Sicherheit

Confidential Computing

Definition

Confidential Computing schützt Daten nicht nur bei Speicherung und Übertragung, sondern auch während der Verarbeitung - in einer abgeschotteten, verschlüsselten Umgebung, auf die selbst der Betreiber keinen Einblick hat.

Herkömmliche Verschlüsselung schützt ruhende und übertragene Daten, doch zur Berechnung müssen sie im Arbeitsspeicher entschlüsselt werden - ein blinder Fleck. Confidential Computing schließt ihn: Die Verarbeitung läuft in einer hardwaregestützten, isolierten „Enklave“ (Trusted Execution Environment), deren Inhalt nach außen verschlüsselt und nachweisbar unverändert bleibt.

Für KI ist das besonders relevant, wenn hochsensible Daten - Gesundheits-, Finanz- oder Personendaten - durch ein Modell laufen sollen. Confidential Computing erlaubt es, solche Daten zu verarbeiten, ohne sie dem Cloud-Betreiber oder dem Modellanbieter offenzulegen. Das kann in stark regulierten Branchen den Unterschied ausmachen, ob ein KI-Vorhaben überhaupt zulässig ist.

In der Praxis

Ein Abrechnungsdienstleister im Gesundheitswesen prüft die Cloud

Ein Dienstleister mit 120 Mitarbeitenden rechnet für Arztpraxen und kleine Kliniken ab. Täglich kommen mehrere tausend Belege herein, viele als Scan. Ein Sprachmodell könnte die Belege auslesen, Unstimmigkeiten markieren und Rückfragen vorbereiten - der Nutzen ist offensichtlich. Ebenso offensichtlich ist die Hürde: Auf diesen Belegen stehen Diagnosen, und die Fachabteilung lehnte jede Verarbeitung ab, bei der ein fremder Betreiber die Daten im Klartext sehen könnte.

Geprüft wurden drei Wege. Erstens ein Modell im eigenen Rechenzentrum - technisch machbar, aber mit Anschaffung, Betrieb und knappem Fachpersonal verbunden. Zweitens Pseudonymisierung vor der Verarbeitung - hilfreich, doch bei Freitext auf Scans nur begrenzt verlässlich. Drittens Confidential Computing: Das Modell läuft beim Anbieter, die Verarbeitung findet jedoch in einer hardwaregestützten, abgeschotteten Umgebung statt, deren Zustand sich vor jeder Nutzung nachweisen lässt.

Entschieden wurde für den dritten Weg - allerdings erst, nachdem das Team drei Punkte belegt hatte: dass die Attestierung tatsächlich automatisch geprüft wird und die Verarbeitung ohne gültigen Nachweis abbricht; dass Protokolle, Zwischenspeicher und der Suchindex nicht unbemerkt außerhalb der geschützten Umgebung landen; und dass ein Ausfall der Sonderumgebung nicht stillschweigend auf normale Verarbeitung zurückfällt. Der letzte Punkt war der schwierigste und im ersten Entwurf schlicht nicht geregelt.

Abgrenzung

Nicht zu verwechseln mit

Verschlüsselung bei Speicherung und Übertragung: Gängige Verschlüsselung schützt Daten auf der Festplatte und auf dem Transportweg. Zur eigentlichen Berechnung müssen sie im Arbeitsspeicher wieder lesbar sein - dieser dritte Zustand ist die Lücke, die Confidential Computing schließt. Ohne diesen Baustein bleibt der Moment der Verarbeitung ungeschützt.
Eigener Betrieb im Rechenzentrum: Beim Selbstbetrieb behalten Sie die Kontrolle, tragen aber Hardware, Wartung und Fachpersonal. Confidential Computing erlaubt die Nutzung fremder Infrastruktur, ohne dem Betreiber Einblick zu geben. Die Abwägung ist wirtschaftlich, nicht rein technisch: Kontrolle gegen Skalierbarkeit und Modellauswahl.
Anonymisierung und Pseudonymisierung: Diese Verfahren setzen an den Daten an - sie entfernen oder ersetzen Merkmale, bevor etwas verarbeitet wird. Confidential Computing setzt an der Umgebung an und lässt die Daten unverändert. Bei Freitext und Scans stößt reine Pseudonymisierung schnell an Grenzen, weshalb beides oft kombiniert wird.

