ERKLÄRUNG DES GRÜNDERS
Warum ich dieses Ökosystem initiiert habe — Eine berufliche Überzeugung nach 28 Jahren
Ihre Daten. Ihre Schlüssel. Ihre Regeln.
Jedes Produkt in diesem Ökosystem basiert auf einem einzigen architektonischen Engagement: Ihre Daten, Ihre Schlüssel, Ihre Kontrolle. Ihr Passwort verlässt niemals Ihr Gerät. Ihre Dokumente werden niemals gespeichert. Ihr Verschlüsselungsschlüssel gehört nur Ihnen. Kein US-Cloud-Recht, keine Anbieter-Vorladung, kein Datenbroker — kann erreichen, was niemals geteilt wurde.
Hintergrund
Seit 28 Jahren arbeite ich an der Schnittstelle von Technologie, Sicherheit und organisatorischer Compliance. Ich habe curta.solutions 1998 gegründet. Seitdem habe ich regulierten Organisationen in 26 Ländern — im Finanzdienstleistungssektor, im Gesundheitswesen, im Rechtswesen, in der Regierung, in der Fertigung und in der Technologie — als Partner in IT-Architektur, Sicherheit, digitaler Transformation und Compliance gedient.
Was ich in 28 Jahren beobachtet habe, ist keine langsame Evolution. Es ist eine Krise in Zeitlupe — eine, die mit dem Aufkommen von generativer KI und der globalen Verbreitung überlappender Datenschutzvorschriften einen Wendepunkt erreicht hat.
Meine Überzeugung
Ich glaube, dass jede Person, Organisation und Institution das Recht hat, Informationen selektiv zu teilen — um einem Regulierer nur das offenzulegen, was ein Regulierer sehen darf, um mit einem Partner nur über Daten zu kommunizieren, die ausdrücklich autorisiert wurden, um am kommerziellen und öffentlichen Leben teilzunehmen, ohne das aufzugeben, was privat bleiben muss.
Ich glaube, dass dieses Recht praktisch von jedem ausgeübt werden muss — nicht nur von Organisationen mit Compliance-Abteilungen und Budgets für Unternehmenssoftware. Datenschutz darf kein Privileg der Größe sein.
Ich glaube, dass in einer Welt, in der US-Recht auf alle Daten zugreifen kann, die von irgendeinem US-Unternehmen überall auf der Erde gehalten werden, und in der 77% der Mitarbeiter sensible Daten in KI-Tools eingeben, die sie nicht kontrollieren, die einzige Architektur, die eine sinnvolle Datenschutzgarantie bieten kann, eine ist, bei der die Daten niemals die Kontrolle des Nutzers verlassen. Keine vertraglichen Garantien. Keine Datenschutzrichtlinien. Technische Architektur.
Zero-Knowledge-Authentifizierung. Local-First-Verarbeitung. Umkehrbare Verschlüsselung, bei der der Schlüssel dem Nutzer gehört. Offline-fähiger Betrieb. EU-Jurisdiktion, keine Ausnahmen. Dies sind keine Produktmerkmale. Sie sind der Mindeststandard für jedes Tool, das behauptet, persönliche Daten zu schützen.
Und ich glaube, dass mir 28 Jahre Arbeit innerhalb der Organisationen, die die sensibelsten Informationen der Welt behandeln — 28 Jahre, in denen ich beobachtet habe, wie die Lücke zwischen regulatorischer Absicht und technischer Realität größer wurde — sowohl das Verständnis als auch die Verantwortung gegeben haben, das zu initiieren, was dem Ökosystem noch fehlt. Um die Vision zu definieren, das richtige Team zusammenzustellen und sicherzustellen, dass es nach dem Standard gebaut wird, den das Problem verlangt.
Das Recht, persönliche Informationen anonym zu machen, ist kein technisches Merkmal. Es ist ein fundamentales Recht. Und ein Recht, das nicht praktisch ausgeübt werden kann, ist kein Recht.
