Lokal ist ein Ort. Keine Berechtigung.

Was die Frage nach dem Standort offenlässt

Bei einem KI-System wirkt derselbe Übergang unspektakulärer, weil niemand sichtbar zum Telefon greift. Eine Frage wird in einer internen Oberfläche gestellt, das Modell rechnet auf einem Server des Unternehmens, die Antwort erscheint im selben Fenster. Zwischen Eingabe und Ausgabe können dennoch weitere Dienste beteiligt sein: eine Suche, ein Werkzeug, die Protokollierung oder im Störungsfall eine andere Modellinstanz. Nicht jede Architektur nutzt solche Wege, und nicht jeder externe Schritt ist unerlaubt. Das gleichbleibende Fenster sagt darüber ebenso wenig aus wie die geschlossene Tür über den Telefonanruf.

Die Frage „Läuft das Modell lokal?“ ist deshalb weder naiv noch überflüssig. Sie kann klären, wer die Rechenumgebung kontrolliert, ob eine Anfrage einen externen Modellanbieter erreicht und von welchen Diensten außerhalb der eigenen Umgebung der Betrieb abhängt. Zu klein wird sie erst, wenn ihre Antwort bereits als vollständiger Schutzbeweis gilt, obwohl noch nicht geklärt ist, welche weiteren Systeme dieselbe Information sehen, speichern, mit anderem Wissen verbinden oder für einen nächsten Schritt verwenden dürfen.

Der Modellstandort beschreibt einen Teil des Systems. Er erteilt keiner Information das Recht, einen bestimmten Weg zu nehmen.

Für ein Unternehmensgedächtnis ist diese Unterscheidung besonders wichtig, weil es Wissen nicht nur für einen einzelnen Aufruf bereithält. Es bewahrt Unterlagen aus unterschiedlichen Bereichen über lange Zeit, verbindet eine frühere Notiz mit einer neuen Frage und macht denselben Bestand für Menschen, Modelle und Werkzeuge unter wechselnden Zwecken auffindbar. Gerade darin liegt sein Nutzen – und die Grenze: Eine Erinnerung kann später weiterhelfen, ohne dass damit auch ihr neuer Empfänger, ihre Verbindung mit anderem Wissen oder die daraus entstehende Handlung freigegeben wäre.

Die Schutzentscheidung beginnt daher nicht bei der Wahl zwischen „lokal“ und „Cloud“, sondern bei einer konkreteren Frage: Welche Information darf für welchen Zweck welchen Empfänger erreichen – im normalen Betrieb ebenso wie dann, wenn der vorgesehene Weg ausfällt? Dafür müssen wir zunächst ansehen, was ein Unternehmensgedächtnis mit Wissen tut, sobald es dieses aus seinem ursprünglichen Zusammenhang in eine neue Frage trägt.

Ein Gedächtnis bewegt Wissen aus seinem alten Zusammenhang

Fortführbarkeit verlangt, dass spätere Menschen oder Modelle Herkunft, Zusammenhang und Grenzen einer Information nachvollziehen können. Genau darin lag die Bewährungsprobe von „Ein Export ist noch kein Gedächtnis“. Zieht ein Gedächtnis das erhaltene Wissen für eine neue Frage heran, tritt jedoch eine weitere Grenze hervor: Der Zusammenhang kann erklären, was die Information bedeutet und woher sie stammt; ihre neue Verwendung autorisiert er nicht.

Angenommen, eine Vertragsklausel wurde innerhalb eines bestimmten Projekts abgelegt und war dort nur einem begrenzten Kreis zugänglich. Monate später erkennt das Unternehmensgedächtnis, dass dieselbe Klausel eine aktuelle Frage aus einem anderen Bereich beantworten könnte. Dafür holt es die relevante Passage aus ihrem früheren Projektkontext in die neue Anfrage und verbindet sie möglicherweise mit weiteren Quellen. Die Datei kann dabei unverändert an ihrem Platz bleiben; ihre Information erhält dennoch einen neuen Zweck, einen neuen Zusammenhang und möglicherweise einen neuen Empfänger.

