Synthetische Daten: Testen ohne echte Kundendaten – und ohne DSGVO-Bauchweh
Es gibt eine Sache, über die in kleinen Betrieben ungern gesprochen wird, weil sie fast überall gleich läuft: Wenn eine neue Software getestet werden soll, zieht jemand schnell eine Kopie der echten Datenbank. Auf einen Testrechner, in eine Testumgebung, manchmal gleich zum externen Dienstleister. Ich habe das in den vergangenen Jahren so oft gesehen, dass ich es kaum noch für einen Einzelfall halte. Datenschutzrechtlich ist es ein Drahtseilakt — praktisch ist es der bequemste Weg.
Für genau dieses Problem gibt es inzwischen eine saubere Lösung, und die wird gerade schnell erwachsen: synthetische Daten.
Was sind synthetische Daten?
Synthetische Daten sind künstlich erzeugte Datensätze, die echte Daten in ihren statistischen Eigenschaften nachbilden — ohne einen realen Personenbezug zu enthalten. Übersetzt: erfundene Kunden, erfundene Adressen, erfundene Rechnungen. Aber die Verteilung stimmt. Wenn in Ihren echten Daten 12 Prozent der Rechnungen zu spät bezahlt werden, sind es im synthetischen Satz auch ungefähr 12 Prozent. Wenn es typische Ausreißer gibt, gibt es die dort ebenfalls.
Das ist der entscheidende Unterschied zu dem, was viele bisher machen: Namen durch „Max Mustermann“ zu ersetzen. Solche Daten sind entweder nicht wirklich anonym oder sie sind für einen realistischen Test unbrauchbar.
Wie werden sie erzeugt?
Das Mittelstand-Digital Zentrum Berlin nennt vier gängige Verfahren:
- GANs (Generative Adversarial Networks) – zwei KI-Modelle spielen gegeneinander, eines erzeugt Daten, das andere versucht die Fälschung zu erkennen. Ergebnis: sehr realistische Datensätze.
- Variational Autoencoder – gut geeignet für strukturierte Daten wie Tabellen.
- Transformer-Modelle – dieselbe Familie, die auch hinter ChatGPT steckt; stark bei Texten und Zeitreihen.
- Regelbasierte Verfahren – ganz ohne KI, einfach nach vorgegebenen Regeln. Unspektakulär, aber für viele Testfälle völlig ausreichend.
Warum ist das ein Datenschutz-Gewinn?
Weil der Personenbezug gar nicht erst entsteht. Synthetische Datensätze sind vollständig fiktiv und nicht von einzelnen echten Personen abgeleitet. Bei sachgerechter Erzeugung gelten sie damit nicht als personenbezogene Daten im Sinne der DSGVO. Das heißt konkret: keine Einwilligung nötig, keine Löschfristen, keine Einschränkungen bei der Weitergabe an Dienstleister oder bei der Analyse.
Das Mittelstand-Digital Zentrum Berlin nennt drei sehr handfeste Anwendungsfälle: Softwaretests für Abrechnungssysteme, Produktentwicklung in der Medizintechnik mit fiktiven Patientenprofilen und Tarifsimulationen bei Versicherungen. Das sind keine Konzernthemen — das sind Aufgaben, die auch bei einem 30-Personen-Betrieb anfallen.
Wie groß wird das?
Groß. Gartner erwartet, dass synthetische Daten reale Daten im KI-Training bis 2030 überflügeln werden. Ein Grund dafür ist unangenehm banal: Der Vorrat an frei verfügbarem, von Menschen geschriebenem Text im Internet gilt als zwischen 2026 und 2032 weitgehend ausgeschöpft. Der Markt für Werkzeuge zur Datenerzeugung wächst entsprechend — von rund 290 Millionen Dollar im Jahr 2022 auf prognostizierte 2,3 Milliarden Dollar bis 2030.