Die Probleme, die ich beobachtet habe
Regulatorische Fragmentierung: Zu viele Regeln, keine gemeinsame Sprache
Eine mittelgroße Organisation, die global tätig ist, muss gleichzeitig 48+ nationale und regionale Datenschutzgesetze navigieren — GDPR, UK GDPR, CCPA, LGPD, PDPA, PIPL, DPDPA, APPI, PIPEDA und Dutzende mehr. 24 nationale DPAs in der EU allein geben verbindliche Leitlinien heraus, die im Prinzip konsistent und in der Praxis unterschiedlich sind. Was den deutschen BfDI zufriedenstellt, erfüllt nicht automatisch die Anforderungen der französischen CNIL, des irischen DPC oder des niederländischen AP. Sektor-spezifische Schichtungen — HIPAA, PCI-DSS, NIS2, das KI-Gesetz — fügen Anforderungen hinzu, die selten harmonisiert sind.
Das Ergebnis ist kein Compliance-Rahmen. Es ist ein bewegliches Ziel mit 48 verschiedenen Zielscheiben.
Das Papiermonster: Vereinbarungen, die niemand liest, Kontrollen, die niemand überprüft
Organisationen unterhalten Datenverarbeitungsvereinbarungen mit Hunderten von Unterauftragnehmern, Standardvertragsklauseln, die über 30 Seiten pro Übertragungsbeziehung umfassen, Verzeichnisse von Verarbeitungstätigkeiten, DPIAs, TIAs, LIAs — jede erfordert technische Eingaben, die die meisten Rechtsteams nicht unabhängig überprüfen können. In der Praxis: Organisationen unterschreiben, was sie unterschreiben müssen, reichen ein, was sie einreichen müssen, und hoffen, dass die technische Realität mit der vertraglichen Beschreibung übereinstimmt. Das Papiermonster erzeugt den Anschein von Compliance. Es erzeugt selten die Substanz davon.
Technische Unzulänglichkeit: Die Werkzeuge entsprechen nicht der Verpflichtung
Generative KI-basierte PII-Erkennung ist nicht deterministisch. Dasselbe Dokument, das zweimal verarbeitet wird, liefert unterschiedliche Ergebnisse. Grundlegend inkompatibel mit Compliance — wo Sie nachweisen müssen, dass spezifische Daten reproduzierbar und verifizierbar erkannt und korrekt behandelt wurden.
Microsoft Presidio, spaCy, Stanza — Engineering-Plattformen, keine Compliance-Tools. Der Einsatz in der Produktion erfordert das Schreiben benutzerdefinierter Erkenner für jeden Entitätstyp und jede Sprache, den Aufbau von Vor- und Nachverarbeitungs-Pipelines, die Integration mit Dokumentenformaten und die Wartung von allem, während sich die Vorschriften weiterentwickeln. Typischerweise 30–80 Stunden Spezialisten-Engineering-Zeit, bevor ein einziges Dokument verarbeitet wird. Die meisten Organisationen haben diese Expertise nicht intern.
Eine Personennummer in einem schwedischen Arbeitsvertrag, eine Steuer-ID in einem deutschen Steuerformular, eine PESEL in einem polnischen Versicherungsdokument, ein Codice Fiscale in einer italienischen Rechnung — jede erfordert nicht nur die Spracherkennung, sondern auch die dokumententypbewusste Entitätserkennung. Sprachmodelle, die überwiegend auf Englisch trainiert wurden, produzieren eine 69% PII-Fehlerrate in nicht-englischem Text. Das Gesetz macht keinen Unterschied nach Sprache.
Microsoft Purview, AWS Macie, Google Cloud DLP — teuer, erfordern Cloud-Konnektivität, schließen Organisationen ein. Kritischer: Alle haben ihren Hauptsitz in den USA. Der CLOUD Act von 2018 verpflichtet sie, Daten überall auf der Welt auf gültige US-Regierungsanfrage offenzulegen. FISA Abschnitt 702 ermöglicht die Sammlung von Informationen ohne individuelle Durchsuchungsbefehle. Schrems II hat den EU-US Privacy Shield aus genau diesem Grund für ungültig erklärt. Ein sechsstelliger Jahresvertrag mit einem US-Cloud-Anbieter führt nicht zu GDPR-konformer Datenverarbeitung.
