Pseudonymisierung, Anonymisierung und synthetische Daten.
Was funktioniert bei KI wirklich?
FHNW School of Business, Institute for Competitiveness and Communication, Olten
Leiter Competence Center «Data Quality und Anonymization» · SwissAnon – Swiss Data Anonymization Center
Der KI-Angreifer ist Teamarbeit
Oscar Thees
FHNW, Olten · Erstautor der Studie
Roman Müller
FHNW, Olten · Erstautor der Studie
Den Angreifer mit agentischer KI haben wir gemeinsam gebaut und getestet: ein Team von KI-Agenten, das Bewegungsspuren nur mit öffentlichen Quellen einem Namen zuordnet. Oscar Thees und Roman Müller sind die Erstautoren der Studie, zu gleichen Teilen.
Was Sie heute über KI als Angreifer sehen, ist unsere gemeinsame Forschung. Herzlichen Dank, Oscar und Roman.
Sie haben es vielleicht gelesen
NZZ am Sonntag · 30. August 2026
«Wie ein Schweizer Forscher in ein paar Tagen die Basis für ein mächtiges Überwachungsinstrument schuf»
Die Studie dahinter
Oscar Thees · Roman Müller · Matthias Templ
FHNW, SwissAnon – gemeinsame Arbeit, gefördert vom Schweizerischen Nationalfonds. Publiziert 2026 in Privacy in Statistical Databases.
In 35 Minuten wissen Sie, was hinter diesen Zahlen steckt – und was sie für die drei Begriffe im Titel bedeuten.
Drei Begriffe, ein Massstab.
Was pseudonymisiert, anonymisiert und synthetisch versprechen – und woran alle drei hängen.
Was pseudonymisiert, anonymisiert und synthetisch versprechen
Pseudonymisiert
Name und Adresse durch einen Code ersetzt. Der Schlüssel zum Code existiert – irgendwo.
Auch ohne Schlüssel bleiben Alter, Wohnort, Beruf, Bewegungen. Und die sind verknüpfbar.
Anonymisiert
Personenbezug «nachträglich dauerhaft beseitigt».
Keine Personendaten, «wenn die Reidentifizierung nicht oder nur mit einem unverhältnismässigen Aufwand möglich ist».
Synthetisch
Jede Zeile ist erfunden. Die Zusammenhänge zwischen den Merkmalen sind es nicht.
Ob anonym, entscheidet die Messung – nicht das Etikett.
Alle drei hängen an derselben Frage: Was kostet die Re-Identifizierung?
Zwei Tabellen, eine Verknüpfung
Öffentliches Verzeichnis
| Name | Gemeinde | Beruf | Geschl. |
|---|---|---|---|
| Max Muster | Stadel | Professor | M |
| Anna Bei | Stadel | Ärztin | W |
| Urs Frei | Zürich | Professor | M |
Anonymisierte Erhebung
| Gemeinde | Beruf | Geschl. | Häufigkeit | Einkommen |
|---|---|---|---|---|
| Stadel | Professor | M | 1 | 176 456 |
| Zürich | Professor | M | 18 | … |
Häufigkeit 1
Ein eindeutiger Treffer. Das Einkommen ist offengelegt.
Häufigkeit 18
Kein eindeutiger Treffer: 18 Personen teilen diese Kombination.
20 Dollar für ein Wählerverzeichnis
- Massachusetts gab in den 1990er-Jahren Krankenversicherungsdaten der öffentlich Bediensteten zu Forschungszwecken frei – ohne Namen und Adressen.
- Latanya Sweeney kaufte für rund 20 $ das Wählerverzeichnis von Cambridge.
- Gemeinsame Merkmale: Postleitzahl, Geburtsdatum, Geschlecht. Damit fand sie die Krankenakte des amtierenden Gouverneurs – und schickte sie ihm zu.
William Weld, 1991–1997 Gouverneur von Massachusetts – der Patient in Sweeneys Beispiel.
Und in der Bevölkerung?
Postleitzahl, Geburtsdatum und Geschlecht machen einen Grossteil der US-Bevölkerung eindeutig.
Sweeney (2000) rechnet 87 %, eine Nachrechnung auf Zensusdaten (Golle 2006) 61 bis 63 %.
Daten ohne Namen sind noch keine anonymen Daten.
Das Wählerverzeichnis von 1997 heisst heute Zefix, Telefonbuch, LinkedIn, Open Data. Und die Datei von Massachusetts hiesse heute: pseudonymisiert.
Vier Arten der Offenlegung
| Person | Alter | Geschlecht | Region | Lernstörung | Prüfungsangst |
|---|---|---|---|---|---|
| P1 | 10–19 | weiblich | Huntington | nein | 9 |
| P5 | 30–39 | männlich | Edmond | ja | 5 |
| P6 | 30–39 | männlich | Alkol | ja | 3 |
| P7 | 50–59 | weiblich | Jesse | nein | 2 |
| P8 | 50–59 | weiblich | Jesse | ja | 3 |
Identität
«Sally, 18, weiblich, hat
teilgenommen.»
