Auf den großen Plattformen für KI-Modellzugriff steht regelmäßig ein Modell weit oben, dessen Preis null Euro beträgt. Hunderte Milliarden Parameter, großzügiges Kontextfenster, „kostenlos“ direkt im Namen. Die ehrliche Frage lautet nicht, ob jemand dafür bezahlt — sondern wer.
„Wenn Sie nicht für das Produkt bezahlen, sind Sie nicht der Kunde — Sie sind die Ware.“ Andrew Lewis, 2010 [1]
Wer Ihnen die Inferenz eines Spitzenmodells gratis überlässt, dem geht es nicht darum, ob Ihre Daten verwertet werden, sondern wie. Jeder Prompt an einen kostenlosen Dienst muss als potenziell mitlesbar gelten — für Training, Analyse oder schlichten Weiterverkauf. Und das gilt weit über kostenlose Modelle hinaus. Die eigentliche Frage ist: Wem vertrauen Sie Ihre Daten an, während sie verarbeitet werden?
Wenn Zugangsdaten im Netz landen
Dass Zugangsdaten im Netz landen, ist keine theoretische Sorge, sondern messbar. Öffentliche Beobachtungs-Dashboards dokumentieren laufend Hunderttausende frei erreichbarer KI-Instanzen im Netz — viele mit geleakten Zugangsdaten, gehostet bei einem Who-is-who globaler Cloud-Anbieter. Eine Firewall-Regel, ein vergessener Port, ein Standard-Passwort, und das gesamte KI-Setup samt Prompts, Dokumenten und Schlüsseln liegt offen. Bei dieser Größenordnung ist das kein Einzelfall, sondern ein Muster.
Bei einem sauber isolierten On-Premise-System kann das schlicht nicht passieren. Es gibt keinen öffentlichen Endpunkt zum Scannen. Keine IP auf einem Watchboard. Keine Zugangsdaten, die im Netz liegen.
Wer meint, das treffe nur Bastel-Aufbauten, übersieht die Realität: Selbst interne KI-Werkzeuge großer, professioneller Häuser wurden 2026 über nicht authentifizierte Endpunkte und klassische Injection-Lücken angreifbar — der Fehler lag nie an „der KI“ an sich, sondern an gewöhnlicher Anwendungssicherheit rund um ein KI-nahes System [2].
Europa: Regulierung als Rückenwind
Die europäische Rechtslage bestätigt, was die Technik ohnehin nahelegt: Daten gehören dorthin, wo Sie sie kontrollieren können. Die NIS2-Richtlinie schafft einen EU-weiten Cybersicherheits-Rahmen für kritische Sektoren — mit systematischem Risikomanagement, Lieferketten-Kontrolle und Meldepflichten. Entscheidend: Sie betont ausdrücklich die Verantwortung der Geschäftsleitung; Führungskräfte können persönlich haften [3].
Der EU AI Act ist am 1. August 2024 in Kraft getreten und wird ab dem 2. August 2026 breit anwendbar; Governance-Pflichten für Allzweck-KI-Modelle gelten bereits seit August 2025 [4]. Wer KI betreibt, trägt Transparenz- und Dokumentationspflichten — und die erfüllt deutlich leichter, wer genau weiß, wo seine Daten liegen und wer darauf zugreifen kann. Auch das BSI warnt ausdrücklich vor Datenabfluss über Modell-Ausgaben und Tool-Konnektoren [5].
Und der Haken bei der Cloud: Selbst wenn ein Anbieter „deutsche Datenresidenz“ verspricht, können Sub-Prozessoren, Telemetrie-Pipelines, CDN-Dienste und Support-Zugriffe aus Drittländern weiterhin grenzüberschreitende Übermittlungen erzeugen. Ein US-Mutterkonzern unterliegt zudem dem US CLOUD Act — unabhängig davon, ob die Server in Frankfurt stehen [6]. On-Premise nimmt diese Komplexität heraus: Ihre Daten bleiben physisch und rechtlich in Ihrer Domäne.