Das unkontrollierte KI-Problem: Der Markt hat keine Antwort
77% der Mitarbeiter teilen wöchentlich sensible Arbeitsinformationen mit KI-Tools. 34,8% aller Eingaben in KI-Tools enthalten Informationen, die unter mindestens einem Datenschutzrahmen als sensibel qualifiziert sind. Mitarbeiter nutzen ChatGPT, Copilot, Claude, Gemini, um Verträge zu entwerfen, Notizen zusammenzufassen, Tabellenkalkulationen zu analysieren — ständig, automatisch, ohne sich dessen bewusst zu sein, was sie in einen Prompt einfügen.
Traditionelle DLP-Systeme können den semantischen Inhalt eines natürlichen Sprachprompts nicht verstehen. Sie können nicht zwischen einem Entwickler unterscheiden, der eine KI fragt, um ein Code-Muster zu erklären, und einem Entwickler, der eine Produktionsdatenbank mit 50.000 Datensätzen in dasselbe Fenster einfügt. Die KI-Modelle verarbeiten alles. Sie bieten keinen Schutz, keine Warnungen, keinen Prüfpfad, auf den sich ein DPO verlassen kann.
Was fehlt, ist die technische Schicht, die die Durchsetzbarkeit von Richtlinien in der Praxis ermöglicht. Diese Schicht existiert auf dem Markt zu keinem Preis, den eine mittelgroße Organisation sich leisten kann, in keiner Form, die über die KI-Tools funktioniert, die Mitarbeiter tatsächlich verwenden. Dies ist eine der Lücken, die dieses Ökosystem schließen sollte.
Die Zugänglichkeitslücke: Compliance als Privileg der Größe
Ein Einzelpraktiker, eine Gemeinschaftsorganisation, eine kleine öffentliche Behörde, eine Forschungseinrichtung — jede unterliegt denselben GDPR-Vorgaben, demselben Recht auf Löschung, derselben Pflicht zur Verletzungsbenachrichtigung wie eine globale Bank — aber ohne das Rechtsteam, die Ingenieursressourcen oder das Budget für Unternehmenssoftware, um sie ordnungsgemäß umzusetzen. Das Compliance-Ökosystem hat großen Organisationen angemessen gedient, wenn auch teuer. Es hat allen anderen mit einem Mandat und keinen praktischen Mitteln zu seiner Erfüllung gedient.
Die Reaktion des Ökosystems — Eine Plattform, mehrere Ausdrücke
Die übergeordnete Plattform und der primäre Zugangspunkt. Hybride Dual-Layer PII-Erkennung (260+ Entitäten, 48 Sprachen, 121 Compliance-Voreinstellungen) über alle Bereitstellungsmodelle hinweg — SaaS, verwaltete private Cloud und selbstverwaltet. Alle abgeleiteten Produkte teilen sich die gleiche Erkennungsengine und das gleiche Gründungsprinzip: Macht in den Händen der Nutzer.
Unternehmensausgabe mit Air-Gap. 390+ Entitäten, 317 benutzerdefinierte Regex-Muster, 100% Offline-Verarbeitung, Bild-OCR in 37 Sprachen. Keine Cloud-Abhängigkeit — die Daten verlassen niemals das Gerät.
Cloud-first PII-Plattform mit dem weitesten Zugang. Chrome-Erweiterung für Echtzeit-KI-Abfang, MCP-Server, Office-Add-In, umkehrbare Verschlüsselung. Kostenlos bis €29/Monat — Compliance für jedes Budget.
Desktop-first, vollständig lokal. Presidio-Seitenteil auf dem Gerät, 7 Dokumentformate + OCR, Batch-Verarbeitung, verschlüsselter Tresor. Einmalige ewige Lizenz — keine Abonnements, keine Cloud, vollständig offline nach der Aktivierung.
Sofortige öffentliche Demoplattform. Kein Konto erforderlich — Text einfügen, sofort anonymisieren, die Engine in Aktion sehen. Der schnellste Weg, um zu erleben, was das Ökosystem tut.
