Brave Leo verschlüsselt KI-Chats Ende-zu-Ende – vorerst nur mit einem Modell, das noch Beta ist

Stellen Sie sich vor: Es ist 23 Uhr. Im Patientenportal ist ein Laborwert rot markiert, die Praxis öffnet erst am Montag. Also fragen Sie den KI-Assistenten neben der Seite, was das bedeutet. Genau dieses Beispiel nutzt Brave in seinem Blogbeitrag, und es ist hypothetisch gemeint. Am Donnerstag, dem 15. Oktober, hat das Unternehmen angekündigt: Chats in Leo mit dem Modell GLM 5.3 Flash sind Ende-zu-Ende-verschlüsselt.

Klingt gut. Aber was heißt das konkret?

Was Brave angekündigt hat – und was das heißt

Leo ist der KI-Assistent, der in den Brave-Browser eingebaut ist (mehr dazu gibt es auf der Seite Leo bei Brave). Laut Brave sind Gespräche mit dem offenen GLM-Modell jetzt Ende-zu-Ende-verschlüsselt und zusätzlich durch hardwaregestütztes „Confidential Computing“ geschützt. Quelle ist Braves Blogbeitrag zur Ankündigung.

Die Kernidee in Alltagssprache: Ihr Browser verschlüsselt jede Eingabe schon auf Ihrem Gerät. Entschlüsseln kann sie laut Brave nur eine geprüfte, abgeschottete Umgebung auf dem Server. Diese Umgebung heißt Enklave, im Fachjargon TEE (Trusted Execution Environment).

Brave selbst nennt den Ansatz „industry-leading“ (Braves Selbstbeschreibung, keine unabhängige Bewertung). Verfügbar ist die Funktion laut Brave seit dem Blogbeitrag vom 15. Oktober im regulären Brave-Browser (Release), außerdem in Beta und Nightly.

Das Wichtigste vorweg: Es gilt für ein einziges Modell. Dazu später mehr, denn genau hier steckt das große Aber.

Meiner Einschätzung nach ist das ein ziemlich starker Schritt. Ein KI-Chat, bei dem laut Brave sogar der Anbieter des Browsers nicht mitlesen kann? Das ist schon was. Das Versprechen heißt aber nicht „Vertrauen Sie uns“, sondern „Prüfen Sie es nach“. Das ist ein Unterschied, und er ist Braves roter Faden im Beitrag.

Die Vorgeschichte hilft beim Einordnen. Im November 2025 gab es laut Brave den ersten Schritt: Das Modell lief schon in einer Enklave, die Anfragen liefen aber über Braves Server. Der Schutz beruhte damals laut Brave „auf unseren Richtlinien, noch nicht auf Kryptografie“ (eigene Übersetzung).

Jetzt soll es Mathematik statt Versprechen sein. Okay, das klingt gut. Schauen wir genauer hin.

Warum das Thema überhaupt wichtig ist…

Brave beschreibt im Beitrag mehrere Alltagsszenen. Jemand liest einen Brief vom Inkassobüro. Jemand sieht einen Scheidungsvergleich auf dem Bildschirm. Alle gehen davon aus, dass das Gespräch privat bleibt.

Dazu nennt Brave zwei Zahlen aus den USA. Brave hat sie nicht selbst erhoben, und deutsche Zahlen gibt es hier nicht.

Laut Brave unter Berufung auf eine KFF-Umfrage hat ein Drittel der US-Erwachsenen KI-Chatbots für Gesundheitsinformationen genutzt. 41 Prozent davon haben persönliche medizinische Daten hochgeladen, etwa Testergebnisse oder Arztnotizen.

Außerdem schreibt Brave unter Berufung auf einen Bericht von 404 Media: Im Januar 2026 ließ die App „Chat & Ask AI“ ihre Datenbank offen. Etwa 300 Millionen Nachrichten von mehr als 25 Millionen Nutzenden lagen frei zugänglich, darunter laut Brave einige sehr sensible Fragen.

Krass, oder? Die beiden Zahlen sagen nichts über Deutschland und nichts über einzelne Anbieter außerhalb dieses Falls. Sie zeigen nur, warum Brave das Thema so wichtig nimmt.

