Der Angriffstyp heißt Membership Inference Attack (MIA): Man prüft, ob die Daten einer bestimmten Person im Trainingsdatensatz eines Modells lagen. Bei medizinischen Modellen ist allein diese Zugehörigkeit die Information – wer im Trainingssatz einer Krebs-Klassifikation liegt, war Krebspatient. Die Gruppe um Moritz A. Knolle, Martin J. Menten, Friederike Jungmann, Felix Meissen, Ben Glocker, Daniel Rueckert und Georgios Kaissis prüfte den Angriffserfolg nicht als Mittelwert, sondern je Patient:in.
Untersucht wurden sieben etablierte klinische Datensätze über drei Datenarten hinweg: medizinische Bildgebung, Elektrokardiogramme und elektronische Patientenakten. Physics World nennt als Beispiele einen Bestand von 21.799 EKGs und einen von 377.110 Thorax-Röntgenaufnahmen.
Knolle im Original zur Methodenkritik: „Unfortunately, previous risk assessments have only ever measured the average risk across all patients. We examined the risk at the level of individual patients for the first time – and it paints a very different picture.“ Zur Modellgröße: „as medical AI models become larger and more sophisticated the privacy risk is amplified because their deep analysis creates the small changes in predictive probability that MIAs are good at finding“. Für einen großen Teil der Daten blieben die Angriffe erfolglos – das ist gerade der Punkt: Der Mittelwert bleibt unauffällig, während einzelne Personen fast sicher zuzuordnen sind.
Als Gegenmaßnahme nennt die Gruppe Differential Privacy: Beim Training wird den Daten eine kleine Menge gaußsches Rauschen beigemischt, was MIAs deutlich erschwert, ohne die diagnostische Genauigkeit des Modells aufzugeben. Die TUM-Mitteilung ordnet das Risiko als nicht tolerierbar ein und verweist auf die besondere Sensibilität von Gesundheitsdaten.
⚠️ Was wir nicht behaupten. Erstens: Den Nature-Volltext haben wir nicht geöffnet – die Seite leitet auf eine Anmeldung um; Titel, Autorenliste, Zeitschrift und das Online-Erscheinungsdatum 24. Juni 2026 haben wir stattdessen über die Crossref-Metadaten zum DOI 10.1038/s41586-026-10688-0 abgeglichen. Zweitens: Keine der von uns geöffneten Fassungen nennt Erfolgsraten in Zahlen jenseits von „nahezu 100 Prozent“ für einzelne Personen; TPR-, FPR- oder AUC-Werte übernehmen wir daher nicht. Drittens: Die in Suchtreffer-Referaten kursierende Angabe, es seien rund 200 Modellversionen je Datensatz trainiert worden, stand auf keiner der von uns geöffneten Seiten und bleibt draußen. Viertens: Das Zitat „This is not a tolerable risk. Health data is highly sensitive“ wird in den beiden Pressefassungen unterschiedlich zugeordnet – wir geben die Aussage deshalb nur sinngemäß und ohne Sprecherzuweisung wieder.