESSE_1]. Offener Betrag [BETRAG_1], IBAN [IBAN_1].»

Das Modell erhält die Struktur der Aufgabe, nicht die Identität der betroffenen Person. Viele Werkzeuge setzen die Originalwerte nach der Antwort lokal wieder ein, sodass das Resultat direkt verwendbar ist. Genau dieser Rückweg ist rechtlich entscheidend, wie der nächste Abschnitt zeigt.

Verwandte Begriffe, die in Fachtexten auftauchen:

• Maskierung (Redaction): Angaben werden geschwärzt oder gelöscht, ohne Rückübersetzung.
• Tokenisierung: Angaben werden durch konsistente Kennungen ersetzt, die über eine Zuordnungstabelle auflösbar sind.
• Generalisierung: Präzise Werte werden vergröbert, etwa «34 Jahre» zu «30 bis 40 Jahre» oder «8001 Zürich» zu «Kanton Zürich».
• Synthetische Ersetzung: Echte Namen werden durch erfundene, aber plausible Namen ersetzt, damit das Modell natürlicher antwortet.

Anonymisierung oder Pseudonymisierung: die Einordnung nach DSG

Das Bundesgesetz über den Datenschutz (DSG) gilt für Personendaten, also für Angaben, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen (Art. 5 lit. a DSG). Anonymisierte Daten fallen aus dem Anwendungsbereich. Anonym sind Daten jedoch nur, wenn eine Re-Identifikation unmöglich ist oder einen unverhältnismässigen Aufwand erfordert, gemessen am aktuellen Stand der Technik.

Der Leitfaden des EDÖB zu den technischen und organisatorischen Massnahmen behandelt Pseudonymisierung und Anonymisierung als getrennte Massnahmen. Pseudonymisierte Daten, bei denen eine Zuordnungstabelle existiert, bleiben Personendaten. Für sie gelten die Bearbeitungsgrundsätze, die Pflicht zur Datensicherheit und die Regeln zur Auftragsbearbeitung vollumfänglich.

Die Konsequenz für die Praxis: Wer Platzhalter nach der KI-Antwort automatisch zurückübersetzt, pseudonymisiert. Das ist eine wirksame Schutzmassnahme, aber kein Freipass. Die Frage, wo das Modell betrieben wird und was der Anbieter mit der Eingabe tut, bleibt bestehen.

Welche Angaben in einem Prompt identifizierend sind

Automatische Erkennung konzentriert sich oft auf offensichtliche Muster. Für eine belastbare Anonymisierung sind drei Kategorien zu unterscheiden.

Direkte Identifikatoren

• Vor- und Nachnamen, auch in Grussformeln und Signaturen
• Postadressen, E-Mail-Adressen, Telefonnummern
• AHV-Nummern, IBAN, Kreditkarten- und Policennummern
• Kunden-, Patienten-, Mandats- und Personalnummern
• Zugangsdaten, API-Schlüssel und Passwörter, die versehentlich mitkopiert werden

Indirekte Identifikatoren

• Funktion und Arbeitgeber («die Finanzchefin eines Bauunternehmens in Chur»)
• Seltene Kombinationen aus Alter, Wohnort und Beruf
• Exakte Daten von Ereignissen (Unfall, Kündigung, Eintritt)
• Projektnamen, Liegenschaftsbezeichnungen, Gerichtsverfahren mit Datum
• Interne Kürzel, die im Unternehmen eindeutig einer Person zugeordnet sind

Besonders schützenswerte Personendaten

Art. 5 lit. c DSG nennt unter anderem Daten über die Gesundheit, die Intimsphäre, religiöse und politische Ansichten, genetische und biometrische Daten sowie Angaben über strafrechtliche Verfolgungen und Massnahmen der sozialen Hilfe. In HR-, Gesundheits- und Rechtskontexten kommen diese Daten in Prompts regelmässig vor: ein Arbeitsunfähigkeitszeugnis, ein Verwarnungsschreiben, eine Diagnose im Arztbericht. Hier reicht das Entfernen des Namens selten aus, weil die Kombination aus Sachverhalt und Kontext die Person erkennbar macht.

So läuft eine Prompt-Anonymisierung technisch ab

Professionelle Lösungen arbeiten in einer festen Abfolge. Die Qualität jeder Stufe bestimmt das Schutzniveau.

