Homomorphe Verschlüsselung rechnet auf Daten, ohne den Klartext je offenzulegen. Google hat am 14. August 2026 den quelloffenen Compiler HEIR vorgestellt, der vortrainierte KI-Modelle auf verschlüsselte Eingaben umstellt. Weltweit sind bisher erst drei Produktivsysteme mit dieser Technik belegt.
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen
Mit homomorpher Verschlüsselung erkennen Googles neue Demos Kreditkartenbetrug und Netzwerkangriffe, ohne dass der Server den Klartext zu sehen bekommt.[1] Möglich macht das der Compiler HEIR, an dem Googles Forschungsteam seit 2023 arbeitet.
Das Wichtigste in Kürze
- HEIR stellt vortrainierte KI-Modelle auf verschlüsselte Eingaben um, vier Demos laufen auf einem einzelnen CPU-Kern.
- Bestätigt sind weltweit erst drei Produktivsysteme, alle ohne den teuren Bootstrapping-Schritt.
- Dokumentierte Angriffe reichen bis zum Auslesen des geheimen Schlüssels.
Was übersetzt der Compiler HEIR?
HEIR nimmt ein fertig trainiertes Modell und erzeugt daraus eine Fassung, die auf Chiffretexten rechnet. Entwickler markieren im Python-Programm die geheimen Datentypen, den kryptografischen Teil übernimmt der Compiler.
Der Name steht für Homomorphic Encryption Intermediate Representation. Technisch baut der Compiler auf der Infrastruktur MLIR auf. Am Ende steht Code für Bibliotheken wie OpenFHE und Lattigo. Von Hand verlangte dieselbe Umstellung bisher ein Team von Kryptografen.
Vier Anwendungen legt Google als Beleg vor, jede auf einem einzelnen CPU-Kern gemessen: ein Empfehlungsmodell, eine Kreditkarten-Betrugserkennung mit Niobium und hardshell.ai, das Netzwerk-Anomaliesystem Kitsune sowie eine Weckwort-Erkennung für sprachgesteuerte Agenten. „Unsere Vision ist, aus HEIR eine Ein-Klick-Lösung zu machen, mit der auch Nicht-Fachleute verschlüsselte Inferenz in produktive Anwendungen einbauen“, schreibt Jeremy Kun, Staff Software Engineer bei Google.[1]
Warum läuft die Technik so selten im Produktivbetrieb?
Rechenzeit und fehlende Integritätsgarantien bremsen den Einsatz. Belegt sind bisher drei Produktivsysteme, alle mit der abgespeckten Variante ohne Bootstrapping.
Diese Liste führt ausgerechnet Jeremy Kun selbst.[2] Microsoft prüfte 2021 im Edge-Browser Passwörter gegen eine Leak-Datenbank, Apple schaltete 2024 mit iOS 18 die Rufnummernsuche Live Caller ID Lookup frei, dazu kommt Apples verschlüsselte Bildersuche in der Fotos-App. Bootstrapping, der teure Aufräumschritt gegen das Rauschen im Chiffretext, fehlt in allen drei Fällen.
Gängige FHE-Verfahren sichern die Vertraulichkeit der Eingabe, nicht die Korrektheit der Rechnung. Ein böswillig betriebener Server kann ein falsches Ergebnis zurückliefern, und über manipulierte Chiffretexte lässt sich in dokumentierten Angriffen sogar der geheime Schlüssel rekonstruieren.[3] Verifizierbare FHE bleibt bis heute Forschungsthema.[4] Immerhin gilt die Gitter-Mathematik dahinter als quantensicher, auch wenn KI-Systeme die Kryptanalyse spürbar beschleunigen.
Googles HEIR senkt die Einstiegshürde von einem Kryptografen-Team auf einen Python-Import. Über den Nutzen entscheidet trotzdem, in wessen Hand der Schlüssel bleibt.
— Markus Seyfferth, Chefredakteur Dr. Web
Vier Stationen einer verschlüsselten Anfrage
Der Client verschlüsselt die Eingabe. Der geheime Schlüssel bleibt beim Nutzer.
