Kann ein privates RAG-System verschlüsselte Dokumente durchsuchen, ohne sie im Ruhezustand zu entschlüsseln?

Eva Wong

IceWhale author

Eva Wong ist die Technische Redakteurin und und leidenschaftliche Tüftlerin bei ZimaSpace. Eine lebenslange Geek mit einer Leidenschaft für Homelabs und Open-Source-Software, sie spezialisiert sich darauf, komplexe technische Konzepte in zugängliche, praktische Anleitungenzu übersetzen. Eva ist der Meinung, dass Self-Hosting Spaß machen und nicht einschüchternd sein sollte. Durch ihre Tutorials befähigt sie die Community, Hardware-Setups zu entmystifizieren, vom Bau ihres ersten NAS bis hin zur Beherrschung von Docker-Containern.

Can a Private RAG System Search Encrypted Documents Without Decrypting Them at Rest?

Ja – wenn „ohne sie im Ruhezustand zu entschlüsseln“ bedeutet, dass die Dokumente auf dem Speicher verschlüsselt bleiben und nur innerhalb eines vertrauenswürdigen Prozesses entschlüsselt werden, wenn sie indiziert oder abgerufen werden müssen. Das ist ein realistisches Design für ein privates RAG-System zu Hause. Eine gewöhnliche semantische Suche kann jedoch nicht einfach ein Embedding-Modell auf undurchsichtigen Chiffretext ansetzen und erwarten, dass es das Dokument versteht.

Die praktische Architektur besteht daher aus verschlüsseltem Speicher für ruhende Daten, kontrollierter Entschlüsselung im Arbeitsspeicher, verschlüsselten oder zugriffskontrollierten abgeleiteten Indizes und einer strikten Trennung der Schlüssel. Eine direkte Suche über Chiffretext ist nur mit speziellen kryptografischen Verfahren möglich, und diese Verfahren sind kein direkter Ersatz für eine normale Vektordatenbank.

„Verschlüsselt im Ruhezustand“ bedeutet nicht „niemals entschlüsselt“

Die Verschlüsselung ruhender Daten schützt Dateien, während sie auf einer Festplatte, SSD, einem Backup-Ziel oder einem ausgeschalteten Gerät gespeichert sind. Ein Prozess mit dem richtigen Schlüssel kann Daten dennoch entschlüsseln, wenn eine legitime Verarbeitung erforderlich ist.

Verschlüsseltes Dokument auf dem Datenträger
          |
          | Autorisierter Lesezugriff
          v
Speicher des vertrauenswürdigen RAG-Prozesses
  ├─ entschlüsseln
  ├─ analysieren / in Chunks aufteilen
  ├─ einbetten
  └─ abrufen
          |
          v
Verschlüsselter Index / geschützte Datenbank

Dies ähnelt der Funktionsweise vieler verschlüsselter Datenbanken und Dateisysteme: Die Speichermedien enthalten keinen nützlichen Klartext, aber Anwendungen können nach der Autorisierung Klartext sehen.

Dieses Design ist mit einem privaten KI-Assistenten auf einem NAS kompatibel. Entscheidend ist, festzulegen, wo Klartext vorhanden sein darf und wie lange.

Warum die normale Vektorsuche keinen rohen Chiffretext durchsuchen kann

Ein Embedding-Modell benötigt aussagekräftige Text-, Bild- oder Audiomerkmale. Herkömmliche Verschlüsselung zerstört sichtbare Muster absichtlich, sodass der Chiffretext die semantischen Beziehungen, die das Modell benötigt, nicht bewahrt.

Wenn zwei Klartextsätze ähnlich sind, sollten ihre sicher verschlüsselten Chiffretexte nicht auf bequeme Weise ähnlich aussehen. Andernfalls würden Informationen über die Originale preisgegeben.

Ein normaler RAG-Aufnahmepfad sieht daher folgendermaßen aus:

Den Prozess authentifizieren.
Das Dokument in den Arbeitsspeicher oder einen streng kontrollierten temporären Bereich entschlüsseln.
Inhalte extrahieren und normalisieren.
Chunks und Embeddings erstellen.
Speichern Sie die abgeleiteten Suchdaten unter einer eigenen Schutzrichtlinie.
Verwirf temporären Klartext, sobald die Aufnahme abgeschlossen ist.

Die Aussage „Verschlüsselte Dokumente bleiben im Ruhezustand verschlüsselt“ kann während dieses gesamten Workflows weiterhin zutreffen, da Klartext niemals als dauerhafte Datei auf der Festplatte gespeichert werden muss.

Embeddings sind nicht dasselbe wie das Originaldokument – aber dennoch sensibel

Ein häufiger Fehler besteht darin, PDFs zu verschlüsseln, während Embeddings, Abschnittstext, Dateinamen, Metadaten und Snapshots der Vektordatenbank ungeschützt bleiben. Dadurch wird das Datenschutzproblem lediglich verlagert, statt es zu lösen.

