Was ist Data Masking?
Dein Dienstleister soll das CRM testen, aber nicht deine Kundenliste lesen. Dein Recording-Tool soll Klicks zeigen, aber keine Telefonnummern. Genau dafür gibt es Data Masking: Sensible Werte werden ersetzt, verfremdet oder ausgeblendet.
Das sieht zum Beispiel so aus: Aus Roberto wird Rxxxxxo, aus einer E-Mail-Adresse RXXX@XXXX.com. Die Form bleibt, der Inhalt ist weg oder verdeckt.
Maskiert, pseudonym oder anonym?
Das ist die entscheidende Frage. Maskierung ist eine Technik, Pseudonymisierung und Anonymisierung sind rechtliche Ergebnisse.
Begriff
Bedeutet
Data Masking
Wert wird ersetzt oder verdeckt
Pseudonymisierung
Zuordnung nur mit getrennt verwahrter Zusatzinformation
Anonymisierung
Bezug zur Person praktisch für niemanden herstellbar
Hashing
Wert wird zu fester Prüfsumme, gleich bleibt gleich
Pseudonymisierte Daten bleiben nach BfDI und EDSA personenbezogen. Die EDSA-Leitlinien 01/2025, bisher als Konsultationsfassung, nennen sie eine Schutzmaßnahme und keinen Ausstieg aus der DSGVO. Der EuGH hat im September 2025 (C-413/23 P) ergänzt: Pseudonymisierte Daten sind nicht in jedem Fall und für jede Person personenbezogen. Das Urteil betraf EU-Einrichtungen, ein Freibrief ist es nicht.
Anonym sind Daten erst, wenn der Bezug zur Person für jeden zumindest praktisch unmöglich ist. Dann gilt die DSGVO nicht mehr. Das musst du aber am ganzen Datensatz prüfen, nicht nur an einer Spalte.
Wo dir Maskierung im Marketing begegnet
Der häufigste Fall ist die Aufzeichnung von Sitzungen. Microsoft Clarity bietet drei Stufen, im Abruf von Dezember 2025 so beschrieben:
Clarity-Modus
Maskiert
Strict
alle Inhalte
Balanced
Zahlen, E-Mails (Standard)
Relaxed
nur Eingaben und Dropdowns
Eingabefelder bleiben in allen Modi verdeckt. Das Maskierte wird laut Microsoft gar nicht erst hochgeladen. Einzelne Bereiche steuerst du mit data-clarity-mask und data-clarity-unmask. Änderungen wirken aber nicht rückwirkend.
Bei Datenbanken gibt es eine zweite Spielart. Dynamic Data Masking im SQL Server verändert die gespeicherten Daten nicht, die Maske liegt nur auf dem Abfrageergebnis. Für Testsysteme braucht es dagegen eine maskierte Kopie, damit echte Daten dort gar nicht erst landen.
Häufige Fehler
Fehler 1 · Maskiert gleich anonym
In einem Session Recording bleiben Verhalten, Kennungen und Kontext übrig. Die Maskierung ersetzt die Einwilligung nicht: Speichern und Auslesen auf dem Endgerät regelt § 25 TDDDG. Clarity verlangt in EWR, UK und der Schweiz seit Oktober 2025 selbst ein Einwilligungssignal.
Fehler 2 · Gehashte E-Mail für anonym halten
Die US-Behörde FTC sagt es klar: Hashing macht Daten nicht anonym. Der EDSA erklärt das Problem: Einen bloßen SHA-256-Hash kann man durch Durchrechnen anderer Namen abgleichen. Forscher der Universität Princeton beschrieben 2018 die Rückrechnung gehashter E-Mail-Adressen ab 4 US-Cent je Adresse.
Fehler 3 · Einmal einstellen und vergessen
Neue Formulare und Seiten reißen Lücken. Dass das kein Randthema ist, zeigte schon 2017 eine Princeton-Studie: Passwörter und Gesundheitsdaten landeten bei Replay-Anbietern, weil Schwärzung von Hand nicht zuverlässig war.
Fehler 4 · Der Anzeige-Maske zu viel zutrauen
Microsoft schreibt selbst: Dynamic Data Masking schützt vor versehentlichem Sehen, nicht vor Absicht. Wer Abfragen stellen darf, kann Werte durch gezieltes Raten erschließen.
So gehst du es an
- Strengsten Modus zuerst: Starte mit viel Maskierung und gib nur frei, was du wirklich brauchst.
- Stichproben machen: Schau regelmäßig echte Aufzeichnungen an, gerade nach neuen Formularen. Das empfiehlt auch der Entwurf der französischen CNIL zu Session Replay.
- Keine Echtdaten im Test: Für Tests maskierte Kopien oder erfundene Daten nehmen.
- Hashes wie Personendaten behandeln: Mit Einwilligung, Vertrag und Zugriffsregeln.
Häufige Fragen
Sind maskierte Daten noch personenbezogen?
Das kommt aufs Ergebnis an. Bleibt eine Zuordnung möglich, sind sie es meist weiterhin. Anonym sind sie erst, wenn der Personenbezug praktisch für niemanden herstellbar ist.
Was ist der Unterschied zwischen Data Masking und Pseudonymisierung?
Masking ist eine Technik zum Verdecken oder Ersetzen. Pseudonymisierung ist in Art. 4 Nr. 5 DSGVO definiert: Die Zuordnung geht nur mit gesondert aufbewahrten Zusatzinformationen. Maskierung kann ein Mittel dafür sein.
Reicht Maskierung, um Clarity oder Hotjar ohne Einwilligung zu nutzen?
Darauf solltest du dich nicht verlassen. Keine Behörde stützt das, und § 25 TDDDG knüpft am Zugriff aufs Endgerät an. Die CNIL verlangt in ihrem Entwurf vorherige Einwilligung, deutsche Behörden haben sich dazu nicht eigens geäußert.
Ist eine gehashte E-Mail-Adresse anonym?
Nein. Hashes sind wiedererkennbar und oft rückrechenbar. Die US-Behörde FTC hat das ausdrücklich klargestellt, auch der EDSA warnt davor.
Darf ich echte Kundendaten zum Testen nutzen?
Das ist heikel, denn der Zweck deckt sich selten mit dem, wofür du sie erhoben hast. Sicherer sind maskierte oder erfundene Testdaten. Kläre den Einzelfall mit deinem Datenschutzbeauftragten.
