Datenmaskierung wird zunehmend relevant, da Systeme der künstlichen Intelligenz breiteren Zugang zu Unternehmensinformationen erhalten. Die Technik löscht sensible Daten nicht, sondern verbirgt ihre ursprüngliche Identität und bewahrt zugleich genügend Nutzbarkeit der Daten für legitime geschäftliche Aufgaben.
Entwickler benötigen möglicherweise repräsentative Kundendaten, um Anwendungen zu testen, während Analysten Beziehungen und Muster erhalten müssen, um Trends zu erkennen. In beiden Fällen ist der Zugriff auf echte Identitäten, Kontonummern oder andere sensible Werte möglicherweise nicht erforderlich. Bei der Maskierung werden diese Werte durch realistische, aber unbrauchbare Alternativen ersetzt, sodass Unternehmen mit den Daten arbeiten können, ohne deren ursprüngliche Inhalte offenzulegen.
Unternehmen können je nach Verwendungszweck der Informationen auch Tokenisierung und Verschlüsselung einsetzen. Das zugrunde liegende Prinzip besteht darin, den Schutz an der jeweiligen Aufgabe auszurichten, statt automatisch Rohdaten mit sensiblen Informationen verfügbar zu machen.
Zunächst müssen Unternehmen jedoch wissen, wo ihre sensiblen Informationen gespeichert sind. Der Thales Data Threat Report 2026 ergab, dass 34 % der befragten Unternehmen vollständige Kenntnis vom Speicherort ihrer Daten hatten, während 39 % angaben, sämtliche Daten klassifizieren zu können. Die Befragten berichteten außerdem, durchschnittlich sieben Tools für Datenschutz und Überwachung einzusetzen.
Cloud-Umgebungen verschärfen die Herausforderung, da Informationen über Data Lakes, Software-as-a-Service-Plattformen, Entwicklungsumgebungen und Backups hinweg dupliziert werden können. Sensible Details können auch in unstrukturierten Dokumenten verborgen bleiben oder für Anwendungen zugänglich werden, die lange nach der Erfassung der Daten erstellt wurden.
Das Management der Datensicherheitslage begegnet diesem Problem, indem es den Fokus auf die Daten selbst richtet. Dazu gehören die Ermittlung und Klassifizierung sensibler Informationen, die Feststellung ihres Speicherorts, das Verständnis darüber, wer oder was darauf zugreifen kann, sowie die Bewertung, ob die bestehenden Schutzmaßnahmen angemessen sind. Sobald eine unnötige Datenexposition festgestellt wurde, können Unternehmen den Zugriff entfernen oder einschränken oder Maßnahmen wie Maskierung, Tokenisierung und Verschlüsselung anwenden.
Das Thema gewinnt an Bedeutung, da Unternehmen von Experimenten mit generativer KI zur Nutzung im täglichen Betrieb übergehen. KI-Anwendungen benötigen Informationen, um Ergebnisse zu erzeugen, während Agenten möglicherweise einen umfassenderen Zugriff benötigen, um Daten abzurufen, Entscheidungen zu treffen und systemübergreifend zu handeln.
Laut derselben Untersuchung gaben 61 % der Unternehmen an, dass ihre KI-Anwendungen von Angreifern ins Visier genommen wurden; sensible Daten wurden dabei als wichtigstes Ziel identifiziert. Die rasche Veränderung des KI-Ökosystems wurde am häufigsten als KI-Sicherheitsrisiko genannt.
Die Anwendung des Prinzips der geringsten Rechte auf KI kann diese Risiken begrenzen. Der Zugriff auf eine Datenbank sollte einem KI-System nicht automatisch Zugriff auf jeden darin enthaltenen sensiblen Rohwert gewähren. Je nach Umständen können Unternehmen personenbezogene Informationen maskieren, bevor sie Entwicklungs- oder Testumgebungen erreichen, besonders sensible Werte tokenisieren, Daten verschlüsseln und die Entschlüsselung streng kontrollieren oder einem KI-System den Zugriff auf einen Datensatz vollständig verwehren.
Der Ansatz stützt sich weitgehend auf etablierte Verfahren der Datensicherheit: die Ermittlung des Speicherorts sensibler Informationen, das Verständnis ihres Kontexts, die Minimierung unnötiger Zugriffe und den Schutz der Daten entsprechend ihrer Verwendung. Da sich Anwendungen und KI-Systeme weiterentwickeln, müssen auch diese Entscheidungen erneut bewertet werden.
Quellen: TechRadar.