Confidential Computing: So werden KI und Datenschutz im Krankenhaus endlich vereinbar

Fragen Sie Ihren IT-Leiter, wo Patientendaten verschlüsselt sind. Die Antwort kommt schnell: auf der Festplatte und auf dem Weg durchs Netz. Beides Standard, beides im ISMS dokumentiert.

Fragen Sie dann, was passiert, während ein KI-Modell den Arztbrief tatsächlich verarbeitet.

Da wird es still. Denn in genau diesem Moment — im Arbeitsspeicher des Servers, im Speicher der Grafikkarte — liegen die Daten im Klartext. Verschlüsselung schützt Daten im Ruhezustand und beim Transport. Bei der Verarbeitung war sie bisher blind.

Genau diese Lücke schließt gerade jemand. Und zwar ausgerechnet Apple.

Was am 8. Juni passiert ist Zum Auftakt der WWDC 2026 kündigte Apple an, seine „Private Cloud Compute"-Infrastruktur erstmals außerhalb eigener Rechenzentren zu betreiben — auf Google Cloud, auf NVIDIA-GPUs mit Confidential Computing (laut NVIDIA und Google die Blackwell-Generation), kombiniert mit Intel TDX auf der CPU-Seite und Googles Titan-Chip als Vertrauensanker.

Apple beschreibt das als erste Integration dieser Bausteine zu einer durchgängigen, vertraulichen Inferenz-Pipeline im globalen Maßstab. Der Dienst läuft aktuell als Preview und wird schrittweise auf den vollen Schutzumfang hochgefahren.

Was daran technisch neu ist, ist weniger die Idee als die Kombination: Rechenzentrums-KI, bei der der Betreiber der Hardware selbst nicht mitlesen kann.

Das Prinzip in einem Absatz Confidential Computing bedeutet: Die Verarbeitung läuft in einer hardwaregeschützten, abgeschotteten Umgebung — einer Trusted Execution Environment. Der CPU-Arbeitsspeicher ist dabei verschlüsselt, der Grafikspeicher durch Hardware-Isolation abgeriegelt, und jeder Transfer zwischen CPU und GPU wird verschlüsselt übertragen. Das Betriebssystem, der Hypervisor, der Cloud-Administrator, der Wartungstechniker: keiner von ihnen kommt an den Klartext. Vor der Übergabe der Daten kann der Client per Remote Attestation kryptografisch prüfen, dass am anderen Ende wirklich die erwartete, unveränderte Software auf echter, unkompromittierter Hardware läuft.

Apple hat für PCC fünf Zusagen formuliert, die für Kliniken interessant klingen: zustandslose Verarbeitung ohne Speicherung nach Abschluss der Anfrage, technisch erzwungene statt vertraglich versprochene Garantien, kein privilegierter Laufzeitzugriff (es gibt nach Apples Angaben bewusst keine Remote-Shell für Administratoren), Nicht-Adressierbarkeit einzelner Nutzer und überprüfbare Transparenz durch veröffentlichte Software-Images.

Der letzte Punkt ist der eigentliche Kulturbruch: Man muss dem Anbieter nicht mehr glauben. Man kann nachrechnen.

Und was kostet das an Leistung? Die naheliegende Sorge: Verschlüsselung im laufenden Betrieb frisst Rechenzeit.

Eine Benchmark-Studie von 2024 hat das für NVIDIA H100-GPUs gemessen — die Generation vor Blackwell. Ergebnis für LLM-Inferenz: 6,85 % Durchsatzverlust bei Llama-3.1-8B, 4,58 % bei Phi-3-14B, bei Llama-3.1-70B praktisch null. Der Engpass liegt nicht im Rechnen, sondern in der Ver- und Entschlüsselung beim Datentransfer über PCIe — spürbar vor allem bei der Zeit bis zum ersten Token, wo der Aufschlag bei den kleinen Modellen rund 19 % erreicht, beim 70B-Modell dagegen bei null liegt.

Übersetzt: Der Datenschutz kostet bei typischen Anfragen unter 7 % Leistung — und je größer das Modell, desto weniger. Das ist kein Argument mehr gegen den Einsatz. Wichtig zur Einordnung: Die Zahlen stammen aus einem Preprint ohne Peer-Review, verfasst von Mitarbeitern eines Anbieters für vertrauliche Rechenleistung, und beziehen sich auf H100, nicht auf Blackwell.

Bevor jetzt jemand die Beschaffung anruft Vier nüchterne Einschränkungen, die man kennen sollte:

1. Private Cloud Compute ist kein Produkt, das Sie kaufen können. Es ist Apples eigene Infrastruktur für Apple Intelligence. Kein Krankenhaus wird darauf seine Radiologie-KI betreiben. Relevant ist die Ankündigung als Signal — nicht als Beschaffungsoption.