Unsere Einordnung: Das Muster kennen viele aus dem Alltag. Wer in den Chat eine Frage tippt, die sie oder er der Nachbarschaft nie stellen würde, behandelt den Chat wie ein Tagebuch. Ob das Tagebuch abgeschlossen ist, sieht man ihm aber nicht an.

Brave erwähnt außerdem, dass OpenAI „Private Intelligence“ angekündigt hat, die private Inferenz dort aber noch aussteht. Das ist Braves Aussage. Wir bewerten sie nicht.

Wer sieht was – und wer nicht…

Jetzt wird es technisch, aber es bleibt alltagstauglich. Alles Folgende sind Angaben von Brave, keine von uns geprüften Fakten. Wir gehen den Weg Ihrer Nachricht Schritt für Schritt durch.

Schritt 0: Erst die Prüfung, dann der Schlüssel

Bevor Ihr Browser irgendetwas verschlüsseln kann, braucht er den öffentlichen Schlüssel der Enklave. Den bekommt er laut Brave erst, nachdem die Enklave bewiesen hat, was sie ist. Brave nennt das Attestation.

Geprüft wird laut Brave zum Beispiel, ob die Hardware echt ist, ob der Code der Enklave zum geprüften Quellcode passt und ob tatsächlich das Modell läuft, das Sie ausgewählt haben. Erst wenn alle Prüfungen bestanden sind, wird der Schlüssel an Ihren Browser geschickt.

Dazu kommt: Das Gateway prüft laut Brave vor jeder weitergeleiteten Nachricht noch einmal, mit einer Verifikation, die höchstens eine Stunde alt ist. Fällt die Prüfung durch, gibt Brave den Schlüssel nicht heraus und leitet Ihre Nachricht nicht weiter. Es geht dann also nichts raus.

Schritt 1: Ihr Browser versiegelt die Nachricht

Der Browser verschlüsselt jeden Prompt auf Ihrem Gerät, bevor er irgendwohin geht. Das gilt laut Brave auch für Seiten, die Sie mit Leo teilen. Genutzt wird dafür Oblivious HTTP, kurz OHTTP, ein IETF-Standard für Oblivious HTTP.

Der Schlüssel gehört laut Brave nur der geprüften Enklave. Brave, NEAR AI und der Cloud-Host sollen die Nachricht deshalb nicht lesen können.

Schritt 2: Das Brave AI Gateway kennt Sie, aber nicht Ihre Worte

Die verschlüsselte Nachricht läuft über das Brave AI Gateway. Laut Brave ist es Open Source. Es sieht Ihre IP-Adresse, weil es die Nachricht weiterreicht. Den Inhalt sieht es nicht.

Es entfernt die IP-Adresse und leitet den verschlüsselten Inhalt unter Braves eigenem Konto weiter. Für NEAR AI sieht damit jede Anfrage so aus, als käme sie von Brave.

Schritt 3: Die Enklave sieht Inhalt, aber nicht Sie

Die Enklave betreibt NEAR AI. Auf der CPU-Seite nutzt sie laut Brave Intel TDX, dazu kommen Nvidia-GPUs im Confidential-Computing-Modus. Den Inhalt sieht sie nur innerhalb der Enklave. Ihre IP kennt sie nicht.

Man kann es sich so merken: Das Gateway weiß, wer fragt. Die Enklave weiß, was gefragt wird. Keine Stelle soll beides wissen.

Schritt 4: Die Antwort kommt verschlüsselt zurück

Auch die Antwort wird verschlüsselt. Laut Brave schickt die Enklave sie Stück für Stück zurück, und nur Ihr Browser kann sie lesen.

Jede neue Runde im Gespräch ist eine neue Anfrage. Laut Brave erzeugt der Browser dafür jedes Mal einen frischen Einmalschlüssel und verschlüsselt den gesamten bisherigen Verlauf neu.

Drei Zustände: gespeichert, unterwegs, in Benutzung

Brave unterscheidet drei Zustände von Daten: gespeichert (at rest), unterwegs (in transit) und in Benutzung (in use). Alle drei will Brave abdecken.

