zk-ML und Datenschutz: KI beweisen, ohne Daten zu zeigen

Ein Krankenhaus möchte einer Aufsichtsbehörde belegen, dass es für eine Diagnose das zugelassene KI-Modell benutzt hat und nicht eine billigere, unsichere Variante. Die Krankenakte darf es dafür nicht herausgeben. Eine Bank möchte zeigen, dass ihr Scoring-Modell einen Kredit regelkonform bewertet hat, ohne das Modell (ihr Geschäftsgeheimnis) oder die Daten des Kunden offenzulegen. Beides klingt nach einem Widerspruch: etwas beweisen und es zugleich verbergen. Genau dieser Widerspruch ist das Versprechen von zk-ML.

Die Schlagzeilen über Zero-Knowledge Machine Learning drehten sich 2026 vor allem um Tempo: Lookups statt riesiger Schaltkreise, GKR-Beweise, und DeepProve, das den ersten vollständigen Beweis eines Sprachmodells lieferte. Das ist die halbe Geschichte. Die andere, leisere Hälfte lautet: Ein Beweis muss nicht nur zeigen, dass gerechnet wurde, er kann dabei auch verbergen, worüber gerechnet wurde. Verifizierbarkeit und Vertraulichkeit im selben Objekt.

Dieser Text handelt von dieser zweiten Hälfte: Was zk-ML an Datenschutz leisten kann, das kein anderes Verfahren so leistet; der Haken, den die Produktfolien gern weglassen; was 2026 daran tatsächlich neu ist; und warum DSGVO, das Bayerische Landesamt für Datenschutzaufsicht und die BaFin dieses Thema für deutschsprachige Leser handfester machen als jede Tokenkurve.

Was zk-ML verspricht, das kein anderes Verfahren kann

zk-ML ist ein Zero-Knowledge-Beweis über eine Berechnung des maschinellen Lernens. Ein Prover zeigt: Modell M lief auf Eingabe x und ergab Ausgabe y. Der Verifizierer prüft dafür nur einen kurzen Beweis in Millisekunden, statt M selbst laufen zu lassen. Das ist die bekannte Hälfte von verifizierbarer KI: Vertrauen verschiebt sich von „vertraue dem Server“ zu „prüfe den Beweis“.

Der entscheidende Zusatz steckt im Wort Zero-Knowledge: Ein solcher Beweis offenbart nur, was der Prover offenbaren will. Er kann das Modell geheim halten, die Eingabe geheim halten oder beides, und trotzdem überzeugend belegen, dass die Rechnung stimmt. Diese Eigenschaft hat kein anderer der vier Wege zu überprüfbarer KI. opML (das optimistische Modell mit Betrugsbeweisen) und das krypto-ökonomische Modell (Stake und Slashing) beweisen zwar Korrektheit, verbergen aber nichts: Wer die Berechnung anzweifelt, muss sie nachrechnen können, also müssen die Daten offenliegen. Ein Trusted Execution Environment (TEE) verbirgt zwar, aber nur gegenüber dem Cloud-Betreiber, nicht gegenüber der Mathematik: Die Daten liegen im Klartext in der Enklave, man vertraut dem Chiphersteller. zk-ML ist das einzige Verfahren, das Beweis und Geheimnis in einem Zug liefert, ohne dass irgendjemand die Rohdaten sehen muss.

Das ist kein nachträglicher Marketing-Dreh, sondern war von Anfang an der Reiz. In seinem viel zitierten Aufsatz über Krypto und KI hält Vitalik Buterin fest, der größte Teil einer KI-Berechnung seien Matrixmultiplikationen, „for which it is possible to make very efficient ZK-SNARKs or MPCs (or even FHE)“, und ergänzt: „If we want to keep the model and the inputs private, we can, though it gets a bit more complicated.“ Dieses „a bit more complicated“ ist, wie sich zeigen wird, der ganze Streitpunkt.

Zwei Arten von Geheimnis: das Modell und die Daten

Wer über Datenschutz bei zk-ML redet, sollte zwei Dinge trennen, die oft in einen Topf geworfen werden. Es gibt zwei verschiedene Geheimnisse, und sie gehören unterschiedlichen Parteien.