Genau eine Zeile passt – alle ihre Antworten sind bekannt.
Attribut
«Tom, 34, männlich.»
P5 oder P6 – welche Zeile er ist, bleibt unbestimmt. Beide tragen
denselben Wert, damit ist sein Merkmal offengelegt.
Mitgliedschaft
«Ist Nicole überhaupt in der
Erhebung?»
Sensibel, wenn schon die Teilnahme etwas verrät, etwa bei einer
Klinikstichprobe. Aus drei Zeilen folgt ihre Teilnahme erst, wenn in der
Bevölkerung niemand sonst passt.
Inferenz
«Alter und Geschlecht sagen
Prüfungsangst voraus.»
Das Modell trifft Aussagen über Personen, die
gar nicht in den Daten sind.
Ohne Szenario keine Risikozahl
Der neugierige Nachbar
Kennt eine Person und ihre Merkmale. Sucht deren Zeile.
Wenig Wissen, hohe Motivation. Das typische Szenario für offene Daten.
Das Archiv
Verfügt über eine ganze externe Datei und sucht systematisch nach Treffern.
Viel Wissen, viele Ziele. Das Szenario für Register und kommerzielle Datensätze.
Die Differenz
Stellt einem Abfragesystem zwei fast identische Fragen und liest die Antwort aus der Differenz.
Das Szenario für Tabellen und Auswertungsdienste.
Der KI-Agent
Kennt niemanden – aber alles, was über jeden im Netz steht: Register, Open Data, Broker-Spuren. Und verknüpft es selbst.
Wissen des Archivs, Ausdauer des Nachbarn, zwei Dollar pro Person. Dazu Teil 4.
Jede Risikozahl ist eine bedingte Grösse: bedingt auf das Wissen, das man dem Angreifer unterstellt. Ohne diese Bedingung steht in keiner DSFA eine prüfbare Zahl.
Wenn k-Anonymität nicht genügt
| Alter | Geschlecht | PLZ | Diagnose |
|---|---|---|---|
| 30–39 | männlich | 405** | Grippe |
| 30–39 | männlich | 405** | Bruch |
| 30–39 | männlich | 405** | Grippe |
| 50–59 | weiblich | 412** | Krebs |
| 50–59 | weiblich | 412** | Krebs |
| 50–59 | weiblich | 412** | Krebs |
k-Anonymität: jede Äquivalenzklasse mindestens k Zeilen. Wirksam gegen Identitätsoffenlegung.
Die Lücke · Homogenität
Wer weiss, dass eine 55-jährige Frau in der unteren Klasse steht, kennt die Diagnose.
Setzt Teilnahmewissen voraus: bei einer Vollerhebung geschenkt, bei einer Stichprobe nicht. l-Diversität verlangt Vielfalt im sensiblen Merkmal.
Und in der Verwaltung?
Register und Fachanwendungen sind Vollerhebungen. Die Teilnahme ist bekannt – diese Lücke steht immer offen. Deshalb genügt k allein nie: das sensible Merkmal braucht Vielfalt in jeder Gruppe.
Jedes Szenario hat einen Preis
«So viel Aufwand betreibt doch niemand.»
Auf diesem Satz ruht jede Datenfreigabe. Das Recht nennt ihn beim Namen: Aufwand. Und er ist eine ökonomische Behauptung, keine mathematische.
DSB Kanton Zürich
Keine Personendaten, wenn die Reidentifizierung «nicht oder nur mit einem unverhältnismässigen Aufwand» möglich ist.
DSGVO, Erwägungsgrund 26
Massgeblich sind alle Mittel, die nach allgemeinem Ermessen wahrscheinlich genutzt werden – Kosten und Zeitaufwand eingerechnet.
EuGH, EDPS/SRB, 4. September 2025
Pseudonymisierte Daten sind für den Empfänger keine Personendaten, wenn er die Person mit vernünftigerweise einsetzbaren Mitteln nicht identifizieren kann.
Alle drei binden den Schutz an Aufwand. Gemessen hat ihn bisher niemand. Wir kommen darauf zurück – in Teil 4, mit Zahlen.
Anonymisierung funktioniert.
Wenn man sie misst. Eine Karte, sechs Werkzeuge, ein Vorher-Nachher.
Die Risiko-Nutzen-Karte
Vier Felder
Oben rechts: brauchbar, aber zu riskant.
Unten links: sicher, aber wertlos.
Oben links: das Schlimmste aus beidem.
Unten rechts: das Ziel.
Anonymisierung ist eine Bewegung auf dieser Karte: vom Original nach links unten – so weit wie nötig, so wenig wie möglich.
Der Werkzeugkasten
Vergröbern
Alter 34 wird zu 30–39, Gemeinde wird zu Kanton. Kein Wert wird falsch – nur ungenauer.
