KI-Speicher für sensible Daten: Was Sie wissen müssen

7

Eine klinische Akte, die in ein Diagnosemodell eingespeist wird, bleibt eine geschützte Gesundheitsinformation. Eine Preistabelle, die in ein Prognosemodell eingespeist wird, bleibt ein Geschäftsgeheimnis. Ein Verteidigungsbericht, der in einen Retrieval-Index eingespeist wird, bleibt eine Verschlusssache. KI-Speicher für sensible Daten ist die Disziplin, diese Klassifizierungen von der Aufnahme bis zur Inferenz durchzusetzen – über jedes Embedding, jeden Checkpoint, jedes Prompt-Log und jede Backup-Kopie hinweg. Daten werden nicht weniger sensibel, nur weil sie für ein Modell nützlich waren. Dieser Leitfaden richtet sich an CISOs, Sicherheitsarchitekten und Infrastrukturverantwortliche, die KI-Workloads betreuen, die mit geschützten Gesundheitsinformationen (PHI), personenbezogenen Daten (PII), geistigem Eigentum oder Verschlusssachen arbeiten. Er behandelt die entscheidenden Kontrollen, eine tragfähige Haltung zu Verschlüsselung und Schlüsselverwaltung, Aufbewahrungsregeln, die einem Audit standhalten, und die Rolle, die Scality ADI (Autonomous Data Infrastructure) auf der Speicherebene spielt.

Warum KI das Problem sensibler Daten verändert

Sensible Daten waren schon vor KI schwierig. Aufsichtsbehörden, Vorstände, Versicherer und Sicherheitsteams erwarteten Nachweise zu Residenz, Zugriffskontrolle, Aufbewahrung und Wiederherstellung. Die Compliance-Rahmenwerke – HIPAA, DSGVO, CCPA, PIPL, CJIS, SEC 17a-4, DORA – wurden für Systeme geschrieben, in denen ein Datensatz einen klaren Eigentümer, eine definierte Zugriffsgrenze und einen vorhersehbaren Lebenszyklus hatte. KI-Workloads durchbrechen diese Annahme. Ein Modell, das mit Datensätzen unterschiedlicher Sensibilität trainiert wurde, erbt die höchste Sensibilität aller Datensätze, die es gesehen hat. Ein mandantenübergreifend aufgebauter Retrieval-Index erbt die Vereinigungsmenge ihrer Zugriffsrichtlinien. Ein Prompt-Log erfasst alles, was der Benutzer eingefügt hat – auch die Teile, die er nicht hätte einfügen sollen. Die Pipeline hat weit mehr Angriffsflächen als ein Transaktionssystem, und jede davon ist ein mögliches Leck. Das ist die betriebliche Realität. Die Klassifizierung muss von der Speicherebene getragen, bei jedem Lesezugriff ausgewertet, bei jedem Lebenszyklusübergang bewahrt und vor den Akteuren geschützt werden, die am ehesten Beweise vernichten wollen. Kontrollen auf Anwendungsebene reichen nicht. Das Fundament muss halten.

Was sensible Daten hier tatsächlich bedeuten

Vier Kategorien decken die meisten KI-Workloads in Unternehmen und Behörden ab.

Geschützte Gesundheitsinformationen (PHI). Patientenkennungen, Diagnosen, Bildgebung, Genomdaten und Behandlungsunterlagen nach HIPAA in den Vereinigten Staaten, nach dem Rahmen des Europäischen Gesundheitsdatenraums in der EU und nach vergleichbaren Regeln anderswo. KI belastet PHI-Kontrollen, weil sie Datensätze über Behandlungsfälle, Modalitäten und Einrichtungen hinweg zusammenführt.

Personenbezogene Daten (PII). Direkte und indirekte Identifikatoren nach DSGVO, CCPA, PIPL und dem wachsenden weltweiten Flickenteppich an Vorschriften. Pseudonymisierte personenbezogene Daten können in Kombination mit Embeddings, Retrieval-Kontext oder dem Gedächtnis eines Modells wieder identifizierbar werden. Die Kontrollen müssen daher mit den abgeleiteten Artefakten ebenso wandern wie mit den Rohdaten.

Geistiges Eigentum und Geschäftsgeheimnisse. Quellcode, technische Spezifikationen, Verträge, Forschungsartefakte und Preismodelle, deren Wert von einer eingeschränkten Offenlegung abhängt. Kontrollen für geistiges Eigentum sind meist schwächer als Kontrollen für personenbezogene Daten – eine Lücke, die Modelle zur Code- und Forschungsunterstützung schmerzlich sichtbar gemacht haben.