Das erste ist das Modell, also die Gewichte. Für ein Unternehmen ist das trainierte Modell häufig das wertvollste Gut, teurer als die Infrastruktur, auf der es läuft. zk-ML erlaubt, sich kryptografisch auf ein Modell festzulegen (ein Commitment, praktisch ein Fingerabdruck der Gewichte) und anschließend zu beweisen: Die Ausgabe y stammt aus genau diesem festgelegten Modell. Die Gewichte selbst bleiben verborgen. Das ist Modell-Provenienz ohne Modell-Preisgabe, und es löst ein reales Geschäftsproblem: Ein Anbieter kann belegen, dass er sein lizenziertes, geprüftes Modell einsetzt, ohne es an Kunden oder Konkurrenten zu verschenken.

Das zweite Geheimnis sind die Daten, also die Eingabe x. Ein Mensch will beweisen, dass ein Ergebnis aus seinen echten Daten stammt (sein Gesicht, sein Kontostand, ein Laborwert), ohne diese Daten herzugeben. Der Beweis trägt dann nur das Ergebnis und die Zusicherung, dass sauber gerechnet wurde. Beides zugleich zu verbergen, Modell und Eingabe, geht ebenfalls, wird aber, wie Buterin sagt, komplizierter. In der Praxis entscheidet eine einzige Frage darüber, was realistisch geheim bleibt: Wer hält die Daten und erzeugt den Beweis?

Der Haken, den die Marketing-Folien verschweigen

Ein ZK-Beweis über eine Inferenz entsteht nicht aus dem Nichts. Der Prover muss das Modell tatsächlich auf der echten Eingabe laufen lassen, Schicht für Schicht, um überhaupt die Zwischenwerte zu bekommen, die der Beweis dann versiegelt. Zum Zeitpunkt der Beweiserzeugung sieht der Prover also sowohl die Gewichte als auch die Eingabe im Klartext. Zero-Knowledge versteckt das Ergebnis dieser Rechnung vor der Außenwelt, nicht vor dem, der rechnet.

Daraus folgt eine unbequeme Konsequenz, die in Produktvideos selten vorkommt. Wenn ein fremder Dienst den Beweis erzeugt, muss dieser Dienst die Daten sehen. Reines zk-ML macht es einem Dritten nicht möglich, über Daten zu rechnen, die er gar nicht sehen darf. Ausgerechnet dieser Fall wird oft als der große Datenschutz-Sieg verkauft („die KI sieht deine Daten nie“), und ausgerechnet ihn löst reines zk-ML nicht. Ein Überblicksaufsatz zu ZK-basiertem verifizierbarem maschinellen Lernen (arXiv) ordnet die Verfahren entlang genau dieser Trennung ein: Integrität nachweisen ist nicht dasselbe wie Eingaben vor dem Rechner verbergen.

Es gibt zwei saubere Auswege. Erstens: Die Partei, die die Daten hält, beweist selbst. Dann verlassen die Rohdaten ihr Gerät nie, nur der Beweis geht hinaus. Das ist Client-side Proving. Zweitens: Man will nur das Modell verbergen, nicht die Eingabe. Dann beweist der Modell-Besitzer, und der Nutzer liefert seine Eingabe offen. Für den wirklich harten Fall, bei dem ein Dritter über Daten rechnen soll, die er nicht sehen darf, braucht man andere Werkzeuge: Fully Homomorphic Encryption (FHE), Multi-Party Computation (MPC) oder die Kombination mit Client-side Proving.

So gelesen ist zk-ML kein Zaubertrick, der Datenschutz aus dem Nichts erzeugt, sondern ein präzises Werkzeug: Es verbirgt gegenüber dem Verifizierer und der Öffentlichkeit, nicht gegenüber dem Prover. Die gesamte Datenschutz-Frage schrumpft damit auf ein Architekturproblem zusammen, nämlich den Prover an die richtige Stelle zu setzen.