Unterdrücken
Einzelne Zellen werden gelöscht, gezielt dort, wo das Risiko sitzt.
Mikroaggregation
Ähnliche Zeilen werden zu Gruppen zusammengefasst und durch ihren Mittelwert ersetzt.
Rauschen
Auf jeden Wert kommt Zufall. Der Mittelwert bleibt, die Streuung wächst, der Einzelwert verschwindet. Ohne Korrektur werden Zusammenhänge zu schwach.
Vertauschen (Swapping)
Werte werden zwischen Zeilen getauscht – gezielt dort, wo das Risiko sitzt. Für Zensusdaten schlugen Meindl und Templ 2021/22 Targeted Record Swapping vor.
Post-Randomisierung (PRAM)
Kategorien werden innerhalb einer Zeile nach einer offengelegten Übergangsmatrix umkodiert. Kein Wert ist mehr beweisbar echt.
Ziel: maximaler Nutzen unter der Nebenbedingung, dass das Risiko jeder einzelnen Person unter einer Schwelle bleibt. Welche Schwelle das ist, legt das Szenario fest.
Vorher, nachher: Anonymisierung ist messbar
So sieht das aus
# Beispieldatensatz, 14 827 Personen sdc <- createSdcObj(eusilc, keyVars = c("age","rb090","db040","pb220a"), weightVar = "rb050", hhId = "db030") sdc <- globalRecode(sdc, "age", breaks = c(0,15,25,35,45,55,65,100)) sdc <- kAnon(sdc, k = 2) sdc <- microaggregation(sdc)
Drei Schritte: vergröbern, unterdrücken, mikroaggregieren. Nach jedem Schritt werden Risiko und Nutzen neu berechnet.
Nachvollziehbar, wiederholbar, prüfbar – der Satz, der in eine DSFA gehört.
Fünf Wege, mit Personendaten umzugehen
1 · Public Use
Stark anonymisiert, für alle.
2 · Scientific Use
Weniger vergröbert – mit Vertrag oder Verfügung und Auflagen.
3 · Sicherer Raum
Vor Ort, unter Aufsicht.
4 · Fernzugriff
Rechnen in einer gesicherten Umgebung, mit Outputkontrolle.
5 · Rechnen ohne Einblick
Privacy-Preserving Computing. Die Auswertung geht zu den Daten. Niemand sieht eine Zeile.
1 → 5: mehr Information in den Daten – weniger Augen darauf. Auf Stufe 5 keine.
Geschützt: die Eingabe. Nicht die Ausgabe.
Quer dazu: synthetische Daten. Keine Stufe, sondern ein Werkzeug auf jeder.
Als Testdatei für alle · zum Vorbereiten der Auswertung, die dann auf Stufe 4 läuft.
Synthetische Daten.
Was sich ändert – und was nicht.
Synthetische Daten
1993
Rubin schlägt synthetische Daten vor – im Journal of Official Statistics.
2014–2017
synthpop und simPop für Erhebungs- und Registerdaten (CRAN, JSS).
seit 2017
Neuronale Generatoren (GAN, VAE), seit 2023 Sprachmodelle. In Vergleichen liefern die klassischen Verfahren meist die besseren Ergebnisse.
Wozu in der Verwaltung
Testdaten für Entwicklung und Ausschreibung · Schulung · KI-Pilot, Sandbox · Vorbereitung einer Bekanntgabe an die Forschung.
Drei Sätze zu synthetischen Daten
Synthese verschiebt Information. Sie erschafft keine.
Das Inferenzrisiko verschwindet nicht. Ein Modell, das nur synthetische Daten kennt, sagt Merkmale echter Personen voraus.
Plausibel ist nicht automatisch richtig.
Logikprüfung: Haushalte ohne Erwachsene
Kennzahl NoAdultHH, je Kennzahl skaliert: 1.00 = so sauber wie die Originaldaten.
Nur simPop erreicht die Logik der Originaldaten. Im Vergleich von 2024, hochgerechnet auf 3,7 Mio. Haushalte: synthpop 143’276 Haushalte nur aus Kindern, arf 1’123’494 – wahr sind null. Für Testdaten ein Ausschlussgrund.
Kein Verfahren ist sicher und nützlich zugleich
| Verfahren | Nutzen Mittel aus 5 Massen |
Risiko Mittel aus 5 Massen |
Mitgliedschaft ist die Person drin? |
Inferenz RAPID |
Logik Haushalte ohne Erwachsene |
|---|---|---|---|---|---|
| Originaldaten | 1.00 | 1.00 | 1.00 | 0.95 | 1.00 |
| synthpop | 0.98 | 0.53 | 1.00 | 0.92 | 0.97 |
| simPop | 0.78 | 0.20 | 0.03 | 0.64 | 1.00 |
| arf | 0.33 | 0.21 | 0.04 | 0.67 | 0.52 |
| fünf weitere Generatoren | 0.51–0.81 | 0.18–0.33 | 0.18–0.77 | 0.51–0.78 | 0.41–0.70 |
synthpop
Bester Nutzen – und ein Mitgliedschaftsrisiko auf dem Niveau der Originaldaten. Wer drin war, ist erkennbar.