Verschlusssachen und kontrollierte Informationen. Formale Geheimhaltungsstufen der nationalen Sicherheit, Controlled Unclassified Information (CUI) und branchenspezifische Kategorien wie CJIS in der Strafverfolgung. Workloads mit Verschlusssachen bringen die strengsten Anforderungen mit sich: sicherheitsüberprüftes Personal, physische Trennung von allem unterhalb der Geheimhaltungsstufe und nachweisbare Isolation der Enklave. Eine belastbare Architektur für KI-Speicher für sensible Daten versieht jedes Objekt – Datensätze, Modellartefakte, Embeddings, Evaluierungsdatensätze, Inferenzprotokolle – beim Schreiben mit seiner Klassifizierung und behandelt dieses Tag als zentrale Eingabe für jede Zugriffsentscheidung. Isolation in mandantenfähigem Speicher ist das grundlegende Muster; Klassifizierungs-Tags erweitern es von Mandantengrenzen auf Grenzen der Datensensibilität.

Die vier Kontrollen, die einem Audit standhalten

Wenn Aufsichtsbehörden, Vorstände oder Versicherer Nachweise verlangen, fragen sie nach denselben vier Dingen. Die Speicherebene muss für jedes davon Belege liefern.

Zugriffskontrolle nach Klassifizierung, ausgewertet auf der Speicherebene

Jede Identität – Mensch, Dienst oder Modell – trägt ein Freigabe-Tag. Jedes Objekt trägt ein Klassifizierungs-Tag. Die Speicherebene gleicht beide bei jedem Lesen, jedem Schreiben und jeder administrativen Aktion miteinander ab. Ein Benutzer mit Freigabe für PII, aber nicht für PHI, kann einen PHI-Bucket nicht lesen, selbst wenn er es anfragt. Eine Pipeline, die für die Verarbeitung geistigen Eigentums freigegeben ist, kann nichts aus einem eingestuften Bestand aufnehmen, sofern kein ausdrücklicher, auditierter Herabstufungsprozess dies erlaubt. Das Prinzip ist einfach; die Disziplin liegt darin, es konsequent über S3-IAM-Richtlinien, attributbasierte Bedingungen und Zugriffsgrenzen auf Bucket-Ebene durchzusetzen. Zero-Trust-Architektur ist das übergeordnete Muster.

Verschlüsselung mit Schlüsselverwaltung unter Berücksichtigung der Verwahrung

Verschlüsselung ruhender Daten ist Grundvoraussetzung. Verschlüsselung bei der Übertragung ist Grundvoraussetzung. Das Unterscheidungsmerkmal für regulierte KI-Workloads ist die Verwahrung der Schlüssel. Schlüssel zum Schutz von PHI sollten in einem Rechtsraum liegen, der die Pflicht zur Datenresidenz erfüllt. Schlüssel zum Schutz von Verschlusssachen sollten von sicherheitsüberprüftem Personal in freigegebener Infrastruktur verwahrt werden. Schlüssel zum Schutz geistigen Eigentums sollten vom Unternehmen widerrufen werden können, ohne ein Support-Ticket bei einem Dritten aufzugeben. Schlüsselverwaltung für die Verschlüsselung behandelt die grundlegenden Praktiken; die KI-spezifische Besonderheit besteht darin, dass die Schlüsselrotation auch abgeleitete Artefakte umfassen muss – Checkpoints, Embeddings, Vektorindizes – und nicht nur die primären Datenbestände.

Aufbewahrung, die die Speicherebene durchsetzt – nicht die Anwendung

Die Aufbewahrungsregeln nach HIPAA, DSGVO, SEC 17a-4, DORA und den Rahmenwerken für Verschlusssachen sind präzise: Diese Kategorie von Datensätzen muss so viele Jahre aufbewahrt, bei diesem Auslöser gelöscht und bei dieser Art rechtlicher Anforderung vorgelegt werden. Die Speicherebene muss diese Regeln dort verankern, wo sie sich nicht unbemerkt umgehen lassen. Aufbewahrungsrichtlinien per Object Lock, gesteuerte Lebenszyklusübergänge und Bewahrung nach dem WORM-Prinzip verlagern die Durchsetzung aus der Anwendungslogik in das Fundament. Das Aufbewahrungsversprechen übersteht eine kompromittierte Anwendung, einen nachlässigen Administrator und einen böswilligen Insider – weil die Speicherebene der Durchsetzungspunkt der Richtlinien ist.

