Der Umfang des Schutzes personenbezogener Daten hat sich verschoben. Die klassischen Empfehlungen (starkes Passwort, Antivirus, Updates) bleiben eine Grundlage, decken jedoch nicht mehr die aktivsten Leckvektoren ab. Der massive Einsatz von generativen KI-Tools, die Zunahme von Transfers außerhalb der Europäischen Union und der Anstieg der von der ANSSI dokumentierten Exfiltrationen erfordern eine Überprüfung der Prioritätenhierarchie, um die Sicherheit Ihrer Daten und Ihre Privatsphäre online zu gewährleisten.
Datenlecks über generative KI-Prompts: ein unterschätzter Vektor
Jede Anfrage, die an einen generativen KI-Dienst gesendet wird, kann persönliche Informationen, Auszüge aus internen Dokumenten oder Identifikatoren enthalten. Wenn der Anbieter sich das Recht vorbehält, die Anfragen zur Schulung seiner Modelle wiederzuverwenden, entziehen sich diese Daten endgültig der Kontrolle des Nutzers.
Die CNIL hat 2025 spezifische Empfehlungen zu KI und der DSGVO veröffentlicht. Sie empfiehlt, Dokumente vor der Einreichung bei einem Modell zu pseudonymisieren und das Senden vertraulicher Daten zu untersagen, wenn der Dienstleistungsvertrag deren Nicht-Wiederverwendung nicht garantiert. Für eine Privatperson bedeutet dies, niemals einen Kontoauszug, einen Ausweis oder eine medizinische Akte in einen öffentlichen Chatbot einzufügen.
Wir empfehlen, die Nutzungsbedingungen des KI-Dienstes systematisch zu überprüfen. Zwei Punkte sind zu kontrollieren: die Klausel zur Wiederverwendung der Prompts für das Training und der Standort der Verarbeitungserver. Ein umfassender Leitfaden zu Sicherheit auf Wiki Dark beschreibt die Exfiltrationsmechanismen im Zusammenhang mit Konversationswerkzeugen.
Lokale Speicherung, europäische Cloud oder öffentlicher Dienst: abwägen je nach Sensibilität der Daten
Die CNIL unterscheidet nun drei Ebenen der Speicherung für KI-Tools, und diese Überlegung gilt für jede Anwendung, die personenbezogene Daten verarbeitet. Die Wahl der Speicherart beeinflusst direkt das Niveau des Datenschutzes.
- Lokale Bereitstellung (on-premise): Die Daten verlassen niemals die Infrastruktur des Nutzers oder des Unternehmens. Dies ist die schützendste Option für sensible Informationen (Gesundheit, Finanzen, HR-Daten).
- Europäische Cloud, die durch einen DSGVO-Unterauftrag geregelt ist: Der Anbieter verpflichtet sich vertraglich zur Lokalisierung, zur Dauer der Speicherung und zur Abwesenheit von Transfers außerhalb der EU. Dies ist der häufigste Kompromiss für KMUs.
- Öffentlicher Dienst (ChatGPT, Gemini, Copilot in der kostenlosen Version): Die Garantien variieren je nach Aktualisierungen der Allgemeinen Geschäftsbedingungen. Transfers außerhalb der Europäischen Union sind häufig und werden selten ausdrücklich gemeldet.
Bevor Sie personenbezogene Daten einem Online-Dienst anvertrauen, ist die relevante Frage nicht mehr “Ist dieser Dienst sicher?” sondern “Wo werden meine Daten gespeichert und wer kann vertraglich darauf zugreifen?”. Die DSGVO gibt den Nutzern das Recht, diese Informationen von jedem Verantwortlichen zu erhalten.
Anstieg der Datenexfiltration: Was das ANSSI-Panorama 2025 offenbart
Das Panorama der Cyberbedrohung 2025, veröffentlicht von der ANSSI, berichtet von einem starken Anstieg der Vorfälle im Zusammenhang mit Datenexfiltration im Vergleich zu 2024, während das Gesamtvolumen der bestätigten Vorfälle nahezu stabil bleibt. Diese Diskrepanz hat eine direkte Implikation: Angreifer zielen zunehmend auf den Datendiebstahl ab, anstatt Systeme zu blockieren.