In einem KI-gestützten Gedächtnis geschieht diese Bewegung über mehrere Übergänge: Ein Dokument wird eingelesen, eine Passage gesucht, an ein Modell übergeben, gegebenenfalls an ein Werkzeug weitergereicht und der Vorgang protokolliert. Nicht jedes System vollzieht alle Schritte, und jeder kann innerhalb derselben kontrollierten Umgebung bleiben. Dennoch kann sich an jedem Übergang ändern, wer welchen Ausschnitt sieht, womit er verbunden wird und ob daraus nur eine Antwort oder bereits eine Handlung entsteht.

Wenn du auf einer Architekturzeichnung nur das lokale Modell deutlich markiert siehst, kann die Darstellung technisch richtig und für die Schutzentscheidung trotzdem unvollständig sein. Sie beantwortet, wo ein Teil der Verarbeitung stattfindet, aber nicht, ob die gefundene Erinnerung in diesem neuen Zusammenhang gelesen, verbunden oder weitergegeben werden darf. Auch eine vollständigere Karte wäre noch keine Freigabe: Sie zeigt mögliche Wege, ohne zu entscheiden, welcher davon für diese Information, diesen Zweck und diesen Empfänger erlaubt ist.

Ein Weg ist mehr als eine Linie im Diagramm

Eine Linie zwischen zwei Kästen zeigt zunächst nur, dass eine Verbindung möglich ist. Sie sagt weder, welche Information darüber fließt, noch für welchen Zweck, unter wessen Verantwortung und bis zu welchem Empfänger dieser Übergang erlaubt wurde. Für die Schutzentscheidung reicht deshalb keine möglichst volle Systemkarte; sie braucht einen Weg, dessen Bedeutung an der konkreten Information hängt.

Der Kriterienkatalog des BSI verlangt für die Integration von KI-Anwendungen: „Der Weg einer Information, die in die Anwendung eingegeben werden soll, wird in seiner Gesamtheit nachvollzogen.“ Der Katalog richtet sich an die Bundesverwaltung und ist kein allgemeiner Unternehmensstandard; er belegt hier einen engeren Punkt: Wer nur auf das Modell schaut, betrachtet die Anwendung zu klein.

NIST setzt mit seiner Zero Trust Architecture an einer verwandten Stelle an. Assets oder Nutzerkonten erhalten demnach keine implizite Vertrauensstellung „based solely on their physical or network location“; geschützt werden konkrete Ressourcen durch einzelne Authentisierungs- und Autorisierungsentscheidungen. NIST spricht dabei nicht über Unternehmensgedächtnisse und erteilt keine Empfehlung für lokale oder externe Sprachmodelle. Die Übertragung ist unsere: Auch ein Modell im eigenen Haus darf Wissen nicht allein deshalb lesen oder weiterreichen, weil sein Standort als vertrauenswürdig gilt.

BSI und NIST beschreiben damit zwei Seiten derselben Grenze: Der Weg muss als Ganzes sichtbar sein, und der Ort ersetzt keine Berechtigung. Doch selbst ein sichtbarer Weg ist noch nicht erlaubt, nur weil er technisch existiert. Dafür muss das Gedächtnis unterscheiden können, welche Erinnerung unter welchen Bedingungen welchen Empfänger erreichen darf – und warum ein Etikett wie „vertraulich“ diese Entscheidung zwar auslöst, aber noch nicht trifft.

Ein Geheimnis braucht mehr als ein Etikett

Ein Informationsweg lässt sich erst dann beurteilen, wenn klar ist, was er trägt. Dafür genügt als Ausgangspunkt oft ein überschaubares internes Denkmodell mit vier Klassen: öffentlich, intern, vertraulich und besonders geschützt. Diese Begriffe bilden weder eine amtliche Einstufung noch ein gesetzlich vorgeschriebenes Schema; auch „besonders geschützt“ ist hier kein formaler Geheimhaltungsgrad, sondern lediglich der Name für jene kleine Gruppe von Informationen, deren Empfänger- und Kontrollraum besonders eng bleiben soll.

Eine veröffentlichte Produktbeschreibung kann beispielsweise über einen dafür freigegebenen externen Dienst verarbeitet werden, sofern Zweck und Dienst tatsächlich genehmigt sind. Dieselbe Beschreibung kann vor ihrer Veröffentlichung jedoch vertraulich sein, weil Preis, Positionierung oder ein noch nicht angekündigtes Angebot erkennbar werden. Bei Personal-, Vertrags- oder Nachfolgeinformationen verschiebt häufige Nutzung die Grenze dagegen nicht von selbst: Dass ein Gedächtnis eine Information immer wieder findet, macht ihren Kreis nicht größer. Ihr Status folgt ihrem Inhalt und ihrem gegenwärtigen Zusammenhang, nicht der Zahl ihrer Abrufe.

