Text anonymisieren (und wiederherstellen)

Wofür es gut ist und was es nicht tut

Laut Firmenrichtlinie dürfen Kundendaten nicht in einen Chat eingefügt werden, aber der Brief muss trotzdem geschrieben werden. Heute löscht man vorher von Hand und tippt hinterher von Hand wieder ein und vergisst dabei immer etwas. Hier läuft der Text durch einen Filter, der die Daten durch nummerierte, stabile Platzhalter ersetzt: Dieselbe IBAN bekommt immer [IBAN_1], überall im Text, damit jeder, der ihn liest, versteht, dass es immer dasselbe Konto ist. Dann fügst du die Antwort in das zweite Feld ein, und die Platzhalter werden wieder zu den echten Werten.

Was dieses Tool nicht tut, ist, Eigennamen zu erraten. Einen Nachnamen von einem gewöhnlichen Wort zu unterscheiden ist der Teil, der selbst in teuren Tools schlecht funktioniert, und ein stiller Fehler würde dich das Vertrauen in alles andere kosten. Namen maskierst du, indem du sie mit der Maus markierst und „Auswahl maskieren“ drückst oder sie in die Liste deiner eigenen Wörter einfügst: Das dauert zwei Sekunden, und es gibt nichts zu raten.

Erkannt wird nur, was die Prüfung besteht

Für jede Datenart gibt es eine echte Prüfung, dieselbe wie auf den Seiten dieser Website, die nur diese Prüfung durchführen: mod-97 für die IBAN (mit der richtigen Länge für das Land), das Prüfzeichen für die italienische Steuernummer und USt-IdNr., Luhn für Karten, der Prüfbuchstabe für spanische DNI- und NIE-Nummern. Stimmt die Prüfsumme nicht, bleiben die Daten unberührt.

Das ist eine bewusste Entscheidung: Wir lassen lieber eine elfstellige Rechnungsnummer unangetastet, als den Text mit zufälligen Platzhaltern zu füllen. Die Kehrseite: Eine falsch getippte IBAN wird nicht maskiert und bleibt daher im Klartext. Wenn du sie in der Liste erwartet hast und sie fehlt, prüfe eine Ziffer.

E-Mails, Webadressen, Kennzeichen und Telefonnummern haben keine Prüfziffer, dort schauen wir also auf die Form. Kennzeichen folgen den in Italien erlaubten Buchstaben (kein I, O, Q, U) und denen in Spanien (nur Konsonanten). Telefonnummern folgen vorsichtigen Regeln: 8 bis 15 Ziffern, Gruppen aus mindestens zwei Ziffern (ausgenommen einstellige Gruppen direkt nach der Ländervorwahl wie in „+49 (0)30“ oder „+43 1“ und eine einstellige Durchwahl am Ende wie „-0“), nie ein Datum, nie eine Zahl mit Tausendertrennzeichen.

Der ganze Ablauf in drei Schritten

1. Füge den Text ein und drück „Daten finden“. Die Prüfliste zeigt, was gefunden wurde, wie oft es vorkommt und mit welchem Platzhalter: Du kannst einen Eintrag abwählen, den du im Klartext lassen willst, und einen Platzhalter umbenennen (etwa KUNDE_A statt NAME_1), wenn sich die Antwort dadurch besser liest.

2. Kopiere den maskierten Text und verwende ihn, wo du ihn brauchst. Niemand verlangt, dass du irgendetwas irgendwo hochlädst: Das Ersetzen passiert genau hier.

3. Füge die Antwort in das zweite Feld ein und drück „Echte Daten wieder einsetzen“. Der Text kommt vollständig zurück, mit den IBANs und E-Mails an ihrem Platz.

Wenn das Modell den Platzhalter umschreibt

Genau hier versagen solche Tools, deshalb wird hier geradezu besessen darauf geachtet. Ein Modell, das den Text umschreibt, kann aus [E-MAIL_1] zum Beispiel [E-MAIL 1], [e-mail_1], (E-MAIL_1), **[E-MAIL_1]** machen oder ihn sogar übersetzen, etwa in [CORREO_1]. Die Wiederherstellung verkraftet all das: Sie ignoriert Groß- und Kleinschreibung, Leerzeichen, Akzente und Satzzeichen rund um die Bezeichnung, und sie kennt die Namen der Platzhalter auf Deutsch, Englisch, Italienisch und Spanisch, also greift sie auf Typ plus Nummer zurück.