Warum Anonymisierung nicht reicht
Proxy-Dienste und Browser-Erweiterungen versprechen, Prompts vor dem Versand „zu anonymisieren“. Das Problem ist grundsätzlich: Semantik lässt sich nicht anonymisieren. Der Europäische Datenschutzausschuss hat in seiner Stellungnahme 28/2024 klargestellt, dass KI-Modelle, die auf personenbezogenen Daten trainiert wurden, nicht in jedem Fall automatisch als anonym gelten dürfen [7].
Stellen Sie sich diese Sätze in einem KI-Chat vor:
- „Unser Kunde in Stuttgart hat eine Steuernachzahlung von 2,3 Millionen.“
- „Der Patient in Zimmer 412 zeigt Symptome einer seltenen Autoimmunerkrankung.“
- „Wir planen, den Wettbewerber bis Q3 zu übernehmen.“
Kein Name fällt — und doch verbindet jeder, der den Kontext kennt, die Punkte. Pseudonymisierung schützt vor leichter Zuordnung, nicht vor semantischer Rekonstruktion. OWASP führt „Sensitive Information Disclosure“ als das zweitwichtigste LLM-Risiko (LLM02:2025) [8]. Bei einem großen Elektronikkonzern wurden 2023 vertraulicher Quellcode und Besprechungsnotizen binnen weniger Tage in eine Cloud-KI eingegeben — ohne Möglichkeit, sie zurückzuholen [9]. Verlässt der Prompt das Haus nie, muss er gar nicht erst anonymisiert werden.
Zero Trust: die Trusted Computing Base
Die entscheidende Frage der KI-Sicherheit lautet: Wem vertrauen Sie die Ausführungsumgebung an? In der Sicherheitsarchitektur heißt die Gesamtheit der Komponenten, denen man vertrauen muss, Trusted Computing Base (TCB). Je kleiner die TCB, desto sicherer das System.
| Dimension | Cloud | On-Premise |
|---|---|---|
| Trusted Computing Base | Groß: Ihre Admins + Provider-Schichten + Hypervisor + Multi-Tenancy | Klein: Ihre Admins + Ihr Hypervisor + dedizierte Hardware |
| Multi-Tenancy | Strukturell; Isolation hängt an Hypervisor und Control Plane | Keine; dedizierte Hardware entfernt das Risiko |
| Privilegierter Zugriff | Mandanten-Admins + Provider-Betrieb = größere Insider-Fläche | Nur Ihre Admins, mit JIT-Zugriff und MFA |
| Forensik im Vorfall | Abhängig von Provider-Logs und Vertragsgrenzen | Vollständige Chain-of-Custody unter Ihrer Kontrolle |
Weder Cloud noch On-Premise können „Daten in Verarbeitung“ heute kryptografisch vollständig schützen — während der Ausführung liegen Daten im Klartext im Speicher. Die strategische Frage ist deshalb nicht „welche Verschlüsselung?“, sondern „wer hat Zugriff auf die Ausführungsumgebung?“ In der Cloud lautet die Antwort: Sie, Ihre Admins, der Anbieter, dessen Admins, dessen Sub-Prozessoren und jede Jurisdiktion, die Zugriff erzwingen kann. On-Premise: Sie und Ihre Admins. Punkt.
Im Air-Gap gibt es keine Cloud
In einer isolierten Umgebung gibt es keine Cloud-Anbieter. Keine Sub-Prozessoren. Keine grenzüberschreitenden Übermittlungen. Keine geleakten Zugangsdaten auf Watchboards. Keine kostenlosen Modelle, die mit Ihren Prompts bezahlt werden. Keine Jurisdiktionsfragen. Kein „Shared-Responsibility“-Modell, bei dem im schlechtesten Moment niemand verantwortlich ist.
Es gibt nur Ihre Hardware, Ihr Netz, Ihre Modelle, Ihre Daten. Zero Trust in seiner reinsten Form: kein Datenabfluss, keine Vertrauensannahmen, keine Dritten. Genau das bauen wir — eine Appliance, die in Ihrem Rechenzentrum steht und Ihnen gehört. Wie das technisch aussieht, lesen Sie unter Produkt.