Personenbezogene Daten vor der KI schwärzen
Aus "[email protected], IBAN DE89 3704 0044 0532 0130 00" wird "[EMAIL_1], IBAN [IBAN_1]". Eine IBAN wird nur geschwärzt, wenn Länge (DE: 22 Stellen) und Prüfsumme stimmen: Ländercode und Prüfziffern ans Ende, Buchstaben in Zahlen (A=10 … Z=35), Rest modulo 97 muss 1 sein. Den geschwärzten Text in ChatGPT einfügen, die Antwort hier zurückkopieren, dann stehen wieder die echten Werte drin. Namen und Anschriften erkennt das Tool nicht.
So funktioniert’s
- Text einfügen. E-Mail, Telefon, Karte, IP, IBAN und API-Schlüssel sind voreingestellt und werden beim Tippen durch Platzhalter wie [EMAIL_1] ersetzt.
- Den geschwärzten Text in ChatGPT, Claude oder eine andere KI kopieren. Einmal gegenlesen: Namen, Adressen und frei formulierte Passwörter werden nicht gefunden.
- Die Antwort der KI ins zweite Feld einfügen. Jeder erhaltene Platzhalter wird wieder durch den Originalwert ersetzt und kann kopiert werden.
Berechnung
Für jede Datenart gilt eine eigene Regel. Kartennummern haben 13 bis 19 Ziffern und bestehen den Luhn-Test. IBANs müssen die Länge ihres Landes haben und die Prüfung nach ISO 7064 (mod 97) bestehen, egal ob mit Leerzeichen in Vierergruppen oder am Stück. Telefonnummern brauchen eine Vorwahl mit 0, +49 oder Trennzeichen.
API-Schlüssel werden an bekannten Präfixen erkannt (sk-, AKIA, ghp_, xoxb-, AIza, sk_live_ sowie JWTs und Private-Key-Blöcke) und über die Shannon-Entropie gefiltert, damit normale Wörter stehen bleiben. Werte hinter password= oder api_key= werden ebenfalls geschwärzt.
Unter "Ausweisnummern anderer Länder" lassen sich 18 weitere Nummern zuschalten, etwa die französische NIR, das spanische DNI, die türkische T.C. Kimlik oder die US-SSN. Jede wird mit dem Prüfverfahren ihres Landes kontrolliert. Die deutsche Steuer-ID und Personalausweisnummer sind noch nicht enthalten.
Die Zuordnung von Platzhalter zu Wert liegt nur im Arbeitsspeicher dieser Seite. Sie wird weder gespeichert noch gesendet und landet nicht in der Adresse; Neuladen oder Verlassen löscht sie. Wer den Originaltext nach der Antwort ändert, riskiert verschobene Nummern, also zuerst wiederherstellen.
Häufige Fragen
Wird mein Text irgendwo hochgeladen?
Nein. Erkennung und Ersetzung laufen im Browser. Die Zuordnungstabelle steht weder im lokalen Speicher noch in der URL. Nach dem Neuladen ist sie weg, deshalb die Seite offen lassen, bis die Antwort wiederhergestellt ist.
Reicht das für die DSGVO?
Es hilft bei der Datenminimierung, ersetzt aber keine eigene Prüfung. Der übrige Text kann eine Person weiterhin erkennbar machen, und Namen oder Anschriften findet das Tool nicht. Bei Kunden- oder Patientendaten gelten die Vorgaben Ihres Unternehmens.
Was übersieht das Tool?
Alles ohne feste Form: Namen, Straßen, Firmennamen, einzelne Geburtsdaten, Kontonummern ohne Prüfziffer, reine Hex-Geheimnisse und kurze Passwörter. Umgekehrt kann eine Bestellnummer, die zufällig eine Prüfung besteht, geschwärzt werden. Als Sicherheitsnetz nutzen und das Ergebnis lesen.
Warum hat die KI meine Platzhalter verändert?
Modelle lassen manchmal die Klammern weg, übersetzen den Platzhalter oder erfinden neue. Wiederhergestellt werden nur exakte Treffer, die übrigen listet das Tool auf. Die Bitte "Platzhalter wie [EMAIL_1] unverändert lassen" hilft.
Ich habe schon einen API-Schlüssel in einen Chat kopiert. Was nun?
Den Schlüssel beim Anbieter widerrufen und neu erzeugen, auch wenn der Chat gelöscht ist. Ein einmal offengelegter Schlüssel gilt als kompromittiert.