Client-side Proving: der Beweis entsteht auf deinem Gerät

Die eleganteste Antwort auf diesen Haken ist, den Beweis dort zu erzeugen, wo die Daten ohnehin liegen: auf dem Gerät des Nutzers. Die Rohdaten verlassen das Telefon nicht; verschickt und on-chain geprüft wird nur ein kompakter Beweis von wenigen Kilobyte. Lange war das reine Theorie, weil die Beweiserzeugung rechen- und speicherhungrig ist und ein Smartphone eben kein Rechenzentrum hat.

2026 rückt dieser Ansatz in Reichweite. Ein Beispiel ist Bionetta (arXiv), ein Framework für Client-side-zk-ML um den Autor Dmytro Zakharov, das auf einer Beweistechnik namens UltraGroth aufbaut. Die Arbeit beansprucht einen deutlichen Geschwindigkeitsvorsprung beim Beweisen eigens zugeschnittener neuronaler Netze gegenüber Werkzeugen wie EZKL, Lagranges DeepProve und dem älteren zkml, und zwar als nach eigener Aussage einzige Variante, die sich ohne überbordende Beweisgröße direkt von einem EVM-Smart-Contract prüfen lässt. Einordnung im Fachgebiet: Kryptografie und Computer Vision, also Bild- und Mustererkennung.

Dass die Computer Vision im Titel steht, ist kein Zufall, denn der klassische Datenschutz-Anwendungsfall ist Identität. Beweise, dass du ein echter, einzigartiger Mensch bist, oder dass du über 18 bist, ohne Iris, Ausweis oder Geburtsdatum herzugeben. Entsteht der Beweis auf deinem Gerät, bekommt niemand sonst die biometrischen Rohdaten zu Gesicht. Client-side Proving verwandelt das abstrakte „beweisen, ohne zu zeigen“ in etwas, das auf Alltagshardware laufen soll, und es ist genau der Punkt, an dem der europäische Datenschutz direkt andockt.

zk-ML gegen FHE, MPC und TEE

zk-ML ist nicht der einzige Weg, KI-Rechnen vertraulich zu machen, und es ist nicht der beste für jeden Zweck. Es konkurriert mit drei anderen Familien, die jeweils ein anderes Geheimnis am stärksten schützen. Die folgende Tabelle trennt, was oft vermischt wird: was ein Verfahren verbirgt, was es beweist, wem man dabei vertrauen muss und wo es 2026 praktisch steht.

Die ehrliche Lesart dieser Tabelle: FHE verbirgt die Eingabe am radikalsten, denn gerechnet wird auf dem Chiffrat, und niemand sieht je den Klartext. Der Preis ist, dass FHE nicht beweisen kann, dass überhaupt das richtige Modell lief; ein bösartiger Server könnte ein ganz anderes Modell anwenden, und man merkt es, wenn überhaupt, erst nach dem Entschlüsseln. TEE ist schnell genug für große Sprachmodelle (Phala fährt über Intel TDX und NVIDIA-GPUs Milliarden vertraulicher Modell-Token pro Tag), verlangt aber, dem Chiphersteller zu vertrauen. Dass das kein theoretisches Risiko ist, zeigte Ende Oktober 2025 der Angriff TEE.Fail: Mit einem Speicherbus-Interposer für unter 1000 US-Dollar zogen Forscher Signaturschlüssel aus Enklaven von Intel, AMD und NVIDIA und konnten damit Attestierungen fälschen. zk-ML sitzt dazwischen: die stärkste, rein mathematische Garantie und selektive Offenlegung, aber der höchste Preis beim Beweisen.

Weil keiner der vier Wege alles kann, ist der Trend 2026 die Kombination. ZK plus TEE lässt die Enklave schnell rechnen und liefert zugleich einen ZK-Beweis der Korrektheit. ZK plus FHE rechnet auf verschlüsselten Daten und beweist, dass dabei das zugesagte Modell verwendet wurde, ein Aufbau, den manche Forscher das kryptografische Siegel nennen. Für private KI heißt das: Datenschutz ist selten die Leistung eines einzigen Verfahrens, sondern das Produkt aus zweien.

