Differential Privacy

Differential Privacy (DP) ist eine mathematische Definition von Datenschutz für Algorithmen, die Daten analysieren: Ein Algorithmus ist differentiell privat, wenn sich seine Ausgabeverteilung kaum verändert, wenn der Datensatz einer einzelnen Person der Eingabe hinzugefügt oder daraus entfernt wird. Was auch immer ein Beobachter aus der Ausgabe lernt, hätte er ohne die Daten dieser Person nahezu genauso erfahren. Das Ergebnis verrät also fast nichts über diese Person im Einzelnen. Differential Privacy wird eingesetzt, um Ergebnisse der Datenanalyse zu veröffentlichen und maschinelle Lernmodelle mit sensiblen Daten wie medizinischen Bildern und Tastatureingaben zu trainieren. Cynthia Dwork, Frank McSherry, Kobbi Nissim und Adam Smith führten die Definition 2006 in ihrer Facharbeit Rauschen an die Sensitivität in der privaten Datenanalyse anpassen ein. Für diese Arbeit erhielten sie 2017 den Gödel-Preis. Die Garantie gilt auch gegen Angreifer mit beliebig vielen externen Informationen. Genau hier versagt die herkömmliche Anonymisierung: Entfernte Identifikatoren können durch Verknüpfung mit anderen Datenbanken wieder zugeordnet werden.

Epsilon, Sensitivität und das Datenschutzbudget#

Ein randomisierter Algorithmus M ist ε-differenziell privat, wenn für zwei beliebige Datensätze D und D′, die sich in einem Datensatz unterscheiden, und eine beliebige Ausgabemenge S gilt: Pr[M(D) ∈ S] ≤ e^ε × Pr[M(D′) ∈ S]. Der Parameter Epsilon (ε) begrenzt, wie stark eine Person die Ausgabe beeinflussen kann: Kleinere Werte bedeuten besseren Datenschutz und verrauschtere Ergebnisse. Die abgeschwächte Version (ε, δ) erlaubt, dass die Schranke mit einer sehr kleinen Wahrscheinlichkeit δ verletzt wird, die üblicherweise viel kleiner ist als eins geteilt durch die Anzahl der Datensätze.

Das Rauschen wird anhand der Sensitivität kalibriert, also danach, wie stark ein Datensatz das Ergebnis höchstens verändern kann. Eine Zählung ändert sich um höchstens 1, daher gibt der Laplace-Mechanismus die wahre Anzahl mit hinzugefügtem Laplace-Rauschen der Skala 1/ε aus. Auch der Verlust an Datenschutz summiert sich: Werden k Abfragen mit jeweils ε beantwortet, werden insgesamt bis zu k × ε verbraucht. Deshalb legen Organisationen ein Datenschutzbudget für einen Datensatz fest und beenden die Beantwortung von Abfragen, sobald das Budget aufgebraucht ist. Der folgende Code gibt eine Anzahl mit drei Datenschutzstufen aus und misst sowohl den Fehler als auch, wie oft ein Angreifer anhand der Ausgabe erkennen kann, ob eine Person in den Daten enthalten war:

import numpy as np

rng = np.random.default_rng(0)

# A count over 1,000 records, and a neighboring dataset with one person removed
true_count = 412
neighbor_count = true_count - 1

for epsilon in (0.1, 1.0, 10.0):
    # Laplace mechanism: a count has sensitivity 1, so the noise scale is 1 / epsilon
    released = true_count + rng.laplace(scale=1 / epsilon, size=100_000)
    released_neighbor = neighbor_count + rng.laplace(scale=1 / epsilon, size=100_000)

    # Utility: average error. Privacy: accuracy of guessing whether the person is included
    error = np.abs(released - true_count).mean()
    threshold = true_count - 0.5
    attack = ((released > threshold).mean() + (released_neighbor <= threshold).mean()) / 2
    print(f"epsilon={epsilon:<4} mean error={error:6.2f}  attacker accuracy={attack:.1%}")

Bei ε = 0,1 beträgt der durchschnittliche Fehler 9,98, und der Angreifer liegt in 52,5 % der Fälle richtig – kaum besser als ein Münzwurf. Bei ε = 1 sinkt der Fehler auf 1,00 und der Angreifer erreicht 69,5 %. Bei ε = 10 beträgt der Fehler 0,10 und der Angreifer hat in 99,7 % der Fälle Erfolg. Die höchste Genauigkeit, die ein Angreifer gegen eine ε-differentiell private Ausgabe erreichen kann, ist e^ε / (1 + e^ε): 52,5 % bei ε = 0,1 und 73,1 % bei ε = 1.