Deshalb wählt auch die Klasse allein noch kein Modell aus. Sie löst vielmehr eine Entscheidung darüber aus, für welchen Zweck eine handelnde Identität welchen Ausschnitt benötigt, welcher Mensch oder Dienst ihn empfangen darf und was anschließend protokolliert, aufbewahrt oder weitergegeben werden kann. Eine knappe öffentliche Auskunft und eine Zusammenfassung vertraulicher Vertragsdetails können über dieselbe Oberfläche angefragt werden; daraus folgt nicht, dass sie denselben Weg nehmen dürfen.

Diese Unterscheidung hat auch eine rechtliche Tragweite, ohne dass sich daraus eine bestimmte KI-Architektur ableiten ließe. § 2 des Geschäftsgeheimnisgesetzes zählt zu den Voraussetzungen eines Geschäftsgeheimnisses, dass die Information Gegenstand „von den Umständen nach angemessenen Geheimhaltungsmaßnahmen“ ist. Das Gesetz schreibt damit weder unser Vier-Klassen-Modell noch lokale KI vor. Es macht nur sichtbar, warum ein internes Etikett, dem keine angemessene und nachweisbare Schutzentscheidung folgt, als Schutzversprechen zu wenig ist.

Der Einwand dagegen ist berechtigt: Klassifikation kann zusätzliche Bürokratie erzeugen, falsche Sicherheit begünstigen und im Alltag so schwer werden, dass Menschen sie umgehen. Ein falsch gesetztes Etikett schützt nichts; ein richtiges Etikett ohne technische und organisatorische Folge kaum mehr. Seine Funktion besteht deshalb nicht darin, eine Datei feierlich „vertraulich“ zu nennen, sondern eine überprüfbare Entscheidung über Zweck und Weg auszulösen. Wo mögliche Wirkung und Risiko gering bleiben, darf diese Entscheidung leicht sein. Wo ein Geheimnis, eine Person oder eine schwer umkehrbare Handlung betroffen ist, muss der erlaubte Raum enger werden.

Hier lohnt Widerspruch. Der Ort kann sehr wohl schützen.

Lokal kann eine echte Wand sein

Wenn Modell, Dokumente, Suchindex, Werkzeuge, Protokolle und Sicherungen innerhalb einer kontrollierten Umgebung bleiben und aus dieser Umgebung kein externer Netzwerkverkehr möglich ist, fehlt dem vorgesehenen KI-Prozess der Weg zu einem fremden Empfänger. Die Organisation verspricht dann nicht bloß, eine Information werde den eigenen Kontrollraum wahrscheinlich nicht verlassen; sie hat genau diesen Übergang technisch entfernt. Administratoren, eingeschleuste Software, Wechseldatenträger oder physischer Zugriff verschwinden dadurch nicht als Risiken. Aber innerhalb des betrachteten Informationswegs ist die Grenze real.

Für besonders geschützte Informationen kann das die Entscheidung bestimmen. Wenn eine Nachfolgeplanung, eine laufende Vertragsverhandlung oder ein noch nicht offengelegter Personalfall keinen extern betriebenen Dienst erreichen darf, ist ein isolierter lokaler Betrieb nicht einfach eine von zwei gleichwertigen Vorlieben. Er kann der einzige vertretbare Weg sein – mit weniger Modellleistung, höherem Betriebsaufwand und dem bewussten Verzicht auf manche bequeme Verbindung. Wer diese Kosten aus der Betrachtung streicht, lobt keine sichere Architektur, sondern eine Wunschvorstellung.

Nur beweist das Wort „lokal“ diese Architektur noch immer nicht. Das Modell kann im eigenen Serverraum rechnen, während ein externer Dienst den Suchindex erzeugt, Telemetrie empfängt, Sicherungen verwahrt oder eine Fernwartung ermöglicht. Jeder dieser Übergänge kann sachlich begründet und ausdrücklich freigegeben sein. Eine Wand mit Türen ist schließlich nicht nutzlos. Man sollte nur wissen, wo sie sind, wer einen Schlüssel besitzt und ob sie sich unbemerkt öffnen lassen.