2. Die zugrundeliegende Technik ist dagegen längst verfügbar. Confidential VMs mit NVIDIA H100-GPUs sind bei Microsoft Azure seit September 2024 allgemein verfügbar — zum Start unter anderem in der Region Westeuropa. Das ist der Teil, nach dem Sie Ihre Anbieter heute fragen können.

3. § 393 SGB V bleibt, wie er ist. Cloud-Verarbeitung von Gesundheitsdaten ist nur zulässig im Inland, in EU-Mitgliedstaaten, in den nach § 35 Abs. 7 SGB I gleichgestellten Staaten oder in Drittländern mit Angemessenheitsbeschluss — der Dienstleister braucht zusätzlich eine Betriebsstätte im Inland und ein aktuelles C5-Testat, seit 1. Juli 2025 grundsätzlich in der Ausprägung Typ 2 (für neu in Verkehr gebrachte Systeme genügt in den ersten 18 Monaten Typ 1). Confidential Computing ersetzt dieses Testat nicht. Es ist eine technische Maßnahme, keine Rechtsgrundlage.

4. Der Angemessenheitsbeschluss für die USA ist nicht in Stein gemeißelt. Das EU-Gericht hat die Klage gegen das EU-US Data Privacy Framework am 3. September 2025 abgewiesen (T-553/23). Das Rechtsmittel wurde am 31. Oktober 2025 beim EuGH eingelegt (C-703/25 P) — ohne aufschiebende Wirkung, das Framework gilt also weiter. Wer eine US-Cloud-Architektur allein auf diesen Beschluss stützt, baut trotzdem auf ein Fundament, über das gerade noch verhandelt wird.

Ob Confidential Computing dazu führt, dass Daten datenschutzrechtlich als anonymisiert oder als bloße Verschlüsselung gelten, ist juristisch nicht abschließend geklärt. Diese Einordnung sollten Sie sich von Ihrem Datenschutzbeauftragten geben lassen, nicht von einem Anbieter-Whitepaper.

Die drei Fragen für das nächste Anbietergespräch Wenn ein Hersteller Ihnen KI-Verarbeitung in der Cloud anbietet:

Läuft die Inferenz in einer hardwarebasierten Trusted Execution Environment? Falls ja: welche — Intel TDX, AMD SEV-SNP, NVIDIA Confidential Computing? Falls nein: warum nicht?

Bekomme ich eine Attestierung, die ich selbst prüfen kann? Ein Attestierungsbericht, den nur der Anbieter lesen kann, ist ein Versprechen mit Extraschritten.

Wer hat administrativen Zugriff auf die laufende Verarbeitung — und wie ist das technisch ausgeschlossen? Die interessante Antwort ist nicht „unsere Mitarbeiter sind zur Verschwiegenheit verpflichtet", sondern „technisch nicht möglich, hier ist die Architektur".

Fazit Jahrelang war die Abwägung im Krankenhaus dieselbe: leistungsfähige Cloud-KI oder belastbarer Datenschutz. Wer beides wollte, bekam entweder ein schwächeres Modell im eigenen Keller oder eine Vertragsklausel statt einer Garantie.

Confidential Computing verschiebt diese Abwägung erstmals. Nicht auf null — die regulatorischen und geopolitischen Fragen bleiben vollständig bestehen. Aber die technische Ausrede ist weg.

Und genau deshalb lohnt es sich, jetzt in die Anforderungskataloge zu schauen. Nicht, weil morgen etwas beschafft werden muss. Sondern weil die nächste Ausschreibung Formulierungen enthalten sollte, die es vor zwei Jahren noch nicht geben konnte.

Quellen: Apple Security Research, „Private Cloud Compute" und „Expanding Private Cloud Compute", 08.06.2026 | NVIDIA Blog, 09.06.2026 | Google Cloud Blog, 12.06.2026 | Zhu et al., „Confidential Computing on nVIDIA Hopper GPUs: A Performance Benchmark Study", arXiv:2409.03992, 2024 | NVIDIA Confidential Computing Whitepaper v1.0 | § 393 SGB V | EuG, Urteil v. 03.09.2025, T-553/23 (Latombe); Rechtsmittel C-703/25 P v. 31.10.2025 | Microsoft Azure Confidential Computing Blog, 24.09.2024 | Superintelligence Newsletter, 15.06.2026

Wie gehen Sie in Ausschreibungen mit dem Thema Verarbeitung im Klartext um — steht das bei Ihnen schon im Anforderungskatalog? Ich freue mich auf den Austausch.

#Krankenhaus #Datenschutz #KünstlicheIntelligenz #ConfidentialComputing #Digitalisierung #KHZG #Gesundheitswesen