Training mit Differential Privacy#

DP-SGD, 2016 von Martín Abadi und seinen Kollegen bei Google eingeführt, macht Deep Learning differentiell privat, indem es den stochastischen Gradientenabstieg verändert. Der Algorithmus begrenzt den Gradienten jedes Trainingsbeispiels auf eine maximale Norm, sodass kein einzelnes Beispiel die Modellgewichte zu stark verändern kann. Außerdem fügt er den aufsummierten Gradienten jedes Stapels Gaußsches Rauschen hinzu und verwendet einen Datenschutzbuchhalter, um das während des Trainings insgesamt verbrauchte ε zu erfassen. Dadurch wird begrenzt, wie stark sich das trainierte Modell ein einzelnes Beispiel merken kann. Das schränkt Mitgliedschaftsinferenzangriffe direkt ein. Der Preis dafür sind geringere Genauigkeit und höherer Rechenaufwand. DP-Modelle benötigen daher meist größere Stapel und Datensätze. Googles VaultGemma, 2025 veröffentlicht, ist ein großes Sprachmodell mit einer Milliarde Parametern, das vollständig mit DP-SGD bei ε ≤ 2,0 und δ ≤ 1,1e-10 vortrainiert wurde.

Bibliotheken wie Metas Opacus für PyTorch berechnen die Gradienten für einzelne Beispiele, die DP-SGD benötigt, und lehnen Schichten ab, die Informationen zwischen Beispielen vermischen. Ein typischer Fall ist die Batch-Normalisierung, da der normalisierte Wert eines Beispiels von den übrigen Beispielen im selben Batch abhängt. Bei einem Faltungs-Detektor wie Ultralytics YOLO26, dessen Faltungsblöcke nach jeder Faltung eine Batch-Normalisierung anwenden, müssen diese Schichten vor dem Training mit DP-SGD durch Gruppen-Normalisierung ersetzt werden. Opacus' ModuleValidator.fix() übernimmt diesen Austausch automatisch.

Anwendungsbereiche von Differential Privacy#

• Amtliche Statistiken: Die US-Volkszählung von 2020 war die erste zehnjährliche Volkszählung, deren Ergebnisse unter Einsatz von Differential Privacy veröffentlicht wurden.
• Lokale Differential Privacy: Googles RAPPOR in Chrome (2014) und Funktionen von Apple iOS (2016) fügen dem Gerät Rauschen hinzu, bevor Daten es verlassen. So erfährt das Unternehmen aggregierte Trends, etwa welche Emojis beliebt sind, ohne die tatsächlichen Werte eines Nutzers zu erfassen.
• Föderiertes Lernen: Die Daten bleiben auf den Geräten. Wird Differential Privacy auf die Aktualisierungen des gemeinsamen Modells angewendet, begrenzt das, was diese über die Daten einzelner Nutzer preisgeben.
• Synthetische Daten: Mit Differential Privacy trainierte Generatoren erzeugen gemeinsam nutzbare Datensätze, die für die Personen in den ursprünglichen Daten dieselbe ε-Garantie bieten.

Differential Privacy ist eine Technik innerhalb des umfassenderen Bereichs des Datenschutzes und ergänzt Datensicherheit und vertrauliche KI, die Daten während der Speicherung und Verarbeitung vor unbefugtem Zugriff schützen. NISTs SP 800-226, im März 2025 fertiggestellt, enthält Leitlinien zur Bewertung von Differential-Privacy-Garantien. Darin wird darauf hingewiesen, dass eine Angabe von ε nur zusammen mit der geschützten Einheit aussagekräftig ist, etwa einem Ereignis oder einer Person.