Das Geheimnis bleibt auf dem Gerät: lokale Anonymisierung vor KI

Vermögensverwalter, Anwältinnen, Trustees und Verwaltungen nutzen ChatGPT und Claude bereits, oft mit Kundendaten. Die rechtliche Frage lautet nicht, ob Mitarbeitende generative KI verwenden sollen, sondern wie sie das tun können, ohne preiszugeben, was sie geheim halten müssen. Unsere These: Werden Identifikatoren auf dem eigenen Gerät entfernt und verlässt der Schlüssel zur Wiederherstellung dieses Gerät nie, erhält der KI-Anbieter weder Personendaten noch ein geschütztes Geheimnis. Das Schweizer und das europäische Recht stützen dieses Ergebnis, innerhalb von Grenzen, die dieser Beitrag aufzeigt.

Schatten-KI macht aus einem Werkzeug ein Geheimnisproblem

In der globalen Studie der University of Melbourne und von KPMG aus dem Jahr 2025 mit über 48'000 Befragten in 47 Ländern gab fast die Hälfte der Mitarbeitenden an, KI entgegen internen Vorgaben zu nutzen, etwa indem sie sensible Informationen in frei zugängliche Tools hochladen. Der EDÖB und das BACS widmeten ihre gemeinsame Kampagne zum Cyber Security Month im Oktober 2026 genau diesem «Oversharing» am Arbeitsplatz.

Die Folgen unterscheiden sich je nach Beruf. Vermögensverwalter und Trustees unterstehen dem Berufsgeheimnis nach Art. 69 FINIG; die vorsätzliche Verletzung wird mit Freiheitsstrafe bis zu drei Jahren, die fahrlässige mit Busse bis zu 250'000 Franken bestraft. Für Anwältinnen und Anwälte gelten Art. 321 StGB und Art. 13 BGFA. Verwaltungen sind an das Amtsgeheimnis nach Art. 320 StGB gebunden. Weitere Berufsleute, die bei ihrer Tätigkeit geheime Personendaten erfahren, etwa Treuhänder, erfasst Art. 62 DSG. Ein Verbot beendet die Nutzung selten; es verlagert sie auf private Geräte.

Der Desktop Anonymizer behält den Schlüssel auf dem Gerät

Der Desktop Anonymizer läuft auf dem Computer der Nutzer und verarbeitet PDF-Dateien einschliesslich gescannter Seiten, Word-Dokumente und Text, der in seinem Chat eingegeben wird. Texterkennung und Erkennung der Merkmale laufen lokal. Ein Sprachmodell auf dem Laptop erkennt Namen, Firmen, Orte und Adressen; strukturierte Nummern wie IBAN und AHV-Nummern werden zusätzlich anhand ihrer Prüfziffer verifiziert. Die Merkmale werden durch einheitliche Platzhalter wie «Kunde 1» oder «Konto 1» ersetzt. Innerhalb eines Projekts erhält derselbe Name immer denselben Platzhalter, über Dokumente und Chats hinweg. So kann das Modell weiterhin mit Beziehungen, Daten und Beträgen arbeiten.

Die Zuordnung zwischen Platzhaltern und echten Werten, also der eigentliche Schlüssel, verlässt den Computer nie und wird pro Projekt getrennt geführt. Geschützt ist sie durch die Festplattenverschlüsselung des Betriebssystems (FileVault auf macOS, BitLocker auf Windows), die deshalb aktiviert sein sollte. Aus dem Platzhaltertext allein lässt sich nichts zurückgewinnen: Die ursprünglichen Werte können nur mit dieser lokal gehaltenen Zuordnung wiederhergestellt werden. Die Anonymisierung funktioniert nach dem einmaligen Herunterladen der Modelle vollständig offline. Im Chat wird nur pseudonymisierter Text an das KI-Modell gesendet; die echten Werte werden auf dem Computer für die Anzeige wieder eingesetzt. Bei Dokumenten speichert der Desktop Anonymizer eine geschwärzte Kopie neben dem Original, das unverändert bleibt; entfernte Werte sind markiert und lassen sich vor dem Export prüfen und anpassen. Den Ablauf Schritt für Schritt beschreiben wir im Beitrag Dokumente anonymisieren vor ChatGPT und Claude.