Inferenz
Bleibt bei jedem Generator hoch (0.51 bis 0.92). Das Inferenzrisiko überlebt jede Synthese.
Die Wahl
Wo man zwischen Nutzen und Risiko steht, ist eine Governance-Entscheidung – keine statistische.
KI als Angreifer.
«So viel Aufwand betreibt doch niemand.» – die stille Annahme vom Anfang, jetzt mit Zahlen.
Der Flaschenhals war nie die Eindeutigkeit
Neu ist nicht das Risiko. Neu ist, wer die Arbeit macht.
Eindeutigkeit: seit über zehn Jahren belegt. · Was schützte: der Aufwand – geschulte Handarbeit, pro Person.
Datenbroker: «anonymisiert» heisst hier nur ohne Namen
- Rund 40 000 Apps geben Standortdaten weiter – Wetter, Dating, Spiele, Navigation.
- Ein einziger Broker-Datensatz: 12 Millionen Telefone, über 50 Milliarden Standortpings.
- «Anonymisiert» heisst beim Broker: Name und Gerätekennung entfernt, die Spur bleibt in voller Auflösung – pseudonymisiert.
- Dezember 2024: Die US-Handelsaufsicht FTC geht gegen zwei Broker vor – Verkauf sensibler Standortdaten.
Eine Kostprobe
Ein Broker bot unserem Team die Spuren von 800 000 Geräten an – gratis, in der Hoffnung auf einen Kauf.
In der Studie nur zur Kalibrierung der simulierten Spuren verwendet – Takt, Genauigkeit, Lücken. Niemand aus diesem Datensatz wurde re-identifiziert.
Sie verwalten keine Broker-Daten. Aber Ihre Register sind die andere Hälfte des Angriffs.
43 Bewegungsprofile, ein Agententeam, nur öffentliche Quellen
- 43 Freiwillige in der Schweiz, mit ausdrücklicher Einwilligung.
- GPS-Spuren über drei Wochen, simuliert um die echten Wohn- und Arbeitsadressen. Freizeitstopps sind erfundenes Rauschen.
- Der Angreifer erhält eine Gerätespur – so, wie man sie bei einem Datenbroker kauft.
- Erlaubt sind nur frei zugängliche Webquellen. Keine Fake-Profile, kein Social Engineering, keine Täuschung.
- Als Treffer zählt nur ein einziger, richtiger Name – von Hand gegen die Angaben aus der Einwilligung geprüft. Nur der Haushalt zählt nicht.
Das Raster verdichtet die Pings zuerst grob (rund 111 × 76 m), dann fein (rund 11 × 7,6 m) – und trifft damit das Gebäude.
Sieben Spezialagenten, sieben Schranken
Der Schlüssel ist der vierte Schritt: das Gebäude- und Wohnungsregister entscheidet, ob eine Adresse überhaupt auf eine Person führt. Dazu Telefonbuch, Handelsregister, Firmenwebsites, LinkedIn. Öffentliche Register sind Teil des Szenarios.
18 von 25 namentlich identifiziert
| Name genannt | nur Haushalt | kein Kandidat | Summe | |
|---|---|---|---|---|
| tatsächlich identifizierbar | 18 | 2 | 5 | 25 |
| nur Haushalt identifizierbar | 0 | 2 | 0 | 2 |
| nicht identifizierbar | 1 | 1 | 14 | 16 |
| Summe | 19 | 5 | 19 | 43 |
Was den Erfolg treibt: ein Eintrag im öffentlichen Einwohnerverzeichnis, ein Einfamilienhaus, ein nachprüfbarer Arbeitsort.
Was kostet ein Angriff heute?
«Nur mit unverhältnismässigem Aufwand möglich» – Sie entscheiden.
Und in grossem Massstab?
Alle 43 Läufe an einem Tag, vierfach parallel. Hochgerechnet: 10 000 Ziele für rund 22 400 $ – eigene Hochrechnung. Mit offenen Modellen auf eigener Hardware sinkt der Preis weiter: ohne Anbieterprotokoll, ohne Sicherheitsfilter.
Ehrlich bleiben
Es wurde kein Vergleich mit einem menschlichen Ermittler gemessen. Der Vorteil ist nicht das Tempo im Einzelfall, sondern: billig, parallel, ohne Menschen.
Was das Experiment zeigt – und was nicht
Was gilt
Unabhängige Einschätzung in der NZZ (ETH Zürich): glaubwürdig – und nicht überraschend. «Wir wissen seit über zehn Jahren, dass man Menschen anhand ihrer Standortdaten identifizieren kann.»
Eine Machbarkeitsstudie, keine Bevölkerungsschätzung. Für die Frage, ob eine Re-Identifizierung mit vernünftigem Aufwand möglich ist, genügt der Nachweis: billig, unbeaufsichtigt, parallel.