Unterwegs schützt die Verschlüsselung im Browser samt Relay: Laut Brave liest niemand zwischen Browser und Enklave mit, auch Brave nicht. In Benutzung schützen abgeschottete, verschlüsselte Hardware-Speicher. Dort kann laut Brave nur der geprüfte Code in der Enklave lesen. Gespeichert wird kein Gespräch, weder bei Brave noch bei NEAR AI. Der Verlauf liegt auf Ihrem Gerät.

Und das Modell selbst?

Z.ai hat GLM 5.3 Flash laut Brave im August 2026 mit offenen Gewichten unter MIT-Lizenz veröffentlicht. Weil die Gewichte offen sind, kann laut Brave ein unabhängiger Betreiber (NEAR AI) das Modell in der Enklave hosten. Z.ai sieht die Gespräche laut Brave nicht.

Websuche und Speicherung

Braucht das Modell Infos aus dem Netz, gehen Suchanfragen laut Brave vom TEE aus an die Brave Search API (LLM Context), nicht vom Browser. Sie sind deshalb nicht mit Ihrer IP verknüpft. Dafür gibt es laut Brave eine Zero-Data-Retention-Option.

Gespeichert wird laut Brave kein Gespräch, weder bei Brave noch bei NEAR AI. Der Verlauf bleibt auf Ihrem Gerät. Leo braucht laut Brave kein Konto und keinen Login, und es gibt laut Brave kein IP-Logging.

Wer tiefer in die Kryptografie will: Brave erwähnt im Beitrag auch Details wie HPKE. Für den Alltag reicht die Faustregel, dass sich ein einmaliger Schlüssel pro Anfrage bildet.

Offener Code: Warum Attestation Lesbarkeit braucht

Brave schreibt im Beitrag einen Satz, der viel erklärt: Attestation beweist, dass bestimmter Code läuft. Das bedeute aber nur etwas, wenn jeder den Code lesen kann.

Deshalb ist laut Brave der Code für jede Stufe der Kette öffentlich. Die Browser-Komponenten und das Brave AI Gateway sind Open Source. NEAR AI veröffentlicht den Code, der in den Enklaven läuft.

Konkret nennt Brave den Browser-Code, der den geprüften Schlüssel holt, Nachrichten versiegelt und Antworten öffnet. Dazu kommen der Gateway-Code, der die Enklave prüft und versiegelte Nachrichten weiterreicht, sowie das System, das Builds und Signaturschlüssel verifiziert. Hinzu kommt der Code, der in den Enklaven läuft.

Unsere Einordnung: Ein Nachweis über Code, den niemand lesen kann, wäre wie ein Stempel auf einem verschlossenen Umschlag. Er sagt, dass etwas drinsteckt, aber nicht was. Wir haben den Code selbst nicht geprüft.

Brave geht noch einen Schritt weiter: Das Prüfsystem baut laut Brave den Code von NEAR AI aus dem öffentlichen Quellcode neu und vergleicht das Ergebnis mit dem, was tatsächlich läuft. Auch Änderungen am Code werden laut Brave vorher geprüft, samt einer automatisierten Kontrolle, ob neue Wege für das Abfließen von Prompts entstehen.

So wählen Sie das verschlüsselte Modell in Brave Leo

Easy: Sie müssen im Grunde nur GLM 5.3 Flash in Leo auswählen.

Mehr Bedienung beschreibt Brave nicht. Wo genau die Auswahl im Browser sitzt, welche Menüs oder Schalter es gibt, schreibt der Beitrag nicht. Einen Klickpfad liefern wir deshalb nicht.

Wichtig ist die Logik dahinter: Die Verschlüsselung gilt laut Brave für Chats mit diesem Modell. Wer ein anderes Modell in Leo wählt, nutzt nicht automatisch denselben Schutz. Das ist unsere Einordnung aus dem Beitrag, der den Schutz ausdrücklich an GLM 5.3 Flash knüpft.

Offen lässt der Beitrag einiges. Ob für die Nutzung ein Abo nötig ist, sagt Brave im Beitrag nicht. Wie schnell oder gut das Modell antwortet, ebenfalls nicht. Zu Handy-Apps steht dort nichts. Das sind offene Punkte, keine Mängel, die wir behaupten.

Unser Tipp: Testen Sie das Modell erst mit harmlosen Fragen. Dann sehen Sie selbst, ob es für Sie taugt.