Im Zweifel wird mehr verborgen als zu wenig

In unseren Tests findet der Desktop Anonymizer 99 von 100 Personenangaben wie Namen, Orte und Adressen. Rechtlich ist dieser Recall der entscheidende Wert: Ein übersehenes Merkmal ist eine Bekanntgabe, eine unnötige Ersetzung kostet nur Lesbarkeit. Die Erkennung ist deshalb so eingestellt, dass sie eher zu viel als zu wenig verbirgt. Jede geschwärzte Datei wird vor der Freigabe erneut gelesen; ist danach noch eine Personenangabe lesbar, wird die Datei verweigert und nicht ausgegeben. Dasselbe gilt für Dateien, die sich nicht sicher verarbeiten lassen, etwa zu unscharfe Scans. Sie werden nie halb geschwärzt herausgegeben.

In einem Test mit 95 echten Kundendokumenten (65 PDF, 30 Word) wurden alle Word-Dateien korrekt geschwärzt; die Auswertung der PDF-Dateien läuft noch. Da keine Erkennung 100 % erreicht, bleibt die menschliche Prüfung fester Teil des Ablaufs und keine Option.

Anonymisierungsprofile bilden ab, was jeder Beruf schützen muss

Wer zu wenig entfernt, verletzt das Geheimnis; wer zu viel entfernt, erhält ein unbrauchbares Ergebnis. Eine Anwältin braucht die Fristen, ein Vermögensverwalter die ISIN. Der Desktop Anonymizer arbeitet deshalb mit Anonymisierungsprofilen, die festlegen, welche Kategorien ersetzt und welche beibehalten werden. Unternehmen nutzen Standardprofile oder legen eigene Profile pro Anwendungsfall an.

• Recht. Ersetzt Parteien, Gegenanwälte, Zeugen, Adressen und Verfahrensnummern. Behält Gesetzesverweise, Rechtsprechung und Verfahrensdaten. Typischer Einsatz: ein Dossier zusammenfassen oder eine Rechtsschrift prüfen, ohne offenzulegen, wer beteiligt ist.
• Trust und Treuhand. Ersetzt Settlor, Begünstigte, Protektor, Firmennamen, UID- und Steuernummern. Behält Rechtsordnungen, Strukturtypen und Steuersätze. Typischer Einsatz: ein Strukturierungsmemo oder Steuerkorrespondenz.
• Verwaltung. Ersetzt Namen von Bürgerinnen und Bürgern, AHV-Nummern, Adressen, Geburtsdaten und Dossiernummern. Behält Rechtsgrundlagen und Verfahrensschritte. Typischer Einsatz: eine Verfügung entwerfen oder eine Anfrage beantworten.
• Vermögensverwaltung. Ersetzt Kundennamen, IBAN, Depot- und Portfolionummern sowie Adressen. Behält ISIN, Anlageklassen, Allokation und Performance. Typischer Einsatz: ein Quartalskommentar oder ein Dossier für das Kundengespräch, bei dem das Modell das Portfolio sieht, aber nicht weiss, wem es gehört.

Profile machen zudem aus einem Einzelentscheid eine dokumentierte Regel des Hauses, die sich gegenüber Kunden, Prüfgesellschaft und Aufsicht erklären lässt.

Das Schweizer Datenschutzrecht folgt einem relativen Ansatz

Personendaten sind Angaben, die sich auf eine bestimmte oder bestimmbare Person beziehen (Art. 5 lit. a DSG). Die Bestimmbarkeit wird relativ beurteilt: Erfordert die Identifizierung einen Aufwand, den nach allgemeiner Lebenserfahrung niemand auf sich nimmt, liegen keine Personendaten vor. Das Handelsgericht Zürich hielt 2021 fest (HG190107), dass pseudonymisierte Daten für einen Empfänger ohne Schlüssel oder andere Zuordnungsmöglichkeit keine Personendaten sind. Ihre Übermittlung ist dann keine Bekanntgabe ins Ausland im Sinne von Art. 16 DSG.