Fehlerbilder

Worauf es ankommt

Die Attestierung wird nicht wirklich geprüft
Der Kern des Verfahrens ist der kryptografische Nachweis, dass die Berechnung in einer unveränderten, geschützten Umgebung läuft. Wird dieser Nachweis nicht automatisiert geprüft - und die Verarbeitung bei Fehlschlag abgebrochen -, bleibt vom Schutz ein Marketingversprechen übrig. Lassen Sie sich zeigen, an welcher Stelle im Ablauf die Prüfung stattfindet und was passiert, wenn sie scheitert.
Die Kette endet nicht am Modell
Geschützt ist die Berechnung, nicht automatisch alles Übrige: Protokolldateien, zwischengespeicherte Anfragen, der Vektorindex, Auswertungen und Warteschlangen liegen häufig außerhalb. Ein einziger vollständiger Prompt im Protokoll hebelt den gesamten Aufwand aus. Der Datenfluss gehört deshalb vollständig aufgezeichnet - Schritt für Schritt, einschließlich aller Nebenwege.
Technik als Ersatz für die rechtliche Prüfung
Confidential Computing verringert das Risiko einer Kenntnisnahme durch Dritte, beantwortet aber nicht die Fragen nach Rechtsgrundlage, Zweckbindung, Auftragsverarbeitung und Betroffenenrechten. Diese Punkte gehören mit Datenschutzbeauftragtem und Rechtsberatung geklärt - parallel zur technischen Auswahl und nicht erst danach.
Aufwand und Einschränkungen unterschätzt
Geschützte Umgebungen sind nicht in jeder Region, für jedes Modell und für jede Anbindung verfügbar, kosten mehr und laufen je nach Aufbau langsamer. Wer diese Grenzen erst nach der Zusage an den Fachbereich entdeckt, steht vor einer unangenehmen Wahl. Prüfen Sie Verfügbarkeit, Modellauswahl und Mehrkosten, bevor die Architektur festgezurrt wird.

Häufige Fragen

Was zu Confidential Computing oft gefragt wird

Brauchen wir Confidential Computing für unsere KI-Anwendung?

Meist nicht. Für interne Dokumente, Angebote oder technische Unterlagen genügen in aller Regel ein Geschäftsvertrag mit ausgeschlossener Trainingsnutzung, eine europäische Verarbeitungsregion und saubere Zugriffsrechte. Ernsthaft zu erwägen ist der Aufwand bei Gesundheits- und Sozialdaten, bei Berufsgeheimnisträgern, bei besonders schutzwürdigen Betriebsgeheimnissen oder wenn ein Kunde es vertraglich verlangt. Die Entscheidung folgt der Schutzbedürftigkeit der Daten, nicht dem technischen Reiz.

Löst Confidential Computing unsere Datenschutzfragen?

Es adressiert eine bestimmte Sorge sehr gut - dass der Betreiber der Infrastruktur die Daten während der Verarbeitung einsehen könnte. Es ersetzt aber weder Rechtsgrundlage noch Zweckbindung, Löschkonzept, Verträge zur Auftragsverarbeitung oder die Wahrung von Betroffenenrechten. Ob Ihr Vorhaben zulässig ist, bleibt eine juristische Frage, die fachkundig zu beantworten ist; die Technik verbessert die Ausgangslage, entscheidet sie aber nicht.

Was ist der Unterschied zu einem selbst betriebenen Modell?

Beim Selbstbetrieb liegen Hardware und Daten bei Ihnen; Sie tragen Beschaffung, Betrieb und die Pflege der Modelle, sind dafür von keinem fremden Betreiber abhängig. Bei Confidential Computing nutzen Sie fremde Infrastruktur, schließen den Betreiber aber technisch von der Einsicht aus. Der erste Weg passt, wenn ohnehin ein Rechenzentrum und Fachpersonal vorhanden sind; der zweite, wenn Sie aktuelle Modelle und Skalierbarkeit brauchen, ohne Daten offenzulegen.

Womit muss man beim Aufwand rechnen?

Mit einem Aufschlag auf den Rechenpreis, einer eingeschränkten Auswahl an Regionen und Modellen sowie zusätzlichem Aufbau- und Prüfaufwand - insbesondere für die Attestierung und die lückenlose Betrachtung aller Nebenwege. Belastbare Zahlen liefert nur ein Angebot für Ihren konkreten Aufbau; Preislisten veralten in diesem Feld schnell. Planen Sie die Prüfung als eigenen kleinen Arbeitsschritt ein, nicht als Nebenbei-Konfiguration.

Verwandte Begriffe