Artefakt	Kann er Informationen offenlegen?	Empfohlene Behandlung
Originaldatei	Ja, direkt	Im Ruhezustand verschlüsseln
Extrahierter Abschnittstext	Ja, direkt	Verschlüsseln oder dauerhaften Klartext vermeiden
Embedding-Vektor	Potenziell, als semantische Ableitung	Als sensible Daten schützen
Dateiname / Tags	Oft	Minimieren und den Zugriff kontrollieren
Vektorindex	Kann Beziehungen und Zugehörigkeiten offenlegen	Speicher verschlüsseln und Zugriff beschränken
Sicherung / Snapshot	Enthält historische Kopien	Unabhängig verschlüsseln

Die aktuelle Sicherheitsdokumentation von Qdrant betont, dass eine selbst gehostete Bereitstellung ausdrücklich abgesichert werden muss. Die Verschlüsselung des Speichers liegt in selbst verwalteten Umgebungen in der Verantwortung der Infrastruktur und sollte nicht vorausgesetzt werden, nur weil sich die Datenbank lokal befindet.

Behandle Embeddings in einem privaten Suchsystem als Teil der geschützten Wissensdatenbank und nicht als harmlose Cache-Dateien.

Featured

ZimaCube 2 Persönliche Cloud Home NAS

ZimaCube2

Wo sollten Entschlüsselungsschlüssel aufbewahrt werden?

Speichere den Entschlüsselungsschlüssel nicht neben den verschlüsselten Dokumenten in einer für alle lesbaren Konfigurationsdatei. Ziel ist, dass der Diebstahl des Laufwerks oder das Kopieren einer Sicherung nicht ausreicht, um die Daten wiederherzustellen.

Ein robusteres Home-Lab-Design trennt:

Datenvolume: verschlüsselte Dokumente und Datenbankdateien;
Schlüsselmaterial: OS-Schlüsselbund, hardwaregestützte Schlüsselablage oder ein separat geschützter Secret Store;
Dienstidentität: Der RAG-Prozess erhält nur die benötigten Schlüssel;
Sicherungsschlüssel: außerhalb der einzigen Kopie der verschlüsselten Sicherung aufbewahren.

Die Festplattenverschlüsselung allein kann einen vollständig entsperrten, laufenden Server nicht vor einer Kompromittierung auf Administratorebene schützen. Sie schützt vor einer anderen Bedrohung: gestohlenen Laufwerken, Offline-Kopien, ausgemusterter Hardware und unbefugtem Zugriff auf Sicherungsmedien.

Wie vermeidest du temporäre Dateien im Klartext?

Viele Dokumentparser erstellen stillschweigend temporäre Dateien. OCR-Pipelines können Seiten entpacken, Office-Konverter können Zwischenformate schreiben und PDF-Tools können extrahierte Ressourcen zwischenspeichern.

Prüfen Sie den Ingestion-Pfad und wählen Sie eines von drei Mustern:

Streamen Sie entschlüsselte Bytes direkt in den Parser.
Verwenden Sie für Zwischendateien ein temporäres, RAM-basiertes Dateisystem.
Legen Sie temporäre Daten auf einem verschlüsselten Volume ab und löschen Sie sie unmittelbar nach der Verarbeitung.

Prüfen Sie auch die Protokolle. Ein „Debug“-Protokoll, das Dokumenttext, Prompts, abgerufene Chunks oder Tool-Argumente ausgibt, kann zur größten unverschlüsselten Kopie der Wissensbasis werden.

Kann homomorphe Verschlüsselung Dokumente ohne Entschlüsselung durchsuchen?

Homomorphe Verschlüsselung ist die Technologie, zu der die meisten greifen, wenn sie Berechnungen mit verschlüsselten Daten durchführen möchten. Die SEAL-Dokumentation von Microsoft erklärt, dass homomorphe Verfahren ausgewählte Berechnungen durchführen können, während die Werte verschlüsselt bleiben.

Zugleich wird eine wichtige Einschränkung genannt: Homomorphe Verschlüsselung verursacht erhebliche Leistungseinbußen und unterstützt nur bestimmte Operationen effizient. Microsoft SEAL unterstützt arithmetische Operationen wie verschlüsselte Addition und Multiplikation; allgemeine Vergleiche, Sortierungen und reguläre Ausdrücke sind in der Regel nicht auf dieselbe Weise praktikabel wie Berechnungen im Klartext.

Näherungsweise Distanzberechnungen lassen sich mit Verfahren wie CKKS umsetzen, daher ist die Forschung zur datenschutzwahrenden Vektorsuche real. Das bedeutet jedoch nicht, dass verschlüsselte semantische Suche dem Installieren von Qdrant, pgvector oder Weaviate und dem Aktivieren einer Option „verschlüsselte Abfrage“ gleichkommt.