Was offen bleibt
- n = 43, nur Schweiz, simulierte Spuren.
- Jeder Fall einmal gelaufen.
- Kein Vergleich mit einem menschlichen Ermittler.
Agentische KI sitzt inzwischen an beiden Enden des Tisches
Als Angreifer
Sucht selbstständig im Web, kombiniert Register, soziale Netzwerke und Verzeichnisse, prüft die Evidenz und benennt eine Person.
Ohne Aufsicht, viele Ziele parallel. Das Fachwissen steckt im Modell und im Kontext, den man ihm mitgibt.
Als Verteidiger
Schlägt Anonymisierungsstrategien vor, führt sie aus, misst den Informationsverlust unter der k-Schranke und bessert nach.
Sieht nie eine Datenzeile – nur Variablennamen, Typen, aggregierte Risikozahlen. Unterschreiben muss ein Mensch.
Beide Rollen laufen auf demselben Modell. Getrennt werden sie durch das, was es sehen darf.
KI als Verteidiger
Weniger als 1 % der Schlüsselzellen unterdrückt, die besetzten Ausprägungen gehen um weniger als 3 % zurück. Der Mensch prüft den Vorschlag und unterschreibt.
Die ehrliche Grenze
Lokales 8-Mrd.-Modell: Variablen einordnen – ja, 15 von 15. Anonymisieren – nein, 0 von 30.
Gescheitert ist die Ausführung: Die Schleife nimmt nur gültige Werkzeugaufrufe an.
Was funktioniert bei KI wirklich? Antwort in fünf Zeilen
| Begriff | Was funktioniert – und was nicht |
|---|---|
| Pseudonymisierung | Schützt vor dem zufälligen Blick, nicht vor dem Angreifer mit Registern und Agent. Bleibt Personendatenbearbeitung – auch im Prompt. |
| Anonymisierung | Funktioniert, wenn sie gemessen wird: Szenario, Kennzahl vorher und nachher. Nicht, wenn sie behauptet wird. |
| Synthetische Daten | Sehr gut für Test, Entwicklung, Schulung, Sandbox. Nicht automatisch anonym: Mitgliedschafts- und Inferenzrisiko messen. |
| KI-Modelle selbst | Nicht automatisch anonym, wenn mit Personendaten trainiert (EDPB, Opinion 28/2024). Dieselbe Frage, dieselben Messungen. |
| KI als Anonymisierungshelfer | Ja – wenn das Modell nur das Codebuch sieht und ein Mensch unterschreibt. |
Funktioniert heisst: gemessen. Nicht: behauptet.
Fünf Sätze – und was daraus folgt
Risiko ist keine Eigenschaft eines Datensatzes, sondern eines Szenarios.
DSFA: mit dem Angreifer rechnen, der Register, Open Data und einen KI-Agenten hat. Workshop DSFA
Ob Daten anonym sind, entscheidet der Aufwand – heute 2 Dollar und 17 Minuten.
Standort- und Bewegungsdaten nie als anonym behandeln – auch nicht, wenn sie so geliefert werden.
Anonymisierung funktioniert, wenn man sie misst. Nicht, wenn man sie behauptet.
Bekanntgabe an die Forschung: «anonymisiert» heisst messbar anonymisiert – mit Szenario und Kennzahl.
Synthetische Daten verschieben das Risiko. Sie beseitigen es nicht.
Sandbox, Test, Pilotierung: Risiko messen, bevor die Datei das Haus verlässt. Workshop Sandbox
Dieselbe KI, die angreift, kann verteidigen – wenn sie die Daten nie sieht und ein Mensch unterschreibt.
KI-Werkzeuge: keine Personendaten im Prompt. Beim Anonymisieren sieht die KI nur das Codebuch. Workshop KI ohne Datenleck
Danke.
Fragen?
FHNW School of Business (ICC), Olten · swissanon.com
Thees, Müller & Templ (2026): Beyond the trade-off curve. Journal of Official Statistics, angenommen · arXiv:2510.23500
Templ (2026): sdcMicro – AI-assisted statistical disclosure control. SoftwareX, in Begutachtung · sdcMicro auf CRAN
NZZ am Sonntag, 30. August 2026: Wie ein Schweizer Forscher in ein paar Tagen die Basis für ein mächtiges Überwachungsinstrument schuf.
Folien, Literatur, Links
Literatur
Grundlagen und fremde Arbeiten
- Benedetti, R., Franconi, L. (1998): Statistical and technological solutions for controlled data dissemination. NTTS, Sorrento.
- de Montjoye, Y.-A. et al. (2013): Unique in the crowd. Scientific Reports 3, 1376.
- Domingo-Ferrer, J., Torra, V. (2008): A critique of k-anonymity and some of its enhancements. ARES, 990–993.