Verschwindet ein Platzhalter dagegen ganz oder taucht einer auf, der zu nichts passt, geben wir dir keinen halb wiederhergestellten Text zurück, als wäre nichts gewesen: Es erscheint ein roter Kasten mit der Liste der Probleme und der genauen Zeile, bei unbekannten Platzhaltern der Zeile der Antwort, bei verschwundenen der Zeile des maskierten Textes. Den wiederhergestellten Text bekommst du trotzdem, aber du weißt, wo du Hand anlegen musst.

Was auf dieser Seite ausgeschaltet startet, und warum

Auf dieser deutschen Seite starten die Kästchen Italienische Steuernummer, Italienische USt-IdNr., DNI oder NIE, Kennzeichen, Datum und Postleitzahl ausgeschaltet, und du findest sie alle im Bereich „Wonach gesucht wird“: Ein Klick schaltet jedes davon ein, mit genau derselben Prüfung dahinter. Vier davon sind länderspezifisch: Steuernummer und USt-IdNr. sind italienisch, die DNI ist spanisch, und die Kennzeichen-Regel kennt das italienische und das spanische Format, nicht das deutsche, also wären sie hier Ballast, bis du sie anforderst. Bei den Datumsangaben ist es eine andere Art von Entscheidung: Wird jedes Datum maskiert, wird der Text für den Leser nutzlos, denn bei „zahlen bis [DATUM_1]“ kann niemand etwas ausrechnen, und Fristen sind oft genau der Grund, warum der Brief geschrieben wird. Eine Postleitzahl wiederum ist eine fünfstellige Zahl wie viele andere. Wenn die Seite meldet, dass sie nichts gefunden hat, erinnert sie dich auch daran, welche Kästchen ausgeschaltet waren.

Die Zuordnung existiert nur auf dieser Seite

Die Verbindung zwischen Platzhaltern und echten Werten bleibt im Speicher des Browser-Tabs: Sie wird nicht auf dem Gerät gespeichert, an keinen Server gesendet und überlebt kein Neuladen der Seite. Deshalb muss die Wiederherstellung im selben Tab passieren, in dem du maskiert hast: Schließt du alles, werden die Platzhalter wertlos, und genau das willst du auf einem gemeinsam genutzten Computer.

Den Export der Zuordnung als JSON gibt es zwar, aber er liegt hinter zwei Klicks und einer roten Warnung: Diese Datei enthält alle deine Daten im Klartext neben den Platzhaltern, sie ist also genauso viel wert wie die Daten selbst. Die Schaltfläche „Alles löschen“ entfernt Zuordnung, Texte und Platzhalter auf einen Schlag von der Seite.

Die Grenzen, gleich vorweg

Das ist Pseudonymisierung, keine Anonymisierung: Mit der Zuordnung in der Hand wird der Text wieder identisch mit dem Original, und genau darum geht es, aber es bedeutet, dass der maskierte Text weiterhin als personenbezogene Daten gilt, solange die Zuordnung existiert. Auch ohne Zuordnung kann ein Text durch den Kontext erkennbar bleiben (nur eine Person in der Firma hat diese Rolle in dieser Stadt).

Telefonnummern und deine eigenen Wörter können falsch positive und falsch negative Treffer erzeugen: Lies immer die Prüfliste, bevor du kopierst, dafür ist sie da. Eine elfstellige Zahl, die zufällig die Prüfung der USt-IdNr. besteht, wird als USt-IdNr. maskiert, und eine Telefonnummer ohne Trennzeichen und ohne Ländervorwahl kann durchrutschen.

Das Tool rührt nie Anhänge, Bilder oder PDFs an: Es arbeitet mit dem Text, den du einfügst. Für das Schwärzen eines PDFs gibt es eine eigene Seite und eine weitere, um versteckte Daten aus einem Foto zu entfernen.