Speicherverschlüsselung
Daten und Modell liegen im Arbeitsspeicher nur verschlüsselt vor; die Entschlüsselung erfolgt ausschließlich im Prozessor.
Die Lücke zwischen Speicherung und Übertragung
Klassische Sicherheitsarchitekturen schützen Daten „at rest" (Festplatte, Datenbank) und „in transit" (Netzwerk). Der dritte Zustand — „in use", also während der Berechnung — blieb lange ungeschützt. Wer die Infrastruktur kontrolliert, kann im Prinzip mitlesen: der Cloud-Anbieter, ein Administrator, ein kompromittiertes Betriebssystem.
Für KI ist das besonders relevant, weil Modelle große Mengen an Kontext auf einmal verarbeiten: Verträge, Patientendaten, Konstruktionsunterlagen, Personalakten. Genau die Daten, die niemand außer dem Unternehmen selbst sehen soll.
Wie Confidential Computing funktioniert
Moderne Prozessoren und zunehmend auch GPUs bieten geschützte Ausführungsumgebungen (Trusted Execution Environments, TEE). Code und Daten laufen darin in einem verschlüsselten Speicherbereich, den weder das Betriebssystem noch der Hypervisor noch der Betreiber einsehen kann. Bevor Daten in eine solche Umgebung geladen werden, weist sie per Attestierung nach, dass sie die erwartete Hardware, Konfiguration und Software ausführt.
Isolation
Betriebssystem, Hypervisor und Betreiber haben keinen Zugriff auf den Inhalt der geschützten Umgebung.
Attestierung
Ein kryptografischer Nachweis belegt vor der Datenübergabe, welcher Code auf welcher Hardware läuft.
GPU-Unterstützung
Aktuelle Beschleuniger erweitern den Schutz auf die KI-Inferenz selbst, nicht nur auf die Vorverarbeitung.
Wann Confidential Computing für KI sinnvoll ist
Nicht jeder Use Case braucht diesen Schutz. Sinnvoll wird er, wenn Daten so sensibel sind, dass externe Verarbeitung bisher ausgeschlossen war — oder wenn mehrere Parteien Daten zusammenführen wollen, ohne sie einander offenzulegen.
- Sensible Dokumente in der Cloud verarbeiten: Verträge, Gutachten, Personal- oder Gesundheitsdaten mit externen Modellen, ohne dass der Anbieter mitlesen kann.
- Gemeinsame Auswertungen in Lieferketten: Qualitäts- oder Bedarfsdaten mehrerer Partner werden zusammen ausgewertet; keiner sieht die Rohdaten der anderen.
- Schutz eigener Modelle: Feinabgestimmte Modelle und Prompts bleiben auch auf fremder Infrastruktur geschützt.
- Shared Sovereignty: Geteilte KI-Infrastruktur mit hardwaregestützter Mandantentrennung.
Einordnung in Datenschutz und Compliance
Confidential Computing ersetzt keine Rechtsgrundlage und keinen Auftragsverarbeitungsvertrag. Es ist eine technische und organisatorische Maßnahme im Sinne der DSGVO, die das Risiko einer Verarbeitung deutlich senkt — und damit Verarbeitungen ermöglichen kann, die sonst abgelehnt würden. Für ISO 27001, TISAX und BSI-Grundschutz liefert die Attestierung belastbare Nachweise. Die Bewertung nehmen wir gemeinsam mit deinem Datenschutzbeauftragten und deiner Kanzlei vor.
Grenzen und Kosten realistisch betrachten
Confidential Computing schützt vor Zugriff durch Infrastrukturbetreiber und Systemebene — nicht vor fehlerhaftem Anwendungscode, unsicheren Schnittstellen oder Fehlkonfiguration. Es kostet Rechenleistung, schränkt die Auswahl an Hardware und Anbietern ein und erfordert Know-how für Attestierung und Schlüsselverwaltung. Ob sich der Einsatz lohnt, rechnen wir je Use Case mit dem Sellium TCO-Modell gegen die Alternativen: On-Premise-Betrieb, konventionelle Cloud mit vertraglichen Zusicherungen oder Verzicht auf den Use Case.