Audit-Nachweise, die den dokumentierten Vorfall überstehen

Audit-Logs sind das Ergebnis, auf das es ankommt. Jedes Lesen, Schreiben, jede Richtlinienänderung, Aufbewahrungsanpassung, Klassifizierungsänderung und administrative Aktion wird unveränderlich protokolliert – in einem separaten Mandanten mit eigenem Aufbewahrungshorizont. Object Lock auf dem Audit-Bucket bedeutet, dass das Log von keinem Akteur geändert werden kann – auch nicht von einem privilegierten Administrator unter Zwang. Wiederherstellungsverfahren umfassen ausdrücklich den Audit-Bestand und prüfen die Log-Kette über das Wiederherstellungsfenster hinweg. Audit-Trail für Speicher behandelt das grundlegende Muster; bei KI-Workloads muss die Herkunftsnachverfolgung jedes abgeleitete Artefakt umfassen, damit der Nachweis „Dieses Modell hat diese Klassifizierung gesehen“ das Modell überdauert.

Das Muster wiederholt sich bei HIPAA, DSGVO, CCPA, PIPL, SEC 17a-4, DORA und den Rahmenwerken für Verschlusssachen. Die Namen unterscheiden sich; die Substanz nicht.

Wo KI-Workloads diese Kontrollen zusätzlich belasten

Einige konkrete Stellen, an denen KI-Workloads diese Kontrollen stärker beanspruchen als ein herkömmliches System.

Trainingskorpora bündeln Sensibilität. Ein Trainingsdatensatz aus vielen Datensätzen trägt die höchste Sensibilität aller Beiträge, nicht den Durchschnitt. Der Korpus braucht die Kontrollen seines sensibelsten Bestandteils, und die Herkunftsnachverfolgung muss festhalten, welche Bestandteile eingeflossen sind.

Embeddings und Vektorindizes sind abgeleitete sensible Artefakte. Ein aus PHI erstellter Vektor ist ein PHI-Artefakt. Ein aus eingestuftem Text erstellter Retrieval-Index ist ein eingestuftes Artefakt. Speichern Sie sie in Mandanten, deren Kontrollen der Klassifizierung der Quelle entsprechen.

Checkpoints und Modellgewichte merken sich Inhalte. Ein Modell, das eingestuften Text aufgenommen hat, trägt Fragmente dieses Textes weiter – auf eine Weise, die Prompt-Extraktion, Membership Inference und das Wiedergeben von Ausgaben zutage fördern können. Der Checkpoint erbt die Klassifizierung der Quelle und gehört unter dieselbe Richtlinie für Aufbewahrung, Zugriff und Unveränderlichkeit wie die Daten, mit denen er trainiert wurde.

Logs erfassen, was Benutzer einfügen. Prompt-Logs, Evaluierungs-Traces und Inferenz-Telemetrie enthalten routinemäßig alles, was der Benutzer gesendet hat. Behandeln Sie diese Logs als sensible Artefakte: klassifizieren, verschlüsseln, nach festgelegtem Zeitplan aufbewahren und per Object Lock vor Manipulation schützen.

Backups bleiben im Geltungsbereich. Eine Backup-Kopie eines PHI-Buckets ist weiterhin PHI. Dieselben Kontrollen für Klassifizierung, Aufbewahrung und Audit müssen sich auf jede Backup-Kopie und jeden Sekundärstandort erstrecken.

Wie Scality ADI zu KI-Speicher für sensible Daten passt

Auf der Speicherebene entscheidet sich, ob die Architektur hält oder zerfällt. Tags, Richtlinien, Audit-Logs, Aufbewahrungsregeln und Wiederherstellungsnachweise liegen alle dort, und die Integrität dieser Ebene bestimmt, ob die übrigen Kontrollen überhaupt etwas zu verteidigen haben. Scality ADI ist eine Dateninfrastruktur für KI in Unternehmen, Cyber-Resilienz und souveräne Kontrolle, die autonom und nachhaltig die passenden Speichermedien im Maßstab von mehreren Petabyte bis Exabyte zuordnet. Für regulierte KI-Workloads sind vier Eigenschaften der Plattform direkt relevant.