Der Haken: ein Modell, Beta, Prüfung beim Gateway

Dieses Bild wurde komplett mit KI generiertProviderhiggsfieldModellgpt_image_2PromptAbstract visualization of an encrypted data stream: glowing chat bubbles travelling through a translucent sealed glass tunnel towards a secure server enclosure, dark blue background, clean tech aesthetic. Photorealistic editorial magazine render, 16:9. Absolutely no text, no letters, no numbers, no logos, no brand marks.

So, jetzt die ehrlichen Grenzen. Ich finde das Ganze ziemlich stark – mit einem großen Aber.

Erstens: nur ein Modell

Die Verschlüsselung gilt für GLM 5.3 Flash. Nur dieses eine Modell. Laut Brave ist es zudem „in beta“. Brave schreibt, man wolle weitere Leo-Funktionen und offene Modelle in die verifizierbar privaten Chats bringen.

Das ist eine Ankündigung, keine Zusage mit Datum. Einen Zeitplan nennt der Beitrag nicht.

Beta heißt: Es kann sich noch ändern. Für sensible Fragen ist das keine Kleinigkeit.

Zweitens: Moment mal – und wer prüft die Enklave?

Das ist für mich der wichtigste Punkt. Die Idee der Technik lautet: Erst prüfen, dann verschlüsseln. Der Browser bekommt den Schlüssel nur, wenn die Enklave ihre Hardware und ihre Software nachgewiesen hat. Dieser Nachweis heißt Attestation.

Aber wer führt die Prüfung aus? Laut Brave übernimmt das derzeit das Brave AI Gateway. Ihr Browser verlässt sich also aktuell auf das Gateway.

Moment mal: Das heißt, dass die Prüfung, auf der alles aufbaut, bei einem Brave-Server liegt. Brave sagt das offen. Auch das grüne Label der ersten Version beruhte laut Brave schon auf diesem Vertrauen.

Brave beschreibt den Plan in drei Stufen:

Stufe eins ist der Ist-Zustand: Das Gateway prüft, Ihr Browser vertraut dem Ergebnis.

Stufe zwei: Der Browser prüft jeden Schlüssel selbst gegen eine signierte Liste der Freigaben, die das Prüfsystem erstellt hat. Dann muss er nicht mehr einfach glauben, was das Gateway sagt. Er kontrolliert die Signatur der Liste.

Stufe drei: Der Browser verifiziert die Hardware-Attestation direkt. Dann müsste man laut Brave keinem Brave-Server mehr glauben, dass die Enklave echt ist.

Noch ein Moment mal: Auch im Ausblick nennt Brave ein Protokoll der Enklaven-Schlüssel, damit jeder prüfen kann, dass alle Nutzenden denselben Schlüssel bekommen. Das ist ein Vorhaben, kein Ist-Zustand.

Einen Termin für die Stufen nennt der Beitrag nicht. Klar gesagt: Bis dahin bleibt ein Rest Vertrauen in Brave, nämlich in das Gateway als Prüfinstanz.

Dazu passt der Hinweis von Brave, dass das Gateway vor jeder weitergeleiteten Nachricht noch einmal prüft, mit einer Verifikation, die nicht älter als eine Stunde ist. Das klingt sorgfältig. Es ändert aber nichts daran, dass die Prüfung noch nicht in Ihrem Browser sitzt.

Drittens: Nachvollziehbar heißt nicht geprüft

Wir bei digital-magazin.de haben die Technik nicht selbst geprüft. Wir geben wieder, was Brave beschreibt. Brave sagt, Code und Verifikationsschritte seien öffentlich nachvollziehbar. Ob Ihnen das reicht, ist Ihre Entscheidung.

Und noch eine Einordnung: Eine verschlüsselte Übertragung schützt nicht vor allem. Was Sie selbst tippen oder in den Chat hochladen, liegt danach in diesem Gespräch. Der Verlauf bleibt laut Brave auf Ihrem Gerät. Wer Zugriff auf Ihr Gerät hat, sieht ihn also.

Wem Sie bei Brave am Ende trotzdem vertrauen müssen…

Brave ist hier erfreulich ehrlich. Der Beitrag sagt selbst: Jede Prüfkette endet bei etwas, dem man vertrauen muss.