- Duncan, G. T., Keller-McNulty, S. A., Stokes, S. L. (2001): Disclosure risk vs data utility. NISS Technical Report 121.
- Dwork, C. (2006): Differential privacy. ICALP, 1–12.
- Farzanehfar, A., Houssiau, F., de Montjoye, Y.-A. (2021): The risk of re-identification remains high even in country-scale location datasets. Patterns 2(3), 100204.
- Fössing, E., Drechsler, J. (2024): An evaluation of synthetic data generators implemented in the Python library synthcity. PSD, LNCS, 178–193.
- Golle, P. (2006): Revisiting the uniqueness of simple demographics in the US population. WPES.
- Krumm, J. (2007): Inference attacks on location tracks. Pervasive, LNCS, 127–143.
- Machanavajjhala, A. et al. (2007): l-Diversity. ACM TKDD 1(1), Art. 3.
- Meineck, S., Dachwitz, I. (2024): Data broker files. netzpolitik.org und Bayerischer Rundfunk, 16. Juli 2024.
- Mühlhoff, R. (2021): Predictive privacy. Ethics and Information Technology 23.
- Nowok, B., Raab, G. M., Dibben, C. (2016): synthpop. Journal of Statistical Software 74(11).
- Rubin, D. B. (1993): Statistical disclosure limitation. Journal of Official Statistics 9(2), 461–468.
- Staab, R. et al. (2024): Beyond memorization. ICLR, arXiv:2310.07298.
- Sweeney, L. (2000): Simple demographics often identify people uniquely. Carnegie Mellon, Data Privacy Working Paper 3.
- Sweeney, L. (2002): k-Anonymity. Int. J. Uncertainty, Fuzziness and Knowledge-Based Systems 10(5), 557–570.
- Thompson, S. A., Warzel, C. (2019): Twelve million phones, one dataset, zero privacy. New York Times, 19. Dezember 2019.
Eigene Arbeiten
- Templ, M. (2017): Statistical Disclosure Control for Microdata – Methods and Applications in R. Springer, Cham.
- Templ, M., Kowarik, A., Meindl, B. (2015): sdcMicro. Journal of Statistical Software 67(4).
- Templ, M., Meindl, B., Kowarik, A., Dupriez, O. (2017): simPop. Journal of Statistical Software 79(10).
- Thees, O., Novák, J., Templ, M. (2024): Evaluation of synthetic data generators on complex tabular data. PSD, LNCS, 194–209.
- Thees, O., Müller, R., Templ, M. (2026): Agentic AI-powered re-identification: an emerging, scalable threat to mobility microdata privacy. Privacy in Statistical Databases, Springer LNCS. arXiv:2606.27936.
- Thees, O., Müller, R., Templ, M. (2026): Beyond the trade-off curve. Journal of Official Statistics, angenommen. arXiv:2510.23500.
- Templ, M., Thees, O., Müller, R. (2026): RAPID. arXiv:2602.09235.
- Templ, M. (2026): sdcMicro – AI-assisted statistical disclosure control of microdata in R. SoftwareX, in Begutachtung.
Software
- R-Pakete auf CRAN: sdcMicro, simPop, laeken, riskutility.
Recht, Aufsicht, Presse
Schweiz und Kanton Zürich
- Gesetz über die Information und den Datenschutz (IDG, LS 170.4), § 3 Abs. 3 und 4, § 18, § 23.
- Bundesgesetz über den Datenschutz (DSG, SR 235.1), Art. 5 lit. a.
- Datenschutzbeauftragte des Kantons Zürich: Lexikon «Anonymisierte Daten» und «Personendaten», datenschutz.ch.
- Datenschutzbeauftragte des Kantons Zürich (2025): Merkblatt «Vorgehen beim Einsatz von KI bei öffentlichen Organen», V1.0.
- Datenschutzbeauftragte des Kantons Zürich: Merkblatt «Personendaten für Forschungsvorhaben».
Europa, USA, Presse
- DSGVO (EU) 2016/679, Erwägungsgrund 26.
- EuGH, Urteil vom 4. September 2025, C-413/23 P, EDPS/SRB.
- EDPB (2024): Opinion 28/2024 on certain data protection aspects related to the processing of personal data in the context of AI models, 17. Dezember 2024.
- EDPB (2025): Guidelines 01/2025 on pseudonymisation, angenommen am 16. Januar 2025 (Konsultationsfassung).
- Federal Trade Commission (2024): Pressemitteilungen zu Gravy Analytics und Mobilewalla, 3. Dezember 2024.
- da Silva, G. (2026): Wie ein Schweizer Forscher in ein paar Tagen die Basis für ein mächtiges Überwachungsinstrument schuf. NZZ am Sonntag, 30. August 2026.
Fragen, die erfahrungsgemäss kommen.
Sind synthetische Daten Personendaten?
Kein Rechtsbegriff, also keine Rechtsantwort. Die technische Antwort steckt in drei der zehn Kennzahlen: Mitgliedschaft (MIA), Nähe zu echten Zeilen (DCR), Inferenz (RAPID).
