Maskierung bis zum QVD und Export: alle Kopien prüfen

Versions- und Quellenstand: Qlik Cloud (SaaS), 23.10.2026. Kein festes Qlik-Sense-Client-Managed-Release. Cloudoberfläche und Funktionsumfang können sich auch bei kleineren Updates ändern; regionale Rollouts, Subscription und Tenantkonfiguration vor Umsetzung prüfen. Installierte Gateway-/Connectorversionen separat protokollieren. Redaktionell gegen Herstellerhilfe geprüft, nicht im Kundentenant ausgeführt.

Labor: ein Sternchen im Diagramm entfernt keine Daten

Die fachliche Frage bleibt: Liefert die App den freigegebenen Monatsumsatz für den erlaubten Regionsumfang? Für den isolierten Feldschutztest erzeugst du zusätzlich zwei synthetische Prüfbelege mit absichtlichen Kontaktmarkern unter EXAMPLE.INVALID. App A lädt die Adresse und zeigt im Diagramm stattdessen „***“. App B lädt für die Monatsanalyse nur Month, Region und Revenue. Vergleiche anschließend die geladenen Felder, nicht bloß zwei gleich aussehende Oberflächen. In A ist das Kontaktfeld weiterhin Teil des Modells; in B wurde es für diese Lieferung nie geladen.

Schritt für Schritt: die Kopien verfolgen

1. Schreibe eine Zeile pro Speicherort: Quellview, Roh-QVD, aufbereitete QVD, App-Modell, exportierte Datei. Ergänze jeweils Zweck, zugriffsberechtigte Rolle, Speicherort und Löschweg.
2. Prüfe mit der erlaubten Betriebsidentität, welche Felder in jeder Stufe tatsächlich vorhanden sind. Eine bewusst eingeschränkte Identität ersetzt keinen Inhaltstest; ein fehlgeschlagener Zugriff beweist nicht, dass die Datei anonym ist.
3. Erzeuge die breite Monatslieferung ohne Kontaktfelder und teste sie in einer neuen Consumer-App. Speichere nicht erst die komplette Rohkundentabelle in einer allgemein zugänglichen QVD, um später in einem Diagramm zu maskieren.
4. Nutze Token nur, wenn Wiedererkennung wirklich gebraucht wird. Dokumentiere Zuordnungstabelle, Schlüsselverantwortung und erlaubte Joins separat. Ein einfacher Hash kurzer oder erratbarer Werte ist kein zugesicherter Anonymisierungsschritt.
5. Exportiere ausschließlich synthetische Testdaten über jeden tatsächlich eingesetzten Weg. Vergleiche Inhalt und Empfängerberechtigung. Behandle Reporting, API und Automation als eigene Wege; führe nicht aus einem bestandenen CSV-Test auf alle anderen Ausgaben zurück.

Ergebnis: eine Kopienkarte mit belegtem Feldumfang je Stufe. Bleibt eine Roh-QVD mit Kontaktfeldern erreichbar, ist diese Lücke offen, auch wenn die sichtbare App „maskiert“ aussieht.

Drei Schutzwirkungen nicht verwechseln

Zeilenreduktion beschränkt die fachliche Population. OMIT lässt ein Feld für eine Identität weg. Maskierung/Tokenisierung vor dem Laden verändert die gespeicherte Kopie. Eine Formel, die eine Mailadresse mit Sternchen zeichnet, ist dagegen zunächst nur Darstellung. Liegt das Original weiterhin im Modell, kann es über andere erlaubte Nutzungspfade erreichbar bleiben.

Für den Monats-KPI entsteht eine App mit den erforderlichen Aggregaten. Eine Detailanalyse wird nur bei begründetem Bedarf bereitgestellt; ihre Belegsumme muss zum gleichen KPI-Umfang passen. Schon eine von der Datenbank maskiert gelieferte Spalte kann durch eine mächtigere Verbindungsidentität anders ausfallen: unter der tatsächlichen Reload-Identität prüfen.