Ansatz	Praktikabilität von RAG zu Hause	Wichtigster Zielkonflikt
Verschlüsselte Festplatte + Entschlüsselung im Arbeitsspeicher	Hoch	Der laufende Prozess kann auf Klartext zugreifen
Verschlüsseltes Datenbank-Volume	Hoch	Schützt den Speicher, nicht eine kompromittierte Laufzeitumgebung
Suchbare / homomorphe Verschlüsselung	Spezialisiert	Komplexität, Datenleckmodelle, Leistung
Chiffretext in eine gewöhnliche Vektor-Datenbank hochladen	Nicht nützlich	Keine semantische Struktur bleibt erhalten

Ein sichereres privates RAG-Design

Für die meisten Haushalte und kleinen Teams sieht das beste Verhältnis von Sicherheit zu Komplexität so aus:

Verschlüsselter NAS-Datensatz
      |
      | Dienstspezifischer Schlüssel
      v
RAG-Ingestion-Container
      |
      +-- Nur im Arbeitsspeicher / verschlüsselten temporären Speicher im Klartext
      |
      +-- Embeddings + Metadaten
      v
Verschlüsseltes Vektor-Datenbank-Volume
      |
      v
Lokaler Retrieval-Dienst
      |
      | Mindestanzahl abgerufener Chunks
      v
Lokales Modell oder genehmigtes Cloud-Modell

Wenn ein Cloud-Modell beteiligt ist, kann der Speicher zwar vollständig verschlüsselt bleiben, während der abgerufene Text im Prompt trotzdem das Zuhause verlässt. Speicherverschlüsselung und Kontrolle des Datenabflusses sind getrennte Probleme. Der Leitfaden zu lokalen KI-Vertrauensgrenzen ist hier hilfreich: Die Komponente, die Daten entschlüsseln darf, sollte nicht automatisch auch die Komponente sein, die sie übertragen darf.

Checkliste zur RAG-Verschlüsselung für private Daten

Verschlüsseln Sie das Volume mit den Quelldokumenten.
Schützen Sie auch den Speicher, Snapshots und Backups der Vektordatenbank.
Bewahren Sie Schlüssel außerhalb gewöhnlicher Dokumentverzeichnisse auf.
Geben Sie dem RAG-Dienst nur den unbedingt erforderlichen Zugriff auf Schlüssel und Pfade.
Vermeiden Sie dauerhafte Klartext-Extraktions-Caches.
Überprüfen Sie OCR-, Konvertierungs- und temporäre Debug-Verzeichnisse.
Protokollieren Sie abgerufene private Abschnitte standardmäßig nicht.
Trennen Sie die Berechtigung für den lokalen Abruf von der Berechtigung für die Übertragung in die Cloud.
Testen Sie die Wiederherstellung, bevor Sie Verschlüsselungsschlüssel rotieren oder löschen.

Der Leitfaden zu Dokumentensuche und RAG kann dabei helfen, diese Sicherheitsebene auf Extraktion, Aufteilung in Abschnitte, Embedding und Abruf zu übertragen.

Häufig gestellte Fragen

Kann eine Vektordatenbank eine AES-verschlüsselte PDF direkt indizieren?

Nein. Der Inhalt muss von einem autorisierten Prozess entschlüsselt werden, bevor ein normales Text- oder multimodales Embedding-Modell daraus semantische Informationen extrahieren kann.

Schützt eine vollständige Festplattenverschlüsselung einen laufenden RAG-Server?

Nur teilweise. Sobald das Volume entsperrt ist, können privilegierte Prozesse es lesen. Eine vollständige Festplattenverschlüsselung bietet den stärksten Schutz vor Offline-Zugriff, gestohlenen Laufwerken und kopierten Datenträgern.

Sollten Embeddings verschlüsselt werden?

Für sensibles privates Wissen gilt: Ja, schützen Sie den Speicher mit Embeddings und Indizes, beschränken Sie den Datenbankzugriff und beziehen Sie diese Dateien in dieselbe Sicherheitsüberprüfung wie die Quelldokumente ein.

Abschließendes Urteil

Ein privates RAG-System kann Dokumente im Ruhezustand verschlüsselt halten, ohne auf die gewöhnliche semantische Suche zu verzichten. Das realistische Muster ist eine kontrollierte, vorübergehende Entschlüsselung im vertrauenswürdigen Arbeitsspeicher – keine magische Suche über undurchsichtigen Chiffretext. Schützen Sie die daraus abgeleiteten Embeddings und Indizes, trennen Sie Schlüssel und Daten, vermeiden Sie Klartext-Temporärdateien vollständig und betrachten Sie homomorphe Suche als spezialisiertes kryptografisches Design statt als normale Home-RAG-Funktion.