Souveräne Kontrolle über Speicherort, Verwahrung und Prüfung. Scality ADI ist für die Daten gemacht, die die Cloud nicht zu Unternehmensbedingungen bewältigen kann – bei strengen Residenzvorgaben, bei KI-Workloads, bei denen Egress im Petabyte-Maßstab die Public Cloud unpraktikabel macht, und in Umgebungen, in denen Vorstände oder Aufsichtsbehörden nachweisbare Kontrolle verlangen. PHI bleiben im Rechtsraum. Verschlusssachen bleiben in der Enklave. Geistiges Eigentum bleibt in der Verwahrung des Unternehmens. Residenz, Prüfbarkeit und betriebliche Souveränität sind Eigenschaften der Architektur, keine Zusicherungen des Anbieters. Cloud-Datensouveränität ist der übergeordnete Rahmen.

Mandantenfähiges S3 mit richtliniengesteuertem Zugriff nach Klassifizierung. Scality ADI bietet Cloud-natives S3-Verhalten mit mandantenfähigen Datenumgebungen. Buckets, Präfixe, Objekt-Tags, IAM-Richtlinien, attributbasierte Bedingungen und Aufbewahrung per Object Lock sind zentrale Kontrollen. Beim Schreiben gesetzte Klassifizierungs-Tags wandern mit dem Objekt und werden bei jedem Lesezugriff gegen die Freigabe der anfragenden Instanz geprüft. Zweckbindung, Prüfung der Freigabe und Mandantenisolation werden auf der Speicherebene durchgesetzt – nicht im Anwendungscode, der umgeschrieben oder umgangen werden kann.

CORE5-Cyber-Resilienz als Audit-Infrastruktur. Cyber-Resilienz ist bei Scality ADI architektonisch verankert. Schutz, Wiederherstellbarkeit und Nachvollziehbarkeit sind in die Plattform integriert und nicht nachträglich angeflanscht. CORE5-Cyber-Resilienz (auf Englisch) umfasst Unveränderlichkeit, Haltbarkeit durch Erasure Coding, Schutz der Metadaten, standortübergreifenden Schutz und einen richtliniengesteuerten Lebenszyklus. Unveränderlichkeit per Object Lock schützt Klassifizierungs-Tags, Zugriffsprotokolle, Einwilligungsbelege und Löschnachweise vor nachträglicher Änderung. Der Schutz der Metadaten bewahrt die Klassifizierungs- und Zweck-Tags, auf die sich Richtlinien stützen. Standortübergreifende Haltbarkeit hält Nachweise in allen Regionen konsistent, in denen Aufsichtsbehörden sie erwarten.

Temperaturübergreifender Lebenszyklus, der die Klassifizierung bewahrt. Scality ADI umfasst vier Ebenen unter einem Betriebsmodell – GPU-Direct-Flash, heißer QLC- und NL-SSD-Speicher, warmer NL-HDD- und HDD-Speicher sowie kalte Band- und Cloud-nahe Archivierung. Sensible Datensätze wandern mit sich ändernden Zugriffsmustern durch diese Ebenen, doch Klassifizierungs-Tags, Verschlüsselung, Aufbewahrungsregeln und Herkunftsnachweise wandern mit. Ein PHI-Datensatz auf Band unterliegt derselben Zugriffsrichtlinie wie ein PHI-Datensatz auf Flash. Ein eingestuftes Embedding, das langfristig archiviert wird, behält die Kontrollen, die bei seiner Erstellung galten. Scality ADI dient zudem als unveränderliches, hoch skalierbares S3-Objektziel für die Backup-Ökosysteme – Veeam, Commvault, Rubrik, Atempo –, die die umgebende KI-Infrastruktur schützen. Backup-Kopien erben dieselben Klassifizierungs-Tags und dieselben Eigenschaften für Verschlüsselung, Aufbewahrung und Unveränderlichkeit wie die Primärdaten. Die häufige Lücke, dass Backups außerhalb des Klassifizierungsperimeters liegen, ist damit konstruktiv geschlossen.

So bietet Scality ADI souveräne Kontrolle für sensible KI-Workloads

Best Practices für die Umsetzung

Beim Schreiben taggen. Klassifizierung, Rechtsraum, Zweck, Freigabestufe und Aufbewahrung sollten von der Pipeline gesetzt werden, die die Daten schreibt, durch Richtlinien abgesichert und danach als unveränderlich behandelt werden. Eine nachträgliche Klassifizierung unter Audit-Druck ist der Weg, auf dem aus Fehlern Vorfälle werden.

Die Speicherebene zum Durchsetzungspunkt machen. Prüfungen auf Anwendungsebene sind bequem und leicht zu umgehen. Setzen Sie im Objektspeicher mit IAM, Attributbedingungen und Object Lock durch, damit für jeden Workload, jede Pipeline und jede Identität dieselbe Entscheidung gilt.