Warum große Sprachmodelle das Versprechen noch bremsen

Die Garantie ist stark, aber sie ist teuer, und bei großen Modellen schlägt diese Rechnung durch. Buterin benennt die Asymmetrie deutlich: Matrixmultiplikationen lassen sich mit weniger als vierfachem Overhead beweisen, „the overhead on the non-linear layers still ends up being significant, and the best implementations in practice show overhead of around 200x“. Und zum Maßstab: „An Ethereum block takes a few hundred milliseconds for a client to verify directly, but generating a ZK-SNARK to prove the correctness of such a block can take hours.“ Übertragen auf KI heißt das: Ein Beweis ist winzig und in Millisekunden prüfbar, aber ihn zu erzeugen kostet ein Vielfaches der eigentlichen Inferenz.

Wie viel, hängt stark von der Modellgröße ab. Polyhedras Compiler zkPyTorch, der PyTorch- und ONNX-Modelle in ZK-Schaltkreise übersetzt, beweist ein Bildmodell wie VGG-16 (rund 15 Millionen Parameter) in etwa 2,2 Sekunden pro Bild, ein Sprachmodell wie Llama-3 mit 8 Milliarden Parametern dagegen in rund 150 Sekunden pro Token. Für ein einzelnes Foto ist das praktikabel, für einen Chat-Absatz offensichtlich nicht. Genau hier liegt die Datenschutz-Grenze: Verifizierbare, private Bilderkennung ist 2026 real, verifizierbare private LLM-Antworten sind es noch nicht.

Die Kosten der Nichtlinearitäten sind zugleich der Grund, warum zk-ML-Modelle meist quantisiert werden. Elena Burger, Deal Partner bei a16z crypto, fasst das Dilemma so: Zero-Knowledge-Beweise könnten „32-bit floating point operations in the necessary arithmetic circuit format“ heute nicht „without massive overheads“ darstellen, weshalb man auf 8 Bit herunterrechne, was das Ergebnis zu einer „crude approximation“ des ursprünglichen Modells mache. Für eine Kreditentscheidung oder eine Diagnose ist dieser Genauigkeitsverlust kein Detail. Dazu kommt ein verwandtes Problem, das zwar nichts mit Datenschutz zu tun hat, aber bestimmt, wie zk-ML-Modelle aussehen müssen: GPU-Inferenz ist nicht reproduzierbar, und ein Beweis braucht eine deterministische Integer-Spur. Warum derselbe Prompt sonst achtzig verschiedene Antworten liefern kann, haben wir an anderer Stelle auseinandergenommen.

Was 2026 wirklich neu ist

Zwei Entwicklungen machen das Datenschutz-Versprechen 2026 glaubwürdiger als noch 2024. Die erste: Die Beweise wurden drastisch schneller und erreichten erstmals vollständige Modelle. Lagrange stellte seine zk-ML-Bibliothek DeepProve als Open Source bereit; nach Angaben des Projekts hat sie über zwölf Millionen Beweise erzeugt und mehr als drei Millionen Inferenzen Ende-zu-Ende verifiziert, beweist 54- bis 158-mal schneller als EZKL und verifiziert bis zu 671-mal schneller, und hat GPT-2 sowie Gemma-3 vollständig bewiesen, während Modelle der Llama-Klasse in Arbeit sind. Firmenchef Ismael Hishon-Rezaizadeh formulierte den Anspruch beim Open-Sourcing so: „We didn’t build DeepProve to own verifiable AI. We built it so nobody had to. AI needs a verification layer, and that layer should be open. Today, DeepProve becomes a primitive. The black box is open.“ (lagrange.dev)

Die zweite Entwicklung: Datenschutz rückte explizit in den Vordergrund, statt als Nebeneffekt mitzulaufen. Polyhedra bewarb seine Gemma-3-Beweise ausdrücklich als data-protective proofs, und Client-side-Frameworks wie Bionetta zielen genau auf den Fall, in dem der Nutzer selbst beweist. Die Richtung ist klar: weg vom reinen Geschwindigkeits-Benchmark, hin zur Frage, wer welche Daten zu sehen bekommt.