Übergeordnete Plattform — SaaS · Verwaltete Private · Selbstverwaltet · 3 Bereitstellungsmodelle
- //Organisationen berichten, dass 67% der Entwickler versehentlich Geheimnisse im Code offengelegt haben — deterministische Regex erkennt, was NLP verpasst und umgekehrt
- //Allgemeine KI-Erkennung erreicht eine Fehlerrate von 69% in nicht-englischem Text — Dual-Layer mit spaCy + XLM-RoBERTa schließt die Lücke über alle 48 Sprachen
- //Inkonsistente Schwärzungen über Teams hinweg sind das am häufigsten genannte ICO- und DPA-Audit-Ergebnis — Voreinstellungen erzwingen identisches Erkennungsverhalten über jeden Nutzer, jede Sitzung
- //95% der Datenverletzungen im Jahr 2024 sind auf menschliches Versagen zurückzuführen — gemeinsame Voreinstellungen beseitigen die konfigurationsbedingten Entscheidungen, die Variationen erzeugen
- //Multi-Anbieter PII-Stapel schaffen Lücken im Prüfpfad — über 60% der Organisationen, die 3+ PII-Tools verwenden, berichten von Abstimmungsfehlern zwischen den Tools
- //Formatfragmentierung: Organisationen verarbeiten PDF, DOCX, XLSX, CSV, JSON gleichzeitig — jedes Format erforderte zuvor einen separaten Ansatz, ein separates Tool, einen separaten Prüfpfad
- //Unternehmens-PII-Tools kosten $50.000–$500.000/Jahr — Organisationen mit Kostenbeschränkungen hatten historisch gesehen keine Option
- //CLOUD Act + FISA Abschnitt 702 bedeuten, dass in den USA gehostete "GDPR-konforme" Verarbeitung eine vertragliche Fiktion ist — EU-Hosting entfernt dieses Risiko vollständig
Unternehmens-Air-Gapped — 390+ Entitäten · 317 benutzerdefinierte Regex · 100% offline · Bild-OCR
- //Branchen-spezifische PII — Codes für Nuklearanlagen, Militärdienstnummern, proprietäre interne IDs — werden von keinem kommerziellen Tool abgedeckt; benutzerdefinierte Erkenner erfordern Wochen spezialisierte Ingenieurarbeit in rohem Presidio
- //Unvollständigkeit der Abdeckung ist die Erkennungsschranke: kein allgemeines Tool deckt alle PII-Typen, alle Sprachen, alle Formate ab — 317 kuratierte Muster schließen die Lücken, die Standardframeworks übersehen
- //Das Anbieter-Paradoxon: Um PII zu schützen, müssen Sie sie mit einem Anbieter teilen. Cloud-Verarbeitung erfordert Vertrauen in den Verarbeiter — ein architektonischer Widerspruch für Organisationen, die die sensibelsten Daten verarbeiten
- //Air-Gap-Umgebungen (Verteidigung, Geheimdienste, kritische Infrastruktur, Forschungslabore) können cloudabhängige Tools zu keinem Preis verwenden — offline-first beseitigt die architektonische Barriere vollständig
- //Microsoft Purview kann JPEG/PNG explizit nicht scannen — Text-PII in Screenshots ist durch das Design vollständig unsichtbar für den Unternehmens-DLP-Stack
- //SparkCat-Malware (iOS/Android, Dez. 2025) verwendete OCR, um Krypto-Wallet-Wiederherstellungssätze aus Screenshots zu stehlen — bildbasierte Text-PII ist ein aktives Angriffsziel, kein theoretisches Risiko
- //300% Anstieg der cloudbasierten Datenverletzungen zwischen 2022 und 2024 — Zero-Knowledge bedeutet, dass ein Verstoß gegen unsere Server nichts offenbart, weil nichts gespeichert wird
- //ISO 27001:2022 zertifiziert mit regelmäßigen Full-Stack-Penetrationstests — die Sicherheitslage, die regulierte Beschaffung erfordert, ist dokumentiert, verifiziert und unabhängig geprüft
Cloud-PII-Plattform — Kostenlos bis €29/Monat · Chrome-Erweiterung · MCP-Server · Office-Add-In
- //8,5% aller LLM-Prompts enthalten PII — Echtzeit-Abfang vor der Einreichung ist die einzige Prävention, die funktioniert; nachträgliche Erkennung verpasst das einzige Zeitfenster, das zählt
- //Traditionelle DLP-Systeme reagieren, nachdem die Daten die Organisation verlassen haben — die Chrome-Erweiterung fängt am Eingabepunkt ab, bevor ein Modell sensible Inhalte erhält oder verarbeitet
- //Generative KI-Erkennung ist nicht deterministisch — dasselbe Dokument liefert bei verschiedenen Durchläufen unterschiedliche Ergebnisse; kein probabilistisches System kann die Grundlage einer regulatorischen Verteidigung bilden
- //Presidio allein verpasst kontextabhängige Entitäten; XLM-RoBERTa allein erzeugt falsche Positivmeldungen in formeller rechtlicher Sprache — eine dritte Stance-Klassifizierungsschicht beseitigt die falschen Positivmeldungen, die Compliance-Teams dazu bringen, automatisierte Tools zu misstrauen
- //Rechtliche Entdeckungen, Anfragen zum Zugriff auf medizinische Aufzeichnungen, regulatorische Prüfungen — anonymisierte Daten müssen manchmal von der autorisierten Partei und nur von dieser de-anonymisiert werden; irreversible Methoden machen dies unmöglich
- //Der Sitzungsschlüssel des Nutzers verlässt niemals sein Gerät — nicht unsere Server, nicht irgendeine Cloud, nicht irgendein Unterauftragnehmer. Das Recht auf Umkehrung der Anonymisierung gehört dem Nutzer, nicht uns.