1. Erkennung: Ein Erkennungsmodul analysiert den Text. Reguläre Ausdrücke finden strukturierte Muster wie IBAN oder AHV-Nummer. Ein Modell zur Erkennung benannter Entitäten (Named Entity Recognition) identifiziert Namen, Orte und Organisationen, auch in Schweizer Schreibweisen und in mehrsprachigen Texten.
2. Klassifizierung: Jede Fundstelle wird einem Typ zugeordnet (Person, Adresse, Finanzangabe, Gesundheitsangabe), damit der Platzhalter für das Modell verständlich bleibt.
3. Ersetzung: Die Angaben werden konsistent ersetzt. «Herr Keller» heisst im ganzen Dokument [PERSON_1], damit das Modell Bezüge korrekt herstellen kann.
4. Übermittlung: Nur der bereinigte Prompt geht an das Sprachmodell.
5. Rückübersetzung: Die Antwort wird geprüft, Platzhalter werden durch die Originalwerte ersetzt. Die Zuordnungstabelle verbleibt in der kontrollierten Umgebung und wird nach Abschluss gelöscht.
6. Protokollierung: Ein Audit-Trail dokumentiert, wann welche Kategorie ersetzt wurde, ohne die Originaldaten selbst zu duplizieren.

Kritisch ist die Fehlerquote der ersten Stufe. Ein nicht erkannter Name in einer Fussnote oder eine Telefonnummer in ungewöhnlichem Format gelangt unverändert an das Modell. Deshalb sollte jede Lösung eine Vorschau bieten, in der die Nutzenden sehen, was ersetzt wurde, und manuell nachbessern können.

Grenzen: Was Anonymisierung allein nicht löst

Prompt-Anonymisierung ist eine sinnvolle Massnahme. Sie wird jedoch häufig überschätzt. Fünf Grenzen sind für Schweizer Unternehmen relevant.

Kontext ermöglicht Re-Identifikation

Der EDÖB weist in seinen Beispielen zu KI im Alltag darauf hin, dass das Datenschutzrecht gilt, sobald Personendaten mit KI bearbeitet werden. Die Fähigkeit von KI-Systemen, Datenbestände zu verknüpfen, erhöht das Risiko, dass vermeintlich anonyme Angaben wieder einer Person zugeordnet werden. Anonymisierung ist deshalb als laufender Prozess zu verstehen, der regelmässig gegen den Stand der Technik geprüft wird, nicht als einmalige Einstellung.

Dokumente und Anhänge

Viele Werkzeuge bereinigen nur das Textfeld. Hochgeladene PDF-Dateien, Tabellen, Bilder oder Metadaten (Autor, Firmenname, Dateipfad) passieren die Kontrolle unverändert. Gerade bei Vertragsanalysen und Lohnauswertungen ist das der grössere Teil der Daten.

Speicherung und Training beim Anbieter

Auch ein bereinigter Prompt enthält Geschäftsinformationen: Strategie, Preise, Verhandlungspositionen, Quellcode. Ob der Anbieter Eingaben speichert, für das Training verwendet oder in Drittländern verarbeitet, entscheidet die Anonymisierung nicht. Der EDÖB betonte am Datenschutztag 2026, dass das technologieneutrale DSG greift, sobald Personendaten bearbeitet werden, und dass Transparenz gegenüber den betroffenen Personen zentral ist.

Bekanntgabe ins Ausland

Werden Personendaten an einen Anbieter ausserhalb der Schweiz übermittelt, gelten die Regeln zur Bekanntgabe ins Ausland (Art. 16 ff. DSG). Eine pseudonymisierte Eingabe bleibt eine Bekanntgabe von Personendaten. Die Prüfung des Ziellandes und gegebenenfalls vertragliche Garantien sind weiterhin nötig.

Berufsgeheimnis und Vertraulichkeit

Für Treuhand, Anwaltschaft, Gesundheitswesen und Finanzbranche kommen Vertraulichkeitspflichten hinzu, die über das DSG hinausgehen. Ob die Nutzung eines bestimmten KI-Dienstes damit vereinbar ist, klärt im Einzelfall die zuständige Datenschutzberatung oder die Rechtsabteilung, idealerweise vor dem ersten produktiven Einsatz.