Auch innerhalb der Wand entsteht Schutz nicht von selbst. Ein ungepatchter Server mit weit gefassten Dateirechten, offenen Schnittstellen und einer Modellquelle, deren Herkunft niemand geprüft hat, kann mehr Menschen und Systemen Zugriff geben als ein eng konfigurierter externer Dienst mit klarer Aufbewahrung, begrenzten Berechtigungen und überprüften Betriebsregeln. Das ist kein höfliches „Beides hat Vor- und Nachteile“. Die beiden Fälle sind nicht gleich. Entscheidend ist, welcher Informationsweg für die betreffende Wissensklasse tatsächlich enger begrenzt und besser durchgesetzt werden kann.

Im ruhigen Normalbetrieb muss diese Grenze wenig beweisen. Der vorgesehene Weg funktioniert, keine Ausnahme fordert sie heraus. Erst wenn das lokale Modell nicht weiterweiß, überlastet ist oder ausfällt, zeigt das System, ob „lokal“ eine durchgesetzte Regel war – oder bloß die bevorzugte Strecke, solange sie bequem blieb.

Der Fallback ist der Moment der Wahrheit

Ein lokales Modell scheitert selten so eindeutig, dass nur noch ein rotes Licht bliebe. Es kann eine Frage verstehen und trotzdem den entscheidenden Zusammenhang verfehlen, an einer Spezialfrage stehen bleiben oder unter Last so langsam werden, dass der vorgesehene Weg im Arbeitsalltag kaum noch taugt. Gerade diese Zwischenlagen machen einen Fallback attraktiv: Ein stärkeres entferntes Modell übernimmt, der Nutzer erhält seine Antwort, der Betrieb geht weiter.

In diesem Augenblick trifft die Architektur eine Schutzentscheidung, auch wenn sie nach außen nur wie Bequemlichkeit aussieht. Eine begrenzte Antwort hält den bisherigen Weg geschlossen; eine menschliche Freigabe unterbricht den Automatismus; ein vorab genehmigter, auf das Nötige reduzierter Ausschnitt kann den Weg kontrolliert verlängern. Werden dagegen Anfrage, Erinnerung und Kontext automatisch an eine unsichtbare Reserve weitergereicht, liegen für den Nutzer vielleicht nur wenige Sekunden zwischen denselben Antwortfenstern – für das Geheimnis können es andere Empfänger, Verträge, Rechtsräume und Aufbewahrungsregeln sein.

Der Wechsel zu einer anderen Instanz ist nicht automatisch eine neue Offenlegung. Bleibt die Verarbeitung im selben genehmigten Betreiber-, Empfänger- und Kontrollraum, oder erhält die andere Instanz nur einen freigegebenen, hinreichend minimierten und nicht wieder zuordenbaren Ausschnitt, kann sie Teil desselben erlaubten Weges sein. Ändert sich dagegen, wer den vertraulichen Zusammenhang sehen, speichern oder mit weiteren Daten verbinden kann, entsteht eine neue Schutzfrage, die der ursprüngliche lokale Modellstandort nicht beantwortet.

Hartmann und seine Mitautoren untersuchen den technischen Mechanismus einer solchen Modellkaskade: Reicht ein lokales Modell nicht aus, wird ein leistungsfähigeres entferntes Modell einbezogen. In ihrem kontrollierten Forschungsaufbau können vorgeschaltete Verfahren das Risiko eines Abflusses privater Informationen verringern und zugleich die Aufgabenleistung gegenüber dem rein lokalen Ausgangssystem steigern. Das belegt technische Zwischenformen zwischen vollständiger Weitergabe und vollständigem Verzicht – aber weder eine allgemeine Freigabe für Unternehmensgeheimnisse noch Anonymität oder eine fertige Betriebsarchitektur für den DACH-Mittelstand.

Auch ein minimierter Ausschnitt kann seinen Ursprung verraten, wenn Namen fehlen, aber Projekt, Zeitpunkt, Vertragswert und ungewöhnliche Formulierung zusammen eindeutig bleiben. Umgekehrt kann eine freigegebene Fachfrage ohne vertraulichen Kontext unproblematisch sein, obwohl sie ein externes Modell erreicht. Entscheidend ist nicht die Zahl der Wörter, sondern ob der verbleibende Zusammenhang für diesen Zweck und Empfänger freigegeben wurde und sich seine Wiederzuordnung hinreichend begrenzen lässt.

