Der Anonymiser: Vertraulichkeitsregeln für Agenten

Stand: Oktober 2026.

Nicht alle Tools sind gleich. Vertraulichkeitsregeln müssen das abbilden.

Agentische Automatisierung verändert, wie professionelle Software mit Kundendaten umgeht. Eine herkömmliche Anwendung öffnet, verarbeitet und schliesst. Ein Agent plant, ruft Tools auf, liest Ergebnisse, bildet neue Absichten und ruft weitere Tools auf. Jeder Tool-Aufruf bewegt Daten. Jeder wirft eine Frage auf, die die meisten Plattformen nicht ausdrücklich beantworten: Was geschieht mit den Kundendaten, die durchfliessen?

Für Anwaltskanzleien und Vermögensverwalter ist das keine abstrakte Architekturfrage. Das Berufsgeheimnis haftet an jedem dieser Datenflüsse. Die Pflicht ruht nicht, weil ein Agent statt eines Menschen arbeitet. Sie verschärft sich. Menge und Tempo agentischer Tool-Aufrufe machen die Vertraulichkeitsarchitektur wichtiger, nicht weniger wichtig.

Das Problem einer einheitlichen Anonymisierungsregel

Die meisten datenschutzbewussten KI-Systeme arbeiten binär: Entweder werden Daten anonymisiert, bevor sie einen definierten Bereich verlassen, oder nicht. Das funktionierte, solange KI-Interaktionen einfach waren. In einem agentischen Kontext trägt es nicht mehr. Ein einziger Ablauf kann einen Datensatz in ein Portfoliomanagementsystem zurückschreiben, einen Kommentar aus einer juristischen Datenbank abrufen, aus aggregierten Zahlen ein Diagramm erstellen und über eine externe API öffentliche Unternehmensdaten suchen.

Diese vier Aktionen haben unterschiedliche Vertraulichkeitsanforderungen. Eine Regel für alle ist entweder zu restriktiv, weil das Portfoliosystem den Kundenidentifikator nicht erhält, den es für den richtigen Datensatz braucht, oder zu freizügig, weil ein echter Kundenname an einen externen Suchanbieter geht, der keinen Grund hat, ihn zu kennen.

Der Anonymiser löst das, indem er jeden Tool-Aufruf einer von drei Vertrauensstufen zuordnet, bevor Daten fliessen.

Drei Stufen. Ein Prinzip.

Das Prinzip ist in jedem Fall dasselbe: Enthält dieses Tool die echten Daten legitimerweise bereits, und wenn nicht, sollte es sie je sehen?

Vertrauenswürdige Tools enthalten die echten Daten des Kunden bereits. Ein Portfoliomanagementsystem wie Assetmax enthält den Kundendatensatz. Ein über SharePoint angebundener Dokumentenspeicher enthält die tatsächliche Mandatsvereinbarung. Platzhalter an diese Systeme zu senden, würde die Verbindung unterbrechen, weil ein Platzhalter keinem Datensatz entspricht. Bei vertrauenswürdigen Tools stellt der Anonymiser auf dem Hinweg den echten Identifikator wieder her, damit das Tool korrekt arbeitet. Auf dem Rückweg anonymisiert er die Antwort erneut, wendet die bekannte Zuordnung an und sucht nach neuen Personendaten in der Antwort. Der echte Identifikator gelangt über diesen einzelnen Austausch hinaus nie in den weiteren Agentenkontext.

Abgeschirmte Tools sind Dienste Dritter, die eine Funktion erfüllen, aber keinen legitimen Bedarf haben, Kundenidentitäten zu sehen. Eine juristische Datenbank wie Onlinekommentar beantwortet eine Anfrage zu einer Gesetzesbestimmung. Ein Web-Abruf lädt ein öffentliches Dokument. Ein Rechtsprechungsdienst liefert Bundesgerichtsentscheide. Keiner dieser Dienste muss wissen, für welchen Kunden recherchiert wird. Bei abgeschirmten Tools bleiben Platzhalter auf dem Hinweg Platzhalter. Auf dem Rückweg wird die Antwort geprüft, und zufällig enthaltene Personendaten werden entfernt, bevor sie in den Agentenkontext zurückgelangen.

Neutrale Tools verarbeiten überhaupt keine Personendaten. Ein Rechner, ein Diagrammgenerator, eine Dateioperation auf einer Dokument-ID, ein Planungsschritt: Nichts davon berührt Kundenidentifikatoren. Der Anonymiser greift in keine Richtung ein.