Nüchtern bleibt festzuhalten: Das sind Machbarkeits-Meilensteine, keine Produktionsberichte. GPT-2 ist ein Modell aus dem Jahr 2019, nach heutigen Maßstäben winzig; der Sprung zu einem nützlichen, aktuellen Sprachmodell ist noch nicht geschafft, und die Zahlen von Lagrange sind Eigenangaben, keine unabhängig geprüften Audits. Aber die Mauer, an der zk-ML jahrelang scheiterte (das Urteil „für echte Modelle niemals praktikabel“), hat sichtbare Risse bekommen. Und die Risse verlaufen gerade dort, wo Datenschutz entsteht.

Wo verifiable und privat zusammen zählen

Die Kombination aus Beweis und Geheimnis lohnt nur dort, wo man beides zugleich braucht. Wo es reicht, Korrektheit zu belegen, tun es billigere Verfahren wie opML oder das krypto-ökonomische Modell. Interessant wird zk-ML erst, wo eine Partei etwas belegen muss, das sie nicht zeigen darf. Fünf Felder stechen heraus:

• Gesundheit: Eine Klinik belegt der Aufsicht oder einer Versicherung, dass eine Diagnose aus dem zugelassenen Modell stammt, ohne die Patientenakte herauszugeben. Gesundheitsdaten sind nach Artikel 9 DSGVO besonders geschützt, der Nachweis-ohne-Preisgabe passt also exakt auf die Rechtslage.
• Kredit und Finanzen: Eine Bank oder ein Fintech zeigt, dass ihr freigegebenes Scoring-Modell regelkonform entschieden hat, ohne das Modell (ihr Geschäftsgeheimnis) oder die Kundendaten offenzulegen.
• Identität: Beweise, dass du ein echter, einzigartiger Mensch oder volljährig bist, ohne Iris, Ausweis oder Geburtsdatum herzugeben, idealerweise mit einem Client-side-Beweis auf dem eigenen Gerät.
• DeFi-Orakel: Ein ML-Modell setzt dynamische Gebühren oder Risikoscores; der Beweis garantiert, dass genau das zugesagte, unmanipulierte Modell lief. OpenGradient zeigt das mit EZKL für ein dynamisches Gebührenmodell auf Uniswap V3.
• Autonome KI-Agenten: Ein Agent, der Kapital bewegt, beweist, dass seine Entscheidung aus dem zugesagten Modell kam, bevor er handelt, statt dass man ihm blind glauben muss.

Der rote Faden ist ein alter Krypto-Begriff in neuem Gewand: provably fair, nun für KI. Nicht „vertrau uns, das Modell ist fair und hat deine Daten nicht missbraucht“, sondern ein Beleg, der sich prüfen lässt. Besonders beim letzten Punkt ist das keine Spielerei: Agenten, die ohne menschliche Freigabe Geld bewegen, sind 2026 keine Zukunftsmusik mehr, und wer ihnen eine Autonomie-Schwelle einräumt, möchte nachrechnen können, was sie getan haben. Wie viel solche Nachweise tatsächlich kosten und ob Regulierung sie erzwingt, hat die Redaktion am Beispiel der DeFi-Compliance durchgerechnet.

Der deutsche Datenschutz-Winkel: DSGVO, Datensparsamkeit und der Fall World

Für deutschsprachige Leser ist zk-ML kein abstraktes Krypto-Thema, sondern trifft den Kern eines Prinzips, das die DSGVO Datenminimierung nennt (Artikel 5 Absatz 1 Buchstabe c): Es sollen nur so viele personenbezogene Daten verarbeitet werden, wie für den Zweck nötig. Ein Verfahren, das ein Ergebnis belegt, ohne die zugrunde liegenden Daten zu übertragen, ist im Kern eine Privacy-Enhancing Technology, eine datenschutzfreundliche Technik, wie Aufsichtsbehörden sie seit Jahren einfordern. zk-ML ist, richtig gebaut, genau das.