Kontrollen auf abgeleitete Artefakte ausweiten. Trainingskorpora, Modell-Checkpoints, Embeddings, Evaluierungsdatensätze, Inferenzprotokolle und Prompt-Traces erben die Klassifizierung ihrer Eingaben. Speichern Sie sie dort, wo die Kontrollen passen.

Audit-Logs als die sensibelsten Daten behandeln, die Sie besitzen. Getrennter Mandant, strengste Aufbewahrung, höchste Haltbarkeit, längster Rhythmus für Wiederherstellungstests. Wenn eine Aufsichtsbehörde Nachweise verlangt, müssen die Nachweise da sein.

Den Richtlinienzustand zusammen mit den Daten wiederherstellen. Ransomware-Vorfälle, Fehlkonfigurationen und Bedienfehler können IAM, Klassifizierungs-Tags, Aufbewahrungsregeln und Audit-Logs ebenso leicht löschen wie Daten. Wiederherstellungsverfahren sollten den gesamten Richtlinienzustand wiederherstellen und die Kontinuität über das Wiederherstellungsfenster prüfen.

Häufig gestellte Fragen

Was ist KI-Speicher für sensible Daten?

KI-Speicher für sensible Daten ist die Gesamtheit der Speicherkontrollen – Klassifizierungs-Tags, Durchsetzung von Zugriffen, Verschlüsselung mit Schlüsselverwahrung, Aufbewahrung und unveränderliches Audit –, die PHI, personenbezogene Daten, geistiges Eigentum und Verschlusssachen über den gesamten KI-Lebenszyklus belastbar schützen: von der Aufnahme über Training, Retrieval und Inferenz bis zur Langzeitaufbewahrung.

Welche Vorschriften sind am wichtigsten?

HIPAA und der Rahmen des Europäischen Gesundheitsdatenraums für PHI; DSGVO, CCPA und PIPL für personenbezogene Daten; SEC 17a-4 und DORA für Daten aus Finanzdienstleistungen; CJIS für die Strafverfolgung; sowie die einschlägigen nationalen Rahmenwerke für Verschlusssachen und kontrollierte Informationen. Die technischen Kontrollen – Zugriff nach Klassifizierung, Verschlüsselung mit verwahrungsbewusster Schlüsselverwaltung, durchgesetzte Aufbewahrung, unveränderliches Audit – sind bei allen gleich.

Warum ist Unveränderlichkeit für KI mit sensiblen Daten wichtig?

Unveränderlichkeit schützt die Audit-Nachweise, die belegen, dass die Kontrollen funktioniert haben. Zugriffsprotokolle, Klassifizierungsänderungen, Aufbewahrungsanpassungen, Einwilligungsbelege und Löschnachweise müssen Ransomware, Manipulation durch Insider und die Kompromittierung privilegierter Konten überstehen. Ohne Object Lock oder eine vergleichbare Unveränderlichkeit bearbeitet ein versierter Angreifer als Erstes die Logs.

Wie unterstützt Scality ADI KI-Speicher für sensible Daten?

Scality ADI bietet souveräne Kontrolle darüber, wo sensible Daten liegen, mandantenfähiges S3 mit richtliniengesteuertem Zugriff nach Klassifizierung, CORE5 für Cyber-Resilienz mit manipulationssicheren Audit- und Löschnachweisen sowie einen temperaturübergreifenden Lebenszyklus, der Klassifizierungs-Tags und Zugriffskontrollen von der aktiven Verarbeitung bis zur Langzeitarchivierung bewahrt.

Weiterführende Lektüre

• Isolation in mandantenfähigem Speicher – Mandantenfähigkeit als Grundlage für Speicher mit Klassifizierungsgrenzen
• Zero-Trust-Architektur – identitätsgebundene Zugriffsmuster, die sich auf die Klassifizierung ausweiten lassen
• Cloud-Datensouveränität – sensible KI-Workloads unter der Rechtshoheit des Unternehmens halten
• Audit-Trail für Speicher – belastbare Audit-Nachweise auf der Speicherebene
• CORE5-Lösung für Cyber-Resilienz (auf Englisch) – die Cyber-Resilienz-Architektur von Scality mit fünf Säulen
• HIPAA-konformer Speicher – PHI-Kontrollen auf der Speicherebene
• Schlüsselverwaltung für die Verschlüsselung – verwahrungsbewusste Schlüsselpraktiken für regulierte Workloads