Für eine Privatperson ändert sich dadurch die Verteidigungsstrategie. Ein Ransomware-Angriff wird sofort erkannt (verschlüsselte Dateien, Lösegeldforderung). Eine stille Exfiltration kann monatelang unbemerkt bleiben. Die gestohlenen Daten speisen dann personalisierte Phishing-Kampagnen oder Identitätsdiebstahl.
Wir beobachten, dass die effektivsten präventiven Maßnahmen gegen Exfiltrationen selten die sind, die in öffentlichen Leitfäden hervorgehoben werden:
- Aktivieren Sie die Anmeldebenachrichtigungen für jeden kritischen Dienst (Messaging, Bank, Cloud). Eine Anmeldung von einem ungewöhnlichen Gerät oder Standort sollte eine Warnung auslösen.
- Segmentieren Sie Ihre E-Mail-Adressen: eine Adresse für Finanzdienste, eine für soziale Netzwerke, eine für einmalige Anmeldungen. Im Falle eines Lecks bleibt die Angriffsfläche auf einen einzigen Bereich beschränkt.
- Überprüfen Sie regelmäßig, ob Ihre Identifikatoren in kompromittierten Datenbanken enthalten sind, über Dienste wie Have I Been Pwned.
Datenschutz im Web: über das VPN hinaus
Das VPN verschlüsselt den Datenverkehr zwischen Ihrem Gerät und einem entfernten Server. Es maskiert Ihre IP-Adresse gegenüber den besuchten Websites. Es schützt jedoch nicht vor Fingerprinting (digitaler Fingerabdruck des Browsers), Tracking durch Drittanbieter-Cookies oder der Datensammlung durch die auf Ihrem Telefon installierten Anwendungen.
Ein VPN in Kombination mit einem Browser, der nicht so konfiguriert ist, dass er Tracker blockiert, hinterlässt einen nahezu ebenso identifizierbaren Fingerabdruck wie ein Surfen ohne VPN. Der Schutz der Privatsphäre online basiert auf einer Reihe ergänzender Einstellungen: Deaktivierung von Drittanbieter-Cookies, Blockierung von Fingerprinting und Einschränkung der Anwendungsberechtigungen.
Auf der Telefonseite erinnert die CNIL daran, dass jede Anwendung, die Zugriff auf GPS, Mikrofon oder Kontakte anfordert, diesen Zugriff durch einen bestimmten Zweck rechtfertigen muss. Das Ablehnen nicht notwendiger Berechtigungen reduziert die Menge an personenbezogenen Daten, die im Hintergrund gesammelt werden, oft ohne dass der Nutzer sich dessen bewusst ist.
DSGVO-Rechte: konkrete Hebel, die noch wenig genutzt werden
Das Zugangsrecht, das Recht auf Löschung und das Recht auf Datenübertragbarkeit bestehen seit 2018. Ihre Nutzung bleibt bei Privatpersonen marginal. Die Ausübung des Zugangsrechts bei einem Dienst ermöglicht es, genau zu sehen, welche Informationen gespeichert sind und mit wem sie geteilt wurden.
Das Widerspruchsrecht gegen das Profiling, das durch Artikel 21 der DSGVO vorgesehen ist, erlaubt es jedem Nutzer, zu verweigern, dass seine Daten zur Erstellung eines Werbe- oder Verhaltensprofils verwendet werden. Dieses Recht wird durch eine einfache schriftliche Anfrage an den Verantwortlichen ausgeübt, der einen Monat Zeit hat, um zu antworten. Im Falle einer Nichtantwort kann die CNIL direkt online kontaktiert werden.
Die Datensicherheit und der Schutz der Privatsphäre online reduzieren sich nicht mehr auf eine grundlegende digitale Hygiene. Der regulatorische Rahmen bietet präzise rechtliche Werkzeuge, und die aktuellen Bedrohungen erfordern, dass sie mit informierten technischen Entscheidungen zu Hosting, Verschlüsselung und Segmentierung digitaler Identitäten kombiniert werden.