Laut Brave sind das: Intel und Nvidia (die Hardware und ihre Attestation-Dienste), dstack (das Betriebssystem der Enklaven), Sigstore (die Protokolle der Build-Prozesse), GitHub (der Quellcode), Hugging Face (die Modellgewichte) und öffentliches DNS (die Zertifikatsprüfung).

Das ist eine lange Liste. Sie heißt nicht, dass etwas schiefgeht. Sie zeigt nur: Auch „verifizierbar“ ist nicht „ohne jedes Vertrauen“.

Ein Beispiel aus dem Alltag, als Bild: Sie prüfen den Schlüsseldienst per Ausweis, vertrauen aber dem Amt, das den Ausweis ausgestellt hat. Irgendwo hört das Prüfen auf.

Noch ein Punkt aus dem Beitrag: Brave schreibt, offene Gewichte allein reichen nicht. Sie zeigen, was ein Modell ist, nicht wie es entstanden ist. Und Forschende haben laut Brave gezeigt, dass sich Hintertüren in Gewichten verstecken lassen, die sich in manchen Fällen nachweislich nicht aufspüren lassen (eigene Übersetzung, sinngemäß). Brave sieht deshalb auch das Training als nächste Baustelle.

Meiner Einschätzung nach ist diese Offenheit ein gutes Zeichen. Wer Grenzen benennt, macht es leichter, die Aussagen einzuordnen. Garantien gibt es trotzdem keine, und Brave verspricht auch keine.

Zum Weiterlesen: Wer sich für eine ganz andere Technik für private KI interessiert, findet bei uns einen Text über Googles HEIR-Compiler und homomorphe Verschlüsselung. Das ist kein Vergleich, nur ein Blick auf einen anderen Weg.

Für welche Fragen das taugt

Alles in diesem Abschnitt ist meine Einschätzung, nicht Braves Aussage. Nehmen wir die Szenen, die Brave selbst beschreibt.

Der Laborwert: Sie wollen verstehen, was ein rot markierter Wert allgemein bedeutet, und welche Fragen Sie am Montag in der Praxis stellen könnten. Dafür ist ein Chat, dessen Inhalt laut Brave nicht bei Brave landet, eine nachvollziehbare Wahl. Die ärztliche Einschätzung ersetzt er nicht.

Der Brief vom Inkassobüro: Sie möchten wissen, was die Begriffe im Schreiben bedeuten und worauf man achten kann. Auch das ist eine Frage, bei der Privatsphäre zählt. Für Ihre Rechte im Einzelfall gehören Beratungsstellen oder eine anwaltliche Beratung dazu.

Die Scheidungsunterlagen: Sie lassen sich Fachwörter erklären, bevor Sie etwas unterschreiben. Die Unterschrift selbst sollte nicht von einer KI-Antwort abhängen.

Gemeinsam ist den Beispielen: Es geht ums Verstehen und Vorbereiten, nicht ums Entscheiden. Und je weniger Namen, Nummern und Adressen im Text stehen, desto besser.

Was Sie vor sensiblen Fragen bedenken sollten

Eine Prüfliste, in Fließtext. Alles hier ist unsere Einordnung, nicht Braves Aussage.

Fragen Sie sich zuerst: Muss das überhaupt in einen KI-Chat? Viele Fragen lassen sich auch ohne Namen, Adressen oder Befundnummern stellen. Je weniger Persönliches drinsteht, desto weniger kann überhaupt schiefgehen.

Prüfen Sie als Nächstes, ob wirklich GLM 5.3 Flash ausgewählt ist. Der Schutz gilt laut Brave nur für dieses Modell. Wer das Modell wechselt, wechselt womöglich den Schutz.

Bedenken Sie dann die Beta. Ein Beta-Status ist kein Vorwurf, aber ein Hinweis. Verlassen Sie sich bei wichtigen Entscheidungen nicht allein auf eine Antwort der KI.

Das gilt besonders bei Gesundheit, Schulden und Trennung. Eine KI kann erklären, einordnen, Fragen vorbereiten. Ärztliche Praxen, Beratungsstellen und anwaltliche Beratung ersetzt sie nicht. Der rote Laborwert gehört am Montag in die Praxis.

