Gboard trainiert Wortvorschläge mit überprüfbarem Datenschutz

Worum es geht

Google Research hat am 4. Oktober 2026 eine neue Architektur für föderiertes Lernen vorgestellt, die bereits für englische und japanische Wortvorhersagen in Gboard eingesetzt wird. Das Ziel ist nicht nur, Rohdaten von Geräten fernzuhalten. Nutzergeräte und externe Prüfer sollen zusätzlich nachvollziehen können, welche Programme verschlüsselte Trainingsdaten verarbeiten dürfen.

Das ist relevant, weil föderiertes Lernen bisher ein Vertrauensproblem behielt: Daten wurden zwar dezentral gesammelt oder geschützt zusammengeführt, Außenstehende konnten aber nicht vollständig kontrollieren, was auf den Servern tatsächlich geschah. Googles Ansatz kombiniert Trusted Execution Environments, kurz TEEs, mit Zugriffspolicen, einem öffentlichen Transparenzprotokoll und reproduzierbaren Builds.

Was das neue System tatsächlich macht

Ein teilnehmendes Gerät verschlüsselt Trainingsbeispiele lokal und legt vor dem Hochladen fest, welche Rechenprogramme darauf zugreifen dürfen. Diese Regeln werden in Rekor, einem öffentlichen Transparenzprotokoll des Sigstore-Projekts, veröffentlicht. Ein Schlüsselverwaltungssystem gibt Entschlüsselungsschlüssel nur an abgeschirmte Serverprogramme aus, deren Identität und Code zu der genehmigten Policy passen.

Die eigentliche Verarbeitung läuft in TEEs. Solche abgeschirmten Bereiche sollen Inhalt und Zustand der Berechnung vor dem übrigen Server schützen und zugleich eine technische Bescheinigung darüber liefern, welcher Code ausgeführt wird. Sichtbar werden laut Google nur Kennzahlen und mit Differential Privacy geschützte Modellgewichte. Der veröffentlichte Quellcode für die zentralen Komponenten soll reproduzierbare Builds ermöglichen.

Anders als bei älteren Varianten wird ein Teil der Gradientenberechnung vom Telefon auf Server verlagert. Dadurch kann Google Uploads sammeln und die Berechnung später parallel ausführen. Nach eigenen Angaben verkürzt das Trainingsläufe, die zuvor ein bis zwei Monate dauern konnten. Google nennt jedoch keine allgemein gültige neue Laufzeit.

Warum das wichtig ist

Föderiertes Lernen steckt bereits in alltäglichen Funktionen wie Wortvorhersagen, Antwortvorschlägen und Textauswahl. Die Geräte liefern dafür besonders sensible Signale: Was Menschen tippen, wann sie eine Funktion verwenden und welche Korrekturen sie vornehmen, kann viel über persönliche Gewohnheiten verraten. Eine technische Zugriffskontrolle ist deshalb belastbarer als eine bloße Zusage des Betreibers.

Der Ansatz verschiebt die Prüffrage von „Vertraust du Google?“ zu „Stimmen veröffentlichte Policy, attestierter Code und reproduzierbarer Build überein?“. Das beseitigt Vertrauen nicht vollständig, schafft aber konkrete Prüfpunkte für Sicherheitsforscher und Auditoren. Zugleich zeigt der produktive Einsatz in Gboard, dass es sich nicht nur um ein Laborkonzept handelt.

Einfach erklärt

Man kann sich das System wie eine versiegelte Küche vorstellen. Zutaten kommen in verschlossenen Behältern an. Die Küche öffnet sie nur, wenn Rezept, Koch und Arbeitsablauf auf einer öffentlich einsehbaren Liste stehen. Nach draußen gelangt nicht das einzelne Gericht, sondern nur eine statistisch abgesicherte Zusammenfassung vieler Zubereitungen.

Die Versiegelung beweist allerdings nicht, dass das Rezept sinnvoll ist. Sie soll vor allem zeigen, dass genau das angekündigte Rezept ausgeführt wurde und niemand heimlich in die Behälter gesehen hat.

Praktisches Beispiel

Angenommen, 100.000 Geräte liefern verschlüsselte Beispiele dafür, welches Wort nach „Guten“ gewählt wurde. Jedes Gerät erlaubt ausschließlich ein veröffentlichtes Trainingsprogramm. Das Schlüsselverwaltungssystem prüft die Bescheinigung der abgeschirmten Umgebung, bevor es Daten freigibt.

Das Programm berechnet ein aktualisiertes Modell, fügt den für Differential Privacy vorgesehenen statistischen Schutz hinzu und gibt nur geschützte Gewichte sowie Kennzahlen aus. Ein Prüfer kann anschließend kontrollieren, ob die zugelassene Policy im Transparenzprotokoll stand und ob der ausgeführte Binärcode aus dem veröffentlichten Quellcode reproduzierbar ist. Er sieht aber weder einzelne Eingaben noch kann er aus Googles Blogbeitrag ableiten, wie hoch das konkrete Datenschutzbudget dieses Beispiels wäre.

Einordnung und Grenzen

Erstens sind TEEs keine unangreifbaren Tresore. Google verweist selbst auf bekannte Grenzen wie Seitenkanäle; Fehler in Hardware, Firmware, Attestierung oder Schlüsselverwaltung können die Sicherheitsannahmen beschädigen.

Zweitens bedeutet „überprüfbar“ nicht automatisch „von unabhängigen Stellen überprüft“. Öffentlicher Code und Logs schaffen die Möglichkeit zur Kontrolle. Ob genügend qualifizierte Dritte diese Kontrolle dauerhaft durchführen, bleibt offen.

Drittens schützt die Architektur den vorgesehenen Datenweg, bewertet aber nicht Zweckmäßigkeit, Fairness oder Qualität des trainierten Modells. Auch eine korrekt attestierte Berechnung kann auf einer problematischen Policy beruhen. Google veröffentlicht zudem keine vollständige unabhängige Sicherheitsbewertung und keine pauschalen Leistungswerte für andere Produkte.

SEO- und GEO-Schlüsselbegriffe

Google Research, Gboard, föderiertes Lernen, Federated Learning, Trusted Execution Environment, TEE, Differential Privacy, Rekor, Sigstore, Confidential Federated Compute, Datenschutz, Wortvorhersage