Unbestritten ist das nicht. Der Leitfaden des EDÖB zu den technischen und organisatorischen Massnahmen behandelt pseudonymisierte Daten weiterhin als Personendaten, und im Entscheid Logistep (BGE 136 II 508) stellte das Bundesgericht darauf ab, was der Empfänger mit den Daten tun kann. Das Unternehmen selbst bleibt Verantwortlicher; seine eigene Bearbeitung muss dem Datenschutz durch Technik (Art. 7 DSG) und der Datensicherheit (Art. 8 DSG) genügen. Ein Schlüssel, der das Gerät nie verlässt, setzt beides unmittelbar um.

Der EuGH stellt auf die Sicht des Empfängers ab

Für Kunden im EWR gilt die DSGVO parallel. Anonyme Daten fallen nicht in ihren Anwendungsbereich (Erwägungsgrund 26), und Pseudonymisierung setzt voraus, dass die zusätzlichen Informationen gesondert aufbewahrt werden (Art. 4 Nr. 5 DSGVO). Im Urteil EDSB gegen SRB (C-413/23 P, 4. September 2025) entschied der EuGH, dass pseudonymisierte Daten für einen Empfänger keine personenbezogenen Daten sind, wenn er über keine Mittel verfügt, die vernünftigerweise zur Re-Identifizierung eingesetzt würden. Die Pflichten des Verantwortlichen selbst bleiben unverändert.

Ohne Kenntnisnahme keine Offenbarung

Die Geheimnisdelikte setzen eine Offenbarung voraus: Ein Dritter muss vom Geheimnis Kenntnis nehmen können. Nach der Schweizer Lehre wird nicht offenbart, was für den Empfänger anonymisiert oder verschlüsselt ist. Darin liegt der Unterschied zu den Alternativen. Die Wegleitung des SAV zum Umgang mit künstlicher Intelligenz vom 14. Juni 2024 lässt vertrauliche Daten in KI-Tools nur on-premises, unter den Regeln für Hilfspersonen oder mit informierter Einwilligung der Klientschaft zu. Die lokale Anonymisierung entfernt das Geheimnis, bevor sich diese Frage stellt.

Die FINMA-Aufsichtsmitteilung 08/2024 beschreibt Erwartungen an die Governance von KI: ein Inventar, klare Verantwortlichkeiten und eine unabhängige Überprüfung. Sie ist nicht verbindlich, und Vermögensverwalter werden von einer Aufsichtsorganisation beaufsichtigt, nicht direkt von der FINMA. Es ist aber davon auszugehen, dass sie als Massstab herangezogen wird. Werden Dritte beigezogen, gelten Art. 14 FINIG und Art. 15 bis 17 FINIV. Anonymisierungsprofile und der Prüfschritt fügen sich als dokumentierte Kontrollen in diesen Rahmen ein.

Auch der Kontext kann identifizieren

Platzhalter neutralisieren den Kontext nicht. Eine einzigartige Transaktion, ein seltener Beruf oder ein öffentlich bekannter Streit kann ohne Namen auf eine Person verweisen. Die Anonymisierung rechtfertigt zudem keine unbegrenzte Bearbeitung im eigenen Haus. Das Werkzeug verringert, was das Gerät verlässt; die Verantwortung bleibt beim Unternehmen und bei der Berufsperson.

Der Desktop Anonymizer von Unplex

Unplex entwickelt den Desktop Anonymizer für Vermögensverwalter, Kanzleien, Treuhänder und Verwaltungen, die Claude, ChatGPT oder andere Modelle mit sensiblen Dokumenten nutzen wollen. Erkennung und Zuordnung laufen auf dem Gerät der Nutzer, unter macOS und Windows. Das Informationssicherheits-Managementsystem hinter Unplex ist durch die SQS nach ISO/IEC 27001:2022 zertifiziert.

Den Schlüssel behalten, das Modell nutzen

Lokale Anonymisierung mit einem Schlüssel, der nur auf dem Gerät liegt, ist aus unserer Sicht derzeit der am besten vertretbare Weg, wie regulierte Berufe leistungsfähige KI-Modelle nutzen können. In der Praxis heisst das: die Anonymisierung vor jeder KI-Nutzung verbindlich vorschreiben, pro Anwendungsfall ein Profil festlegen, die Festplattenverschlüsselung aktivieren, die Beurteilung der Re-Identifizierbarkeit dokumentieren und den Prüfschritt beibehalten.

Demo anfragen

Stand: November 2026. Allgemeine Information, keine Rechtsberatung.