Wie heikel Biometrie und Identität in Deutschland sind, führte der Fall World (früher Worldcoin) vor. Das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) ordnete im Dezember 2024 an, dass World biometrische Daten, konkret Iris-Scans, löschen müsse, die ohne ausreichende Rechtsgrundlage erhoben worden seien, und setzte dafür eine Frist von einem Monat; das Identifikationsverfahren berge nach Darstellung der Behörde grundlegende Datenschutzrisiken für eine große Zahl betroffener Personen. World legte Rechtsmittel ein und erklärte, die Entscheidung betreffe überholte Praktiken, die aktuellen Systeme seien konform (biometricupdate).

Die Pointe für unser Thema: World wirbt selbst mit Zero-Knowledge für seinen Nachweis der Einzigartigkeit eines Menschen. Der Fall zeigt, dass ein ZK-Versprechen nur dann trägt, wenn die Rohdaten tatsächlich nie zentral anfallen. Genau das ist der Unterschied zwischen „wir scannen deine Iris und speichern einen Hash davon“ und „der Beweis entsteht auf deinem Gerät, und die Iris verlässt es nie“. Client-side-zk-ML ist deshalb nicht nur schneller oder eleganter, es ist die datenschutzrechtlich belastbarere Architektur, weil es den Ort der Verarbeitung von einem fremden Server auf das eigene Gerät zieht.

Ein Freifahrtschein ist zk-ML damit nicht. Ein Beweis kann die Datenübertragung minimieren, aber die DSGVO fragt auch nach Rechtsgrundlage, Zweckbindung und den Rechten der Betroffenen; und ob ein kryptografisches Commitment, das aus biometrischen Daten abgeleitet wird, selbst noch personenbezogen ist, ist juristisch alles andere als geklärt. Die Technik verschiebt die Grenze, sie hebt die Regeln nicht auf.

BaFin, die Black Box und der Unterschied zwischen beweisbar und erklärbar

Im Finanzsektor kommt die BaFin ins Spiel, und zwar an zwei Stellen. Die erste ist die bekannte Grenze: Wie bei MiCA beaufsichtigt die BaFin die Dienstleister und Emittenten rund um Kryptowerte, nicht das Protokoll oder die Mathematik dahinter (siehe das BaFin-Merkblatt zu Kryptowerte-Dienstleistungen vom 3. Januar 2025). Ein zk-ML-Beweis für sich genommen braucht keine Lizenz. Ein Token, der die Beweiserzeugung bezahlt, oder ein Dienst, der Kundengelder anhand solcher Modelle verwaltet, kann dagegen sehr wohl in den Anwendungsbereich fallen.

Die zweite Stelle ist aufschlussreicher. In ihrem Prinzipienpapier zu Big Data und künstlicher Intelligenz und einem Fachartikel aus dem Jahr 2024 (KI bei Banken und Versicherern: Automatisch fair?) beschreibt die Aufsicht das Black-Box-Problem: Die von einem tiefen neuronalen Netz gelernte Beziehung zwischen Eingabe und Ausgabe lasse sich nicht mehr durch einfache mathematische Beschreibungen nachvollziehen; an die Stelle detaillierter Nachvollziehbarkeit jeder Rechnung träten Erklärbarkeit und Plausibilität des Gesamtverhaltens.

Hier liegt eine Unterscheidung, die Krypto-Werbung gern verwischt. zk-ML beweist Integrität und Provenienz, also dass genau dieses festgelegte Modell korrekt gerechnet hat. Es beweist nicht Erklärbarkeit, also warum das Modell so entschieden hat. Für den einen Teil der BaFin-Sorge (lief wirklich das freigegebene, getestete Modell und nicht heimlich ein anderes, womöglich billigeres?) ist zk-ML ein starkes Werkzeug. Für den anderen Teil (ist die Entscheidung nachvollziehbar und fair?) leistet es nichts. Wer zk-ML als Lösung der Black Box verkauft, überdehnt es: Es schließt die Manipulations- und Provenienzlücke, nicht die Erklärlücke. Diese Ehrlichkeit ist wichtig, denn sie entscheidet, welche aufsichtsrechtlichen Versprechen man mit der Technik überhaupt halten kann.

