Agentische KI privat und kontrolliert nutzen

Trenne Daten, bevor eine KI Zugriff erhält

KI kann lokal, über geschützte Server oder direkt bei großen Anbietern genutzt werden. Eine lokale KI mit einem Werkzeug wie Jan.ai schützt Daten am stärksten, liefert auf gewöhnlicher Hardware aber oft schwächere Ergebnisse. Venice AI und NanoGPT nutzen geschützte Hardwareumgebungen, sogenannte Trusted Execution Environments. Proxys, eigene API-Zugänge und direkte Abos bei OpenAI oder Anthropic bieten leistungsfähige Modelle, geben aber mehr Informationen über Nutzung und Identität preis.

Die praktikable Grundlage ist eine klare Bereichstrennung:

1. Private Daten wie Kundendaten, persönliche Notizen, Finanzen und Bitcoin-Transaktionen bleiben in einem verschlüsselten lokalen Bereich ohne KI-Zugriff.
2. Bereits öffentliche Inhalte wie Webseiten, Podcastmaterial und Newsletter können mit leistungsfähigen Onlinediensten bearbeitet werden.
3. Für Daten zwischen diesen Extremen kann ein Ende-zu-Ende verschlüsselter Dienst mit geschützter Hardwareumgebung gewählt werden.

Timo Volkov nutzt KI umfangreich für öffentliche und berufliche Inhalte, hält vertrauliche Daten aber vollständig getrennt. Nino Lahrmann setzt KI bisher zurückhaltender ein, etwa für öffentliche Bilder, Textvereinfachung und überprüfbare Recherche. Private Aufgaben löst er ohne KI. Beide Ansätze folgen demselben Grundsatz: Man sollte vorab entscheiden, welche Informationen mit welchem Anbieter geteilt werden dürfen.

Agenten verbinden drei riskante Fähigkeiten

Agentische KI beantwortet nicht nur Fragen. Sie kann selbstständig Aufgaben erledigen und dafür Werkzeuge aufrufen. Drei Fähigkeiten bestimmen das Risiko:

1. Code auf einem Computer ausführen
2. private Informationen lesen
3. Informationen über E-Mail, Messenger, soziale Netzwerke oder Newsletter nach außen senden

Ein Agent sollte nicht alle drei Fähigkeiten zugleich erhalten. Man sollte höchstens zwei erlauben und die dritte durch eine technische oder menschliche Schranke blockieren. Darf ein Agent private Daten lesen und einen Versand vorbereiten, sollte ein Mensch jede ausgehende Nachricht freigeben. Darf er Code ausführen und Nachrichten senden, sollte er keinen Zugriff auf private Dateien oder Kontaktlisten haben. Darf er private Dateien lesen und Code ausführen, sollte keine Verbindung zum Versand nach außen bestehen.

Zwischenstopps und Kontrollen gehören zum Arbeitsablauf. Ergebnisse, Befehle und geplante Veröffentlichungen müssen geprüft werden, bevor der nächste Schritt freigegeben wird.

Welche Agentenwerkzeuge wofür gedacht sind

Das KI-Modell ist nur der Motor. Ein sogenanntes Harness ist die sichtbare Arbeitsumgebung darum herum. Es nimmt Aufgaben entgegen, verbindet das Modell mit Dateien oder anderen Werkzeugen und legt fest, welche Aktionen der Agent ausführen darf. Die genannten Lösungen unterscheiden sich vor allem darin, wo sie laufen und welche Modelle man auswählen kann.

Hermes und OpenClaw

Hermes und OpenClaw sind quelloffene Agenten, die dauerhaft im Hintergrund laufen können. Sie eignen sich für einen separaten Computer zu Hause oder einen VPS. Man kann über eine Weboberfläche oder Chatdienste mit ihnen kommunizieren und selbst auswählen, welches KI-Modell im Hintergrund arbeitet. Dafür ist die Einrichtung aufwendiger. Diese Werkzeuge sind eher für Fortgeschrittene gedacht, die Aufgaben automatisieren und den Agenten dauerhaft erreichbar halten möchten.

