Differential Privacy Assess

securitygovernancecomplianceprivacystatisticsassesssecmay-2026differential

Überblick

Differential Privacy ergänzt kalibriertes Rauschen oder Privacy Budgets für Releases und Training, damit Individuen nicht re-identifiziert werden (Google DP).

Assess, wenn Analytics oder Model-Metriken extern veröffentlicht werden. Epsilon/Delta-Policies, die für Legal nachvollziehbar sind, sollten gemeinsam mit Privacy Engineers festgelegt werden.

Adoptionssignale

  • NIST hat SP 800-226 „Guidelines for Evaluating Differential Privacy Guarantees“ im März 2025 final veröffentlicht, inklusive einer Liste typischer Privacy Hazards in Implementierungen (NIST SP 800-226).
  • Googles Repository differential-privacy (Apache 2.0, rund 3.400 Stars) bietet DP-Basisbibliotheken für C++, Go und Java, Privacy on Beam, PipelineDP4j für Beam und Spark sowie eine Accounting-Bibliothek in Python (Google DP library).
  • OpenDP, Teil der OpenDP Commons, bietet einen Rust-Kern mit Python- und R-Bindings unter MIT-Lizenz; v0.15.1 erschien im Mai 2026 (OpenDP).
  • Google Research veröffentlichte im September 2025 VaultGemma, ein Open-Weights-Modell mit 1 Mrd. Parametern, das von Grund auf mit DP auf Sequenzebene trainiert wurde (Epsilon ≤ 2,0, Delta ≤ 1,1e-10) (Google Research).
  • Das US Census Bureau setzte DP für die Datenprodukte des Zensus 2020 ein, kam 2022 aber zu dem Schluss, dass die Wissenschaft für einen formal privaten American Community Survey noch nicht so weit ist (US Census Bureau).

Risiken

  • Nutzenverlust bei kleinen Gruppen. Rauschen wirkt relativ am stärksten auf kleine Populationen und seltene Merkmale; Demografen forderten das Census Bureau auf, DP für künftige Veröffentlichungen aufzugeben, wegen der Folgen für Kleinraumdaten und verzögerter Releases (WABE/AP).
  • Unklare Epsilon-Policy. Keine Aufsichtsbehörde nennt ein akzeptables Epsilon, und der EDSA verlangt, dass die Wahrscheinlichkeit, personenbezogene Daten aus einem Modell direkt oder über Abfragen zu gewinnen, unerheblich ist, bevor es als anonym gilt (EDPB Opinion 28/2024); ein DP-Ergebnis erfüllt diesen Test nicht automatisch.
  • Implementierungsfallen. Selbst gebaute Rauschmechanismen, fehlende Beitragsgrenzen und nicht nachverfolgte Mehrfachabfragen brechen die Garantie ohne sichtbare Fehler; NIST SP 800-226 katalogisiert diese Hazards (NIST SP 800-226).
  • Trainingskosten. DP-SGD braucht größere Batches und mehr Compute und senkt die Modellqualität; VaultGemma erreicht auf Benchmarks etwa das Niveau von GPT-2 1.5B (Google Research).

Vorteile & Nachteile

Vorteile

  • Liefert eine messbare Privacy-Garantie (Epsilon, Delta), die auch gegen Angreifer mit beliebigem Zusatzwissen gilt, anders als Maskierung oder Pseudonymisierung, deren Ergebnis die DSGVO weiterhin als personenbezogene Daten behandelt.
  • Ausgereifte Open-Source-Tools gibt es für Analytics und Training: Googles DP-Bibliotheken (Apache 2.0) mit Beam- und Spark-Pipelines, OpenDP (Rust-Kern mit Python- und R-Bindings) und Opacus für DP-SGD in PyTorch.
  • Leitfäden und Referenzeinsätze sind öffentlich: NIST SP 800-226 (final seit März 2025) erklärt, wie DP-Versprechen zu prüfen sind, und der US-Zensus 2020 sowie Googles VaultGemma zeigen DP im Maßstab amtlicher Statistik und im LLM-Training.

Nachteile

  • Der Genauigkeitsverlust ist real und ungleich verteilt: Kleine Gruppen und seltene Kategorien leiden am stärksten, genau das kritisierten Demografen an den Kleinraumdaten des US-Zensus 2020.
  • Training mit DP ist teuer und senkt die Modellqualität: VaultGemma 1B mit Epsilon 2 erreicht etwa das Niveau nicht-privater Modelle von vor rund fünf Jahren.
  • Die Wahl von Epsilon ist eine Policy-Entscheidung ohne regulatorischen Referenzwert, und Implementierungsfehler (Floating-Point-Rauschen, unbegrenzte Beiträge, nicht verbuchte Mehrfachabfragen) heben die Garantie unbemerkt auf.

Empfehlung

Differential Privacy bleibt in Assess und sollte zuerst dort eingesetzt werden, wo der Nutzen klar und der Genauigkeitsverlust messbar ist: aggregierte Statistiken, Dashboards oder Benchmark-Ergebnisse, die das Unternehmen verlassen, sowie Nutzungstelemetrie. Statt eigener Rauschmechanismen gehört eine geprüfte Bibliothek (OpenDP, Google DP oder PipelineDP) in den Stack, der Beitrag jeder Person wird begrenzt und das Privacy Budget über alle Releases aus demselben Datensatz hinweg verbucht.

Vor jedem Pilot sind eine Epsilon-Policy und eine Nutzenschwelle mit DSB und Fachbereich abzustimmen, und es ist zu dokumentieren, wie das DP-Release in die DSGVO-Anonymisierungsbewertung passt. Für LLM-Training oder Fine-Tuning auf personenbezogenen Daten ist DP-SGD (etwa mit Opacus) als Experiment zu behandeln und mit Datenminimierung, synthetischen Daten, Federated Learning oder Confidential Computing zu vergleichen, die für Mittelstands-Workloads oft das bessere Verhältnis von Kosten und Qualität bieten.

Quellen

Beratung

Vom Radar zur Umsetzung

Du hast Technologien bewertet — wir helfen dir, sie sicher und messbar in produktive Systeme zu bringen.

KI-Trainings

KI-Trainings

Wir machen deine Teams KI-fit. Unsere Trainings verwandeln abstrakte Buzzwords in anwendbare Kompetenz. Verständlich. Praxisnah. Für Macher.

Mehr erfahren
KI & Automatisierung

KI & Automatisierung

Wir entwickeln sichere, skalierbare GenAI-Lösungen und Automatisierung, eingebettet in deine Datenlandschaft. Vom KI-Trend zur Wertschöpfung.

Mehr erfahren