- //Ein Einzelpraktiker steht derselben GDPR-Recht auf Löschungspflicht gegenüber wie eine globale Bank — aber ohne eine Compliance-Abteilung oder ein Budget für Unternehmenssoftware von €500K/Jahr
- //764 EU-Organisationen werden gleichzeitig wegen Versäumnissen bei der Löschung untersucht — nicht, weil sie beabsichtigt haben zu verstoßen; sondern weil die Mittel zur Einhaltung über ihren finanziellen Möglichkeiten lagen
Desktop-First · 100% Lokale Verarbeitung · 7 Dokumentformate + OCR · Einmalige Lizenz
- //300% Anstieg der cloudbasierten Datenverletzungen zwischen 2022 und 2024 — Daten, die niemals in die Cloud gelangen, können in einem Cloud-Verstoß nicht offengelegt werden
- //CLOUD Act + FISA machen die in den USA gehostete Verarbeitung rechtlich unsicher für EU-Organisationen — lokale Verarbeitung beseitigt das gesamte Problem des grenzüberschreitenden Transfers, indem sichergestellt wird, dass kein Transfer stattfindet
- //Formatfragmentierung zwingt Organisationen, mehrere Tools zu pflegen — jedes Tool erstellt eine separate Erkennungsrichtlinie, einen separaten Prüfpfad, einen separaten Fehlerfall
- //Protokolldateien sind die vernachlässigte PII-Oberfläche — Entwickler konzentrieren sich auf Datenbanken, aber Protokolle enthalten API-Schlüssel, Benutzer-IDs, IP-Adressen; CSV und JSON werden nativ neben strukturierten Dokumenten unterstützt
- //Air-Gap-Produktionsumgebungen — Fertigungsstätten, sichere Regierungsanlagen, Forschungslabore — können keine Lizenzprüfung tolerieren, die Netzwerkzugang erfordert; einmalige Aktivierung, dann vollständig offline Betrieb ist die einzige tragfähige Architektur
- //Ewige Lizenzen ohne wiederkehrende SaaS-Abhängigkeit: Der Nutzer besitzt seine Installation; eine Kündigung des Anbieter-Abonnements kann ein Tool in einem kritischen Verarbeitungszeitpunkt nicht deaktivieren
- //dbt-Pipeline-Neubauten zerstören Maskierungsrichtlinien für CSV/JSON-Daten — EDPB 2024 stellt klar, dass dies gegen GDPR Art. 5(1)(a) verstößt; Tresorspeicher mit verschlüsseltem Verlauf bedeutet, dass jede verarbeitete Datei einen prüfbaren, wiederherstellbaren Datensatz hat
- //Organisationen, die Tausende von Alt-Dokumenten zur Einhaltung der GDPR-Recht auf Löschung verarbeiten, benötigen Batch-Fähigkeiten — nicht ein 5-Dateien-pro-Tag SaaS-Limit, das die Aufgabe operativ unmöglich macht
Das Ausmaß des Problems
Dies sind keine Ausreißerfehler. Sie sind systemische Ergebnisse eines Compliance-Umfelds, das seine eigene Infrastruktur überholt hat.