Kurz: Vertrauenswürdige Tools sehen echte Identifikatoren nur für den Austausch, der sie braucht. Abgeschirmte Tools sehen nur Platzhalter. Neutrale Tools sehen keine Personendaten.

Warum Hin- und Rückweg zählen

Die beiden Richtungen adressieren zwei verschiedene Risiken.

Der Hinweg adressiert das Risiko, Personendaten an ein System zu senden, das sie nicht erhalten sollte. Bei abgeschirmten Tools stellt der Anonymiser sicher, dass die Anfrage keine echten Identifikatoren enthält. Der externe Dienst erhält eine gültige Anfrage mit Platzhaltern statt Namen.

Der Rückweg adressiert die Verunreinigung des Agentenkontexts. Ein vertrauenswürdiges Tool kann mehr Personendaten liefern als angefragt. Ein abgeschirmtes Tool kann ein Dokument liefern, das zufällig einen Namen enthält. Gelangen diese Daten unbearbeitet in den Arbeitskontext des Agenten, können sie sich in spätere Tool-Aufrufe, generierte Dokumente und Protokolle ausbreiten. Die erneute Anonymisierung jeder Antwort verhindert das. Jede Antwort wird so behandelt, als könnte sie neue Personendaten enthalten, und wird bereinigt, bevor der Agent weiterarbeitet.

Zusammen halten beide Richtungen die Daten in ihrem zulässigen Bereich. Vertrauenswürdige Daten bleiben im vertrauenswürdigen Kanal. Abgeschirmte Anfragen bleiben anonym. Neutrale Schritte bringen keine Personendaten in Abläufe, die sie nicht brauchen.

Ein Governance-Instrument, keine Bremse

Das Berufsgeheimnis wird oft als Grenze dessen verstanden, was Technologie tun darf. Der Anonymiser kehrt diese Sicht um. Er bremst agentische Automatisierung nicht. Er macht sie in regulierten Berufen überhaupt erst einsetzbar.

Ein Vermögensverwalter, der ein Briefing für ein Kundengespräch vorbereitet, liest aus Assetmax (vertrauenswürdig), bezieht Marktdaten von Infront (vertrauenswürdig), ergänzt eine öffentliche Unternehmensübersicht (abgeschirmt) und erstellt ein formatiertes Dokument (neutral). Der Anonymiser wendet auf jeden Schritt eine andere Regel an, ohne dass der Nutzer etwas konfiguriert. Die Klassifizierung liegt in der Tool-Definition und wird auf Plattformebene gesteuert, nicht dem Ermessen Einzelner überlassen.

Dasselbe gilt für eine Anwältin, die eine vertragsrechtliche Frage recherchiert: der Dokumentenspeicher der Kanzlei (vertrauenswürdig), Fedlex für den Gesetzestext (abgeschirmt), Onlinekommentar für die Kommentierung (abgeschirmt) und eine Dateioperation zum Speichern des Ergebnisses (neutral). Jeder Schritt erhält automatisch die passende Schutzregel.

Verträge und Zertifizierung gelten weiterhin. Allein genügt keines davon.

Der Anonymiser wirkt auf der technischen Ebene. Auftragsbearbeitungsverträge mit jedem Unterauftragsbearbeiter und Hilfspersonenverträge für das Schweizer Berufsgeheimnis wirken auf der vertraglichen Ebene. Unsere Checkliste zu Berufsgeheimnis und KI-Anbietern behandelt diese Seite im Detail.

Die organisatorische Ebene ist zertifiziert. Das Informationssicherheits-Managementsystem hinter der Plattform ist durch die SQS, Schweizerische Vereinigung für Qualitäts- und Management-Systeme, nach ISO/IEC 27001:2022 zertifiziert (Reg.-Nr. 48473, gültig bis Dezember 2028).

Ein Vertrag definiert Pflichten und schafft Rechtsbehelfe. Er stoppt keinen Datenfluss. Der Anonymiser stoppt den Fluss selbst, indem er sicherstellt, dass bestimmte Datenkategorien bestimmte Systeme nie erreichen. Die Pflicht trifft die Berufsperson, nicht den Anbieter. Eine Architektur, die Daten technisch eingrenzt, vertraglich absichert und auf einem geprüften Managementsystem beruht, erfüllt den Massstab, den die regulierte Praxis verlangt.

Ihr Urteil macht den Unterschied. Den Rest automatisieren wir. Demo anfragen.

Für technische Dokumentation, Compliance-Fragebögen oder eine Demonstration des Anonymisers in Ihrem Ablauf besuchen Sie unsere Sicherheitsseite oder kontaktieren Sie Ihr Account-Team.