Risiko
- RepU – wurden echte Zeilen reproduziert?
- TCAP – lässt sich ein sensibles Merkmal zuordnen?
- RAPID – wie viel Inferenz erlaubt die Freigabe?
- MIA – lässt sich die Teilnahme erkennen?
- DCR – wie nah liegen synthetische an echten Zeilen?
Nutzen
- pMSE – sind echt und synthetisch unterscheidbar?
- CIProx – stimmen die Konfidenzintervalle?
- Wasserstein – stimmen die Verteilungen?
- CMD – bleibt die Korrelationsstruktur erhalten?
- NoAdultHH – sind die Daten logisch möglich?
5 × 5 = 25 Karten, wenn man alle Paare zeigen will.
Oder ein Mittelwert – in dem die eine kritische Schwäche verschwindet.
Erst nebeneinander sieht man es
| Risiko – klein ist gut | Nutzen – gross ist gut | |||||||||
|---|---|---|---|---|---|---|---|---|---|---|
| Generator | RepU | TCAP | RAPID | MIA | DCR | pMSE | CIProx | Wasserstein | CMD | NoAdultHH |
| synthpop ★ | 0.19 | 0.24 | 0.92 | 1.00 | 0.26 | 0.97 | 0.99 | 1.00 | 0.95 | 0.97 |
| arf | 0.17 | 0.13 | 0.67 | 0.04 | 0.03 | 0.52 | 0.28 | 0.05 | 0.27 | 0.52 |
| MostlyAI ★ | 0.16 | 0.09 | 0.78 | 0.41 | 0.10 | 0.90 | 0.89 | 0.99 | 0.56 | 0.70 |
| simPop ★ | 0.18 | 0.05 | 0.64 | 0.03 | 0.08 | 0.64 | 0.94 | 0.99 | 0.34 | 1.00 |
| GRETEL | 0.11 | 0.06 | 0.62 | 0.77 | 0.05 | 0.34 | 0.96 | 0.97 | 0.65 | 0.49 |
| synthcity | 0.07 | 0.07 | 0.51 | 0.25 | 0.01 | 0.34 | 0.63 | 0.96 | 0.19 | 0.41 |
| SDV_GC | 0.13 | 0.07 | 0.60 | 0.18 | 0.01 | 0.44 | 0.87 | 0.88 | 0.49 | 0.51 |
| SDV_VAE ★ | 0.05 | 0.05 | 0.53 | 0.24 | 0.01 | 0.52 | 0.87 | 0.95 | 0.31 | 0.52 |
| original ★ | 1.00 | 1.00 | 0.95 | 1.00 | 1.00 | 1.00 | 1.00 | 1.00 | 1.00 | 1.00 |
synthpop
Bester Nutzen – und ein Mitgliedschaftsrisiko auf dem Niveau der Originaldaten.
arf
Geringes Mitgliedschafts- und Distanzrisiko – aber ein Inferenzrisiko wie alle anderen und eine Verteilungstreue, die zusammenbricht.
RAPID
Bleibt bei jedem Generator hoch (0,51 bis 0,92). Das Inferenzrisiko überlebt jede Synthese.
Pareto statt Sieger
Die Front ersetzt den Sieger durch eine Auswahl. Wo man auf ihr steht, ist eine Governance-Entscheidung – keine statistische.
Pareto-optimal = Auswahlliste
Kein anderes Verfahren ist gleichzeitig sicherer und nützlicher. Vier von acht bleiben übrig.
Warum die grauen wegfallen
GRETEL etwa: simPop ist sicherer und nützlicher zugleich. Damit ist GRETEL aus dem Rennen.
Der letzte Schritt ist der teuerste
Von synthpop zum Original steigt das Risiko 27-mal stärker als der Nutzen.
Praktisch: Die synthetische Datei kostet rund 2 % Nutzen und nimmt gut die Hälfte des Risikos.
Was als Nächstes billiger wird
Modelle, die zu Hause laufen
- Offene Modelle auf handelsüblicher Hardware senken den Kostenboden weiter.
- Ohne Aufruf bei einem Anbieter gibt es kein Protokoll, in dem so ein Lauf auffällt – und keinen Zugang, den jemand sperren könnte.
- Und keine Sicherheitsfilter des Anbieters.
Agenten, die Kontakt aufnehmen
- Anrufe, E-Mails, gefälschte Profile.
- Geolokalisierung aus Fotos, Gesichtserkennung, Personensuchdienste.
- Technisch heute möglich – in dieser Studie bewusst nicht getan.
Das sind Skizzen, keine Messungen. Aber die Richtung ist eindeutig: die Zahlen von vorhin sind eher eine Obergrenze der Kosten als eine Untergrenze.
Warum kommt Differential Privacy nicht vor?
Was sie leistet
Eine beweisbare Schranke: Ob eine einzelne Person in den Daten ist oder nicht, darf das Ergebnis nur um den Faktor eε verändern.