Denken Sie außerdem an Ihr Gerät. Der Verlauf bleibt laut Brave dort. Wer das Gerät teilt oder verliert, sollte das mitdenken. Auch hier hilft der Alltags-Datenschutz, etwa mit einem Blick darauf, welche App-Berechtigungen Sie prüfen sollten.

Und überlegen Sie, ob es auch ohne Cloud geht. Wer gar nichts aus der Hand geben will, findet bei uns einen Text über KI, die ganz lokal läuft und gar nicht in die Cloud geht. Das ist aufwendiger, dafür verlassen Ihre Fragen das eigene Gerät gar nicht erst.

Wer andere Wege sucht, kann sich außerdem DSGVO-freundliche KI-Apps als Alternativen ansehen. Wir bei digital-magazin.de halten es für sinnvoll, mehrere Optionen zu kennen und nach Fall zu wählen.

Zuletzt: Lesen Sie Braves Beitrag selbst, zumindest die Abschnitte zu den Grenzen. Dort steht, was Brave offenlegt. Und genau das sollte Ihre Entscheidung leiten, nicht ein Schlagwort wie „Ende-zu-Ende“.

Häufige Fragen

Kann Brave meine Chats mitlesen?

Laut Brave nicht. Die Nachricht ist auf dem Gerät auf einen Schlüssel verschlüsselt, den nur die geprüfte Enklave hat. Das Brave AI Gateway sieht laut Brave Ihre IP-Adresse, aber nicht den Inhalt. Die Aussage bleibt eine Herstellerangabe, die wir nicht selbst geprüft haben.

Gilt das für alle Modelle in Leo?

Nein. Laut Brave gilt die Verschlüsselung für Chats mit GLM 5.3 Flash, und das Modell ist „in beta“. Brave will laut Blog weitere Leo-Funktionen und offene Modelle nachziehen. Einen Zeitplan nennt der Beitrag nicht.

Wer prüft, ob die Enklave echt ist?

Derzeit das Brave AI Gateway, laut Brave. Später soll der Browser selbst prüfen, erst gegen eine signierte Liste, danach über die Hardware-Attestation direkt. Wann das so weit ist, sagt Brave im Beitrag nicht.

Wird mein Gespräch gespeichert?

Laut Brave speichern weder Brave noch NEAR AI ein Gespräch. Der Verlauf bleibt auf Ihrem Gerät. Leo braucht laut Brave kein Konto, und es gibt laut Brave kein IP-Logging. Beim Verlauf auf Ihrem Gerät sind Sie selbst verantwortlich.

Sieht Z.ai meine Fragen?

Laut Brave nicht. Z.ai hat das Modell GLM 5.3 Flash mit offenen Gewichten veröffentlicht. Deshalb kann ein unabhängiger Betreiber, NEAR AI, es komplett in geprüfter Hardware hosten. Z.ai bekommt die Gespräche laut Brave nie zu sehen. Das ist Braves Darstellung, wir haben sie nicht geprüft.

Was macht das Gateway genau?

Laut Brave übernimmt das Brave AI Gateway zwei Aufgaben. Es prüft die Enklave und reicht Ihre versiegelte Nachricht weiter. Es sieht dabei Ihre IP-Adresse, aber nie Ihre Worte. Es entfernt die IP und leitet die Nachricht unter Braves eigenem Konto an NEAR AI weiter. In OHTTP spielt es laut Brave die Rolle des Relays.

Und jetzt? Was bleibt

Was bleibt? Eine ziemlich starke Idee, ehrlich beschrieben, aber noch mit Baustellen. Ein verschlüsselter KI-Chat, bei dem der Browser-Anbieter laut eigener Aussage nicht mitliest, ist ein echter Schritt. Der Aufwand dahinter ist spürbar.

Gleichzeitig gilt: ein Modell, Beta, und die Prüfung der Enklave übernimmt vorerst das Gateway. Das ist kein Skandal. Es ist der aktuelle Stand, und Brave benennt ihn selbst.

Meiner Einschätzung nach sind Neugier und Vorsicht hier keine Gegensätze. Probieren Sie es aus, aber behandeln Sie es nicht wie einen Tresor. Und tippen Sie nur ein, was Sie auch im schlimmsten Fall vertreten könnten.

Und Sie so? Würden Sie dem Laborwert um 23 Uhr eine KI anvertrauen – oder doch lieber bis Montag warten?