Regulierung: EU AI Act, DSGVO und das US-Schweigen

Zwei regulatorische Kräfte ziehen in Richtung verifizierbarer, privater KI, eine dritte schweigt. Die erste ist der EU AI Act, seit dem 2. August 2026 allgemein anwendbar, samt Durchsetzung durch die Kommission, Transparenzpflichten und den schon seit August 2025 geltenden Regeln für Allzweck-KI (GPAI). Die schärfsten Hochrisiko-Pflichten nach Anhang III wurden per Digital Omnibus auf Ende 2027 und 2028 verschoben, das GPAI-Datum bleibt. Der AI Act verlangt Dokumentation, Nachvollziehbarkeit und menschliche Aufsicht; zusammen mit der DSGVO entsteht ein Sog nach Techniken, die Konformität belegen, ohne Geschäftsgeheimnisse oder personenbezogene Daten offenzulegen. Das ist, fast wörtlich, die Nische von zk-ML.

Die dritte Kraft, die US-Aufsicht, verhält sich gegenteilig. Die gemeinsame Auslegung von SEC und CFTC vom März 2026 benannte zwar etablierte Token wie Bitcoin, Ethereum, Solana und XRP als digitale Rohstoffe, sagte aber nichts über KI-Infrastruktur oder verifiable compute; die zugehörigen Infra-Token bleiben in einer Grauzone. Während Brüssel laut reguliert, bleibt Washington leise, und selbst Krypto-ETFs rücken dort trotz halbleerer SEC vor. Für zk-ML heißt das: Die zahlende Nachfrage-Seite entsteht vorerst eher in Europa als in den USA.

Eine Einschränkung gehört dazu. Regulierung erzeugt Nachfrage nur, wenn Prüfer die Beweise auch anerkennen. Ein ZK-Beweis wird erst dann zum Compliance-Nachweis, wenn eine Behörde ihn offiziell als solchen akzeptiert, und so weit ist in Deutschland oder auf EU-Ebene bisher keine Aufsicht gegangen. Der Sog ist real, die Schleuse aber noch nicht geöffnet.

Die Technik liefert, die Token nicht

Ein Satz zur Vorsicht gegen den Hype: Die Fortschritte bei den Beweisen spiegeln sich nicht in den Kursen der zugehörigen Token. Fast jeder Token aus diesem Umfeld notiert 2026 weit unter seinem Allzeithoch, obwohl die Technik Meilensteine erreicht. Die folgenden Zahlen stammen von CoinGecko (Stand 11. Oktober 2026, in Euro) und sind Momentaufnahmen eines volatilen Marktes.

Die Kluft zwischen Technik und Kurs hat zwei Gründe. Erstens brauchen viele dieser Netze für ihre eigentliche Funktion gar keinen Token: Ein Beweis ist auch ohne Spekulationsobjekt gültig. Zweitens bezahlt der Markt Nachfrage, nicht Eleganz, und die zahlende Nachfrage nach privaten KI-Beweisen ist noch dünn. Giza, 2023 als reine zk-ML-Firma gestartet, hat sein Produkt auf einen autonomen DeFi-Agenten umgebaut; sein Token notiert nur noch einen winzigen Bruchteil des Allzeithochs. Die Lektion dahinter lautet, dass reines zk-ML als Geschäftsmodell hart ist. Dass ausgerechnet der TEE-Token PHA zuletzt kräftig zulegte (rund 134 Prozent in 30 Tagen), während die ZK-Token seitwärts bis abwärts liefen, passt ins Bild: Der Markt belohnt gerade das, was heute in Produktion skaliert (TEE), nicht das, was die sauberste Garantie liefert (ZK).