Damit ist sie das einzige Verfahren hier, das ohne Annahme über den Angreifer auskommt – und deshalb gegen die Kostenfrage immun.
Warum sie hier trotzdem fehlt
- Sie beantwortet eine andere Frage: nicht «wie riskant ist diese Datei», sondern «was kostet diese Auswertung an Budget».
- Für ganze Mikrodatensätze mit brauchbarem ε ist sie in der Verwaltung wie in der amtlichen Statistik bis heute die Ausnahme.
- Und sie löst das Inferenzproblem nicht, sie definiert es weg: Was aus der Population lernbar ist, gilt nicht als Schaden.
Genau dort trennen sich Dwork und Mühlhoff – und dort liegt das Inferenzrisiko aus Teil 3.
Und bei Umfragen? Stichprobe ist nicht Bevölkerung
Die zweite Lücke der k-Anonymität
Einmal in der Stichprobe, Gewicht 100: hundert Kandidaten in der Bevölkerung. Gewicht 1: auch im Land einzigartig.
Die Summe der Einzelrisiken ist die erwartete Zahl korrekt zugeordneter Personen – die Kennzahl von Folie 14.
Was das für die Praxis heisst
k-Anonymität zählt nur, was in der Datei steht. Bei Stichproben braucht das Risiko die Bevölkerung dahinter – belastbar, wenn die Schlüsselvariablen im Stichprobendesign vorkommen, sonst modelliert (Benedetti & Franconi 1998).
Bei Registern und Verwaltungsdaten entfällt die Frage: Die Datei ist die Bevölkerung.
Text ist nicht Tabelle: Akten, Entscheide, Berichte
Was anders ist
- Keine Schlüsselhäufigkeit, die man zählen könnte. Die Methode ist Erkennen und Ersetzen: Namen, Orte, Daten, Fallnummern, Berufe.
- Der Kontext bleibt: «der einzige Landwirt der Gemeinde mit einer Biogasanlage» braucht keinen Namen.
- Was das Modell liest, sieht es. Keine Firewall wie bei Tabellen – also lokal betreiben oder als Auftragsbearbeitung regeln.
Was gleich bleibt
- Das Szenario: Wer liest den Text, was weiss er schon, was kann er verknüpfen?
- Messen statt behaupten: eine Stichprobe der Dokumente von Hand gegenprüfen, Erkennungsrate und Restrisiko berichten.
- Auch ein sauber geschwärzter Text kann per Inferenz offenlegen – die vierte Karte von Folie 7.
Woran wir gerade arbeiten
Längsschnitt- und Ereignisdaten
Mobilität · Ereignisdaten ·
klinische Studien.
Jede weitere Welle: eindeutiger.
Risiko über Record Linkage
Probabilistisch, bayesianisch ·
distanzbasiert.
Für Längsschnitte bisher kein brauchbares Mass.
Synthetische Bevölkerung im Verkehr
SynPop-Datensatz.
Verkehrsmodelle ohne echte Wege.
Risiko bei fehlenden Werten
NA im Schlüssel passt
überall.
Häufigkeit mehrdeutig → über den rekonstruierenden
Angreifer.
Optimale lokale Unterdrückung
kAnon(): heute heuristisch,
künftig exakt
– über gemischt-ganzzahlige lineare Programme
(MILP).
Weiter an beidem:
KI-gestützte
Angriffe · KI als Anonymisierer.
Hängt die Pareto-Front nicht von der Skalierung ab?
Ja und nein – und der Unterschied ist der Punkt. Die multivariate Front ist skalierungsinvariant: monotone Transformationen je Kennzahl ändern keine Dominanzbeziehung. Skalierungsabhängig ist erst die zusammengefasste Karte.
| Skalierung | Pareto-optimal auf der zusammengefassten Karte |
|---|---|
| roh | Verfahren 3, Verfahren 4 |
| Min-Max | Verfahren 2, Verfahren 3, Verfahren 4 |
| z-Standardisierung | Verfahren 2, Verfahren 3 |
Das Paper sagt es selbst: die Dominanz wird auf den zusammengefassten Werten ausgewertet, nicht auf den rohen Vektoren. Deshalb gehört die gewählte Standardisierung in jeden Bericht – und deshalb keine Risikoschwelle auf eine zusammengesetzte Achse, sondern auf die Achse der einzelnen Kennzahl.
Die Abbildung aus dem Paper
Was hier anders ist als auf Reserve 3
Gezeichnet sind Einzelreplikate, nicht Mittelwerte, und die Achsen sind gewichtete Composites (ω, α) statt einfacher Mittel. Die Front und das Knie fallen gleich aus.
Die Steigungen an der Front
Jede Zahl an der Front ist ΔRisiko / ΔNutzen. Der letzte Schritt zum Original: 27.68 hier, 19.5 auf den einfachen Mitteln von Reserve 3.