HEIR übersetzt das trainierte Modell in Rechenschritte für Chiffretexte.
Der Server verarbeitet nur Chiffretexte und liefert ein verschlüsseltes Ergebnis.
Erst der Client macht aus dem Ergebnis wieder eine lesbare Antwort.
Zahlen zum Reifegrad
Demo-Anwendungen, jede auf einem einzelnen CPU-Kern gemessen
bestätigte Produktivsysteme weltweit, seit 2021
Compiler-Dialekte für Verfahren wie BGV, CKKS und CGGI
Universitäten forschen mit, von Georgia Tech bis Tsinghua
Der Server erfährt die Eingabe nie. Ob die Rechnung stimmt, garantiert bei gängigen Verfahren niemand.
Was bedeutet das für die DSGVO?
Verschlüsselte Verarbeitung verschiebt die Rollen, hebt die DSGVO aber nicht auf. Der EuGH hat am 4. September 2025 entschieden, dass pseudonymisierte Daten für einen Empfänger ohne Mittel zur Zuordnung nicht automatisch personenbezogen sind.[5]
Ein Rechenzentrum ohne Schlüssel, das nur Chiffretexte verarbeitet, steht damit anders da als ein Auftragsverarbeiter mit Klartextzugriff. Genau am Entschlüsselungspunkt entscheidet sich heute schon die Frage der souveränen Cloud. Artikel 32 der DSGVO nennt Verschlüsselung ausdrücklich als technische Maßnahme, einen Freibrief liefert die Vorschrift nicht.
Der Europäische Datenschutzausschuss hat am 17. Dezember 2024 festgehalten, dass ein auf personenbezogenen Daten trainiertes KI-Modell nicht pauschal als anonym gilt.[6] Zwei Punkte gehören deshalb in jede Bewertung: die Schlüsselverwaltung im eigenen Unternehmen und der Nachweis, dass der Dienstleister das Ergebnis nicht unbemerkt verfälscht. Eine KI-gestützte Datenpanne kostet im Schnitt 5,22 Millionen Euro, der Kostenvergleich fällt also nicht von vornherein gegen die Kryptografie aus.
Für den Einstieg eignet sich ein eng geschnittener Fall, etwa eine Betrugsprüfung oder ein Nachschlagedienst. Große Sprachmodelle bleiben vorerst außer Reichweite, denn Googles Demos messen einzelne Inferenzen auf einem CPU-Kern und keine Chatbot-Last. Die Anbieter der großen KI-Modelle verarbeiten Prompts bis heute im Klartext.
Quellen
[1] Jeremy Kun, Google: „How Google is Making Private AI Practical with Homomorphic Encryption“ (14. August 2026)
[2] Jeremy Kun: „Fully Homomorphic Encryption in Production Systems“
[3] Viand, Knabenhans, Hithnawi: „Verifiable Fully Homomorphic Encryption“ (arXiv:2301.07041)
[4] Knabenhans u. a.: „Systematic Review on Verifiable Fully Homomorphic Encryption“ (ACM, April 2026)
[5] EuGH, Urteil vom 4. September 2025, Rechtssache C-413/23 P (EDSB gegen SRB): Verfahrensakte
[6] Europäischer Datenschutzausschuss: Stellungnahme 28/2024 zu KI-Modellen (17. Dezember 2024)
Mehr Newshunger?
- Gestohlene Reasoning-Traces: Zwei API-Aufrufe rekonstruieren das Denken von Claude, GPT und Gemini
- Post-Quanten-Verfahren HAWK: Anthropics KI halbiert die Schlüsselstärke in 60 Stunden
- AMD entfernt klammheimlich die Speicherverschlüsselung aus Ryzen-CPUs
- Massenhafte Schwachstellen-Scans tarnen sich als KI-Bots wie ClaudeBot
- KI-Notiztool tl;dv: 181.874 Meetings in einer ungeschützten Datenbank
- iCloud-Verschlüsselung: Apple klagt gegen Londons zweiten Geheimbefehl