Ansätze im Vergleich

Auf dem Markt existieren vier grundlegende Modelle. Die Wahl hängt vom Datenvolumen, von der Sensibilität der Daten und von der Anzahl der Nutzenden ab.

Der entscheidende Unterschied liegt zwischen den ersten drei Ansätzen und dem vierten: Die ersten drei reduzieren, was an einen externen Dienst geht. Der vierte reduziert, wohin die Daten überhaupt gelangen. Ein Vergleich zwischen einem souveränen Arbeitsbereich und US-amerikanischen Chatdiensten findet sich auf der Seite Nectos im Vergleich mit gängigen KI-Chatdiensten.

Checkliste für den KI-Einsatz im Unternehmen

Das DSG verankert in Art. 7 die Grundsätze «Privacy by Design» und «Privacy by Default». Der EDÖB erläutert in seiner Einschätzung zum neuen Datenschutzgesetz, dass Datenschutz bereits bei der Planung technisch umzusetzen ist und Voreinstellungen datenschutzfreundlich sein müssen. Für die Einführung von Prompt-Anonymisierung ergeben sich daraus folgende Schritte:

1. Datenklassen festlegen: Öffentlich, intern, vertraulich, geheim. Pro Klasse definieren, welche KI-Werkzeuge zulässig sind.
2. Bestandsaufnahme durchführen: Welche Teams nutzen heute welche KI-Dienste, mit welchen Daten? Schatten-IT ist der häufigste Ausgangspunkt für Datenabflüsse.
3. Datenschutz-Folgenabschätzung prüfen: Bei voraussichtlich hohem Risiko, etwa bei umfangreicher Bearbeitung besonders schützenswerter Personendaten, verlangt Art. 22 DSG eine DSFA. Der EDÖB bestätigt in seinem Update zur Anwendbarkeit des DSG auf KI, dass die geltenden Vorschriften unabhängig von künftiger KI-Regulierung einzuhalten sind.
4. Anonymisierung standardmässig aktivieren: Im Sinne von Privacy by Default sollte die Prompt-Anonymisierung nicht von der Disziplin einzelner Mitarbeitender abhängen.
5. Anbieter prüfen: Hosting-Standort, Verwendung der Eingaben für Training, Aufbewahrungsfristen, Unterauftragsbearbeiter, Verfügbarkeit eines Auftragsbearbeitungsvertrags (Art. 9 DSG).
6. Zugriffe steuern: Rollen, geteilte Wissensdatenbanken und Administratorrechte so vergeben, dass nur berechtigte Personen auf Dokumente zugreifen.
7. Protokollieren und auswerten: Audit-Trails regelmässig prüfen, Erkennungslücken dokumentieren und die Konfiguration anpassen.
8. Schulen: Mitarbeitende kennen die Grenzen der automatischen Erkennung und prüfen die Vorschau vor dem Absenden.

Sanktionen sind kein theoretisches Risiko: Das DSG sieht bei vorsätzlichen Verletzungen bestimmter Pflichten Bussen von bis zu CHF 250'000 vor, die sich gegen die verantwortlichen natürlichen Personen richten (Art. 60 ff. DSG).

Unsere Perspektive: Anonymisierung ist eine Schicht, kein Fundament

Wir sehen in Schweizer KMU ein wiederkehrendes Muster: Eine Kanzlei oder Personalabteilung führt ein Anonymisierungswerkzeug ein und betrachtet das Thema damit als erledigt. Die Eingaben gehen danach weiterhin an Modelle ausserhalb der Schweiz, Anhänge bleiben ungefiltert, und niemand kann nachweisen, was wann übermittelt wurde.

Wir verstehen Prompt-Anonymisierung deshalb als eine Schicht in einem Gesamtsystem. In Nectos ist sie eine Funktion neben anderen: Verarbeitung und Speicherung ausschliesslich auf Schweizer Servern, keine Verwendung der Daten für das Modelltraining, keine versteckten Datenflüsse zu ausländischen KI-Anbietern, umfassende Audit-Trails sowie Admin- und Zugriffssteuerung. Auch die webbasierte Suche lässt sich optional mit Anonymisierung nutzen, damit Suchanfragen keine Mandats- oder Personendaten preisgeben.