Schritt für Schritt

1. Vom Quellfeld bis zum Consumer jede Kopie aufzeichnen: Roh-QVD, Transformations-QVD, Source-App, Published-App, App-Download, Tabellenexport, Report, Automation und API-Ausgabe. Datum und Betreiber je Kopie festhalten. „Nur im Speicher“ ist keine ausreichende Inventarbeschreibung.
2. Pro Feld eine Zielwirkung festlegen: entfernen, aggregieren, tokenisieren oder im begrenzten Produkt behalten. Erhaltung von Detaildaten ohne aktuellen Zweck ist kein Standard. Bei Textfeldern auch Freitext und eingebettete Identifikatoren berücksichtigen.
3. Die Änderung möglichst vor der breiten Kopie vornehmen. Wenn ein reduziertes QVD erzeugt wird, darf die Klartextspalte gar nicht in dessen Ausgabeschema stehen. Im Datenmodell und mit einer erlaubten Testabfrage prüfen; ein ausgeblendetes Tabellenobjekt beweist dies nicht.
4. Für wiederkehrende Zuordnung eine fachlich geregelte Tokenstrategie einsetzen. Zuordnungstabelle und gegebenenfalls kryptografische Schlüssel getrennt schützen. Ein einfacher ungesalzener Hash über vorhersehbare E-Mail-Adressen ist kein Anonymitätsnachweis; Wiedererkennung und Wörterbuchangriffe müssen in die Bewertung.
5. Roh-QVD-Zugriff restriktiv vergeben. Consumer der bereinigten App erhalten nicht nebenbei „Can consume data“ auf dem Rohbereich. Für Creator, Betrieb, API-Identität und Catalog-Ingestion gesondert prüfen, welchen Datenzugriff sie tatsächlich benötigen.
6. Mit einer berechtigten Consumer-Identität jeden aktivierten Ausgabepfad testen. Eine Exportfreigabe unter einer Rolle nicht mit einem Verbot unter einer anderen verwechseln. Download mit Daten, Reporting oder Integration kann eine zusätzliche dauerhafte Kopie schaffen.
7. Insight Advisor, Chat, Qlik Answers, weitere Agenten und Erweiterungen nur nach eigenem Featuretest für den konkreten App-/PII-Scope aktivieren. Unterstützung, Modell-/Inferenzpfad und Region aus aktueller Hilfe prüfen. Der Schutz einer Standardvisualisierung beweist nicht den Schutz einer anderen Produktfunktion.
8. Retention mit Quell-Refresh und Restore verbinden. Nach Löschen eines Testfalls auch nachgelagerte QVDs, veröffentlichte Kopien, Exporte und Wiederherstellungspfade prüfen. Gesetzlich erforderliche Erhaltung separat dokumentieren; nicht entgegen einem tatsächlichen Hold löschen.

Abnahmekarte

Was trotz Maskierung offen bleibt

Kleine Aggregate können Rückschlüsse erlauben. Gleichbleibende Tokens erlauben Verknüpfung. Ein berechtigter Entwickler kann mächtigere Quellrechte besitzen als ein Consumer. Diese Risiken werden nicht durch einen hübschen Maskierungs-Ausdruck geschlossen. Die Maßnahme braucht einen benannten Verantwortlichen und dokumentierte Tests.

Weiter: Sicherheitsabnahme und Entzug. Grundregeln zu Kennzahlen und Master Items stehen separat in Qlik-Metrik-Governance.

Quellen, Hilfe und Lernmaterial

• Qlik: Section Access
• Qlik: Data connections in spaces
• DSGVO / GDPR
• EDPB: Controller and processor
• Qlik: What is new / staged rollouts

Bei Videos hat die aktuelle schriftliche Hilfe Vorrang. Externe Medien werden vom jeweiligen Anbieter bereitgestellt.