Homomorphe Verschlüsselung für KI

Das Grundprinzip

Klassische Verschlüsselung schützt Daten bei der Übertragung und Speicherung. Sobald ein Dienst damit rechnen soll, müssen sie entschlüsselt werden – und liegen dann im Arbeitsspeicher eines fremden Systems offen. Homomorphe Verschlüsselung schließt diese Lücke: Der Dateninhaber verschlüsselt lokal, der Dienstleister rechnet auf den Chiffraten, und nur der Dateninhaber kann das Ergebnis mit seinem privaten Schlüssel lesen.

Technisch fügen moderne Verfahren jedem Chiffrat ein kontrolliertes „Rauschen“ hinzu. Jede Rechenoperation lässt dieses Rauschen wachsen; wird es zu groß, ist die Entschlüsselung nicht mehr korrekt. Daraus ergeben sich drei Stufen:

Für KI ist vor allem CKKS relevant, weil es näherungsweise mit reellen Zahlen rechnet – passend zu neuronalen Netzen. TFHE eignet sich für bitweise Operationen und nichtlineare Funktionen. Bekannte Bibliotheken sind Microsoft SEAL, OpenFHE sowie die Werkzeuge von Zama (TFHE-rs, Concrete ML).

Einsatzszenarien im KI-Kontext

• Verschlüsselte Inferenz: Ein Kunde lässt Daten von einem Cloud-Modell klassifizieren, ohne sie offenzulegen – etwa Messwerte, Finanzkennzahlen oder medizinische Merkmale. Der Anbieter schützt dabei zugleich sein Modell, weil er es nicht herausgeben muss.
• Sichere Aggregation: Beim föderierten Lernen können additiv homomorphe Verfahren Modellaktualisierungen summieren, ohne dass der Server einzelne Beiträge sieht.
• Datenkooperationen: Mehrere Unternehmen werten gemeinsam Kennzahlen aus, etwa für Betrugserkennung oder Benchmarking, ohne einander ihre Rohdaten zu zeigen.
• Verschlüsselte Suche und Abgleiche: Ähnlichkeitsvergleiche, zum Beispiel von Embeddings oder biometrischen Merkmalen, werden auf Chiffraten durchgeführt.

Das Training großer Modelle vollständig unter FHE ist heute in der Regel nicht praktikabel.

Grenzen und Risiken

• Rechenaufwand: Homomorphe Operationen sind um Größenordnungen langsamer als Klartextberechnungen, Chiffrate deutlich größer. Das begrenzt Modellgröße und Latenz.
• Modellanpassung: Nichtlineare Aktivierungsfunktionen müssen oft durch Polynome angenähert oder das Modell quantisiert werden. Das kann die Genauigkeit beeinflussen.
• Fehlkonfiguration: Parameter wie Polynomgrad und Modulus bestimmen Sicherheitsniveau und Korrektheit. Falsch gewählte Parameter schwächen die Sicherheit, ohne dass es auffällt.
• Kein Integritätsschutz: HE schützt die Vertraulichkeit, sagt aber nichts darüber, ob der Dienstleister die vereinbarte Berechnung korrekt ausgeführt hat.
• Ergebnisse können Informationen verraten: Wer viele Anfragen an ein Modell stellt und die entschlüsselten Ausgaben kennt, kann unter Umständen Rückschlüsse auf das Modell ziehen.
• Schlüsselmanagement: Wer den privaten Schlüssel besitzt, kann alles entschlüsseln. Verwahrung, Rotation und Zugriffskontrolle sind entscheidend.

Ein Pluspunkt: Die gängigen FHE-Verfahren beruhen auf Gitterproblemen (Learning with Errors), die als resistent gegen bekannte Quantenangriffe gelten – dieselbe mathematische Familie wie der Post-Quanten-Standard ML-KEM.

Vorgehen in der Praxis

1. Schutzziel klären: Soll der Dienstleister die Daten nicht sehen, das Modell geschützt werden oder beides? Davon hängt ab, ob HE die richtige Technik ist.
2. Alternativen vergleichen: Trusted Execution Environments (Confidential Computing), sichere Mehrparteienberechnung (MPC) oder Differential Privacy sind oft schneller und einfacher. Häufig ist eine Kombination sinnvoll.
3. Mit einem Pilot starten: Wählen Sie ein kleines Modell mit klarer Latenzanforderung, etwa ein logistisches Regressionsmodell oder einen kompakten Entscheidungsbaum.
4. Etablierte Bibliotheken verwenden: Setzen Sie auf gepflegte Open-Source-Bibliotheken mit dokumentierten Sicherheitsparametern – niemals auf Eigenentwicklungen.
5. Schlüssel in das Kryptokonzept aufnehmen: Legen Sie Verantwortlichkeiten, Speicherorte (z. B. HSM) und Rotationsregeln fest.

Datenschutzrechtliche Einordnung

Homomorphe Verschlüsselung ist eine technische Maßnahme im Sinne von Art. 25 und Art. 32 DSGVO. Verschlüsselte personenbezogene Daten bleiben für den Verantwortlichen, der den Schlüssel hält, jedoch personenbezogen. Ob sie für einen Dienstleister ohne Schlüssel noch als personenbezogen gelten, hängt vom Einzelfall ab und sollte mit dem Datenschutzbeauftragten geklärt werden.

Fazit

Homomorphe Verschlüsselung ist die konsequenteste Antwort auf die Frage, wie ein Dritter mit Daten rechnen kann, ohne sie zu sehen – aber auch die aufwendigste. Für ausgewählte, gut abgegrenzte KI-Anwendungen ist sie heute praxistauglich; SecTepe hilft bei der Bewertung, ob sie im konkreten Fall die passende Technik ist.