Die Reihenfolge ist aus unserer Sicht entscheidend. Zuerst wird festgelegt, wo die Daten verarbeitet werden und wer Zugriff hat. Danach reduziert die Anonymisierung zusätzlich, was ein Modell überhaupt zu sehen bekommt. Wer nur die zweite Massnahme umsetzt, verschiebt das Risiko, ohne es zu kontrollieren. Wie die Daten in Nectos konkret fliessen, dokumentieren wir offen auf der Seite Datenflüsse in Nectos.

— Adopt

Prompt-Anonymisierung in Nectos

Nectos ist ein souveräner Schweizer KI-Arbeitsbereich mit privatem KI-Chat, Dokumentenanalyse, persönlichen und geteilten Wissensdatenbanken, Meeting-Transkription und Prompt-Anonymisierung. Hosting und Verarbeitung erfolgen ausschliesslich in der Schweiz, gemäss nDSG und DSGVO. Ein Auftragsbearbeitungsvertrag (DPA) ist auf Anfrage erhältlich. Die Funktionen im Überblick zeigen den gesamten Umfang, die Grundlagen zur Schweizer Datensouveränität die rechtliche Einordnung.

Die Pläne laut Preisübersicht:

• Starter: CHF 29.90 pro Monat und Nutzer
• Pro: CHF 49.90 pro Monat und Nutzer
• Pro+: CHF 99.90 pro Monat und Nutzer
• Testphase: verfügbar, Konditionen auf der Preisseite

Für Organisationen mit erhöhten Anforderungen stehen das Sicherheits- und Compliance-Paket sowie ein Betrieb in der eigenen Cloud oder On-Premise zur Verfügung. Der zugehörige BYOC-Support ist ab CHF 490 pro Monat erhältlich.

Häufige Fragen

Ist ein anonymisierter Prompt rechtlich keine Personendatenbearbeitung mehr?

Nur wenn eine Re-Identifikation unmöglich ist oder einen unverhältnismässigen Aufwand erfordert. Werden Platzhalter nach der Antwort wieder durch Originalwerte ersetzt, liegt eine Pseudonymisierung vor, und das DSG bleibt vollständig anwendbar. Auch verbleibender Kontext kann eine Person bestimmbar machen.

Reicht es, Namen aus dem Prompt zu entfernen?

In der Regel nicht. Funktion, Arbeitgeber, Ort, Datum oder ein seltener Sachverhalt genügen oft, um eine Person zu erkennen. Zudem enthalten Anhänge und Metadaten häufig weitere Angaben, die einfache Werkzeuge nicht erfassen.

Was ist der Unterschied zwischen Prompt-Anonymisierung und Prompt Privacy?

Prompt-Anonymisierung ist eine technische Massnahme, die identifizierende Angaben ersetzt. Prompt Privacy beschreibt das umfassendere Ziel: Kontrolle darüber, wo Eingaben verarbeitet, wie lange sie gespeichert und ob sie für Training verwendet werden. Anonymisierung ist ein Baustein davon.

Braucht ein Unternehmen für den KI-Einsatz eine Datenschutz-Folgenabschätzung?

Wenn die Bearbeitung voraussichtlich ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Personen mit sich bringt, ja (Art. 22 DSG). Das betrifft insbesondere die umfangreiche Bearbeitung besonders schützenswerter Personendaten, etwa in HR, Gesundheitswesen oder Rechtsberatung. Die Beurteilung im Einzelfall erfolgt durch die Datenschutzverantwortlichen des Unternehmens.

Können anonyme Prompts trotzdem Geschäftsgeheimnisse preisgeben?

Ja. Anonymisierung zielt auf Personendaten, nicht auf Strategien, Preise, Quellcode oder Verhandlungspositionen. Für solche Inhalte ist entscheidend, dass der Anbieter die Eingaben nicht speichert oder für Training nutzt und die Verarbeitung in einer kontrollierten Umgebung stattfindet.

Quellen

• Bundesgesetz über den Datenschutz (DSG), SR 235.1, Fedlex
• EDÖB: Leitfaden zu den technischen und organisatorischen Massnahmen des Datenschutzes
• EDÖB: Real examples of artificial intelligence (AI) in everyday life
• EDÖB: Datenschutztag 2026, Einsatz generativer KI und Herausforderungen für den Datenschutz
• EDÖB: Das neue Datenschutzgesetz aus Sicht des EDÖB
• EDÖB: Update, geltendes Datenschutzgesetz ist auf KI direkt anwendbar