Für besonders geschütztes Wissen kann daraus eine unbequeme Regel folgen: Ist der erlaubte Weg nicht verfügbar oder lässt sich der notwendige Ausschnitt nicht sicher bestimmen, stoppt das System oder verlangt eine ausdrückliche Freigabe, statt still die bequemere Strecke zu wählen. Dieser kontrollierte Abbruch kann eine dringende Antwort verzögern, einen Prozess anhalten und Menschen ausgerechnet unter Druck zusätzlich belasten. Wer diese Kosten nicht tragen will, muss den erlaubten Ausweichweg vorher weiter fassen; wer für bestimmte Wissensklassen keinen weiteren Weg freigeben darf, muss akzeptieren, dass Verfügbarkeit dort hinter der Grenze zurücksteht.

Diese Entscheidung gehört nicht in eine versteckte Standardeinstellung. Geschäftsführung, Fachverantwortung und Technik müssen gemeinsam festlegen, bei welchen Informationen der Betrieb Vorrang hat, wann ein Mensch entscheiden darf und wo kein Ausfall eine automatische Weitergabe rechtfertigt. Der Test dafür ist hart: Bleibt dieselbe vertrauliche Anfrage im Normalbetrieb, bei Überlastung und beim Ausfall innerhalb des genehmigten Weges – oder wechselt das System unter Druck unbemerkt den Empfänger und damit die Kontrolle?

Erst dann wird sichtbar, was geschützt wurde: nicht der Rechner allein, sondern eine Folge von Entscheidungen, die Wissen auch begrenzt, wenn der vorgesehene Rechner versagt.

Der Ort schützt erst, wenn der Weg begrenzt ist

Modellstandort, Systemkarte und Wissensklasse beantworten verschiedene Fragen: Der Standort zeigt, wer eine Rechenumgebung kontrolliert; die Karte macht Übergänge sichtbar; die Klasse sagt, wie viel Vorsicht eine Information verlangt. Ob diese Erinnerung in einem neuen Zusammenhang gelesen, verbunden oder weitergegeben werden darf, entscheidet erst ihre Beziehung zu gegenwärtigem Zweck, handelnder Identität, Empfänger und nächstem Schritt.

Diese Freigabe kann nicht von einer vertrauenswürdigen Umgebung geerbt und ebenso wenig ein für alle Mal vergeben werden, weil ein Unternehmensgedächtnis dasselbe Wissen später für andere Fragen verwendet. Sie muss noch tragen, wenn das System eine Passage sucht, ein Werkzeug einbezieht, protokolliert oder auf einen Ausweichweg angewiesen ist – gerade dann.

Ein belastbares System erkennst du deshalb nicht daran, dass es nie scheitert. Du erkennst es daran, dass sein Scheitern die zuvor gesetzte Grenze nicht still neu verhandelt: Vielleicht wird die Antwort schlechter, der Prozess langsamer oder eine menschliche Entscheidung notwendig. Das ist ein wirklicher Preis. Vertrauliches Wissen wird deshalb trotzdem nicht von selbst öffentlicher.

Der Ort beschreibt die Infrastruktur; erst die Berechtigung beschreibt die Grenze des Wissens. Lokalität kann schützen. Sie ist nur keine Berechtigung.

Die Stimme am Telefon

Im Besprechungsraum liegt die Mappe noch immer auf demselben Tisch. Die Tür war die ganze Zeit geschlossen, keine Seite fehlt, und von außen betrachtet hat der Raum gehalten, was seine Wände versprachen.

Ob auch das Geheimnis geschützt blieb, entscheidet sich nicht an der Tür, sondern daran, wer am anderen Ende zuhörte und was dieser Empfänger für diesen Zweck erfahren durfte. War der Spezialist geprüft und der übermittelte Zusammenhang freigegeben, gehörte der Anruf zum erlaubten Weg; fehlte diese Freigabe, half es wenig, dass der Ordner keinen Zentimeter bewegt wurde.

Wenn dein System beim nächsten Ausfall einen anderen Weg nimmt: Wer befindet sich dann am anderen Ende der Leitung – und durfte diese Information dort ankommen?

Lösung

Das Digitale Vermächtnis

Wissen wird unsterblich.

Jahrzehnte Erfahrung verlassen das Haus mit den Menschen, die sie tragen. Hier bleiben sie abrufbar.

Vermächtnis sichern