Medizinische Künstliche Intelligenz (KI) verspricht präzisere Diagnosen, birgt jedoch erhebliche Datenschutzrisiken. Ein aktueller Forschungsbericht, veröffentlicht im Fachjournal Nature unter dem Titel "Disparate privacy risks from medical AI", zeigt, dass sogenannte Membership Inference Attacks (MIAs) es Angreifern ermöglichen, mit nahezu hundertprozentiger Sicherheit festzustellen, ob die Daten einer konkreten Person zum Training eines Diagnose-Modells beigetragen haben. Dieser Befund ist besonders brisant, weil er Rückschlüsse auf schwere Vorerkrankungen - etwa Krebs oder HIV - zulässt. Die Studie wurde von einem internationalen Konsortium aus der Technischen Universität München (TUM), dem Imperial College London und dem Hasso-Plattner-Institut (HPI) durchgeführt und in Nature veröffentlicht.

Was sind Membership Inference Attacks (MIAs)?

Eine Membership Inference Attack ist ein Angriff, bei dem ein Angreifer das Ausgabeverhalten eines KI-Modells mit Referenzmodellen vergleicht, um zu ermitteln, ob ein bestimmter Datensatz - zum Beispiel ein Bild einer Patientin - Teil des Trainingsdatensatzes war. Wenn ein Modell ausschließlich mit Daten von HIV-Patienten trainiert wurde, kann ein erfolgreicher MIA-Versuch bereits darauf schließen, dass die Zielperson eine HIV-Diagnose hat.

  • Der Angreifer benötigt in der Regel ein Muster der Zielperson (z. B. ein Röntgenbild), um die Zugehörigkeit zum Trainingsset zu testen.
  • Frühere Studien betrachteten nur durchschnittliche Trefferquoten über den gesamten Datensatz und übersahen dabei individuelle Risikospitzen.

Methodischer Ansatz der Nature-Studie

Das Forschungsteam um Moritz Knolle (TUM), Daniel Rückert (TUM) und Georg Kaissis (HPI) analysierte sieben reale medizinische Datensätze. Die Untersuchung umfasste:

  • 377.110 Thorax-Röntgenbilder
  • 21.799 Elektrokardiogramme (EKGs)
  • weitere, nicht im Detail benannte Datensätze, die zusammen die Basis für die Risikoanalyse bildeten

Die Studie wurde im Juni 2026 in Nature veröffentlicht (DOI: 10.1038/s41586-026-10688-0) und in Physics World (Juli 2026) mit den konkreten Datensatzgrößen zitiert.

Ergebnisse: Individuelle Risikoanalyse und Diskriminierung

Die wichtigsten Erkenntnisse der Studie lassen sich wie folgt zusammenfassen:

  • Frühere MIA-Tests maßen nur aggregierte Durchschnittswerte, die eine scheinbare Sicherheit vortäuschten.
  • Bestimmte Patientengruppen können mit nahezu 100 % Wahrscheinlichkeit identifiziert werden - ein Risiko, das in früheren Analysen nicht sichtbar war.
  • Die Gefahr ist besonders hoch für unterrepräsentierte Gruppen und seltene Krankheitsbilder, weil große KI-Modelle seltene Merkmale leichter "auswendig lernen" (Memorisation Bias).
  • Der Haupttreiber des Risikos ist die Kombination aus Modellkapazität und der Häufigkeit, mit der ein einzelner Patient Daten (z. B. mehrere Bilder) beiträgt.

Die Studie verdeutlicht damit eine gravierende Ungleichheit beim Datenschutz: Minderheiten und Patienten mit seltenen Erkrankungen tragen das höchste Risiko.

Konsequenzen für Datenschutz und klinische Praxis

Die Ergebnisse werfen ein zentrales Dilemma auf: Der klassische Trade-off zwischen Datenschutz und diagnostischer Modellpräzision. Standard-Abwehrmethoden wie Differential Privacy, bei denen mathematisches Rauschen hinzugefügt wird, können die Erkennungsgenauigkeit medizinischer KI-Modelle mindern und damit das Risiko von Fehldiagnosen erhöhen. Gleichzeitig erfordert eine MIA in der Regel bereits Zugriff auf ein Datenmuster der Zielperson, was die Notwendigkeit präziser individueller Datensicherheitschecks vor dem klinischen Einsatz betont.

FAQ zu MIAs im medizinischen Kontext

Was ist eine Membership Inference Attack (MIA)?Bei einer MIA vergleicht ein Angreifer das Ausgabeverhalten eines Modells mit Referenzmodellen, um festzustellen, ob die Daten einer spezifischen Person Teil des Trainingsdatensatzes waren.Warum ist die reine Trainingszugehörigkeit medizinisch brisant?Ein Modell, das beispielsweise ausschließlich mit Daten von HIV-Patienten trainiert wurde, kann durch eine MIA-Suche bereits auf das Vorhandensein einer HIV-Diagnose der Zielperson schließen, wenn der Datensatz zum Training verwendet wurde.Warum blieben die Lücken in früheren Studien unentdeckt?Frühere Studien analysierten nur durchschnittliche Trefferquoten über den Datensatz - dabei blieben individuelle Risikospitzen unbeachtet.

Berichterstattung und öffentliche Diskussion

Der Forschungserfolg wurde ebenfalls in einem Artikel des MIT Technology Review aufgegriffen. Dort erklärt Moritz Knolle, dass das Risiko für Missbrauch von Gesundheitsdaten bislang stark unterschätzt wurde, weil die Gefahr für einzelne Personen nicht berücksichtigt war. Der Artikel betont, dass die neue Erkenntnis "eine Lücke aufzeigt, die Hacker mit einfachen Mitteln nutzen könnten" und fordert verstärkte Sicherheitsmaßnahmen - zumindest für besonders gefährdete Fälle.

Fazit

Die Veröffentlichung in Nature liefert harte Fakten, die das bisherige Sicherheitsverständnis von medizinischer KI grundlegend korrigieren. Sie zeigt, dass MIAs nicht nur ein theoretisches Problem sind, sondern dass einzelne Patient:innen - insbesondere aus unterrepräsentierten Gruppen - mit nahezu hundertprozentiger Sicherheit identifiziert werden können. Gleichzeitig verdeutlicht die Studie den Spannungsbogen zwischen Datenschutz und diagnostischer Genauigkeit, der bei der Implementierung von Schutzmechanismen wie Differential Privacy beachtet werden muss. Für die klinische Praxis bedeutet das, dass individuelle Risiko-Audits und gezielte Sicherheitsstrategien unverzichtbar werden, um den Nutzen medizinischer KI zu sichern, ohne die Privatsphäre von Patient:innen zu gefährden.