Was wir davon halten — inklusive der unbequemen Seite
Wir bei Media Nord halten synthetische Daten für eines der wenigen KI-Themen, bei denen der Nutzen für kleine Betriebe sofort greifbar ist. Kein Hype, kein Zukunftsversprechen: Sie können damit morgen aufhören, echte Kundendaten in Testumgebungen zu schieben.
Trotzdem gehört die andere Seite dazu, und sie wird von Anbietern gern übersprungen:
- Re-Identifikation: Bei kleinen Ausgangsdatensätzen lassen sich Personen unter Umständen doch zurückrechnen. Wer 80 Kunden hat, hat ein anderes Risiko als wer 80.000 hat.
- Verzerrungen: Sind die Ausgangsdaten schief, ist die synthetische Kopie genauso schief — teils sogar deutlicher, weil Vereinfachungen bestehende Muster verstärken.
- Genauigkeit: Für sensible Anwendungen kann die Nachbildung schlicht zu ungenau sein.
- Fehlende Standards: Es gibt bislang keine einheitlichen Vorgaben, wie Erzeugung und Qualität zu dokumentieren sind. Fachleute mahnen genau das an — und wer nichts dokumentiert, kann im Zweifel auch nichts belegen.
Ehrlich gesagt halte ich den letzten Punkt für den wichtigsten. „Ist ja synthetisch“ ist keine Rechtsauskunft. Wer synthetische Daten als Datenschutzargument verwendet, sollte schriftlich festhalten, wie sie entstanden sind und warum kein Rückschluss möglich ist.
Unser Tipp aus der Praxis
Fangen Sie klein und pragmatisch an:
- Klären Sie zuerst, wo überhaupt echte Daten in Testumgebungen liegen. Bei den meisten Betrieben ist allein diese Bestandsaufnahme aufschlussreich.
- Nutzen Sie für einfache Tests zunächst regelbasierte Erzeugung. Die braucht keine KI und ist in einem Nachmittag eingerichtet.
- Setzen Sie KI-Verfahren dort ein, wo es auf realistische Verteilungen ankommt — etwa bei Auswertungen oder Demos für Kunden.
- Lassen Sie das Ergebnis einmal fachlich prüfen und dokumentieren Sie das Verfahren.
Häufige Fragen
Sind synthetische Daten wirklich DSGVO-frei?
Bei sachgerechter Erzeugung ja, weil kein Personenbezug besteht. Entscheidend ist das „sachgerecht“ — insbesondere bei kleinen Datenmengen.
Brauche ich dafür teure Software?
Nicht zwingend. Für viele Testfälle reichen regelbasierte Generatoren, die in gängigen Entwicklungsumgebungen bereits enthalten sind.
Kann ich damit auch KI-Modelle trainieren?
Ja, das ist sogar der größte Anwendungsbereich. Achten Sie dabei besonders auf Verzerrungen — ein Modell, das nur auf künstlichen Daten lernt, übernimmt deren Schwächen ungefiltert.
Ersetzt das die Anonymisierung?
Nicht in jedem Fall. Für Auswertungen echter Vorgänge brauchen Sie weiterhin echte Daten. Für Tests, Demos und Schulungen sind synthetische Daten meist der bessere Weg.
Wir schauen uns solche Datenschutzfragen regelmäßig mit Kunden an und melden uns, wenn es beim Thema synthetische Daten Neues gibt.
Quellen
- https://digitalzentrum-berlin.de/synthetische-daten-dsgvo-konform-erstellen
- https://www.informatik-aktuell.de/betrieb/kuenstliche-intelligenz/kidatenschutz-dsgvo-konforme-anonymisierung-sensibler-daten.html
- https://www.techpolicy.press/the-urgency-of-standards-for-synthetic-data-in-the-era-of-agentic-ai/
Hinweis zur Transparenz: Dieser Beitrag wurde KI-gestützt erstellt und vor der Veröffentlichung redaktionell geprüft. Inhalte können Fehler enthalten — für wichtige Entscheidungen bitte die verlinkten Originalquellen heranziehen.
