Das gescannte Dokument im Anhang

Der blinde Fleck, den viele Filter haben

Eine Personendaten-Erkennung, die nur auf reinen Text achtet, wirkt auf den ersten Blick vollständig — bis ein Ticket mit einem eingescannten Vertrag, einem Foto einer Ausweiskopie oder einer exportierten PDF-Rechnung als Anhang auftaucht. Für ein System, das reinen Text durchsucht, existiert der Inhalt eines solchen Dokuments schlicht nicht: Es ist aus seiner Sicht ein undurchsichtiger Datenblock, kein durchsuchbarer Text. Genau in diesen Anhängen stecken in der Praxis aber oft die brisantesten Informationen überhaupt — eine Gehaltsabrechnung, ein Ausweisfoto, eine handschriftlich unterschriebene Vereinbarung.

Ein KI-Assistent, der ein Ticket samt Anhang liest, würde diesen Inhalt unter Umständen trotzdem verarbeiten — schließlich kann ein modernes Modell durchaus auch Bilder und Dokumente interpretieren. Genau das ist der Moment, an dem eine Schwärzung, die nur auf Text schaut, ins Leere läuft.

Die Grundregel: unprüfbar heißt nicht durchgereicht

JiCos Grundhaltung gegenüber Anhängen ist bewusst strenger als beim reinen Ticket-Text: Ein Anhang, der sich nicht zuverlässig prüfen lässt, wird gar nicht erst an ein Modell weitergereicht — unabhängig davon, wie harmlos er im Einzelfall tatsächlich sein mag. Das ist dieselbe Fail-closed-Logik, die auch bei unbekannten Werkzeugen gilt: Im Zweifel wird zurückgehalten, nicht durchgelassen.

Für die drei häufigsten Anhangsformen gibt es dabei jeweils einen eigenen Prüfweg. Reiner Text wird wie der Ticket-Inhalt selbst durch die PII-Schleuse geführt. PDF-Dokumente werden zunächst auf eine vorhandene, durchsuchbare Textebene geprüft; existiert keine — etwa weil es sich um einen reinen Scan handelt —, kommt eine lokale Texterkennung (Tesseract) zum Einsatz, die den Bildinhalt erst in prüfbaren Text verwandelt, bevor die eigentliche Schwärzung überhaupt beginnen kann. Bilder durchlaufen ein lokal betriebenes Sichtmodell, das ebenfalls ohne Cloud-Anbindung auskommt.

Wann ein Anhang komplett blockiert wird

Selbst nach erfolgreicher Erkennung gibt es Fälle, in denen JiCo einen Anhang lieber ganz zurückhält, statt ihn geschwärzt weiterzugeben. Ein erkanntes Secret — ein Zugangstoken, ein Passwort — blockiert den gesamten Anhang, weil ein einzelner übersehener Rest davon schwerer wiegt als der Nutzen des restlichen Inhalts. Dieselbe Regel gilt, wenn die Erkennung selbst unsicher ist: Liegt die Erkennungssicherheit unter siebzig Prozent, wird der Anhang ebenfalls nicht durchgereicht, statt eine unsichere Schwärzung als vermeintlich sicher auszugeben.

Besonders bemerkenswert ist eine dritte Kategorie: Erkennt das lokale Sichtmodell in einem Bild eine Handschrift, eine Unterschrift oder ein Ausweisdokument, wird der Anhang ebenfalls blockiert — unabhängig davon, ob im übrigen Bild überhaupt klassische Personendaten wie Namen oder Telefonnummern zu erkennen wären. Eine Unterschrift oder ein Ausweisfoto sind für sich genommen schon derart eindeutig einer Person zuzuordnen, dass sie eine eigene, strengere Behandlung verdienen als ein Fließtext mit einem darin versteckten Namen.

Was am Ende beim Modell ankommt

Besteht ein Anhang alle diese Prüfungen, kommt beim Modell nicht das Originaldokument an, sondern eine Fassung mit geschwärzten Fundstellen — inklusive der Personen, die aus dem umgebenden Ticket bereits bekannt sind, damit dieselbe Person nicht im Ticket-Text pseudonymisiert, im Anhang aber im Klartext sichtbar wird. Diese Konsistenz zwischen Ticket und Anhang ist kein Nebeneffekt, sondern ein bewusstes Ziel: Eine Schwärzung, die zwischen verschiedenen Teilen desselben Vorgangs unterschiedlich streng wäre, ließe sich leicht aushebeln, indem man dieselbe Information einfach in den vermeintlich schwächer geprüften Teil verschiebt.

Fehlen die technischen Voraussetzungen für eine Prüfung überhaupt — etwa weil ein benötigtes Werkzeug auf dem jeweiligen Rechner gar nicht installiert ist —, meldet JiCo das offen als „nicht prüfbar", statt stillschweigend eine schwächere Prüfung durchzuführen und das nicht kenntlich zu machen. Welche Hilfswerkzeuge im Einzelnen vorhanden sind und was ohne sie blockiert wird, lässt sich jederzeit im eigenen Konfigurationscheck nachsehen.

Eine strengere Regel für eine Datenart, die es verdient

Am Ende steht eine einfache Beobachtung: Ein Anhang ist im Zweifel riskanter als der Ticket-Text selbst, weil er häufiger genau die Art von Dokument enthält, die man niemals ungeprüft weitergeben möchte — eine Unterschrift, einen Ausweis, eine Gehaltsabrechnung. Eine Regel, die Anhänge deshalb bewusst strenger behandelt als reinen Fließtext, ist keine übertriebene Vorsicht, sondern die angemessene Reaktion auf eine Datenart, die in der Praxis überproportional oft genau das enthält, wovor die ganze übrige Schleuse eigentlich schützen soll.