Was als Nächstes kommt

Drei Linien zeichnen sich ab. Erstens wird Client-side Proving besser: On-device-Beweise wie bei Bionetta senken die Hürde für echten Eingabe-Datenschutz, und Hardware-Beschleunigung (spezialisierte Prover, GPU-Unterstützung) drückt die Kosten weiter. Zweitens werden Hybride zum Normalfall: ZK plus TEE und ZK plus FHE verbinden Tempo und Garantie, und das kryptografische Siegel (private Daten bleiben auf dem Gerät, das Ergebnis ist für jeden prüfbar) ist das Fernziel. Drittens holen die Sprachmodelle auf, aber langsam: Von GPT-2 zu Gemma-3 war ein großer Schritt, der nächste zu nützlichen, aktuellen LLMs mit vollem Datenschutz ist der schwerste und kommt vermutlich zuerst über Hybride, nicht über reines zk-ML.

Für deutschsprachige Leser ist die wichtigste Nachricht aber nicht der nächste Benchmark. Sie lautet, dass eine Technik heranreift, die das Grundversprechen der DSGVO (so wenig Daten wie möglich, so viel Nachweis wie nötig) technisch einlösen könnte. Der Haken bleibt bestehen und ist der Lackmustest für jedes Produktversprechen: Es gilt nur, wenn der Beweis dort entsteht, wo die Daten liegen. Wer „private KI“ verspricht, die Daten aber weiterhin an einen fremden Server schickt, hat zk-ML nicht verstanden, sondern nur sein Vokabular ausgeliehen.

Häufig gestellte Fragen (FAQ)

Was ist zk-ML in einfachen Worten?

Zk-ML (Zero-Knowledge Machine Learning) verbindet Zero-Knowledge-Beweise mit maschinellem Lernen. Ein Beweiser zeigt, dass ein KI-Modell eine Eingabe korrekt verarbeitet hat, und ein Prüfer kann das in Millisekunden nachprüfen, ohne das Modell selbst laufen zu lassen. Der Beweis kann dabei das Modell, die Eingabe oder beides geheim halten.

Kann zk-ML meine Daten wirklich geheim halten?

Nur unter einer Bedingung. Wer einen Beweis erzeugt, muss das Modell auf den echten Daten laufen lassen und sieht die Daten dabei im Klartext. Deine Eingabe bleibt also nur dann geheim, wenn du den Beweis selbst auf deinem eigenen Gerät erzeugst (Client-side Proving). Schickt ein fremder Dienst deine Daten erst an seinen Server, schützt zk-ML sie nicht vor diesem Dienst.

Was ist der Unterschied zwischen zk-ML, FHE und TEE?

Zk-ML beweist kryptografisch, dass eine Rechnung korrekt lief, und kann Modell oder Eingabe verbergen. FHE rechnet auf verschlüsselten Daten, kann aber nicht beweisen, dass das richtige Modell benutzt wurde. TEE führt die Rechnung schnell in einer Hardware-Enklave aus, verlangt aber Vertrauen in den Chiphersteller. In der Praxis werden sie 2026 oft kombiniert.

Funktioniert zk-ML schon für große Sprachmodelle wie ChatGPT?

Noch nicht sinnvoll. 2026 wurden mit DeepProve erstmals vollständige, aber kleine Modelle wie GPT-2 und Gemma-3 bewiesen. Ein Bildmodell lässt sich in Sekunden beweisen, ein modernes Sprachmodell braucht pro erzeugtem Wort viele Sekunden. Für Chat-Antworten mit vollem Datenschutz ist reines zk-ML heute zu langsam; dort setzt man eher auf TEE oder auf Hybride.

Ist zk-ML mit der DSGVO vereinbar?

Zk-ML kann helfen, die DSGVO-Datenminimierung einzuhalten, weil es Ergebnisse belegt, ohne Rohdaten zu übertragen, ist aber kein Automatismus. Rechtsgrundlage, Zweckbindung und Betroffenenrechte gelten weiter, und ob ein aus biometrischen Daten abgeleiteter Beweis selbst personenbezogen ist, ist juristisch offen. Die BaFin unterscheidet zudem: zk-ML belegt, dass das richtige Modell lief, nicht, warum es so entschied.

Von Marcus Okafor, HOGE Wire. Dieser Artikel ist journalistische Information und keine Anlage-, Rechts- oder Steuerberatung.