Claude Code und Codex

Claude Code ist ein Terminal-Agent von Anthropic und arbeitet mit Claude-Modellen. Codex ist die entsprechende Lösung von OpenAI. Beide laufen direkt auf dem eigenen Computer, können Dateien lesen und Befehle ausführen. Das erleichtert den Einstieg, bringt aber ein höheres Risiko für private Dateien mit sich. Rückfragen vor einer Befehlsausführung sollte man deshalb nicht abschalten.

OpenCode

OpenCode ist eine quelloffene Alternative für das Terminal. Anders als bei Claude Code kann man verschiedene Modelle und Zugangswege auswählen, etwa einen direkten Anbieter, einen Proxy oder ein Modell in einer geschützten Hardwareumgebung. OpenCode eignet sich als einfacher Startpunkt: Man kann in einem neuen Ordner mit harmlosen Aufgaben beginnen und jede angeforderte Berechtigung einzeln prüfen.

Separater Rechner oder VPS statt Privatgerät

OpenClaw und Hermes können dauerhaft auf einem separaten Computer laufen. Möglich sind ein kleiner Rechner zu Hause oder ein gemieteter Virtual Private Server bei Anbietern wie Hetzner oder Ionos. Ein eigener Rechner bietet mehr Kontrolle über gespeicherte Daten. Bei einem VPS kann der Betreiber theoretisch auf Informationen im Arbeitsspeicher zugreifen, selbst wenn die Festplatte verschlüsselt ist. Für ohnehin öffentliche Arbeitsbereiche kann dieser Nachteil vertretbar sein.

Man sollte nicht einen Agenten für das gesamte Leben verwenden. Ein Agent kann beispielsweise nur öffentliche Webrecherche erledigen und einen Überblick zu öffentlichen Beiträgen aus ausgewählten Interessengebieten erstellen. Ein anderer kann getrennt davon an öffentlichen beruflichen Inhalten arbeiten. Private Dateien gehören auf keines dieser Systeme.

Sicher in die Praxis starten

Für erste Versuche wird OpenCode empfohlen. Man sollte einen neuen, klar abgegrenzten Ordner anlegen und dort mit einer harmlosen Aufgabe beginnen, etwa einen Plan erstellen und als Textdatei speichern lassen.

Vor jeder Freigabe sollte geprüft werden, was der angezeigte Befehl bewirkt. Ordner mit privaten Daten können in den Einstellungen ausdrücklich ausgeschlossen werden. Noch sicherer ist ein eigener Benutzer ohne Zugriff auf persönliche Downloads, Bilder und Dokumente oder ein separat aufgesetztes System. Ein versehentlich bestätigter Zugriff reicht sonst aus, um die geplante Trennung zu durchbrechen.

Erst mit mehr Erfahrung sollte ein dauerhaft laufender Agent auf einem separaten Rechner oder VPS eingerichtet werden. Seine Werkzeuge, erreichbaren Ordner, Kommunikationskanäle und das verwendete KI-Modell müssen bewusst ausgewählt werden.

KI auf dem Smartphone isolieren

Smartphones enthalten Kameras, Mikrofone, Standortdaten und zahlreiche persönliche Apps. Tief in iOS oder Standard-Android eingebaute KI kann deshalb besonders viele Lebensbereiche verbinden.

Als privates Fundament wird ein Pixel mit GrapheneOS empfohlen. Für KI kann dort ein eigenes Benutzerprofil angelegt werden. In diesem Profil sollte man ein VPN aktivieren. Falls eine App nur über den Google Play Store verfügbar ist, kann ein nicht persönlich zuordenbares Google-Konto genutzt werden. Bezahlte Dienste lassen sich mit Gutscheinkarten vom privaten Zahlungsprofil trennen.

Wer bewusst ein Google-Smartphone mit umfassenden KI-Funktionen nutzt, sollte es nur für diesen Bereich verwenden und persönliche Daten auf einem anderen Gerät halten. Rechenintensive und komplexe Agentenaufgaben passen meist besser auf einen separaten Computer oder VPS.

Der entscheidende Unterschied liegt in der Kontrolle: Baut ein Unternehmen KI ungefragt tief in sein Produkt ein, bestimmt es Zugriffe und Regeln. Wählst du selbst ein offenes Werkzeug, ein Modell und eng begrenzte Berechtigungen, kann KI nützlich sein, ohne automatisch alle privaten Bereiche zu erfassen.